Update Datenschutz Nr. 58
Reichweite des Anspruchs auf eine Kopie personenbezogener Daten
Art. 15 DSGVO regelt das Auskunftsrecht Betroffener gegenüber den Verantwortlichen hinsichtlich der Verarbeitung ihrer personenbezogenen Daten. Gemäß Art. 15 Abs. 1 DSGVO muss der Verantwortliche auf Verlangen Auskunft erteilen. Darüber hinaus hat der Betroffene gemäß Art. 15 Abs. 4 DSGVO aber auch einen Anspruch auf eine Kopie personenbezogener Daten, die der Verantwortliche ihm auf Verlangen aushändigen muss, Art. 15 Abs. 3 DSGVO. Dieser Anspruch auf Herausgabe einer Kopie personenbezogener Daten ist im deutschen Recht neu; er war in § 34 BDSG a.F. nicht enthalten. Mit Urteil vom 20.12.2018 hat sich das LAG Stuttgart (Az. 17 Sa 11/18) soweit bekannt als erstes Gericht in Deutschland mit der Reichweite des Begriffs der Kopie der personenbezogenen Daten auseinandergesetzt.
Hintergrund war ein Kündigungsrechtsstreit, bei dem der Kläger im Verlaufe des Rechtsstreits u.a. einen Anspruch auf Einsicht in seine Personalakte und gleichzeitig Herausgabe einer Kopie der personenbezogenen Daten geltend gemacht hat. Der beklagte Arbeitgeber als Verantwortlicher verweigerte die Herausgabe einer Kopie personenbezogener Daten pauschal mit dem Hinweis auf überwiegende schützenswerte Interessen Dritter.
Das LAG Stuttgart entschied, dass ein solch pauschaler Hinweis auf schützenswerte Interessen Dritter nicht ausreiche, um eine Kopie personenbezogener Daten nicht herausgeben zu müssen.
Kein unbeschränktes Auskunfts- und Herausgaberecht
Das LAG Stuttgart stellt zunächst klar, dass Art. 15 DSGVO dem Betroffenen kein unbeschränktes Auskunfts- und Herausgaberecht gewährt. Es führt zutreffend aus, dass bereits Art. 15 Abs. 4 DSGVO zumindest das Recht auf Erhalt einer Kopie einschränkt, wenn dadurch Rechte und Freiheiten anderer Personen berührt werden. Gleichzeitig deutet es an, dass, wie von einer Vielzahl der Literaturstimmen vertreten, diese Einschränkung auch auf das eigentliche Auskunftsrecht gemäß Art. 15 Abs. 1 DSGVO anzuwenden ist. Den Gedanken führt es aber nicht zu Ende, da es aus seiner Sicht auf die Frage nicht ankam.
Weiter stellt das Gericht zutreffend klar, dass das Auskunfts- und Herausgaberecht auch durch § 29 Abs. 1 Satz 2 BDSG beschränkt ist, wenn dadurch Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssten.
Diese Einschränkungen des Auskunfts- und Herausgaberecht spielen für die Praxis eine wichtige Rolle, da ein uneingeschränkter Auskunfts- und Herausgabeanspruch nicht nur einen großen Aufwand bedeutet, sondern auch Geheimhaltungsinteressen sowohl des Verantwortlichen als auch – etwa im Falle von Whistleblowern – von Dritten betreffen kann. Man stelle sich vor, dass durch einen solchen Anspruch bekannt würde, wer eine Involvierung in organisierter Kriminalität aufgedeckt hat. Das Leben dieser Person wäre massiv gefährdet. Deswegen hat auch die Deutsche Datenschutzkonferenz in ihrer Handreichung zum Whistleblowing klargestellt, dass Auskunftsansprüche in solchen Fällen durch § 29 Abs. 1 Satz 2 BDSG beschränkt sein können.
Anforderungen an die Einschränkung des Anspruchs
Das LAG Stuttgart hat mit seiner Entscheidung nun Grundsätze aufgestellt, die der Verantwortliche berücksichtigen muss, möchte er sich auf eine Beschränkung des Auskunftsrechts berufen, und die erhebliche Aufwände auf Seiten der Verantwortlichen bedeuten können.
Es führt zunächst aus, dass Art. 15 Abs. 4 DSGVO, § 29 Abs. 1 Satz 2 BDSG den Auskunfts- und Herausgabeanspruch nicht pauschal einschränken, sondern nur soweit durch die Auskunft Informationen offenbart würden, die geheim gehalten werden müssen. Es führt weiter aus, dass in jedem Einzelfall das konkrete Interesse des Betroffenen an der Auskunftserteilung ermittelt und gegen das betriebliche Interesse des Verantwortlichen an der Auskunftsversagung bzw. den berechtigten Interessen Dritter abgewogen werden muss. Es könnten zwar z.B. Hinweisgebersysteme grundsätzlich eine Einschränkung rechtfertigen. Aber eben nur im Rahmen einer Einzelfallabwägung. Es müsste konkret dargelegt werden, welche Informationen geheim gehalten werden müssen und inwieweit das Interesse an einer Geheimhaltung überwiegt. Im vom LAG Stuttgart entschiedenen Fall war der Verantwortliche diesen Anforderungen nicht nachgekommen, weswegen die Presse pauschal titelte, dass Personalakten insgesamt herausgegeben werden müssten.
Dies ist so sicherlich nicht korrekt. Jedoch kommen auf Verantwortliche zur Einhaltung der Compliance in diesem Bereich noch mehr Anforderungen zu, sollte die Entscheidung rechtskräftig werden. Das LAG Stuttgart hat hinsichtlich des Auskunftsanspruchs die Revision zum Bundesarbeitsgericht zugelassen, so dass das letzte Wort vom BAG abzuwarten sein wird.
Handlungsempfehlung
Machen Betroffene von ihrem Recht nach Art. 15 DSGVO Gebrauch, müssen Verantwortliche sehr genau im Detail prüfen, inwieweit sie Geheimhaltungsinteressen geltend machen können. Es wird in Zukunft nicht mehr ausreichend sein, sich pauschal auf die Geheimhaltungsinteressen zu berufen. Der Verantwortliche muss vielmehr darlegen, für welche Informationen er das Geheimhaltungsinteresse und aus welchem Grund geltend macht. Im Übrigen muss er dann die Auskunft erteilen. Das bedeutet, dass u.U. mit Schwärzungen gearbeitet werden muss, wenn in Unterlagen teils geheimhaltungsbedürftige Informationen enthalten sind, teils aber die dort enthaltenen personenbezogenen Daten und damit in Verbindung stehenden Informationen keine Geheimhaltungsinteressen begründen. Auskunftsansprüche müssen daher mit noch mehr Sorgfalt bearbeitet werden und es müssen die notwendigen Prozesse vorgesehen sein, damit die Verantwortlichen ihre Interessen wahren können.
Das Bayerische Landesamt für Datenschutz sieht übrigens den Anspruch als nicht so weitgehend an wie das LAG Stuttgart. Wie immer bei der DSGVO gilt daher auch hier: die Gerichte müssen es am Ende richten.
