Kurzbeitrag : Aus den aktuellen Berichten und Informationen der Aufsichtsbehörden(45): Zum Anspruch auf Kopien und Datentransfer im Beschäftigungsverhältnis nach Art. 15 Abs. 3 und Art. 20 DS-GVO : aus der RDV 1/2020, Seite 20 bis 23

Abgesehen hiervon steht die Praxis – je nachdem wie weit der Anspruch auf Erstellung von „Kopien“ gezogen wird – vor kaum lösbaren Problemen. Für viele Unternehmen wäre es weitgehend unmöglich, wenn ihnen z.B. die Pflicht obliegen würde, Daten, die zu Backup-Zwecken erstellt wurden, filtern und durchsuchen zu müssen, um sie dem Betroffenen als Kopie zukommen zu lassen. Würde man annehmen, Art. 15 Abs. 3 DS-GVO begründe einen Auskunftsanspruch über die Gesamtheit der vorhandenen Daten eines Betroffenen, mit einem erheblichen und meist nicht umsetzbaren Aufwand zu rechnen.

Die Rechtsprechung zieht dem Auskunftsrecht ebenfalls unterschiedliche Grenzen wie die Entscheidung des AG München (Urt. v. 4.9.2019 – 155 C1510/18 = ZD 2019, 569) und das durch das OLG Köln (Urt. v. 26.07.2019 – 20 U 75/18) aufgehobene Urteil des LG Köln (Teilurt. v. 18.3.2019-26 o25/18 = RDV 2019, 207) belegt. Während das AG München und das LG Köln in den Auskunftsanspruch „interne Vorgänge, wie Vermerke, den mit dem Betroffenen gewechselten Schriftverkehr und rechtliche Analysen und Bewertungen“ nicht mit einbeziehen, erstreckt ihn das OLG Köln auf sämtliche gespeicherten Daten inklusive Gesprächsnotizen und Telefonvermerke. Der Auskunftspflichtige könne sich auch nicht darauf berufen, dass es ihm mit den zur Verfügung stehenden Ressourcen wirtschaftlich unmöglich sei, einen solchen umfassenden Auskunftsanspruch zu erfüllen. Es sei Sache des Unternehmens, das sich der elektronischen Datenverarbeitung bediene, diese im Einklang mit der Rechtsordnung zu organisieren. Das LAG Baden-Württemberg (Urt. v. 20.12. 2018 – 17 Sa 11/18 = ZD 2019, 276 mit Anm. Wybitul) lässt es offen, aus welchen Quellen (etwa aus Anwendungen wie SuccessFactors, SAP HCM, WorkDay oder anderen Personaldatensystemen) der Arbeitgeber der bejahten Kopierpflicht nachzukommen habe.

Die Aufsichtsbehörden vertreten offensichtlich noch keine abgestimmte einheitliche Meinung. Während die kurze, allgemein gehaltene Stellungnahme der DSK zum Auskunftsrecht (DSK-Kurzpapier Nr. 6) die strittigen Fragen offen lässt, ist dies in Stellungnahmen einzelner Aufsichtsbehörden anders. Das BayLDA hat in seinem 8. Tätigkeitsbericht (2017/2018) S. 46 f. das Auskunftsrecht des Art. 15 DS-GVO dahingehend restriktiv ausgelegt, dass es sich nicht auf jegliche Dokumente erstrecke, „in welchen der der Name der betroffenen Person und eventuell weitere Informationen über diese Person enthalten sind.“ Unter Verweis auf das Urteil des EuGH v. 17.07.2014 – C-141/12 und C-373/12.33[3] vertritt es die Auffassung, dass nur eine Kopie der verarbeiteten personenbezogenen Daten und nicht Kopien der betreffenden Akten oder sonstige Unterlagen zur Verfügung zu stellen seien.

Eine diesbezügliche detaillierte Stellungnahme hat der HessLfDI (47. TB (2018), Abschnitt 4.1.1 f) vorgelegt. Er sieht in Art. 15 Abs. 3 DS-GVO lediglich eine Präzisierung des Auskunftsrechts nach Art. 15 Abs. 1 lit. b DS-GVG., so dass Art. 15 Abs. 3 und 4 DS-GVO kein von Art. 15 Abs. 1 DS-GVO losgelöstes Recht seien. Verantwortliche müssten der in Art. 15 Abs. 3 DS-GVO enthaltenen Verpflichtung daher auch ohne entsprechenden Hinweis der Betroffenen nachkommen.

II. Das DSK-Kurzpapier

Das DSK-Kurzpapier weist darauf hin, dass 15 Abs. 1 DS-GVO ein abgestuftes Auskunftsrecht enthält. Danach kann die betroffene Person von dem Verantwortlichen zunächst eine Bestätigung darüber verlangen, ob dort sie betreffende personenbezogene Daten verarbeitet werden. Auch eine Negativauskunft ist erforderlich, wenn der Verantwortliche entweder keine Daten zu dieser Person verarbeitet oder personenbezogene Daten unumkehrbar anonymisiert hat. Des Weiteren kann, wobei die erste Frage bei entsprechendem Wissensstand der Betroffenen wohl überflüssig ist, u.a. konkrete Auskunft darüber verlangt werden, welche personenbezogenen Daten (z.B. Name, Vorname, Anschrift, Geburtsdatum, Beruf, medizinische Befunde) mit welchen Zweckbestimmungen verarbeitet werden. Die Daten sind Kategorien wie Gesundheitsdaten, Bonitätsdaten usw. zuzuordnen.

Die Auskunftserteilung kann nach Art. 12 Abs. 1 Sätze 2 und 3 DS-GVO je nach Sachverhalt schriftlich, elektronisch oder – auf Wunsch der betroffenen Person – mündlich erfolgen.

Sodann wird zwar die besondere Ausgestaltung des Auskunftsrechts in Art. 15 Abs. 3 DS-GVO aufgezeigt, nach der dem Auskunftsersuchenden eine Kopie der den Gegenstand der Verarbeitung bildenden Daten zur Verfügung zu stellen ist. ohne jedoch diesen Anspruch im Verhältnis zu Art. 15 Abs. 1 DS-GVO und hinsichtlich seiner Reichweite zu präzisieren.

III. Der HessLfDI

1. Art. 12 DS-GVO als Vorgabe für das Auskunftsrecht

Der HessLfDI führt zunächst aus, dass für den Inhalt des Auskunftsrechts die allgemeinen Maßstäbe des Art. 12 DSGVO gelten. Die Auskünfte müssen präzise, transparent, verständlich und leicht zugänglich in einer klaren und einfachen Sprache formuliert sein. Das „Abspeisen“ durch kommentarlose Überlassung von Kopien sei grundsätzlich nicht zulässig. Die Übermittlung der Informationen habe schriftlich oder in anderer Form, gegebenenfalls auch elektronisch zu erfolgen. Stellt die betroffene Person den Antrag elektronisch, so sei sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angegeben habe. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person nachgewiesen wurde. Daraus folge, dass Art. 15 Abs. 3 DS-GVO kein zusätzliches Recht auf Überlassung einer Kopie der personenbezogenen Daten meint, sondern voraussetze, dass der Erfüllung des Auskunftsanspruchs nach Art. 15 Abs. 1 DS-GVO die Überlassung einer Kopie genüge. Das Recht aus Art. 15 Abs. 4 DS-GVO reiche nicht weiter als die vorausgesetzten Rechte nach Art. 15 Abs. 1 und Abs. 3 DS-GVO.

2. Der Begriff der „Kopie“ als strukturierte Zusammenfassung

Zu den Einzelfragen der Kopierpflicht führt der HessLfDI weiter aus: Der Wortlauts des Art. 15 Abs. 3 DS-GVO, der den Anspruch auf eine „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ bezieht, lasse die Reichweite des Auskunftsrechts offen, da der Begriff der „Kopie“ unterschiedlich als z.B. „Abschrift, Doppel eines Schriftstücks, Fotokopie, Nachahmung“. beschrieben wird.

Würde mit der „Kopie“, das Doppel eines Schriftstücks oder eine Fotokopie gemeint sein, so würde dies dazu führen, dass Betroffene nach Art. 15 Abs. 3 DS-GVO z.B. einen generellen Anspruch auf die Übersendung sämtlicher geführter E-Mail-Korrespondenz hätten, sofern hierin Daten zu ihrer Person enthalten sind. Verstanden werden könne der Kopie-Begriff des Art. 15 Abs. 3 DS-GVO daher nur im Sinne einer sinnvoll strukturierten Zusammenfassung. Den Betroffenen müssten daher nicht sämtliche, sie betreffende Dokumente in Kopie zur Verfügung gestellt werden. Art. 15 Abs. 3 DS-GVO regele lediglich die Art und Weise der Auskunftserteilung und habe gegenüber Art. 15 Abs. 1 DS-GVO dienende Funktion: Den Betroffenen wird noch einmal – durch Bereitstellung einer strukturierten Zusammenfassung ihrer personenbezogenen Daten – im Kontext kenntlich gemacht, welche Daten zu ihrer Person vom Verantwortlichen verarbeitet werden. Würde dagegen der Kopie-Begriff des Art. 15 Abs. 3 DSGVO grundsätzlich weit ausgelegt, so bestehe die Gefahr, dass das Auskunftsrecht des Art. 15 DS-GVO als allgemeines Recht auf Zugang zu Informationen oder als Akteneinsichtsrecht verstanden werde, mit der Folge, dass die Geltendmachung von Art. 15 DS-GVO nicht zur Verfolgung von Datenschutzzielen im Sinne der DS-GVO, sondern zur Verwirklichung anderer Ziele missbraucht werden könnte.

Schließlich entspreche das Verständnis des Begriffs als strukturierte Zusammenfassung auch der in Art. 15 Abs. 4 DS-GVO enthaltenen Wertung. Hiernach dürfe das Recht auf Erhalt einer Kopie gemäß Abs. 3 die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Würden den Betroffenen Kopien von Schriftstücken oder Dokumenten zur Verfügung gestellt, so könne sich bei mangelnder Sorgfalt das Risiko erhöhen, dass den Betroffenen auch Informationen zur Verfügung gestellt werden, die möglicherweise Rechte Dritter tangieren. Fertigen Verantwortliche hingegen eine strukturierte Zusammenfassung und tragen hierbei die personenbezogenen Daten der Betroffenen eigenständig zusammen, sei dieses Risiko deutlich minimiert.

3. Art. 15 DS-GVO im Beschäftigtendatenschutzes

Zu den Besonderheiten des Beschäftigungsverhältnisses führt der HessLfDI sodann u.a. ergänzend aus: „Durch ein Beschäftigungsverhältnis werden eine Vielzahl von personenbezogenen Datenverarbeitungen begründet. Mehrfach haben sich daher Datenschutzbeauftragte und Verantwortliche an mich gewandt, wenn seitens Beschäftigter Auskunftsersuchen geltend gemacht wurden. Als Beispiele personenbezogener Datenverarbeitungen kommen die Führung der Personalakte oder die Nutzung eines Personalinformationssystems, die Durchführung von Personalentwicklungsmaßnahmen, Zeiterfassung oder Videoüberwachung in Betracht. Darüber hinaus emittieren Beschäftigte unter Berücksichtigung ihrer Tätigkeitsausübung Daten zu ihrer Person etwa bei der Nutzung der zur Verfügung gestellten IT-Infrastruktur (PC, Laptop, Mobiltelefon, Tablet) oder der geschäftlichen Kommunikation (Erstellung von Schriftstücken oder Kommunikation mittels E-Mail). Da das Arbeitsverhältnis naturgemäß auf eine gewisse Dauer angelegt ist, fallen diese Daten unter Umständen über Jahre und Jahrzehnte hinweg an.“

4. Erledigug des Anspruchs

„Mit Blick auf Art. 15 DS-GVO empfehle ich Verantwortlichen und Daten-schutzbeauftragten Folgendes: Sofern Betroffene ihr Auskunftsrecht nach Art. 15 DS-GVO geltend machen, ist grundsätzlich losgelöst von der Ausübung des Rechts auf Erhalt einer Kopie nach Art. 15 Abs. 3 DS-GVO auch eine strukturierte Zusammenfassung der personenbezogenen Daten zur Verfügung zu stellen, die Gegenstand der Verarbeitung sind. Art. 15 Abs. 3 DS-GVO ergänzt und modifiziert das Auskunftsrecht des Art. 15 Abs. 1 DS-GVO und ist insbesondere vor dem Hintergrund der in Art. 5 Abs. 1 lit. a, 12 DS-GVO verankerten Transparenzgrundsatzes umzusetzen. Welche Vorgehensweise hierbei besonders geeignet erscheint, hängt von der zu beurteilenden Datenverarbeitung, mithin von den Umständen des Einzelfalls, ab. In den folgenden Konstellationen habe ich angenommen, dass den Anforderungen des Art. 15 Abs. 3 DS-GVO Genüge getan ist:

• Bereitstellung eines Auszugs des Profils von Betroffenen bei Nutzung eines Personalinformationssystems durch Verantwortliche
• Liste der zu einer Person gespeicherten Schriftstücke oder Aktenzeichen bei Nutzung eines Dokumentenmanagement- oder Registratursystems

Die Kopie eines Schriftstücks/einer E-Mail muss jedoch in der Regel nicht zur Verfügung gestellt werden. Sofern mit Verweis auf Art. 15 Abs. 3 DS-GVO die Kopie einzelner Schriftstücke oder E-Mail-Korrespondenzen verlangt wird, kann dieser Anspruch dann bestehen, wenn das Recht der Betroffenen, die Rechtmäßigkeit der Datenverarbeitung eigenständig zu überprüfen, untrennbar hiermit verbunden ist.

Bei einer Zusammenschau von Art. 15 Abs. 1 und 3 DSGVO und vor dem Hintergrund der Bedeutung des Auskunftsrechts dürfte es nach meinem Verständnis in aller Regel genügen, wenn den Betroffenen die in einem Schriftstück enthaltenen personenbezogenen Daten mitgeteilt werden.“

5. Dem Kopieanspruch entgegenstehende Rechte

Zu den gesetzlichen Einschränkungen des Rechts auf Erhalt von Datenkopien wird sodann weiter ausgeführt: „Art. 15 Abs. 4 DS-GVO und Erwägungsgrund 63 sehen vor, dass das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen dürfen. Dies darf nach Erwägungsgrund 63 jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Auch Art. 23 DS-GVO ermöglicht Beschränkungen des Auskunftsrechts durch die Mitgliedstaaten. In Deutschland wurde von dieser Möglichkeit in den §§ 27 Abs. 2, 28 Abs. 2, 29 Abs. 1 Satz 2 und 34 BDSG Gebrauch gemacht.“ (Wird ausgeführt)

6. Präzisierung des Auskunftsanspruchs

„Gemäß Erwägungsgrund 63 Satz 7 der DS-GVO können Verantwortliche verlangen, dass Betroffene ihr Auskunftsersuchen präzisieren, wenn eine große Menge von Informationen über die Betroffenen gespeichert wird. Dies ist bei Datenverarbeitungen im Beschäftigungsverhältnis anzunehmen, da hier, wie eingangs erwähnt, in großem Umfang und über einen langen Zeitraum personenbezogene Daten anfallen.“

7. Ablehnung der Auskunft/Kopie

„Sofern Verantwortliche vom Vorliegen der Voraussetzungen einer Einschränkung des Auskunftsrechts ausgehen, sind die Betroffenen auch hierüber zu informieren. Dies ist sowohl Art. 12 Abs. 4 DS-GVO als auch § 34 Abs. 2 BDSG zu entnehmen. Denn nur auf Basis einer entsprechenden Information hat die betroffene Person die Möglichkeit, die Rechtmäßigkeit der Ablehnung des Auskunftsrechts zu überprüfen. Fehlen entsprechende Ausführungen des Verantwortlichen, ist dem Auskunftsrecht der betroffenen Person nicht Genüge getan.

Gemäß Art. 12 Abs. 5 DS-GVO ist die zu erteilende Auskunft unentgeltlich zur Verfügung zu stellen. Sofern Auskunftsersuchen allerdings offenkundig unbegründet (sehr selten) sind oder – insbesondere im Fall von häufiger Wiederholung – eine betroffene Person in exzessiver Weise Auskunftsanträge bei Verantwortlichen stellt, können diese ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Mitteilung berücksichtigt werden. Alternativ können sich Verantwortliche weigern, aufgrund des Auskunftsantrags tätig zu werden. Gehen Verantwortliche davon aus, dass die Voraussetzungen des Art. 12 Abs. 5 DSGVO erfüllt sind, haben sie die Betroffenen hierüber gemäß Art. 12 Abs. 4 DS-GVO zu informieren. Zu beachten ist weiterhin, dass nach Art. 12 Abs. 5 DS-GVO Verantwortliche den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen haben. Die Verantwortlichen tragen somit die Beweislast.“

8. Grundsätze für Auskünfte im Beschäftigungsverhältnis

„Vor dem Hintergrund der in tatsächlicher Hinsicht vielfältig anfallenden personenbezogenen Daten im Beschäftigungsverhältnis, des Grundsatzes der Transparenz (der in Art. 12 Abs. 1 DS-GVO insbesondere auch eine präzise, verständliche Form und eine klare und einfache Sprache fordert), des Schutzes von Rechten Dritter, der Unentgeltlichkeit des Auskunftsersuchens, der in Art. 12 Abs. 5 DS-GVO vorgesehenen Möglichkeit der Missbrauchsabwehr durch die Verantwortlichen und dem Präzisierungsgedanken des Erwägungsgrund 63 DS-GVO sollten bei der Geltendmachung von Auskunftsersuchen im Beschäftigungsverhältnis folgende Gesichtspunkte beachtet werden:

• Den Betroffenen werden die Informationen nach Art. 15 Abs. 1 lit. a bis h DS-GVO zur Verfügung gestellt.
• Den Betroffenen werden (nach Wahl des Verantwortlichen und insbesondere vor dem Hintergrund der Schaffung von Transparenz nach Art. 12 DS-GVO) strukturierte Zusammenfassungen (z.B. Registraturauszug) oder Kopien zu allen Datenverarbeitungsvorgängen zur Verfügung gestellt, die zu ihrer Person verarbeitet werden.
• Werden strukturierte Zusammenfassungen oder Kopien mit Verweis auf bestehende Rechte Dritter abgelehnt, ist der betroffenen Person dies transparent mitzuteilen. Dies gilt auch für anderweitige Einschränkungen des Auskunftsrechts.
• Sofern personenbezogene Daten der Betroffenen in Datenverarbeitungen gespeichert sind, die nicht der Verarbeitung von Beschäftigtendaten dienen, sondern anderen Zwecken (z.B. Verarbeitung von Kundendaten) und somit nicht in Bezug auf den Anspruchssteller verarbeitet werden, genügt es, wenn Verantwortliche die Informationen nach Art. 15 Abs. 1 lit. a bis h DS-GVO zur Verfügung stellen und den Betroffenen die Möglichkeit einräumen, eine Präzisierung ihres Auskunftsersuchens vorzunehmen.“

* Der Autor ist Ehrenvorsitzender der Gesellschaft für Datenschutz und Datensicherheit e.V., Bonn.