Der Umfang der Datenkopie
Wahrung des Auskunftsrechts
Mit der Einführung der Datenschutzgrundverordnung (DSGVO) wurde betroffenen Personen eine Vielzahl von Rechten gegenüber den Verantwortlichen zugesprochen. Eine Leitlinie ist dabei die Transparenz der Datenverarbeitung. Dieses Grundprinzip findet sich nun in Art. 15 Abs.1 DSGVO wieder. Es verpflichtet Verantwortliche, jederzeit Rede und Antwort bezüglich der Verarbeitungszwecke, den Empfängern und der Speicherdauer von personenbezogenen Daten zu stehen. Der Verantwortliche ist hierbei verpflichtet, die Information über die Daten für die betroffene Person verständlich aufzubereiten.
Neben dieser Auskunft kann der Anspruchsteller nach Art. 15 Abs. 3 DSGVO auch eine Kopie der verarbeiteten Daten fordern, einer weiteren Erläuterung der Kopie durch den Verantwortlichen ist in diesem Fall nicht notwendig. Dabei muss der Verantwortliche sicherstellen, dass die Kopie keine Rechte von unbeteiligten Personen verletzt und auch etwaige Geschäftsgeheimnisse durch diese Kopie nicht weitergegeben werden.
Die alltägliche Herausforderung
Genau dies führt in der Praxis immer wieder zu Schwierigkeiten hinsichtlich des konkreten Umfangs des Rechts auf Datenkopie. In Vergangenheit hatte eine unzureichende Bearbeitung des Auskunftsanspruchs sowie des Rechts auf Datenkopie immer wieder strengen Schadensersatzzahlungen des Verantwortlichen zur Konsequenz, gleichzeitig kann der Antrag der betroffenen Person auf Herausgabe einer Datenkopie jedoch zu einer außergewöhnlichen Belastung des Verantwortlichen führen.
Streit hinsichtlich des Umfangs
Dieser Spagat wurde erstmalig in einer Entscheidung am Landesarbeitsgericht (LAG) Baden-Württemberg (Urteil vom 20.12.2018, Az.: 17 Sa 11/18) deutlich: Ein Arbeitnehmer forderte gestützt auf Art. 15 Abs.3 DSGVO die Herausgabe aller ihn betreffender E-Mails, welche im Laufe des mehrjährigen Arbeitsverhältnisses zustande gekommen sind. In einer solcher Konstellation wäre der Arbeitgeber verpflichtet, mehrere tausend E-Mails herauszugeben, und diese jeweils einzelne auf sensible Informationen zu überprüfen und gegebenenfalls im Anschluss zu schwärzen. Das Gericht entschied zugunsten des Arbeitnehmers, der Arbeitgeber legte daraufhin Revision ein. Bevor die Revisionsinstanz, das Bundesarbeitsgericht (BAG) diesbezüglich Stellung nehmen konnte, erledigte sich die Sache aufgrund eines einvernehmlichen Vergleichs zwischen den beiden Parteien. Eine höchstrichterliche Klärung des konkreten Umfangs der Datenkopie konnte in diesem Zusammenhang somit nicht erzielt werden.
Weiterhin keine Stellungnahme
Die Chance, dass ein Bundesgericht Stellung zu dem notwendigen Umfang der auskunftsrechtlichen Kopie nimmt, bot sich im Frühjahr 2021 erneut. In einer ähnlichen Situation zog ein ausgeschiedener Arbeitnehmer vor Gericht, da der Arbeitgeber eine Kopie der ihn betreffenden E-Mails verweigerte. Das zuständige Landesarbeitsgericht lehnte einen pauschalen Anspruch auf Herausgabe des gesamten E-Mail-Verkehrs ab, gab dem Arbeitnehmer jedoch immerhin Recht, dass ein Anspruch auf Herausgabe einer Datenkopie zumindest in dem Umfang besteht, wie er auch im Rahmen des Auskunftsrecht nach Art. 15 Abs.1 DSGVO vorzufinden ist. Zu einer abschließenden Klärung durch das oberste Arbeitsgericht kam es jedoch wiederholt nicht. Das Bundesarbeitsgericht musste das Verfahren mangels hinreichender Bestimmtheit ablehnen (BAG, Urteil vom 27.04.2021, Az.: 2 AZR 342/20). Nach den Regelungen der Zivilprozessordnung hätte der Arbeitnehmer genau auflisten müssen, welche Kopien er konkret herausverlangt.
Die Frage nach dem Umfang der Datenkopie im Rahmen des datenschutzrechtlichen Auskunftsanspruchs bleibt somit zumindest von höchstrichterlicher Auffassung vorerst ungeklärt. Auch in Fachkreisen ist die konkrete Bedeutung des Art. 15 DSGVO und der erforderliche Umfang einer Kopie umstritten, sodass die Praxis zunächst weiter auf eine richterliche Stellungnahme warten muss.
Der Umfang des Auskunftsanspruchs
In der bereits genannten Entscheidung des LAG Baden-Württemberg verfolgten die zuständigen Richter einen weitgehenden Beurteilungsansatz und standen dem ehemaligen Arbeitsgeber das Recht auf Herausgabe all jener E-Mails zu, welche ihm zuzuordnende personenbezogene Daten enthalten. Ob diese Ansicht der Revision durch das Bundesgericht standgehalten hätte, ist fraglich.
Zur Beurteilung der Frage, wie weit der Umfang einer Kopie der personenbezogenen Daten gehen darf, ist zunächst der Sinn und Zweck der Vorschrift herauszustellen. Bei dem Recht auf Datenkopie handelt es sich im Wesentlichen nicht um das Recht einer vollständigen Akteneinsicht. Vielmehr soll die Datenkopie der betroffenen Person eine Beurteilung ermöglichen, ob die Informationen, welche im Zusammenhang mit Art. 15 Abs.1 DSGVO erteilt wurden, vollständig und richtig sind. Dies geht aus dem Erwägungsgrund 63 hervor. Im Einzelfall kann es zur Zweckerreichung notwendig sein, einzelne E-Mail-Korrespondenzen herauszugeben. Regelmäßig wird jedoch eine Übersicht (Bsp.: Stammdatenblatt) der verarbeiteten Daten bereits ausreichen, so zumindest die Ansicht verschiedener Aufsichtsbehörden.
Grenzen des Rechts auf Datenkopie
Seine Grenzen findet das Recht auf Kopie der personenbezogenen Daten schlussendlich in der Motivation des Antragsstellers. Fordert, wie im gegenständlichen Sachverhalt, ein gekündigter Arbeitnehmer die Herausgabe tausender E-Mails, so ist das schützenswerte Interesse des Antragstellers ernstlich zu hinterfragen. Der Anspruch auf Datenkopie darf nicht als Mittel der Nötigung oder Schikane eingesetzt werden. Liegt ein solcher Verdacht nahe, kann der Antragsteller darum gebeten werden, sein Interesse an der Herausgabe einer Kopie zu begründen. Gelingt eine solche Begründung nicht, so wird es wohl zulässig sein, den Antrag mit Verweis auf Art. 12 Abs.5 DSGVO abzulehnen. Doch Vorsicht: Allein die mögliche Tatsache, dass der Antragsteller durch die Herausgabe einer Kopie auch datenschutzfremde Zwecke, wie etwa die Vorbereitung auf ein gerichtliches Verfahren, verfolgt, rechtfertigt nicht pauschal die Verweigerung des Antrags auf Datenkopie.
Im Zweifel für den Antragsteller
Das Recht auf Datenkopie stellt ein eigenständiges Recht dar, welches neben dem Recht auf Auskunft nach Art. 15 Abs.1 DSGVO durch die betroffene Person geltend gemacht werden muss. Im Zweifelsfall ist jedoch durch Auslegung zu ermitteln, ob die betroffene Person das Recht auf Datenkopie zusätzlich in Anspruch nehmen möchte. Ist die Herausgabe einer Datenkopie gewünscht, so sollte zunächst eine Abschätzung des Umfangs der Anfrage vorgenommen werden. Wo immer möglich, ist bis zur endgültigen Klärung dieser Rechtsfrage der betroffenen Person möglichst umfangreich entgegenzukommen.
Handhabung in der Praxis
Wie mit einem Antrag auf Herausgabe einer Datenkopie schlussendlich umgegangen wird, ist stets individuell handzuhaben. Die erteilte Kopie sollte der betroffenen Person jedoch mindestens die Möglichkeit bieten, die Richtigkeit der erteilen Auskunft nach Art. 15 Abs.1 DSGVO sowie die Rechtmäßigkeit der Verarbeitung zu überprüfen. Es empfiehlt sich deshalb, bereits im Vorfeld geeignete Maßnahmen und Prozessen zu etablieren, um im Fall einer Anfrage zeitnah und strukturiert reagieren zu können.
Diese Prozesse sollten zwingend eine Evaluation hinsichtlich möglicher Geschäftsgeheimnisse und sensibler Daten Dritter enthalten. Solche Daten sind in keinem Fall im Rahmen einer Datenkopie herauszugeben. Ist aufgrund dessen eine umfängliche Kopie nicht möglich, so ist diese Tatsache der betroffenen Person darzulegen und eine teilweise Kopie der Daten zu erstellen. Gleichzeitig können sich Unternehmen trauen, im Zweifelsfall kritisch bei der betroffenen Person nachzufragen. Von einer Verpflichtung zur Erfüllung einer ausufernden und rechtsmissbräuchlichen Auskunftsanfrage kann derzeit nicht ausgegangen werden, wenngleich dies auch nur einzelfallbezogen und mit Zurückhaltung anzunehmen ist.