Seit das LAG Baden-Württemberg entschied, dass ein Arbeitnehmer vollumfänglich nach Artikel 15 DSGVO Auskunft über seine Daten und auch eine Kopie seiner Daten bekommen soll (wir berichteten), stellt sich für Unternehmen die Frage, wie mit solchen Anfragen umgegangen werden soll.

Das Landgericht Heidelberg hat nunmehr zu demselben Thema ein Urteil erlassen (Urteil vom 06.02.2020 Az.: 4 O 6/19). Das Landgericht stellt sich vor allem die Frage nach der Verhältnismäßigkeit von Auskunftsbegehren.

Recht auf Kopien aus Backups?

Konkret ging es um die Frage, ob auch über Daten in Backups Auskunft gegeben werden muss. Hierbei betrachtete das Landgericht die alte Regelung aus § 34 Ab. 7 i.V.m. § 33 Abs. 2 S. 1 Nr. 2 BDSG a.F. Danach bestand eine Pflicht zur Auskunft nicht, wenn die Daten nur deshalb gespeichert sind, weil sie (…) ausschließlich der Datensicherung (…) dienen und eine Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde. Das LG schloss aus dem Wegfall dieser Norm nun nicht, dass sämtliche Backups der Auskunftspflicht unterliegen. Vielmehr komme es auf den konkreten Aufwand der Verantwortlichen an.

Das Landgericht sah es als erwiesen an, dass der Verantwortliche einen unverhältnismäßigen Aufwand unterlegen hätte, indem es alte Backupserver hätte wiederherstellen müssen, was ca. 4.000 € gekostet hätte.

Recht auf Kopien von E-Mails?

Außerdem sollte der Verantwortliche über mehrere tausend E-Mails Auskunft geben müssen. Das Erfordernis der Sichtung und Schwärzung von E-Mails zur Sicherung berechtigter Interessen Dritter hätte nach Auffassung des Landgerichts unverhältnismäßig Ressourcen beim Verantwortlichen gebunden. Das Gericht geht davon aus, dass eine Person über Wochen hinweg mit der Aufbereitung der E-Mails beschäftigt sein würde.

Demgegenüber sieht das Gericht ein nur geringes Informationsinteresse des Betroffenen. Dieses geringe Interesse sah das Gericht als gegeben an, da es um E-Mails ging, die 9 oder 10 Jahre alt seien und der Betroffene schon seit 9 Jahren nicht mehr für den Verantwortlichen tätig sei. Außerdem ginge es dem Betroffenen vor allem darum, Druck auf seinen alten Arbeitgeber auszuüben.

Fazit

Das Landgericht wendet hier das Kriterium der Unverhältnismäßigkeit an und stellt dabei das Informationsinteresse des Betroffenen gegenüber.

Damit ist nicht jedes Auskunftsbegehren automatisch zu erfüllen. Es sind aber strenge Kriterien anzulegen, wenn kein Auskunftsbegehren vorliegen soll. Hier war u.a. entscheidend, dass die Daten schon 9 Jahre alt waren und der Betroffene erst nach 9 Jahren überhaupt eine Auskunft begehrte. Schon der lange verstrichene Zeitraum ließ am Informationsinteresse zweifeln. Ebenso können die Kosten auf Seiten des Verantwortlichen ein Kriterium sein, welches angeführt werden kann. Aber auch hier ist auf die Möglichkeiten des Verantwortlichen abzustellen. Für ein kleines Unternehmen kann es aufgrund der Kosten unverhältnismäßig sein. Dies muss nicht unbedingt für einen Großkonzern gelten, zumal der Verantwortliche nach Art. 12 DSGVO entsprechende Maßnahmen vorhalten soll, um Auskunftsbegehren nachkommen zu können. Dies kann beispielsweise in der Beschaffung entsprechender Software bestehen, wonach der Verantwortliche nach Art. 25 DSGVO verpflichtet ist.

Es bleibt festzuhalten, dass das Landgericht hier ausdrücklich ein Auskunftsbegehren als unverhältnismäßig ansieht. Es bleibt abzuwarten, ob dieses Beispiel Schule macht.