Wenn ein Arbeitsverhältnis endet, geht das in der Regel ohne größere Probleme vonstatten. In manchen Fällen kann es jedoch – bspw. aufgrund einer arbeitgeberseitigen Kündigung – zu Streitigkeiten und letztlich zu einem arbeitsgerichtlichen Prozess kommen.
Spitzfindige und datenschutzkundige Rechtsanwälte oder Arbeitnehmer machen in solchen Fällen neben den arbeitsrechtlichen Ansprüchen auch datenschutzrechtliche Ansprüche geltend. Der Klassiker ist erfahrungsgemäß das Stellen eines Auskunftsersuchens inklusive Kopien der personenbezogenen Daten nach Art. 15 Abs. 1 und Abs. 3 DSGVO. Der Beweggrund für die Geltendmachung des Auskunftsersuchens kann von vielfältigen Motiven geprägt sein: So kann bspw. zusätzlich der (ehemalige) Arbeitgeber unter Druck gesetzt werden oder der (ehemalige) Mitarbeiter erhält eine „erweiterte“ Auskunft über seine personenbezogenen Daten.
Doch in vielen Fällen ist ein solches Auskunftsersuchen mit einigen Fallstricken verbunden. Der nachfolgende Blogbeitrag behandelt einige mögliche Problemkonstellationen bei Auskunftsersuchen von (ehemaligen) Mitarbeitern.
1. Eingang eines Auskunftsersuchens durch einen Rechtsanwalt ohne Vollmacht
Es kann immer wieder vorkommen, dass im Rahmen eines anwaltlichen Schriftsatzes neben den arbeitsrechtlichen Ansprüchen auch Betroffenenrechte – insbesondere das Auskunftsrecht nach Art. 15 DSGVO – geltend gemacht werden. Oftmals reicht der Anwalt keine Vollmacht mit ein oder das Vorliegen einer Vollmacht liegt gänzlich für die Geltendmachung sämtlicher Ansprüche nicht vor, d. h. arbeitsrechtliche und datenschutzrechtliche Ansprüche, und wird lediglich anwaltlich versichert.
Auch wenn die anwaltliche Versicherung eine große Gewichtung besitzt, empfiehlt es sich, für die Geltendmachung von höchstpersönlichen Rechten aus der DSGVO eine Vollmacht speziell für diese Geltendmachung von Betroffenenrechten vorlegen zu lassen (siehe auch Tätigkeitsbericht 2022 des BayLDA, S. 29 f.). So kann im Zweifel nachgewiesen werden, dass die Beauskunftung gegenüber dem Anwalt auch tatsächlich dem Willen der betroffenen Person entspricht.
2. Fristsetzung durch einen Rechtsanwalt
In vielen Fällen setzen Rechtsanwälte eine Frist bis wann die Gegenseite auf die Forderungen zu reagieren hat. Manchmal kann es vorkommen, dass diese Frist nicht mit der Frist aus Art. 12 Abs. 3 S. 1 DSGVO übereinstimmt. Es empfiehlt sich in diesen Fällen die gesetzlich vorgesehene Monatsfrist aus der DSGVO einzuhalten.
Um Fragen oder „Mahnungen“ – insbesondere bei einer kürzeren Frist – durch den gegnerischen Rechtsanwalt zu vermeiden, empfiehlt es sich, diesen auf die gesetzlich normierte Monatsfrist gem. Art. 12 Abs. 3 S. 1 DSGVO hinzuweisen.
3. Erforderlichkeit der Herausgabe sämtlicher Unterlagen als Kopie gem. Art. 15 Abs. 3 DSGVO
Darüber hinaus stellt sich außerdem die Frage, welche Unterlagen, die personenbezogene Daten des Mitarbeiters enthalten bzw. diesen thematisch behandeln, nun an die betroffene Person herausgegeben werden müssen. Bei (ehemaligen) Mitarbeitern sind das in der Regel unzählige Unterlagen und Dokumente. Das Zusammentragen, das Anfertigen und die Sichtung der Kopien sind – vor allem bei langjährigen Mitarbeitern – häufig mit einem hohen Arbeitsaufwand verbunden.
Was alles unter den Begriff der Kopie fallen kann, haben wir bereits in der Vergangenheit in Blogbeiträgen behandelt (wir berichteten). Die herauszugebenden Kopien können aber unter Umständen Daten beinhalten, die sich im Rahmen eines arbeitsgerichtlichen Prozesses negativ auswirken können.
Diese Problematik wurde in einem Beitrag der Zeitschrift für Datenschutzrecht (ZD 2025, 137, Grenzen der Auskunft, beck-online) anschaulich thematisiert. Die Herausgabe von Dokumenten, die sich bei einem (drohenden) zivilprozessualen Verfahren negativ auswirken können, kann im Einzelfall gem. Art. 15 Abs. 4 DSGVO verweigert werden. Demnach darf nichts nach Art. 15 DSGVO beauskunftet werden, wodurch die Rechte und Freiheiten Dritter beeinträchtigt werden. Als „andere Person“ zählt auch der Verantwortliche. Aus dem Erwägungsgrund 63 ergibt sich zudem, dass Geschäftsgeheimnisse zu den schützenswerten Rechten und Freiheiten nach Art. 15 Abs. 4 DSGVO zählen. Die Prozessstrategie lässt sich vertretbar als Geschäftsgeheimnis einordnen. Für das Auskunftsrecht nach Art. 15 DSGVO bedeutet das wiederum, dass es dahingehend beschränkt werden kann, wenn wahrscheinliche und schwerwiegende Risiken für den Verantwortlichen bestehen. In der Regel dürften das Informationen sein, für die die auskunftsersuchende Person darlegungs- und beweispflichtig ist. Dies würde darüber hinaus auch der Selbstbelastungsfreiheit widersprechen. Es muss aber stets darauf geachtet werden, dass der betroffenen Person die Auskunft nicht vollkommen verweigert wird und dass eine Abwägung der berechtigten Interessen im Einzelfall stattgefunden hat.
Kurz gesagt: Eine Nichtbeauskunftung der Dokumente sollte nicht pauschal auf Art. 15 Abs. 4 DSGVO gestützt werden. Es bedarf einer einzelfallbezogenen Betrachtung und Abwägung (siehe ZD 2025, 137, Grenzen der Auskunft, beck-online, S. 139).
4. Übermittlung des Auskunftsersuchens
Bei der Übermittlung des Auskunftsersuchens sollte der Verantwortliche nach Art. 5 Abs. 2 DSGVO in Verbindung mit Art. 32 DSGVO darauf achten, dass ein sicherer Übermittlungsweg gewählt wird. In der Praxis kann es immer wieder vorkommen, dass die betroffene Person die Übermittlung ihrer personenbezogenen Daten auf SharePoint oder andere Plattformen wünscht. Obwohl sich aus Art. 12 Abs. 3 S. 4 DSGVO und Art. 15 Abs. 3 S. 3 DSGVO ergibt, dass die von der betroffenen Person gewählte Übermittlungsform im Rahmen des Auskunftsersuchens verwendet werden soll, sollte hierbei dennoch darauf geachtet werden, dass es sich um einen sicheren Übermittlungsweg handelt. Kann dies nicht gewährleistet werden, empfiehlt es sich an die betroffene Person mit einer Bitte heranzutreten, einen anderen Übermittlungsweg zu wählen.
Fazit
Das Auskunftsersuchen nach Art. 15 DSGVO ist eines der am häufigsten gestellten Betroffenenrechte in der Praxis und kann wegen seiner Komplexität mit vielen Fallstricken verbunden sein. Verantwortliche sollten daher eine solche Anfrage nicht auf die leichte Schulter nehmen, sondern sich hierzu eng mit ihren Datenschutzbeauftragten abstimmen. Vor allem, wenn ein arbeitsgerichtlicher Prozess im Raum steht, empfiehlt es sich umso mehr, das Auskunftsersuchen so zu beantworten, dass die Anforderungen aus der DSGVO eingehalten werden, aber dennoch nichts prozessual Nachteiliges für die Verantwortlichen beauskunftet wird.
6. Mai 2025 @ 14:34
Gut gedacht ist halt noch lange nicht gut gemacht. Dass sich die EU mit der textschweren, aber unzulänglichen DSGVO in Teilen einen Bärendienst erwiesen hat, beweist der Art. 15 perfekt. Kein anderer Artikel lädt derart zum Fehlgebrauch ein wie dieser. Normen sollen für die Rechtsanwender verständlich und anwendbar sein. Schade, dass es weder dem Verordnungsgeber noch seinen nachgelagerten Institutionen gelingt, so einen Zustand herzustellen. Solange Art. 15 nicht vernünftig eingeschränkt wird, bleibt er ein Fest für alle mit Missbrauchsinteresse und die Beraterindustrie. Das ist schlecht für den Datenschutz. Das ist auch schlecht für die EU als Institution. Es ist eine Übertreibung, die als Reflex ihre gegensätzlichen Übertreibungen gebiert. Das drückt sich dann in einer Ablehnung des Datenschutzes als solchem aus. Und in Ablehnung der EU als Institution. Schade! Mit mehr Augenmaß wäre das nicht nötig.
9. Mai 2025 @ 9:14
Das Auskunftsrecht mag manchmal missbräuchlich beabsichtigt sein; doch mit dem Auschließen von Beeinträchtigungen Dritter ist meistens ein brauchbares Ventil vorhanden, das einzuhegen. Ganz im Gegenteil eröffnet das Auskunftsrecht oft erst die Möglichkeit, unzulässige Verarbeitungen abzustellen, indem man sie entdeckt bzw. Differenzen mit der Wirklichkeit erkennen kann. Art. 15 gilt auch für Datenkraken (und öffentlichen Stellen), deren Datennutzung man sonst als betroffene Person schwer beikommen könnte. Im Beschäftigtenbereich wird nicht immer alles sauber sein; der Ausschluss von Betroffenenrechten wäre ein Freifahrschein.
D., der bisher immer (zulässig) vermeiden konnte, Munition für Angriffe zu liefern. Die Herausforderung ist eher, komplexen Datenverteilungen nachzuspüren.