Auch nach einer Entscheidung des BAG zu dem Recht auf Datenkopie bleibt offen, welche Dokumente Arbeitgeber (ehemaligen) Beschäftigten bereitstellen müssen.
Das BAG entschied am 27. April 2021 (2 AZR 342/20) über den Auskunftsanspruch eines ehemaligen Beschäftigten* gegenüber seinem Arbeitgeber. Eingeklagt war eine Kopie des gesamten E-Mail-Verkehrs, den der Kläger selbst geführt hatte oder in dem er bezeichnet wurde. Laut Pressemitteilung wies das BAG die Klage wegen eines prozessualen Fehlers ab. Die Entscheidung belässt erhebliche Rechtsunsicherheit bei Arbeitgebern, die sich zunehmend gegen derartige Ansprüche verteidigen müssen.
Reichweite des Anspruchs auf Datenkopie streitig
Die DSGVO gewährt Beschäftigten umfassende Informationsrechte gegenüber ihrem Arbeitgeber. Relevant werden sie häufig, wenn gekündigte Beschäftigte sich in arbeitsrechtlichen Auseinandersetzungen mit ihrem bisherigen Arbeitgeber befinden.
Nach Art. 15 Abs. 1 Hs. 2 DSGVO haben betroffene Personen ein „Recht auf Auskunft″ über personenbezogenen Daten, die sie betreffen und die der Verantwortliche als Anspruchsschuldner verarbeitet. Zudem können die Betroffenen Metadaten etwa über „Kategorien verarbeiteter, personenbezogener Daten″ und „Empfänger oder Kategorien von Empfängern″, gegenüber denen der Verantwortliche die Daten offenlegte, verlangen.
Daneben gewährt Art. 15 Abs. 3 DSGVO dem Beschäftigten ein sog. „Recht auf Datenkopie″: Der Beschäftigte muss eine „Kopie der personenbezogenen Daten″ erhalten, die „Gegenstand der Verarbeitung sind″.
Streitig ist, ob das Recht auf Datenkopie inhaltlich begrenzt ist. Nach einer Ansicht ist dieses Recht ein eigenständiger Anspruch. Der Verantwortliche müsse grundsätzlich alle von ihm oder in seinem Auftrag verarbeiteten personenbezogenen Daten in der vorliegenden Rohfassung als Kopie übermitteln. Im Arbeitsverhältnis erfasse das alle elektronisch verarbeiteten Arbeitszeitnachweise, Entgeltunterlagen, Lohnkonten sowie den Beschäftigten betreffende E-Mails. Entgegenstehende Rechte Dritter – wie weitere Teilnehmer am E-Mail-Verkehr – seien durch Schwärzungen zu wahren (Art. 15 Abs. 4 DSGVO), schlössen aber den Anspruch auf Datenkopie nicht per se aus.
Diese weite Auffassung kann erheblichen Aufwand auf Arbeitgeberseite generieren, man denke nur an den E-Mailverkehr eines langjährigen Beschäftigten. Daher werden verschiedene Ansatzpunkte diskutiert, um den Anspruch einzuschränken, etwa mit Blick auf den Zweck des Auskunftsrechts („Übersicht über Verarbeitung″, insb. zur Geltendmachung weiterer Rechte) oder den Wortlaut von Art. 15 Abs. 3 DSGVO (nur Unterlagen, die „Gegenstand der Verarbeitung″ sind) oder eine Verknüpfung des Anspruchs auf Datenkopie mit dem Auskunftsrecht aus Art. 15 Abs. 1 DSGVO und insbesondere den in Hs. 2 lit. a – h aufgezählten Metadaten. Eine Auskunft sei demnach schon rechtmäßig, wenn der Betroffene nur zu diesen Metadaten Kopien erhalte.
Die Rechtsprechung der Arbeits- und Landesarbeitsgerichte ist uneinheitlich in dieser Frage.
LAG Niedersachsen: Anspruch auf Datenkopie erfasst keine Kopie ganzer Datensätze
Das BAG hatte über den Anspruch eines Wirtschaftsjuristen zu entscheiden, dessen Arbeitgeber das Arbeitsverhältnis bereits im ersten Monat der Probezeit gekündigt hatte. Im Rahmen des Kündigungsschutzprozesses verlangte der Beschäftigte über Art. 15 Abs. 3 DSGVO Kopien sämtlicher E-Mails, die er selbst versendet bzw. empfangen hatte oder in denen er namentlich genannt wurde.
Das Landesarbeitsgericht verurteilte den Arbeitgeber nur, diejenigen Kopien herauszugeben, die „Gegenstand der Verarbeitung″ nach Art. 15 Abs. 1 DSGVO sind (LAG Niedersachsen, Urteil v. 9. Juni 2020 – 9 Sa 608/19). Nicht mehr vom Anspruch auf Datenkopie gedeckt sei die Überlassung gesamter Inhalte (zB von Personalakten). Es begründete indes nicht, wie es die Grenze ziehen wollte zu personenbezogenen Daten, die kein „Gegenstand einer Verarbeitung″ sind, obwohl sie der Arbeitgeber speichert und damit verarbeitet.
Ganze Datensätze könne der Kläger aus zwei Gründen nicht herausverlangen:
- Zum einen sah das LAG den Anspruch begrenzt auf Datenkopien, die einen „gewisse[n] Grad an Aussagekraft″ über den Beschäftigten hätten. Dieses Verständnis ergebe sich aus Erwägungsgrund 63 der DSGVO. Danach kann der Verantwortliche bei einer großen Menge personenbezogener Daten zunächst eine Präzisierung von der betroffenen Person verlangen, auf welche Information sich ihr Auskunftsersuchen bezieht.
- Zum anderen beschränke sich der Anspruch auf Datenkopie auf solche Dokumente, die der betroffenen Person nicht bereits vorlägen. E-Mail-Verkehr, den der Beschäftigte selbst geführt oder erhalten habe, sei ihm bekannt. Der Zweck des Art. 15 DSGVO – dem Beschäftigten eine Überprüfung der Datenverarbeitung zu ermöglichen – gebiete keinen weitergehenden Anspruchsinhalt.
Das Landesarbeitsgericht verurteilte den Arbeitgeber, Kopien zu erteilen, soweit der Auskunftsanspruch aus Art. 15 Abs. 1 DSGVO reiche. Es wies aber die Klage ab, soweit der Beschäftigte Kopien seines E-Mail-Verkehrs gefordert hatte. Gegen diese teilweise Klageabweisung legte der Beschäftigte Revision ein und verlangte weiter Kopien seines E-Mail-Verkehrs sowie der E-Mails, die ihn namentlich erwähnten.
BAG entzieht sich der Entscheidung zur Reichweite des Anspruchs auf Datenkopie wegen eines unbestimmten Klageantrags
Die Revision des Beschäftigten vor dem BAG blieb erfolglos. Die Entscheidungsgründe veröffentlichte das BAG bisher nicht, teilte aber mit, es habe den Anspruch aus prozessualen Gründen abgelehnt. Die Forderung des Klägers, eine Kopie „sämtlicher″ E-Mails herauszugeben, verfehle die prozessuale Pflicht, einen hinreichend bestimmten Klageantrag zu stellen. Der Klageantrag müsse so detailliert sein, dass im Vollstreckungsverfahren kein Interpretationsspielraum bleibe, auf welche E-Mails genau sich die Verurteilung beziehe.
Könne ein Kläger die Reichweite seines Anspruchs auf Datenkopie nicht hinreichend bestimmen, bleibe ihm die Stufenklage nach § 254 ZPO. Diesen Weg habe der Kläger nicht beschritten.
Wegen des prozessualen Fehlers musste das BAG sich nicht zur Reichweite des materiellen Auskunftsanspruchs positionieren. Ebenso wenig musste es dem EuGH eine Vorlagefrage stellen. Die Frage wäre notwendig gewesen, wenn es Zweifel bei der Auslegung der DSGVO gehabt hätte.
Weiterhin offen: Auskunftsanspruch für Stufenklage aus Art. 15 Abs. 1 DSGVO oder eigenständiger Informationsanspruch?
Die Kernfrage der Entscheidung – wie weit reicht der Anspruch auf Datenkopie? – bleibt damit auch nach einer zweiten Befassung des BAG mit der Konstellation offen. Einen vorangegangenen, vergleichbaren Fall hatten die Parteien in der Revisionsinstanz durch außergerichtlichen Vergleich erledigt.
Die getroffene prozessuale Entscheidung verschiebt das Problem nur in die Zukunft, statt es endgültig zu klären. Beschäftigte werden die Grundsätze des BAG umsetzen und Arbeitgeber zukünftig per Stufenklage zu Datenkopien auffordern. Die erste Stufe wäre die Auskunftserteilung über alle beim Arbeitgeber vorhandenen personenbezogenen Daten des Beschäftigten, seien sie „Gegenstand einer Verarbeitung″ oder in „ganzen Datensätzen″ enthalten.
Für diesen Informationsanspruch bleibt auch nach der Entscheidung des BAG offen, ob er restriktiv zu verstehen und damit auf die Pflichtangaben aus Art. 15 Abs. 1 DSGVO begrenzt ist. Nach dieser Lesart könnte der Beschäftigte auch per Stufenklage keine umfassende Auskunft über vorhandene Datensätze beim Arbeitgeber verlangen. Folgte das BAG hingegen dem extensiveren Verständnis, wäre der eingeklagte Auskunftsanspruch isoliert auf Art. 15 Abs. 3 DSGVO bezogen und unterläge keinen inhaltlichen Schranken. Der Arbeitgeber schuldete zunächst eine umfassende, vollständige Liste der vorhandenen Datensätze, mit deren Hilfe der Beschäftigte seinen Anspruch auf Datenkopie präzisieren könnte – im Vergleich zu bisher sogar ein höherer Aufwand für Arbeitgeber.
Risiko einer falschen eidesstattlichen Versicherung
Auch in einem zweiten Punkt verlagerte das BAG ein Problem lediglich, statt es zu lösen: Oft verbinden Beschäftigte die Anforderung von Datenkopien mit der Ankündigung, bei Zweifeln an der Vollständigkeit oder Sorgfalt der Auskunft den Arbeitgeber zur Abgabe einer eidesstattlichen Versicherung aufzufordern, den Anspruch sorgfältig erfüllt zu haben. Sind Arbeitgeber juristische Personen, träfe die Pflicht zur Abgabe deren organschaftliche Vertreter. Eine falsche Versicherung an Eides statt ist strafbar (§ 156 StGB).
Mit seinem Verweis auf die Stufenklage, deren zweite Stufe regelmäßig der angekündigte Antrag auf Abgabe einer eidesstattlichen Versicherung ist, bestätigt das BAG den beschriebenen Weg. Solange der Anspruch auf Datenkopie bedeuten kann, sämtliche personenbezogenen Daten des gesamten Arbeitsverhältnisses in Kopie herausgeben müssen, bleibt für die gesetzlichen Vertreter die Gefahr einer falschen eidesstattlichen Versicherung real.
Fortbestehendes Risiko Bußgeld bei Nichterfüllung oder verspäteter datenschutzrechtlicher Auskunft
Der Anspruch auf Datenkopie ist fristgebunden (Art. 12 Abs. 3 DSGVO). Erfüllt der Arbeitgeber den Anspruch unvollständig, können Aufsichtsbehörden ein Bußgeld bis zu EUR 20,00 Millionen bzw. 4% des weltweiten Jahresumsatzes verhängen (Art. 83 Abs. 2, Abs. 5 lit. b DSGVO). Ohne geklärte Reichweite des Anspruchs belässt das BAG auch dieses Risiko bei Arbeitgebern als Verantwortlichen.
Fortbestehendes Risiko immaterieller Schadenersatz
Auch auf individualrechtlicher Seite bleibt ein Anspruch auf Datenkopie für Arbeitgeber riskant, solange dessen Reichweite ungeklärt ist: Für Datenschutzverstöße wie unvollständige Auskunftserteilung gewähren Arbeitsgerichte Beschäftigten immaterielle Schadenersatzansprüche (Art. 82 Abs. 1 DSGVO). Die Voraussetzungen für einen Anspruch sind gering; der Ersatzanspruch kann bis zu EUR 5.000,00 betragen.
Das BAG vertagt die Entscheidung, wie weit der Anspruch auf Datenkopie reicht. Da (ehemalige) Beschäftigte den Datenschutz zunehmend in arbeitsrechtlichen Auseinandersetzungen mit ihren bisherigen Arbeitgebern heranziehen, ist die nächste Revision zu Art. 15 Abs. 3 DSGVO nur eine Frage der Zeit. Bis dahin sind Arbeitgeber gut beraten, eine ordnungsgemäße Datenschutzorganisation vorzuhalten, mit der sie im Zweifel auch umfassend Datenkopien erteilen können.
*Gemeint sind Beschäftigte jeder Geschlechtsidentität. Lediglich der leichteren Lesbarkeit halber wird künftig bei allen Bezeichnungen nur noch die grammatikalisch männliche Form verwendet.
