Datenschutzauskunft: Welche Informationen muss ich herausgeben?

Wann hat Sie das letzte Mal ein Betroffener über die Herausgabe der durch Sie verarbeiteten personenbezogenen Daten gebeten?

Immer häufiger ist Betroffenen bewusst, dass sie im Rahmen der Datenschutzgrundverordnung (DSGVO) neue Rechte erhalten haben, um ihre personenbezogenen Daten effektiv zu Schützen.

Gemäß Artikel 15(1) DSGVO haben betroffene Personen ein Recht auf Datenschutzauskunft: Auskunft darüber, welche ihrer personenbezogenen Daten ein Verantwortlicher verarbeitet. Das Datenschutzauskunftsrecht ist damit ein Kernelement der DSGVO, zur Erfüllung der Transparenzpflichten der Verantwortlichen.

Es schützt besonders die Betroffenen und erfreut sich mittlerweile auch zunehmend im Arbeitsverhältnis immer größerer Beliebtheit. Aus unserer Praxis wissen wir, dass immer mehr Arbeitnehmer das Datenauskunftsrecht nutzen, um von ihrem Arbeitgeber Auskünfte darüber zu erhalten, welche personenbezogenen Daten von ihm im Rahmen des Arbeitsverhältnisses verarbeitet werden oder verarbeitet wurden.

Wir werden daher oft gefragt, welche und besonders in welchem Umfang Informationen zur Beantwortung des Auskunftsersuchens durch (ehemalige) Arbeitnehmer vom Arbeitgeber herausgegeben werden müssen.

Definition von personenbezogenen Daten

Dabei stellt sich zum einen die Frage, welche Informationen im Begriff der „personenbezogenen Daten“ gefasst sind und somit Teil der Auskunft durch den Arbeitgeber sind. Zusätzlich ist bei jedem Auskunftsersuchen zu klären, in welcher Form und in welchem Umfang die Informationen herausgegeben werden dürfen. Denn Artikel 15(3) DSGVO sieht vor, dass betroffene Personen auch eine Kopie ihrer personenbezogenen Daten erhalten sollen, die Gegenstand der Verarbeitung sind.

Beispielsweise ist zu klären, ob vollständige Kopien von Akten angefertigt und herausgegeben werden müssen. Wie ist mit dem Schutz der Rechte Dritter oder dem Schutz von Geschäftsgeheimnisse umzugehen?

Zwar betrifft der datenschutzrechtliche Auskunftsanspruch nach dem Wortlaut von Artikel 15(1) DSGVO eine Auskunftserteilung über die personenbezogenen Daten, die vom Arbeitgeber verarbeitet werden (Gegenstand der Verarbeitung). Das bedeutet aber nicht regelmäßig die Herausgabe von allen Dokumenten, E-Mails, Bildern, Bewertungen etc., in denen bspw. der Name der betroffenen Person oder eventuelle weitere Informationen über diese Person enthalten sind.

Es bedarf also keiner 1:1-Kopie jedes Dokuments in dem bspw. der Name oder die E-Mail-Adresse der Betroffenen Person auftaucht (vgl. LG Köln Az. 26 O 25/18 und EuGH Rs. C-372/12).

Das Auskunftsrecht gemäß Artikel 15 DSGVO stellt u.E. nach keinen begründeten allgemeinen Ansprüche auf Kopien von sämtlichen Dokumenten oder Akten, die personenbezogene Daten von Betroffenen beinhalten, dar.

Umgang mit Behörden

Um den von den Datenschutzaufsichtsbehörden aufgestellten Anforderungen an das Auskunftsersuchen nachzukommen, empfehlen wir die Umsetzung des Auskunftsersuchens in einem gestaffelten Prozess.

Bei einem gestaffelten Prozess erhalten die Auskunftssuchenden (Mitarbeiter) nach dem Stellen eines Auskunftsantrags zunächst die in Artikel 15(1) DSGVO genannten Angaben. Darüber hinaus wird Ihnen eine Kopie mit einem erweiterten Stammdatensatz mit den wesentlichen relevanten Informationen, die Gegenstand der Verarbeitung sind, zur Verfügung gestellt.

Gerne unterstützen wir Sie bei der Umsetzung der Anforderungen gemäß Artikel 15 DSGVO. Bspw. können Sie Mitarbeitern Zugang zu speziell organisierten Informationssystemen geben, aus denen sie selbst entsprechende personenbezogene Daten abrufen können.