Beschäftigten steht neben ihrem Recht, auf Antrag Einsicht in ihre Personalakte zu erhalten, zusätzlich ein selbstständiger, datenschutzrechtlicher Auskunftsanspruch zu, der seine Grundlage in Art. 15 der europäischen Datenschutz-Grundverordnung (DS-GVO) findet.
Mit Urteil vom 20.12.18 wurde einem Arbeitnehmer nun erstmalig dieser Auskunftsanspruch durch das Landesarbeitsgericht Baden-Württemberg zugesprochen.
Mit den Hintergründen zu dieser Entscheidung befasst sich unser Gründer Sascha Kremer in seinem Artikel „LAG: Mitarbeiter haben Auskunftsanspruch gegen Arbeitgeber“, der in der HR Performance 2/2019 erschienen ist. Wir haben die wichtigsten Punkte hier für Sie zusammengefasst.
Datenschutzrechtlicher Hintergrund
Auch im Rahmen eines Arbeitsverhältnisses werden personenbezogene Daten, zumindest zur Begründung, Durchführung und Beendigung des Beschäftigtenverhältnisses verarbeitet, wodurch jeder Mitarbeiter zu einer „betroffenen Person“ im Sinne von Art. 4 Nr. 1 DS-GVO wird. Den Arbeitgeber macht dies wiederum zum Verantwortlichen im datenschutzrechtlichen Sinne (Art. 4 Nr. 7 DS-GVO). Er muss also sämtliche Pflichten der DS-GVO erfüllen; insbesondere zählt hierzu die Beachtung der Rechte der betroffenen Personen. Dies äußert sich sowohl in einer detaillierten Informationspflicht des Arbeitgebers gegenüber seinen Mitarbeitern über die Art und Weise der Verarbeitung ihrer Daten, in einer Löschungspflicht bezüglich der Mitarbeiterdaten, sobald diese nicht mehr vom Arbeitgeber benötigt werden und in der Verpflichtung, den Beschäftigten Auskunft über deren gespeicherten personenbezogenen Daten zu geben.
Neu hinzugetreten ist der Anspruch des Arbeitnehmers auf Herausgabe der Kopie seiner Daten, wozu das LAG den beklagten Arbeitgeber im vergangenen Dezember veruteilte.
Das Problem bezüglich des Anspruchs auf Herausgabe einer Datenkopie
Ungeklärt bezüglich des Anspruchs auf Herausgabe einer Datenkopie ist allerdings, wie weit dieser Anspruch reicht, insbesondere ob lediglich eine Kopie der personenbezogenen Daten oder aber eine Kopie alle Dokumente herauszugeben ist, in denen sich die personenbezogenen Daten befindet.
Insbesondere im letzteren Fall kann es vorkommen, dass sich in der Datenkopie auch Daten über andere Mitarbeiter oder Informationen über Geschäftsgeheimnisse befinden. Gemäß Art. 15 Abs. 4 DS-GVO ist aber der Anspruch an der Stelle ausgeschlossen, wo durch die Herausgabe der Daten auch die Rechte anderer Personen beeinträchtigt werden. Der Auskunftsanspruch gilt folglich nicht uneingeschränkt.
Auch in dieser Hinsicht ist weiterhin umstritten, ob der Arbeitgeber die Herausgabe in diesem Fall verweigern kann oder ob lediglich Passagen zu schwärzen sind, die Rechte Dritter verletzen könnten, was zu einer erheblichen Rechtsunsicherheit bei Arbeitgebern führt.
Pflicht zur Identitätsprüfung
Will ein (ehemaliger) Mitarbeiter den Auskunftsanspruch über seine private E-Mail-Adresse geltend machen, und dem Arbeitgeber ist diese nicht bereits bekannt, muss vor Herausgabe der Datenkopie eine Identitätsfeststellung erfolgen. Wie dieser Identitätsnachweis zu erbringen ist, obliegt dabei dem (ehemaligen) Arbeitnehmer.
Frist für die Auskunft
Die Auskunftserteilung muss binnen eines Monats nach Antragstellung erfolgen. Verlängerungen dieser Frist sind nur zulässig, soweit der Arbeitgeber aufgrund einer Vielzahl gleichzeitiger eingegangener Auskunftsansprüche nicht in der Lage ist, sie rechtzeitig zu bearbeiten.
Empfehlungen für Arbeitgeber
Um sicherzustellen, dass die Beschäftigten über Art und Umfang der Datenverarbeitung informiert sind, können sich Arbeitgeber entsprechender Muster bedienen (zB von Branchenverbänden), die den Mitarbeitern zur Verfügung gestellt und auf den individuellen Sachverhalt angepasst werden können.
Zudem sollte ein Prozess erarbeitet werden, mit dem die termingerechte Bearbeitung von Anfragen der Mitarbeiter gewährleistet werden kann und in den neben der Personalabteilung auch ein Datenschutzbeauftragter einbezogen wird. Hierbei muss darauf geachtet werden, dass dies nicht mit der Überwachungsfunktion des Datenschutzbeauftragten aus Art. 39 Abs. 1 lit. b) DS-GVO kollidiert. Dies wäre der Fall, wenn der Datenschutzbeauftragte den Prozess allein verantworten müsste.
Um der Gefahr einer zu umfänglichen und damit ggf. datenschutzwidrigen Auskunftserteilung zu entgehen, muss außerdem in der Personalakte und etwaigen anderen Datensammlungen über Beschäftigte eine Differenzierung zwischen den Daten möglich sein, die zu beauskunften sind und solchen, die wegen kollidierender Rechte anderer Personen nicht beauskunftet werden dürfen.
Haben Sie noch Fragen? Unsere Ansprechpartner finden Sie hier.
Zum Originalbeitrag gelangen Sie hier: LAG Mitarbeiter haben Auskunftsanspruch gegen Arbeitgeber