Auskunftsanspruch gemäß Art. 15 DS-GVO: „DS-GVO-Hopping“ als rechtsmissbräuchlicher, neuer Trend?

Auf den ersten Blick mag der in der Datenschutz-Grundverordnung (DS-GVO) enthaltene datenschutzrechtliche Auskunftsanspruch gemäß Art. 15 DS-GVO eher harmlos und unbedeutend erscheinen. Erst auf den zweiten Blick erschließt sich seine vollständige, nicht zu unterschätzende Tragweite. Insbesondere die europäische Rechtsprechung hat in den vergangenen Monaten den Inhalt und die Auslegung des Anspruchs deutlich verschärft. Was dies im Einzelnen für Arbeitgeber bedeutet, und auch die Frage, ob der Auskunftsanspruch nicht zunehmend rechtsmissbräuchlich genutzt wird, soll in diesem Beitrag näher erläutert werden.

Betroffene Personen haben gemäß Art. 15 Abs. 1, Abs. 3 DS-GVO einen Anspruch auf Auskunft bzw. Erteilung einer Kopie bezüglich ihrer verarbeiteten personenbezogenen Daten. Dieser Anspruch kann gegen jeden im Sinne der DS-GVO Verantwortlichen gerichtet werden. Inhaltlich bezieht er sich darauf, ob überhaupt personenbezogene Daten der betroffenen Person verarbeitet werden, und falls ja, welche konkreten Daten dies sind. Auch im Arbeitsverhältnis entfaltet dieser Anspruch Wirkung zwischen Arbeitgeber und Arbeitnehmer.

Wie dem Erwägungsgrund 63 S. 1 zur DS-GVO zu entnehmen ist, besteht der eigentliche Sinn und Zweck dieses datenschutzrechtlichen Auskunftsanspruchs darin, den Betroffenen in die Lage zu versetzen, sich der Verarbeitung seiner personenbezogenen Daten bewusst zu werden und diese auf Rechtmäßigkeit überprüfen zu können. Es soll Transparenz hergestellt werden im Rahmen der personenbezogenen Datenverarbeitung, und die Geltendmachung weiterführender Datenschutzrechte (z.B. Berichtigung, Löschung, etc.) erleichtert werden, vgl. Art. 12 Abs. 1, Abs. 2 DS-GVO.

Für die Geltendmachung des Anspruchs muss derzeit weder eine bestimmte Form eingehalten noch eine Begründung angeführt werden.

Im Falle der Geltendmachung muss der Arbeitgeber diesem Anspruch unverzüglich, spätestens binnen Monatsfrist entsprechen, ansonsten drohen Bußgelder oder Schadensersatzansprüche. Eine Verlängerung dieser Frist ist nur einmalig, lediglich um zwei Monate, und auch nur bei besonderer Komplexität oder bei einer Vielzahl an eingegangenen Anträgen möglich (Art. 12 Abs. 3 S. 2 DS-GVO). Hierüber muss der Arbeitgeber den Mitarbeiter aber innerhalb eines Monats nach Antragseingang unterrichten. Die gesetzlichen Fristen sind nicht verlängerbar und können den Arbeitgeber schnell in Zeitnot bringen.

Infolge der jüngsten Rechtsprechung auf EU-Ebene ist eine drohende Fehlentwicklung dieses Anspruchs festzustellen. Die Entscheidungen des EuGH lassen den Schluss zu, Mitarbeitenden (auch ehemaligen) sei nunmehr Tür und Tor zum pauschalen Auskunftsverlangen gegenüber ihrem (ehemaligen) Arbeitgeber ohne Angabe bestimmter Gründe geöffnet. Dieser Schluss entspricht nach unserer Auffassung aber gerade nicht dem Sinn und Zweck der DS-GVO.

Hervorzuheben ist, dass sich das EuGH-Urteil vom 26.10.2023 nicht auf ein Arbeitsverhältnis bezog, sondern auf personenbezogene Daten aus einer Patientenakte im Rahmen eines Arzt-Patienten-Verhältnisses. Die beiden Rechtsverhältnisse unterscheiden sich jedoch eklatant voneinander. So ist ein Arzt-Patienten-Verhältnis regelmäßig von deutlich kürzerer Dauer als ein Arbeitsverhältnis, welches im besten Fall viele Jahr(zehnt)e andauert und hierdurch auch wesentlich mehr Daten entstehen als in einer Patientenakte. Der jeweilige Umfang des Auskunftsanspruchs kann daher grundsätzlich nicht miteinander verglichen und auch nicht einheitlich bewertet werden.

Ein Auskunftsverlangen im Sinne von Art. 15 DS-GVO beinhaltet, dass der Verantwortliche Auskunft über jedwedes personenbezogene Datum erteilt, welches er über den Betroffenen gesammelt hat. In einem Arbeitsverhältnis sind das nicht nur sog. Stammdaten, sondern darüber hinaus z.B. auch jegliche User-Login-Daten, E-Mail-Verläufe, die den Namen des betreffenden Mitarbeiters enthalten, und viele weitere Daten. Geht man beispielsweise von einem Arbeitsverhältnis mit einer Dauer von fünf Jahren aus, so wären vermutlich alleine E-Mails durchschnittlich im fünfstelligen Bereich angesammelt worden.

Dem Arbeitgeber verbleibt zwar die Möglichkeit, Geschäftsgeheimnisse oder andere Personen betreffende Daten zu schwärzen. In Anbetracht der in jedem Unternehmen bestehenden enormen Datenberge stellt dies aber einen kaum mehr zu bewältigenden Aufwand und Ressourceneinsatz dar. Was unter „Kopie“ im Einzelnen zu verstehen ist, wird zudem kontrovers diskutiert, von der aktuellen Rechtsprechung aber sehr weit verstanden.

Die Erfahrung zeigt, dass Auskunftsberechtigte in vielen Konstellationen gar kein „echtes“ Interesse daran haben, über ihre beim Arbeitgeber verarbeiteten personenbezogenen Daten in dem beschriebenen Umfang informiert zu werden. Weder beabsichtigen sie in den meisten Fällen, diese Daten auf Rechtmäßigkeit zu überprüfen, noch weitergehende Datenschutzrechte auszuüben. Oftmals geht es dem Anspruchsteller hauptsächlich darum, eine bessere Verhandlungsposition (z.B. in arbeitsgerichtlichen Streitigkeiten) zu erzielen und der eigentliche Sinn und Zweck des Auskunftsanspruchs wird gerade nicht verfolgt.

Zwar wird der Anspruch durch Art. 12 Abs. 5 S. 2 DS-GVO für Fälle eines evidenten Missbrauchs eingeschränkt. Da die Gerichte bezüglich der Auskunftsanspruchs-Thematik bisher aber eher eine datenschutz-, d.h. arbeitnehmerfreundliche Sichtweise vertreten, wird das Vorliegen einer solchen Ausnahme von der aktuellen Rechtsprechung in den allermeisten Fällen (noch) verneint.

Werden Auskunftsansprüche geltend gemacht, sollten Unternehmen daher u.a. auch ihren Datenschutzbeauftragten sowie ihren IT-Experten beteiligen.

Richtig und wichtig ist, dass Arbeitgeber jeden Einzelfall sorgfältig prüfen und unter Heranziehung von Experten abwägen, ob und welche Grenze man umfangreichen, nicht konkretisierten Anträgen setzen kann. Vor allem zweckentfremdete und exzessive Auskunftsansprüche bedürfen einer sorgfältigen Überprüfung.

Die DS-GVO ist seit nunmehr sechs Jahren in Kraft. Aus diesem Anlass führte die Europäische Kommission Anfang des Jahres 2024 eine allgemeine Abfrage durch, um durch möglichst viele Rückmeldungen eine erste Bilanz zur bisherigen Anwendung der Verordnung ziehen zu können.

Im Februar 2024 hat auch die Bundesvereinigung der Deutschen Arbeitgeberverbände (BDA) eine Stellungnahme an die Europäische Kommission abgegeben und hierbei die Verbesserung des datenschutzrechtlichen Auskunftsanspruchs wie folgt vorgeschlagen: Sie kritisiert darin, dass die in Art. 12 DS-GVO geregelte Frist zur Auskunftserteilung zu kurz und eine mindestens dreimonatige Frist mit Verlängerungsoption eher angemessen sei. Zur Verhinderung einer rechtsmissbräuchlichen Geltendmachung sollte bei wiederholtem Auskunftsersuchen (ehemaliger Mitarbeiter) zudem ein Recht der Unternehmen zur Auskunftsverweigerung bestehen.

Ferner wies die BDA darauf hin, dass vor allem große Unternehmen, die unzählige Datenverarbeitungsprozesse automatisierter Art nutzen, durch die Anspruchsgeltendmachung vor einen unverhältnismäßig hohen bürokratischen Aufwand gestellt würden. Daher fordert sie, dass Anspruchsteller den Anspruch zukünftig konkretisieren müssen, damit ein Ausufern der Auskunftserteilung vermieden wird.

Auch führt die BDA die Idee an, bestimmte Datenkategorien vom Auskunftsanspruch herauszunehmen. Überhaupt keine Datenkopien sollten außerdem herausgegeben werden müssen, sobald die Datensätze auch Daten von Dritten enthalten.

Zur Erfüllung des Anspruchs könnte auch eine Übersicht genügen, in der die verarbeiteten Daten nachvollziehbar aufgelistet würden.

Darüber hinaus müsse verhindert werden, dass der Auskunftsanspruch für sachfremde Zwecke genutzt bzw. gar missbraucht wird, z.B. um in Kündigungsschutzverfahren eine (höhere) Abfindung zu verhandeln. Bislang sind die Hürden leider äußerst hoch, um das Vorliegen einer derartigen Rechtsmissbräuchlichkeit darlegen zu können. Art. 15 DS-GVO sollte demzufolge dahingehend geändert werden, dass das Auskunftsersuchen abgelehnt werden darf, wenn offenkundig datenschutzfremde Zwecke verfolgt werden. Dem Mitarbeiter steht dann immer noch die Möglichkeit offen, sich an die Datenschutzaufsichtsbehörde zu wenden; er wird daher nicht schutzlos gestellt.

Die Thematik weist eine hohe Vergleichbarkeit mit dem sog. „AGG-Hopping“ auf. Charakterisierend für „AGG-Hopper“ ist, dass diese mit ihren Bewerbungen nicht das Ziel verfolgen, tat-sächlich einen bestimmten Job zu erhalten und ausüben zu können, sondern nach einer einkalkulierten bzw. erwarteten Bewerbungsabsage eine Entschädigung aufgrund eines behaupteten Verstoßes gegen das Diskriminierungsverbot gemäß § 15 AGG geltend zu machen.

Da es diesen „Scheinbewerbern“ in einem solchen Fall nicht um die konkrete Stelle geht, fehlt ihren Bewerbungen in der Regel die Ernsthaftigkeit. Dem Entschädigungsanspruch kann nach der Rechtsprechung dann – je nach konkretem Einzelfall – der Einwand des Rechtsmissbrauchs bzw. der Verstoß gegen Treu und Glauben gemäß § 242 BGB entgegengehalten werden. Unter Umständen kann das Vorgehen des „AGG-Hoppings“ sogar einen strafrechtlich relevanten (Prozess-)Betrug darstellen.

Diese Vorgehensweise ähnelt einer großen Anzahl der Auskunftsanspruchsbegehren. Vor allem in Kündigungsschutzverfahren geht es den (ehemaligen) Mitarbeitern in der Regel nicht um eine umfassende Kenntnis ihrer personenbezogenen Daten; vielmehr wollen sie mittels des Auskunftsanspruchs eine bessere Verhandlungsposition erreichen. Es mangelt also hier an der Ernsthaftigkeit des Auskunftsverlangens. Es werden vorrangig datenschutzfremde Zwecke verfolgt, was auf eine rechtsmissbräuchliche Geltendmachung schließen lässt.

Eine weitere Vergleichbarkeit ist insofern gegeben, als die jeweiligen Ansprüche relativ einfach geltend gemacht werden können: So müssen „AGG-Hopper“ gemäß § 22 AGG lediglich Indizien vortragen, die auf eine Diskriminierung schließen lassen. Ihnen kommt hierdurch eine erleichtere Beweislast zugute. Auch „DS-GVO-Hopper“ müssen nach aktueller Rechtslage weder bestimmte Gründe für die Geltendmachung des datenschutzrechtlichen Auskunftsanspruchs anführen noch den Anspruch näher konkretisieren.

Aufgrund der vergleichbaren Situation ist somit zu fordern, dass auch dem datenschutzrechtlichen Auskunftsanspruch der Rechtsmissbrauch als anspruchsausschließender Einwand effektiver entgegengehalten werden können muss, um eine Uferlosigkeit des Anspruchs zu vermeiden und diesen verhältnismäßig eingrenzen bzw. eindämmen zu können.

Wie die vorstehenden Ausführungen zeigen, kann die aktuelle Rechtslage zu einer unverhältnismäßigen Belastung der in Anspruch genommenen Unternehmen führen. Die Herausgabe einer Kopie eines jeden Dokuments, das z.B. den Namen der berechtigten Person enthält, ist in der Praxis weder umsetzbar noch durch die Zwecksetzung der DS-GVO gerechtfertigt.

Der Auskunftsanspruch darf insbesondere nicht zu einem Unterlaufen der zivilprozessualen Beweislastregeln führen und als Ausforschungsbeweis missbraucht und zweckentfremdet werden. Im deutschen Zivilprozessrecht muss derjenige, der einen Anspruch geltend macht, diesen auch darlegen und beweisen; es erfolgt gerade keine Sachverhaltsermittlung von Amts wegen. Ausforschungsbeweisantritte sind nicht zulässig und dieser Grundsatz darf nicht durch eine unbegrenzte Geltendmachung des Auskunftsanspruchs umgangen werden.

Um rechtsmissbräuchliche Geltendmachungen des datenschutzrechtlichen Auskunftsanspruchs auszuschließen, bedarf es somit Einschränkungen dieses Anspruchs, wie die BDA in ihrer Stellungnahme bereits angeführt hat. Es ist daher Aufgabe der EU, die Grenzen des Anspruchs klarer zu regeln.

Dieser Beitrag stammt aus unserer Reihe #Arbeitsrecht – Thema des Monats. Alle Beiträge finden Sie auch auf unserer Website in den Publikationen.

Über die Autorin