Fristen
Zunächst sollten Arbeitgeber intern feste Abläufe installieren, um die fristgemäße Beantwortung von Auskunftsbegehren sicherstellen zu können. Hierbei ist zu berücksichtigen, dass Auskunftsbegehren nach Art. 15 DS-GVO auch formlos möglich sind und daher potentiell auf verschiedenen Kanälen gestellt werden können. Bereits die Missachtung einer Frist kann eine Haftung nach Art. 82 DS-GVO zur Folge haben.
Auskunftsbegehren müssen nach Art. 12 Abs. 3 DS-GVO unverzüglich, spätestens binnen eines Monats nach Eingang beantwortet werden. Erfordert die Komplexität und/oder die Anzahl an Auskunftsbegehren eine Verlängerung der Frist, kann diese einmalig um zwei Monate verlängert werden. Der Arbeitgeber muss hierfür dem Antragsteller binnen eines Monats nach Eingang des Auskunftsbegehrens über die Fristverlängerung sowie die Gründe der Fristverlängerung unterrichten.
Entgegenstehende Rechte und Freiheiten anderer Personen
Arbeitgeber sollten vor Erteilung einer Auskunft immer prüfen, ob die herauszugebenden Informationen Rechte und Freiheiten Dritter betreffen.
Auskunftsbegehren finden dort eine Einschränkung, wo sie auf entgegenstehende Rechte und Freiheiten Dritter treffen. Als solche Rechte kommen insbesondere Urheberrechte, Persönlichkeitsrechte, der Datenschutz Dritter oder der Schutz von Betriebs- und Geschäftsgeheimnissen in Betracht.
Überwiegen die Rechte und Freiheiten Dritter im Rahmen einer Abwägung dem Recht des Auskunftssuchenden, Kenntnis über das Schicksal seiner personenbezogenen Daten zu erhalten, hat dies eine Einschränkung des Auskunftsbegehrens zur Folge. So müssen, soweit zumutbar, bspw. Dritte betreffende Informationen geschwärzt werden.
Rechtlich gründen sich diese Einschränkungen auf Art. 15 Abs. 4 DS-GVO sowie auf § 29 Abs. 1 S. 2 Var. 2 BDSG. Die Norm aus dem Bundesdatenschutzgesetz stützt sich hierbei auf die Öffnungsklausel des Art. 23 Buchst. i DS-GVO und wird überwiegend für europakonform gehalten. Sie geht inhaltlich weiter als Art. 15 Abs. 4 DS-GVO da im Rahmen der Abwägung nicht nur Rechte und Freiheiten Dritter, sondern auch Berücksichtigung findet, ob das Wesen der Information selbst eine Geheimhaltung gebietet. Letzteres dürfte der Fall sein, wenn der Zweck der Geheimhaltung von der Rechtsordnung als schutzwürdig anerkannt wird.
In gerichtlichen Auseinandersetzungen sollten Arbeitgeber die entgegenstehenden Rechte Dritter dem Gericht ausführlich darstellen, damit das Gericht die Abwägung überhaupt erst vornehmen und zugunsten der Arbeitgeber treffen kann.
Geheimhaltungspflichten
Arbeitgeber sollten ferner prüfen, ob Rechtsvorschriften die Geheimhaltung bestimmter Informationen auch gegenüber dem Antragsteller erfordern. Soweit diese Rechtsvorschriften die Informationen einer Geheimhaltung unterwerfen, können Auskunftsansprüche regelmäßig eingeschränkt werden, indem solche geheimhaltungsbedürftigen Informationen gerade nicht Teil eines Auskunftsbegehrens sein können.
Nach § 29 Abs. 1 S. 2 Var. 1 BDSG können Auskunftsbegehren eingeschränkt werden, sofern die Information einer gesetzlichen Geheimhaltungspflicht unterliegt. Zu solchen Geheimhaltungspflichten gehören bspw. Berufsgeheimnisse.
Unverhältnismäßiger Aufwand
Auskunftsbegehren müssen beantwortet werden. Nicht erfolgsversprechend ist es im Regelfall, wenn Arbeitgeber Auskunftsbegehren unter Hinweis auf den hohen oder unverhältnismäßigen Aufwand zur Bearbeitung dieser Begehren ablehnen.
Anders als etwa Art. 14 DS-GVO enthält Art 15 DS-GVO keine Ausnahme, selbst für den Fall, dass ein Auskunftsbegehren unverhältnismäßiger Kosten verursacht. Ob sich Arbeitgeber mit Erfolg auf die nationale Vorschrift des § 275 Abs. 2 BGB berufen können, um aufgrund des unverhältnismäßigen Aufwands europarechtliche Auskunftsbegehren nach Art. 15 DS-GVO abzulehnen, muss mit Blick auf die Rechtsprechung verneint werden.
Offensichtlich unbegründete und exzessive Anträge
Arbeitgeber sollten insbesondere prüfen, ob Personen bereits mehrfach Anträge nach Art. 15 DS-GVO gestellt haben.
Auskunftsbegehren können nach Art. 12 Abs. 5 DS-GVO sogar insgesamt abgelehnt werden, wenn diese missbräuchlich gestellt werden. Eine solcher Missbrauch ist etwa anzunehmen, wenn Anträge exzessiv gestellt werden oder offensichtlich unbegründet sind. Die Hürden zur Annahme eines solchen Ausnahmetatbestandes sind jedoch grundsätzlich hoch.
Um eine solch exzessive Antragstellung annehmen zu können, muss zunächst eine Mehrzahl an Anträgen vorliegen. Da es durchaus auch sachliche Gründe für eine wiederholte Geltendmachung von Auskunftsbegehren geben kann, bedarf es zur Annahme eines exzessiven Antrags außerdem, dass es keine stichhaltigen Gründe für die wiederholten Auskunftsbegehren gibt.
Ein missbräuchliches Auskunftsbegehren dürfte schließlich anzunehmen sein, wenn dieses nachweislich nur zur Schikane gestellt wird.
Datenschutzwidrige Zwecke
Arbeitgeber sollten letztlich prüfen, welche Zwecke Antragsteller mit ihren Auskunftsbegehren verfolgen, wenn das Auskunftsbegehren entsprechende Informationen enthält bzw. Schlüsse auf den Zweck des Auskunftsbegehrens zulässt.
So konnten sich Arbeitgeber zumindest in der Vergangenheit vor Gericht durchaus mit Erfolg darauf berufen, mit dem Auskunftsbegehren würden datenschutzwidrige Zwecke verfolgt. In diesem Sinne lehnte das Landesarbeitsgericht Sachsen ein Auskunftsbegehren unter anderem deswegen ab, weil der Kläger damit aus Sicht des Gerichts lediglich einen Anspruch auf Vergütung von Überstunden vorbereiten wollte (LAG Sachsen, v. 17.02.2021 – 2 Sa 63/20).
Im Gegensatz hierzu hielt das Landesarbeitsgericht Berlin-Brandenburg ein Auskunftsbegehren auch dann für zulässig, wenn es keinem in Erwägungsgrund 63 genannten Zweck dient (LAG Berlin-Brandenburg, Urteil vom 30.3.2023 – 5 Sa 1046/22). Nach Erwägungsgrund 63 sollen Auskunftsbegehren dazu dienen, den Antragstellern zu ermöglichen, die rechtmäßige Verarbeitung ihrer personenbezogenen Daten zu überprüfen.
Mittlerweile hat der EuGH zu dieser Thematik Stellung genommen. Nach der Entscheidung des EuGHs vom 26. Oktober 2023 sind Auskunftsbegehren nicht bereits deshalb rechtsmissbräuchlich, weil sie andere als in Erwägungsgrund 63 angegebene Zwecke verfolgen (EuGH v. 26.10.2023 – C -307/22). Auch wenn mit Auskunftsbegehren datenschutzfremde Zwecke verfolgt werden, müssen diese daher dennoch beantwortet werden.
Obwohl sich das Bundesarbeitsgericht hierzu noch nicht geäußert hat, dürfte ein zukünftiges Einschwenken der Instanzengerichte auf die Linie des EuGHs anzunehmen sein. Nichtsdestotrotz ist nicht auszuschließen, dass die Verfolgung von datenschutzwidrigen Zwecken zumindest in Einzelfällen auch zukünftig zu einer Beschränkung von Auskunftsbegehren führen kann.
Darlegungs- und Beweislast im Prozess
Wenn Arbeitgeber mit gerichtlich geltend gemachten Auskunftsbegehren konfrontiert werden, sollten sie in jedem Falle prüfen, ob der Auskunftsanspruch berechtigt ist und demgemäß zu erfüllen ist.
Es sollte hierbei überprüft werden, ob die Anträge der Auskunftsbegehren den strengen Anforderungen des Bundesarbeitsgerichts entsprechen. So verlangt das Bundesarbeitsgericht etwa, dass herauszugebende Kopien nach Art. 15 Abs. 3 DS-GVO regelmäßig möglichst genau bezeichnet werden müssen (BAG v. 27.4.2021 – 2 AZR 432/20). Erfüllen die Anträge nicht diese Voraussetzungen, ist dies ein möglicher Ansatzpunkt zur Verteidigung.
Sofern vor einer gerichtlichen Auseinandersetzung bereits Auskünfte von Arbeitgebern gewährt wurden, sollten Anträge dahingehend überprüft werden, ob sie sich lediglich am Wortlaut des Art. 15 DS-GVO orientieren. Nach der Rechtsprechung des Landesarbeitsgericht Hamm ist es Antragstellern zuzumuten, Anträge auf noch herauszugebende Informationen zu konkretisieren, sofern bereits Auskünfte gewährt wurden (LAG Hamm v. 2.12.2022 – 19 Sa 756/22).
Haftungsrisiken, Bußgelder
Werden Auskunftsbegehren verspätet oder unkorrekt beantwortet, drohen regelmäßig Haftungsrisiken für Arbeitgeber. Oftmals verlangen Antragsteller nach einer verspäteten oder vermeintlich fehlerhaften Beantwortung eines Auskunftsbegehrens Schadensersatz nach Art. 82 DS-GVO. Möglich sind auch Geldbußen von Aufsichtsbehörden nach Art. 83 DS-GVO.
Nach einer aktuellen Entscheidung des Landesarbeitsgerichts Düsseldorf kann allerdings wegen einer verspäteten und zunächst unvollständigen Auskunftserteilung kein Schadensersatz nach Art. 82 DS-GVO verlangt werden (LAG Düsseldorf Urt. v. 28.11.2023, Az. 3 Sa 285/23). Eine bloße Verletzung der Auskunftspflicht nach Art. 15 DS-GVO fällt nach Auffassung des Landesarbeitsgerichts Düsseldorf nicht in den Anwendungsbereich des Art. 82 DS-GVO.
Ausblick
Es gibt verschiedene Ansatzpunkte für Arbeitgeber, auf Auskunftsbegehren zu reagieren und diese zumindest einzuschränken. Die zugrundeliegenden rechtlichen Erwägungen sind hierbei aufgrund der Rechtsprechung des EuGHs im Fluss und sollten genau beobachtet werden. Auch im Jahr 2024 ist mit für Arbeitgeber wichtigen Urteilen aus Europa zu rechnen.
Auskunftsansprüche nach Art. 15 DSGVO bergen nicht unerhebliche Haftungsrisiken nach Art. 82 DS-GVO, so dass jedes Auskunftsbegehren ernst genommen werden sollte.
Foto: Shutterstock / Thanadon88
