Das Recht auf Datenkopie, welches Art. 15 DS-GVO regelt, wird als Teil des Auskunftsrechts angesehen. Demnach steht es Betroffenen nach Art. 15 Abs. 3 DS-GVO nicht nur zu, eine Auskunft über die gesammelten Daten vom Verantwortlichen zu verlangen, sondern ebenso eine Kopie der über sie erfassten Daten anzufordern. Hierbei stellen sich Unternehmen mitunter die Frage, wann eine Datenkopie verlangt werden kann und unter welchen Umständen eine Ablehnung der Anfrage möglich ist. Weiterhin ist oftmals auch unklar, in welcher Form eine solche Datenkopie auszuhändigen ist und in welchem Zeitraum dies erfolgen sollte.
Recht auf Auskunft nach Art. 15 DS-GVO
Das Auskunftsrecht wird innerhalb des Art. 15 Datenschutz-Grundverordnung (DS-GVO) geregelt. Demnach sind betroffene Personen dazu berechtigt, vom Verantwortlichen der Datenverarbeitung eine Bestätigung darüber zu verlangen, ob dieser personenbezogene Daten verarbeitet. Ist dies der Fall, sollte der Betroffene Auskunft insbesondere über folgende Daten erhalten:
- den Verarbeitungszweck,
- die Kategorie der personenbezogenen Daten, welche verarbeitet werden,
- die Empfänger oder die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden (Werden personenbezogene Daten in ein Drittland – ein Land außerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) – übermittelt, haben Betroffene nach Art. 15 Abs. 2 DS-GVO das Recht, über die geeigneten Garantien (gemäß Art. 46 DS-GVO) im Zusammenhang mit der Übermittlung, unterrichtet zu werden.),
- falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,
- das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung,
- das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde,
- sofern die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten sowie
- das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
Form der Datenkopie
Gemäß des Art. 15 Abs. 3 Satz 1 DS-GVO kann der Betroffene neben einer Auskunft, auch eine Kopie seiner personenbezogenen Daten verlangen. Das Recht auf Erteilung einer Datenkopie ist nach Auffassung der Fachliteratur eine besondere Form des Auskunftsrechts und steht diesem ergänzend, gleichrangig gegenüber. In welcher Form jedoch die Datenkopie ausgehändigt werden soll, kann aus dem Gesetz nicht direkt ermittelt werden.
Generell kann der Betroffene gemäß Art. 12 Abs. 1 DS-GVO frei wählen, in welcher Form ihm die Informationen zugehen. So wäre eine Auskunft – unter Voraussetzung eines Identitätsabgleichs – auch in mündlicher Form möglich, sofern der Betroffene dies verlangt. Sollte der Betroffene keine konkrete Form wünschen und seine Anfrage in elektrischer Form stellen, z. B. per E-Mail, so sollte der Verantwortliche die Kopie nach Art. 15 Abs. 3 Satz 3 DS-GVO dem Betroffenen in einer „gängigen elektronischen Form“ zur Verfügung stellen. Was genau unter einer „gängigen elektrischen Form“ zu verstehen ist, wird nicht näher erläutert. Nach allgemeiner Auffassung wäre von einem „gängigen elektronischen Format“ immer dann auszugehen, sofern die Informationen ohne zusätzlichen Aufwand von den Betroffenen eingesehen werden können. Demzufolge wäre ein elektronisches Format immer dann als gängig zu betrachten, sofern es verbreitet ist und mittels Standardsoftware weitergegeben werden kann. Denkbar wäre hierbei beispielsweise eine Datenkopie im PDF- oder Word-Format. Nach dem Erwägungsgrund 63, könnte die Gewährleistung eines gängigen Formates ebenso erreicht werden, indem die Informationen über ein sicheres System über einen Fernzugang bereitgestellt wird.
Frist für die Rückmeldung und Erstellung einer Datenkopie
Macht eine betroffene Person von ihrem Auskunftsrecht Gebrauch, so hat der Verantwortliche die Informationen unverzüglich oder spätestens innerhalb eines Monats nach Antragseingang zur Verfügung zu stellen. Die Frist dürfte um zwei weitere Monate verlängert werden, sofern dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. In diesem Fall sollte der Verantwortliche jedoch beachten, dass der Betroffene über die Fristverlängerung sowie über die entsprechenden Gründe zu informieren ist. Dies sollte spätestens innerhalb eines Monats nach Antragseingang erfolgen.
Entscheidung des LAG Baden- Württemberg vom 20.12.2018 in der Sache 17 Sa 11/18
Die Entscheidung des LAG Baden-Württemberg vom 20.12.2018 – 17 Sa 11/18 eröffnete neue Fragestellungen hinsichtlich des Auskunftsrechts und dem damit einhergehenden Recht auf eine Datenkopie. Der Fall befasste sich mit der Auseinandersetzung eines Arbeitgebers (Beklagter) und eines Arbeitnehmers (Kläger) hinsichtlich einer Kündigung sowie der Entfernung einiger Abmahnungen. Der Kläger verlangte – indem er sein Auskunftsrecht geltend machte – Informationen zu den über ihn erfassten Leistungs- und Verhaltensdaten innerhalb des konzerninternen Hinweisgebersystems. Diese Auskunft sollte ihm in Form einer Datenkopie ausgehändigt werden. Das Gericht entschied hierbei zugunsten des Klägers. Der Beklagte wurde demnach dazu verpflichtet, die vom Kläger verlangten Auskünfte bereitzustellen. Ob der Kläger auch Auszüge mit Rohdaten aus dem Hinweisgebersystem des Unternehmens sowie exportierte Dateien aus einzelnen Anwendungen zur Verfügung gestellt bekommen soll, blieb jedoch offen, da das Gericht diesbezüglich keine hinreichenden Angaben aufzeigte.
Weiterhin erklärte das Gericht, dass der Beklagte nicht nur die Kategorie der Empfänger der Daten dem Kläger mitzuteilen habe, sondern „die Empfänger“ explizit zu benennen sind. Zusätzlich sollte der Beklagte dem Kläger Angaben über die zukünftigen Empfänger seiner Daten mitteilen. Überträgt man dies auf die Praxis, dürfte dies für Verantwortliche schwer möglich sein, da diese in der Regel die zukünftigen Empfänger der personenbezogenen Daten nicht vorhersehen können.
Unbestimmt bleibt indes, ob die E-Mail-Korrespondenz, welche in Zusammenhang mit der Leistung oder dem Verhalten des Klägers steht, diesem ebenfalls offen zu legen sind. Dem Urteil lässt sich die Vermutung zwar entnehmen, jedoch dürfte die vage Formulierung des Urteils diese nicht untermauern.
Wann kann die Anfrage nach einer Datenkopie vom Arbeitgeber abgelehnt werden?
Ein Auskunftsrecht dürfte mitunter dann abgelehnt werden, sofern
- Rechte Dritter, z.B. aus dem Persönlichkeits- oder Urheberrecht, davon betroffen sein könnten (wohingegen jedoch dem Verantwortlichen die Nachweispflicht obliegt),
- ein rechtsmissbräuchlicher Ansatz zu entnehmen wäre (z.B. exzessive Anfragen, welche den Zweck haben dem Unternehmen zu schaden),
- ein vertrauliches internes Interesse (Stichwort Geschäftsgeheimnis) überwiegen sowie
- dem Verantwortlichen ein unverhältnismäßiger Aufwand entstehen könnte.
Diese Kriterien unterliegen dabei einer eingehenden Abwägung der schutzwürdigen Interessen des Verantwortlichen und des Betroffenen.
Weitere Ausnahmetatbestände ergeben sich durch nationale Regelungen, welche Art. 15 DS-GVO spezifizieren soll. In Deutschland dürfte es unter anderem folgende Ausnahmeregelungen geben, die eine Datenkopie entfallen lassen dürften:
- Eine Auskunft dürfte beschränkt sein, sofern diese wissenschaftliche oder historische Forschungszwecke sowie statistische Zwecke beeinträchtigt. (§ 27 Abs. 2 BDSG)
- Sofern Archivgut durch den Namen der Person nicht auffindbar sein sowie – durch ergänzende Angaben – das betreffende Archivgut mit vertretbaren Verwaltungsaufwand nicht ermittelt werden dürfte. (§ 28 Abs. 2 BDSG)
- Das Recht auf Auskunft einer Geheimhaltungspflicht zuwiderlaufen würde. (§ 29 Abs. 1 Satz 2 BDSG)
- Die Person aufgrund öffentlicher Belange nach § 33 Abs. 1 Nr. 1 lit. b oder § 33 Abs. 3 BDSG nicht zu informieren sein dürfte.
- Die Daten nur gespeichert sind, weil sie aufgrund einer gesetzlichen oder satzungsgemäßen Aufbewahrungspflicht beibehalten werden müssen. (§ 34 Abs. 1 Nr. 2 lit. a BDSG)
- Das Auskunftsrecht dürfte ebenfalls eingeschränkt werden, sofern die Datenaufbewahrung den Zweck verfolgt, Daten zu sichern, welche einer Datenschutzkontrolle dienen und die damit verbundene Auskunftserteilung einen unverhältnismäßigen Aufwand bedeuten würde. (§ 34 Abs. 1 Nr. 2 lit. b BDSG)
- Desweitern dürfte das Auskunftsrecht entfallen, sofern sich dieses auf ein Steuergeheimnis (§ 32c AO) oder Sozialgeheimnis (§ 83 SGB X) bezieht.
Kann der Verantwortliche ein Entgelt für die Datenkopie verlangen?
Das Auskunftsrecht sowie eine Kopie der Daten sind nach Art. 12 Abs. 5 DS-GVO dem Betroffenen grundsätzlich entgeltlos zur Verfügung zu stellen. Sollte der Betroffene jedoch mehrere Kopien verlangen, dürfte der Verantwortliche laut Art. 15 Abs. 3 DS-GVO für jede weitere Kopie ein angemessenes Entgelt, auf Grundlage der Verwaltungskosten, verlangen. Tätigt der Betroffene weiterhin mehrere Anfragen in kurzen aufeinanderfolgenden Abständen, so hat der Verantwortliche ebenfalls die Möglichkeit
- ein Entgelt für die Kopie zu verlangen (Art. 12 Abs. 5 lit. a DS-GVO) oder
- das Tätigwerden aufgrund des Antrags zu verweigern. (Art. 12 Abs. 5 lit. b DS-GVO)
In diesem Zusammenhang besteht für den Verantwortlichen die Pflicht, den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen. Demgegenüber gilt jedoch zu differenzieren, dass jede weitere Anfrage, welche innerhalb einer angemessenen Frist (eine Anfrage pro Quartal) erfolgt, dem Betroffenen wieder kostenfrei auszustellen ist.
Fazit
Die Entscheidung des Landesarbeitsgericht Baden-Württemberg vom 20.12.2018 in der Sache 17 Sa 11/18 dürfte Unternehmen vor einige Herausforderungen stellen, sofern eine mögliche Revision des Urteils keinen Erfolg haben sollte. Das Urteil dürfte zwar das Auskunftsrecht der Betroffenen stärken, jedoch keinen direkten Umsetzungsansatz, wie eine Datenkopie zu erfolgen hat, aufzeigen. Somit dürfte mehr Unsicherheit als Klarheit hinsichtlich des Inhalts einer Datenkopie erzeugt werden. Die Herausgabe einer Kopie bei der Inanspruchnahme des Auskunftsrechts des Betroffenen dürfte hingegen außer Frage stehen, sofern keine Ausnahmetatbestände dem entgegenstehen sollten.
Unternehmen wird daher angeraten entsprechende Mechanismen innerhalb des Unternehmensablaufes zu etablieren, welche einen reibungslosen Ablauf des Auskunftsersuchens bewirken.
Es wäre anzuraten, sich mit dem Datenschutzbeauftragten oder ggf. unter Zuhilfenahme eines Datenschutzberaters, über die Umsetzung der Prozesse der Auskunftserteilung abzustimmen.