Vorsicht: Datenschutzauskunft!

In jüngerer Zeit häufen sich im arbeitsrechtlichen Umfeld Klagen auf Auskunft und Schadensersatz wegen nicht ordnungsgemäß erteilter Auskünfte im Sinne von Art. 15 DS-GVO. Der nachfolgende Beitrag gibt einen kurzen Überblick über die relevanten Vorschriften und die häufigsten Stolperfallen bei der Auskunftserteilung.

I. Der Auskunftsanspruch gemäß Art. 15 DS-GVO

Die Datenschutzgrundverordnung (kurz: DSG-VO) sieht vor, dass jede natürliche Person gegenüber solchen Stellen, die ihre personenbezogenen Daten verarbeiten, eine Bestätigung darüber verlangen kann, ob sie – die natürliche Person – betreffende Daten verarbeitet werden.

Ist dies der Fall, so kann sie Auskunft über die Einzelheiten der Verarbeitung, insbesondere über

• die Verarbeitungszwecke,
• die verarbeiteten Datenkategorien,
• die Empfänger oder Kategorien von Empfängern (Achtung: Im Gesetzestext heißt es „oder“, der EuGH ist aber der Auffassung, dass die Empfänger grundsätzlich einzeln genannt werden müssen),
• die geplante Speicherdauer sowie
• die Herkunft der Daten verlangen.

Mit der Auskunft sind betroffene Personen zudem über die in der DSG-VO verankerten Rechte zu informieren, mithin über das Recht auf 

• Berichtigung oder Löschung,
• Einschränkung der Verarbeitung,
• Widerspruch sowie
• Beschwerde bei der Aufsichtsbehörde.

Zuletzt können betroffene Personen auch die Übermittlung von Kopien ihrer personenbezogenen Daten verlangen. Zwischenzeitlich steht fest, dass dieser Anspruch nicht nur eine verständliche Reproduktion der personenbezogenen Daten des Betroffenen, sondern auch Kopien von (Original-) Unterlagen oder Auszügen hiervon erfassen kann, wenn diese benötigt werden, um den Kontext der Verarbeitung von personenbezogenen Daten zu verstehen (vgl. EuGH, Urteil vom 04.05.2023 – C-487/21, hierzu unser Blogbeitrag). Bestandteil einer solchen Datenkopie können also je nach Zusammenhang etwa Ausdrucke von E-Mails oder ein Abzug der Personalakte sein. Die Kopie kann auch Teil einer Datenbank sein.

Die geforderte Auskunft ist grundsätzlich unverzüglich, spätestens aber binnen eines Monats zu erteilen. Wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist, kann die Auskunftsfrist durch einseitige Erklärung des Arbeitgebers ausnahmsweise um weitere zwei Monate verlängert werden. Während von dieser Verlängerungsmöglichkeit in der Praxis auch bei Arbeitgebern rege Gebrauch gemacht wird – meist unter Hinweis darauf, dass sich im Laufe eines Arbeitsverhältnisses eine Vielzahl von Daten angesammelt haben, so dass die Erteilung der Auskunft komplex sei – sind die Voraussetzungen, die für eine rechtmäßige Verlängerung vorliegen müssen, von den Gerichten noch nicht abschließend geklärt. So ist bislang zum Beispiel offen, ob etwa dem Gesetzeswortlaut („und“) entsprechend Vielzahl und Komplexität kumulativ vorliegen müssen oder ob es genügt, wenn nur eine der beiden Voraussetzungen zutrifft und ob es für die Beurteilung auf den einzelnen Betroffenen ankommt, demgegenüber die Frist verlängert werden soll, oder auf das Gesamtbild der aktuell durch einen Verantwortlichen zu beantwortenden Auskunftsersuchen.

Für die Form der Auskunftserteilung gilt: Wurde der Auskunftsantrag elektronisch gestellt, so ist auch die Auskunft grundsätzlich im elektronischen Format zu erteilen, Art. 15 Abs. 3 Satz 2 DSG-VO. Daneben bestehen zwar keine zwingenden Formvorgaben, aber Art. 15 Abs. 3 Satz 2 DSG-VO enthält zumindest einen klaren Hinweis darauf, dass Wünsche des Betroffenen hinsichtlich des Auskunftsformats grundsätzlich zu berücksichtigen sind. Eine vorbereitende Abstimmung mit dem Betroffenen zur gewünschten Form der Auskunftserteilung ist nicht nur zulässig, sondern in aller Regel auch sinnvoll.

Da die Auskunftserteilung meist mit der Übermittlung einer großen Menge von personenbezogenen Daten (ggf. auch besonders sensibler Daten) verbunden ist, darf hierfür kein unsicherer bzw. unverschlüsselter Kommunikationsweg verwendet werden, soweit der Betroffene damit nicht ausdrücklich einverstanden ist. Präferierte Optionen sind also etwa die verschlüsselte E-Mail-Kommunikation oder die Einrichtung eines sicheren Serverzugriffs für den Betroffenen. Sind beide Seiten anwaltlich vertreten und ist der Betroffene mit einer Übermittlung an seinen Rechtsanwalt einverstanden, so kann die Auskunftserteilung alternativ über das besondere elektronische Anwaltspostfach abgewickelt werden, das eine sichere und verschlüsselte Kommunikation und die Übertragung großer Datenmengen ermöglicht.

II. Grenzen des Auskunftsanspruchs

Der Auskunftsanspruch ist nicht an gesetzliche Voraussetzungen geknüpft, hat aber in verschiedener Hinsicht Grenzen, die von der Rechtsprechung sukzessive näher herausgearbeitet werden.

1. Kollidierende Rechte und Freiheiten anderer Personen

Die Erteilung der Auskunft und zugehöriger Kopien darf nicht zur Beeinträchtigung der Rechte und Freiheiten anderer Personen führen. So darf die Auskunfts- und Kopieerteilung eingeschränkt werden, wenn ansonsten die personenbezogenen Daten anderer Personen (etwa von Kunden, Geschäftspartnern oder anderen Arbeitnehmern) oder wettbewerbsrelevante Informationen und Geschäftsgeheimnisse offengelegt werden müssten. Auch die eigene Verhandlungs- und Prozesstaktik des Arbeitgebers kann ein schützenswertes Interesse sein und deswegen als Argument dienen, um die Herausgabe von Unterlagen in gerichtlichen Auseinandersetzungen oder auch bei außergerichtlichen Konflikten entsprechend einzuschränken.

2. Offenkundig unbegründete oder exzessive Auskunftsersuchen

Die Auskunft kann zudem ausnahmsweise verweigert werden, wenn ein Auskunftsverlangen offenkundig unbegründet oder aber exzessiv ist; alternativ kann in diesen Fällen eine Gebühr für die Auskunftserteilung erhoben werden, Art. 12 Abs. 5 Satz 2 DSG-VO.

Unbegründete Auskunftsersuchen sind in der Praxis selten, da der Auskunftsanspruch an keine besonderen Voraussetzungen geknüpft ist.

Exzessive Auskunftsersuchen können nach der DSG-VO jedenfalls dann vorliegen, wenn mehrfach in kurzen Zeitabständen Auskunft verlangt wird. Ob auch sogenannte qualitative Exzesse – Auskunftsersuchen also, die nicht wegen ihrer Anzahl, sondern deswegen, weil sie von der Rechtsordnung missbilligten Zwecken dienen, als exzessiv zu bewerten sind – von Art. 12 Abs. 5 Satz 2 DSG-VO erfasst werden, ist noch nicht abschließend geklärt. Jedenfalls aber nennt Art. 12 Abs. 5 Satz 2 DSG-VO die Anzahl von Anträgen nur als einen möglichen Grund für einen Exzess („insbesondere“), was im Umkehrschluss nur bedeuten kann, dass auch andere Gründe zum Exzess führen können. Berücksichtigt man noch, dass der EuGH in ständiger Rechtsprechung davon ausgeht, dass Bürger sich nicht in betrügerischer oder missbräuchlicher Weise auf die Normen des Unionsrechts berufen dürfen, so erscheint es schlüssig, dass auch rechtsmissbräuchliche Anträge exzessiv im Sinne von Art. 12 Abs. 5 Satz 2 DSG-VO sein und daher zurückgewiesen oder kostenpflichtig beschieden werden können.

Welche objektiven Indizien konkret dargelegt werden müssen, um einen solchen Exzess wegen eines Rechtsmissbrauchs zu belegen, ist von der Rechtsprechung noch nicht im Einzelnen geklärt worden. Im Zusammenhang mit Beschwerden gegenüber einer Aufsichtsbehörde führte der EuGH (Urteil vom 09.01.2025 – C-416/23) zuletzt aus, dass von einem Rechtsmissbrauch etwa ausgegangen werden kann, wenn die Beschwerden nachweislich nicht im Zusammenhang mit dem Wunsch der betroffenen Person nach dem Schutz ihrer Rechte stehen, sondern einem anderen Zweck, etwa der Beeinträchtigung der Funktion der Behörde, dienen. Ob die Missbräuchlichkeit auch verlangt, dass die anderen vom Betroffenen ausschließlich verfolgten Zwecke von der Rechtsordnung missbilligt werden (in diese Richtung etwa: BGH, Beschluss vom 29.03.2022 – VI ZR 1352/20), stellte der EuGH in der vorgenannten Entscheidung nicht ausdrücklich klar. Im Umkehrschluss wird ein Auskunftsantrag aber wohl zumindest nicht bereits deswegen rechtsmissbräuchlich sein, weil er lediglich auch datenschutzfremden Zwecken dient, etwa zur Informationsgewinnung oder um Verhandlungsdruck aufzubauen, zugleich aber zumindest auch auf den Schutz der Betroffenenrechte zielt. Der Nachweis des Exzesses wegen eines Rechtsmissbrauchs wird vor diesem Hintergrund in der Praxis voraussichtlich schwierig bleiben.

III. Der Auskunftsanspruch als taktisches Mittel

Auskunftsansprüche werden arbeitnehmerseitig häufig in laufenden gerichtlichen und außergerichtlichen Auseinandersetzungen geltend gemacht. Dies dient typischerweise gleich mehreren Zwecken:

• Erhöhung des Aufwands: Die Erteilung einer ordnungsgemäßen Datenschutzauskunft und zugehöriger Kopien ist im Arbeitsverhältnis meist aufwendig, da über lange Zeiträume eine Vielzahl von personenbezogenen Informationen verarbeitet werden. Diese Informationen müssen für die Auskunftserteilung nicht nur gesammelt und sinnvoll strukturiert werden, sondern sie müssen auch darauf überprüft werden, ob schützenswerte personenbezogene Daten Dritter oder andere geheimhaltungsbedürftige Informationen (z.B. Geschäftsgeheimnisse – eigene oder die von Geschäftspartnern bzw. Kunden) enthalten sind. Ist dies der Fall, ist häufig eine Kürzung bzw. Schwärzung von Dokumenten notwendig; ein Zurückhalten der betreffenden Dokumente insgesamt lässt sich hierdurch jedoch nicht rechtfertigen.
• Informationsbeschaffung: Die Erteilung einer vollständigen Auskunft bzw. Kopie dient auf Arbeitnehmerseite der Vervollständigung lückenhafter Informationen und Unterlagen, damit diese im Rahmen der Auseinandersetzung verwendet werden können. Nicht selten kommt es dabei zu „Zufallsfunden“, wenn sich aufgrund der Auskunft ergibt, dass der Arbeitgeber Daten vorhält, die er nicht (mehr) verarbeiten dürfte oder dass noch Unterlagen existieren, an die der Mitarbeitende nicht mehr gedacht hatte, aus denen sich aber Grundlagen oder Belege für Ansprüche des Mitarbeitenden ergeben.
• Vorbereitung eines Schadensersatzbegehrens: Wird die Auskunft nicht, nicht vollständig oder nicht fristgerecht erteilt, so kann dies einen Schadensersatzanspruch begründen (wobei ein etwaiger Schadensersatz nicht einkommensteuer- und sozialabgabenpflichtig ist). Gleiches gilt, wenn die Auskunftserteilung zutage bringt, dass der Arbeitgeber Daten in unzulässiger Weise verarbeitet (etwa: zu lange gespeichert) hatte.
• Verhandlungsdruck: Sind dem Arbeitgeber bei der Auskunftserteilung selbst Fehler unterlaufen oder hat die Auskunftserteilung rechtswidrige Datenverarbeitungen aufgedeckt, so besteht für ihn das Risiko, dass der Mitarbeitende dies bei der Datenschutzaufsichtsbehörde anzeigt und damit ein weiteres aufwendiges Verfahren anstößt, das für den Arbeitgeber mit einem Bußgeld enden kann. Daraus ergibt sich auf Arbeitgeberseite zusätzlicher Druck, die Auseinandersetzung zügig (und nicht selten mithilfe einer Erhöhung des hierfür zur Verfügung stehenden Budgets) zu beenden.

IV. Der Auskunftsanspruch als Geschäftsmodell

Ähnlich wie im Bereich des Diskriminierungsrechts, wo sogenannte AGG-Hopper die Geltendmachung von angeblichen Diskriminierungen in Bewerbungsverfahren geschäftsmäßig (und rechtsmissbräuchlich, wie das BAG jüngst festgestellt hat – hierzu unser Blogbeitrag) betreiben, wird auch der datenschutzrechtliche Auskunfts- und Schadensersatzanspruch bereits vereinzelt in ähnlicher Weise missbraucht.

Dabei wird nach der Zusendung einer Bewerbung an einen Arbeitgeber zeitnah Datenschutzauskunft durch den „Bewerber“ verlangt. Bisweilen nutzen die „Datenschutz-Hopper“ dabei für ihr Auskunftsverlangen nicht die vom Arbeitgeber für datenschutzrechtliche Anfragen bereitgehaltene E-Mail-Adresse, sondern wenden sich direkt an den Personalbereich, den Recruiter, mit dem sie zuletzt Kontakt hatten oder antworten direkt auf eine automatisch generierte E-Mail-Mitteilung im Bewerbungsverfahren. In solchen Fällen wird das Auskunftsverlangen dann häufig gar nicht als solches erkannt und in der Folge nicht oder erst verzögert an die beim Arbeitgeber hierfür eigentlich zuständige Stelle weitergeleitet.

Wird die Auskunft vom Arbeitgeber aber nicht unverzüglich oder nicht vollständig erteilt, erhebt der Bewerber Klage und verlangt nun neben der Auskunftserteilung den Ersatz angeblicher immaterieller Schäden, die meist mit Verunsicherung, Angst oder Verärgerung sowie einem vermeintlichen Verlust der Kontrolle über die eigenen Daten oder zumindest einer dahingehenden Befürchtung begründet werden. Typischerweise ist dabei die geforderte Schadensersatzsumme zunächst erschreckend hoch und liegt etwa für kleine Verzögerungen bereits bei 3.000,00 oder gar 5.000,00 Euro.

Einigt sich der Arbeitgeber sodann im weiteren Verlauf des Gerichtsverfahrens mit dem Bewerber auf die Zahlung einiger hundert Euro, erscheint ihm dies angesichts des ursprünglich hohen Forderungsbetrags, als sei er „glimpflich“ davongekommen. Werden solche Gerichtsverfahren aber massenhaft betrieben, lohnt sich dies für den „Datenschutz-Hopper“ auch bei kleinen Vergleichsbeträgen, zumal im arbeitsgerichtlichen Verfahren bei einer Einigung vor der Antragstellung keine Gerichtskosten anfallen.

V. Gibt es Abhilfe?

Um in Auseinandersetzungen mit Arbeitnehmern sowie auch gegenüber Datenschutz-Hoppern möglichst wenig Angriffsfläche zu bieten, empfehlen sich folgende Maßnahmen:

• Etablierung eines internen Prozesses und interner Zuständigkeiten: Es sollte intern klar festgelegt werden, wer für die Erteilung von Auskünften zuständig ist und wie hierbei vorzugehen ist. Hierbei helfen frühzeitig vorbereitete Checklisten, Leidfäden und Mustervorlagen für die Kommunikation, die im Rahmen der Auskunftserteilung üblicherweise stattfindet.
• Sensibilisierung der Mitarbeitenden im Personalbereich: Insbesondere Mitarbeitende im HR-Bereich und Recruiting sollten die Bedeutung von Auskunftsverlangen kennen und wissen, an welche Stelle im Unternehmen ein Auskunftsverlangen weitergeleitet werden muss, damit es zügig bearbeitet werden kann. Dazu gehört auch, dass die betreffenden Mitarbeitenden wissen, wie ein Auskunftsverlangen typischerweise formuliert sein wird, bei welchen Formulierungen also erhöhte Aufmerksamkeit und eine Weiterleitung an die für die Auskunftserteilung intern zuständige Stelle geboten ist.

Zusammenfassend kann festgehalten werden, dass sich die Datenschutzauskunft als eines von verschiedenen taktischen Mitteln in arbeitsrechtlichen Auseinandersetzungen zunehmend etabliert. Die Einzelheiten sind in vieler Hinsicht noch konkretisierungsbedürftig und werden von der Rechtsprechung laufend aufgearbeitet. Um auf die mögliche Konfrontation mit einem Auskunftsverlangen oder diesbezüglichen Schadensersatzverlangen vorbereitet zu sein, ist es ratsam, frühzeitig klare Prozesse im Unternehmen zu etablieren und die Mitarbeitenden, die mit solchen Anfragen konfrontiert sein können, für das Thema zu sensibilisieren.