Neue Entwicklungen zum Umfang des datenschutzrechtlichen Auskunftsanspruchs
Der Umfang des Auskunftrechts nach Art. 15 DSGVO wird von Aufsichtsbehörden und Gerichten teilweise unterschiedlich ausgelegt. Praktische Bedeutung hat dabei vor allem die Frage, wie weit der Anspruch auf den Erhalt einer Kopie der personenbezogenen Daten nach Art. 15 Abs. 3 DSGVO geht. Während die einen von einer Pflicht zur Bereitstellung einer Kopie aller entsprechenden Dokumente ausgehen („weite Auslegung“), sehen andere hier nur eine eingeschränkte Verpflichtung („einschränkende Auslegung“):
Weite Auslegung
Die Vertreter der weiten Auslegung gehen davon aus, dass die betroffene Person gemäß Art. 15 Abs. 3 DSGVO einen Anspruch auf den Erhalt einer Kopie aller Dokumente haben soll, welche personenbezogene Daten der betroffenen Person beinhalten. Gerade im Arbeitsverhältnis könnten bei dieser Auslegung sehr umfangreiche Dokumentensammlungen betroffen sein. Dieser Anspruch sei lediglich durch die Rechte und Freiheiten anderer Personen beschränkt (vgl. Art. 15 Abs. 4 DSGVO). Dieser sehr umfassenden Ansicht scheint sich das LArbG Baden-Württemberg mit Urteil vom 20. Dezember 2018 angeschlossen zu haben (17 Sa 11/18), als es einem Arbeitnehmer die Herausgabe einer Kopie der über ihn von einem Hinweisgeber an den Arbeitgeber übermittelten Informationen zusprach.
Einschränkende Auslegung
Die deutlich besseren Argumente sprechen dafür, den Anspruch auf Herausgabe einer Kopie der personenbezogenen Daten eingeschränkt zu verstehen. So hat die betroffene Person gemäß Art. 15 Abs. 3 DSGVO einen Anspruch auf Herausgabe einer Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Es heißt gerade nicht, dass die betroffene Person die Herausgabe einer Kopie aller „Dokumente“ verlangen kann, welche ihre personenbezogenen Daten enthalten. Es spricht viel dafür den Anspruch so zu verstehen, dass mit den „Daten“ die Informationen aus Art. 15 Abs. 1 DSGVO gemeint sind und keine Kopie aller Dokumente.
Diese Einschränkende Auslegung verfolgt auch das Bayerische Landesamt für Datenschutzaufsicht. Im aktuellen Tätigkeitsbericht heißt es ausdrücklich „Nach Art. 15 Abs. 3 DSGVO ist nur eine „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zur Verfügung zu stellen. Es ist hier jedoch nicht die Rede von Kopien der betreffenden Akten, von sonstigen Unterlagen usw.“ (S. 46). Dieser Ansicht hat sich nun auch das LG Köln in einem Teilurteil vom 18. März 2019 angeschlossen (26 O 25/18). In dem Urteil heißt es, der Anspruch aus Art. 15 Abs. 3 DSGVO diene dazu, dass „der Betroffene den Umfang und Inhalt der gespeicherten personenbezogenen Daten beurteilen kann. Folgerichtig bestimmt Artikel 15 Abs. 3 DSGVO, dass der Betroffene eine Kopie (lediglich) der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, erhält.“ Das LG Köln betont, dass der Auskunftsanspruch sich gerade „nicht auf sämtliche internen Vorgänge der Beklagten, wie z.B. Vermerke [...] oder [...] sämtlichen gewechselten Schriftverkehr“ bezieht.
Fazit und Handlungsempfehlungen
Für Unternehmen bleibt auch weiterhin eine gewisse Rechtsunsicherheit, wie weit der datenschutzrechtliche Auskunftsanspruch nach Art. 15 Abs. 1 und 3 DSGVO geht. Eine umfassende Herausgabe von Kopien allen entsprechenden Dokuments wird regelmäßig mit einem unzumutbaren Aufwand verbunden sein. Deshalb empfehlen wir Unternehmen, sich im Regelfall an der einschränkenden Auslegung zu orientieren, der jetzt auch das LG Köln gefolgt ist. In Einzelfällen kann es jedoch auch sinnvoll sein, freiwillig umfassend Auskunft zu erteilen. Das kann beispielsweise dann der Fall sein, wenn das Unternehmen nur wenige personenbezogene Daten der betroffenen Person verarbeitet und befürchtet, dass die betroffene Person die Auskunft gerichtlich überprüfen lässt. In diesem Fall sollten Unternehmen darauf achten, die umfassende Auskunft ohne Anerkennung einer entsprechenden Rechtspflicht zu erteilen. Zudem muss das Unternehmen bei der Offenlegung von Dokumenten darauf achten, keine Rechte von Dritten zu verletzten, das heißt, die Dokumente sollten bestenfalls bezüglich sonstiger Personen anonymisiert sein.
