Der EuGH hat sich in seiner Entscheidung vom 04.05.2023 in der Rechtssache C-487/21 zu der Frage geäußert, was das in Art. 15 Abs. 3 S. 1 DSGVO verankerte Recht auf „Kopie der personenbezogenen Daten“ genau bedeutet. Für die Praxis werden durch diese Entscheidung jedoch nicht alle offenen Fragen geklärt.
Zum Hintergrund
Auskunftsverlangen nach Art. 15 DSGVO nehmen auch im Arbeitsverhältnis immer weiter zu. Gerade im belasteten Arbeitsverhältnis, u. a. wenn Unternehmen sich von einem Mitarbeiter trennen wollen, entdecken Arbeitnehmer mittlerweile ihre Sensibilität für den Datenschutz. Die Auskunftsersuchen werden dabei regelmäßig mit dem Verlangen nach einer Kopie gemäß Art. 15 Abs. 3 DSGVO verknüpft. Für Arbeitgeber besteht – auch nach der Entscheidung des EuGH – Unsicherheit hinsichtlich der konkreten Umsetzung dieses Kopieerteilungsanspruchs.
Zur Entscheidung des EuGH zum Auskunftsanspruch nach Art. 15 DSGVO
Das Urteil des EuGH vom 04.05.2023 ist nicht zu einem Auskunftsverlangen in einem Arbeitsverhältnis ergangen. Dennoch müssen die vom EuGH in diesem Urteil aufgestellten Grundsätze auch bei künftigen Auskunftsverlangen von Mitarbeitern berücksichtigt werden.
Gegenüber einer österreichischen Kreditauskunftei wurde eine Auskunft nach Art. 15 DSGVO inklusive des Antrags auf Kopie geltend gemacht. Der Antragsteller hat daraufhin in aggregierter Form eine Aufstellung seiner personenbezogenen Daten erhalten. Kopien von konkreten Dokumenten (wie E-Mails), in denen diese personenbezogenen Daten verarbeitet wurden, wurden dabei nicht vorgelegt. Nach einer erfolglosen Beschwerde bei der österreichischen Datenschutzbehörde klagte die betroffene Person. Im Rahmen dieses Rechtsstreits wurden dem EuGH verschiedene Fragen zum Auskunft- und Kopieerteilungsanspruch vorgelegt.
EuGH: „Kopie“ = „originalgetreue und verständliche Reproduktion“ personenbezogener Daten
lm Rahmen seiner Entscheidung hält der EuGH u. a. fest, dass die Übermittlung von Daten in aggregierter Form oder eine lediglich allgemeine Beschreibung von Daten oder ein bloßer Verweis auf Datenkategorien nicht ausreichend ist, um den Auskunft- und Kopieerteilungsanspruch aus Art. 15 DSGVO ordnungsgemäß zu erfüllen.
Für den EuGH bedeutet die Erteilung einer „Kopie der personenbezogenen Daten“ vielmehr, dass der betroffenen Person eine „originalgetreue und verständliche Reproduktion“ ihrer personenbezogenen Daten vorgelegt werden muss. Dabei bezieht sich Art. 15 DSGVO nach dem EuGH zwar grundsätzlich nicht auf die Herausgabe bestimmter Dokumente, sondern auf die darin enthaltenen personenbezogenen Daten. Die Vorlage von Kopien von Auszügen aus Dokumenten, von ganzen Dokumenten oder von Auszügen aus Datenbanken kann nach der Entscheidung des EuGH jedoch erforderlich sein, wenn die Übermittlung für die Verständlichkeit und wirksame Ausübung von Rechten aus der DSGVO für die betroffene Person unerlässlich ist. Dabei sind im Rahmen einer Interessenabwägung die Rechte und Freiheiten anderer Personen (auch des Verantwortlichen) zu berücksichtigen.
Praxishinweise
Im Ergebnis wirft die Entscheidung des EuGH vom 04.05.2023 mehr Fragen auf, als sie Antworten oder Lösungen bietet. Es bleibt beispielsweise völlig unklar, unter welchen konkreten Voraussetzungen es „unerlässlich“ sein soll, dass Kopien bestimmter Unterlagen vorgelegt werden.
Gerade im Arbeitsverhältnis findet eine Verarbeitung von Mitarbeiterdaten in erheblichem Umfang statt. Aus unserer Sicht führt die Entscheidung des EuGH nicht dazu, dass infolge eines pauschalen Auskunftsersuchens durch einen Mitarbeiter grundsätzlich Kopien sämtlicher Dokumente (z. B. E-Mails, Unterlagen etc.), die personenbezogene Daten des Mitarbeiters enthalten, vorgelegt werden müssten. Und auch in dem Fall, dass der Mitarbeiter seinen Kopieanspruch auf die Herausgabe bestimmter Dokumente konkretisiert, sollten Unternehmen ein solches Herausgabeverlangen stets sorgfältig prüfen.
Der Kopieanspruch kann nach den Ausführungen des EuGH beispielsweise bei überwiegenden entgegenstehenden anderweitigen Rechten (z. B. Geschäftsgeheimnisse des Unternehmens oder Persönlichkeitsrechte anderer Mitarbeiter) verweigert werden. Des Weiteren kann eine Verweigerung des Kopieanspruchs nach dem EuGH in Betracht kommen, wenn die Herausgabe der Unterlagen für die Wahrnehmung der Rechte aus der DSGVO nicht erforderlich ist. Dies könnte relevant werden, wenn es der betroffenen Person offenkundig nicht um ihre datenschutzrechtlichen Belange geht, sondern sie beispielsweise mit den geforderten Unterlagen ein gerichtliches Verfahren gegen das Unternehmen vorbereiten will.
Es muss jedoch abgewartet werden, wie die nationalen Gerichte und Datenschutzaufsichtsbehörden in der Praxis auf dieses Urteil des EuGH reagieren werden. Die Entscheidung des EuGH zeigt jedenfalls erneut, dass Unternehmen den Auskunftsanspruch nach Art. 15 DSGVO ernst nehmen, sich hierauf vorbereiten und jeden Einzelfall kritisch prüfen sollten.
