Anmerkung zu:LArbG Stuttgart 17. Kammer, Urteil vom 20.12.2018 - 17 Sa 11/18
Autoren:Dr. Jacek B. Kielkowski, LL.M., RA,
Oliver Zöll, RA
Erscheinungsdatum:12.04.2019
Quelle:juris Logo
Normen:§ 83 BetrVG, § 34 BDSG 2018, § 29 BDSG 2018, § 421 ZPO, EUV 2016/679
Fundstelle:jurisPR-Compl 2/2019 Anm. 1
Herausgeber:Prof. Dr. Norbert Nolte, RA
Zitiervorschlag:Kielkowski/Zöll, jurisPR-Compl 2/2019 Anm. 1 Zitiervorschlag

Reichweite des Rechts auf Auskunft nach Art. 15 DSGVO bei internen Ermittlungen



Leitsatz

Der Anspruch eines Arbeitnehmers gegenüber seinem Arbeitgeber auf Auskunftserteilung gem. Art. 15 Abs. 1 DSGVO auf personenbezogene Leistungs- und Verhaltensdaten kann im Einzelfall durch überwiegende berechtigte Interessen Dritter an einer Geheimhaltung beschränkt sein. Ob diese Interessen einer Auskunftserteilung entgegenstehen, ist durch eine Interessenabwägung im konkreten Einzelfall zu klären.



Orientierungssatz zur Anmerkung

Für eine Berufung auf die Geheimhaltung hat die auskunftsverpflichtete Partei darzulegen, auf welche genauen Informationen (Sachverhalt/Vorfall/Thema in zeitlicher und örtlicher Eingrenzung nebst handelnden Personen) sich das überwiegende berechtigte Interesse an einer Geheimhaltung beziehen soll.



A.
Problemstellung
Seit Einführung der Datenschutzgrundverordnung (DSGVO) gibt es den Anspruch des Betroffenen auf Auskunft über die von einem Verantwortlichen gespeicherten Daten (Art. 15 Abs. 1 Halbs. 2 DSGVO) sowie hiermit korrespondierend den Anspruch auf Überlassung einer Kopie dieser Daten (Art. 15 Abs. 3 DSGVO). Beide werfen im Zusammenhang mit Compliance-Sachverhalten eine Reihe von – bisher noch ungeklärten – Fragen auf. Hierzu zählt auch die Frage nach der Reichweite des Anspruchs. Sind etwa auch Ermittlungsergebnisse und Namen von Hinweisgebern herauszugeben?
Die vorliegende Entscheidung des LArbG Stuttgart hat nun erstmals Anhaltspunkte gegeben, wie die Arbeitsgerichte den Anspruch verstehen könnten.


B.
Inhalt und Gegenstand der Entscheidung
I. Im Rahmen eines Kündigungsschutzverfahrens streiten die Parteien über die Wirksamkeit von Abmahnungen, das Recht auf Einsichtnahme in eine Akte zu einer Compliance-Untersuchung sowie über einen Auskunftsanspruch des Klägers nach Art. 15 DSGVO.
Der Kläger ist bei der Beklagten, einem weltweit tätigen Fahrzeughersteller, angestellt und bisher auf verschiedensten Positionen im Rechtsbereich eingesetzt worden. Gegen die Art und Weise seines Einsatzes in diesem Bereich hat sich der Kläger gerichtlich zur Wehr gesetzt. Nach Zuweisung einer neuen Funktion im Unternehmen, über deren Wirksamkeit die Parteien streiten, bemängelte die Beklagte die Arbeitsergebnisse des Klägers und mahnte ihn wegen nicht rechtzeitiger Erstellung eines Gutachtens sowie wegen einer erheblichen „Minderleistung“ ab. Kurz vor Ausspruch der Kündigung wurde der Kläger durch den Personalleiter der Beklagten informiert, dass in dem von der Beklagten eingerichteten Hinweisgebersystem „Business Practices Office (BPO)“, das für die Aufklärung vertragswidriger Sachverhalte zuständig ist, ein Verfahren gegen ihn geführt wurde. Dieses sei im Rahmen eines Compliance Checks für die Stellenbesetzung im Rechtsbereich zu beachten und habe in der Vergangenheit zu einer Nichtberücksichtigung des Klägers in einem internen Stellenbesetzungsverfahren geführt.
Der Kläger wehrt sich vorliegend unter anderem gegen die in der Folgezeit ausgesprochene Kündigung und die Abmahnungen und fordert Einsicht in die über ihn geführte BPO-Akte. Daneben macht er einen Auskunftsanspruch in Bezug auf die über ihn gespeicherten „personenbezogenen Leistungs- und Verhaltensdaten“ geltend und erweitert den Anspruch im Wege der Anschlussberufung auf Erstellung einer Kopie dieser Daten.
Die Beklagte verweigert Auskunft, weil sie sich zum Schutz von Hinweisgebern in Bezug auf den Umgang mit Regelverstößen verpflichtet habe. Hiervon betroffen seien sämtliche Daten und Informationen, die die Person des Hinweisgebers offenbaren oder Rückschlüsse auf die Person zuließen. Deswegen seien diese Informationen schon nicht Teil der Personalakte. Jedenfalls habe die Beklagte die berechtigten Interessen, insbesondere das allgemeine Persönlichkeitsrecht der Hinweisgeber im Rahmen ihrer vertraglichen Schutz- und Rücksichtnahmepflicht zu beachten.
II. Die Klage hatte in der ersten Instanz teilweise und in der zweiten Instanz vollumfassend Erfolg.
1. Das Einsichtsrecht in die BPO-Akte stützt das Landesarbeitsgericht auf § 83 BetrVG. Wegen des materiellen Personalaktenbegriffs sei es nicht entscheidend, dass die BPO-Akte nicht in der als Personalakte bezeichneten Sammlung der Beklagten enthalten sei. Ausgehend von einem materiell-rechtlichen Personalaktenbegriff seien auch Dokumente einzusehen, die mit dem Arbeitsverhältnis in einem inneren Zusammenhang stünden. Dies sei bei Unterlagen zu unternehmensinternen Ermittlungen zu bejahen. Der Berücksichtigung schützenswerter Interessen von dritten Personen auf Geheimhaltung könne durch eine entsprechende Anonymisierung Rechnung getragen werden. Das Einsichtsrecht sei auch gesetzlich nicht eingeschränkt, soweit nicht der Arbeitgeber die Gefährdung laufender Untersuchungen oder die Sicherung berechtigter Interessen Dritter, hier konkret der Hinweisgeber im Hinweisgebersystem, substanziiert vortrage. Hierzu sei vorliegend aus Sicht des Gerichts nicht ausreichend vorgetragen worden. Der allgemeine Verweis auf die Sicherung von Rechten Dritter reiche nicht aus. Zwar sei Hinweisgebern Anonymität zugesagt worden. Doch bedeute diese nicht, dass die gesamte Akteneinsicht verweigert werden dürfe. Der Arbeitgeber müsse daher dieser Situation durch Anonymisierung (Schwärzungen der Namen und Passagen etc.) Rechnung tragen.
2. Während das Arbeitsgericht den datenschutzrechtlichen Auskunftsanspruch nach Art. 15 DSGVO noch wegen Unbestimmtheit für unzulässig erklärt hat, bejaht das Landesarbeitsgericht einen Anspruch auf Auskunftserteilung sowie die Verpflichtung zur Übergabe der Kopie der personenbezogenen Leistungs- und Verhaltensdaten des Klägers.
a) Der Antrag sei bestimmt genug, da er sich auf alle nicht in der Personalakte gespeicherten Leistungs- und Verhaltensdaten beziehe. Damit sei, obwohl Leistungs- und Verhaltensdaten in der DSGVO nicht legaldefiniert werden, das Konkretisierungserfordernis des Erwägungsgrund 63 DSGVO erfüllt. Im Übrigen sei es dem Auskunftsanspruch immanent, dass der Anspruchssteller noch nicht die genauen Gegenstände seiner Auskunft kennt.
b) Der Auskunftsanspruch gelte auch im Beschäftigtendatenschutz, da die allgemeinen Bestimmungen der DSGVO insoweit „Vollregelungen“ enthielten. Spezifische Regelungen könnten aber gemäß Art. 88 DSGVO erlassen werden.
c) Das Gericht hält den Einwand, dass außerhalb der Personalakte keine relevanten Leistungs- und Verhaltensdaten wie Negativlisten verarbeitet werden, für unerheblich, da jede einzelne dienstliche E-Mail, die im Verfahren im großen Umfang vorgelegt wurden, für die Auskunft relevante personenbezogene Daten enthalte. Eine Konkretisierung der Daten sei durch die Bezeichnung als Leistungs- und Verhaltensdaten hinreichend i.S.d. Erwägungsgrund 63 DSGVO erfolgt, da diese Kategorisierung eine Einschränkung vorsehe.
d) Der Auskunftsanspruch sei auch nicht wegen berechtigter Interessen Dritter beschränkt. Nach den auf der Öffnungsklausel des Art. 23 DSGVO basierenden Regelungen des nationalen Rechts (§ 34 Abs. 1 i.V.m § 29 Abs. 1 Satz 2 BDSG) bestehe das Recht auf Auskunft der betroffenen Person gemäß Art. 15 der Erwägungsgrund nicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen. Das Vorliegen eines Geheimhaltungsgrundes führe aber nicht zwangsläufig zu dem Recht, die geforderte Auskunft zu verweigern. Das Recht auf Auskunft werde nur eingeschränkt. Damit sei im Grundsatz eine dem Prinzip der Verhältnismäßigkeit Rechnung tragende Güterabwägung zwischen dem Geheimhaltungsinteresse einerseits und dem Auskunftsinteresse andererseits geboten. Rein allgemein gehaltene Erwägungen, die zu einer Einschränkung des Auskunftsanspruches führen sollen, seien nicht ausreichend. Es reiche insoweit nicht aus, auf das allgemeine Schutzbedürfnis von Hinweisgebern und drohende Repressalien zu verweisen und das Prinzip, dass die Anonymität der Hinweisgeber gewahrt bleibe. Die Darlegungslast liege beim Beauskunftenden: Um den Auskunftsanspruch einschränken zu können, müsse klar sein, auf welche personenbezogenen Daten des Klägers sich das schützenswerte Interesse Dritter bezieht, und es bedürfte der Nennung eines konkreten Sachverhaltes, anhand dessen geprüft werden könne, ob durch die Auskunftserteilung tatsächlich Rechte und Freiheiten anderer Personen betroffen wären. Ausreichend, aber auch erforderlich wäre gewesen, darzulegen, auf welche genauen Informationen (Sachverhalt/Vorfall/Thema) sich das überwiegende berechtigte Interesse an einer Geheimhaltung beziehen soll, nur dann wäre die Einzelfallabwägung möglich und eine gegenständliche Einschränkung des Tenors möglich gewesen. Vorliegend habe die Beklagte der Kammer keiner dieser Anhaltspunkte vorgetragen, so dass es der Kammer nicht einmal möglich war, eine notwendige Einzelfallabwägung vorzunehmen. Die Revision wurde bezüglich des Auskunftsanspruchs zugelassen.


C.
Kontext der Entscheidung
I. Die Entscheidung hat schon jetzt große Aufmerksamkeit erfahren, da nunmehr erstmals eine gerichtliche Entscheidung zum Umfang des Auskunftsanspruchs nach Art. 15 DSGVO im Beschäftigtendatenschutz vorliegt. Die Revision ist zugelassen worden. Es ist zu erwarten (und auch zu hoffen), dass das BAG oder auch der EuGH in nicht allzu ferner Zeit – für das Arbeitsrecht verbindliche – Leitlinien zum Umgang mit dem Anspruch aufstellen wird.
II. Die Entscheidung des Landesarbeitsgerichts ist gleich in mehrfacher Hinsicht kritisch zu hinterfragen.
1. Diskussionswürdig ist zunächst, dass das Landesarbeitsgericht auf die Frage des Verhältnisses von § 83 BetrVG zu Art. 15 DSGVO überhaupt nicht eingeht. Zu klären wäre, ob § 83 BetrVG eine speziellere Vorschrift für das Beschäftigungsverhältnis ist oder aber Art. 15 DSGVO gegenüber § 83 BetrVG Anwendungsvorrang genießt. Dagegen dürfte sprechen, dass Art. 88 DSGVO spezifischere Vorschriften zum Beschäftigtendatenschutz ausdrücklich zulässt. Hierzu zählt auch § 83 BetrVG, der auch ja dann Anwendung findet, wenn im Betrieb kein Betriebsrat existiert (allgemeine Meinung).
2. Zuzustimmen ist der Feststellung des Gerichts, dass Art. 15 DSGVO auch im Beschäftigtendatenschutz gilt. Das dürfte auch weitgehend unstreitig sein. Interessant ist der Hinweis auf die Möglichkeit der Schaffung „spezifischer Regelungen“ im Rahmen des Art. 88 DSGVO. Das Gericht geht hier nicht ins Detail. Richtig dürfte insoweit sein, dass das Auskunftsrecht auch in einer Betriebsvereinbarung (als Gestaltungsmittel des Art. 88 DSGVO) ausgestaltet werden kann (str.; so jedoch z.B. Zöll in: Taeger/Gabel, 3. Aufl., § 26 BDSG Rn. 92 m.w.N.). Eine Betriebsvereinbarung kann somit für die Praxis ein Mittel darstellen, um einen verlässlichen Regelungsrahmen für den Umgang mit Auskunftsersuchen der Beschäftigten zu schaffen.
3. Das Gericht erkennt grundsätzlich an, dass das Auskunftsrecht nach Art. 15 DSGVO nicht schrankenlos gewährt wird. Dies ist sicher richtig. Ob der Auskunftsanspruch tatsächlich aber so weit geht wie vom Gericht angenommen, darf bezweifelt werden.
a) Dies betrifft zunächst das Auskunftsverlangen selbst. Es besteht weitgehend Konsens, dass es vor der Beauskunftung einer Mitwirkung und Konkretisierung des Betroffenen bedarf (Erwägungsgrund 63 S. 7 DSGVO). Das erkennt dem Grunde nach auch das Landesarbeitsgericht an. Es lässt aber die vermeintliche Beschränkung auf sämtliche „Leistungs- und Verhaltensdaten“ als ausreichende Konkretisierung genügen. Dies ist sicherlich nicht zwingend und wurde auch von der Vorinstanz kritisch bewertet. Diese hatte die Zulässigkeit der Geltendmachung des Anspruchs auf Auskunft mangels „Bestimmtheit“ abgelehnt. Ein beachtenswerter Ansatz, der aber im Ergebnis bzgl. der Auskunft wohl nicht durchgreift. Denn das Auskunftsverlangen ist insoweit prozessual betrachtet bestimmt genug; es ist eben nur materiell zu weitgehend. Hierin liegt der entscheidende Kern. Zweifelhaft ist, ob der Kläger ein so weit reichendes materielles Auskunftsrecht hat. Es sprechen gute Gründe dafür, dass an die Konkretisierung und damit an den materiellen Anspruch höhere Anforderungen zu stellen sind, vor allem dann, wenn der Betroffene ggf. genau weiß, was er bekommen möchte (so Bäcker in: Kühling/Buchner, DSGVO, Art. 15 Rn. 30 zur aus dem Erwägungsgrund 63 abgeleiteten Konkretisierungspflicht; vgl. auch Dix in: Simitis/Hornung/Spiecker, Datenschutzrecht, Art. 15 DSGVO Rn. 11 „Obliegenheit zur Konkretisierung“; a.A. Mester in: Taeger/Gabel, 3. Aufl. 2019, Art. 15 BDSG Rn. 2). Hierfür spricht auch der Erwägungsgrund 63 Satz 7, der klarstellt, dass der Betroffene konkretisieren soll, auf „welche Information“ oder „welche Datenverarbeitungsvorgänge“ sich das Auskunftsersuchen bezieht, wenn der Verantwortliche „eine große Menge an Informationen verarbeitet“. Eine solche große Menge wird man bei „Leistungs- und Verhaltensdaten“ regelmäßig annehmen können.
Der vom Arbeitsgericht aufgeworfene Gedanke der Bestimmtheit kommt aber im Zusammenhang mit Art. 15 Abs. 3 DSGVO voll zum Tragen. Da die gesetzliche Formulierung „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“ unbestimmt und auslegungsbedürftig ist (vgl. hierzu ausführlich Zikesch/Sörup, ZD 2019 im Erscheinen), kann mit dieser Formulierung ein Antrag auf Leistung nur schwerlich gestützt werden. Denn es fehlt am vollstreckungsfähigen Inhalt. Dies gilt nicht zuletzt auch deshalb, weil der Begriff der „Kopie“ nicht hinreichend klar ist. So lässt sich etwa auch fragen, ob der im Erwägungsgrund vorgesehene Fernzugang hierfür genügt und auch die Zurverfügungstellung von Rohdaten ausreicht.
b) Ebenso wenig zwingend ist die Annahme des Gerichts, dass die Beklagte verpflichtet sei, die Empfänger, gegenüber denen sie personenbezogene Daten des Klägers offengelegt hatte oder noch offenlegen wird, zu benennen. Das Gericht verkennt, dass es nach Art. 15 Abs. 1 Buchst. c DSGVO ausdrücklich auch ausreicht, nur die Kategorien von Empfängern zu benennen. Insbesondere bei großen Datenmengen und einem großen Adressatenkreis ist eine solche Vereinfachung sachgerecht. Denn die Nennung der konkreten Empfänger wird in der Praxis kaum umzusetzen sein. Durch die Nennung der Kategorien wird der Arbeitnehmer im Regelfall auch nicht benachteiligt, weil er durch sein Recht auf Herausgabe der Daten (Abs. 3) letztlich regelmäßig selbst nachvollziehen können dürfte, an wen die Daten konkret herausgegeben wurden.
c) Überhaupt nicht thematisiert wurde vom Gericht der Aspekt der Zumutbarkeit. Eine Auslegung von Art. 15 DSGVO dürfte richtigerweise auch dazu führen, dass nur Informationen in aggregierter Form, also die Aussage, dass bestimmte Daten gespeichert sind, und nicht jedes Einzel-Datum (also quasi jede E-Mail) herauszugeben sind. Das ergibt sich jedenfalls aus der Gesamtschau der Norm i.V.m. Erwägungsgrund 63 und Art. 12 Abs. 5 Satz 2 DSGVO. Art. 12 Abs. 5 Satz 2 DSGVO räumt ein Auskunftsverweigerungsrecht ein, wenn es sich um einen offenkundig unbegründeten oder exzessiven Antrag handelt. Unzumutbar ist nach Erwägungsgrund 62 DSGVO auch eine Auskunft, die nur mit unverhältnismäßigem Aufwand durchzuführen ist. Es gibt gute Gründe, Art. 14 Abs. 5 Buchst. b DSGVO analog auf das Recht auf Kopie gemäß Art. 15 Abs. 3 Satz 1 DSGVO anzuwenden und dem Datenverarbeiter den Einwand unzumutbaren Aufwands zu eröffnen (Härting, DSGVO 2016, Rn. 684). Dies schließt zwar das Recht auf Kopie nicht vollständig aus, ermöglicht jedoch in jedem Einzelfall eine sachgerechte Abwägung zwischen dem Aufwand, den ein Ersuchen für den Verantwortlichen bedeutet, und dem Nutzen, den der Betroffene aus den Kopien ziehen kann. Ein missbräuchliches Auskunftsverlangen, um die Lästigkeit im Verfahren zu erhöhen, lässt sich so ausschließen.
4. Das Gericht beschäftigt sich dann noch mit der Einschränkung des Auskunftsanspruchs durch Rechte Dritter. Seine Ausführungen beschränkt es dabei auf den Schutz von Hinweisgebern im Whistleblowing-System der Beklagten (§§ 34 und 29 BDSG sowie Art. 15 Abs. 4 DSGVO). Letztlich soll der Einwand der Beklagten deswegen scheitern, weil der Whistleblowerschutz und die Zusage der Geheimhaltung gegenüber den Hinweisgebern „per se“ keinen Schutz bildet, sondern substanziiert vorgetragen werden muss, wie deren Rechte gefährdet werden. Es ist richtig, dass eine Einzelfallabwägung durchzuführen ist, wenn nur vereinbarte und nicht gesetzliche Geheimhaltungspflichten bestehen. Hierbei wird aber der europarechtlich vorgesehene Schutz des Whistleblowers als gewichtiger Abwägungsfaktor (vgl. hierzu auch die Anforderungen an die Anonymität von Whistleblowern für die datenschutzrechtliche Zulässigkeit, vgl. DSK Orientierungshilfe für Whistleblower Hotlines v. 17.01.2018) berücksichtigt werden müssen. Dies steht allzu überspannten Anforderungen an die Darlegungslast zwingend entgegen.
Nicht erwähnt wird vom Gericht in diesem Zusammenhang auch, dass die Rechte Dritter vor allem auch bei E-Mails regelmäßig berührt sein werden, weil in jeder E-Mail auch personenbezogene Daten der Korrespondenzpartner enthalten sind. Auch dies muss im Rahmen der Gesamtabwägung Berücksichtigung finden.


D.
Auswirkungen für die Praxis
Mit der Entscheidung des LArbG Stuttgart liegt erstmals eine – für andere Gerichte unverbindliche – Interpretation zum Art. 15 DSGVO vor. Auch wenn die Entscheidung in vielen Punkten methodisch nicht überzeugt, ist nicht auszuschließen, dass sich andere Arbeitsgerichte hieran orientieren könnten. Auch die Datenschutzbehörden haben sich zu der Frage des Auskunftsrechts noch nicht einheitlich positioniert, wenngleich einzelne Aufsichtsbehörden die Tendenz erkennen lassen, hier einen pragmatischen Lösungsweg zu gehen.
Bis zur Entscheidung des BAG bzw. des EuGH sind Arbeitgeber gut beraten, die Verweigerung von Auskünften möglichst substanziiert darzulegen.
Doch auch das Auskunftsverlangen sollte sorgfältig formuliert sein. Beschränkt man sich darauf, die bloße Gesetzesformulierung des Art. 15 DSGVO zum Antragsinhalt zu machen, kann es dazu kommen, dass man am Ende Steine statt Brot erhält, wenn der Anspruch nicht vollstreckbar ist.
Streitig wird in der Zukunft sicherlich auch noch die Frage werden, ob der Auskunftsanspruch auch ausschließlich dazu verwendet werden darf, um den Gegner „auszuhorchen“. Jedenfalls im Zivilprozess sind hier durch § 421 ZPO Grenzen gesetzt. Diese zivilprozessuale Regelung könnte durch den Auskunftsanspruch im Sinne eines US-amerikanischen „Discovery Verfahrens“ womöglich ausgehebelt werden, sofern Gerichte einem solchen Vorgehen keine Grenzen setzen.



Das "größte juris zum Festpreis".

juris Spectrum

juris Spectrum

Jetzt hier informieren!

Cookies erleichtern uns die Bereitstellung und Verbesserung unserer Dienste. Mit der Nutzung unserer Webseiten erklären Sie sich einverstanden, dass wir Cookies verwenden. Der Nutzung können Sie in unserer Datenschutzrichtlinie widersprechen.

Einverstanden
X