Auskunftsanspruch über interne Abläufe im Unternehmen?
Ein ehemaliger Mitarbeiter einer Bank hört, dass sich die Innenrevision seines Ex-Arbeitgebers intensiv mit Unterlagen über ihn befasst. Er möchte vom Arbeitgeber wissen, welche Mitarbeiter wann auf welche Daten von ihm zugegriffen haben. Die Bank verweigert wichtige Teile der Auskunft. Die Datenschutzaufsicht gibt ihr Recht. Wie sieht der EuGH die Angelegenheit?
Was hat sich ereignet?
Jemand war Mitarbeiter einer Bank und dort zugleich auch Kunde. Im Jahr 2014 erfuhr er, dass einige frühere Kollegen bankintern mehrfach Daten abgefragt hatten, die ihn als Kunde der Bank betrafen. Zunächst nahm er das einfach so hin. Dann kündigte ihm die Bank. Daraufhin wurde er im Jahr 2018 aktiv. Er fordert von der Bank Auskunft darüber, welche Mitarbeiter der Bank damals seine Kundendaten abgefragt hatten. Außerdem interessiert ihn der Zweck der Datenabfrage.
Welche Reaktionen auf sein Auskunftsersuchen erlebte der Betroffene?
Zum Zweck der Abfrage teilte die Bank ihrem früheren Mitarbeiter mit, dass die bankinterne Revision klären wollte, ob er sich korrekt verhalten hatte. Es sei nämlich der Verdacht aufgekommen, dass er es sich bei seiner Tätigkeit in unzulässigen Interessenskonflikten befunden habe. Darüber, welche konkreten Mitarbeiter der Bank die Daten abgefragt hatten, verweigerte die Bank jedoch jede Auskunft.
Daraufhin wandte sich der Betroffene an die Datenschutzaufsicht. Dort kam er jedoch auch nicht weiter. Die Datenschutzaufsicht hielt das Verhalten der Bank für rechtmäßig.
Wie ist die Sichtweise des EuGH zum Auskunftsanspruch?
Der Europäische Gerichtshof (EuGH) sah die Dinge differenzierter. Er argumentiert wie folgt:
- Nach dem Wortlaut von Art. 15 Datenschutz-Grundverordnung (DSGVO) hat eine betroffene Person unter anderem ein Recht auf Auskunft über die Empfänger, gegenüber denen seine personenbezogenen Daten offengelegt worden sind.
- Stellt man nur auf den Wortlaut der Regelung ab, hätte der Betroffene somit auch einen Anspruch auf Auskunft darüber, welche Mitarbeiter seines Ex-Arbeitgebers auf seine Daten zugegriffen hatten.
- Diese Sichtweise wird jedoch den Besonderheiten eines Beschäftigungsverhältnisses nicht gerecht.
- Sofern Beschäftigte im Rahmen ihres Beschäftigungsverhältnisses Daten im Einklang mit den Weisungen ihres Arbeitgebers verarbeiten, sind sie nicht als Empfänger der Daten anzusehen, die sie verarbeiten. Das ergibt sich daraus, dass sie bei der Verarbeitung lediglich den Weisungen ihres Arbeitgebers folgen. Es wäre deshalb verfehlt, sie als eigenständige Empfänger von Daten anzusehen.
- Das führt in aller Regel dazu, dass ein Verantwortlicher keine Auskunft darüber erteilen muss, welche seiner Beschäftigten wann auf bestimmte Daten zugegriffen haben.
Somit war es aus der Sicht des EuGH korrekt, dass im vorliegenden Fall der Betroffene eine solche Auskunft nicht erhält.
Welche Sondersituation beurteilt der EuGH anders?
Allerdings weist der EuGH auf eine wichtige Ausnahme von diesen Grundsätzen hin. Es geht um die Situation, dass jemand als Beschäftigter an seinem Arbeitsplatz Daten für private Zwecke abruft. Das ist dann von den Weisungen des Arbeitgebers nicht gedeckt. Ganz im Gegenteil: Ein solches Verhalten ist dem Arbeitgeber unerwünscht.
Für diese Situation gilt aus der Sicht des EuGH: Wenn ein Beschäftigter sich nicht an die von seinem Arbeitgeber festgelegten Verfahren hält und auf eigene Initiative unrechtmäßig die Daten von Kunden oder anderen Beschäftigten abfragt, gilt er durchaus als „Empfänger von Daten“. Denn dieses Verhalten lässt sich seinem Arbeitgeber nicht zurechnen. In solchen Ausnahmefällen muss der Arbeitgeber Auskunft über die Identität des Mitarbeiters erteilen, der Daten für private Zwecke abgefragt hat.
Vorliegend spielte diese Ausnahme jedoch keine Rolle. Es gab keinerlei Anhaltspunkte dafür, das Mitarbeiter Anfragen aus privaten Motiven durchgeführt hätten.
Was ist bei Kündigungsschutzverfahren zu erwarten?
Mit ein wenig Fantasie lässt sich ausmalen, dass die geschilderte Ausnahme vor allem dann eine Rolle spielt, wenn es bei der unrechtmäßigen Abfrage um Daten eines Mitarbeiters geht, dem inzwischen gekündigt worden ist. Dieser Mitarbeiter wird dann versuchen, im Zusammenhang mit dem Kündigungsschutzprozess auch seinen Auskunftsanspruch geltend zu machen.
Zwar wird die Auskunft für sich allein nur selten dazu führen, dass er den Kündigungsschutzprozess gewinnt. Als Mittel, um die Vergleichsbereitschaft des Ex-Arbeitgebers zu fördern, taugt ein solches Vorgehen alle Mal.
Wo finden Sie das vollständige Urteil des EuGH zum Auskunftsanspruch?
EuGH, Urteil vom 22. Juni 2023-C – 579/21; abrufbar unter https://curia.europa.eu/juris/document/document.jsf?text=&docid=268629&pageIndex=0&doclang=DE&mode=lst&dir=&occ=first&part=1&cid=2741262
