Allen medialen Prognosen zum Trotz ist die große Abmahnungs- und Bußgeld-Welle nach Inkrafttreten der DSGVO (bislang) ausgeblieben. Stattdessen bereitet derzeit das im Vorfeld weniger beachtete Recht auf eine Datenkopie in vielen Unternehmen Kopfzerbrechen. Während Rechtsnatur, Reichweite und Einschränkungen dieses Rechts auf dogmatischer Ebene noch intensiv diskutiert werden müssen, wird in der Praxis der Ruf nach konkreten Handlungsanweisungen lauter. Der Beitrag befasst sich anlässlich der Entscheidung des LAG Baden-Württemberg v. 20.12.2018, (CR 2019, 304 m. Anm. Lensdorf) mit den Spezifika der Datenkopie im Arbeitsverhältnis.

Ein Leitfaden zur Handhabung in der betrieblichen Praxis

I. Die Geltendmachung der Datenkopie

1. Eigenständige Geltendmachung oder bloße Rechtsfolge der Auskunft?

2. Art und Weise der Geltendmachung

a) Außergerichtliche Geltendmachung
b) Gerichtliche Geltendmachung

II. Erste Reaktionsmöglichkeiten des Arbeitsgebers

1. Identifikationsmaßnahmen

2. Ablehung des Antrags

a) Rechtsmissbrauch
b) Einwand nicht datenschutzrechtlicher Zwecke
c) Begründungspflicht

3. Verlangen eines Entgelts

4. Aufforderung zur Konkretisierung

a) Möglichkeiten zur Präzisierung
b) (Un-)Verhältnismäßiger Aufwand
c) Vorbereitungsmaßnahmen

5. Fristverlängerung

III. Die Erteilung der Kopie

1. "Was ist eigentlich eine Kopie"?

2. Beschränkungen

a) Anwendungsbereich der DSGVO
b) Keine Herausgabe von "Aufbewahrungsdaten"

c) Rechte Dritter; Betriebs- und Geschäftsgeheimnisse
aa) Verpflichtung zur "Unkenntlichmachung"
bb) Teleologische Reduktion?

IV. Fazit

I. Die Geltendmachung der Datenkopie

[1] Erste praxisrelevante Probleme ergeben sich bereits bei der Geltendmachung des Rechts auf eine Datenkopie.

1. Eigenständige Geltendmachung oder bloße Rechtsfolge der Auskunft?

[2] Härting (CR 2019, 219 ff.)¹  hat die ganz grundlegende Frage erörtert, ob das Recht auf eine Datenkopie überhaupt eigenständig geltend gemacht werden kann.

[3] Hintergrund dieser Fragestellung ist das ungeklärte Verhältnis zwischen dem zweistufig aufgebauten Auskunftsrecht nach Art. 15 Abs. 1 DSGVO und dem in Art. 15 Abs. 3 Satz 1 DSGVO verankerten Recht auf eine Datenkopie. ²  Während einige Autoren die Eigenständigkeit des Rechts auf eine Datenkopie betonen ³ , sehen andere darin nur einen Annex der Auskunft, der keiner eigenständigen Geltendmachung zugänglich ist. ⁴

[4] Härting arbeitet überzeugend heraus, dass die Befürworter eines eigenständigen Herausgabeanspruchs die besseren Argumente auf ihrer Seite haben. Den von Härting genannten Argumenten für eine Eigenständigkeit des Rechts auf eine Datenkopie ist noch hinzuzufügen, dass sich Art. 15 Abs. 3 Satz 1 DSGVO weder auf eine „Handlungsanweisung“ beschränkt noch es an der Benennung (eigener) Anspruchsvoraussetzungen fehlt. ⁵  Vielmehr setzen Art. 15 Abs. 1 Halbs. 2 DSGVO und Art. 15 Abs. 3 Satz 1 DSGVO gleichermaßen voraus, dass der Anspruchsgegner als Verantwortlicher ⁶  die personenbezogenen Daten des Anspruchsstellers als betroffener Person ⁷  nach Maßgabe von Art. 2 Abs. 1 DSGVO verarbeitet. Diese Voraussetzungen sind im Wortlaut der Norm auch abgebildet. Deshalb ist die häufig so bezeichnete „erste Stufe des Auskunftsanspruchs“, ⁸  also die Frage nach dem „Ob“ der Datenverarbeitung gem. Art. 15 Abs. 1 Halbs. 1 DSGVO, nicht nur der Auskunft nach Art. 15 Abs. 1 Halbs. 2 DSGVO, sondern auch dem Recht auf eine Datenkopie vorgelagert.

2. Art und Weise der Geltendmachung

[5] Das Erfordernis einer eigenständigen Geltendmachung führt zu der Folgefrage nach der richtigen Art und Weise der Geltendmachung.

a) Außergerichtliche Geltendmachung

[6] Art. 15 Abs. 3 DSGVO sieht dafür keine spezielle Form vor. In Betracht kommt daher eine mündliche Geltendmachung, ebenso wie eine Geltendmachung in Text- oder Schriftform. ⁹  In inhaltlicher Hinsicht dürfen ebenfalls keine zu hohen Anforderungen an die Geltendmachung gestellt werden. Im Arbeitsverhältnis genügt es, wenn ein Arbeitnehmer gegenüber dem Arbeitgeber erklärt, er verlange eine Kopie seiner personenbezogenen Daten, die von diesem verarbeitet werden. Ein berechtigtes Interesse oder eine bestimmte (datenschutzbezogene) Motivation muss der Arbeitnehmer nicht darlegen. ¹⁰  Dafür spricht die herausgehobene Bedeutung des Art. 15 DSGVO im Zusammenhang mit der Vorbereitung der weiteren Betroffenenrechte nach den Art. 16 ff. DSGVO. ¹¹  Dem wäre nicht hinreichend Rechnung getragen, wenn bereits die Anforderungen für die Geltendmachung zu hoch angesetzt würden.

[7] Praxistipp: Arbeitgebern ist wegen Art. 12 Abs. 2 Satz 1 DSGVO zu empfehlen, (...)

Hier direkt weiterlesen im juris PartnerModul IT-Recht