Inhalt dieses Beitrags
Der Auskunftsanspruch nach Art. 15 DSGVO gibt jedem Beschäftigten das Recht zu erfahren, welche personenbezogenen Daten der Arbeitgeber über ihn verarbeitet. In der Praxis ist er längst mehr als ein Transparenzinstrument: Er wird häufig als Hebel in arbeitsrechtlichen Auseinandersetzungen eingesetzt. Dieser Beitrag erklärt Reichweite, Grenzen und Fallstricke – aus Sicht des Arbeitgebers, der richtig reagieren muss.
Was ist der Auskunftsanspruch nach Art. 15 DSGVO?
Ein Recht auf Bestätigung, Auskunft und eine Kopie der eigenen Daten. Verarbeitet der Arbeitgeber personenbezogene Daten eines Beschäftigten, kann dieser verlangen, dass ihm bestätigt wird, ob und welche Daten verarbeitet werden. Zur Auskunft gehören nach Art. 15 Abs. 1 lit. a bis h DSGVO unter anderem die Verarbeitungszwecke, die Kategorien der Daten, die Empfänger, die geplante Speicherdauer, das Bestehen von Betroffenenrechten und die Herkunft der Daten. Nach Art. 15 Abs. 3 DSGVO ist zusätzlich eine Kopie der verarbeiteten Daten zur Verfügung zu stellen.
Welche Daten sind im Arbeitsverhältnis erfasst?
Der Begriff der personenbezogenen Daten ist weit: Personalstammdaten, Gehalts- und Zeiterfassungsdaten, Beurteilungen, E-Mails mit Personenbezug, Vermerke und – wie die Rechtsprechung zeigt – auch Tatsachenangaben in internen Untersuchungsberichten fallen darunter. Nicht jede Unterlage ist aber in Gänze ein „personenbezogenes Datum“ des Anfragenden. Bewertungen, rechtliche Würdigungen und die interne Meinungsbildung des Arbeitgebers sind vom Auskunftsanspruch grundsätzlich nicht umfasst, soweit sie über Tatsachen zur Person hinausgehen. Diese Abgrenzung ist der wichtigste Filter bei der Beantwortung.
Kopie der Daten oder Kopie des Dokuments?
Der Anspruch richtet sich auf die Daten, nicht auf das Dokument. Der EuGH hat geklärt, dass Art. 15 Abs. 3 DSGVO keinen eigenständigen Anspruch auf Herausgabe ganzer Schriftstücke gewährt. Die „Kopie“ meint die vollständige Kopie der verarbeiteten personenbezogenen Daten (EuGH, Urteile v. 26.10.2023 – C-307/22 und v. 4.5.2023 – C-487/21; ebenso BFH, Urteil v. 12.3.2024 – IX R 35/21). Nur wenn die Reproduktion von Auszügen oder ganzen Dokumenten unerlässlich ist, um die Daten verständlich zu machen und die Betroffenenrechte wirksam auszuüben, besteht ausnahmsweise ein Anspruch auf die Quelle selbst – die Darlegungslast dafür trägt die betroffene Person. Wie eng die Gerichte das bei Compliance-Berichten handhaben, zeigt unsere Besprechung des Urteils BAG: Muss der Arbeitgeber den Compliance-Bericht herausgeben?
Welche Fristen und Formalien gelten?
Der Arbeitgeber muss unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags tätig werden (Art. 12 Abs. 3 DSGVO). Bei besonders komplexen oder zahlreichen Anträgen ist eine Verlängerung um bis zu zwei weitere Monate möglich, über die zu informieren ist. Die Auskunft ist im Grundsatz unentgeltlich. Bei offenkundig unbegründeten oder exzessiven Anträgen kann ein angemessenes Entgelt verlangt oder die Bearbeitung verweigert werden – dafür ist der Arbeitgeber darlegungs- und beweispflichtig.
Wie reagiert der Arbeitgeber richtig auf ein Auskunftsersuchen?
Mit einem festen Ablauf statt mit Reflex. Auskunftsersuchen kommen im Arbeitsverhältnis oft nicht isoliert, sondern als Vorbereitung einer streitigen Auseinandersetzung – etwa vor einer Kündigungsschutzklage. Wer strukturiert vorgeht, wehrt unberechtigte Teile ab und erfüllt den berechtigten Kern rechtssicher:
- Antrag und Identität prüfen: Ist die anfragende Person die betroffene Person? Worauf richtet sich der Antrag konkret?
- Frist notieren: Ein-Monats-Frist ab Eingang (Art. 12 Abs. 3 DSGVO), Verlängerung nur begründet und mit Mitteilung.
- Daten zusammenstellen: Alle Systeme und Akten sichten, in denen Beschäftigtendaten liegen – ein vorbereitetes Datenverzeichnis spart hier Zeit.
- Tatsachen von Bewertung trennen: Die personenbezogenen Daten offenlegen, interne Würdigungen, Strategie und Angaben Dritter dagegen schützen.
- Nicht pauschal verweigern: Eine unberechtigte Totalabwehr ist das größte Risiko – die richtige Antwort ist die differenzierte, nicht die Blockade.
Wann darf der Arbeitgeber die Auskunft einschränken?
Nur in engen Grenzen – und nie pauschal. Nach Art. 15 Abs. 4 DSGVO darf das Recht auf Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Angaben, die Dritte identifizieren – etwa Hinweisgeber oder Zeugen –, sind zu schwärzen oder zu anonymisieren, statt die Auskunft ganz zu verweigern. § 34 BDSG in Verbindung mit § 29 BDSG kann den Anspruch weiter beschränken, etwa bei Geheimhaltungspflichten. Auch der Einwand des Rechtsmissbrauchs kommt in Betracht, ist aber restriktiv zu handhaben: Die betroffene Person muss ihre Motive für das Auskunftsverlangen nicht offenlegen, sodass ein bloßer „Ausforschungsverdacht“ nicht genügt.
Welche Folgen hat eine falsche oder verspätete Auskunft?
Eine unberechtigte Verweigerung oder eine unvollständige Auskunft kann teuer werden. Nach Art. 82 DSGVO drohen Schadensersatzansprüche, die auch immaterielle Schäden erfassen können. Wie systematisch das inzwischen ausgenutzt wird, zeigt der Auskunftsanspruch abgelehnter Bewerber. Hinzu kommen mögliche Bußgelder und aufsichtsbehördliche Verfahren. Der sicherste Weg ist deshalb nicht das Blockieren, sondern die differenzierte Antwort: die personenbezogenen Daten offenlegen, die schützenswerte interne Bewertung und die Rechte Dritter dabei wahren.
Was bedeutet das für die Praxis?
Wer als Arbeitgeber vorbereitet ist, kann Auskunftsverlangen souverän beantworten: ein Überblick, wo welche Beschäftigtendaten verarbeitet werden (data mapping), ein definierter Prozess mit klaren Fristen und die konsequente Trennung von Tatsachenfeststellungen einerseits und Bewertungen, Strategie und rechtlicher Würdigung andererseits. Diese Trennung zahlt sich besonders bei internen Untersuchungen aus. Als Boutique für arbeitgeberseitiges Arbeitsrecht unterstützen wir Sie bei Auskunftsansprüchen im Beschäftigtendatenschutz – von der Prüfung des Antrags bis zur rechtssicheren Antwort. Sprechen Sie uns an.
