Betroffenenrechte: Die
Datenschutz-Grundverordnung (DS-GVO) ist ein klassisches Verbraucherschutzgesetz.
Es geht darum, die Grundrechte der Menschen (natürlichen Personen) insbesondere das Recht auf freie Entfaltung, das Recht auf Achtung des Privat- und Familienlebens gemäß dem deutschen Grundgesetz sowie der europäischen Grundrechtecharta zu schützen. Von der Datenschutz-Grundverordnung und den Regelungen zum Datenschutz sind daher alle Unternehmen betroffen, die Arbeitnehmer (=Privatpersonen) beschäftigen. Da es sich um eine recht „junge“ Gesetzgebung handelt, gibt es viele Gerüchte, Halbwahrheiten und Ängste, die in Bezug auf die Pflichten und Rechte der Datenschutz-Grundverordnung kursieren.
Die Datenschutz-Grundverordnung (DS-GVO) ist ein klassisches Verbraucherschutzgesetz. Es geht darum, die Grundrechte der Menschen (natürlichen Personen) insbesondere das Recht auf freie Entfaltung, das Recht auf Achtung des Privat- und Familienlebens gemäß dem deutschen Grundgesetz sowie der europäischen Grundrechtecharta zu schützen. Von der Datenschutz-Grundverordnung sind daher alle Unternehmen betroffen, die Arbeitnehmer (=Privatpersonen) beschäftigen. Da es sich um eine recht „junge“ Gesetzgebung handelt, gibt es viele Gerüchte, Halbwahrheiten und Ängste, die in Bezug auf die Pflichten und Rechte der Datenschutz-Grundverordnung kursieren.
Wie schon gesagt, ist die DS-GVO ähnlich wie ein Verbraucherschutzgesetz zu sehen und es gibt diverse Regeln (allgemeine Bestimmungen sowie Grundsätze zum Datenschutz geregelt in Art. 1 – 11 DS-GVO) aber auch zahlreiche Betroffenenrechte, die im Kapitel drei der Datenschutz-Grundverordnung aufgeführt sind.
Überblick der Betroffenenrechte:
Informationspflicht – Die Artikel 13 und 14 schreiben vor, dass betroffene Personen vom datenverarbeitenden Verantwortlichen, bei erster Erhebung, über die Datenverarbeitung informiert werden.
Auskunftsrecht nach Art. 15 – Die betroffenen Personen müssen Auskunft darüber bekommen können, ob deren Daten verarbeitet werden und wenn ja, haben Sie Anspruch auf Detailinformationen hierzu (mehr im Folgenden).
Recht auf Berichtigung – Daten müssen korrekt gespeichert werden, daher dürfen betroffene Personen Korrektur verlangen (Art. 16).
Recht auf Löschung ("Vergessenwerden") – Eine betroffene Person kann verlangen, dass ihre Daten gelöscht werden, sofern keine anderweitige Verpflichtung (gesetzliche Aufbewahrungspflicht o.ä.) besteht (Art. 17).
Recht auf Sperrung der Daten – Artikel 18 regelt den Fall, dass ggfs. eine betroffene Person das Recht auf Vergessenwerden geltend macht, jedoch die Daten noch für beispielsweise Verteidigung von Rechtsansprüchen benötigt werden können. Dann ist diese Datenverarbeitung zumindest einzuschränken.
„Multiplikatorpflicht“ des Verantwortlichen - Der Verantwortliche, der die Daten der betroffenen Person gelöscht, gesperrt bzw. korrigiert hat, hat auch die Empfänger, denen die personenbezogenen Daten offengelegt wurden, darüber zu informieren (z.B. externe Dienstleister; Art. 19).
„Recht auf Datenübertragbarkeit – Artikel 20 ist derzeit noch relativ praxisfremd. Hier geht es darum, dass personenbezogene Daten in einem automatisierten bzw. digitalen Format sowohl der betroffenen Person selber, als auch einem anderen Verantwortlichen übermittelt werden können. In der Praxis fehlt es aber bislang häufig an der Einheitlich- bzw. Lesbarkeit des Formates.
Widerspruchsrecht des Betroffenen nach Artikel 21 – Hier geht es nicht um den Widerruf einer zuvor erteilten Einwilligung, sondern um den Widerspruch von Datenverarbeitungen im Rahmen des „berechtigten Interesses“ nach Art. 6 Abs. 1 lit. f DS-GVO.
Sollten personenbezogene Daten (z.B. im Rahmen von Werbemaßnahmen) ohne vorherige Einwilligung, also lediglich gestützt auf das vermeintlich gewichtigere Interesse des Verantwortlichen gegenüber den Rechten und Freiheiten des Betroffenen verarbeitet werden, so kann der Betroffene der Datenverarbeitung widersprechen.
Automatisierte Entscheidungsfindung / Profilbildung – Eine natürliche Person darf nicht einer rein automatisierten Entscheidungsfindung unterworfen werden, aus denen sich Folgen für diese Person ergeben (z.B. wirtschaftlicher Natur – Zinssatz o.ä.), es sei denn sie willigt ein oder diese Entscheidungsfindung ist für den Vertrag erforderlich etc. (Art. 22)
Benachrichtigung im Falle eines Datenschutzverstoßes – Letztlich regelt Artikel 34 noch die Benachrichtigungspflicht der betroffenen Person im Falle eines Datenschutzverstoßes. Hier wird gesagt, dass die Benachrichtigung erfolgen muss, wenn voraussichtlich ein hohes Risiko für die betroffene Person vorliegt – es ist demnach ein gewisser Ermessensspielraum vorhanden.
Aufgrund der Komplexität der einzelnen Betroffenenrechte, aber auch weil sich viele der Rechte schon von alleine erklären, möchten wir uns nun mit dem Auskunftsrecht etwas genauer und praxisbezogener beschäftigen – nämlich in Bezug auf das Arbeitsverhältnis.
Das Auskunftsrecht in Bezug auf das Arbeitsverhältnis:
Viele Arbeitgeber haben befürchtet, dass (noch) Arbeitnehmer, mit denen die Schließung eines Abfindungsvertrages ansteht, den Artikel 15 DS-GVO als Verhandlungsgrundlage für eine erhöhte (vielleicht auch unverhältnismäßige) Abfindungszahlung nutzen werden. Warum das?
Nun ja, wie in so vielen Rechtsgebieten ist die Formulierung dieses Artikels sehr vage gehalten.
Schauen wir uns nun mal das Gesetz an. In Artikel 15 wird das Auskunftsrecht in vier Absätzen geregelt. Insgesamt gibt es eine Regelung in zwei Stufen: Zunächst geht es darum, ob personenbezogene Daten verarbeitet werden. Steht eine Verarbeitung fest, dann hat der Betroffene ein Recht zu erfahren:
Der Verantwortliche stellt ggfs. eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, in einem gängigen (ggfs. elektronischen) Format zur Verfügung.
In Erwägungsgrund 63 zum Auskunftsrecht heißt es sogar: „Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde“. Die erstmalige Auskunft ist kostenfrei, für alle Weiteren kann ein angemessenes Entgelt berechnet werden (zur Deckung der damit verbundenen Verwaltungskosten).
Das Auskunftsrecht ist begrenzt durch die Rechte und Freiheiten anderer Personen – diese dürfen nicht beeinträchtigt werden (z.B. Geschäftsgeheimnisse oder Rechte des geistigen Eigentums / Urheberrechte etc.).
Wie man daran sieht – insbesondere die weitgehende Aussage in Erwägungsgrund 63 (s.o.) und auch das Recht auf Kopie aus Art. 15 Abs. 3 DS-GVO – ist das Auskunftsrecht grundsätzlich sehr weitläufig.
Konkretes Beispiel für Betroffenenrechte anhand eines Arbeitsverhältnisses:
Schaut man auf das konkrete Beispiel für Betroffenenrechte anhand eines Arbeitsverhältnisses, so ist dies u.U. für den Arbeitgeber problematisch.
Eine Studie des Instituts der deutschen Wirtschaft hat ergeben, dass die Betriebszugehörigkeit in Deutschland durchschnittlich elf Jahre beträgt. In dieser Zeit sammeln sich etliche personenbezogene Daten in Leistungs-/ Verhaltens-/ Kommunikations-/ Notiz-/ Personaldatenbanken etc. an – man denke allein an den Schriftverkehr aus zehn Jahren sowohl in Papier- als auch in elektronischer Form, Daten in Notizen oder Mails, in denen der Betroffene lediglich erwähnt wird, jedoch nicht in erster Linie Kommunikationspartner ist!
Allein die Selektion dieser angesammelten personenbezogenen Daten ist „Sisyphus-Arbeit“ und beinahe unmöglich zu schaffen. Die Investition an Zeit und Geld ist unermesslich.
Und trotzdem hat das Landesarbeitsgericht Baden-Württemberg (Az.: 17 Sa 11/18) ein wichtiges Urteil zum Auskunftsrecht nach der DS-GVO gefällt, in dem diese „weitläufige“ Auslegung des Art. 15 bestätigt wurde.
Da zahlt ein Unternehmer doch lieber erhöhte Abfindungszahlungen, oder?!
Aber wo führt das hin, wenn die DS-GVO ein Unternehmen in dieser Form „erpressbar“ macht.
Betroffenenrechte - Das Beispiel einer Klägerin:
Ein aktuelles Urteil des Landgerichts Köln (Urteil vom 18.03.2019, Az.: 26 O 25/18) hat einem umfassenden Auskunftsanspruch des Betroffenen auf „alle“ Daten, die zu seiner Person gespeichert sind, eine Absage erteilt.
Konkret ging es um eine Klägerin, die ihrem Anbieter zweier Lebensversicherungen, aufgrund einer vorherigen Meinungsverschiedenheit zu Beitragsfreistellungen bzw. später zu einer Beitragserhöhung, auf komplette Offenlegung der Daten über ihre Person gemäß Art. 15 Abs.1 DS-GVO verklagt hatte.
Die beklagte Versicherungsgesellschaft hat bereits sämtliche Daten über die Klägerin zur Verfügung gestellt, u. a. im Rahmen von jährlichen Informationsschreiben. Aufgrund dessen wurde der Auskunftsanspruch als unbegründet zurückgewiesen. Ein weitergehender Auskunftsanspruch steht der Klägerin nicht zu, nachdem die Beklagte auch während des Prozesses wiederholt Auskünfte erteilt hat und der Rechtsstreit insoweit übereinstimmend für erledigt erklärt wurde.
Das LG Köln hat sich hierbei sehr stark an der einschlägigen Rechtsprechung zum Art. 15 Abs. 1 DS-GVO orientiert. Hiernach steht der betroffenen Person ein umfassender Anspruch auf Auskunft über sie betreffende verarbeitete personenbezogene Daten, sowie weitere Informationen zu. Die Information muss u.a. auch – wie oben bereits dargestellt – die Verarbeitungszwecke, die Empfänger von Daten und die geplante Dauer der Speicherung enthalten. Gemäß Artikel 4 Nr. 1 DS-GVO sind „personenbezogene Daten“ in diesem Sinne alle Informationen, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen. Eine „Verarbeitung von Daten“ stellt gemäß Artikel 4 Nr. 2 DS-GVO jeder Vorgang im Zusammenhang mit personenbezogenen Daten dar. Insofern ergibt sich ein umfassendes Auskunftsrecht bezogen auf die gespeicherten bzw. verarbeiteten personenbezogenen Daten. Dies beinhaltet Daten wie Namen oder Geburtsdatum genauso wie jegliche Merkmale, die die Identifizierbarkeit einer Person ermöglichen können, z.B. Gesundheitsdaten, Kontonummer u.a. Hierbei kann auch auf sonstige Akten, ärztliche Gutachten etc. zurückgegriffen werden – also auch Daten anderer Quellen sind vom Auskunftsrecht umfasst.
Der Auskunftsanspruch soll ihm Rahmen des Prinzips der Fairness erfolgen
Somit stellt die DS-GVO nicht eine vereinfachte bzw. ausgelagerte Buchführung der betroffenen Personen (hier der Klägerin) dar, sondern nur eine Beurteilungsmöglichkeit für diese, den Umfang und Inhalt der Verarbeitung ihrer personenbezogenen Daten einschätzen zu können.
Artikel 15 Abs. 3 DS-GVO besagt entsprechend, dass der Betroffene eine Kopie (lediglich) der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, erhält. Im vorliegenden Fall hat die Beklagte verschiedene Auskünfte und Informationen erteilt und angegeben, dass weitere personenbezogene Daten über die Klägerin nicht gespeichert seien bzw. verarbeitet wurden.
Aufgrund der Meinung der Klägerin, nicht alle Daten erhalten zu haben, hat das Landgericht Köln die Klägerin gefragt, welche Daten noch hätten verarbeitet werden können. Hier wurden keine weiteren konkreten Anhaltspunkte genannt. Demnach wurde der Auskunftsanspruch als unbegründet zurückgewiesen.
Dieses Urteil lässt nun auch in Bezug auf die vorher dargestellte Erpressungsmöglichkeit im Rahmen von Abfindungsgesprächen hoffen.
Vorlage / Muster für eine Auskunftsersuchung im Sinne der Betroffenenrechte
Damit Sie ihr Recht auf Auskunft wirksam nutzen können, ist es hilfreich auf vorformulierte Musterbriefe zurückzugreifen. Hier eine beispielhafte Vorlage für ein Auskunftsersuchen:
Sehr geehrte Damen und Herren,
hiermit mache ich mein Recht nach Art. 15 DSGVO geltend und ersuche Auskunft über personenbezogene Daten meiner Person, sofern diese von Ihnen gespeichert wurden.
In dem Fall darf ich Sie bitten, mir folgende Informationen mitzuteilen.
- Welche Daten über meine Person konkret gespeichert oder verarbeitet werden und auf welcher Rechtsgrundlage die Speicherung oder Verarbeitung beruht.
- Den Verarbeitungszweck meiner Daten
- Die Herkunft meiner Daten
- Die Empfänger oder Kategorien von Empfängern, die meine Daten erhalten haben oder künftig noch erhalten werden
- Die geplante Dauer für die Speicherung meiner Daten
- Ob eine automatisierten Entscheidungsfindung einschließlich Profiling durchgeführt wird und falls dies geschieht geben Sie mir aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen der automatisierten Entscheidungsfindung
- Besteht die Absicht, meine Daten an ein Drittland zu übermitteln? Falls dem so ist, welche Garantien für die DSGVO-Konforme Verarbeitung meiner Daten liegen vor?
- Informationen über mein Widerspruchsrechts gegen die Verarbeitung sowie die Anschrift der zuständigen Aufsichtsbehörde
- Welche technischen und organisatorischen Maßnahmen werden getroffen um meine Daten zu schützen?
Gemäß Art. 12 Abs. 3 DSGVO, müssen Auskunftserteilungen unverzüglich, spätestens aber innerhalb eines Monats erfolgen. Sollte ich innerhalb dieser Frist keine Auskunft von Ihnen erhalten haben, werde ich mich an die zuständige Aufsichtsbehörde wenden.
Mit freundlichen Grüßen
Vorlage für ein Antwortschreiben auf ein Auskunftsersuchen
Falls Sie Verantwortlicher im Sinne des Datenschutz sind, finden Sie unter dem folgenden Link eine Vorlage/ bzw. Musterantwort auf ein Auskunftsersuchen einer betroffenen Person. Diese kann als Basis Ihrer Antwort auf ein Auskunftsersuchen wie dem Obigen dienen.
Fazit
Es zeigt, dass die DS-GVO im Sinne der Betroffenenrechte nicht dazu führt, dass Unternehmen ausgelagerte Speicherstellen für Betroffene sind.
Der Auskunftsanspruch soll im Rahmen des Prinzips der Fairness erfolgen und nicht ausgenutzt werden als Aushorch-/Ausforschungsanspruch geschweige denn als Grundlage für Abfindungsverhandlungen.
Katrin Dahmen
