Neuigkeiten aus Europa zum datenschutzrechtlichen Auskunftsanspruch

Besonders umstritten war in diesem Zusammenhang der Umfang der Auskunftspflicht bezogen auf konkrete Daten. Art. 15 Abs. 3 DSGVO regelt nämlich, dass der Verantwortliche „eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind,“ zur Verfügung stellen muss. So überrascht es wenig, dass diese Auskunftsrechte – zweckwidrig – auch immer wieder als Druckmittel in Trennungsszenarien verwendet werden. Dazu trug insbesondere bei, dass für fehlende oder fehlerhafte Auskünfte Schadensersatzansprüche zugesprochen wurden – und zwar unabhängig davon, ob tatsächlich ein konkreter Schaden entstanden war und wie erheblich dieser war (z.B. LAG Niedersachsen, Urt. v. 22.10.2021 – 16 Sa 761/20; ArbG Düsseldorf, Urt. v. 2.12.2022 – 19 Sa 756/22).

Eine leichte Entwarnung gab es allerdings durch eine erste Entscheidung des BAG, wenn auch nur auf prozessualer Ebene. Das BAG verlangte nämlich, dass die gewünschten Daten genau bezeichnet werden. Sei das nicht möglich, stehe die sog. Stufenklage zur Verfügung, wonach zunächst Auskunft über vorhandene Daten verlangt werden könne, um sodann deren Aushändigung geltend zu machen (BAG, Urt. v. 16.12.2021 – 2 AZR 235/21). Die Entwarnung ist indes begrenzt, da sich Streitigkeiten schlicht in die erste Stufe der Stufenklage vorverlagern können.

Auf inhaltlicher Ebene – also hinsichtlich der Reichweite des Anspruchs – bleibt die Entwarnung weiterhin aus. Mit Urteil vom 4. Mai 2023 (C - 487/21) hielt der Europäische Gerichtshof (EuGH) nämlich fest, dass mit dem datenschutzrechtlichen Auskunftsanspruch nach Art. 15 Abs. 3 DSGVO auch eine Kopie, die die originalgetreue und vollständige Reproduktion aller Daten und der Auszüge von Datenbanken abbildet, verlangt werden kann. Einer inhaltlichen Einschränkung des Anspruchs wurde hier also eine Absage erteilt. Bereits in einer früheren Entscheidung wurde zudem geurteilt, dass im Regelfall im Rahmen des Auskunftsanspruchs dritte Empfänger, an die Daten weitergeleitet wurden, grundsätzlich konkret benannt werden müssen und der Verweis auf lediglich „Kategorien von Empfängern“ nur im Ausnahmefall zulässig ist (Urt. v. 12.1.2023 – C-154/21).

Eine dritte Entscheidung des EuGH aus jüngerer Zeit sorgt allerdings immerhin auf der Rechtsfolgenseite für eine gewisse Erleichterung (Urt. v. 4.5.2023 – C 300/21). In dieser Entscheidung ging es um die Frage, wann bei Nicht-Erfüllung des Auskunftsanspruchs ein Schadensersatz besteht. Zu Erinnerung: Einige Landesarbeitsgerichte hatten einen Schadensersatz auch ohne das Vorliegen eines konkreten Schadens angenommen. Der EuGH wählte den salomonischen Mittelweg: Ein Schadensersatz setze zwar keine Erheblichkeitsschwelle voraus, auf den Nachweis eines Schadens könne jedoch nicht gänzlich verzichtet werden. Damit stellt sich der EuGH in eine Reihe mit zunehmend kritischen Entscheidungen deutscher Landesarbeitsgerichte (z.B. LAG Hamm, Urt. v. 2.12.2022 – 19 Sa 756/22).

Es bleibt somit dabei: Die Erfüllung des datenschutzrechtlichen Auskunftsanspruchs ist mühsam, zeitraubend und potenziell fehleranfällig. Jedenfalls in Bezug auf in der Folge geltend gemachte Schadensersatzansprüche kann durch die neue EuGH-Entscheidung jedoch eine weitere Verteidigungslinie eröffnet werden. Hier ist indes noch völlig unklar, wo die Gerichte die Schwelle für einen Schadensnachweis sehen werden. Man kann also nur weiterhin dazu raten, etwaige Ansprüche nach bestem Wissen und Gewissen fristgemäß und vollständig zu erfüllen.