Die ordnungsgemäße Erfüllung eines Auskunftsbegehrens nach Art. 15 DSGVO bereitet in der Praxis vielen Verantwortlichen nach wie vor Kopfzerbrechen. Nachdem sich erst kürzlich der Bundesgerichtshof (BGH) mit der Reichweite des Anspruchs befasst hat (wir berichteten), äußerte sich nun auch das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) zum Auskunftsanspruch. Der jüngste Tätigkeitsbericht der Behörde für das Jahr 2020 behandelt unter der Ziffer 11.2 den Auskunftsanspruch von (ehemaligen) Beschäftigten. Die Aufsichtsbehörde empfiehlt darin angesichts der typischerweise größeren Anzahl unterschiedlicher vom Arbeitgeber durchgeführten Verarbeitungstätigkeiten und von verarbeiteten Daten der Beschäftigten eine zweistufige Vorgehensweise zur Erteilung der Auskunft.
Schritt 1
Grundsätzlich reicht es nach Ansicht der Behörde in einem ersten Schritt aus, wenn der Arbeitgeber zunächst die Personalstammdaten des die Auskunft Begehrenden im Klartext mitteilt, so dass der (ehemalige) Beschäftigte erkennen kann, ob diese richtig sind, um dann gegebenenfalls einen Berichtigungsanspruch nach Art. 16 DSGVO geltend machen zu können. Mitgeteilt werden müssen demnach zunächst lediglich:
- Vor- und Nachname
- Geburtstag
- Adresse
- Geburtsort
Ansonsten genügt es laut dem BayLDA zunächst, wenn zum einen Auskunft zu den Kategorien von personenbezogenen Daten erteilt wird, die zum Betroffenen gespeichert sind und zum anderen zu den übrigen in Art.15 DSGVO aufgeführten Aspekten.
Schritt 2
Sollte der Anspruchsteller damit nicht zufrieden sein, muss er gemäß Erwägungsgrund 63 Satz 7 seinen Auskunftsanspruch nach Ansicht der Behörde präzisieren, auf welche Informationen und/oder Verarbeitungstätigkeiten sich das Auskunftsersuchen konkret bezieht. Erst nach dieser erfolgten Präzisierung sei der Arbeitgeber verpflichtet, die konkreten Daten mitzuteilen.
Ausbleibende Reaktion in jedem Fall unzulässig
Unabhängig vom konkreten Inhalt der Auskunft an den Anspruchsteller, müssen Arbeitgeber auf den Erhalt des Auskunftsbegehrens zwingend innerhalb der Monatsfrist des Art. 12 Abs. 3 DSGVO reagieren, also entweder die Auskunft erteilen oder eine Verlängerung um zwei weitere Monate ankündigen, wenn dies wegen der Komplexität oder der Anzahl von Anträgen erforderlich ist. Gar nicht zu reagieren ist somit nach Auffassung der Aufsichtsbehörde in jedem Fall unzulässig (Bußgeldgefahr!). Der Auskunftsanspruch (ehemaliger) Beschäftigter sollte demnach zwingend erfüllt werden.
Stand 05.10.2021