Wie behält der Arbeitnehmer nach Beendigung des Beschäftigungsverhältnisses die Hoheit über seine Daten?

Viele Arbeitnehmer sorgen sich während des laufenden Angestelltenverhältnisses wenig um die Datenverarbeitung ihrer personenbezogenen Daten durch ihren Arbeitgeber. Nachdem das Beschäftigungsverhältnis beendet ist, ändert sich jedoch die Situation und Perspektive. Es stellt sich die Frage, welche Rechte Arbeitnehmer gegenüber dem ehemaligen Arbeitgeber haben.

Anhand eines aktuellen Urteils (Az.: 9 Sa 73/21) werden einige häufig auftretende Probleme besprochen.

1. Die Löschung einer Abmahnung aus der Personalakte

Ein ehemaliger Angestellter verlangt die Löschung einer vor Beendigung des Beschäftigungsverhältnisses ausgesprochenen Abmahnung aus der Personalakte. Dem ehemaligen Angestellten steht hier das Betroffenenrecht auf Löschung gem. Art. 17 DSGVO zu.

Ist ein Vermerk in der Personalakte ein „personenbezogenes Datum“? Das Verständnis von „personenbezogenen Daten“ der DSGVO geht über das gemeinhin geläufige Verständnis wie beispielsweise Geburtsdatum oder Geschlecht hinaus. Umfasst sind alle Informationen, die sich auf eine betroffene Person beziehen gem. Art. 4 Abs. 1 Nr. 1 DSGVO. Nach diesem weiten Verständnis fällt auch eine vom Arbeitgeber ausgesprochene Abmahnung, welche in der Personalakte vermerkt ist, darunter.

Doch wann ist eine solche Abmahnung zu löschen? Zunächst einmal stellt eine Personalakte ein Dateisystem im Sinne von Art. 4 Nr. 6 DSGVO dar, womit gem. Art. 2 Abs. 1 DSGVO der Anwendungsbereich von Art. 17 Abs. 1 lit. a DSGVO eröffnet ist. Fraglich ist nun, ob der Zweck des Vermerks der Abmahnung in der Personalakte auch nach Beendigung des Beschäftigungsverhältnisses fortbesteht.

Die Abmahnung dient zunächst der Rüge eines unerwünschten Verhaltens und soll darüber hinaus den Mitarbeiter vor einer möglichen Beendigung des Beschäftigungsverhältnisses warnen. Ist das Beschäftigungsverhältnis beendet, bestehen beide Zwecke nicht weiter fort. Weder muss der Mitarbeiter gerügt werden, noch vor einer ohnehin schon erfolgten Beendigung der Zusammenarbeit gewarnt werden.

Das Landesgericht hat daher einen Anspruch auf Löschung einer Abmahnung aus der Personalakte bejaht, wenn das Beschäftigungsverhältnis nicht mehr besteht.

2. Wie kann ein Auskunftsanspruch aus Art. 15 DSGVO richtig gerichtlich geltend gemacht werden?

Ehemalige Angestellte können gem. Art. 15 DSGVO Auskunft darüber verlangen, ob und welche personenbezogenen Daten Unternehmen von ihnen verarbeiten. Darüber hinaus ist es auch möglich, Auskünfte über die Modalitäten und Zwecke der Verarbeitung zu erhalten.

Aufgrund des großen Umfangs der möglichen Informationen besteht die Gefahr, dass der Antrag des Betroffenen zu ungenau ausfällt und es deshalb an der Bestimmtheit fehlt. Ein unbestimmter Antrag kann im Falle der Klage nicht zwangsvollstreckt werden, da unklar ist, was die Zwangsvollstreckung umfassen würde. Genau solch einen Antrag hat das Landgericht in seinem Urteil abgelehnt.

Oftmals hat der ehemalige Angestellte jedoch vor dem Antrag noch keinerlei Informationen darüber, welche personenbezogenen Daten das Unternehmen verarbeitet hat. Wie kann er trotzdem einen Antrag stellen, der nicht mangels Bestimmtheit vor Gericht durchfällt?

Hier bietet sich die Möglichkeit der Stufenklage an. Auf erster Stufe kann Auskunft darüber verlangt werden, über welche personenbezogenen Daten das Unternehmen überhaupt verfügt. Auf zweiter Stufe kann eine eidesstaatliche Versicherung über diese Auskunft verlangen werden. Diese kann der ehemalige Angestellte dann wiederum auf der dritten Stufe nutzen und seinen Antrag konkretisieren.

Eine Fristsetzung an das Unternehmen ist dabei nicht notwendig und bei einer Frist unter einem Monat auch gegenstandslos. Art. 12 Abs. 3 DSGVO schreibt die Monatsfrist vor.

3. Besteht trotz unbestimmten Antrags vor Gericht ein Anspruch auf Schadensersatz wegen Nichterfüllung des Auskunftsanspruchs?

Dass ein Anspruch auf Auskunft gerichtlich wegen Unbestimmtheit nicht durchsetzbar ist, bedeutet nicht, dass er materiellrechtlich nicht besteht. Die mangelnde Durchsetzbarkeit vor Gericht ist eine Frage der Zwangsvollstreckung. Gegenüber dem Verantwortlichen genügt es, dass sich aus dem Antrag ergibt, dass der Betroffene seine Rechte geltend machen möchte.

Kommt das Unternehmen seinen Verpflichtungen verspätet und / oder unvollständig nach, macht es sich schadensersatzpflichtig.

4. Kann ein Alleingesellschafter neben dem Unternehmen haften?

Auch ein Alleingesellschafter kann dabei Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO sein. In Betracht kommt dies etwa, wenn er die Datenverarbeitung selbst vornimmt oder gegenüber dem Betroffenen als Verantwortlicher auftritt. In diesem Fall haften das Unternehmen und der Alleingesellschafter als Gesamtschuldner.

Marc E. Evers

Rechtsanwalt

zert. DSB

zert. DS-Auditor

Milan Walbaum

Wissenschaftlicher Mitarbeiter