Immer wieder sind die Gerichte mit der Auslegung des Auskunftsanspruchs nach Art. 15 DSGVO beschäftigt. Mit Urteil vom 22. Juni 2023 (Rechtssache C-579/21) äußerte sich der EuGH zu der Frage, ob die DSGVO auch auf Datenverarbeitungen anwendbar ist, die vor deren Inkraftsetzung am 25. Mai 2018 datieren und konkretisiert erneut den Umfang des Auskunftsanspruchs. Wichtig ist auch die Bestätigung, dass Namen von betroffenen Mitarbeitern nur dann zu beauskunften sind, wenn dies unerlässlich ist. Zumindest insoweit ist das Urteil für Unternehmen als Verarbeiter von personenbezogenen Daten hilfreich.

Hintergrund: Der Fall.

Ein Mitarbeiter einer Bank war gleichzeitig auch Kunde der Bank. 2013 erfuhr er, dass Datenabfragen über ihn erfolgten. Am 29. Mai 2018 forderte er die Bank auf, ihm die Identität der Personen, die seine Kundendaten abgefragt hatten, den genauen Zeitpunkt der Abfragen sowie die Zwecke der Verarbeitung dieser Daten offenzulegen.

Die Bank erläuterte zwar den Hintergrund der Abfragen, weigerte sich aber, Identitäten der abfragenden Mitarbeiter preiszugeben.

Der Mitarbeiter wendete sich darauf hin an die zuständige Datenschutzbehörde und klagte gegen deren ablehnende Reaktion.

Die Entscheidung.

Das Urteil des EuGH bestätigte, dass die DSGVO, die am 25. Mai 2018 in Kraft getreten ist, für Datenverarbeitungsanfragen gilt, die nach diesem Datum gestellt werden, auch wenn die tatsächliche Datenverarbeitung vor diesem Datum erfolgte.

Der EuGH stellte ferner fest, dass die DSGVO dahin auszulegen ist, dass es sich bei Informationen, die Abfragen personenbezogener Daten einer Person betreffen und die sich auf den Zeitpunkt und die Zwecke dieser Vorgänge beziehen, um Informationen handelt, die der Kläger von dem Verantwortlichen verlangen darf.

Art. 15 DSGVO gehe aber nicht so weit, dass auch Informationen über solche Arbeitnehmer herausgegeben werden müssen, die zu beauskunftende Vorgänge im Einklang mit den Weisungen des Verantwortlichen ausgeführt haben. Anders nur, wenn diese Informationen unerlässlich sind, um es der betroffenen Person zu ermöglichen, die ihr durch diese Verordnung verliehenen Rechte wirksam wahrzunehmen.

irrelevant für den Umfang des Auskunftsanspruchs ist laut EuGH, dass der Kläger vormals bei der Bank als Verantwortlicher angestellt gewesen ist. Dieser Umstand verwehrt den ihm nicht die Möglichkeit, den Anspruch geltend zu machen.

Praxis.

Die Entscheidung des EuGH ist nicht überraschend und bestätigt die derzeitig großzügige Linie in Bezug auf die Auslegung des Art. 15 DSGVO (siehe dazu zuletzt etwa unseren Blog zur Rechtssache C-300-21).

Die Tatsache, dass nun für den EuGH feststeht, dass auch Datenverarbeitungen vor dem 25. Mai 2018 zu beauskunften sind, unterstreicht noch einmal die Notwendigkeit eines guten Löschkonzepts. Daten, die nicht mehr vorhanden sind, müssen nicht mehr beauskunftet werden.

Zurecht unterstreicht der EuGH, dass ohne Vorliegen besonderer Umstände die Identität von datenverarbeitenden Mitarbeitenden nicht preisgegeben werden müssen.

Nichtsdestotrotz bleibt das Auskunftsverlangen nach Art. 15 DSGVO ein „heißes Eisen“, insbesondere im Falle beendeter Arbeitsverhältnisse. Gern wird es zu querulatorischen Zwecken genutzt. Auf „Hilfe“ durch Gerichte kann sich kaum verlassen werden. Daher gilt es gerade für Arbeitgeber, sich gut auf eingehende Auskunftsansprüche vorzubereiten. Gerne unterstützen wir Sie dabei.