Im Rahmen von arbeitsrechtlichen Auseinandersetzungen kommt regelmäßig das Datenschutzrecht ins Spiel. Eine aktuelle Entscheidung des Landesarbeitsgerichts (LArbG) Baden-Württemberg zeigt exemplarisch, welche datenschutzrechtlichen Fragestellungen dann aufgeworfen werden. Konkret behandelt der vorliegende Fall die Löschung einer Abmahnung aus der Personalakte, den häufig anzutreffenden Auskunftsanspruch aus Art. 15 DSGVO sowie Fragen der datenschutzrechtlichen Haftung.
Der Inhalt im Überblick
Was war passiert?
Inhaltlich war vor dem Landesarbeitsgericht Baden-Württemberg (Az.: 9 Sa 73/21) bis zuletzt einiges streitig geblieben. Unstreitig ist aber, dass der Kläger eine Ausbildung zum Sport- und Gesundheitstrainer sowie Sport- und Fitnesskaufmann bei dem beklagten Unternehmen machte. Im Laufe des Ausbildungsverhältnisses mahnte der Alleingesellschafter des beklagten Unternehmens den Kläger ab. Der Alleingesellschafter bezeichnete sich selbst in dem Abmahnschreiben als „Inhaber“ des Unternehmens. Das Unternehmen begründete die Abmahnung damit, dass der ehemalige Auszubildende auf einem USB-Stick sensible Mitgliederinformationen gespeichert habe. Der ehemalige Auszubildende bestreitet diese Anschuldigungen. Klar ist nur, dass sich der USB-Stick mittlerweile im Besitz des Alleingesellschafters des Unternehmens befindet und die auf dem USB-Stick befindlichen Daten vom Alleingesellschafter gesichert worden sind.
Außergerichtlich machte der Kläger bereits einen Auskunftsanspruch nach Art. 15 DSGVO geltend und setzte dem Unternehmen hierfür eine Frist von 9 Tagen. Erst im Zuge der gerichtlichen Auseinandersetzung erteilte das beklagte Unternehmen schriftsätzlich dergestalt Auskunft, dass nur die für Erstellung des Arbeitszeugnisses notwendigen personenbezogenen Daten (Name, Geburtsdatum, Anschrift, Arbeitsplatzbeschreibung, Arbeitszeiterfassung) verarbeitet würden.
Da das Unternehmen auf das Auskunftsbegehren zunächst nicht reagierte und es später aus Sicht des Klägers auch nicht vollständig erfüllte, machte der Kläger den Auskunftsanspruch gerichtlich geltend und forderte außerdem die Abmahnung aus der Personalakte zu entfernen sowie vom Unternehmen und dem Alleingesellschafter gesamtschuldnerisch Schadensersatz in Höhe von 5.000 €.
Nachdem die Klage in der Vorinstanz (Arbeitsgericht Villingen-Schwenningen, Az.: 7 Ca 59/20) noch abgewiesen wurde, hatte die Berufung vor dem Landesarbeitsgericht zumindest teilweise Erfolg.
Entscheidung des Landesarbeitsgerichts
Das Landesarbeitsgericht hatte, neben dem Anspruch auf Löschung aus der Personalakte, über einen Auskunftsanspruch nach Art. 15 DSGVO sowie einen Schadensersatzanspruch zu entscheiden.
Anspruch auf Löschung der Abmahnung aus der Personalakte
Zunächst befasste sich das Gericht mit dem Anspruch auf Löschung der Abmahnung gemäß Art. 17 DSGVO.
Das beklagte Unternehmen vertrat die Auffassung, dass der Kläger seinen Anspruch nicht auf Art. 17 Abs. 1 lit. a DSGVO stützen könne, da die DSGVO nicht anwendbar sei. Es fehle hierfür an einer elektronischen Datenverarbeitung. Das Gericht betont richtigerweise, dass der sachliche Anwendungsbereich der DSGVO keine elektronische Verarbeitung voraussetzt. Art. 2 Abs. 1 DSGVO schreibt das Folgende vor:
Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Es können daher auch nichtautomatisierte Verarbeitungen in den Anwendungsbereich der DSGVO fallen, sofern die personenbezogenen Daten in einem Dateisystem gespeichert sind oder werden sollen. Nach Auffassung des Gerichts ist eine Personalakte ein Dateisystem im Sinne von Art. 4 Nr. 6 DSGVO, so dass die DSGVO anwendbar ist.
Nachdem die Anwendbarkeit der DSGVO geklärt war, konnte sich das Gericht der Frage zuwenden, ob die Voraussetzungen des Löschungsanspruchs nach Art. 17 Abs. 1 DSGVO erfüllt waren. Aus Art. 17 Abs. 1 DSGVO folgt, dass personenbezogene Daten unverzüglich zu löschen sind, sofern diese für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind.
Abmahnung dienen grundsätzlich der Rüge eines beanstandeten Verhaltens und enthalten eine Warnfunktion im Hinblick auf eine drohende Beendigung des Arbeitsverhältnisses. Nach Beendigung des Arbeitsverhältnisses hat die Abmahnung keinerlei Bedeutung mehr und ist daher unverzüglich zu löschen. Die Entscheidung des Landesarbeitsgerichts Baden-Württemberg deckt sich insoweit mit der anderer Landesarbeitsgerichte, wie etwa einer Entscheidung des Landesarbeitsgerichts Sachsen-Anhalt.
Das Gericht bejahte daher einen Anspruch auf Löschung der Abmahnung aus der Personalakte.
Auskunftsanspruch nach Art. 15 DSGVO
Die Vorinstanz hatte den gerichtlich geltend gemachten Auskunftsanspruch nach Art. 15 DSGVO noch mit der Begründung verneint, dass der Kläger die Frist nach Art. 12 Abs. 3 DSGVO nicht eingehalten habe. Grundsätzlich hat der Verantwortliche der betroffenen Person unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags Informationen über gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen zur Verfügung zu stellen. Hier hatte der Kläger nur eine Frist von 9 Tagen gesetzt. Entgegen der Ansicht der Vorinstanz führt das aber nicht dazu, dass der Antrag des Betroffenen gegenstandslos wird. Vielmehr ist nur die Fristsetzung selbst gegenstandslos, so dass die gesetzliche Monatsfrist des Art. 12 Abs. 3 DSGVO Anwendung findet.
Der gerichtliche Antrag des Klägers, den Beklagten „zur Auskunft über seine personenbezogenen Daten“ zu verurteilen, war aber aus anderen zivilprozessualen Gründen unzulässig. Es fehlte hier an der erforderlichen Bestimmtheit des Klageantrags. Denn anders als bei einem Antrag auf Auskunft nach Art. 15 DSGVO, der sich rein an den Verantwortlichen richtet, kann ein Urteil zwangsvollstreckt werden. Hier hat der Kläger die personenbezogenen Daten, über die Auskunft gegeben werden soll, nicht näher konkretisiert. Sowohl der verwendete Begriff der „Auskunft“ als auch die Umschreibung der personenbezogenen Daten bleiben vage. Es bliebe daher im Fall einer Verurteilung unklar, worauf genau sich der Auskunftsanspruch erstreckt und wie dieser möglicherweise vollstreckt werden soll.
Nun könnte man sich fragen, wie der Kläger den gerichtlichen Antrag hätte konkretisieren können. Denn der Kläger wusste im Zweifel nicht, welche personenbezogenen Daten vom beklagten Unternehmen verarbeitet werden. Gerade deshalb hat er den Auskunftsanspruch ja geltend gemacht. Der Kläger hätte allerdings eine sogenannte Stufenklage erheben können. Bei dieser hätte der Kläger in der ersten Stufe verlangen können, dass das beklagte Unternehmen ihm mitteilt, über welche personenbezogenen Daten das Unternehmen verfügt. Auf einer zweiten Stufe hätte der Kläger dann eine eidesstattliche Versicherung über eben diese Auskunft verlangen können. Auf der dritten Stufe hätte der Kläger dann seinen Antrag mit den Informationen aus der ersten Stufe konkretisieren können. So aber hatte der Auskunftsanspruch wegen fehlender Bestimmtheit keinen Erfolg.
Schadensersatzanspruch gegen Unternehmen und Alleingesellschafter
Der Antrag des Klägers auf Zahlung von 5.000 € Schadensersatz war wiederum teilweise erfolgreich. Das Gericht sprach dem Kläger einen Schadensersatzanspruch in Höhe von 2.500 € zu. Denn der Auskunftsanspruch des Klägers war teils verspätet und teils gar nicht erfüllt worden.
Zunächst bejahte das Gericht einen Auskunftsanspruch des Klägers. Insbesondere führt der Umstand, dass der Auskunftsanspruch gerichtlich nicht bestimmt genug war, nicht dazu, dass der Auskunftsanspruch materiell nicht besteht. Anders als bei der gerichtlichen Geltendmachung des Auskunftsanspruchs reicht es aus, wenn für den Verantwortlichen erkennbar ist, dass der Betroffene seine Rechte geltend machen will.
Der Auskunftsanspruch richtet sich hierbei gegen den Verantwortlichen und damit gegen denjenigen, der über Zweck und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Verantwortlich im vorliegenden Fall ist zunächst das beklagte Unternehmen. Aber auch der Alleingesellschafter ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO. Dafür spricht unter anderem, dass er nach eigenen Angaben die Daten des USB-Sticks gesichert hat und er auf der von ihm unterzeichneten Abmahnung des Unternehmens als „Inhaber“ genannt worden ist.
Das Unternehmen und ihr Alleingesellschafter haben den Auskunftsanspruch nur teilweise erfüllt. Die Auskunft wurde verspätet und nur unvollständig erteilt. Denn über die Daten zur Anfertigung des Arbeitszeugnisses sind durch das Sichern des Inhalts des USB-Sticks weitere personenbezogene Daten des Klägers verarbeitet worden.
Da das Unternehmen und ihr Alleingesellschafter Art. 15 DSGVO verletzt haben, schulden sie dem Kläger gesamtschuldnerisch einen Betrag von 2.500 €.
Mit dem Arbeitsrechtsstreit kommt häufig der Datenschutzrechtsstreit
Anhand dieses Urteils wird deutlich, wie schnell eine ursprünglich arbeitsrechtlich geprägte Auseinandersetzung einen datenschutzrechtliche Einschlag bekommen kann. Gerade beim fast schon als Automatismus geltend gemachten Auskunftsanspruch dürfte sich nicht selten die Frage stellen, ob eine Auskunft verweigert werden kann, wenn sie datenschutzfremden Zielen dient. Auch wenn diese Frage im hier entschiedenen Fall keine Relevanz hatte, ruft der Fall nochmal die Bedeutung des Datenschutzes im Zusammenhang mit der Personalakte in Erinnerung. Der Schadensersatzanspruch hätte in der Höhe gegebenenfalls vermieden werden können, wenn nicht erst vier Monate nach Ablauf der Monatsfrist auf den Antrag reagiert worden wäre. Ein sorgfältiger Prozess zum Umgang mit Auskunftsverlangen kann helfen, derartige Schadensersatzzahlungen zu vermeiden.
