Immer wieder tauschen sich Beschäftigte in Internet-Foren zu verschiedenen Aspekten ihres Berufslebens aus, so auch zum Thema „Personalakte“. In diesem Zusammenhang wird dann insbesondere auch über die folgenden Fragen diskutiert:
Habe ich ein Recht auf Einsicht in meine Personalakte?
Kann ich eine Kopie meiner Personalakte verlangen?
Da Auskunftsbegehren von Beschäftigten viele Arbeitgeber, besonders bei langen Betriebszugehörigkeiten, mitunter vor große Herausforderungen stellen, sollen hier – in aller Kürze – die wichtigsten Aspekte aufzeigt werden, die aus datenschutzrechtlicher Sicht beachtet werden sollten.
Gleichzeitig ist darauf hinzuweisen, dass den Beschäftigten neben dem datenschutzrechtlichen Auskunftsanspruch gemäß Art. 15 DSGVO zudem auch ein arbeitsrechtlicher Anspruch auf Einsicht in ihre Personalakten gemäß § 83 Betriebsverfassungsgesetz (BetrVG) zusteht. Das Auskunftsrecht nach Art. 15 Abs. 1 u. 2 DSGVO ist jedoch weitreichender als das Einsichtsrecht nach § 83 BetrVG.
Sowohl elektronische als auch in Papierform geführte Personalakten unterfallen dem Datenschutz
Da in den Personalakten oftmals umfangreiche und mitunter auch hochsensible Beschäftigtendaten wie u.a. Lebenslauf, Beurteilungen, Gehaltsabrechnungen u. dgl. enthalten sind, unterfallen diese Akten, gleichgültig, ob sie elektronisch oder in Papierform geführt werden, dem Datenschutz, der auf europäischer Ebene durch die Datenschutzgrundverordnung (DSGVO) und – in Ergänzung hierzu – auf nationaler Ebene durch das Bundesdatenschutzgesetz (BDSG) näher geregelt ist.
Das Recht auf Auskunft – Informationen (Art. 15 Abs. 1 u. 2 DSGVO)
Das Recht auf Auskunft gemäß Art. 15 Abs. 1 u. 2 DSGVO bildet die Grundlage für die Geltendmachung von weiteren Betroffenenrechten, da nur Beschäftigte, die über die von ihnen gemäß Art. 15 Abs. 1 u. 2 DSGVO angeforderten Informationen verfügen, in einem zweiten Schritt u.a. ihre Rechte auf Löschung (Art. 17 DSGVO) oder Berichtigung (Art. 16 DSGVO) ggfs. wahrnehmen können.
- Zunächst haben die Beschäftigten das Recht, von der verantwortlichen Stelle zu erfahren, ob Daten zu ihrer Person verarbeitet werden.
- Darüber hinaus haben die Beschäftigten das Recht auf Auskunft hinsichtlich der in Art. 15 Absatz 1 lit. a bis h und Abs. 2 DSGVO aufgeführten Informationen, so u.a. zum Zweck der Verarbeitung, zu den Kategorien der verarbeiteten personenbezogenen Daten, zum Empfänger bzw. zu Kategorien von Empfängern der Daten und deren Herkunft, zur Dauer der Datenspeicherungen und zu Vorkehrungen für einen sicheren Datentransfer im Fall der Datenübermittlung und Datenverarbeitung in Staaten, die (wie z.B. die USA) kein der DSGVO gleichwertiges Schutzniveau aufweisen.
Das Recht auf Auskunft – Erteilung von Kopien (Art. 15 Abs. 3 u. 4 DSGVO)
Neben den soeben umrissenen Informationsansprüchen steht den Betroffenen das Recht auf „Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind“, zu (Art. 15 Abs. 3 DSGVO).
Dabei stellt sich die Frage nach der Reichweite des „Rechts auf Kopie“ im Falle von pauschal gehaltenen Auskunftsbegehren und auch bei Beschäftigten mit einer langen Betriebszugehörigkeit, denn hier haben sich in vielen Jahren umfangreiche personenbezogene Daten zu unterschiedlichsten Vorgängen in der Personalakte angesammelt.
Folgt man dem Gesetzeswortlaut, so müssten den betreffenden Beschäftigten grundsätzlich zu sämtlichen Vorgängen Kopien zur Verfügung gestellt werden, was aber insbesondere kleinere und mittlere Unternehmen vor große Herausforderungen stellt. In derartigen schwierigen Fällen empfiehlt sich eine klärende Rücksprache mit dem betreffenden Beschäftigten, um dessen Informationsinteresse ggfs. eingrenzen bzw. konkretisieren zu können.
Dessen ungeachtet, gehen die deutschen Datenschutzaufsichtsbehörden im Grundsatz jedoch von einem umfassenden Auskunftsrecht und einem ebenso umfassenden Recht auf Kopie aus.
Im Ergebnis ist somit festzuhalten, dass im Falle eines entsprechenden Begehrens den Beschäftigten grundsätzlich zu allen in der Personalakte abgelegten bzw. gespeicherten Vorgängen Kopien zur Verfügung gestellt werden müssen.
Ausnahmen zur Informationserteilung bzw. Bereitstellung von Kopien
Die grundsätzlich umfassende Verpflichtung zur Informationserteilung bzw. zur Bereitstellung von Kopien ist u.a. in zwei Fallgestaltungen eingeschränkt:
- Durch die Informationserteilung und die Bereitstellung von Kopien dürfen gem. Art. 15 Abs. 4 DSGVO „die Rechte und Freiheiten anderer Personen nicht beeinträchtigt“
Daher sollte der Arbeitgeber vor der Informationserteilung und der Bereitstellung von Kopien prüfen und abwägen, ob dem evtl. Rechte anderer Personen, insbesondere auch die Rechte anderer Beschäftigter entgegenstehen. Sollte dies der Fall sein, sind entsprechende Schwärzungen zu empfehlen.
- Aus Satz 5 des Erwägungsgrunds 63 (Auslegungshilfe zu Art. 15 DSGVO) ergibt sich, dass durch das Auskunftsrecht keine „Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software“ des Arbeitgebers beeinträchtigt werden sollen.
Daher sollten verantwortliche Stellen vor der Informationserteilung abwägen, ob ihre Geschäftsgeheimnisse der begehrten Auskunft ganz oder teilweise entgegenstehen. Diese Vorbehalte müssen allerdings nachvollziehbar dokumentiert werden. Im Übrigen sind bejahendenfalls entsprechende Schwärzungen zu empfehlen.
Formen und Fristen
Hier sollte insbesondere beachtet werden:
- Die gem. Art. 15 DSGVO zu erteilenden Informationen sollen den Betroffenen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermittelt werden“, wobei die Übermittlung der Informationen schriftlich oder ggfs. auch elektronisch erfolgen kann – so Art. 12 Abs. 1 DSGVO.
- Die gem. Art. 15 DSGVO zu erteilenden Informationen und/ oder Dokumente sind den Betroffenen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Auskunftsersuchens zur Verfügung zu stellen. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl zu bearbeitender Auskunftsersuchen erforderlich ist. In einem solchen Fall sollen die Betroffenen jedoch innerhalb eines Monats einen Zwischenbescheid über die Notwendigkeit einer Fristverlängerung erhalten, zusammen mit einer Erläuterung der Verzögerungsgründe (Art. 12 Abs. 3 DSGVO).
Ass. jur. Wolfgang Spitz ist seit über 30 Jahren für verschiedene Unternehmen, insbesondere aus den Bereichen Forderungs- und Informationsmanagement, als betrieblicher Datenschutzbeauftragter (bDSB) tätig. Er hat sich umfassende Kenntnisse über datenschutzrechtliche Vorschriften auf nationaler und europäischer Ebene angeeignet. In seiner Funktion als bDSB berät er Verantwortliche und Mitarbeiter in allen Fragen des Datenschutzes. Er ist gleichzeitig Ansprechpartner für Betroffene, die Fragen zur Verarbeitung ihrer Daten und zur Wahrnehmung ihrer Rechte haben. Herr Spitz hält einen engen und vertrauensvollen Kontakt zu den Datenschutzaufsichtsbehörden.
