Auskunftsrecht nach DSGVO - KPMG Deutschland
close
Share with your friends

Auskunftsrecht nach der DSGVO versus unternehmensinterne Ermittlungen

Auskunftsrecht nach DSGVO

Lange wurde in der Praxis der unternehmensinternen Ermittlungen darüber diskutiert, ob und wann der Betroffene über die Tatsache einer gegen ihn stattfindenden internen Untersuchung und der daraus resultierenden Erkenntnisse zu informieren ist.

Ansprechpartner

Barbara Scheben

Partner, Compliance & Forensic, Head of Forensic Investigation, Head of Data Protection

KPMG AG Wirtschaftsprüfungsgesellschaft

Kontakt

Verwandte Inhalte

Mit Anwendung der EU-Datenschutz-Grundverordnung (DSGVO) kommt diesbezüglich ein neuer Aspekt hinzu: das Auskunftsrecht des Betroffenen.

Transparenz für den Betroffenen

Ein Unternehmen, das eine interne Ermittlung z.B. wegen des Verdachts auf Straftaten gegen einen Mitarbeiter durchführt, unterliegt der Pflicht, den Mitarbeiter gem. Art. 13, 14 DSGVO über die Verarbeitung seiner personenbezogenen Daten zu informieren. Allerdings kann es sich auf eine Ausnahme in § 32 BDSG berufen, nämlich dann, wenn die Erteilung der Information über die beabsichtigte Weiterverarbeitung die Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche beeinträchtigen würde. Dies dürfte während der Untersuchung selbst bis zu dem Zeitpunkt, in dem die Ergebnisse vorliegen, zu bejahen sein. Nach Beendigung der unternehmensinternen Untersuchung und mit Vorliegen des Ermittlungsergebnisses hat das Unternehmen die Information innerhalb einer angemessen Frist, spätestens jedoch innerhalb von zwei Wochen, nachzuholen.

Recht auf Auskunft

Was bedeutet in diesem Zusammenhang aber das Auskunftsrecht nach Art 15 DSGVO? Dieses gibt dem Betroffenen, z. B. dem Mitarbeiter, gem. Art. 15 DSGVO das Recht, von dem Unternehmen Auskunft darüber zu erhalten, welche personenbezogenen Daten zu welchem Zweck verarbeitet werden und wer diese gegebenenfalls erhalten hat. Dem Auskunftsersuchen ist unverzüglich, jedenfalls aber innerhalb einer einmonatigen Frist nach Eingang des Antrags, nachzukommen. Zudem hat der Betroffene das Recht, von dem Verantwortlichen eine Kopie seiner verarbeiteten personenbezogenen Daten zu erhalten.

Wie in der Presse bekannt wurde, hat nun ein Arbeitnehmer sein Auskunftsrecht gegenüber seinem Arbeitgeber geltend gemacht und Recht erhalten.

In einem bislang nicht veröffentlichten Urteil wurde dem beklagten Arbeitgeber auferlegt, die über den klagenden Arbeitnehmer vorliegenden Informationen offenzulegen – einschließlich der Informationen zu internen Ermittlungen gegen diesen Arbeitnehmer.

Nach Auffassung des Landesarbeitsgerichts berief sich der Arbeitnehmer zu Recht auf die DSGVO. Daran änderte auch der Einwand des Beklagten, man müsse die Anonymität der Hinweisgeber schützen, nichts. Der Arbeitgeber könnte sich nun in der Bredouille befinden: Bei Verstößen gegen das Auskunftsrecht drohen ihm nach der DSGVO Geldbußen in Höhe von bis zu 4 Prozent des Vorjahresumsatzes. Andererseits könnten bei Erteilung der Informationen die laufenden internen Ermittlungen gefährdet werden. Zudem wäre die zu schützende Anonymität eines Hinweisgebers nicht mehr gewährleistet.

Ausnahmen von der Pflicht zur Auskunftserteilung?

Aber auch das Recht auf Auskunft wird nicht ausnahmslos gewährt. So besteht dieses nach § 34 BDSG nicht, wenn der Betroffene initial nicht gem. § 33 BDSG zu informieren gewesen wäre. Dies betrifft solche Daten, die nicht beim Betroffenen selbst, sondern bei Dritten erhoben worden sind, z.B. bei Zeugen oder auf Datenträgern des Unternehmens. Der Betroffene dürfte u.E. in diesen Fällen kein Recht auf Auskunftserteilung haben, wenn die Erteilung der Auskunft die Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche beeinträchtigen würde. Auch diese Ausnahme dürfte für die Dauer der unternehmensinternen Ermittlung gegeben sein. Dies sollte jedenfalls dann gelten, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden Interessen eines Dritten, geheim gehalten werden müssen (§ 29 Abs. 1 S. 2 BDSG). Auf diesen Aspekt hatte auch das Landesarbeitsgericht abgestellt, allerdings die Voraussetzungen zum Teil verneint.

Der beklagte Arbeitgeber hat Revision eingelegt. Nun wird das Bundesarbeitsgericht darüber entscheiden müssen, ob ein Ausnahmetatbestand greift bzw. wie weit das Auskunftsrecht tatsächlich reicht. Obwohl das Urteil noch nicht rechtskräftig ist, gibt es genügend Anlass dazu, die DSGVO im Rahmen von unternehmensinternen Ermittlungen in allen Aspekten ernst zu nehmen. In jedem Fall zeigt das Urteil, dass alle Unternehmen angehalten sind, sich mit dem Anspruch auf Auskunftserteilung und dessen Folgen intensiv auseinanderzusetzen.

So kontaktieren Sie uns

 

Möchten Sie mit KPMG in Kontakt treten?

 

Angebotsanfrage (RFP)