Auf Anfrage einer betroffenen Person muss ein Unternehmen darüber Auskunft geben, welche personenbezogenen Daten von ihr verarbeitet, gespeichert oder weitergegeben werden. Diese Informationspflicht gemäß Art. 13, 14 DSGVO spricht sich allmählich herum, zunehmend mehr Verbraucher machen von Ihrem Recht auf Auskunft Gebrauch. Doch viele Unternehmen sind auf solche Anfragen nicht ausreichend vorbereitet – besonders wenn sie von Mitarbeitern oder ehemaligen Beschäftigen stammen.
Anfragen von (ehemaligen) Mitarbeitern bedenken
In vielen Unternehmen wurde das Auskunftsrecht der Betroffenen zunächst unterschätzt. Kernproblem sind die eigentlichen Prozesse: Ein Unternehmen muss sich erst einmal in der Lage befinden, alle relevanten Informationen zu ermitteln, um diese der betroffenen Person mitteilen zu können.
Erfreulicherweise hat sich seit Inkrafttreten der DSGVO viel getan, zahlreiche Unternehmen sind inzwischen besser vorbereitet und können auf entsprechende Auskunftsersuchen angemessen und fristgerecht reagieren. Zumindest wenn solche Anfragen von Kunden stammen, denn sobald es um Daten mit Personenbezug geht, denken viele Entscheider vorrangig an diese Gruppe von Betroffenen.
Allerdings verarbeiten Unternehmen auch Daten ihrer Beschäftigen. Diese haben – und das wird gelegentlich übersehen – ebenfalls ein Auskunftsrecht. Sowohl gegenwärtig Beschäftigte als auch ehemalige Mitarbeiter können jederzeit erfragen, welche ihrer personenbezogenen Daten ein Arbeitgeber verarbeitet, speichert und weitergibt.
Der Teufel steckt im Detail
Sobald es um Informationspflichten bezüglich Personaldaten geht, besteht eine der größten Herausforderungen darin, diese vollständig zu erfassen. Vor allem in kleinen und mittleren Unternehmen wird gerne unterschätzt, auf wie vielfältige Art und Weise diese Daten verarbeitet werden.
Üblicherweise reicht die Verarbeitung weit über das Speichern in einer Mitarbeiterdatenbank hinaus. Typisch sind u.a. Auftragsverarbeitungen durch beispielsweise externe Lohnbuchhalter oder Anbieter von Zeiterfassungssystemen. Sofern derartige Verarbeitungen stattfinden, sind diese im Rahmen der Auskunft ebenfalls darzulegen.
Aufgepasst bei unvollständiger oder verspäteter Auskunft
Das Arbeitsgericht Düsseldorf musste sich mit der Klage eines Mannes befassen, der eine Schadensersatzzahlung von seinem früheren Arbeitgeber forderte. Das Unternehmen hatte den Auskunftsantrag nicht fristgerecht und außerdem unvollständig beantwortet. Die Klage wurde zwar abgewiesen, dem früheren Arbeitgeber des Klägers jedoch eine Schadensersatzzahlung in Höhe von 5.000 Euro auferlegt (ArbG Düsseldorf, Urt. v. 05.03.2020, Az. 9 Ca 6557/18).
Fazit
Die Betroffenenrechte gemäß DSGVO sorgen für mehr Transparenz in der Datenverarbeitung – und das nicht nur aus Sicht des Betroffenen. Unternehmen müssen ihre eigenen Prozesse ausreichend verstehen und stetig, hinsichtlich möglicher Veränderungen im Unternehmen, neu betrachten, um Auskunftsanträge angemessen und fristgerecht bearbeiten zu können. Im Hinblick auf die gesetzlichen Vorschriften stellt diese für zahlreiche Unternehmen eine große Herausforderung dar. Die Anfertigung eines Verzeichnisses der Verarbeitungstätigkeiten – idealerweise in einem Datenschutzmanagementsystem – zur Identifikation der Prozesse, bei den personenbezogene Daten verarbeitet werden, ist dabei hilfreich.
Unsere Datenschutzspezialisten sind mit passenden Lösungsansätzen aus dem Arbeitnehmerdatenschutz vertraut und arbeiten gerne auch für Sie praxisgerechte Lösungen aus. Gerne helfen wir Ihnen weiter – nutzen Sie unsere kostenlose Erstberatung.