Anspruch auf Herausgabe von E-Mail-Kopien nach Kündigung?

Artikel 15 DSGVO gewährt Betroffenen Anspruch auf Auskunft darüber, ob und welche personenbezogenen Daten ein Unternehmen bezüglich ihrer Person verarbeitet. Darüber hinaus können sie eine Kopie dieser Daten verlangen (vgl. Art. 15 Abs. 3 DSGVO). Dies gilt auch für (ehemalige) Mitarbeitende. Der Umfang dieses Kopieanspruches war lange Zeit unklar – insbesondere, ob Unternehmen lediglich eine Übersicht der verarbeiteten Daten zur Verfügung stellen müssen oder ob der Anspruch auch Kopien von Dokumenten oder zumindest Auszüge daraus, wie beispielsweise E-Mails, umfasst. 

Anspruch auf Herausgabe von E-Mailkopien 

Diese Unklarheit wurde zwischenzeitlich durch ein Urteil des Europäischen Gerichtshofs (EuGH) beseitigt. Dieser hat sich Mitte letzten Jahres zugunsten einer weiten Auslegung des Anspruchs auf Datenkopie positioniert (Urteil vom 4. Mai 2023, Rs. C-487/21). Der Auskunfts- und Kopieanspruch solle dem Betroffenen ermöglichen zu prüfen, ob die ihn betreffenden Daten richtig sind und in zulässiger Weise verarbeitet werden. Hierfür sei auch der Kontext, in dem die Daten verarbeitet werden, relevant. Dies gilt jedenfalls dann, wenn die Daten ohne eine entsprechende Kontextualisierung für den Betroffenen nicht verständlich sind oder es dem Betroffenen ohne ausreichenden Kontext nicht möglich ist, die Richtigkeit und Zulässigkeit der Datenverarbeitung zu prüfen. Dementsprechend könne der Anspruch auf Datenkopie auch die Herausgabe von Dokumentenauszügen oder sogar ganzen Dokumenten umfassen. 

Vor diesem Hintergrund kann (ehemaligen) Mitarbeitenden ein Anspruch auf Herausgabe von Kopien der beim Unternehmen verarbeiteten E-Mails zustehen. Die Geltendmachung eines solchen Anspruchs und dessen Erfüllung kann für Unternehmen zu erheblichem administrativem Aufwand führen. Im Arbeitsverhältnis finden – abhängig von dessen Art und Dauer – unzählige Verarbeitungsvorgänge statt, insbesondere dann, wenn dem Mitarbeitenden ein persönliches E-Mail-Postfach zur Verfügung gestellt wird. Im Grundsatz stellt jede E-Mail, die im Rahmen des Arbeitsverhältnisses versendet und empfangen wird, eine Datenverarbeitung dar. Hinzu kommt, dass der Anspruch in zeitlicher Hinsicht uneingeschränkt besteht, also auch Verarbeitungsvorgänge umfasst, die lange vor Inkrafttreten der DSGVO stattgefunden haben.  

Anspruch auf Datenkopie bezüglich eigener versendeter E-Mails 

Der BGH hat den Anspruch auf Datenkopie in einer neuen Entscheidung weiter konkretisiert (Urteil vom 5. März 2024, Az. VI ZR 330/21). Danach ist der Anspruch auf Datenkopie in der Regel auf E-Mails beschränkt, die von der betroffenen Person selbst versendet wurden. Die Inhalte solcher E-Mails seien insgesamt als personenbezogene Daten einzustufen, da die personenbezogene Information bereits darin bestehe, dass die betroffene Person sich gemäß dem Inhalt der E-Mail geäußert habe. 

Kein unbedingter Anspruch auf Datenkopie bezüglich sonstiger E-Mails 

Umgekehrt sind jedoch sonstige nicht von der betroffenen Person versandte E-Mails nicht per se in ihrer Gesamtheit als Kopie an die betroffene Person herauszugeben, sondern nur insoweit, wie sie personenbezogene Daten über diese Person enthalten. Nur in Fällen, in denen E-Mails ausschließlich Informationen über die betroffene Person enthalten – bei ehemaligen Mitarbeitenden etwa Leistungsbeurteilungen etc. – oder die in den E-Mails enthaltenen personenbezogenen Informationen und die Rechtmäßigkeit deren Verarbeitung ohne weitere Kontextualisierung nicht verständlich bzw. nachvollziehbar sind, sind solche E-Mails vollständig oder zumindest auszugsweise in Kopie herauszugeben. 

Beschränkung des Anspruchs auf Datenkopie wegen Rechte Dritter 

Zusätzlich ist vor einer Herausgabe von Datenkopien zu prüfen, inwieweit der Herausgabe Rechte oder Freiheiten anderer Personen entgegenstehen (z.B. Geschäftsgeheimnisse oder personenbezogene Daten anderer Mitarbeitender). Insoweit muss eine Interessenabwägung zwischen dem Auskunftsinteresse des Anspruchsstellers und den Geheimhaltungsinteressen der anderen Person erfolgen. 

Kein Anspruch bei Rechtsmissbrauch

Angesichts dieser Rechtslage verwundert es nicht, wenn der datenschutzrechtliche Auskunftsanspruch und der Anspruch auf Herausgabe einer Datenkopie in arbeitsrechtlichen Auseinandersetzungen zweckentfremdet als Druckmittel für Vergleichsverhandlungen oder zur Vorbereitung der Geltendmachung sonstiger Ansprüche gegen das Unternehmen eingesetzt werden.  

Exzessive Auskunftsbegehren 

Zum Leid der betroffenen Unternehmen hat der EuGH den Einsatz der datenschutzrechtlichen Auskunftsrechte für andere, nicht in der DSGVO vorgesehene Zwecke zuletzt gestattet und restriktiveren Auffassungen einiger deutscher Gerichte eine Absage erteilt. Dennoch empfiehlt es sich, sorgfältig zu prüfen, ob und inwieweit der Anspruch auf Datenkopie überhaupt besteht oder es sich um eine rechtsmissbräuchliche Rechtsausübung handelt, weil das Begehren exzessiv ist und daher ein Recht zur Verweigerung der Auskunft besteht (Art. 12 Abs. 5 DSGVO). 

Missbrauchsindikatoren 

Den Umstand, dass ein Auskunftsverlangen ersichtlich nicht durch einen datenschutzrechtlichen Schutzzweck motiviert ist, wird man trotz der Rechtsprechung des EuGH jedenfalls als ein erstes Indiz für einen potenziellen Missbrauch bewerten können. Allerdings wird es weitere objektive und/oder subjektive Umstände brauchen, um einen Rechtsmissbrauch begründen zu können. So soll ein Missbrauch vorliegen können, wenn sich der Auskunftsanspruch auf Informationen bezieht, die der betroffenen Person bereits vollständig vorliegen oder wenn das Auskunftsersuchen einer nach dem deutschen Zivilprozessrecht unzulässigen Beweisausforschung dient. Ferner sollen Auskunftsansprüche rechtsmissbräuchlich sein, wenn mit dem Anspruch nur eine Lästigkeitswirkung erzielt werden soll und die Geltendmachung dem alleinigen Ziel dient, dem Antragsgegner Aufwand zu bereiten (sog. schikanöse Anträge). 

Weitere Entwicklung der Rechtsprechung 

Die Rechtsprechung zur Frage, wann ein Rechtsmissbrauch vorliegt, ist derzeit stark im Fluss und die Gerichte, insbesondere die Arbeitsgerichte, werden angesichts der großzügigen Rechtsauffassung des EuGH voraussichtlich nur in sehr engen Grenzen einen Rechtsmissbrauch annehmen. Es ist wichtig, die weitere Entwicklung der Rechtsprechung aufmerksam zu verfolgen. 

Praxistipps: Das müssen Unternehmen jetzt beachten 

Vorbereitung auf Auskunftsanfragen: Unternehmen sollten sich auf die Geltendmachung von Auskunfts- und Kopieanfragen vorbereiten, da diese nach den Vorgaben der DSGVO unverzüglich, grundsätzlich aber innerhalb eines Monats, geprüft und beantwortet werden (Art. 12 Abs. 3 DSGVO) müssen. Bei Verstößen drohen Schadenersatz und Bußgelder. 

Definierte Prozesse: Unternehmen sollten im Vorfeld klare Prozesse definieren, wie mit entsprechenden Anfragen umzugehen ist. Es sollte sichergestellt werden, dass die Datenverarbeitung so organisiert ist, dass Auskunftsbegehren ressourcenschonend, rechtzeitig und ordnungsgemäß beantwortet und ggfls. Datenkopien übermittelt werden können. 

Einbeziehung aller relevanten Stellen: Es sind alle internen Stellen zu berücksichtigen, die personenbezogene Daten verarbeiten. Dies schließt auch etwaig beim Unternehmen bestehende Arbeitnehmervertretungen mit ein. 

Fristverlängerung und Teilauskunft: Sofern aufgrund der Komplexität der Anfrage oder sonstiger Umstände eine rechtzeitige Auskunft und ggf. Herausgabe einer Datenkopie nicht möglich sein sollte, ist an die in der DSGVO vorgesehenen Möglichkeit einer Fristverlängerung oder die Erteilung einer Teilauskunft zu denken. Dies kann helfen, Schadenersatz- und Bußgeldrisiken zu reduzieren. 

Gern unterstützen wir Sie beim Aufsetzen geeigneter Prozesse und natürlich auch bei konkreten Anfragen.