Auskunft zur Personalakte nach Art. 15 DSGVO: Umfang und Grenzen

Ein Beschäftigter verlangt Auskunft über seine Daten und meint damit die Personalakte. In diesem Satz treffen zwei verschiedene Ansprüche aufeinander: das Einsichtsrecht aus § 83 Abs. 1 BetrVG und das Auskunftsrecht aus Art. 15 DSGVO. Sie haben unterschiedliche Adressaten, unterschiedliche Reichweiten, und nur einer von beiden trägt eine gesetzliche Frist. Dieser Beitrag zeigt, was Art. 15 DSGVO im Beschäftigungsverhältnis verlangt und wo die Grenzen verlaufen.

Zwei Ansprüche, ein Aktenordner

§ 83 Abs. 1 BetrVG ist knapp: „Der Arbeitnehmer hat das Recht, in die über ihn geführten Personalakten Einsicht zu nehmen. Er kann hierzu ein Mitglied des Betriebsrats hinzuziehen.“ Das Betriebsratsmitglied hat über den Inhalt der Personalakte Stillschweigen zu bewahren, soweit es der Arbeitnehmer im Einzelfall nicht davon entbindet. Nach § 83 Abs. 2 BetrVG sind Erklärungen des Arbeitnehmers zum Inhalt der Personalakte dieser auf sein Verlangen beizufügen.

Art. 15 Abs. 1 DSGVO setzt woanders an. Die betroffene Person hat das Recht, „von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden“; ist das der Fall, folgt ein Recht auf Auskunft über diese Daten und auf acht näher bezeichnete Informationen. Der Anspruch hängt nicht an einer Akte, sondern an der Verarbeitung — er greift also auch dort, wo gar kein Aktenordner existiert.

Die beiden Rechte stehen nebeneinander. Wer die Einsicht nach § 83 BetrVG gewährt, hat den Antrag nach Art. 15 DSGVO nicht erledigt — schon weil dieser Angaben verlangt, die in keiner Personalakte stehen.

Was die Auskunft enthalten muss

Art. 15 Abs. 1 DSGVO zählt acht Buchstaben auf. Sie sind die Gliederung jeder Antwort:

Buchstabe g ist im Beschäftigungsverhältnis der unterschätzte Punkt: Daten aus Zeugnissen früherer Arbeitgeber oder aus Auskünften Dritter stammen nicht von der betroffenen Person. Bei Übermittlungen an ein Drittland oder eine internationale Organisation kommt nach Art. 15 Abs. 2 DSGVO die Unterrichtung über die Garantien gemäß Art. 46 DSGVO hinzu.

Dazu tritt die Kopie. Art. 15 Abs. 3 DSGVO: Der Verantwortliche stellt eine Kopie der personenbezogenen Daten zur Verfügung, die Gegenstand der Verarbeitung sind; für alle weiteren Kopien kann er ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen. Bei elektronischem Antrag sind die Informationen in einem gängigen elektronischen Format bereitzustellen, sofern die Person nichts anderes angibt. Wie sich eine vollständige Antwort zusammensetzt, zeigt der Beitrag zum Auskunftsantrag nach Art. 15 DSGVO.

Wer fragen darf — und welche Akte erfasst ist

Der Kreis der Antragsteller ist größer als die aktuelle Belegschaft. § 26 Abs. 8 BDSG definiert Beschäftigte im Sinne des Gesetzes und stellt im letzten Satz klar: „Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis beendet ist, gelten als Beschäftigte.“ Genannt sind:

• Arbeitnehmerinnen und Arbeitnehmer, einschließlich Leiharbeitnehmer im Verhältnis zum Entleiher
• zu ihrer Berufsbildung Beschäftigte
• Teilnehmer an Leistungen zur Teilhabe am Arbeitsleben sowie an Abklärungen der beruflichen Eignung oder Arbeitserprobung
• in anerkannten Werkstätten für behinderte Menschen Beschäftigte
• Freiwillige nach dem Jugendfreiwilligendienstegesetz oder dem Bundesfreiwilligendienstgesetz
• arbeitnehmerähnliche Personen, dazu die in Heimarbeit Beschäftigten und die ihnen Gleichgestellten
• Beamtinnen und Beamte des Bundes, Richterinnen und Richter des Bundes, Soldatinnen und Soldaten sowie Zivildienstleistende

Die Papierakte fällt nicht aus dem Anwendungsbereich. Art. 2 Abs. 1 DSGVO erfasst neben der automatisierten Verarbeitung auch die nichtautomatisierte Verarbeitung von Daten, „die in einem Dateisystem gespeichert sind oder gespeichert werden sollen“. Ein Dateisystem ist nach Art. 4 Nr. 6 DSGVO „jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich sind“. Eine nach Personen geordnete Aktensammlung erfüllt diese Beschreibung.

Die Frist läuft ab Eingang

Art. 12 Abs. 3 DSGVO gibt den Takt vor: Der Verantwortliche stellt die Informationen über die auf Antrag ergriffenen Maßnahmen unverzüglich zur Verfügung, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags. Diese Frist kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Die Unterrichtung über die Verlängerung muss innerhalb eines Monats nach Eingang erfolgen, zusammen mit den Gründen für die Verzögerung.

Die Auskunft ist nach Art. 12 Abs. 5 DSGVO unentgeltlich. Bei offenkundig unbegründeten oder — insbesondere im Fall häufiger Wiederholung — exzessiven Anträgen kann der Verantwortliche ein angemessenes Entgelt verlangen oder sich weigern, tätig zu werden. Der Wortlaut fügt die entscheidende Bedingung an: Der Verantwortliche hat den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen. Die Beweislast liegt also beim Arbeitgeber, nicht beim Beschäftigten.

Zur Berechnung der Monatsfrist im Detail — Fristbeginn, Monatsletzter, Wirkung der Identitätsprüfung — siehe den Beitrag zur Ein-Monats-Frist bei Betroffenenanfragen.

Wie weit die Kopie reicht

Ob die Kopie nach Art. 15 Abs. 3 DSGVO eine Liste oder ganze Dokumente meint, hat der Gerichtshof der Europäischen Union im Urteil vom 4. Mai 2023 in der Rechtssache C-487/21 (Österreichische Datenschutzbehörde und CRIF) geklärt. Nach der Pressemitteilung des Gerichtshofs bedeutet das Recht auf eine Kopie, „dass der betroffenen Person eine originalgetreue und verständliche Reproduktion aller dieser Daten ausgefolgt wird“. Es impliziert weiter das Recht, „eine Kopie von Auszügen aus Dokumenten oder gar von ganzen Dokumenten oder auch von Auszügen aus Datenbanken, die diese Daten enthalten, zu erlangen, wenn dies unerlässlich ist, um der betroffenen Person die wirksame Ausübung der ihr durch die DSGVO verliehenen Rechte zu ermöglichen“.

Für die Personalakte heißt das: Regelfall ist die Wiedergabe der Daten. Ganze Dokumente sind zu kopieren, soweit das unerlässlich ist — etwa weil sich der Sinn einer Angabe erst aus dem Zusammenhang des Schriftstücks erschließt.

Die Gegengrenze steht im selben Artikel. Art. 15 Abs. 4 DSGVO: Das Recht auf Erhalt einer Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Erwägungsgrund 63 nennt als Beispiele Geschäftsgeheimnisse, Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software — und zieht sofort die Konsequenz nach: „Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird.“ Der Weg ist daher das Schwärzen von Angaben Dritter, nicht das Zurückhalten der Akte.

Aus demselben Erwägungsgrund stammt ein Hebel für große Bestände: Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass sie präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Ersuchen bezieht. Das ist eine Rückfrage, keine Ablehnung. Zur Frist sagt der Erwägungsgrund nichts; Art. 12 Abs. 3 DSGVO knüpft die Monatsfrist an den Eingang des Antrags und sieht keine Hemmung vor. Stellen Sie die Rückfrage deshalb früh.

Grenzen aus dem BDSG und aus dem Prozessrecht

Das BDSG kennt eigene Ausnahmen. Nach § 34 Abs. 1 Nr. 2 BDSG besteht das Auskunftsrecht unter anderem dann nicht, wenn die Daten „nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften nicht gelöscht werden dürfen“ oder ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen. Die Ausnahme ist eng: Sie greift nur, wenn die Auskunftserteilung zusätzlich einen unverhältnismäßigen Aufwand erfordern würde und eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist. Beide Bedingungen müssen erfüllt sein.

§ 29 Abs. 1 S. 2 BDSG betrifft Drittinteressen: Das Auskunftsrecht besteht nicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen. Auch das ist eine Grenze für einzelne Angaben, keine Sperre für den ganzen Antrag.

Wer die Auskunft verweigert, hat zwei Pflichten aus § 34 Abs. 2 BDSG: Die Gründe sind zu dokumentieren, und die Ablehnung ist gegenüber der betroffenen Person zu begründen, soweit nicht die Mitteilung der tatsächlichen und rechtlichen Gründe den mit der Verweigerung verfolgten Zweck gefährden würde. Nicht anwendbar ist für Unternehmen § 34 Abs. 4 BDSG: Die dort geregelte Mitwirkung beim Auffinden der Daten betrifft nach dem Wortlaut nur Daten, die durch eine öffentliche Stelle verarbeitet werden.

Eine dritte Grenze liegt im Prozessrecht und betrifft die Klage, nicht die Antwortpflicht. Das Bundesarbeitsgericht hat am 27. April 2021 (2 AZR 342/20) entschieden, dass ein Klageantrag auf Überlassung von E-Mail-Kopien nicht hinreichend bestimmt im Sinne des § 253 Abs. 2 Nr. 2 ZPO ist, wenn die E-Mails nicht so genau bezeichnet sind, dass im Vollstreckungsverfahren unzweifelhaft ist, worauf sich die Verurteilung bezieht. Im Urteil vom 16. Dezember 2021 (2 AZR 235/21) lautet der Leitsatz: „Ein Klageantrag, der ergänzend zum Wortlaut von Art. 15 Abs. 1 Halbs. 2 DSGVO auslegungsbedürftige Begriffe enthält, über deren Inhalt nicht behebbare Zweifel bestehen, ist nicht hinreichend bestimmt.“ Für den Arbeitgeber ist das keine Entwarnung: Die Frist aus Art. 12 Abs. 3 DSGVO läuft unabhängig davon, wie ein späterer Klageantrag formuliert wäre.

BetroffenenRecht24 führt diesen Ablauf als Vorgang: Eingangsdatum, daraus berechnete Frist von einem Monat oder — mit gesetztem Verlängerungs-Schalter — von drei Monaten, Ampel und Status von neu über Identitätsprüfung und Bearbeitung bis beantwortet. Dazu kommen eine abhakbare Identitäts-Checkliste, ein Auskunfts-Entwurf entlang von sechs Feldern (Zwecke, Kategorien, Empfänger, Speicherdauer, Herkunft, automatisierte Entscheidungsfindung), ein Baustein für die Verlängerungsmitteilung und ein JSON-Export als Nachweis.

Was die Software nicht tut: Sie entscheidet nicht, welche Angabe wegen überwiegender Interessen Dritter zurückzuhalten ist, sie schwärzt keine Dokumente und sie ersetzt keine Rechtsberatung. Wie eng Auskunft und Löschung zusammenhängen, wenn dieselbe Person anschließend die Entfernung von Unterlagen verlangt, zeigt der Beitrag zum Löschantrag nach Art. 17 DSGVO.

Häufige Fragen

Habe ich als Arbeitnehmer Anspruch auf eine Kopie meiner Personalakte?

Sie haben zwei getrennte Rechte. § 83 Abs. 1 BetrVG gibt Ihnen das Recht, in die über Sie geführten Personalakten Einsicht zu nehmen, auf Wunsch mit einem Mitglied des Betriebsrats. Art. 15 Abs. 3 DSGVO gibt Ihnen zusätzlich Anspruch auf eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Nach dem Urteil des Gerichtshofs der Europäischen Union vom 4. Mai 2023 (C-487/21) umfasst dieses Recht auch Kopien ganzer Dokumente, wenn das unerlässlich ist, um die Rechte aus der DSGVO wirksam auszuüben.

Wie lange hat der Arbeitgeber Zeit für die Auskunft?

Einen Monat ab Eingang des Antrags (Art. 12 Abs. 3 DSGVO). Die Frist kann um zwei weitere Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Die Verlängerung setzt voraus, dass der Arbeitgeber innerhalb des ersten Monats über die Verlängerung und die Gründe für die Verzögerung unterrichtet.

Können auch Bewerber und ehemalige Mitarbeiter Auskunft verlangen?

Ja. § 26 Abs. 8 Satz 2 BDSG stellt klar, dass Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis beendet ist, als Beschäftigte gelten. Das Auskunftsrecht aus Art. 15 DSGVO knüpft ohnehin an die Verarbeitung an, nicht an ein laufendes Arbeitsverhältnis.

Darf der Arbeitgeber Namen von Kollegen in der Akte schwärzen?

Nur soweit die Kopie die Rechte und Freiheiten anderer Personen tatsächlich beeinträchtigen würde — nicht schon deshalb, weil ein Dritter genannt ist. Art. 15 Abs. 4 DSGVO bestimmt, dass das Recht auf Erhalt einer Kopie die Rechte und Freiheiten anderer Personen nicht beeinträchtigen darf; § 29 Abs. 1 Satz 2 BDSG nimmt Informationen aus, die wegen überwiegender berechtigter Interessen eines Dritten geheim gehalten werden müssen. Erwägungsgrund 63 der DSGVO stellt jedoch fest, dass dies nicht dazu führen darf, dass der betroffenen Person jegliche Auskunft verweigert wird.

Kostet die Auskunft etwas?

Nein, die Auskunft wird nach Art. 12 Abs. 5 DSGVO unentgeltlich zur Verfügung gestellt. Für alle weiteren Kopien kann der Verantwortliche ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen (Art. 15 Abs. 3 Satz 2 DSGVO). Bei offenkundig unbegründeten oder exzessiven Anträgen ist ein Entgelt oder eine Weigerung möglich, doch der Verantwortliche hat den Nachweis dafür zu erbringen.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen — wenden Sie sich dafür an fachkundige Beratung.