Neben dem Personalwesen ist es gerade die Fuhrparkverwaltung, die in nicht unerheblichem Umfang personenbezogene Daten von Dienstwagennutzern verarbeitet. Da geht es zum Beispiel um Führerscheindaten, die anlässlich einer Führerscheinkontrolle dokumentiert werden. Solche Daten sind personenbezogen. Nichts anderes gilt für eine Datenverarbeitung im Rahmen der jährlich durchzuführenden Unterweisung nach den arbeitsschutz- und berufsgenossenschaftlichen Vorschriften. Aber auch die Weitergabe von personenbezogenen Daten von dienstwagenberechtigten Mitarbeitern an Dienstleister ist ständige Praxis im Fuhrpark. So werden Leasinggeber darüber informiert, wem ein Dienstwagen zur Verfügung gestellt wird. Auch der Fahrzeugversicherer erhält Daten über den Mitarbeiter im Rahmen einer Schadenabwicklung. Arbeitgeber geben ihren Beschäftigten Servicekarten des Leasinggebers für Werkstattaufenthalte aus oder überlassen diesen Tankkarten, Ladekarten und mehr. Häufig sind solche Karten mit personenbezogenen Daten des Arbeitnehmers verknüpft, sodass bei Nutzung dieser Karten auf diesen geschlossen werden kann. Auch in diesem Fall liegt dann eine Verarbeitung personenbezogener Daten vor. Es ließen sich an dieser Stelle noch viele Beispiele nennen, bei denen personenbezogene Daten von Arbeitnehmern im Zusammenhang mit der Nutzung von Firmenfahrzeugen verarbeitet werden.
Pflicht: Verzeichnis von Verarbeitungstätigkeiten anlegen
Jedes Unternehmen ist verpflichtet, ein Verzeichnis über Verarbeitungstätigkeiten zu führen. Nach Art. 30 Abs. 5 DSGVO sind nur solche Arbeitgeber befreit, die weniger als 250 Mitarbeiter beschäftigen. Aber auch in diesem Fall können Unternehmen verpflichtet sein, ein solches Verzeichnis zu führen, wenn die Verarbeitung zum Beispiel nicht nur gelegentlich erfolgt. Zwar unterhalten Arbeitgeber in der Regel ein Verzeichnis von Verarbeitungstätigkeiten, die Praxis zeigt jedoch, dass dabei nicht selten personenbezogene Datenverarbeitung im Zusammenhang mit der Überlassung von betrieblichen Kraftfahrzeugen vergessen wird. Das kann sehr unangenehme Folgen haben, nicht nur gegenüber Aufsichtsbehörden, für die das Verzeichnis vornehmlich bestimmt ist. Arbeitnehmer machen immer häufiger von ihrem Auskunftsanspruch nach Art. 15 DSGVO über die Verarbeitung der sie betreffenden personenbezogenen Daten Gebrauch. Dabei steht nicht etwa das tatsächliche Interesse des Mitarbeiters an der Datenverarbeitung im Vordergrund. Mit dem Auskunftsbegehren soll vielmehr Druck auf den Arbeitgeber ausgeübt werden, wenn es um die Konditionen über die Beendigung des Beschäftigungsverhältnisses geht.
Auskunftsanspruch des Arbeitnehmers als Druckmittel
Wirft der Arbeitnehmer seinen Auskunftsanspruch in die Waagschale, den er beabsichtigt geltend zu machen, mag so mancher Arbeitgeber schneller gewillt sein, einen für den Arbeitnehmer günstigeren Vergleich über die Aufhebung des Arbeitsverhältnisses zu schließen. Denn nach der Datenschutzgrundverordnung ist der „Verantwortliche“, also der Arbeitgeber verpflichtet, binnen Monatsfrist vollständig Auskunft zu erteilen. Nur unter ganz besonderen Umständen kann diese Frist um zwei Monate verlängert werden. Wenn man sich dann noch vor Augen führt, dass Verstöße mit Bußgeldern bis zu 20 Millionen Euro bzw. von bis zu vier Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres sanktioniert werden können, ist dringend angeraten, schnell und umfassend als Unternehmen zu reagieren. Wer dann auf ein gut geführtes Verzeichnis von Verarbeitungstätigkeiten zurückgreifen kann, ist klar im Vorteil.
Immaterieller Schadensersatzanspruch bei fehlender Auskunft für den Arbeitnehmer
Dass es sich bei solchen Auskunftsansprüchen von Arbeitnehmern nicht um leere Drohungen handelt, zeigen hierzu ergangene arbeitsgerichtliche Entscheidungen. So hatte zum Beispiel das Arbeitsgericht Düsseldorf am 5. März 2020 (Az. 9 Ca 6557/18) entschieden, dass einem Arbeitnehmer ein immaterieller Schadensersatzanspruch in Höhe von immerhin 5.000 Euro nach Art. 82 DSGVO zusteht, nur weil der Arbeitgeber nicht fristgerecht und umfassend dem Mitarbeiter nach Beendigung des Arbeitsverhältnisses Auskunft erteilt hatte. Zwar hatte der Arbeitgeber nach Ansicht des Gerichts keine Verpflichtung, auf allen Unternehmensservern, Speichermedien, Smartphones, Notebooks oder E-Mails nach personenbezogenen Daten des Arbeitnehmers zu suchen und mittels Kopien zur Verfügung zu stellen. Dies blieb dennoch nur ein schwacher Trost.
Auskunft widerspricht nicht den Geheimhaltungsinteressen des Arbeitgebers
Das Landesarbeitsgericht Baden-Württemberg hatte am 20. Dezember 2018 (Az. 17 Sa 11/18) entschieden, dass ein Arbeitgeber Auskunft über alle verarbeiteten personenbezogenen Leistungs- und Verhaltensdaten eines Mitarbeiters zu erteilen habe und Kopien der Daten herauszugeben habe. Der Einwand des Arbeitgebers, dass ein solch weit gefasster Auskunftsanspruch Geheimhaltungsinteressen des Arbeitgebers widerspreche, wurde vom Gericht zurückgewiesen. Letztlich einigten sich in diesem Fall die Parteien im Jahr 2020 dann im Wege eines gerichtlichen Vergleichs vor dem Bundesarbeitsgericht, nachdem der Arbeitgeber gegen die Entscheidung des Landesarbeitsgerichts Rechtsmittel eingelegt hatte. Solchen weit gefassten Auskunftsansprüchen stellte sich neben dem Arbeitsgericht Düsseldorf in der bereits genannten Entscheidung auch das Arbeitsgericht Bonn mit Urteil vom 16. Juli 2020 entgegen. Es entschied, dass ein Arbeitnehmer zunächst seinen Anspruch auf Auskunft hinreichend konkretisieren muss. Verlangt er nur pauschal eine Auskunft, kann dies gerichtlich zurückgewiesen werden (Az. 3 Ca 2026/19).
Auch wenn zu hoffen ist, dass Arbeitsgerichte nicht jedem pauschalen Auskunftsverlangen von Arbeitnehmern nachgeben, verbleibt bei Arbeitgebern ein nicht zu unterschätzendes Risiko mit Bußgeldern sanktioniert zu werden oder sogar immateriellen Schadenersatz leisten zu müssen, wenn sie nicht fristgerecht und vollständig Auskunft über die Verarbeitung personenbezogener Daten - auch im Fuhrpark – erteilen.
