Bei Auskunftsersuchen mit großen Datenmengen, insbesondere im Beschäftigtenkontext, galt der "mehrstufige Ansatz" lange als praktikable Lösung. Die Idee, unterstützt von Datenschützern wie dem EDPB und der bayrischen Aufsichtsbehörde (BayLDA): Informationen werden in Schichten bereitgestellt, um die betroffene Person nicht mit Daten zu überfluten.

Doch nach dem wegweisenden Urteil des Europäischen Gerichtshofs (EuGH) vom 4. Mai 2023 (Az. C-487/21) muss dieses Vorgehen kritisch hinterfragt werden.

Die bisherige Praxis: Der mehrstufige Ansatz

Die grundlegende Idee war, den Auskunftsprozess für beide Seiten handhabbar zu machen:

• Zweck: Die Aufbereitung großer Datenmengen in verständlichen Portionen.
• Ablauf: In einer ersten Stufe sollten die wichtigsten Informationen bereitgestellt werden. Laut BayLDA konnten dies die Personalstammdaten (Name, Adresse etc.) im Klartext sein, während für weitere Daten zunächst die Nennung der Datenkategorien ausreichen sollte.
• Weitere Stufen: Detailliertere Informationen oder Kopien sollten dann auf Nachfrage oder nach Wahl der betroffenen Person in weiteren Stufen zugänglich gemacht werden.
• Bedingung: Voraussetzung war stets Transparenz. Der Betroffene musste von Anfang an über die gestufte Bereitstellung und den Inhalt der einzelnen Ebenen informiert werden und leichten Zugang zu allen Informationen erhalten.

Dieser Ansatz schien einen guten Kompromiss zwischen dem Recht des Betroffenen und dem Aufwand des Unternehmens darzustellen.

Die Neubewertung durch den EuGH

Das Urteil des EuGH hat die Spielregeln für den Umfang einer Auskunft neu definiert und verschärft:

1. "Kopie" bedeutet Kopie der Daten: Der Anspruch aus Art. 15 Abs. 3 DSGVO auf eine "Kopie" bezieht sich auf eine originalgetreue und verständliche Reproduktion der personenbezogenen Daten selbst.
2. Kategorien reichen nicht aus: Die reine Information über die Kategorien der verarbeiteten Daten (gemäß Art. 15 Abs. 1 lit. b) erfüllt nicht den Anspruch auf eine Kopie der konkreten Daten. Der EuGH unterscheidet klar zwischen der Information über die Verarbeitung und der Kopie der Daten.
3. Kontext ist entscheidend: Um die Daten verständlich zu machen und der Person die Ausübung ihrer Rechte zu ermöglichen, kann es "unerlässlich" sein, auch Auszüge aus Dokumenten oder ganze Dokumente bereitzustellen.

Analyse: Ist der zweistufige Ansatz noch tragbar?

Unter Maßgabe des EuGH-Urteils muss die Antwort differenziert ausfallen:

Nein, der Ansatz ist in seiner bisherigen, minimalistischen Form (wie vom BayLDA beschrieben) nicht mehr tragbar. Der Kernkonflikt liegt auf der Hand: Wenn die erste Stufe nur Personalstammdaten und ansonsten bloße Datenkategorien enthält, wird der Anspruch auf eine Kopie der tatsächlichen Daten nicht erfüllt. Die betroffene Person erhält gerade nicht die von ihr begehrte und vom EuGH bestätigte "originalgetreue Reproduktion" aller ihrer Daten. Ein solches Vorgehen würde das Auskunftsrecht unzulässig beschneiden.

Ja, das Prinzip eines gestuften Vorgehens kann tragbar bleiben – aber nur mit signifikant geänderten Inhalten. Ein moderner, EuGH-konformer mehrstufiger Ansatz muss den Grundsatz der Vollständigkeit von Anfang an respektieren. Das könnte so aussehen:

• Stufe 1: Die strukturierte Komplettübersicht Der Verantwortliche stellt alle personenbezogenen Daten zur Verfügung, aber in einer intelligent strukturierten und zusammengefassten Form (z. B. in Tabellen, nach Verarbeitungsvorgängen geordnet). Diese Übersicht muss die tatsächlichen Daten enthalten (z. B. eine Liste aller aufgezeichneten Arbeitszeiten, eine Liste der E-Mail-Metadaten, eine Liste der Leistungsbeurteilungen mit Ergebnis) und nicht nur deren Kategorien. Ergänzt wird dies um alle Pflichtinformationen aus Art. 15 Abs. 1 (Zwecke, Empfänger, Speicherdauer etc.).
• Stufe 2: Die kontextbezogene Vertiefung Auf Basis dieser vollständigen Übersicht kann die betroffene Person nun präzise nachfragen und die vom EuGH geforderte Kontextualisierung verlangen. Sie könnte zum Beispiel sagen: "Bitte stellen Sie mir zu den unter Punkt 5 aufgelisteten Leistungsbeurteilungen die dazugehörigen vollständigen Dokumente zur Verfügung, da dies für das Verständnis unerlässlich ist."

Fazit: Ein Paradigmenwechsel von Reduktion zu Strukturierung

Das Urteil des EuGH erzwingt ein Umdenken. Der mehrstufige Ansatz darf nicht länger als Mittel zur Reduktion der initialen Informationsmenge verstanden werden. Seine moderne Rechtfertigung liegt allein darin, eine vollständige, aber potenziell unübersichtliche Datenmenge für den Betroffenen besser zu strukturieren.

Für die Praxis bedeutet das:

1. Verabschieden Sie sich vom Minimalansatz: Prozesse, die in Stufe 1 nur Stammdaten und Kategorien vorsehen, sind rechtlich angreifbar und müssen dringend überarbeitet werden.
2. Fokus auf Vollständigkeit: Die erste Reaktion auf ein Auskunftsersuchen muss bereits eine vollständige Übersicht aller konkreten Daten umfassen.
3. Struktur ist der neue Standard: Investieren Sie in technische und organisatorische Lösungen, die es ermöglichen, Daten aus verschiedenen Quellen zu extrahieren und in einer verständlichen, strukturierten Form aufzubereiten.

Der mehrstufige Ansatz ist also nicht tot, aber er hat sich grundlegend gewandelt. Er ist kein Schutzschild mehr gegen Aufwand, sondern ein Werkzeug für mehr Transparenz und Verständlichkeit – bei voller Achtung des Auskunftsrechts.

Damit die Verwendung eines mehrstufigen Ansatzes als angemessene Maßnahme angesehen werden kann, muss die betroffene Person von Anfang an darüber unterrichtet werden, dass die Informationen gemäß Artikel 15 in verschiedene Ebenen eingeteilt sind, und eine Beschreibung der personenbezogenen Daten und Informationen, die in den verschiedenen Ebenen enthalten sein werden, erhalten. Auf diese Weise kann die betroffene Person leichter entscheiden, zu welchen Ebenen sie Zugang haben möchte.

Rechtsanwalt Robert Harzewski