Grenzen des Auskunftsrechts ehemaliger Mitarbeiter

Sachverhalt

Ein ehemaliger Arbeitnehmer forderte von seinem vormaligen Arbeitgeber umfassende Auskunft gemäß Art. 15 DSGVO. Das Begehren erstreckte sich auf nahezu sämtliche internen Dokumente, darunter E-Mails, Protokolle, Kalendereinträge, Präsentationen, Organigramme sowie Projektunterlagen.

Obwohl das Unternehmen bereits umfangreiche Datenbestände offengelegt hatte, beharrte der Betroffene darauf, dass die Auskunft unvollständig sei. Er vermutete weitere personenbezogene Daten in den Postfächern anderer Mitarbeiter oder in Altsystemen und verlangte eine entsprechende Nachrecherche.

Entscheidung des BVwG

Das Bundesverwaltungsgericht (BVwG) hat den Umfang solcher Auskunftsbegehren klar begrenzt und überzogenen Forderungen eine Absage erteilt:

• Schutz der Rechte Dritter: Art. 15 DSGVO begründet keinen Anspruch auf Offenlegung interner Kommunikation oder Protokolle, wenn dadurch Grundrechte und Freiheiten anderer Personen (z. B. Datenschutz, Geschäftsgeheimnisse) beeinträchtigt werden. Da E-Mails regelmäßig Kontextinformationen, Bewertungen und Daten Dritter enthalten, ist dies in der Praxis fast immer der Fall.
• Keine Verpflichtung zur IT-Vollsuche: Der Verantwortliche ist nicht verpflichtet, eine lückenlose, unternehmensweite IT-Forensik durchzuführen. Ausreichend ist eine nachvollziehbare und strukturiert dokumentierte Suche.
• Beweislast bei Behauptungen: Bloße Vermutungen des Betroffenen, es müssten noch weitere Daten existieren, sind rechtlich unerheblich und begründen keine Nachforschungspflicht.

Relevanz für die Praxis

Die Entscheidung bringt erhebliche Erleichterung für die Unternehmenspraxis. Interne E-Mails und Besprechungsprotokolle sind aufgrund des regelmäßigen Bezugs zu Dritten im Regelfall von der Offenlegungspflicht ausgenommen.

Wesentlicher Kern: Verantwortliche sind nicht dazu verpflichtet, unverhältnismäßig aufwendige Sichtungs- und Schwärzungsprozesse zu starten, um kleinste personenbezogene Fragmente aus komplexen Dokumenten zu isolieren. Der Schutz Dritter genießt hierbei Vorrang. Das BVwG stellte zudem klar, dass keine Pflicht zur pauschalen Durchsicht und Anonymisierung von Kommunikationsdaten im Vorfeld einer Auskunftserteilung besteht.

Unternehmensperspektive

Das Urteil stärkt die Position von Unternehmen bei der Abwehr ungebührlich breiter oder schikanöser Auskunftsanträge. Um DSGVO-konform zu agieren und die Verteidigungsfähigkeit vor Behörden oder Gerichten zu sichern, sollten Unternehmen:

1. Den Suchprozess und die gewählten Suchkriterien lückenlos dokumentieren.
2. Argumentativ darlegen, warum bestimmte Dokumentenklassen strukturell bedingt nicht ohne die Verletzung von Drittrechten offengelegt werden können.

Art. 15 DSGVO bleibt ein starkes Betroffenenrecht, fungiert jedoch nicht als Instrument zur Einsichtnahme in die allgemeine interne Unternehmenskommunikation.

Das Erkenntnis schafft eine klare Grenzziehung: Das Recht auf Datenauskunft findet seine Grenze an den Rechten und der Vertraulichkeit dritter Personen. Während Unternehmen dadurch ein hohes Maß an Rechtssicherheit und administrativen Schutz erhalten, verbleibt für Betroffene die Pflicht zu einer sachlich fundierten und realistischen Anspruchsstellung.em Generalangriff. E-Mails und Protokolle bleiben im Regelfall dort, wo sie hingehören: unter Verschluss.

BVwg 23.10.2025, W101 2268654-1/10E