Ein ehemaliger Mitarbeiter ./. Atruvia AG

Der Fall

Ein Mitarbeiter arbeitete fünf Jahre bei der Atruvia AG. Er wurde befördert und erhielt zusätzliche Zahlungen für gute Leistungen. Dann traten schwerwiegende Ereignisse ein, die das Unternehmen zu Verantwortung hätten veranlassen müssen — stattdessen wurde sein Vertrag gekündigt. Der Mitarbeiter war kein Jurist und hatte keine Vorstellung von seinen Rechten und Möglichkeiten.

Nachdem er von seinem eigenen Anwalt im Stich gelassen wurde, bediente er sich der KI und der Anwaltshotline seiner Rechtsschutzversicherung, um sich über seine Rechte zu informieren. Er begann, sich einzuarbeiten wie ein Jurastudent — und fand die Wahrheit heraus. Er bat seinen damals noch bestehenden Arbeitgeber um eine Personalakten-Auskunft, doch die Atruvia versuchte, dem Mitarbeiter den Zugang zu diesen Daten zu erschweren.

Der Mitarbeiter kannte die Systeme der Atruvia gut und wusste über Mängel, daher wurde er skeptisch, ob die Firma ihm dies verweigere, weil sie gar nicht in der Lage ist, ihm diese Daten bereitzustellen. Die Atruvia verfügt über zahlreiche Systeme von US-Konzernen und unterschrieb kürzlich einen langjährigen Vertrag mit IBM (ebenfalls ein US-Konzern); zudem nutzt Atruvia laut Berichterstattung KI-Systeme amerikanischer Konzerne.

Da er auch noch ein Fachmann für künstliche Intelligenz ist, wusste er, dass seine Daten, sobald sie in KI-Systeme und Datenbanken gelangen, nicht mehr zu löschen sind — zu diesem Zeitpunkt aber konnte man noch rechtzeitig eingreifen. Daher forderte er von seinem Arbeitgeber eine umfassende DSGVO-Auskunft gemäß Artikel 15 und widersprach der Verarbeitung seiner Daten durch KI-Systeme. Zunächst lehnte der Arbeitgeber schriftlich ab, dann übergab er die Sache einer spezialisierten Kanzlei.

Diese Kanzlei erteilte nicht die geforderte Auskunft, sondern verweigerte die vollständige Offenlegung — die Anfrage sei rechtsmissbräuchlich, übertrieben, betreffe Geschäftsgeheimnisse, und überhaupt sei ja kein Schaden entstanden. Zugleich wurden Projektdaten gelöscht, obwohl das Auskunftsersuchen längst gestellt war. Der Mitarbeiter gab nicht auf: Er belegte mit der Rechtsprechung des Europäischen Gerichtshofs und des Bundesgerichtshofs, dass selbst E-Mails personenbezogene Daten sind — und wandte sich an die zuständige Datenschutz-Aufsichtsbehörde.

Was dann geschah, kehrte die Rollen um. Statt das Unternehmen zu prüfen, richtete sich die Behörde gegen den Betroffenen: In ihren Schreiben unterstellte sie ihm, er wolle die Auskunft nur missbrauchen, um Geschäftsgeheimnisse des Unternehmens für eigene wirtschaftliche Zwecke zu erlangen — der Vorwurf einer Wirtschaftsspionage. Diese Behauptung fand sich in keiner einzigen dokumentierten Äußerung des Unternehmens selbst; sie wurde von der Aufsicht konstruiert. Die Beschwerde wurde anschließend ohne inhaltliche Prüfung eingestellt.

Damit standen plötzlich zwei gegen einen — das Unternehmen und jene Behörde, die es eigentlich hätte kontrollieren sollen. Der Mitarbeiter stellte einen Befangenheitsantrag gegen die zuständige Referatsleiterin und erhob Klage gegen das Land BW bzw. den LfDI vor dem Verwaltungsgericht. Aus einem einzigen Arbeitsverhältnis ist so ein ganzes Geflecht von Verfahren geworden — jeder Schritt dokumentiert, belegt und öffentlich nachvollziehbar.

Die Geschichte setzt sich in den verbundenen Verfahren fort — gegen das Unternehmen und gegen die Aufsicht.