İlgili kişi konumunda olan çalışan, veri sorumlusu konumundaki şirket tarafından istihdam edilmiştir. Çalışan hakkında, şirketin gizli bilgilerini bir USB sürücüsünde sakladığı iddiasıyla disiplin suçu işlediğine kanaat getirilmiş ve şirket yetkilisi tarafından imzalanan bir uyarı yazısı verilmiştir. İşveren, disiplin suçuna konu olan USB'yi bulmuş ve el koymuştur. Bu disiplin suçunun isnat edilmesinin ardından çalışanın iş ilişkisi sonlandırılmıştır.
İlgili kişi olan çalışan;
İşveren şirket, ilgili kişi tarafından talep edilen verilere erişim talebini reddetmiş ve uyarıyı silmeyeceğini belirtmiştir.
İlk derece mahkemesi, taraflar arasındaki iş ilişkisinin sona ermesi sebebiyle veri sorumlusundan verilerin silinmesinin talep edilemeyeceği gerekçesiyle ilgili kişinin taleplerini reddetmiştir. İlgili kişinin USB’nin içeriğine, diğer bir deyişle hukuka aykırı olarak toplanan şirkete ilişkin gizli bilgilere sahip olmaması sebebiyle GDPR Madde 15’te düzenlenen erişim talebinin burada uygulanamayacağını ve aynı zamanda GDPR Madde 82 uyarınca talep edilen tazminat hakkının da bulunmadığını belirtmiştir.
İlgili kişi, Baden-Württemberg Bölge İş Mahkemesi (Landesarbeitsgericht Baden-Württemberg, LAG Bade-Württemberg) nezdinde ilk derece mahkemesi tarafından aleyhe verilen karara itiraz etmiştir. Üst Mahkeme, ilgili kişinin kişisel verilerine ilişkin erişim talebine ilişkin olarak ilk derece mahkemesinin kararını bozmuştur. İlgili kişiye yapılan uyarı hususunda ise veri sorumlusu şirket ile ilgili kişi arasındaki iş sözleşmesinin sona ermesinin ardından bir uyarı yapılmasının artık gerekli olmadığına karar vermiş ve bu nedenle GDPR Madde 17(1)(a) hükmünü uygulayarak uyarı yazısının iş ilişkisi sona erdiğinden artık saklanmasında bir fayda olmadığına karar vermiştir.
Erişim hakkı ile ilgili olarak, mahkeme söz konusu davanın bir ortak veri sorumlusu davası olduğunu belirtmiştir. Bu nedenle hem işveren şirketin, GDPR Madde 4(7) anlamında açıkça bir veri sorumlusu olduğuna; hem de şirket sahibi ve yetkilisi gerçek kişinin uyarıyı bizzat imzalaması ve ilgili kişinin istihdam edildiği söz konusu şirketin tek paydaşı olması sebebiyle kendisinin de veri sorumlusu olduğuna karar vermiştir.
Veri sorumlusunun kendi beyanından, verilerin yedeklendiği ve cihazdan silindiği belirtildiğinden USB’de depolanan kişisel verilerin veri sorumlusu tarafından işlendiği açıkça anlaşılmıştır. İlgili kişiyi söz konusu veri işleme faaliyetleri hakkında en azından GDPR Madde 12(3) tarafından belirlenen bir aylık süre içerisinde bilgilendirmemeleri sebebiyle veri sorumlularının (şirket ve şirketin sahibi işveren), GDPR Madde 15'i ihlal ettiği sabit olup ilgili kişinin disiplin suçuna konu edilen hukuka aykırı davranışının veri sorumlularının bilgilendirme ve erişim talebi sağlanması yükümlülüğüne halel getirmeyeceğini belirtmiştir.
Son olarak Mahkeme, GDPR Madde 82 uyarınca ilgili kişiye, veri sorumlusu tarafından kendisine ait ne tür bilgiler işlendiğini bilmemesinin iş ilişkisi bağlamında endişe verici bir durum olmasından kaynaklı maddi olmayan zararlar için şirket ve şirket yetkilisinin 2.500 Euro tazminat ödenmesine karar vermiştir.
Mevcut davada, veri sorumlusunun yedeklediğini ve sildiğini beyan ettiği gizli bilgiler dışında USB'nin içeriğinin ne olduğu anlaşılmamaktla beraber mahkeme tarafından bu tür bilgilerin kişisel veri olarak değerlendirildiği görünmektedir. Kişisel verilerin varlığı (ve bu verilere ilişkin veri işleme faaliyeti), mahkemenin görüşüne göre, tartışmalı bir şekilde USB sürücüsünün mülkiyetine bağlıdır.