Beschäftigtendatenschutz

Unter Beschäftigtendatenschutz ist der Schutz des Rechts auf informationelle Selbstbestimmung von Beschäftigten in Unternehmen sowie im öffentlichen Dienst zu verstehen. Er folgt aus Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 Grundgesetz (GG) sowie Art. 7 und 8 der Europäischen Grundrechtecharta. Seit Einführung der Datenschutz-Grundverordnung (DSGVO) ist er zudem in Art. 88 DSGVO in Verbindung mit § 26 Bundesdatenschutzgesetz (BDSG) verankert. Im Rahmen des Beschäftigtendatenschutzes ist insbesondere zu berücksichtigen, dass die Arbeitgeber:innen den Beschäftigten regelmäßig wirtschaftlich und strukturell überlegen sind und die insoweit schwächere Vertragspartei ausreichend zu schützen ist.

Personenbezogene Daten der Beschäftigten dürfen von Arbeitgeber:innen nur verarbeitet werden, soweit dies zur Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Dieses Recht ist in § 26 Abs. 1 BDSG normiert. Die Vorschrift gilt für alle Formen des Umgangs mit Beschäftigtendaten und nicht nur für die automatisierte Datenverarbeitung. Sie erfasst alle bei einer verantwortlichen Stelle in einem abhängigen Beschäftigungsverhältnis stehenden Personen, aber auch beispielsweise die personenbezogenen Daten im Zusammenhang mit einer Bewerbung.

Das Gebot der Erforderlichkeit resultiert dabei aus dem informationellen Selbstbestimmungsrecht der Beschäftigten. Insoweit sind nur Verarbeitungen erlaubt, die für das Arbeitsverhältnis als geboten und nicht nur als nützlich zu bewerten sind. Ein Erfordernis besteht daher nicht, wenn von mehreren gleich geeigneten und wirksamen Maßnahmen diejenige gewählt wird, die in die Rechte der Beschäftigten tiefer eingreift bzw. sie stärker belastet.

Die Regelungen in § 26 BDSG sind für Datenverarbeitungen, die frühere, bestehende oder künftige dienst- oder arbeitsrechtliche Rechtsverhältnisse betreffen, nach § 2 Abs. 1 in Verbindung mit § 18 Berliner Datenschutzgesetz (BlnDSG) auch für Beschäftigte im öffentlichen Dienst des Landes Berlin anzuwenden, soweit es deren Personaldaten betrifft. Handelt es sich um Personalaktendaten, so finden ergänzend die Vorschriften in den §§ 84 ff. Landesbeamtengesetz (LBG) Anwendung, unabhängig davon, ob Beamt:innen oder Angestellte betroffen sind.

Das Gebot der Zweckbindung personenbezogener Daten verpflichtet die Arbeitgeber:innen, die Personalakten sorgfältig zu führen und ihre Inhalte vertraulich zu behandeln. Diese Daten unterliegen aufgrund ihrer hohen Sensitivität einer gesteigerten Geheimhaltungspflicht und dürfen nur einem eng begrenzten Kreis von Beschäftigten zugänglich sein. Bei Gesundheitsdaten der Beschäftigten handelt es sich um besondere personenbezogene Daten, die nach § 26 Abs. 3 in Verbindung mit Art. 9 Abs. 1 DSGVO streng vertraulich zu behandeln und gegen zweckfremde Einsichtnahme besonders zu sichern sind. Genauso zu behandeln sind personenbezogene Daten, aus denen die ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen und biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person oder Daten zum Sexualleben oder zur sexuellen Orientierung einer Person.

Das informationelle Selbstbestimmungsrecht verbietet insbesondere eine Vollüberwachung oder Kontrolle der Beschäftigten. Dementsprechend müssen diese einen ständigen Überwachungsdruck durch die Arbeitgeber:innen nicht hinnehmen. Besteht jedoch ein berechtigtes Interesse an den Kontrollen und beeinträchtigen die Kontrollen die Rechte der Arbeitnehmer:innen nicht oder nur in geringem Umfang, so können solche Kontrollen durch Arbeitgeber:innen rechtmäßig sein.

So stellt beispielsweise eine Videoüberwachung grundsätzlich einen erheblichen Eingriff in das allgemeine Persönlichkeitsrecht der betroffenen Beschäftigten dar und ist nur in besonderen Ausnahmefällen zulässig. Wird eine zulässige Videoüberwachung auf Sicherheitsbedürfnisse der Arbeitgeber:innen gestützt, so dürfen die Bilddaten wegen der engen Zweckbindung nicht für Verhaltens- und Leistungskontrollen der Beschäftigten herangezogen werden.

Auch das Fragerecht von Vorgesetzten und die Offenbarungspflicht der Beschäftigten haben sich am berechtigten Interesse der Arbeitgeber:innen einerseits und den schutzwürdigen Belangen der Beschäftigten andererseits zu orientieren. Maßgebend ist dabei ein klarer Bezug zum konkreten Arbeitsplatz.

Eine Einwilligung von Beschäftigten stellt regelmäßig keine hinreichende Rechtsgrundlage für eine Datenverarbeitung dar, da es aufgrund der im Beschäftigungsverhältnis bestehenden Abhängigkeit an der Autonomie der Entscheidung mangelt (§ 26 Abs. 2 BDSG).

Häufige Datenverarbeitungen für die Durchführung von Beschäftigungsverhältnissen sind:

• Erstellung ärztlicher Gutachten

• Datenverarbeitungen im Rahmen des Betrieblichen Eingliederungsmanagements (des sogenannten BEM-Verfahren)

• Kommunikationskontrolle (E-Mail und Internet-Nutzung)

• Veröffentlichung von Bildern von Beschäftigten im Internet etc.

• Mitschnitt von Telefongesprächen in Callcentern

• Arbeitszeiterfassung

• Erstellung von Zeugnissen und Dienstlichen Beurteilungen

Zunehmend finden auch Biometrie (Fingerprints, Gesichtserkennung etc.), GPS-Ortung, Videokonferenzen, algorithmische Systeme usw. Einzug in das Beschäftigungsverhältnis. Die Digitalisierung bzw. die fortschreitende technologische Entwicklung am Arbeitsplatz eröffnet einerseits für Beschäftigte Chancen und Möglichkeiten im Hinblick auf ihre Arbeit, birgt jedoch andererseits für sie auch die Gefahr einer zunehmend offenen oder auch verdeckten Überwachung.

Regelungen zum Datenschutz im Arbeitsverhältnis sind bisher nur sehr lückenhaft vorhanden und können nicht flächendeckend über Betriebsvereinbarungen ersetzt bzw. geklärt werden. Insoweit werden viele Fragen von den Arbeitsgerichten entschieden. Die Datenschutzbeauftragten des Bundes und der Länder (DSK) fordern daher ein spezielles Beschäftigtendatenschutzgesetz, um einen angemessenen Ausgleich zwischen den Informationsinteressen der Arbeitgeber:innen und dem Recht auf informationelle Selbstbestimmung der Beschäftigten sicherzustellen. Ziel eines Beschäftigtendatenschutzgesetzes muss es sein, sachgerechte und klare Regelungen für eine sich weiter digitalisierende Arbeitswelt zu schaffen. Zuletzt hat die DSK diese Forderung mit der an die Bundesregierung gerichteten Entschließung Die Zeit für ein Beschäftigtendatenschutzgesetz ist „Jetzt“! vom 29. April 2022 bekräftigt.