Spezialfall Beschäftigtendatenschutz
Nachdem wir in Teil 1 dieser Blogbeitragsreihe die allgemeinen Rechtsgrundlagen der DS-GVO und in Teil 2 die ergänzenden Erlaubnistatbestände für die Verarbeitung von besonderen Kategorien personenbezogener Daten betrachtet haben, beschäftigt sich Teil 3 nun mit einer Spezialnorm für die Verarbeitung von Beschäftigtendaten. Diese regelt die Datenverarbeitung von Mitarbeiterdaten im Beschäftigungskontext und ist damit für jede Organisation, die Arbeitnehmer beschäftigt, von zentraler Bedeutung.
Die Spezialnorm findet sich nicht in der Datenschutz-Grundverordnung (DS-GVO), sondern im Bundesdatenschutzgesetz, konkret im § 26 BDSG. Ursprünglich war es zwar geplant, auch den Beschäftigtendatenschutz europaweit einheitlich in der DS-GVO zu regeln, jedoch konnte dies nicht umgesetzt werden. Stattdessen erlaubt die Öffnungsklausel des Art. 88 DS-GVO den Mitgliedsstaaten spezifische Vorschriften zum Beschäftigtendatenschutz zu erlassen. § 26 BDSG ist in Deutschland das Ergebnis der Umsetzung dieser Öffnungsklausel. Wichtig ist dabei nicht aus dem Blick zu verlieren, dass § 26 BDSG die Regelungen der DS-GVO nicht ausschließt, sondern ergänzt.
Vom Beschäftigtendatenschutz betroffene Personengruppen
Der Beschäftigtenbegriff ist im Bundesdatenschutzgesetz sehr weit ausgelegt und in Abs. 8 des § 26 BDSG definiert. Neben Arbeitnehmern und Arbeitnehmerinnen zählen auch Leiharbeitnehmer, Azubis, Praktikanten und Werkstudenten, Teilnehmende von Rehabilitationsmaßnahmen, Beschäftigte in Werkstätten für behinderte Menschen, FSJler und Bufdis, arbeitnehmerähnliche Personen, Beamtinnen und Beamte des Bundes, Richterinnen und Richter des Bundes, Soldatinnen und Soldaten sowie Zivildienstleistende zu Beschäftigten im Sinne des Bundesdatenschutzgesetzes.
Auch Bewerberinnen und Bewerber gelten bereits als Beschäftigte. Ebenfalls sind auch bereits aus dem Arbeitsverhältnis ausgeschiedene Personen noch unter den Begriff der Beschäftigten zu subsumieren.
Verarbeitung für Zwecke des Beschäftigungsverhältnisses
Gemäß § 26 Abs. 1 S. 1 BDSG dürfen personenbezogene Daten von Beschäftigten zum Zwecke des Beschäftigungsverhältnisses zunächst verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder dessen Durchführung oder Beendigung erforderlich ist.
Bewerbungsprozess
Datenverarbeitungen zur Begründung des Beschäftigungsverhältnisses beziehen sich auf das Bewerbungsverfahren und die Bewerberauswahl. Die Ausgestaltung des Bewerbungsprozesses ist datenschutzrechtlich herausfordernd und wirft einige schwierige Fragen auf:
- Inwieweit dürfen Organisationen Persönlichkeits- und Eignungstests oder Scoringverfahren durchführen?
- Sind Backgroundchecks bei Facebook, LinkedIn, Xing oder auf anderen Kanälen zulässig?
- Welche Fragen dürfen im Bewerbungsgespräch gestellt werden?
Insbesondere das Fragrecht des Arbeitgebers ist ein explosives Themenfeld. Fragen zu Behinderungen und Vorstrafen können unter engen Voraussetzungen erlaubt sein, sofern hierfür sachliche Gründe vorliegen. Verboten sind Fragen zu den familiären oder wirtschaftlichen Verhältnissen oder zu einer Schwangerschaft. Der Spannungsgrad in dieser Phase des Beschäftigungsverhältnisses liegt oft darin, zu unterscheiden, welche Daten tatsächlich aus sachlichen Gründen erforderlich sind und welche Informationen man einfach gerne für einen umfassenden Eindruck vom Bewerber hätte.
Während des bestehenden Beschäftigungsverhältnisses
Wird ein Bewerber eingestellt, so werden zur Durchführung des Beschäftigungsverhältnisses viele Daten zu unterschiedlichsten Zwecken verarbeitet (Onboarding, Führen der Personalakte, Personalplanung, Zeiterfassung, Führerscheinkontrollen, Leistungsbeurteilungen, Protokollierungen in den IT-Systemen usw.). Den Möglichkeiten sind hier keine Grenzen gesetzt, wohl aber der datenschutzrechtlichen Zulässigkeit, die in dieser Phase selbstverständlich auch für jede einzelne Datenverarbeitung auf Erforderlichkeit zu prüfen ist. Die Erforderlichkeit der Datenverarbeitung für die Durchführung des Beschäftigungsverhältnisses ist in der Regel dann anzunehmen, wenn sich bestimmte Verarbeitungen unmittelbar aus dem Arbeitsvertrag oder aus sonstigen Rechten und Pflichten aus dem Arbeitsverhältnis ergeben (z.B. Fürsorgepflicht des Arbeitgebers oder Treupflicht des Arbeitnehmers).
Wenn ein Arbeitsverhältnis endet, starten in Unternehmen verschiedene Vorgänge, um das Offboarding des scheidenden Mitarbeitenden durchzuführen. Von der Kündigung bis hin zu Abmeldungen bei der betrieblichen Altersvorsorge oder der Krankenkasse fallen unterschiedliche Aktivitäten in diese Phase und sind zum Zwecke der Beendigung des Beschäftigungsverhältnisses zulässig.
Darüber hinaus können Sie Beschäftigtendaten im Rahmen des Beschäftigungsverhältnisses verarbeiten, wenn dies auf Basis eines Gesetzes, eines Tarifvertrages (z.B. Erfassung der Gewerkschaftszugehörigkeit, weil die Abführung des Gewerkschaftsbeitrags tarifvertraglich geregelt ist) oder einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) rechtmäßig ist (§ 26 Abs. 1 S. 1 BDSG).
Spezielle Sachverhalte im Beschäftigtendatenschutz – Straftatverfolgung, Einwilligung, Konzerndatenverarbeitung
In § 26 Abs. 1 S. 2 ist die Rechtmäßigkeit der Verarbeitung zur Aufdeckung von Straftaten geregelt. Dies ist dann zulässig, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt. Wesentlich ist dabei, dass ein ganz konkreter Tatverdacht zugrunde liegt, der zu dokumentieren ist. Eine präventive Verarbeitung von Daten „auf Vorrat“ zu diesem Zweck, z.B. durch Videoüberwachung, ist nicht zulässig.
Eine wirksame Einwilligung im Beschäftigungsverhältnis scheitert oft an der Freiwilligkeit und ist in vielen Fällen damit nicht zulässig. Um die Anforderungen des § 26 Abs. 2 BDSG zu erfüllen, muss eine Einwilligung im Beschäftigungsverhältnis freiwillig sein. Bei der Bewertung der Freiwilligkeit ist insbesondere die Abhängigkeit im Arbeitsverhältnis zu berücksichtigen. Wenn mit einem Bewerber zum Beispiel ein Videointerview durchgeführt wird und dies aufgezeichnet werden soll, so wäre dies höchstens mit einer Einwilligung des Bewerbers möglich. Dies scheitert jedoch an der Freiwilligkeit. Ein Bewerber, der einen potentiellen Arbeitgeber nicht verärgern möchte, wird aufgrund des Abhängigkeitsverhältnisses zwangsweise einer Aufzeichnung zustimmen.
Die Datenverarbeitung im Konzern- und Unternehmensverbund ist grundsätzlich nicht zulässig, auch wenn dies aus Sicht von Unternehmen sehr hilfreich wäre. Die DS-GVO kennt kein Konzernprivileg, dass heißt Daten von Beschäftigten dürfen nicht ohne Weiteres unter verschiedenen Gesellschaften ausgetauscht werden. Dies ließe sich unter Umständen dann rechtfertigen, wenn der Arbeitsvertrag des Beschäftigten auf eine konzernweite Tätigkeit ausgelegt ist. Der Datenaustausch ist im Einzelfall aber stets zu überprüfen.
Ausblick
Der Beschäftigtendatenschutz ist eines der vielfältigsten datenschutzrechtlichen Themengebiete, da eine Vielzahl von Datenverarbeitungsvorgängen stattfinden und die Rechtmäßigkeit nur in engen Grenzen erfüllt ist. Mit der zunehmenden Digitalisierung ergeben sich zudem stets neue Fragestellungen, die es zu überprüfen gilt. Erschwert werden Bewertungen von Sachverhalten im Beschäftigtendatenschutz im Moment auch dadurch, dass die gesetzlichen Regelungen hierzu noch sehr unspezifisch sind und es bisher wenig höchstrichterliche Rechtsprechung zum Beschäftigtendatenschutz gibt. Es ist daher durchaus möglich, dass der deutsche Gesetzgeber in Zukunft ein umfassendes Beschäftigtendatenschutzgesetz verabschieden wird, um den gewachsenen Herausforderungen der digitalen Welt gerecht werden zu können. Die weiteren Entwicklungen im Beschäftigtendatenschutz sind also wachsam zu beobachten.
Ihnen fehlt ein Experte, der die vielen heraufordernden Fragen zur Verarbeitung der Daten Ihrer Beschäftigten beantworten kann? Wir unterstützen Sie gerne!
Hilfreiche Links:
- Kurzpapier Nr. 14 Beschäftigtendatenschutz der Datenschutzkonferenz
- Handreichungen und Downloads zum Beschäftigtendatenschutz von der Stiftung Datenschutz
- Ratgeber Beschäftigtendatenschutz des Landesbeauftragten für Datenschutz und Informationsfreiheit Baden-Württemberg