Was ist eigentlich der Arbeitnehmerdatenschutz?
In diesem Artikel lesen Sie:
- wie der Arbeitnehmerdatenschutz definiert ist
- welche rechtlichen Grundlagen dem Arbeitnehmerdatenschutz zugrunde liegen
- welche datenschutzrechtlichen Pflichten in einem Arbeitsverhältnis gelten
- welche goldene Regel im Arbeitnehmerdatenschutz gilt
Werden personenbezogene Daten eines Arbeitnehmers als betroffener Person (vgl. Art. 4 Nr. 1 DSGVO) von dem Arbeitgeber als Verantwortlichem (Art. 4 Nr. 7 DSGVO) verarbeitet, befinden wir uns in einem sehr spezifischen rechtlichen Verhältnis. In dieser Konstellation gilt der sogenannte Arbeitnehmerdatenschutz oder Beschäftigtendatenschutz.
Ein eigenständiges Gesetz wie etwa ein „Arbeitnehmerdatenschutzgesetz“, welches arbeitnehmerdatenschutzrechtliche Spezifika regelt, gibt es jedoch nicht. Vielmehr ergeben sich die datenschutzrechtlichen Regelungen für das Arbeitsverhältnis aus den allgemeinen Bestimmungen der DSGVO und des BDSG (Bundesdatenschutzgesetz) und werden durch verschiedene weitere – häufig nationale – Gesetze ergänzt.
Arbeitnehmerdatenschutz: Rechtliche Grundlagen für die Verarbeitung
Wie in jedem Bereich des Datenschutzes, so gilt auch beim Arbeitnehmerdatenschutz, dass wenn personenbezogene Daten eines Arbeitnehmers als betroffener Person (vgl. Art. 4 Nr. 1 DSGVO) von dem Arbeitgeber als Verantwortlichem (Art. 4 Nr. 7 DSGVO) verarbeitet werden, wir uns in einem sehr spezifischen rechtlichen Verhältnis befinden.
In dieser Konstellation gilt der sogenannte Arbeitnehmerdatenschutz und es bedarf einer rechtlichen Grundlage für die Verarbeitung personenbezogener Daten. Über die bereichsspezifische Öffnungsklausel des Art. 88 DSGVO gelangt man zu § 26 BDSG, einer sehr wichtigen Rechtsgrundlage für die Verarbeitung personenbezogener Daten im Rahmen von Arbeitsverhältnissen.
Dem Grundsatz nach darf der Arbeitgeber personenbezogene Daten der Arbeitnehmer verarbeiten, wenn dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist (§ 26 Abs. 1 S. 1 BDSG).
- Eine Datenverarbeitung für die Begründung des Beschäftigungsverhältnisses liegt etwa dann vor, wenn personenbezogene Daten, beispielsweise aus der Bewerbungsmappe, für die Durchführung eines Bewerbungsverfahrens verarbeitet werden. Hierbei ist darauf zu achten, dass nur eine Verarbeitung solcher Daten erfolgt, die für das Arbeitsverhältnis erforderlich sind. Eine Frage bezüglich einer möglichen Schwangerschaft wäre demnach etwa unzulässig. Ferner sollte stets eine Direkterhebung der erforderlichen Daten beim Bewerber vorgenommen werden und nicht aus einer dritten Quelle.
- Eine Datenverarbeitung für die Durchführung des Beschäftigungsverhältnisses ist beispielsweise die Führung von Personalakten, das Verfassen von Arbeitsplänen oder auch die Durchführung von Arbeitssicherheitsmaßnahmen. Insbesondere bei der Führung von Personalakten ist darauf zu achten, dass keine unzulässige Vorratsdatenspeicherung stattfindet, sondern hier nur solche Daten abgelegt werden, die richtig und nicht leistungsfremd sind. Im Beschäftigungsverhältnis können dann auch besonders sensible Daten (Art. 9 DSGVO), wie Angaben über eine Schwangerschaft, verarbeitet werden, jedoch nur mit dem Zweck, den Verpflichtungen gemäß dem Mutterschutzgesetz nachzukommen.
- Eine Datenverarbeitung für/nach Beendigung des Beschäftigungsverhältnisses liegt beispielsweise vor, wenn der Arbeitgeber eine Sozialauswahl gemäß § 1 KSchG treffen musste.
Neben der Erforderlichkeit der Datenverarbeitung für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses kann sich die Zulässigkeit einer Verarbeitung von personenbezogenen Daten auch aus der Einwilligung des Arbeitnehmers ergeben. Hierbei ist neben der Widerruflichkeit insbesondere auch auf die Umstände der Einwilligung zu achten.
Goldene Regel für den Arbeitnehmerdatenschutz
Der Arbeitnehmer muss über die Datenverarbeitung aufgeklärt/informiert sein.
Zudem muss die Einwilligung freiwillig erfolgen. An das Kriterium der Freiwilligkeit werden besondere Anforderungen gestellt, da grundsätzlich von einer gewissen „Über-/Unterordnung“ im Beschäftigungsverhältnis ausgegangen wird. Es ist daher stets eine Einzelfallbetrachtung erforderlich, bei der die konkreten Umstände sowie Vor- und Nachteile, die sich für den Arbeitnehmer aus der Verarbeitung seiner personenbezogenen Daten ergeben könnten, mit einbezogen werden.
Allgemeine datenschutzrechtliche Pflichten im Arbeitsverhältnis
Darüber hinaus sind, wie bereits eingangs erwähnt, die allgemeinen datenschutzrechtlichen Pflichten für den Verantwortlichen zu beachten.
So ist etwa nicht nur eine Datenschutzerklärung auf der Website erforderlich, um die Webseitenbesucher über die Verarbeitung ihrer personenbezogenen Daten auf der Website zu informieren, sondern vielmehr müssen auch die Beschäftigten über die Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext informiert werden. Hierbei gelten die Art. 13 ff. DSGVO.
Das bedeutet, dass der Arbeitgeber den Arbeitnehmer etwa darüber zu informieren hat, an welche Dritte (Art. 4 Nr. 10 DSGVO) seine Daten weitergegeben werden, wie lange eine Speicherung etwa in Systemen erfolgt und ob hierbei eine Übermittlung von personenbezogenen Daten in Drittländer (nicht EU oder EWR) stattfindet.
Arbeitnehmerdatenschutz: Das raten unsere Experten
Tipp: Grundsätzlich sollten Einwilligungen schriftlich festgehalten werden, um etwaigen Nachweispflichten nachkommen zu können. Das Gesetz verlangt in § 26 Abs. 2 S. 3 BDSG explizit die Einholung der Einwilligung in schriftlicher oder elektronischer Form, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist.
Zuletzt ist eine Datenverarbeitung im Beschäftigungsverhältnis auf Grundlage von Kollektivvereinbarungen möglich, § 26 Abs. 4 S. 2 BDSG. Hierbei sind die Grundsätze der Verarbeitung gem. Art. 5 DSGVO zu wahren. Diese lauten: Rechtmäßigkeit der Verarbeitung, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit.
.svg)
.svg)
.svg)
.svg){kind=small}