Beschäftigtendatenschutz Was Arbeitgeber wissen dürfen und was nicht

Datenschutz gilt nicht nur zwischen Unternehmen und ihren Kunden, sondern auch innerhalb der Firma. Die Daten der Mitarbeiter dürfen nur in einem bestimmten Rahmen genutzt und ausgewertet werden. Diesen Rahmen korrekt zu bestimmen, fällt aber vielen Unternehmen schwer, Übertretungen des nach dem Datenschutzrecht Zulässigen sind an der Tagesordnung.

Anbieter zum Thema

Insider Research

SEPPmail - Deutschland GmbH

SoSafe GmbH

Vertrauen ist gut, Kontrolle ist besser, dieser Gedanke scheint bei so manchem Arbeitgeber tief verwurzelt zu sein. In vielen Tätigkeitsberichten der Aufsichtsbehörden für den Datenschutz findet man Fälle, in denen ein Arbeitgeber deutlich zu weit in die Privatsphäre von Mitarbeiterinnen und Mitarbeiter eingedrungen ist, sei es durch heimliche Videoüberwachung, unerlaubte Ortung des Aufenthaltsortes von Beschäftigten oder Mitlesen der digitalen Korrespondenz. Selbst Keylogger, die die Tastatureingaben am Rechner protokollieren, werden eingesetzt, wie aktuelle Gerichtsurteile zeigen (Landesarbeitsgericht Hamm, 16 Sa 1711/15).

Andererseits besagen Studien zur IT-Sicherheit immer wieder, dass von Innentätern ein hohes Risiko ausgeht. Unternehmen müssen sich gegen dieses Risiko durch Insider-Attacken schützen. Es muss also möglich sein, ein Vergehen von Beschäftigten festzustellen. Beschäftigtendaten dürfen aber auch aus anderen, ganz einfachen Gründen nicht tabu sein für den Arbeitgeber, die Daten der Mitarbeiterinnen und Mitarbeiter werden gebraucht, um zum Beispiel die Gehaltsabrechnung und die Abführung von Versicherungsbeiträgen korrekt durchführen zu können.

Arbeitgeber haben somit ein berechtigtes Interesse an der Speicherung und Nutzung bestimmter (!) personenbezogener Daten ihrer Beschäftigten, eine vollständige Transparenz der Beschäftigten durch die Protokollierung all ihrer Tätigkeiten im Unternehmen ist jedoch untersagt. Das noch geltende Bundesdatenschutzgesetz (BDSG) sagt dazu im § 32:

Personenbezogene Daten eines Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist.

Hierunter fallen zum Beispiel die Verarbeitung von Bewerberdaten sowie die Gehaltsabrechnung. Auch die Abwehr von Risiken durch Innentäter erlaubt der Datenschutz, er macht hierzu aber Vorgaben:

Zur Aufdeckung von Straftaten dürfen personenbezogene Daten eines Beschäftigten nur dann erhoben, verarbeitet oder genutzt werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass der Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat, die Erhebung, Verarbeitung oder Nutzung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.

Anlasslose Überwachungen ohne konkreten, dokumentierten Bezug, im Sinne eines Generalverdachts gegen Beschäftigte sind somit verboten. Ganz so einfach ist es also mit „Vertrauen ist gut, Kontrolle ist besser“ nicht.

Datenschutz-Grundverordnung (DSGVO / GDPR): Einwilligung im Fokus

Das neue Bundesdatenschutzgesetz (BDSG-neu), das insbesondere Öffnungsklauseln der Datenschutz-Grundverordnung (DSGVO / GDPR) mit Leben füllen wird, enthält ebenfalls Vorgaben zum Beschäftigtendatenschutz. Dabei gibt es große Übereinstimmungen zwischen dem noch geltenden und dem neuen BDSG. Neu erwähnt ist, dass personenbezogene Daten der Beschäftigten für die Zwecke des Beschäftigungsverhältnisses auch verarbeitet werden dürfen, wenn dies zur Ausübung oder Erfüllung der sich aus einem Gesetz, einem Tarifvertrag oder einer Betriebsvereinbarung ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist.

Besonderes Augenmerk legt das BDSG-neu auf das Thema Einwilligung. Bekanntlich ist die (informierte) Einwilligung eine der zentralen Grundlagen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten. Datenschützer verweisen aber schon seit Jahren darauf, dass die Freiwilligkeit im Beschäftigungsverhältnis oftmals anders zu sehen ist, als dies bei anderen Fällen einer Einwilligung zu sehen ist.

Im Beschäftigungsverhältnis kann der oder die Betroffene das Gefühl der Abhängigkeit vom Arbeitgeber oder womöglich einen Druck bei der Einwilligung erleben, so dass man nicht von einer vollständig freiwilligen Einwilligung ausgehen kann, so der Gedanke der Datenschützer. Das BDSG-neu bzw. die Gesetzesbegründung dazu sehen Freiwilligkeit dann gegeben, wenn die oder der Betroffene Vorteile durch die Einwilligung erzielen kann (wie die Privatnutzung betrieblicher IT) oder wenn Arbeitgeber und Arbeitnehmer gleiche Interesse in der jeweiligen Angelegenheit verfolgen, also nicht der Arbeitgeber alleine oder in der Hauptsache profitiert.

Typische Problembereiche wie private IT-Nutzung am Arbeitsplatz

Wie in vielen Gesetzen üblich, werden im BDSG oder BDSG-neu keine Spezialfälle des Beschäftigungsverhältnisses behandelt, wie die Internetnutzung am Arbeitsplatz. Unternehmen erhalten hier Anleitung und Orientierung durch die Aufsichtsbehörden und in Zukunft durch den Europäischen Datenschutzausschuss, der unter anderem die Aufgabe haben wird, Leitlinien, Empfehlungen und bewährte Verfahren für den Datenschutz zu veröffentlichen. Zu dem Bereich der Privatnutzung von E-Mail und Internet am Arbeitsplatz findet man zum Beispiel eine Orientierungshilfe der Datenschutzaufsichtsbehörden. Auch zum zulässigen Umfang bei einer Protokollierung findet man entsprechende Veröffentlichungen.

Datenschutzprinzipien auch für Arbeitgeber

Grundsätzlicher Maßstab ist jeweils, dass der Arbeitgeber nur das an personenbezogenen Daten erheben und verarbeiten darf, was für einen Arbeitgeber wirklich erforderlich ist. Auch für Arbeitgeber gelten die Datenschutzprinzipien, die in der Datenschutz-Grundverordnung genannt werden:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

• Zweckbindung

• Datenminimierung (Datensparsamkeit)

• Richtigkeit

• Speicherbegrenzung

• Integrität und Vertraulichkeit

• Rechenschaftspflicht (Nachweisbarkeit der Zulässigkeit der Verarbeitung, insbesondere schriftliche Einwilligung)

(ID:45003449)