Arbeitnehmerdatenschutz

Was meint Datenschutz im Rahmen des Arbeitsverhältnisses?

Der Datenschutz ist in Deutschland ein reges diskutiertes Thema. Nicht zuletzt deshalb, weil er nach der Rechtsprechung des Bundesverfassungsgerichts ein Grundrecht (Recht auf informationelle Selbstbestimmung) darstellt und somit auch auf Verfassungsebene einen entsprechend hohen Stellenwert hat. Denn der Betroffene kann grundsätzlich selbst darüber entscheiden, wem er welche persönlichen Informationen bekannt gibt. Dies betrifft auch die Daten des Arbeitnehmers in Bezug auf seine Tätigkeit im Unternehmen.

Der Datenschutz ist daneben aber auch durch das Bundesdatenschutzgesetz (BDSG) einfachgesetzlich geregelt, dessen Vorschriften für jedes Unternehmen bindend sind.

In § 32 BDSG ist für die Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses Folgendes geregelt:

Personenbezogene Daten eines Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist. Zur Aufdeckung von Straftaten dürfen personenbezogene Daten eines Beschäftigten nur dann erhoben, verarbeitet oder genutzt werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass der Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat, die Erhebung, Verarbeitung oder Nutzung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.

Der Arbeitnehmer ist über die Speicherung seiner Daten oder der Übermittlung an Dritte zu benachrichtigen (§ 33 BDSG). Nach § 34 BDSG hat der Betroffene das Recht auf Auskunft darüber, welche Daten über ihn gespeichert sind. Einen Anspruch auf Löschung von Daten hat der Betroffene insbesondere dann, wenn die Daten unrichtig sind oder ihre Speicherung unzulässig ist (§ 35 BDSG).

Welche Daten darf der Arbeitgeber speichern oder weitergeben?

Erlaubt ist die Speicherung von Daten, die für das Arbeitsverhältnis erforderlich sind, z. B.:

• Personalstammdaten (Name, Adresse, Geburtsdatum)
• Bankverbindung, Steuer- und Sozialdaten
• Arbeitszeiten, Urlaub, Krankmeldungen
• Leistungsdaten, sofern sie der Vertragserfüllung dienen

Nicht erlaubt ist dagegen:

• Speicherung von Daten zu privaten Lebensverhältnissen, politischen Ansichten oder Gesundheitszuständen, sofern keine ausdrückliche Einwilligung vorliegt.
• Weitergabe an Dritte ohne gesetzliche Grundlage oder Einwilligung.

Auf welcher Grundlage darf der Arbeitgeber Daten erheben und verarbeiten?

Die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis ist nur zulässig, wenn eine gesetzliche oder vertragliche Grundlage besteht. Zu den wichtigsten gehören:

• § 26 Abs. 1 BDSG – erlaubt die Datenverarbeitung, wenn sie für das Arbeitsverhältnis erforderlich ist (z. B. Lohnzahlung, Arbeitszeiterfassung, Krankmeldungen).
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: Datenverarbeitung zur Durchführung des Arbeitsvertrags.
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung des Arbeitnehmers (z. B. für Fotos auf der Website, Geburtstagslisten, Newsletter).
• Art. 6 Abs. 1 lit. c DSGVO – gesetzliche Pflichten, z. B. Steuer- und Aufbewahrungspflichten.
• § 26 Abs. 4 BDSG i.V.m. einer Betriebsvereinbarung – Datenverarbeitung kann auf Grundlage einer Betriebs- oder Dienstvereinbarung erfolgen, etwa bei Zeiterfassungssystemen, Leistungs- oder Verhaltenskontrollen.

Eine Betriebsvereinbarung schafft damit eine betriebsinterne Rechtsgrundlage, wenn sie die Datenverarbeitung konkret regelt und den Grundsätzen der DSGVO entspricht (Transparenz, Zweckbindung, Verhältnismäßigkeit).

Ohne gesetzliche, vertragliche oder betriebliche Grundlage ist die Datenerhebung unzulässig.

Welche Rechte habe ich, bei einem Datenschutz-Verstoß?

Arbeitnehmer können bei Datenschutzverstößen:

1. intern Beschwerde einlegen (z. B. beim Betriebsrat oder Datenschutzbeauftragten),
    
2. sich an die zuständige Datenschutzaufsichtsbehörde wenden,
    
3. Schadensersatz oder Schmerzensgeld nach Art. 82 DSGVO verlangen, wenn durch den Verstoß ein materieller oder immaterieller Schaden entstanden ist.

Hinweis: Arbeitgeber haften im Rahmen der sogenannten Haftungsprivilegierung nur für vorsätzlich verursachte Datenschutzverstöße ihrer Beschäftigten.