Anpassung des Beschäftigtendatenschutz zum 25.05.2018

Mit Wirkung zum 25.05.2018 tritt eine vollständige Neufassung des Bundesdatenschutzgesetzes (BDSG) in Kraft. Hiermit zollt der Gesetzgeber den Vorgaben der EU-Datenschutz-Grundverordnung Tribut, mit der das deutsche Recht zu harmonisieren war. Der Beschäftigtendatenschutz ist gesondert geregelt, weswegen für sämtliche Arbeitgeber ab dem 25.05.2018 Neuerungen zu beachten sind, mit denen sie sich bereits jetzt befassen sollten.

Gemäß § 26 Abs. 1 BDSG in der neuen Fassung (nF) dürfen personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies erforderlich ist:

• Für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses,
• dessen Durchführung,
• die Beendigung oder
• zur Ausübung und Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten.

Zur Aufdeckung von Straftaten dürfen personenbezogene Daten eines Beschäftigten verarbeitet werden, wenn

• tatsächliche Anhaltspunkte, die zu dokumentieren sind, den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat,
• die Verarbeitung zur Aufdeckung einer Straftat erforderlich ist und
• entgegenstehende schutzwürdigende Interessen eines Beschäftigten nicht überwiegen, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.

Gemäß § 26 Abs. 8 BDSG nF fällt unter den Begriff des Beschäftigten auch ein Leiharbeitnehmer. Für diesen sind die vorstehenden Grenzen somit ebenfalls zwingend zu beachten.

§ 26 Abs. 4 BDSG nF stellt klar, dass eine Betriebsvereinbarung als Rechtfertigungsgrund zur Datenverarbeitung dienen kann. Sie muss jedoch besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und Grundrechte der betroffenen Personen umfassen. Daraus wird nach derzeitigem Literaturstand die Konsequenz abgeleitet, dass eine Betriebsvereinbarung nur dann die Verarbeitung personenbezogener Daten erlauben kann, wenn die legitimen Zwecke in der Betriebsvereinbarung selbst eindeutig festgelegt sind. Dies sei nicht nur beim Abschluss neuer Vereinbarungen zu beachten, da die gesetzlichen Regelungen keine Ausnahme für Kollektivvereinbarungen enthält, die bereits bei in Kraft treten abgeschlossen waren, sodass auch bestehende Kollektivregelungen ab dem 23.05.2018 an den Vorgaben der neuen gesetzlichen Regelungen zu messen sind. Erfahrungsgemäß fehlt es häufig an der Konkretisierung der eigentlichen Zweckbestimmung für die Datenverarbeitung, wie beispielsweise der Mitteilung der grundlegenden Bedeutung wie Personaleinsatzsteuerung, Controlling, Entwicklung, Abrechnung, Arbeitsschutz etc.). Es bedürfte somit einer Anpassung der Kollektivvereinbarungen der Vergangenheit dahingehend, dass der Zweck der Datenverarbeitung konkret in der Betriebsvereinbarung ausgewiesen wird.

Schließlich besteht die Möglichkeit eine Einwilligung im Arbeitsverhältnis zur Datenverarbeitung aus besonderen Gründen einzuholen. Hierbei sind die betroffenen Daten und ihr konkreter Verwendungszweck in der Einwilligung zu bezeichnen. Zudem hat die einwilligende Person nicht nur das Recht, ihre Einwilligung jederzeit zu widerrufen, vielmehr ist sie hierüber in Textform zu belehren. Der Widerruf muss so einfach wie die Erteilung der Einwilligung sein, somit keine Zweifel über Adressaten und Form belassen. Im Sinne der zu beachtenden klaren Unterscheidbarkeiten der Einwilligung nebst Widerrufsbelehrung, sollte sie in gesonderten Einzelerklärungen dokumentiert werden.

Konsequenzen für die Praxis

Einerseits sind die Vorgaben des Datenschutzes für Beschäftigte zukünftig zu beachten, andererseits bedarf es der Überprüfung bestehender Vereinbarungen und ggf. der Anpassung. Entsprechende Maßnahmen sollten mit den Datenschutzbeauftragten abgestimmt werden. Diese Handlungspflichten sind im Hinblick auf die Sanktionsmöglichkeiten der Aufsichtsbehörden ernst zu nehmen.