Personenbezogene Daten

Wann brauchen Arbeitgeber die Einwilligung von Mitarbeitern fpr die Vereinbarung ihrer Daten?

Ein Beschäftigungsverhältnis geht notwendiger­weise mit der Erhebung, Speicherung, Abfrage und Übermittlung – kurz: der Verarbeitung – personenbezogener Daten des Mitarbeiters ein­her, denn ansonsten wäre es Arbeitgebern unmöglich, Arbeitszeiten zu erfassen, eine Personalakte zu führen oder die monatlichen Lohn- bzw. Gehaltsabrechnungen vorzunehmen.

Im Einzelfall kann aber auch Bedarf daran bestehen, per­sonenbezogene Mitarbeiterdaten für Zwecke zu verarbei­ten, die sich nicht zwingend bzw. unmittelbar aus dem Arbeitsverhältnis selbst ergeben. Um sich als Arbeitgeber in datenschutzrechtlicher Hinsicht nicht angreifbar zu machen, ist hierfür mit dem jeweiligen Mitarbeiter eine gesonderte Vereinbarung zu treffen. In welchen Fällen dies sinnvoll ist und welche Anforderungen an eine solche Vereinbarung zu stellen sind, soll hier dargestellt werden.

Grundlagen der Datenverarbeitung im Arbeitsverhältnis

Bis vor Kurzem herrschte allgemein die Ansicht, dass der Beschäftigtendatenschutz in Deutschland mit § 26 Bundesdatenschutzgesetz (BDSG) speziell geregelt und deshalb gegenüber den Bestimmungen der Datenschutz-grundverordnung (DSGVO) vorrangig anwendbar sei. § 26 Abs. 1 S. 1 BDSG sieht vor, dass personenbezogene Daten von Beschäftigten „für Zwecke des Beschäfti­gungsverhältnisses“ verarbeitet werden dürfen, wenn dies u. a. für die Einstellungsentscheidung, die Durch­führung oder Beendigung des Arbeitsverhältnisses oder zur Erfüllung gesetzlicher bzw. tarifvertraglicher Pflich­ten erforderlich ist. Nach der bisherigen Rechtsprechung des Bundesarbeitsgerichtes (BAG) stellte § 26 Abs. 1 S. 1 BDSG einen eigenen „Erlaubnistatbestand“ für die Daten­verarbeitung dar – einen solchen muss es stets geben, denn das Datenschutzrecht ist so strukturiert, dass eine Datenverarbeitung immer nur dann stattfinden darf, wenn es einen Erlaubnistatbestand gibt (sog. Verbot mit Erlaubnisvorbehalt).

Mit Urteil vom 30. März 2023 hat allerdings der Europäische Gerichtshof entschieden, dass § 23 des Hessischen Landes-datenschutzgesetzes (HDSIG) – nahezu inhaltsgleich mit § 26 BDSG – europarechtswidrig ist. Konsequenterweise ist § 26 Abs. 1 S. 1 BDSG künftig nicht mehr anzuwenden und taugt damit auch nicht mehr als Erlaubnistatbestand.

In der Praxis dürfte dies allerdings keine gravierenden Folgen haben. Die im Rahmen des Arbeitsverhältnisses notwendige Verarbeitung von Beschäftigtendaten wird sich im Regelfall unproblematisch auf Art. 6 Abs. 1 lit. b, c oder f DSGVO stützen lassen. Ist die Verarbeitung von Mitarbeiterdaten bereits nach der DSGVO oder sonstigen gesetzlichen Vorschriften zulässig, bedarf es keiner geson­derten Vereinbarung mit dem betreffenden Mitarbeiter.

Darüberhinausgehende Datenverarbeitung

In bestimmten Fällen besteht ein arbeitgeberseitiges Interesse, auch jenseits der bloßen Durchführung des Arbeitsverhältnisses – also dann, wenn keine der o. g. Rechtsgrundlagen greift – Mitarbeiterdaten zu nutzen. Beispiele hierfür sind:

• die Nennung von Namen, Qualifikation und Kontakt­daten auf der Unternehmens-Website,
• die Veröffentlichung von Fotos im Internet (Web-site, aber auch Social-Media) oder auf Printerzeug-nissen (Flyer);
• Kontrolle der betrieblichen Telekommunikationsmit-tel (wenn diese auch für private Zwecke genutzt wer­den dürfen),
• Eintragung eines Mitarbeiters in eine Geburtstags­liste, die betriebsintern weitergegeben werden soll.

Daneben bestehen Konstellationen, in denen Gesund­heitsdaten der Mitarbeiter verarbeitet werden, z. B. bei Maßnahmen im Rahmen eines betrieblichen Eingliede­rungsmanagements nach § 167 Abs. 2 Sozialgesetzbuch (SGB) IX. Rechtsgrundlage für eine Datennutzung kann dann ausschließlich eine wirksame Einwilligung des Mitar­beiters sein (vgl. Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO).

Anforderungen an die Wirksamkeit einer Einwilligung

Nach § 26 Abs. 2 S. 3 BDSG muss eine Einwilligung im Beschäftigungsverhältnis grundsätzlich schriftlich oder in elektronischer Form (z. B. per E-Mail) erfolgen. Eine mündliche Einwilligung ist regelmäßig ausgeschlossen. Wird gegen diese Formvorschriften verstoßen, ist die 

Einwilligungserklärung nichtig und die darauf basierende Datenverarbeitung unzulässig. Die Einwilligung ist nach Art. 7 Abs. 2 DSGVO im Text besonders hervorzuheben (z. B. abgesetzt oder in Fettdruck), wenn sie zusammen mit anderen Erklärungen abgegeben werden soll.

Eine Einwilligung ist außerdem nach Art. 7 Abs. 4 DSGVO i. V. m § 26 Abs. 2 S. 1 und 2 BDSG nur wirksam, wenn der Betroffene sie freiwillig, d. h. nicht in einer Zwangslage oder sonstigen Drucksituation, abgibt. Die Freiwilligkeit einer Einwilligungserklärung ist jeweils im konkreten Ein­zelfall festzustellen und etwa dann zu verneinen, wenn der Abschluss eines Arbeitsvertrags davon abhängig gemacht wird, dass der Mitarbeiter in die Verarbeitung seiner per­sonenbezogenen Daten einwilligt. Der Mitarbeiter muss vor Abgabe der Einwilligungserklärung konkret über die beabsichtigte Datenverwendung informiert werden – eine „Blankoeinwilligung“ ist nicht möglich. Dazu gehört auch die Mitteilung seiner Rechte, der Löschfristen, der verant­wortlichen Stelle, der technischen Maßnahmen zur Abwehr unberechtigter Datenzugriffe sowie der Möglichkeit, die einmal abgegebene Einwilligungserklärung nach Art. 7 Abs. 3 DSGVO jederzeit formlos widerrufen zu können.

Die Einwilligungsfähigkeit hat ihre Grenze immer dort, wo unverhältnismäßig in die Persönlichkeitssphäre der Mit­arbeiter eingegriffen wird, z. B. wenn durch die Einholung übermäßig vieler persönlicher Daten ein umfassendes Per­sönlichkeitsprofil erstellt werden kann und der Mitarbeiter zum bloßen Beobachtungsobjekt des Arbeitgebers wird.

Fazit

Bevor mit einem Mitarbeiter eine gesonderte Daten-schutzvereinbarung getroffen wird, sollten Arbeitgeber genau prüfen, ob die Datenverarbeitung nicht schon aufgrund einer Erlaubnisnorm aus DSGVO, BDSG oder anderen gesetzlichen bzw. tarifvertraglichen Vorschriften zulässig ist. Ist eine Einwilligung oder sonstige Verein­barung erforderlich, sollte darauf geachtet werden, dass diese gut dokumentiert, korrekt formuliert und freiwillig abgegeben wird.