Besitzen Sie diesen Inhalt bereits,
melden Sie sich an.
oder schalten Sie Ihr Produkt zur digitalen Nutzung frei.
Datenschutz im Arbeitsrecht
Der EuGH hat in Bezug auf landesrechtliche Vorschriften (in dem Bundesland Hessen) entschieden, dass Generalklauseln im nationalen Beschäftigtendatenschutz unanwendbar sind, da sie gegen die vorrangig anwendbare DS-GVO verstoßen (). Es ist davon auszugehen, dass aufgrund des EuGH-Urteils zu dem Hessischen Landesrecht die (gleichlautende) Norm des § 26 Abs. 1 BDSG im Grundsatz nicht mehr anwendbar ist und sich Arbeitgeber stattdessen direkt auf Art. 6 DS-GVO stützen. Es bleibt die weitere Entwicklung dazu abzuwarten, insbesondere zu der Frage, inwieweit sich an der bisherigen Rechtslage Änderungen ergeben.
I. Definition des Datenschutzes im Arbeitsrecht
Unter Datenschutz wird der Schutz personenbezogener Daten vor missbräuchlicher Verwendung verstanden. Der Arbeitnehmer soll vor einer Verletzung seines allgemeinen Persönlichkeitsrechts geschützt werden. Aus seinem Recht auf informationelle Selbstbestimmung hat der Einzelne die Befugnis, grundsätzlich selbst zu entscheiden, wann und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werden ( 1 BvR 209, 269, 362, 420, 440, 484/83, E 65, 1, 43 – „Volkszählungsurteil”). Darüber hinaus besteht ein Recht des Einzelnen auf private Datensphäre (Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, siehe , NJW 2008, 822). Dem gegenüber stehen die Grundrechte des Arbeitgebers auf wirtschaftliche Handlungs- und Betätigungsfreiheit sowie seine Berufsfreiheit.
Nach der DS-GVO (Erwägungsgrund 1) ist nunmehr festgelegt, dass „der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (…) ein Grundrecht (…)“ ist.
II. Gesetzliche Grundlagen
Ein eigenes Arbeitnehmerdatenschutzgesetz existiert nach wie vor nicht. Der Datenschutz im Arbeitsverhältnis, der auf den bereits genannten „Datenschutzgrundrechten” basiert, ergibt sich aus der unmittelbar anwendbaren DS-GVO und dem Bundesdatenschutzgesetz (BDSG). Schließlich existieren wichtige betriebsverfassungsrechtliche Regelungen, die zu beachten sind (siehe dazu unter V.).
1. Bundesdatenschutzgesetz (BDSG)
Die Regelung des Beschäftigtendatenschutzes in § 26 BDSG ist im Vergleich zu der vorherigen Regelung (§ 32 BDSG a. F.) ausführlicher. Es wurden auf der Grundlage der Rechtsprechung einzelne Aspekte darin gesetzlich normiert (siehe unten). Grundsätzlich gilt das BDSG sowohl für das Arbeitsverhältnis bei privaten Arbeitgebern als auch im öffentlichen Bereich, sofern Arbeitgeber eine Stelle des Bundes ist. Für eine Landesbehörde gilt das BDSG nur, soweit keine eigene landesgesetzliche Regelung besteht (näher dazu unter II. 2).
Auf Arbeitnehmerseite erfasst sind bestimmte gesetzlich definierte Beschäftigtengruppen. Unter den genannten Personengruppen hervorzuheben sind die „Arbeitnehmer” einschließlich der Leiharbeitnehmer im Verhältnis zum Entleiher; des Weiteren sind benannt die zu ihrer Berufsbildung Beschäftigten sowie arbeitnehmerähnliche Personen. Im öffentlichen Bereich sind insbesondere Beamte, Richter, Soldaten sowie Zivildienstleistende erfasst.
2. Landesdatenschutzgesetze (LDSG)
Für Arbeitnehmer bei Landesbehörden gelten die jeweiligen Landesdatenschutzgesetze und lediglich ergänzend die Regelungen des BDSG, sofern die Länder von ihren Gesetzgebungsbefugnissen Gebrauch gemacht haben. Zahlreiche Landesdatenschutzgesetze enthalten Sonderregelungen:
Tabelle in neuem Fenster öffnen
Baden-Württemberg | LDSG BW | §159 |
Berlin | BlnDSG | § 18 |
Brandenburg | BbgDSG
| § 26 |
Bremen | BremDSGVOAG | § 12 |
Hamburg | HmbDSG | § 10 |
Hessen | HDSIG | § 23
|
Mecklenburg-Vorpommern | DSG-MV
| § 10 |
Niedersachsen | NDSG | § 12 |
Nordrhein-Westfalen | DSG- NRW
| § 18 |
Rheinland-Pfalz | LDSG RhPf | § 20 |
Saarland | SaarlDSG | § 22 |
Sachsen | SächsDSG | § 11 |
Schleswig-Holstein
| LDSG-SH | §
15 |
Thüringen | ThürDSG | § 27 |
3. Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG)
Soweit der Arbeitgeber die private Nutzung von Internet und/oder Telefon gestattet, unterliegt er den Vorschriften des Telemediengesetzes (TMG ) und des Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), die als Spezialnormen dem BDSG vorgehen. Es treffen ihn deutlich über das BDSG hinausgehende Pflichten bezüglich des Schutzes der privaten Kommunikation seiner Arbeitnehmer. Streitig ist nach wie vor, ob er als Anbieter von Telekommunikatonsdienstleistungen nach h.M. dem Fernsprechgeheimnis unterliegt (§ 3 Abs. 2 Nr. 2 TTDSG). Aus dem Telemediengesetz ergeben sich verschiedene Kennzeichnungs- und Informationspflichten des Arbeitgebers.
III. Zulässigkeit der Datenerhebung und -verwaltung
1. Überblick
Das BDSG stellt entsprechend dem präventiven Schutzzweck des Gesetzes grundsätzlich ein Verbot der Erhebung, Verarbeitung und Nutzung personenbezogener Daten auf. Sie sind danach nur zulässig, sofern ein Gesetz, insbesondere das BDSG oder die DS-GVO, dies erlaubt. Die zentralen arbeitsrechtlichen Vorschriften sind Art. 6 Abs. 1 DS-GVO und der § 26 BDSG, wonach es i. E. auf die „Erforderlichkeit” der jeweiligen Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses ankommt. Die Kriterien in den wichtigsten Anwendungsfällen in der Praxis werden nachfolgend dargestellt. Dabei muss die Erforderlichkeit für Zwecke des Beschäftigungsverhältnisses in jeder Phase der Datenerhebung oder -verarbeitung oder -nutzung zu bejahen sein.
Eine Verhältnismäßigkeitsprüfung hat ergänzend stattzufinden (vgl. etwa - „Keylogger-Urteil“).. Dem Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme kommt besondere Bedeutung zu (siehe ).
Möglich ist daneben auch die Einwilligung des Arbeitnehmers, siehe dazu nachfolgend Punkt 2. f) und die Datenerhebung aufgrund Kollektivvereinbarung (siehe dazu unten, Punkt 2. i).
Nach dem Gesetz reicht es schließlich aus, dass personenbezogene Daten erhoben, verarbeitet oder genutzt werden, ohne dass dies automatisiert erfolgt (§ 26 Abs. 7 BDSG). Der Arbeitgeber hat also damit zu rechnen, dass nahezu alle Tätigkeiten erfasst werden, die mit Informationen über den Arbeitnehmer zusammenhängen, wie etwa ein Anruf bei einem früheren Arbeitgeber, einfache Notizen über das Leistungsverhalten u.ä.