des Arbeitsverhältnisses, seiner Abrechnung, Abführung der Sozialversicherungsbeiträge notwendig sind.
Nach der Beendigung des Arbeitsverhältnisses dürfen Daten der Arbeitnehmer weiter gespeichert werden, sofern der Arbeitgeber ein berechtigtes Bedürfnis für die Speicherung hat (z. B., wenn er die Daten für die Gewährung der betrieblichen Altersversorgung benötigt).
Besondere Kategorien personenbezogener Daten
§ 26 Abs. 3 BDSG (neu) gestattet dem Arbeitgeber auch grundsätzlich die Verarbeitung besonderer Kategorien personenbezogener Daten. Solche besonderen Kategorien personenbezogener Daten sind in Art. 9 DSGVO benannt. Es handelt sich dabei um besonders sensible Daten, die einem besonderen Datenschutz obliegen. Zu diesen besonders geschützten personenbezogenen Daten gehören die rassistische und ethnische Herkunft, die politische Meinung, die religiöse oder weltanschauliche Überzeugung und die Gewerkschaftszugehörigkeit. Ferner unterfällt die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung diesem besonderen Schutz.
§ 26 Abs. 3 BDSG (neu) erlaubt die Verarbeitung solcher besonderen Kategorien personenbezogener Daten grundsätzlich auch im Rahmen eines Beschäftigungsverhältnisses, macht allerdings Einschränkungen bzw. gibt dem Arbeitgeber weitere Prüfungen auf. Denn § 26 Abs. 3 BDSG (neu) lässt die Verarbeitung solcher besonderen Kategorien personenbezogener Daten zwar auch dann zu, wenn dies zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist. Grundsätzlich ist die Verarbeitung dieser sensiblen Daten im Rahmen eines Beschäftigungsverhältnisses aufgrund § 26 Abs. 3 BDSG (neu) mithin zulässig, sofern dies aufgrund der arbeits- bzw. sozialrechtlichen Vorschriften notwendig ist. Darüber hinaus verlangt § 26 Abs. 3 BDSG (neu) allerdings, dass kein Grund zu der Annahme bestehen dürfe, dass schutzwürdige Interessen der betreffenden Personen an dem Ausschluss der Verarbeitung überwiegen.
Dies bedeutet, der Arbeitgeber muss bei diesen besonders sensiblen Daten vor einer Verarbeitung abwägen, ob schutzwürdige Interessen der betreffenden Person dem Interesse des Arbeitgebers an der Verarbeitung solcher Daten überwiegen. Sollte das der Fall sein, darf der Arbeitgeber sie nicht verarbeiten. Wann im Einzelfall ein solch schutzwürdiges Arbeitnehmerinteresse überwiegen soll, lässt das Gesetz offen. Da der Arbeitgeber auf der einen Seite die gesetzlichen Regelungen beachten muss und insoweit zur Datenverarbeitung auch dieser sensiblen Daten berechtigt ist und auf der anderen Seite diese wenig konkrete Gesetzesvorschrift in Ausnahmefällen eine Datenverarbeitung verbietet, wird gerade vor dem Hintergrund der hohen Strafandrohungen bei Datenschutzverstößen angeraten, im Zweifelsfall die zuständige Datenschutzbehörde vorab bei der Entscheidung mit einzubeziehen und ggf. mit dieser in Zusammenarbeit zu entscheiden, ob berechtigte Interessen eines Arbeitnehmers im Einzelfall der Datenverarbeitung dieser besonders sensiblen Daten entgegenstehen.
Beispiele für die Speicherung besonderer Kategorien personenbezogener Daten:
Werden Gesundheitsdaten des Arbeitnehmers etwa im Rahmen eines betrieblichen Eingliederungsmanagements erhoben, nachdem der Arbeitnehmer zuvor häufig erkrankt war, handelt es sich um besondere Kategorien personenbezogener Daten. Diese Daten müssen sodann besonders aufbewahrt werden, sodass nur ein beschränkter, unbedingt notwendiger und besonders autorisierter Personenkreis von ihnen Kenntnis nehmen kann und Unberechtigte auch nicht zufällig von ihnen Kenntnis erlangen können.
Einwilligung
Ist die Datenverarbeitung im Arbeitsverhältnis nicht bereits aufgrund von Art. 88 DSGVO bzw. § 26 BDSG (neu) zulässig, kann aufgrund einer eindeutigen Einwilligung des Arbeitnehmers in die Verarbeitung seiner personenbezogenen Daten ein Erlaubnistatbestand geschaffen werden, um die Daten zulässig verarbeiten zu können. Um als Grundlage für die Zulässigkeit der Datenverarbeitung zu genügen, muss diese Einwilligung einen bestimmten Inhalt und eine bestimmte Form haben.
Grundsätzlich wird die schriftliche Einwilligung des betroffenen Arbeitnehmers gefordert. Ferner muss der Arbeitgeber den Arbeitnehmer über den Zweck der Datenverarbeitung hinreichend deutlich und verständlich in Textform unterrichten.
Außerdem muss der Arbeitgeber den Arbeitnehmer darauf hinweisen, dass diese Einwilligung jederzeit widerruflich ist. Dieser Widerruf muss ebenso leicht möglich sein, wie die Abgabe der Einwilligung an sich. Für den Widerruf genügt grundsätzlich die Textform (z. B. E-Mail, Telefax). Das heißt, der Arbeitnehmer muss dem Arbeitgeber den Widerruf nicht zwingend persönlich in Form eines eigenhändig unterzeichneten Schreibens überbringen.
Wichtig ist, dass die Einwilligung freiwillig durch den Arbeitnehmer erteilt wird. Im Rahmen von Arbeitsverhältnissen wird immer wieder diskutiert, ob die Einwilligung eines Arbeitnehmers in seine Datenverarbeitung aufgrund des Abhängigkeitsverhältnisses zwischen ihm und seinem Arbeitgeber überhaupt freiwillig erfolgen könne. Der Gesetzgeber hat diese Diskussion im neuen BDSG aufgenommen und definiert nun, eine Freiwilligkeit könne insbesondere dann vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und Arbeitnehmer gleichgelagerte Interessen verfolgen. Ungeklärt ist bislang, ob eine solche Einwilligungserklärung mithin auch noch erteilt werden kann, wenn der Arbeitnehmer durch sie keinen entsprechenden Vorteil erlangt oder keine mit dem Arbeitgeber gleichgelagerte Interessen verfolgt. Hier wird abzuwarten sein, wie die Datenschutzbehörden und die Rechtsprechung solche Fälle der Einwilligung hinsichtlich der Freiwilligkeit beurteilen werden. Dem Arbeitgeber ist in solchen Fällen anzuraten, besondere Gründe, die für eine Vorteilhaftigkeit oder zumindest eine gleichgelagerte Interessenverfolgung zugunsten des Arbeitnehmers sprechen, frühzeitig zu dokumentieren.
Wichtig ist für die praktische Umsetzung, dass eine solche Einwilligung deutlich für den Arbeitnehmer erkennbar ist. Es wird grundsätzlich davon abgeraten, eine solche datenschutzrechtliche Einwilligung im Arbeitsverhältnis im Arbeitsvertrag sogleich mit zu regeln. Denn dem Arbeitgeber könnte vorgehalten werden, der Arbeitnehmer könne nicht hinreichend deutlich und unmissverständlich erkennen, dass er in die Verarbeitung seiner personenbezogenen Daten einwilligt. Vorteilhafter ist es, die Einwilligung aus diesem Grund in einem gesonderten Schreiben einzuholen. Soll die Einwilligung dennoch sogleich im Arbeitsvertrag mit erfolgen, sollte sie unbedingt deutlich drucktechnisch hervorgehoben werden (z. B. durch Fettdruck, andere Farbwahl).
Sollen besondere Kategorien personenbezogener Daten erhoben werden (Definition siehe vorstehend), kann auch in soweit eine Einwilligung des Arbeitnehmers eingeholt werden. In dieser Einwilligung ist jedoch deutlich darauf hinzuweisen, dass es sich um besondere Kategorien personenbezogener Daten handelt. Weitere Hinweise gibt § 26 Abs. 3 BDSG (neu).
Hinweis auf Betroffenenrechte
Der Arbeitgeber muss nicht nur bei der Verarbeitung personenbezogener Daten Arbeitnehmerrechte beachten. Er muss im Fall von Datenverarbeitung seine Arbeitnehmer umfangreich über ihre Rechte in Bezug auf die eigenen Daten unterrichten.
Die Datenschutz-Grundverordnung sieht umfangreiche Betroffenenrechte vor, über die der Verantwortliche die betroffenen Personen gem. Art. 12 DSGVO zu unterrichten hat. Nach Art. 12 DSGVO müssen die von der Datenverarbeitung betroffenen Arbeitnehmer in
| • | präziser, |
| • | transparenter, |
| • | verständlicher und |
| • | leicht zugänglicher Form |
in einer klaren und einfachen Sprache über die in Art. 13 und Art. 14 DSGVO niedergelegten Informationen und über alle Mitteilungen gem. den Artikeln 15 bis 22 und Art. 34 DSGVO unterrichtet werden. Die wichtigsten Rechte, über die der Arbeitgeber bzw. jeder, der Daten verarbeitet, die betroffenen Personen (im Arbeitsverhältnis die Arbeitnehmer) zu unterrichten hat:
Art. 13 der DSGVO gibt dem Verantwortlichen auf, der betroffenen Person zum Zeitpunkt der Datenerhebung mitzuteilen
| • |
den
|