Die Berliner Datenschutzbeauftragte hat gegen ein Unternehmen Bußgelder in Höhe von insgesamt 215.000 Euro verhängt. Dieses hatte unter anderem sensible Informationen über den Gesundheitszustand einzelner Beschäftigter oder deren Interesse an einer Betriebsratsgründung dokumentiert.
Wenn in Unternehmen Beschäftigtendaten erhoben, gespeichert und verwendet werden, muss das stets im zulässigen Zusammenhang mit dem Beschäftigungsverhältnis erfolgen. Insbesondere bei Gesundheitsdaten gilt, dass sie nur in engen Grenzen verarbeitet werden dürfen, da es sich um besonders sensitive Informationen handelt. Der unzulässige Umgang in einem Unternehmen mit den Daten von Beschäftigten in der Probezeit im Zusammenhang mit der Frage, ob diese weiterbeschäftigt oder gekündigt werden sollen, führte vorliegend zu einem Einschreiten der Datenschutzbehörde.
Vorgesetzte listet Informationen über Beschäftigte in der Probezeit
Um mögliche Kündigungen zum Ende der Probezeit vorzubereiten, führte eine Vorgesetzte auf Weisung der Geschäftsführung des Unternehmens von März bis Juli 2021 eine tabellarische Übersicht aller Beschäftigten in der Probezeit. Die Berliner Datenschutzbeauftragte erfuhr durch Medienberichte und eine persönliche Beschwerde eines Betroffenen von dem Vorfall und leitete eine Prüfung ein.
In der Übersicht listete die Vorgesetzte alle Mitarbeitenden in der Probezeit auf und bewertete die weitere Beschäftigung von elf Personen als "kritisch" oder "sehr kritisch".
Sensible Daten für mögliche Kündigungen dokumentiert
Diese Einstufung wurde in einer Tabellenspalte mit der Überschrift "Begründung" näher erläutert. Hier fanden sich Angaben zu persönlichen Äußerungen sowie gesundheitlichen und außerbetrieblichen Gründen, die einer flexiblen Schichteinteilung entgegenstehen würden. Auch ein mögliches Interesse an der Gründung eines Betriebsrates und die regelmäßige Teilnahme an einer Psychotherapie wurden hier genannt. In vielen Fällen hatten die Beschäftigten die aufgeführten Informationen selbst für die Dienstplanung mitgeteilt. Die Weiterverarbeitung in der Liste war ihnen nicht bekannt.
Bußgeld wegen Datenschutzverstoß
Die Berliner Datenschutzbeauftragte Meike Kamp kam bei ihrer Prüfung zu dem Ergebnis, dass die Verarbeitung der erhobenen Daten in den beanstandeten Fällen nicht rechtmäßig war. Die Erhebung, Speicherung und Verwendung von Beschäftigtendaten müsse stets im zulässigen Zusammenhang mit dem Beschäftigungsverhältnis erfolgen. Das sei in diesem Fall nicht gegeben gewesen. Vor allem Gesundheitsdaten seien besonders sensitive Informationen, die nur in engen Grenzen verarbeitet werden dürften.
Die Datenschutzbeauftragte wies darauf hin, dass Arbeitgeber grundsätzlich Überlegungen anstellen können, inwiefern Beschäftigte weiterbeschäftigt werden sollen. Diesbezüglich sei es auch zulässig, personenbezogene Daten zu verarbeiten. Die Voraussetzung hierfür sei jedoch, dass die verarbeiteten Daten für diesen Zweck geeignet und erforderlich sind. Das bedeute, dass sie lediglich Rückschlüsse auf Leistung oder Verhalten zulassen dürfen, die in unmittelbarem Zusammenhang mit dem Beschäftigungsverhältnis stehen.
Arbeitgeber dürften Informationen, die ihnen von Beschäftigten selbst mitgeteilt wurden, nicht einfach weiterverarbeiten, sondern müssten vielmehr prüfen, ob die Verarbeitung erforderlich und angemessen ist.
Weitere Datenschutzverstöße
Zusätzlich zur Ahndung dieses strukturellen Verstoßes verhängte die Berliner Datenschutzbehörde drei weitere Bußgelder gegen das Unternehmen in Höhe von insgesamt rund 40.000 Euro. Die Gründe hierfür waren die fehlende Beteiligung der betrieblichen Datenschutzbeauftragten bei der Erstellung der Liste, die verspätete Meldung einer Datenpanne und die fehlende Erwähnung der Liste im Verarbeitungsverzeichnis.
Besonders schwerwiegend: Unzulässige Verarbeitung von Gesundheitsdaten
Bei der Bemessung der Bußgelder berücksichtigte die Berliner Datenschutzbehörde nach eigenen Angaben den Umsatz des Unternehmens und die Anzahl der betroffenen Beschäftigten. Außerdem sei berücksichtigt worden, dass insbesondere die Verarbeitung von Gesundheitsdaten ohne Rechtsgrundlage einen besonders schwerwiegenden Verstoß darstellt. Zu Gunsten des Unternehmens und damit auch bußgeldmindernd wurde berücksichtigt, dass das Unternehmen nicht nur umfassend mit der Behörde kooperiert habe, sondern auch den Verstoß nach öffentlichem Bekanntwerden bereits ohne Aufforderung von sich aus abgestellt habe.
Der Bußgeldbescheid ist noch nicht rechtskräftig.
Das könnte Sie auch interessieren:
Grundsätze zum Beschäftigtendatenschutz im Unternehmen