Jan Peters, Prof. Dr. Anja Mengel
Bei der repressiven Kontrolle im Einzelfall sowie für die Implementierung von Revisionsprüfungen oder bei einer unternehmensinternen Investigation, die sich (auch) auf mögliche Straftaten wie z. B. Korruptionsdelikte und Vermögensdelikte im Unternehmen richtet, sind die Maßstäbe des § 26 Abs. 1 Satz 2 BDSG zu beachten.
Für die Verarbeitung personenbezogener Daten im Arbeitsverhältnis, die praktisch immer dann vorliegt, wenn Daten nicht anonymisiert oder jedenfalls pseudonymisiert verarbeitet werden, verlangt § 26 Abs. 1 Satz 2 BDSG erstens einen konkreten Tatverdacht gegen den oder die Arbeitnehmer, dessen/deren personenbezogene Daten für die Ermittlungen genutzt werden. Dabei muss der Tatverdacht auf "tatsächlichen Anhaltspunkten" beruhen und "dokumentiert" werden. Dieser Gesetzeswortlaut wird so verstanden, dass vor der Datenverarbeitung der Tatverdacht schriftlich oder elektronisch festgehalten und – für eine etwaige spätere Prüfung durch die Arbeitsgerichte oder die Aufsichtsbehörden bzw. bei Vorliegen eines kollektiven Tatbestands für die Mitbestimmung des Betriebsrats – vorgehalten werden muss. Ein "dringender Tatverdacht" ist nicht erforderlich. Die Verwertung von Zufallsfunden, die aufgrund solcher Maßnahmen in gerechtfertigter Weise erlangt werden, unterliegt nach der Rechtsprechung des BAG dem Maßstab von § 26 Abs. 1 Satz 1 BDSG.
Datenschutzrechtlich problematisch ist, dass der Zweck der Dokumentationspflicht nicht näher festgelegt ist. So bleibt es Arbeitgebern überlassen, selbst zu entscheiden, wie lange die Aufbewahrung der Dokumentation erforderlich und zulässig ist. Bis zu einer Klärung durch die Rechtsprechung bleibt damit letztlich offen, ob dies bis zur rechtskräftigen Beendigung des Arbeitsverhältnisses im Fall einer Kündigung oder sogar noch länger bis zur nächsten Revision durch die Datenschutzbehörde zulässig ist.
Zweitens muss noch eine Interessenabwägung und Verhältnismäßigkeitsprüfung durchgeführt werden. Insgesamt sind dies erheblich strengere Anforderungen als sie vor Inkrafttreten des § 32 BDSG a. F. zum 1.9.2009 an die Untersuchung von (vermeintlichen) Straftaten im Unternehmen gestellt wurden.