Verarbeitung von Mitarbeiterdaten außerhalb des Beschäftigungsverhältnisses – Datenschutzrechtliche Restriktionen – Fallkonstellationen (BB 2022, Heft 18, S. 1013)

Arbeitnehmer sind nicht immer nur "Beschäftigte" (vgl. die Definition in § 26 Abs. 8 BDSG) ihres Arbeitgebers, sondern ggf. auch seine "Kunden" oder die Kunden eines Dritten, der den Arbeitgeber mit der Verarbeitung "beauftragt". Datenschutzrechtlich unproblematisch ist das, wenn die Kundenbeziehung in keinem Bezug zu dem Beschäftigungsverhältnis steht und gegenseitige Rückschlüsse normalerweise nicht gezogen werden können. Die die beiden Vertragsverhältnisse betreffenden Daten sind grundsätzlich getrennt voneinander zu verarbeiten. Die Zulässigkeitsbedingungen ergeben sich für im Rahmen der Zweckbestimmung des Beschäftigungsverhältnisses stattfindenden Verarbeitungen aus § 26 BDSG, während ansonsten je nach der Fallkonstellation Art. 6 Abs. 1 bzw. Art. 9 Abs. 1 und 2 oder Art. 28 f. DS-GVO heran zuziehen sind. Fraglich wird die Bestimmung der Zulässigkeit der Verarbeitung ggf. dann, wenn Arbeitnehmer- und Kundenbeziehung sich vermischen, so z. B., wenn der Betroffene eine Leistung als Kunde nur aufgrund des Status als Arbeitnehmer erhält. Des Weiteren können "Kundendatenverarbeitungen" bezüglich seiner Beschäftigten dem Arbeitgeber im Wege der Auftragsdatenverarbeitung oder auch gesetzlich übertragen sein, womit sich nunmehr im Hinblick auf den medizinischen Dienst der Krankenkassen nach Vorlagebeschluss des BAG (26.8.2021 – 8 AZR 253/20 (A), BB 2021, 2739 Ls) der EuGH zu beschäftigen hat.