Grundsätze zum Beschäftigtendatenschutz im Unternehmen

Auch nach dem Inkrafttreten der EU-DSGVO gibt es in Deutschland kein einheitliches Gesetz zum Beschäftigtendatenschutz. Neben der Datenschutz-Grundverordnung und dem Bundesdatenschutzgesetz enthalten zahlreiche andere gesetzliche Regelungen Vorschriften für den Datenschutz. Unterstützung für die Praxis im Unternehmen will hier die Stiftung Datenschutz leisten: Sie hat die wichtigsten Grundsätze und Regeln zum Beschäftigtendatenschutz zusammengetragen. Die praxisnahe Handreichung richtet sich an Personalverantwortliche und Beschäftigte und steht zum kostenlosen Download bereit.

Wer sind Beschäftigte im datenschutzrechtlichen Sinne?

Das Bundesdatenschutzgesetz und die DSGVO gelten für alle Beschäftigungsverhältnisse. Dies schließt Leiharbeits- und Ausbildungsverhältnisse ein. Ebenso zählen Bewerber und ehemals Beschäftigte hierzu. 

Was sind personenbezogene Daten?

Unter personenbezogenen Daten sind alle Informationen über eine natürliche Person, die sich der Person unmittelbar oder mittelbar zuordnen lassen zu verstehen. Hierzu zählen Gesundheitsdaten ebenso wie Informationen zur Gewerkschaftszugehörigkeit, der ethnischen Herkunft oder dem Familienstand. 

Wann dürfen Daten von Beschäftigten verarbeitet werden?

Das Bundesdatenschutzgesetz und die DSGVO sind sogenannte Verbotsgesetze mit Erlaubnisvorbehalt. Das bedeutet, dass es grundsätzlich unzulässig ist personenbezogene Daten zu verarbeiten, es sei denn, es gibt einen sogenannten „Erlaubnisgrund“, der die Datenverarbeitung erlaubt. Solche Erlaubnisgründe sind beispielsweise Rechtsvorschriften, hierzu zählen auch Tarifverträge oder Betriebsvereinbarungen sowie die Einwilligung der Betroffenen.

Die wichtigsten Erlaubnisgründe für eine Datenverarbeitung 

Nur unter bestimmten Voraussetzungen ist die Datenverarbeitung erlaubt. Der Arbeitgeber ist im Streitfall verpflichtet, die Rechtmäßigkeit der Datenverarbeitung zu beweisen. 

1. Die Datenverarbeitung ist erforderlich

Personenbezogene Daten über Beschäftigte dürfen verarbeitet werden, sofern dies erforderlich ist, um das Arbeitsverhältnis zu begründen, durchzuführen und zu beenden.

Weiterhin kann die Datenverarbeitung erforderlich sein, um Pflichten zu erfüllen oder Rechte auszuüben, die sich aus Gesetzen, Tarifverträgen und Betriebs- oder Dienstvereinbarungen ergeben.

2. Es liegt eine Einwilligung vor

Derjenige, dessen Daten verarbeitet werden sollen, muss darüber informiert sein, welche Daten in welchem Umfang von wem zu welchem Zweck verarbeitet werden. Die Einwilligung muss freiwillig erfolgen und es darf dem Betroffenen kein Nachteil aus einer Ablehnung entstehen. 

3. Es sollen Straftaten aufgedeckt werden

Beschäftigtendaten dürfen verarbeitet werden, wenn dadurch bereits begangene Straftaten aufgedeckt werden sollen. Dazu muss ein begründeter Verdacht gegen bestimmte Beschäftigte dokumentiert sein.

Besondere Daten erfordern besondere Einwilligung

Erfasst die Einwilligungserklärung des Beschäftigten besondere Kategorien personenbezogener Daten, wie rassische und ethnische Herkunft, politische Meinungen, religiöse und weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten zur eindeutigen Identifizierung einer Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung, muss sich die Einwilligung ausdrücklich auf diese Daten beziehen. 

Einwilligungen können freiwillig sein

Arbeitnehmer können trotz der in einem Beschäftigungsverhältnis bestehenden Abhängigkeit Einwilligungen freiwillig aussprechen, beispielsweise wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder beide Arbeitsvertragsparteien gleich gelagerte Interessen verfolgen. 

Neue Pflichten für Arbeitgeber?

Belehrungs-und Informationspflicht: Arbeitgeber müssen bei der Verarbeitung von personenbezogenen Daten im Beschäftigungsverhältnis die Beschäftigten über die Datenverarbeitung belehren und informieren. Zu Dokumentationszwecken sollte dies stets schriftlich erfolgen oder zumindest eine schriftliche Bestätigung über die mündliche Belehrung eingeholt werden.

Verpflichtung auf das Datengeheimnis: Nicht verpflichtend, aber sinnvoll im Hinblick darauf, dass der Arbeitgeber die Rechtmäßigkeit der Datenverarbeitung nachweisen muss, ist es die Beschäftigten, die personenbezogene Daten verarbeiten, auf das Datengeheimnis zu verpflichten.

Das könnte Sie auch interessieren:

Korrekter Umgang mit Gesundheitsdaten von Beschäftigten

Bundesrat billigt Anpassungen zum Datenschutz

Datenschutz: sinnvolle Datennutzung ermöglichen, Missbrauch verhindern

Was Arbeitgeber beim Datenschutz im BEM-Verfahren beachten müssen