Datenschutz im Personalwesen / 2.3 Beispiele zum Umgang mit Daten

2.3.1 Erfassen und Speichern von Stammdaten

Es dürfen nur diejenigen Stammdaten erhoben werden, die für die Durchführung des Beschäftigungsverhältnisses erforderlich sind. Hierzu zählen z. B. Name, Geburtsdatum oder Adresse des Mitarbeiters.

Das Anfertigen einer Kopie von Ausweisdokumenten (Reisepass, Personalausweis) ist nur unter strengen datenschutzrechtlichen Voraussetzungen möglich, die im Arbeitsverhältnis in der Regel nicht gegeben sind. Besteht keine Erforderlichkeit zur Anfertigung und Vorhaltung einer Ausweiskopie, sollte diese daher unterbleiben.

Ebenso verhält es sich mit Kopien des Führerscheins. Nach den Vorschriften des Straßenverkehrsgesetzes ist das Unternehmen verpflichtet, diejenigen Beschäftigen, die ein Firmenfahrzeug erhalten, auf das Vorhandensein eines Führerscheins zu prüfen. Nicht erforderlich ist dabei das Anfertigen einer Kopie des Führerscheins, da eine Sichtprobe samt Protokollierung derselben ausreicht. Das Anfertigen einer Kopie ist daher, aufgrund fehlender Erforderlichkeit, unzulässig.^[1]

Praxis-Tipp

Überprüfung des Führerscheins

Eine datenschutzkonforme "Führerscheinüberprüfung" ist dann gegeben, wenn sich der Fuhrparkleiter oder der Vorgesetzte den Führerschein vorzeigen lässt und dies entsprechend protokolliert: "Führerschein des Beschäftigten [Name einfügen] wurde durch mich am [Datum einfügen] eingesehen. [Unterschrift Prüfer]".

[1] So auch Landesbeauftragter für Datenschutz Freie Hansestadt Bremen, Tätigkeitsbericht 2015, S. 52; andere Ansicht: Bayerisches Landesamt für Datenschutzaufsicht, Tätigkeitsbericht 2013/14, S. 112.

2.3.2 Umgang mit Daten zur Arbeitszeit

Da die Arbeitszeit in der Regel die Grundlage für die Vergütung eines Arbeitnehmers darstellt, hat das Unternehmen ein berechtigtes Interesse, die Arbeitszeiten der Beschäftigten festzuhalten. Zudem urteilte der Europäische Gerichtshof ("EuGH"), dass sich aus der EU-Grundrechte-Charta eine gesetzliche Pflicht für Arbeitgeber zur Implementierung eines objektiven, verlässlichen und zugänglichen Systems zur Arbeitszeiterfassung ergibt.^[1] Das Bundesarbeitsgericht (BAG) stellte klar, dass dieses Urteil auch von deutschen Arbeitgebern zu beachten ist, diese also die gesamte Arbeitszeit der Beschäftigten aufzeichnen müssen.^[2] Am 18.4.2023 hat das Bundesministerium für Arbeit und Soziales ("BAMS") einen Referentenentwurf für ein neues Arbeitszeitgesetz ("ArbZG-neu") vorgelegt, um das Gesetz der Rechtsprechung anzupassen.

Bei der Ausgestaltung der Ermittlung der Arbeitszeit hatten Unternehmen bisher im Wesentlichen freie Hand. So konnten Arbeitszeiten per Stechuhr, Chipkarte oder manuell auf Papier erfasst werden. In Zukunft wird die Arbeitszeiterfassung regelmäßig elektronisch erfolgen müssen.^[3] Abgesehen von einer Übergangsfrist gelten Ausnahmen nur für Betriebe mit bis zu 10 Arbeitnehmern oder bei entsprechender Regelung in einem Tarifvertrag oder aufgrund eines Tarifvertrags in einer Betriebs- oder Dienstvereinbarung.^[4]

Unzulässig wird in der Regel die Erfassung der Arbeitszeit mittels biometrischer Daten (Fingerabdruck-Scanner oder Iris-Erkennung) sein. Biometrische Daten unterfallen Art. 9 DSGVO, der hohe Anforderungen an die Zulässigkeit einer Verarbeitung von personenbezogenen Daten besonderer Kategorien stellt. Demgemäß ist die Verarbeitung zulässig, wenn sie erforderlich ist, damit der Arbeitgeber die ihm aus dem Arbeitsrecht erwachsenden Rechte ausüben und seinen diesbezüglichen Pflichten nachkommen kann, soweit dies nach Unionsrecht, nach nationalem Recht oder nach einer Kollektivvereinbarung zulässig ist. Zwar ist der Arbeitgeber zur Einrichtung eines objektiven, verlässlichen und zugänglichen Systems verpflichtet, dieses bedarf jedoch regelmäßig nicht der Verarbeitung biometrischer Daten.^[5]

Die Verarbeitung biometrischer Daten zum Zweck der Zeiterfassung wäre nicht zu beanstanden, wenn sie den Anforderungen des § 26 Abs. 3 BDSG genügt. Demgemäß ist die Verarbeitung zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. In den allermeisten Fällen fehlt es jedoch entweder an der Erforderlichkeit oder die schutzwürdigen Interessen der betroffenen Person überwiegen. Denn die Grundrechte und Grundfreiheiten der betroffenen Personen werden durch die Verarbeitung ihrer biometrischen Daten erheblich beeinträchtigt. Eine Rechtfertigung des Arbeitgebers, gegenüber der das schutzwürdige Interesse des Arbeitnehmers zurückzutreten hätte, ist nur in Einzelfällen denkbar. So ist eine Kontrolle via Fingerabdruck nicht allein dadurch zu rechtfertigen, dass eine abstrakte Missbrauchsgefahr des Zeiterfassungssystems besteht, indem vereinzelt Falscheintragungen vorgenommen werden. Erst bei konkretem Nachweis von wiederholt auftretenden Missbräuchen kann eine Verarbeitung biometrischer Daten zur Zeiterfassung erforderlich sein.

Auch bei Vorliegen ei...