Personalakten richtig führen / 4 Datenschutz

Der Arbeitnehmer bedarf zur Wahrung seines allgemeinen Persönlichkeitsrechts^[1] des Schutzes vor der Personaldatenverarbeitung durch den Arbeitgeber. Diesem Schutz dienen:

• individualrechtlich das Vertrags- und Deliktsrecht, das Eingriffe in das allgemeine Persönlichkeitsrecht des Arbeitnehmers verbietet;
• die DSGVO, die unmittelbar geltendes Recht in den Mitgliedsstaaten der Europäischen Union ist und Öffnungsklauseln für nationale Regelungen enthält;
• das BDSG, das von den in der DSGVO vorgesehenen Öffnungsklauseln Gebrauch macht und ergänzende nationale Normen enthält;
• das vom BVerfG im Volkszählungsurteil^[2] gefundene und seither vielfach bestätigte^[3] Grundrecht auf informationelle Selbstbestimmung;
• die Mitbestimmungsrechte des Betriebsrats bei der Personaldatenverarbeitung nach § 87 Abs. 1 Nr. 6 BetrVG.^[4]

Der Datenschutz greift dabei sowohl für Personalakten, die in Papierform^[5] geführt werden – soweit die Daten in einem bestimmten System und nach bestimmten Kriterien, beispielsweise dem Namen, geordnet sind^[6] – als auch für elektronische Personalakten.^[7]

[1] Art. 2 Abs. 1 GG.

[2] BVerfG, Urteil v. 15.12.1983, 1 BvR 209/83, NJW 1984 S. 419.

[3] Ständige Rechtsprechung: BVerfG, Urteil v. 27.2.2008, 1 BvR 370/07, 1 BvR 595/07, NJW 2008 S. 822 (Online-Durchsuchung) ; BVerfG, Beschluss v. 24.1.2012, 1 BvR 1299/05, NJW 2012 S. 1419 (Speicherung von Telekommunikationsdaten); BVerfG, Beschluss v. 27.6.2018, 2 BvR 1405/17 und 2 BvR 1780/17, NJW 2018 S. 2385 (Durchsuchung Anwaltskanzleien VW-Diesel-Skandal).

[4] Schaub/Linck, Arbeitsrechts-Handbuch, 14. Aufl. 2011, § 151, Rz. 1.

[5] Vgl. etwa § 26 Abs. 7 BDSG.

[6] Art. 4 Nr. 6 DSGVO i. V. m. Art. 2 Abs. 1 DSGVO.

[7] Art. 2 Abs. 1 DSGVO.

4.1 Anforderungen der Datenschutzgrundverordnung

Die Grundsätze für die Verarbeitung personenbezogener Daten ergeben sich aus Art. 5 Abs. 1 DSGVO. Es handelt sich hierbei um Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit.

Die Rahmenbedingungen für die Möglichkeiten, personenbezogene Daten und Dokumente zu verarbeiten, ergeben sich aus Art. 6 Abs. 1 DSGVO. Nur in den folgenden Fällen dürfen die Daten verarbeitet werden:

• Einwilligung des Arbeitnehmers als betroffene Person

• Verarbeitung ist für Vertragserfüllung notwendig, wobei eine Vertragspartei der Arbeitnehmer ist

• Erfüllung rechtlicher Verpflichtungen durch den Arbeitgeber

• Schutz lebenswichtiger Interessen des Arbeitnehmers oder einer anderen natürlichen Person

• Wahrnehmung einer Aufgabe von öffentlichem Interesse

• Wahrung berechtigter Interessen des Arbeitgebers, sofern nicht Interessen oder Grundrechte der betroffenen Person (Arbeitnehmer) überwiegen.

Werden personenbezogene Daten bei der betroffenen Person (Arbeitnehmer) erhoben, so muss der Verantwortliche (Arbeitgeber) gemäß Art. 13 Abs. 1 DSGVO der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten unter anderem folgende Informationen mitteilen:

1. den Namen und die Kontaktdaten des Verantwortlichen sowie ggf. seines Vertreters;
2. ggf. die Kontaktdaten des Datenschutzbeauftragten;
3. die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung.

Die Informationen müssen "in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermittelt" werden.^[1] Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Eine mündliche Unterrichtung ist grundsätzlich nur auf Verlangen des Betroffenen möglich.

Grundsätzlich müssen Informationen gemäß den Artikeln 13 und 14 sowie alle Mitteilungen und Maßnahmen gemäß den Artikeln 15 bis 22 und Artikel 34 DSGVO unentgeltlich zur Verfügung gestellt werden.^[2] Der Arbeitgeber hat dem Arbeitnehmer daher eine Kopie der personenbezogenen Daten kostenfrei zur Verfügung zu stellen; für alle weiteren Kopien, die der Arbeitnehmer beantragt, kann der Arbeitgeber ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten verlangen.^[3]

Folgende Vorschriften der DSGVO sind im Rahmen der Führung von Personalakten ebenfalls zu beachten:

• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung ("Recht auf Vergessenwerden", Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung in besonderen Fällen (Art. 18 DSGVO)
• Recht auf Information über die Berichtigung oder Löschung von erhobenen Daten (Art. 19 DSGVO)
• Recht auf Datenübertragbarkeit und Aufbereitung der Daten in elektronisch lesbarer Form (Art. 20 DSGVO)
• Widerspruchsrecht gegen bestimmte Formen der Datenverarbeitung (Art. 21 DSGVO)

[1] Art. 12 Abs. 1 DSGVO.

[2] Art. 12 Abs. 5 DSGVO.

[3] Art. 15 Abs. 3 DSGVO.

4.2 Anforderungen des Bundesdatenschutzgesetzes

Art. 88 DSGVO befasst sich mit der "Datenverarbeitung im Beschäftigungskontext". Er regelt, dass die Mitgliedsstaaten "durch Rechtsvorschriften oder durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigte...