Datenschutz / 4.2 Anwendungsbereich

In den Anwendungs- und Schutzbereich des BDSG fallen gemäß § 46 Nr. 1 BDSG sämtliche personenbezogenen Daten. Dafür genügt, dass die Identität bspw. des Beschäftigten unmittelbar unter Zuhilfenahme von Zusatzwissen feststellbar ist (Identifizierbarkeit, vgl. § 46 Nr. 1 BDSG)^[1], unabhängig davon, ob die Daten als konkret schutzwürdig angesehen werden oder nicht. Nach der Neuregelung in § 46 Nr. 1 BDSG gehören dazu sämtliche Daten, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser Person sind. Der gesamte über einen Beschäftigten bestehende Datensatz ist geschützt. Eine Datei kann entweder nach bestimmten Merkmalen ausgewertet werden (automatisierte Datei) oder gleichartig aufgebaut und nach bestimmten Merkmalen geordnet und ausgewertet werden (nicht automatisierte Datei).^[2] Anders als im Personalaktenrecht ist die äußere Form unbeachtlich, nicht erfasst werden allerdings manuell geführte und lediglich chronologisch oder alphabetisch geordnete Personalakten.^[3] Die Datenverarbeitung umfasst die Erhebung, Verarbeitung und Nutzung sowie die Speicherung dieser Daten. Auch im BDSG wird die nicht automatisierte Datenverarbeitung erfasst.^[4] Dazu tritt das sog. "Profiling" als automatisierte Datenverarbeitung zur Analyse oder Vorhersage bestimmter persönlicher Aspekte, z. B. der Arbeitsleistung, der Gesundheit oder der Zuverlässigkeit des Beschäftigten.^[5] Das BDSG richtet sich an die datenerhebende, datenverarbeitende oder datenspeichernde "Stelle" – dies ist im arbeitsrechtlichen Zusammenhang zuallererst der Arbeitgeber (§ 1 Abs. 1 BDSG, vgl. auch Art. 4 Nr. 7 DSGVO); dabei ist zwischen dem öffentlichen und dem privaten Arbeitgeber zu unterscheiden.^[6] Erfasst wird darüber hinaus auch die Auftragsdatenverarbeitung (§ 1 Abs. 4 Satz 2 BDSG; vgl. Art. 28 DSGVO).

Räumlich ist das BDSG gemäß § 1 Abs. 4 Satz 2 Nrn. 1–33 BDSG bei privaten Arbeitgebern anwendbar, wenn die personenbezogenen Daten im Inland verarbeitet werden, die Datenverarbeitung im Rahmen der Tätigkeit einer inländischen Niederlassung^[7] erfolgt oder soweit der Anwendungsbereich der DSGVO eröffnet ist.

[1] Vgl. schon BAG, Beschluss v. 1.8.1990, 7 ABR 99/88.

[2] § 46 Nr. 2 BDSG.

[3] BAG, Urteil v. 4.4.1990, 5 AZR 299/89.

[4] Vgl. § 46 Nr. 2 BDSG.

[5] Vgl. § 46 Nr. 4 BDSG; zur Begriffsbestimmung § 46 Nr. 2 BDSG.

[6] So regelt § 5 BDSG die Bestellung eines Datenschutzbeauftragten für öffentliche, § 38 BDSG für private Arbeitgeber.

[7] Zum Begriff EuGH, Urteil v. 13.5.2014, C-131/12: Anspruch auf Datenlöschung gegenüber Google.