§ 78 Beschäftigtendatenschutz / IX. Verarbeitung personenbezogener Daten außerhalb von Dateisystemen gem. § 26 Abs. 7 BDSG

Rz. 116

Gem. § 26 Abs. 7 BDSG sind die Absätze 1 bis 6 auch anzuwenden, wenn personenbezogene Daten, einschließlich besonderer Kategorien personenbezogener Daten, von Beschäftigten verarbeitet werden, ohne dass sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Damit wird – wie bereits in der Vergangenheit – auch künftig die Anwendbarkeit der Vorschriften des Beschäftigtendatenschutzes auf nicht-automatisierte Datenverarbeitungen erstreckt, die nicht in Dateien erfolgt. Dadurch werden nahezu alle Tätigkeiten erfasst, die mit Informationen über den Arbeitnehmer zusammenhängen, beispielsweise Anrufe beim früheren Arbeitgeber, Befragung und Beobachtung des Arbeitnehmers durch den Vorgesetzten, Notizen über das Leistungsverhalten des Arbeitnehmers, handschriftliche Aufzeichnungen des Arbeitgebers sowie die Datenerhebung durch rein tatsächliches Handeln, wie etwa Taschen- und Torkontrollen oder Beobachtungen des Wach- oder Sicherheitspersonals (vgl. auch BAG v. 20.6.2013 – 2 AZR 546/12, Rn 24; Deutsch/Diller, DB 2009, 1462; ähnl. BT-Drucks 16/13657, 36).

Rz. 117

§ 26 Abs. 7 BDSG trifft damit allerdings eine über den sachlichen Anwendungsbereich des Art. 2 Abs. 1 DSGVO hinausgehende Regelung hinsichtlich der personenbezogenen Daten, die nicht in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Diese Erweiterung, die im Ergebnis § 32 Abs. 2 BDSG a.F. übernimmt, lässt sich nicht auf Art. 88 Abs. 1 DSGVO stützen, da die DSGVO diesbezüglich keine Regelung enthält. Die DSGVO zieht ihren Geltungsbereich nicht so weit, wie sich aus Art. 2 Abs. 1 DSGVO ergibt. Dort ist nur geregelt, dass die Verordnung für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, gilt. Wenn man der Auffassung ist, dass der nationale Gesetzgeber außerhalb des Anwendungsbereichs der DSGVO seine Befugnis behält, datenschutzrechtliche Fragen zu regeln, wird man hiergegen keine durchschlagenden Einwände erheben können (Düwell/Brink, NZA 2017, 1081, 1083). Soweit die Normsetzungskompetenz des Bundes allerdings innerstaatlichen Begrenzungen unterliegt, beispielsweise im Hinblick auf Beschäftigte im öffentlichen Dienst der Länder, bleibt die künftige Entwicklung abzuwarten.