Datenschutzrechtliche Regelungen im Beschäftigungsverhältnis…
… sind Thema einer aktuellen Stellungnahme der Datenschutzkonferenz, einem Zusammenschluss des Bundes- und der 16 Landes-Datenschutzbeauftragten. In einer längeren Passage betrachten die Verfasser*innen das Thema
„Einwilligung“ in die Verarbeitung personenbezogener Daten der Beschäftigten
durch das Unternehmen, bei dem sie arbeiten. Sie stellen fest: „Im Beschäftigungsverhältnis kommt eine wirksame Einwilligung regelmäßig nicht in Betracht. Nur ausnahmsweise können Beschäftigte in die Verarbeitung ihrer personenbezogenen Daten durch ihre Arbeitgeber einwilligen. Rechtswirksam ist diese Ein-willigung nur, wenn sie freiwillig erteilt wird (vgl. Artikel 7 DS-GVO in Verbindung mit Erwägungsgrund 43).
Wegen des zwischen den Arbeitgebern und den Beschäftigten bestehenden Über- / Unterordnungsverhältnisses steht jedoch regelmäßig in Frage, ob Beschäftigte gegenüber ihrem Arbeitgeber oder ihrer Arbeitgeberin tatsächlich freiwillig ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten erteilen. Die Freiwilligkeit dürfte bereits entfallen, wenn sich die betroffenen Person im Beschäftigungsverhältnis beeinflusst, gedrängt, bestimmt oder gezwungen sieht, ohne dass es einer Zwangsausübung bedarf.
§ 26 Absatz 2 BDSG nennt Kriterien, wann unter anderem von der Freiwilligkeit einer durch einen Beschäftigten erteilten Einwilligung ausgegangen werden kann: Wenn der Beschäftigte einen rechtlichen oder wirtschaftlichen Vorteil erhält oder wenn Arbeitgeber oder Arbeitgeberin und Beschäftigte gleichgelagerte Interessen verfolgen.Im Hinblick auf diese gesetzlichen Regelvermutungen kommt aufgrund des Über-/Unterordnungsverhältnisses eine Datenverarbeitung mittels einer Einwilligung nur ausnahmsweise zum Tragen. Dieses wird in der Praxis überwiegend in Konstellationen möglich sein, die nicht das Arbeitsverhältnis als solches, sondern Zusatzleistungen des Arbeitgebers oder der Arbeitgeberin betreffen (wie zum Beispiel bei der Gestattung privater Nutzung dienstlicher Fahr-zeuge, Telefone und EDV-Geräte; Einführung eines betrieblichen Gesundheitsmanagements zur Gesundheitsförderung; Aufnahme in Geburtstagslisten).
Die Einwilligung hat nach § 26 Absatz 2 Satz 3 BDSG grundsätzlich in schriftlicher oder elektronischer Form zu erfolgen, um die informationelle Selbstbestimmung der betroffenen Beschäftigten abzusichern. Damit wird zugleich die Nachweispflicht des Arbeitgebers oder der Arbeitgeberin im Sinne des Artikels 7 Absatz1 DS-GVO konkretisiert. Hinzu kommen die Pflicht des Arbeitgebers oder der Arbeitgeberin zur Aufklärung in Textform über den Zweck der Datenverarbeitung und der jederzeit mögliche Widerruf durch die Beschäftigten sowie die damit verbundenen Folgen nach Artikel 7 Absatz 3 DS-GVO.
Im Bereich öffentlicher Stellen wird die Einwilligung im Dienst- oder Arbeitsverhältnis entsprechend nur unter engen Voraussetzungen in Betracht kommen, insbesondere wenn eine auf eine Einwilligung gestützte Datenverarbeitung explizit in den jeweiligen Landesgesetzen vorgesehen ist.“
Zur Notwendigkeit eines spezifischen Beschäftigten-Datenschutzgesetzes
erklären die Mitglieder der Datenschutzkonferenz eingangs ihrer Stellungnahme: „Ein umfassendes Beschäftigtendatenschutzrecht gibt es derzeit nicht. Die DS-GVO enthält keine konkreten, bereichsspezifischen Regelungen. Vielmehr richtet sich der Beschäftigtendatenschutz zunächst nach den allgemeinen Regelungen der DS-GVO, die für jedes Rechtsverhältnis gelten. Allerdings enthält Artikel 88 Absatz 1 DS-GVO für den Beschäftigtendatenschutz eine sogenannte Öffnungsklausel. Sie ermöglicht den Mitgliedstaaten spezifischere Vorschriften für die Verarbeitung personenbezogener Daten im Beschäftigtenkontext zu erlassen, die den inhaltlichen Anforderungen des Artikels 88 Absatz 2 DS-GVO entsprechen müssen.“
Und am Ende Ihrer Stellungnahme gehen die Mitglieder der Datenschutzkonferenz darauf ein, wozu aus ihrer Sicht ein spezifisches Beschäftigten-Datenschutzgesetz notwendig und sinnvoll wäre, es „könnte unter anderem
- das Fragerecht bei der Einstellung von Bewerberinnen und Bewerbern,
- die Problematik eines Pre-Employment-Screenings,
- die Grenzen zulässiger Kontrollen von Beschäftigten,
- die Begrenzung von Lokalisierungen (GPS) und
- die Verwendung biometrischer Authentifizierungs- und Autorisierungssysteme oder
- die Nutzung künstlicher Intelligenz
zum Gegenstand haben.“
Dass ein Beschäftigten-Datenschutzgesetz notwendig und überfällig ist, machen einige Datenschutzskandale bzw. Entscheidungen der Arbeitsgerichte aus den letzten Monaten deutlich:
- Hennes & Mauritz (H&M) bespitzelte über mehrere Jahre die Beschäftigten und hat private Daten von Beschäftigten illegal erhoben und gespeichert;
- Das Arbeitsgericht Düsseldorf hat entschieden, dass einem ehemaligen Beschäftigten eines Unternehmens ein Schadensersatz i. H. v. 5.000 € zusteht, weil das Unternehmen seiner Auskunftspflicht nach Art. 15 DSGVO nicht ausreichend nachgekommen ist.
- Der Betriebsrat einer Niederlassung von Amazon in Rheinberg (NRW) hat das Unternehmen im Wege eines einstweiligen Verfügungsverfahrens wegen der Verletzung seiner Mitbestimmungsrechte auf Unterlassung in Anspruch genommen. Amazon kontrollierte anhand von Videoüberwachungskameras die Einhaltung der im Rahmen der Corona-Pandemie empfohlenen Sicherheitsabstände von mindestens 2 Metern im Betrieb. Dazu verwendete es die im Rahmen der betrieblichen Videoüberwachung erstellen Aufnahmen, die er auf im Ausland gelegenen Servern mittels einer Software anonymisierte.Das Arbeitsgericht hat dem Unterlassungsanspruch des Betriebsrates teilweise stattgegeben. Hierbei ist das Arbeitsgericht davon ausgegangen, dass die Übermittlung der Daten ins Ausland der im Betrieb geltenden Betriebsvereinbarung zur Installation und Nutzung von Überwachungskameras widerspricht.
- Eine Pflegeeinrichtung veröffentlichte ein Foto einer Beschäftigten auf der Facebook-Seite der Einrichtung. Die Beschäftigte hatte zwar ihre Zustimmung für den Aushang eines Fotos von ihr in der Pflegeeinrichtung erklärt, der Veröffentlichung dieses Fotos auf Facebook aber nicht zugestimmt. Die betroffene Beschäftigte verlangte die Löschung des Fotos und ein Schmerzensgeld. Wird ein Foto eines Beschäftigten auf der firmeneigenen Facebookseite ohne Zustimmung des Betroffenen veröffentlicht, steht ihm gemäß Art. 82 Abs. 1 DSGVO ein Anspruch auf Schmerzensgeld zu, entschied das Arbeitsgericht Lübeck.
- In einem Unternehmen, in dem es (nach dem Urteilstext zu vermuten) keinen Betriebsrat gibt, wurde ein neues – auf Fingerabdrücken basierenden – Zeiterfassungssystem eingeführt. Das Arbeitsgericht Berlin hat entschieden, dass eine Zeiterfassung über ein Zeiterfassungssystem, das über einen Fingerabdruck der Beschäftigten die Arbeitszeiten erfasst, nicht ohne Einwilligung der Beschäftigten erfolgen darf.