Arbeitnehmerdatenschutz: Welche Daten darf der Arbeitgeber verarbeiten?
Arbeitgeber benötigen zahlreiche personenbezogene Daten ihrer Beschäftigten. Sie dürfen diese Daten jedoch nicht unbegrenzt erheben, speichern oder auswerten. Der Arbeitnehmerdatenschutz schützt Bewerber, Arbeitnehmer und ausgeschiedene Beschäftigte vor einer unverhältnismäßigen Verwendung ihrer persönlichen Daten.
Welche Vorschriften gelten für Beschäftigtendaten?
Der Arbeitnehmerdatenschutz richtet sich vor allem nach der Datenschutz-Grundverordnung und § 26 BDSG. Daneben können Tarifverträge, Betriebsvereinbarungen und weitere gesetzliche Vorschriften eine Rolle spielen.
Personenbezogene Daten dürfen nur für einen festgelegten und rechtmäßigen Zweck verarbeitet werden. Die Verarbeitung muss erforderlich und verhältnismäßig sein. Außerdem dürfen grundsätzlich nur diejenigen Daten erhoben werden, die für den jeweiligen Zweck tatsächlich benötigt werden.
Zu den personenbezogenen Daten gehören beispielsweise:
Wichtig: § 26 BDSG ist keine pauschale Erlaubnis zur Verarbeitung sämtlicher Beschäftigtendaten. Für jede Verarbeitung muss ein konkreter Zweck und eine tragfähige Rechtsgrundlage bestehen. Die allgemeinen Grundsätze der DSGVO gelten auch im Arbeitsverhältnis uneingeschränkt.
Welche Daten dürfen im Bewerbungsverfahren verarbeitet werden?
Im Bewerbungsverfahren darf der Arbeitgeber diejenigen Daten verarbeiten, die erforderlich sind, um über die Einstellung zu entscheiden. Hierzu gehören insbesondere Angaben zur Qualifikation, Berufserfahrung und persönlichen Eignung für die ausgeschriebene Tätigkeit.
Daten, nach denen der Arbeitgeber im Bewerbungsgespräch nicht fragen darf, darf er grundsätzlich auch nicht auf anderem Weg beschaffen. Das gilt beispielsweise für Informationen zur Familienplanung, zu einer Schwangerschaft oder zu Krankheiten, wenn diese für die konkrete Tätigkeit nicht erheblich sind.
Kommt es nicht zur Einstellung, dürfen Bewerbungsunterlagen nicht unbegrenzt aufbewahrt werden. Nach Ablauf einer angemessenen Frist sind die Daten grundsätzlich zu löschen, sofern keine Einwilligung für eine längere Speicherung vorliegt oder die Unterlagen noch zur Verteidigung gegen mögliche Rechtsansprüche benötigt werden.
Ist eine Einwilligung des Arbeitnehmers ausreichend?
Eine Datenverarbeitung kann im Arbeitsverhältnis auf eine Einwilligung gestützt werden. Wegen des Abhängigkeitsverhältnisses zwischen Arbeitgeber und Arbeitnehmer muss jedoch besonders sorgfältig geprüft werden, ob die Einwilligung tatsächlich freiwillig erteilt wurde.
Freiwilligkeit kann insbesondere vorliegen, wenn der Arbeitnehmer einen rechtlichen oder wirtschaftlichen Vorteil erhält oder Arbeitgeber und Arbeitnehmer gleichgerichtete Interessen verfolgen. Die Einwilligung muss grundsätzlich schriftlich oder elektronisch erfolgen. Der Arbeitnehmer ist über den Zweck der Verarbeitung und sein Widerrufsrecht zu informieren.
Eine Einwilligung ist problematisch, wenn dem Arbeitnehmer bei einer Verweigerung Nachteile drohen oder er praktisch keine echte Wahl hat. Sie eignet sich daher häufig nicht als alleinige Grundlage für Kontroll- und Überwachungsmaßnahmen.
Welche Besonderheiten gelten für Gesundheitsdaten?
Gesundheitsdaten, Angaben zu einer Behinderung, biometrische Daten und Informationen über die Gewerkschaftszugehörigkeit gehören zu den besonders geschützten Daten nach Art. 9 DSGVO.
Ihre Verarbeitung ist nur unter engen Voraussetzungen zulässig. Der Arbeitgeber darf Gesundheitsdaten beispielsweise verarbeiten, soweit dies für die Entgeltfortzahlung, den Arbeitsschutz, ein betriebliches Eingliederungsmanagement oder die Erfüllung sozialversicherungsrechtlicher Pflichten erforderlich ist.
Innerhalb des Betriebs dürfen solche Daten nur denjenigen Personen zugänglich sein, die sie für ihre Aufgaben tatsächlich benötigen.
Darf der Arbeitgeber seine Beschäftigten überwachen?
Der Einsatz von Videoüberwachung, GPS-Ortung, elektronischer Zeiterfassung, Zugangskontrollen oder Software zur Leistungs- und Verhaltenskontrolle greift erheblich in die Rechte der Arbeitnehmer ein.
Eine Überwachungsmaßnahme ist nur zulässig, wenn sie einem berechtigten Zweck dient, erforderlich und verhältnismäßig ist. Der Arbeitgeber muss grundsätzlich vorab darüber informieren, welche Daten zu welchem Zweck erhoben und wie lange sie gespeichert werden. Eine dauerhafte oder lückenlose Kontrolle des gesamten Arbeitsverhaltens ist regelmäßig unzulässig.
Eine verdeckte Überwachung kommt nur in engen Ausnahmefällen in Betracht. Sollen damit Straftaten aufgeklärt werden, müssen dokumentierte tatsächliche Anhaltspunkte für einen konkreten Verdacht bestehen. Die Maßnahme muss zeitlich und personell begrenzt sein, und es darf kein gleich geeignetes, milderes Mittel zur Verfügung stehen.
Tipp: Die bloße technische Möglichkeit, das Verhalten oder die Leistung von Beschäftigten zu überwachen, bedeutet nicht, dass der Arbeitgeber diese Möglichkeit auch uneingeschränkt nutzen darf.
Welche Rolle hat der Betriebsrat?
Besteht ein Betriebsrat, hat dieser insbesondere bei der Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die objektiv geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Das gilt beispielsweise für Zeiterfassungssysteme, Kameras, GPS-Tracking und zahlreiche Software- oder KI-Anwendungen.
Arbeitgeber und Betriebsrat können die Datenverarbeitung in einer Betriebsvereinbarung regeln. Darin sollten insbesondere Zweck, Umfang, Zugriffsrechte, Auswertungsmöglichkeiten, Speicherdauer und Löschung der Daten festgelegt werden.
Eine Betriebsvereinbarung ist jedoch kein Freibrief. Auch die Betriebsparteien müssen die Grundsätze der DSGVO vollständig beachten. Insbesondere darf keine Datenverarbeitung erlaubt werden, die für den vorgesehenen Zweck nicht erforderlich oder unverhältnismäßig ist.
Was gilt beim Einsatz künstlicher Intelligenz?
Datenschutzrechtliche Anforderungen gelten auch beim Einsatz von KI-Systemen. Das betrifft insbesondere Programme zur Bewerberauswahl, Personaleinsatzplanung, Leistungsbewertung oder Erkennung angeblicher Pflichtverletzungen.
Arbeitnehmer müssen grundsätzlich nachvollziehen können, welche Daten verwendet und zu welchen Zwecken sie ausgewertet werden. Führt ein System ausschließlich automatisiert zu einer Entscheidung, die den Arbeitnehmer rechtlich oder in vergleichbarer Weise erheblich beeinträchtigt, gelten die besonderen Anforderungen des Art. 22 DSGVO.
Entscheidungen über Einstellung, Beförderung, Vergütung oder Kündigung dürfen daher nicht ohne Weiteres vollständig einem Algorithmus überlassen werden. Regelmäßig muss eine verantwortliche Person die Entscheidung überprüfen und dem Arbeitnehmer Gelegenheit geben, seinen Standpunkt darzulegen.
Welche Datenschutzrechte haben Arbeitnehmer?
Arbeitnehmer haben insbesondere das Recht,
Ein Auskunftsantrag muss grundsätzlich innerhalb eines Monats beantwortet werden. Bei besonders umfangreichen oder komplexen Anträgen kann die Frist unter den Voraussetzungen der DSGVO verlängert werden.
Der Auskunftsanspruch bezieht sich auf personenbezogene Daten. Er vermittelt nicht automatisch einen Anspruch auf Herausgabe sämtlicher Unterlagen und Akten in ihrer ursprünglichen Form.
Tipp: Ein Auskunftsantrag sollte möglichst konkret formuliert werden. Hilfreich ist die Angabe, auf welchen Zeitraum, welche Systeme oder welche Arten von Daten sich die Auskunft beziehen soll.
Dürfen unzulässig erhobene Daten vor Gericht verwendet werden?
Ein Datenschutzverstoß führt im arbeitsgerichtlichen Verfahren nicht automatisch dazu, dass die gewonnenen Informationen oder Beweismittel unverwertbar sind. Ob ein Verwertungsverbot besteht, hängt von einer Abwägung der betroffenen Grundrechte und den Umständen des Einzelfalls ab.
Nach der Rechtsprechung des Bundesarbeitsgerichts können insbesondere Aufzeichnungen aus einer offen erkennbaren Videoüberwachung verwertbar sein, wenn sie ein vorsätzliches vertragswidriges Verhalten belegen sollen. Das kann selbst dann gelten, wenn die Überwachung nicht in jeder Hinsicht den datenschutzrechtlichen Vorgaben entsprach.
Dadurch wird die zugrunde liegende Datenverarbeitung allerdings nicht nachträglich rechtmäßig. Datenschutzrechtliche Ansprüche, behördliche Maßnahmen oder Schadensersatzansprüche können trotzdem bestehen.
Welche Ansprüche bestehen bei Datenschutzverstößen?
Bei einer unzulässigen Datenverarbeitung kann der Arbeitnehmer insbesondere Auskunft, Berichtigung, Löschung oder Unterlassung verlangen. Außerdem kann er sich an den betrieblichen Datenschutzbeauftragten, den Betriebsrat oder die zuständige Datenschutzaufsichtsbehörde wenden.
Hat der Arbeitnehmer infolge eines Datenschutzverstoßes einen materiellen oder immateriellen Schaden erlitten, kann ein Schadensersatzanspruch nach Art. 82 DSGVO bestehen. Der bloße Verstoß gegen die DSGVO genügt für sich allein jedoch nicht. Der Arbeitnehmer muss auch einen hierdurch verursachten Schaden darlegen.