Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung, Durchführung oder Beendigung eines Beschäftigtenverhältnisses erforderlich ist (§ 26 Abs. 1 Satz 1 BDSG). Die Voraussetzungen für die Verarbeitung von personenbezogene Daten zur Aufdeckung von Straftaten von Beschäftigten finden sich nun in § 26 Abs. 1 Satz 2 BDSG. Ein genterelles Verwertungsverbot von Beweismitteln (Beweisverwertungsverbot), die unrechtmäßig erhoben worden sind, etwa bei einem Verfahren einer Kündigungsschutzklage gibt es nicht. Die Rechtsprechung des Bundesarbietsgerichts geht nur in Ausnahmefällen von der Nichtverwertbarkeit von rechtswidrig erlangten Beweisen aus. Nach dieser Rechtssprechung kommt es auf einen Verstoß gegen das BDSG oder auch gegen Betriebsverfassungsrecht allenfalls am Rande an. Es hat vielmehr eine Art Grundrechtsabwägung zu erfolgen.

Die in § 26 BDSG getroffenen Bestimmungen zum Arbeitnehmerdatenschutz sind gem. § 26 Abs. 7 BDSG auch anzuwenden, wenn personenbezogene Daten von Beschäftigten verarbeitet werden, ohne dass sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Nach § 26 Abs. Satz 1 BDSG dürfen personenbezogene Daten von Beschäftigten auch dann verarbeitet werden, wenn dies zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebsvereinbarung oder Dienstvereinbarung ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Demnach ist zukünftig auch die Verarbeitung personenbezogener Daten aufgrund Gesetzes oder gesetzesähnlicher Regelung am Maßstab der Erforderlichkeit zu messen.

In § 26 Abs. 2 BDSG ist bestimmt, dass für die Beurteilung der Freiwilligkeit der Einwilligung in die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen sind.

Freiwilligkeit kann danach insbesondere dann vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. § 26 Abs. 2 BDSG greift die bekannte Problematik der Freiwilligkeit der Einwilligung in die Verarbeitung personenbezogener Daten im Beschäftigtenverhältnis auf und gibt insoweit eine Beurteilungshilfe. Da letztendlich ein Beurteilungsspielraum bleibt, wird die Problematik im Kern voraussichtlich bestehen bleiben. § 26 Abs. 2 BDSG enthält darüber hinaus noch einige formelle Anforderungen an die Einwilligung. Die Einwilligung ist demnach grundsätzlich schriftlich einzuholen. Außerdem hat der Arbeitgeber die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht in Textform aufzuklären.

Nach § 26 Abs. 3 BDSG ist die Verarbeitung besonderer Kategorien personenbezogener Daten für Zwecke des Beschäftigungsverhältnisses ist zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Soweit die Verarbeitung auf der Grundlage einer Einwilligung erfolgt, ist zusätzlich zu den Voraussetzungen des § 26 Abs. 2 BDSG-neu zu beachten, dass sich die Einwilligung ausdrücklich auf diese Daten beziehen muss.

Nach § 26 Abs. 4 BDSG kann eine Verarbeitung personenbezogener Daten im Arbeitsverhältnis auch auf der Grundlage einer Betriebsvereinbarung oder (im Öffentlichen Dienst) einer Dienstvereinbarung erfolgen. Die Möglichkeit zur Verarbeitung personenbezogener Daten auf der Grundlage einer Kollektivvereinbarung ergibt sich im Grunde auch schon aus dem oben genannten Art. 88 DSGVO und dem dazugehörigen Erwägungsgrund 155. Für den Betriebsrat ist die ein oder andere Vorlage für Betriebsvereinbarung zum Datenschutz im Internet zu finden

Nach § 26 Abs. 5 BDSG muss der Verantwortliche geeignete Maßnahmen ergreifen um sicherzustellen, dass die Grundsätze der Datenschutz-Grundverordnung, insbesondere diejenigen des Art. 5 DSGVO, eingehalten werden.

§ 26 Abs. 8 BDSG defioniert nunmehr den Beschäftigten. Im Vergleich zu der bisherigen Definition bezieht sich die Definition nunmehr ausdrücklich auch auf Leiharbeitnehmerinnen und Leiharbeitnehmer im Verhältnis zum Entleiher und auf Freiwillige, die einen Dienst nach dem Bundesfreiwilligendienstgesetz leisten.

Die Verarbeitung personenbezogener Daten von Mitarbeitern auf der Grundlage von Betriebsvereinbarungen bleibt weiterhin möglich. Beim Verfassen von Betriebsvereinbarungen sind jedoch stets die Anforderungen des Art. 88 Abs. 2 DSGVO im Blick zu behalten. Im Hinblick auf bestehende Betriebsvereinbarungen ist zu gewährleisten, dass diese ab Mai 2018 den Anforderungen der DSGVO entsprechen.

Bei der Einholung von Einwilligungen im Beschäftigtenverhältnis ist weiterhin darauf zu achten, dass diese freiwillig erfolgen müssen. Dabei sind insbesondere die Abhängigkeit des Beschäftigten und die konkreten Umstände, unter denen die Einwilligung zu erteilen ist, zu berücksichtigen. Des Weiteren ist darauf zu achten, dass die Einwilligung grundsätzlich schriftlich einzuholen ist und der Beschäftigte in Textform über den Zweck der Datenverarbeitung und über sein Widerrufsrecht aufgeklärt worden ist. Die Vorgänge sollten entsprechend dokumentiert werden.