Arbeitnehmerdatenschutz ist der Schutz personenbezogener Daten von Arbeitnehmern, die vom Arbeitgeber zu Zwecken des Beschäftigungsverhältnisses verarbeitet werden. Synonym werden auch die Begriffe Mitarbeiterdatenschutz, Beschäftigtendatenschutz und Personaldatenschutz oder Betriebsdatenschutz verwendet.
Europarecht Die Datenschutz-Grundverordnung ist zwar allen Mitgliedstaaten der Europäischen Union seit dem 25. Mai 2018 unmittelbar geltendes Recht ( Abs. 2 DSGVO), sie enthält jedoch keine spezifischen Vorschriften zur Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext. Vielmehr können die Mitgliedstaaten nach der Öffnungsklausel in durch Rechtsvorschriften oder durch Kollektivvereinbarungen „Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz“ vorsehen.
Diese Klausel lässt nach der Rechtsprechung des Europäischen Gerichtshofs nur im Vergleich zur DSGVO „spezifischere Vorschriften“ zu, aber gerade keine bloße Wiederholung der Bestimmungen der DSGVO.EuGH, Urteil vom 30. März 2023 – C-34/21. Für das nationale Recht gilt ein Normwiederholungsverbot: Nationale Vorschriften dürfen sich „nicht auf eine Wiederholung der Bestimmungen der DSGVO beschränken, sondern müssen auf den Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext abzielen und geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen.“EuGH, Rs. C-34/21, Rz. 65.
Die entsprechenden nationalen Vorschriften müssen gem. Art. 88 Abs. 3 DSGVO der Europäischen Kommission mitgeteilt werden.vgl. für Deutschland: BT-Drs. 19/5155 S. 88, 89 (Stand: 27. September 2018).
Bundesdatenschutzgesetz Das Bundesdatenschutzgesetz (BDSG) wurde mit Wirkung zum 25. Mai 2018 an die DSGVO und die Richtlinie (EU) 2016/680 zum Datenschutz in Strafsachen angepasst.Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-E) vom 30. Juni 2017, Seitdem ist die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses in BDSG geregelt.vgl. Kurzpapier Nr. 14: Beschäftigtendatenschutz. Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, 24. September 2020.
Am 17. Januar 2022 hat der interdisziplinäre Beirat zum Beschäftigtendatenschutz seine Thesen und Empfehlungen zur Fortentwicklung des Beschäftigtendatenschutzes an den Bundesminister für Arbeit und Soziales, Hubertus Heil, übergeben.BMAS veröffentlicht Ergebnisse des unabhängigen, interdisziplinären Beirats zum Beschäftigtendatenschutz. BMAS, 22. Januar 2022.
Zulässige Verarbeitungszwecke Vertragsdurchführung Personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist ( Abs. 1 Satz 1 BDSG). Ein Verarbeitungsvorgang ist in seiner Gesamtheit richterlich zu überprüfen. Eine „Atomisierung eines einheitlichen Kontrollvorgangs“ dahingehend, dass betreffend jedes ausgewertete Datum (z. B. jede E-Mail) gesondert eine Prüfung anhand von § 26 Abs. 1 Satz 1 BDSG zu erfolgen hat, ist unzulässig.LAG Baden-Württemberg, Urteil vom 27. Januar 2023 - 12 Sa 56/21 LS 8.
Da die Generalklausel des § 26 Abs. 1 Satz 1 BDSG auf die Erforderlichkeit für die Vertragserfüllung abstellt, besteht kein wesentlicher Unterschied zum Wortlaut des Abs. 1 lit. b DSGVO. § 26 Abs. 1 Satz 1 BDSG erfüllt mithin nicht die Mindestanforderungen an eine Konkretisierung der DSGVO gem. Art. 88 Abs. 2 DSGVO und muss unangewendet bleiben.EuGH, Rs. C-34/21, Rz. 89. Maßgebliche Rechtsgrundlage ist insoweit unmittelbar Art. 6 Abs. 1 lit. b, lit. f DSGVO.Gregor Thüsing: Alles neu im Beschäftigtendatenschutz? Haufe.de, 17. April 2023.
Aufdeckung von Straftaten am Arbeitsplatz Zur Aufdeckung von Straftaten dürfen personenbezogene Daten von Beschäftigten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind ( Abs. 1 Satz 2 BDSG).vgl. beispielsweise zur Speicherung von Bildsequenzen aus einer offenen Videoüberwachung, die vorsätzliche Handlungen eines Arbeitnehmers zulasten des Eigentums des Arbeitgebers zeigen BAG, Urteil vom 23. August 2018 - 2 AZR 133/18 zu § 32 BDSG a.F.
Auch Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis beendet ist, gelten als Beschäftigte ( Abs. 8 Satz 2 BDSG).
Da diese Vorschrift spezifischer ist als Art. 6 DSGVO, könnte sie im Hinblick auf die Rechtsprechung des EuGH zu § 26 Abs. 1 Satz 1 BDSG zulässig ein.
Verarbeitungsvoraussetzungen Erfolgt die Verarbeitung auf der Grundlage einer Einwilligung, so sind für die Beurteilung der Freiwilligkeit der Einwilligung insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen ( Abs. 2 Satz 1 BDSG). Die Einwilligung muss grundsätzlich schriftlich oder elektronisch zu erfolgen ( Abs. 2 Satz 3 BDSG). Der Arbeitgeber hat die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht nach Abs. 3 (DSGVO) in Textform aufzuklären ( Abs. 2 Satz 4 BDSG).
Durch Art. 12 des Zweiten Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU) vom 20. November 2019, 1633 wurde § 26 Abs. 2 Satz 3 BDSG im Hinblick auf die Anforderungen zur Form der Einwilligung geändert. Die Wörter „bedarf der Schriftform“ wurden durch die Wörter „hat schriftlich oder elektronisch zu erfolgen“ ersetzt.
In der GesetzesbegründungDrucksache 19/11181 vom 26. Juni 2019, Seite 19 heißt es dazu:
Die Änderung des § 26 Absatz 2 Satz 3 erleichtert die Voraussetzungen, unter denen im Beschäftigungsverhältnis eine Einwilligung eingeholt werden kann. Die Verordnung (EU) 2016/679 sieht kein Schriftformerfordernis vor. Vielmehr verlangt Artikel 4 Nummer 11 der Verordnung (EU) 2016/679 nur nach „einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Da die Einwilligung elektronisch erfolgen kann, genügt es beispielsweise, dass der Arbeitgeber sie als E-Mail abspeichert. Die Erleichterung der Voraussetzungen, unter denen eine Einwilligung eingeholt werden kann, entspricht dem Ziel des Koalitionsvertrages, alle Gesetze auf ihre Digitaltauglichkeit zu überprüfen; insbesondere soll eine „erneute, ehrgeizige Überprüfung der Schriftformerfordernisse“ erfolgen.
Besonderer Kategorien personenbezogener Daten von Beschäftigten Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist abweichend von Abs. 1 DSGVO zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Außerdem muss sich die Einwilligung ausdrücklich auf diese Daten beziehen ( Abs. 3 BDSG).vgl. Cristina Bittner: Umgang mit besonderen Datenkategorien. Stiftung Datenschutz, abgerufen am 3. Februar 2024.
Grundsätze für die Verarbeitung personenbezogener Daten Der Arbeitgeber muss geeignete Maßnahmen ergreifen, um sicherzustellen, dass insbesondere die in DSGVO dargelegten Grundsätze für die Verarbeitung personenbezogener Daten eingehalten werden.
Die Beteiligungsrechte der Interessenvertretungen der Beschäftigten bleiben durch § 26 BDSG unberührt ( Abs. 6 BDSG). Zu den allgemeinen Aufgaben des Betriebsrats gehört es gem. BetrVG, die Einhaltung der datenschutzrechtlichen Bestimmungen zu überwachen. Dazu muss der Arbeitgeber den Betriebsrat rechtzeitig und umfassend unterrichten ( Abs. 2 BetrVG). Ein Mitbestimmungsrecht beim Datenschutz besteht gem. Abs. 1 Nr. 6 BetrVG bei Einführung und Anwendung von technischen Einrichtungen, die zur Leistungs- und Verhaltenskontrolle bestimmt sind.Als Betriebsrat beim Datenschutz mitbestimmen. Weka Group, 21. September 2020.
Rechtslage vor dem 25. Mai 2018 Geschichte des Arbeitnehmerdatenschutzes in Deutschland 1984–2000 Das Land Hessen nahm 1986 in das Hessische Datenschutzgesetz (HDSG) eine Vorschrift zum Beschäftigtendatenschutz auf. § 34 HDSG bestimmte, dass Beschäftigtendaten nur verarbeitet werden dürfen, wenn dies zur Eingehung, Durchführung, Beendigung oder Abwicklung des Dienst- oder Arbeitsverhältnisses oder zur Durchführung innerdienstlicher, planerischer, organisatorischer, sozialer und personeller Maßnahmen erforderlich ist oder eine Rechtsvorschrift, ein Tarifvertrag oder eine Dienstvereinbarung es vorsieht. Diese Vorschrift war die erste ihrer Art in Deutschland. Sie gilt mit einigen Veränderungen bis heute, allerdings nur im Land Hessen und auch nur für Behörden und andere öffentliche Arbeitgeber.
Im Jahr 1984 forderten die Datenschutzbeauftragten des Bundes und der Länder erstmals bereichsspezifische gesetzliche Bestimmungen zum Arbeitnehmerdatenschutz. 1992 stellten sie Grundsätze für ein Arbeitnehmerdatenschutzgesetz auf. Auch die Gewerkschaften setzten sich für eine gesetzliche Regelung ein. So legte beispielsweise der Deutsche Gewerkschaftsbund im Jahr 1999 Eckpunkte für ein Gesetz zum Arbeitnehmerdatenschutz vor. DGB-Bundesvorstandsbeschluss vom 7. September 1999.
Der Deutsche Bundestag und der Bundesrat sahen ebenfalls Handlungsbedarf. Der Bundestag fasste mehrere Beschlüsse, in denen er die jeweilige Bundesregierung aufforderte, einen entsprechenden Gesetzentwurf zu erarbeiten.Bundestags-Drucksache 13/7699 vom 16. Mai 1997; Bundestags-Drucksache 14/4329 vom 13. Oktober 2000; Bundestags-Drucksache 16/4882 vom 28. März 2007.
Im Jahr 2000 plante die von Gerhard Schröder geführte Bundesregierung nach eigenem Bekunden die Vorlage eines entsprechenden Gesetzes, welches die Bezeichnung „Gesetz über Information und Kommunikation im Arbeitsverhältnis“ haben sollte.Patrick Pfalzgraf: Arbeitnehmerüberwachung. Verlag Dr. Kovač, Hannover 2003, ISBN 978-3-8300-1099-9, S. 237. Das Vorhaben wurde jedoch nicht verwirklicht. Die Arbeiten am Gesetz wurden eingestellt.
2001–2010