Berufliche Laptops und Smartphones, private Geräte für berufliche Zwecke („Bring Your Own Device“), Dienstwagen mit GPS-Systemen, HR-Programme in der Cloud oder unternehmensweit einsehbare Kalender: Die Digitalisierung des Arbeitslebens kann zu Vorteilen für die Produktivität des Unternehmens und die persönliche Zufriedenheit des Beschäftigten führen. Ab dem 25. Mai 2018 sind hierbei die Datenschutzregeln der DSGVO und des neuen BDSG zu beachten. Wir geben einen Überblick über die neuen Bestimmungen des Beschäftigtendatenschutzes anhand von Praxisbeispielen.
Die Verarbeitung von Beschäftigtendaten zum Zweck des Beschäftigungsverhältnisses bemisst sich zukünftig vor allem anhand des § 26 BDSG-neu . Auch die Regeln der DSGVO müssen im Auge behalten werden. Standpunkte zum Beschäftigtendatenschutz haben die europäischen Datenschutzbehörden und das Bayerische Landesamt für Datenschutzaufsicht veröffentlicht.
Ökonomische Interessen vs Persönlichkeitsrecht
Arbeitgeber sollten sich bei jeder Form der Datenverarbeitung folgende Frage stellen: Ist es tatsächlich erforderlich, die Daten der Beschäftigten zu verarbeiten, damit diese ihre arbeitsvertraglichen Aufgaben erfüllen und das Unternehmen auf diese Weise seine berechtigten (ökonomischen) Interessen verfolgen kann? Denn dies ist – etwas verkürzt – die gesetzliche Voraussetzung einer zulässigen Datenverarbeitung bei Beschäftigten. So mancher Unternehmenslenker mag diese Frage schnell mit einem Ja beantworten. Dem Persönlichkeitsschutz der Beschäftigten wird aber von Gerichten ein hohes Gewicht beigemessen. Deshalb sollte stets vorab eine genaue Prüfung erfolgen.
Einwilligung: Hohe Gefahr der Unwirksamkeit
Datenverarbeitungen auf Grundlage einer Einwilligung sind im Rahmen eines Beschäftigungsverhältnisses risikobehaftet. Denn eine Einwilligung muss freiwillig erteilt werden, woran es häufig innerhalb von Beschäftigungsverhältnissen fehlt, da eine große Abhängigkeit (und deshalb mangelnde Entscheidungsfreiheit) des Beschäftigten besteht. Bei Bewerbern wird deshalb eine freiwillige Einwilligung nur in seltenen Fällen vorliegen. Für andere Beschäftigte ist aber zumindest nicht ausgeschlossen, dass eine Einwilligung wirksam erklärt werden kann. Dazu müssen besondere Umstände wie ein rechtlicher oder wirtschaftlicher Vorteil für den Beschäftigten vorliegen, z.B. die Einführung eines betrieblichen Gesundheitsmanagements zur Gesundheitsförderung der Beschäftigten.
Die Anforderungen an wirksame Einwilligungen haben wir in diesem Blogbeitrag zur Einwilligung zusammengefasst.
Kurze Löschfristen
Daten von Bewerbern müssen grundsätzlich sofort gelöscht werden, wenn der Arbeitgeber diese nicht mehr benötigt, d.h. in der Regel nach Abschluss des Bewerbungsverfahrens. Zwar sind auch Daten von ausgeschiedenen Mitarbeitern nach Beendigung des Beschäftigungsverhältnisses zu löschen, allerdings werden diese oftmals noch zur Abwicklung des Beschäftigungsverhältnisses benötigt oder einer Löschung stehen gesetzliche Aufbewahrungspflichten (z.B. Lohnbelege aus steuerlichen Gründen) entgegen.
Privacy by Default: Datenschutzfreundliche Voreinstellungen der Dienstgeräte
Für die Dienstgeräte der Beschäftigten (PCs, Laptops, Smartphones, Wearables etc.) sollten standardmäßig die Datenschutzeinstellungen voreingestellt sein, die besonders wenig Daten verarbeiten. Hier sollte auch darauf geachtet werden, dass personenbezogene Daten gelöscht werden, wenn sie nicht mehr erforderlich sind, und der Zugriff auf die Personen beschränkt wird, die innerhalb des Unternehmens die Daten benötigen. Für private Geräte von Beschäftigten („Bring Your Own Device“) sollte technisch sichergestellt sein, dass kein Zugriff auf die private Kommunikation erfolgen kann.
GPS im Dienstwagen
Wenn Dienstwagen mit GPS-Systemen (z.B. zum Fuhrparkmanagement oder zur Diebstahlsprävention) ausgestattet werden, bestehen hohe Anforderungen an die datenschutzrechtliche Zulässigkeit, da Standortdaten der Beschäftigten besonders schützenswerte Daten sind. Auf jeden Fall sollte der Beschäftigte über die Datenverarbeitung umfassend informiert werden. Ferner könnte ein „break the glass“-Ansatz verfolgt werden: Standortdaten werden dann nur übermittelt, wenn das Auto eine definierte Region verlässt; auf diese Weise könnte der Diebstahlsschutz mit den Beschäftigtenrechten in Einklang gebracht werden. Wenn Dienstwagen auch privat genutzt werden dürfen, sollte technisch sichergestellt werden, dass der Beschäftigte die GPS-Funktion ausstellen kann. Die Ermittlung des Aufenthaltsorts von Beschäftigten außerhalb der Arbeitszeit ist in der Regel unzulässig.
Beschäftigtendaten in der Cloud
Wer HR-Programme mit einer Cloud-Lösung nutzen will, muss erhöhte Anforderungen einhalten, wenn die Daten in Rechenzentren außerhalb der EU verarbeitet werden. Es muss sichergestellt sein, dass in dem betreffenden Staat das europäische Datenschutzniveau eingehalten wird. Zudem müssen häufig Verträge zur Auftragsverarbeitung mit dem Cloud-Anbieter geschlossen werden.
Kontrolle von PCs der Beschäftigten
Die Tätigkeiten von Beschäftigten am Dienst-PC dürfen grundsätzlich kontrolliert werden. Allerdings müssen die Beschäftigten vorher über diese Kontrollmöglichkeit umfassend informiert werden und die Kontrolle sollte anlassbezogen erfolgen. Hierzu gab es schon einige Gerichtsentscheidungen.
Vor dem Einsatz neuer Programme: Datenschutzrechtliche Zulässigkeit prüfen!
Das Datenschutzrecht von Beschäftigten ist ein sensibler Bereich. Verstöße können den innerbetrieblichen Frieden stören und auch rechtliche Konsequenzen (z.B. Schadensersatzansprüche, Bußgelder) nach sich ziehen. Es sollte deshalb vor dem Einsatz neuer Programme stets genau geprüft werden, welche Anforderungen das Datenschutzrecht stellt. Um dies umzusetzen, kann eine Datenschutz-Folgenabschätzung durchgeführt werden, die unternehmensintern dokumentiert werden sollte. Dies fördert die datenschutzrechtliche Compliance. Daneben sind immer die arbeits- und mitbestimmungsrechtlichen Anforderungen einzubeziehen.
Dr. Malte Kröger