Was gilt ab Mai 2018 im Beschäftigtendatenschutz?

Was gilt nach dem EU-Datenschutzrecht?

Seit langem gilt als wichtigster Grundsatz im Beschäftigtendatenschutz das „Verbot mit Erlaubnisvorbehalt“. Das heißt: das Erheben von Daten ist verboten, es sei denn der Arbeitgeber hat eine Erlaubnis. Dieser wichtige Grundsatz wird auch nach dem neuen Datenschutzrecht gelten.

Ab 25.5.2018 gilt nämlich die EU-Datenschutzgrundverordnung (EU-DGSVO), die das Datenschutzrecht auf europäischer Ebene vereinheitlicht. Zeitgleich tritt auch ein neues deutsches Datenschutzgesetz in Kraft, das vor allem für den Beschäftigtendatenschutz von großer Bedeutung ist. Dieses neue Bundesdatenschutzgesetz (genannt: BDSG-neu) löst das alte BDSG ab.

Dass es überhaupt neben der EU-DGSVO noch ein nationales Gesetz geben kann, verdankt sich dem Art. 88 der EU-DGSVO, der eine sog. Öffnungsklausel enthält und für einige Bereiche – vor allem die Beschäftigtendaten – nationale Regelungen zulässt.

Welches ist die wichtigste Erlaubnisnorm für den Beschäftigtendatenschutz?

Die wichtigste Erlaubnisnorm, die dem Arbeitgeber das Speichern und Verarbeiten von Beschäftigtendaten in begrenztem Umfang erlaubt, ist derzeit noch § 32  BDSG-neu. Ab Mai 2018 ist es der dem alten § 32 BDSG relativ gleichlautende § 26 BDSG-neu.

Nach beiden Vorschriften gilt: Der Arbeitgeber darf auf solche Daten zugreifen, die für die Durchführung des jeweiligen Arbeitsverhältnisses „erforderlich“ sind. Was genau „erforderlich“ ist, sagt der kurze Gesetzestext allerdings nicht.

Eine Menge Fälle sind durch die Gerichte geklärt. Es ist davon auszugehen, dass diese Rechtsprechung auch nach dem neuen Recht ab 2018 gültig bleibt. So ist beispielsweise unbestritten, dass der Arbeitgeber alle Stammdaten der Mitarbeiter erheben darf. Dazu gehören:

• Name, Adresse
• Kontoverbindung
• Ausbildung, Qualifikationen
• Arbeitszeiterfassung
• Speichern bestimmter PC-Vorgänge

Probleme entstehen, wenn noch deutlich sensiblere Daten erhoben werden, beispielsweise zur Gesundheit. Nahezu jedes Software-System sammelt Daten. Hier kommt es darauf an, ob die Datenerhebung für die Durchführung des Arbeitsverhältnisses „erforderlich“ ist. Das Bundesarbeitsgericht hat daher in vielen Urteilen bekräftigt, dass der Einsatz technischer Geräte nur „erforderlich“ ist, wenn kein anderes milderes Mittel zur Verfügung steht. Außerdem ist darauf zu achten, dass der Einsatz der Geräte datenschonend zu erfolgen hat.

Was ist mit der Einwilligung und Dienstvereinbarung als Erlaubnisnorm?

Es gibt neben der allgemeinen Vorschrift des § 26 BDSG-neu (bzw. § 32 BDSG-alt) noch weitere Erlaubnistatbestände, die dem Arbeitgeber die Erlaubnis geben, Daten der Mitarbeiter zu erheben. Von großer praktischer Bedeutung sind die Einwilligung und die Betriebsvereinbarung als sog. Erlaubnisnorm.

Für die Einwilligung gilt: der Arbeitgeber kann im Grundsatz Beschäftigtendaten erheben, wenn der Beschäftigte selbst damit einverstanden ist – also einwilligt. Etwa im Arbeitsvertrag oder in einer extra Vereinbarung. Allerdings ist darauf zu achten, dass die Einwilligung tatsächlich freiwillig erteilt wird. Sie muss nach dem neuen Recht außerdem schriftlich erfolgen.

Neuerdings ist in der EU-DGSVO auch ausdrücklich geregelt, dass Dienstvereinbarungen die Datenverarbeitung regeln und den Arbeitgeber legitimieren können, Beschäftigtendaten zu erheben und zu verarbeiten. Schon jetzt gibt es in den meisten Betrieben zur digitalen Nutzung Betriebsvereinbarungen. Etwa zur Nutzung des Internet, E-Mail und Mobiler Endgeräte, die den Umgang mit Mitarbeiterdaten regeln, denn in nahezu allen Fällen werden Mitarbeiterdaten verarbeitet. Für Dienstvereinbarungen sieht die EU-DGSVO relativ strenge Maßstäbe vor, was insbesondere die Transparenz, Zweckbindung, aber auch Informations- und Löschungsrechte der Beschäftigten betrifft. Ab Mai 2018 müssen alle Dienstvereinbarungen (auch die alten) diesen strengen Vorgaben der EU-DGSVO entsprechen.

 Was gilt beim Verdacht auf Straftaten?

Um Straftaten im Unternehmen zu verhindern oder aufzuklären, stehen dem Arbeitgeber besondere Rechte zu. Dabei geht es vor allem um Straftaten im eigenen Unternehmen wie Diebstahl, Korruption und Bestechung. Der Verdacht muss sich allerdings auf Tatsachen stützen, die zu dokumentieren sind. Außerdem müssen die Maßnahmen verhältnismäßig sein. Die Details sind in Betriebsvereinbarungen zu regeln.