5 Fragen zum Beschäftigtendatenschutz
1. Was sind Beschäftigtendaten?
Ausgehend von der Definition personenbezogener Daten in Art. 4 Nr. 1 DSGVO steht der Begriff für alle Informationen, die sich auf bestimmte Beschäftigte beziehen lassen. Das können neben Namen oder Personalnummer auch IP-Adressen, Browser-Profile, Log-Files oder Anruflisten sein. Der Begriff ist sehr weit gefasst. Ohne Belang für die Qualifikation als Beschäftigtendaten sind von Arbeitgebern verfolgte Verarbeitungszwecke.
2. Welche Beschäftigtendaten dürfen Arbeitgeber verarbeiten?
Arbeitgeber dürfen alle Informationen verarbeiten, die sie benötigen, weil sie für die Begründung, Durchführung oder Beendigung eines Vertragsverhältnisses erforderlich sind. Die »Erforderlichkeit« ist in diesem Rahmen zur Wahrung der Interessen, Grundrechte und Grundfreiheiten der Beschäftigten eng auszulegen. Beschäftigtendaten dürfen nur verarbeitet werden, wenn Arbeitgeber nur so angestrebte und legitime Zwecke erreichen können. Die Verarbeitungsbefugnis endet, wenn schutzwürdige Beschäftigteninteressen überwiegen.
3. Können Beschäftigte erfahren, welche Daten der Arbeitgeber von ihnen gespeichert hat?
Die DSGVO enthält zahlreiche Informationenpflichten zugunsten der von einer Verarbeitung ihrer Daten betroffener Personen wie insbesondere das Auskunftsrecht in Art. 15 DSGVO. Hiernach müssen auch Arbeitgeber Beschäftigten auf deren Verlangen etwa mitteilen, für welche Zwecke sie deren Daten verarbeiten. Den Beschäftigten muss eine Kopie der verarbeiteten Daten zur Verfügung gestellt werden. Bezogen auf ihre Personalakten haben sie zudem das in § 83 BetrVG verankerte Recht auf Einsicht.
4. Welche Rechte und Pflichten haben Interessenvertretungen hinsichtlich der Beschäftigtendaten?
Zu den allgemeinen Aufgaben von Betriebs- und Personalräten gehört die Überwachung der Einhaltung einschlägiger Schutzgesetze durch Arbeitgeber. Hierzu gehören auch die Vorschriften in der DSGVO und dem BDSG. Ein darüber hinaus gehendes »Mitbestimmungsrecht zum Datenschutz«, das eine aktive Gestaltung von Datenschutzthemen ermöglichen würde, gibt es bisher nicht. Einzelne Datenschutzaspekte können Betriebs- oder Personalräte aber in Vereinbarungen zu technischen Einrichtungen verankern, die aufgrund der Möglichkeit von Verhaltens- oder Leistungskontrollen der gesetzlichen Mitbestimmung unterliegen. Die Einsichtnahme in die Personalakten der Beschäftigten ist Interessenvertretungen grundsätzlich verwehrt. Sie kann im Einzelfall aber mit Zustimmung der betroffenen Beschäftigten erfolgen.
5. Was passiert mit den Daten von Beschäftigten, die aus dem Betrieb oder der Dienststelle ausscheiden?
Nach Beendigung eines Beschäftigungsverhältnisses ist die weitere Verarbeitung der meisten personenbezogenen Daten (etwa die Personalnummer) nicht mehr erforderlich. Sie müssen deshalb von Arbeitgebern umgehend gelöscht werden. Etwas anderes gilt, wenn diese aufgrund zwingender gesetzlicher Vorschriften (etwa im Bereich des Steuer- oder Sozialversicherungsrechts) verpflichtet sind, bestimmte Beschäftigtendaten weiter zu speichern. Diese Daten dürfen dann aber ohne ausdrückliche datenschutzrechtliche Erlaubnis nicht für andere Zwecke verarbeitet werden.
Der Interviewpartner:
Dr. Peter Wedde
Professor für Arbeitsrecht und Recht der Informationsgesellschaft an der Frankfurt University of Applied Sciences und wissenschaftlicher Leiter des Instituts für Datenschutz, Arbeitsrecht und Technologieberatung in Eppstein.
© bund-verlag.de (ls)
