Löschfristen vs Aufbewahrungspflichten im Arbeitsverhältnis

23. November 2020

Quelle: © bluedesign / Foto Dollar Club

Die Aufsichtsbehörden verhängen hohe Bußgelder für Datenfriedhöfe. Was aber, wenn Beschäftigtendaten noch gebraucht werden, z.B. für einen Prozess vor dem Arbeitsgericht? Wie lange darf der Arbeitgeber die Daten aufheben - und wie lange dürfen es Betriebs- und Personalrat? Aus »Computer und Arbeit« 11/2020.

Gegen ein Berliner Wohnungsbauunternehmen wurde 2019 ein Bußgeld in Millionenhöhe verhängt – ein aufsehenerregender Betrag. Das Unternehmen hatte kein DSGVO-konformes Löschkonzept und hielt z.B. Bankverbindungen oder finanzielle Selbstauskünfte von Mietern vor, obwohl die Mietverhältnisse schon lange beendet waren – ein regelrechter Datenfriedhof. Ein Einzelfall? Wohl eher nicht: »Datenfriedhöfe (…) begegnen uns in der Aufsichtspraxis leider häufig. Die Brisanz solcher Missstände wird uns leider immer erst dann deutlich vor Augen geführt, wenn es, etwa durch Cyberangriffe, zu missbräuchlichen Zugriffen auf die massenhaft gehorteten Daten gekommen ist«, sagte hierzu die Berliner Datenschutzbeauftragte Maja Smoltczyk.

Warum ist ein Löschkonzept erforderlich ?

Solche Missstände sind nicht selten – und Bußgelder könnten grundsätzlich auch Arbeitgebern drohen, die personenbezogene Daten von Bewerber(innen) und/oder ehemaligen Mitarbeiter(innen) vorhalten, ohne dass dies datenschutzrechtlich erforderlich wäre. Das zeigt nicht zuletzt das kürzlich verhängte Bußgeld in Höhe von 35,3 Millionen Euro gegen den Moderiesen H&M, der seine Beschäftigten in einem Nürnberger Call-Center regelrecht ausgespäht haben soll. Den Betriebsparteien kann also nur geraten werden, gemeinsam konstruktiv und vertrauensvoll an Löschkonzepten, Löschfristen und den dazugehörigen Betriebsvereinbarungen zu arbeiten.

Die Verarbeitung personenbezogener Beschäftigtendaten ist rechtmäßig, wenn diese auf einer Einwilligung des Beschäftigten (§ 26 Abs. 2 BDSG) oder auf einem sogenannten Erlaubnistatbestand beruht. Im Arbeitsrecht stellt insbesondere § 26 Abs. 1 BDSG einen solchen Erlaubnistatbestand dar: Danach dürfen Mitarbeiterdaten verarbeitet werden, wenn dies zur Durchführung des Beschäftigungsverhältnisses erforderlich ist und die Mitbestimmung beachtet wurde. Als Rechtsgrundlage kommt aber auch eine Betriebsvereinbarung gemäß § 87 Abs. 1 Nr. 6 BetrVG i.V.m. Art 88 DSGVO in Betracht.

Wichtig ist, dass auch rechtmäßig erhobene Daten nicht unbegrenzt gespeichert und aufbewahrt werden dürfen. Die Datenspeicherung ist gemäß der DSGVO nur so lange zulässig, wie es für den vorher festgelegten Zweck erforderlich und angemessen ist. Entfällt der Zweck, sind die Daten zu löschen.

Was bedeutet »Löschen« ?

Zunächst trifft die Pflicht zur Löschung den Arbeitgeber als verantwortliche Stelle im Sinne des Art. 4 Nr. 7 DSGVO. Ein Löschkonzept ist daher grundsätzlich vom Arbeitgeber zu erstellen. Aber auch ein Betriebsrat sollte ein eigenes Löschkonzept entwickeln, da auch er die Daten nur für erforderliche Zwecke speichern darf. Die Erforderlichkeit ergibt sich für den Betriebsrat aus den Vorschriften und Aufgaben des Betriebsverfassungsgesetzes. Er darf z.B. auf Dauer keine »zweite Personalakte« für die Kolleg(inn)en führen.

Daten sind gelöscht, wenn sie nicht mehr vorhanden sind, unkenntlich sind und nicht mehr verwendet werden können. Löschen wird z.B. durch das physische Überschreiben von Daten erreicht, aber auch durch das Zerstören oder Vernichten des Datenträgers. Mitunter können Daten auch anonymisiert werden, denn wenn kein Personenbezug mehr hergestellt werden kann, unterliegen Daten nicht mehr der DSGVO. Daten richtig zu anonymisieren ist allerdings schwierig, deren Löschung in der Regel also vorzugswürdig.

Was darf wie lange aufbewahrt werden?

Grundsätzlich müssten personenbezogene Daten von Beschäftigten spätestens dann gelöscht werden, wenn das Arbeitsverhältnis nicht mehr besteht. Eine Pflicht zum Löschen der Daten besteht aber nicht, wenn die weitere Verarbeitung und Speicherung der Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.

Das betrifft im Arbeitsverhältnis gesetzliche Vorschriften aus dem Arbeits-, Handels-, Sozialversicherungs- und Steuerrecht. Daneben kann ein berechtigtes Interesse des Verantwortlichen an einer längeren Aufbewahrung bestehen, z.B. zur Beweissicherung für mögliche Rechtsstreitigkeiten. Solche Fristen und Fälle sollten in einer Betriebsvereinbarung geregelt werden.

Bewerbungsunterlagen

Die Aufbewahrung von Unterlagen abgelehnter Bewerber(innen) ist für mindestens sechs Monate zulässig. Denn innerhalb dieses Zeitraums könnten die Bewerber(innen) z.B. wegen einer Diskriminierung bei der Bewerber(innen)auswahl Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) geltend machen, gegen die sich der Arbeitgeber verteidigen können muss ( vgl. § 15 Abs. 4 AGG, § 61b Abs. 1 ArbGG).

Die Bewerbungsunterlagen eines eingestellten Bewerbers hingegen müssen bis zu drei Jahre nach Schluss des Kalenderjahres, in dem das Arbeitsverhältnis beendet wurde, aufbewahrt werden. Grund hierfür ist die Verjährung z.B. des Zeugnisanspruchs gemäß § 109 Gewerbeordnung (GewO) nach der allgemeinen Verjährungsfrist von drei Jahren.

Aufzeichnungen über Arbeitszeit

(...)

Mehr lesen?

Den ganzen Beitrag von Rechtsanwalt Torsten Lemke sowie vieles mehr zu den Themen Datenschutz und IT-Mitbestimmung lesen Sie in »Computer und Arbeit« 11/2020:

Gender, Digitalisierung und Arbeit
§ 129 BetrVG - Fluch oder Segen?
Robotic Process Automation
Verwertungverbote vor dem Arbeitsgericht
Mitbestimmung bei Key Usern

Einfach Testabo abschließen, direkt online weiterlesen und auf das gesamte Archiv der Zeitschrift zugreifen. Dazu erhalten Sie die nächsten beiden Print-Ausgaben.

Jetzt 2 Ausgaben gratis testen!