Datenschutz: Arbeitsrechtliche Regelungen

Obwohl die Datenschutz-Grundverordnung (nachfolgend: DS-GVO) und das neue Bundesdatenschutzgesetz (nachfolgend: BDSG neu) bereits Anfang 2016 in Kraft getreten sind, sind die entsprechenden Bestimmungen trotz zweijähriger Übergangsfrist erst in jüngster Zeit in den Fokus des Adressatenkreises der gesetzlichen Regelungen getreten. Die Veröffentlichungen zum neuen Datenschutzrecht beschränken sich hierbei mehr oder weniger auf pauschale Kurzdarstellungen und auf mahnende Hinweise. Dies ist nicht weiter verwunderlich, da der Umfang und die Komplexität der Gesetzesbestimmungen erheblich sind. Vorliegend sollen einige arbeitsrechtliche Eckpunkte zum Beschäftigten-Datenschutz angesprochen werden. Grundsatz und Zweck der Datenverarbeitung Auch im Beschäftigten-Datenschutz geht es um den Schutz personenbezogener Daten. Diese Daten werden vom Gesetzgeber als besonders sensibel und schützenswert betrachtet. Nach der DS-GVO gilt gemäß Art. 5 Abs. 1 a DS-GVO das "Rechtmäßigkeitsprinzip", insoweit also der Grundsatz einer Datenverarbeitung mit sog. Erlaubnisvorbehalt. Die Verarbeitung personenbezogener Daten ist hiernach grundsätzlich untersagt, es sei denn die DS-GVO oder eine andere Datenschutzvorschrift gestatten die Verarbeitung solcher Daten ausdrücklich. Die Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses ist bisher noch geregelt in § 32 BDSG alt. Es wird diese Regelung ab 25.05.2018 ersetzt durch Art. 88 DS-GVO und durch § 26 BDSG neu. Nach der alten wie auch nach der neuen Regelung dürfen personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn - dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder - für dessen Durchführung oder - für dessen Beendigung oder - zur Ausübung und Erfüllung der sich aus einem Gesetz, Tarifvertrag, Betriebsoder Dienstvereinbarung ergebenden Rechte und Pflichten des Betriebsrats/ Personalrats erforderlich ist. Neu ist in § 26 BDSG neu, dass mittels einer Betriebsvereinbarung (naturgemäß sofern ein Betriebsrat besteht) zulässige Regeln zur Datenverarbeitung vereinbart werden können. Es ist den Arbeitgebern, bei denen ein Betriebsrat installiert ist, durchaus zu empfehlen, eine diesbezügliche Betriebsvereinbarung zu verhandeln. Einwilligung In vielen Arbeitsverträgen ist es noch heute Usus, dass sich irgendwo im Vertragstext eine Klausel befindet, wonach der Arbeitnehmer in die Verarbeitung von personenbezogenen Daten pauschal einwilligt. Im Hinblick auf das zwischen Arbeitgeber und Arbeitnehmer bestehende Über-/Unterordnungsverhältnis erhält § 26 Abs. 2 BDSG neu strenge Anforderungen für die Annahme der Freiwilligkeit einer Arbeitnehmer-Einwilligung in die Datenverarbeitung. Hiernach kann ein Beschäftigter letztlich nur dann "freiwillig" in die Datenverarbeitung einwilligen, wenn für ihn ein "rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und Beschäftigter gleich gelagerte Interessen verfolgen". Eine Einwilligung wird deshalb nur Zusatzleistungen betreffen können, wie z. B. Privatnutzung eines Betriebsparkplatzes, Zuwendung für langjährige Betriebszugehörigkeit, Gestattung der Privatnutzung von Firmeneigentum etc. Die Einwilligung des Beschäftigten bedarf der Schriftform, sie ist ebenfalls als eigenständige Erklärung abzugeben und ist somit nicht in den Arbeitsvertrag als eine von vielen Klauseln aufzunehmen. Aufdeckung von Straftaten und Überwachung Auch nach der neuen Regelung des § 26 Abs. 1 S. 2 BDSG neu dürfen Daten zur Aufdeckung von Straftaten verarbeitet werden, wenn Anhaltspunkte vorliegen, dass der/die Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat. Die vorgenannten Anhaltspunkte müssen nach der gesetzlichen Diktion "tatsächliche" sein und sind "zu dokumentieren". Es muss also ein handfester Verdacht vorliegen, welcher zur Datenverarbeitung zum Zwecke der Aufdeckung von Straftaten führen kann und darf. Ohne tatsächliche Anhaltspunkte besteht die Gefahr, dass in einem Arbeitsgerichtsprozess die gewonnenen Daten einem Beweisverwertungsverbot unterliegen. Insbesondere sind vom Arbeitgeber die Grundsätze der Verhältnismäßigkeit zu beachten. Wer z. B. trotz arbeitsrechtlichen Verbots ab und zu mit seinen Angehörigen telefoniert, ist anders zu behandeln als ein Beschäftigter, der über längere Zeit nachhaltigen Arbeitszeitbetrug durch Falschstempelungen begeht. Datenschutzbeauftragter und Arbeitsrecht Sobald mehr als neun Mitarbeiter regelmäßig mit der automatisierten Erhebung und Nutzung von Daten zu tun haben, besteht die Pflicht für die Bestellung eines Datenschutzbeauftragten. Das Gleiche gilt, wenn mindestens 20 Personen beschäftigt werden, die regelmäßig mit nicht automatisierter Datenverarbeitung zu tun haben. Eine nicht automatisierte Datenverarbeitung liegt bereits bei schriftlichen Notizen mit Bezug zu personenbezogenen Daten vor. Die Erfassung eines Fahrzeugkennzeichens zwecks Zuordnung zu einer Rechnung beispielsweise genügt. Insofern werden Autohäuser ab einer bestimmten Mitarbeiteranzahl regelmäßig der Pflicht zur Bestellung eines Datenschutzbeauftragten unterliegen. Datenschutzbeauftragter kann nur sein, wer mit beruflicher Qualifikation Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis besitzt. Gleichermaßen muss der Datenschutzbeauftragte im Hinblick auf seine weisungsunabhängige Tätigkeit Einblick in die betriebliche Organisation und betrieblichen Prozesse haben. Der Datenschutzbeauftragte muss kommunikationsfähig und "widerstandsfähig" gegenüber Geschäftsführung und Mitarbeiter-Interessenvertretung sein. Schließlich muss der Datenschutzbeauftragte seine Tätigkeit auch verantworten. Zwar ist er nicht wie der datenschutzrechtlich verantwortliche Unternehmer der Gefahr eines Bußgeldbescheids unterworfen. Wenn er allerdings vorsätzlich oder fahrlässig seine Aufgaben als Datenschutzbeauftragter nicht oder schlecht erfüllt, ergeben sich im Einzelfall Schadensersatzpflichten des Arbeitgebers gegenüber dem Datenschutzbeauftragten - gegebenenfalls bis zur Höhe von durch den Arbeitgeber zu bezahlenden Bußgeldern. Auch ergeben sich mögliche Schadensersatzansprüche von außenstehenden Dritten gegen den Datenschutzbeauftragten. Wegen dieser Haftungsrisiken bietet sich der Abschluss einer speziellen Versicherung an, wie diese beispielsweise für Geschäftsführer im Rahmen einer D&O-Versicherung (D & O = Directors and Officers) abgeschlossen werden kann. Die Nachfrage bei einigen Versicherungen hat ergeben, dass dort für Datenschutzbeauftragte ein diesbezüglicher Versicherungsschutz noch nicht aufgelegt wurde. Gegebenenfalls hat die Versicherungswirtschaft ein neues Betätigungsfeld noch nicht erkannt? Es ist zu empfehlen, bei Bestellung eines betriebsinternen Datenschutzbeauftragten diesbezüglich bei der eigenen Versicherung anzufragen. Kurzfassung 1. Auch im Beschäftigten-Datenschutz gilt der Grundsatz einer Datenverarbeitung mit Erlaubnisvorbehalt. Personenbezogene Daten von Beschäftigten dürfen hiernach verarbeitet werden, wenn dies für die Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses oder für die Ausübung und Erfüllung bestimmter vorgegebener Rechte und Pflichten erforderlich ist.2. Sollte vom Arbeitnehmer eine spezielle Einwilligung in die Datenverarbeitung gefordert werden, so hat diese "freiwillig" zu erfolgen. Freiwilligkeit im Sinne des § 26 Abs. 2 BDSG liegt nur dann vor, wenn für den Beschäftigten ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und Beschäftigter gleichgelagerte Interessen haben.3. Auch weiterhin dürfen Daten zur Aufdeckung von Straftaten verarbeitet werden - und nur dann -, wenn tatsächliche und zu dokumentierende Anhaltspunkte vorliegen, dass im Beschäftigungsverhältnis von einem konkreten Betroffenen eine Straftat begangen wurde.4. Ein Datenschutzbeauftragter ist ab einer bestimmten Anzahl von Mitarbeitern, die mit Datenverarbeitung befasst sind, zu bestellen. Ein interner Datenschutzbeauftragter hat als Arbeitnehmer eine besondere Stellung (Weisungsunabhängigkeit, besonderer Kündigungsschutz), kann allerdings auch Haftungsrisiken nach arbeitsrechtlichen Grundsätzen ausgesetzt sein. Kommentar Das neue Bundesdatenschutzgesetz besteht aus 85 Paragrafen mit vielfachen Absätzen und Unterpunkten. Die Datenschutz-Grundverordnung beinhaltet 99 Artikel mit ebenfalls vielfachen Absätzen und Unterpunkten. Zu berücksichtigen bei der Datenschutz-Grundverordnung sind des Weiteren 173 sog. Erwägungsgründe zu den einzelnen Bestimmungen der Datenschutz-Grundverordnung, die nach ausdrücklicher gesetzlicher Vorgabe bei der Umsetzung der Datenschutz-Grundverordnung einzuhalten sind. Hinzu kommen spezialgesetzliche Regelungen wie z. B. im Telemediengesetz und im Sozialgesetzbuch. Hiermit nicht genug. Zum 25.05.2018 sollte eigentlich auch die neue E-Privacy-Verordnung Geltung erlangen. Allerdings konnte eine Einigung hierauf europaweit bisher noch nicht erzielt werden. Auch ohne E-Privacy-Verordnung ist das Datenschutzrecht unübersichtlich genug und ohne fachkundige Unterstützung kaum zu bewältigen.Rainer Bopp, Fachanwalt für Arbeitsrecht

40 Jahre Mercedes-Benz 200 D - 500 E: Als das Herz der Marke schneller schlug

Skoda wächst weiter: Mehr Auslieferungen, starke Finanzzahlen

Markenausblick Hyundai: Der Mix soll es richten

Mobilize Financial Services: Neuer Deutschland-Chef ab November

Insolvenzanträge für fünf Gesellschaften: Autohaus Staffel in der Krise

Alle Schlagzeilen

Datenschutz: Arbeitsrechtliche Regelungen

HASHTAG

#Datenschutz

Autohandel: Defizite beim Datenschutz

Digitalisierte Transporter: Autobauer hoffen auf Handwerkskunden

Datenschutz: Mehr Gewissenhaftigkeit

MEISTGELESEN

BYD: Maria Grazia Davino wird neue Regional Managing Director

VW: Konzern mit massivem Gewinneinbruch – Sparpläne bestimmen Tarifrunde

Insolvenzanträge für fünf Gesellschaften: Autohaus Staffel in der Krise

STELLENANGEBOTE

Technischer Mitarbeiter (m/w/d) Gebrauchtwagenprozess

Neu- und Gebrauchtwagenverkäufer (m/w/d)

WEITERLESEN

NEWSLETTER