Datenschutz / 4.3.1 Erforderlichkeitsprüfung

Die Datenverarbeitung im Arbeitsverhältnis ist gemäß Art. 88 DSGVO, § 26 BDSG nur dann zulässig, wenn sie mit Bezug auf das Arbeitsverhältnis erforderlich ist. Der unbestimmte Rechtsbegriff der Erforderlichkeit ist auch bei der datenschutzrechtlichen Neuregelung in § 26 BDSG vom Gesetzgeber übernommen worden. Damit bleiben die damit verbundenen Konkretisierungsprobleme bestehen. Im Kern wird es auch zukünftig um die Anwendung des Verhältnismäßigkeitsgrundsatzes und eine damit verbundene Interessenabwägung gehen. Zunächst setzt die Erforderlichkeit voraus, dass die Datenverarbeitung für die jeweilige Aufgabe (z. B. Führung der Personalakten) nicht möglich ist. Es muss ein konkreter Bedarf für die Datenverarbeitung bestehen. Zusätzlich müssen die zu verarbeitenden Daten aber auch einen ausreichenden – erforderlichen – Bezug zum Arbeitsverhältnis haben. Dieser Bezug kann nicht allgemein bestimmt werden, sondern hat sich wiederum an den konkreten Anforderungen des jeweiligen Arbeitsverhältnisses zu orientieren. Dem Arbeitgeber dürfen keine ebenso effektiven, den Arbeitnehmer weniger belastenden Möglichkeiten zur Zweckerreichung zur Verfügung stehen.^[1] Schließlich ist eine Verhältnismäßigkeitsprüfung im Sinne einer Abwägung zwischen dem Verarbeitungsinteresse des Arbeitgebers und der Eingriffstiefe in Bezug auf das Persönlichkeitsrecht des Arbeitnehmers vorzunehmen. Das BAG verlangt eine am Verhältnismäßigkeitsprinzip orientierte, die Interessen des Arbeitgebers und des Beschäftigten berücksichtigende Abwägung im Einzelfall.

An diesen Grundsätzen ändert die Neuregelung durch § 26 Abs. 1 Satz 1 BDSG nichts. Erweitert wird die Regelung insoweit, als nunmehr die Daten auch zur Erfüllung gesetzlicher oder kollektivvertraglicher Rechte und Pflichten der Interessenvertretung der Beschäftigten erhoben, verarbeitet und genutzt werden können. Diese Erweiterung orientiert sich an Art. 88 DSGVO. Allerdings spricht die DSGVO von gesetzlich oder kollektivvertraglich begründeten Rechten und Pflichten der Beschäftigten, während sich die Erweiterung in § 26 BDSG auf die Rechte und Pflichten der Interessenvertretung bezieht.

Zur Konkretisierung der Erforderlichkeit von § 26 Abs. 1 Satz 1 BDSG können die in Art. 88 DSGVO genannten Zwecke herangezogen werden. Dies sind ganz allgemein Management-, Planungs- und Organisationszwecke, Gleichheit und Diversität am Arbeitsplatz, der Sicherheits- und Gesundheitsschutz, der Eigentumsschutz des Arbeitgebers und der Kunden.^[2]

[1] BAG, Urteil v. 20.6.2013, 2 AZR 546/12.

[2] Vgl. BAG, Urteil v. 20.6.2013, 2 AZR 546/12.