Datenschutz und Speicherungsdauer der Daten ehemaliger Mitarbeiter

Nach den Vorgaben des Art. 17 Abs. 1 DSGVO scheint die Löschpflicht zunächst recht eindeutig zu sein. Hierin wird das Recht auf Vergessenwerden beschrieben,

• nach welchem personenbezogene Daten grundsätzlich unverzüglich zu löschen sind, sofern diese
• „für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig“ sind.

Löschpflicht entsteht, wenn Zweck der Speicherung entfallen ist

Die Voraussetzung für einen Löschanspruch bzw. für eine Löschpflicht durch den Verantwortlichen gem. Art. 17 Abs. 1 DSGVO dürfte somit etwa bei Beendigung eines Arbeitsverhältnisses erfüllt sein, denn der primäre Zweck der Datenspeicherung bzw. -verarbeitung in Form des Beschäftigtenverhältnisses besteht in diesem Fall nicht mehr.

Ausnahmen zur Löschpflicht durch Aufbewahrungsfristen

Nun gibt es in Art. 17 Abs. 3 allerdings auch einige Ausnahmen bei der Löschpflicht. So ist hier u.a. festgelegt, dass es einen Anspruch auf Löschen dann nicht gibt, wenn eine Aufbewahrung der Daten „zur Erfüllung einer rechtlichen Verpflichtung, die die Verarbeitung nach dem Recht der Union oder der Mitgliedstaaten, dem der Verantwortliche unterliegt, erforderlich“ ist. Derartige Verpflichtungen ergeben sich beispielsweise aus den Anforderungen des HGB oder der Abgabenordnung (AO) zu den Aufbewahrungsfristen für bestimmte Unterlagen. Für Personaldaten ergeben sich daraus höchst unterschiedliche Aufbewahrungsfristen.

• So sind etwa 3 Jahre Speicherfrist für solche Daten notwendig, die für mögliche Schadensersatzansprüche bei arbeitsrechtlichen Auseinandersetzungen bedeutsam sind.
• Für verschiedene Dokumente sind jedoch auch noch längere Aufbewahrungspflichten vorgesehen. So müssen steuerrechtliche relevante Daten mindestens 6 Jahre gespeichert bleiben.
• Für Dokumente, die zur Gewinnermittlung von Betrieben relevant sind, ist eine Frist von 10 Jahren vorgeschrieben.
• Und bei Daten zu betrieblichen Altersversorgungszusagen können es im Extremfall sogar bis zu 30 Jahre sein.

Dauerhafte Speicherung wegen möglicher Vorbeschäftigung?

Schließlich gibt es noch eine weitere Vorgabe, von der man annehmen könnte, dass sie sogar eine noch längere bzw. sogar unbegrenzte Speicherdauer ermöglichen könnte. Dabei handelt es sich um das Teilzeit- und Befristungsgesetz (TzBfG), das befristete Arbeitsverhältnisse nur unter bestimmten Voraussetzungen erlaubt.

• Liegt kein sachlicher Grund für eine Befristung vor, so ist eine befristete Einstellung bis zur Dauer von zwei Jahren zwar zulässig, jedoch nach § 14 Abs. 2 S. 2 TzBfG nicht für den Fall, dass mit demselben Arbeitgeber zuvor bereits eine Vorbeschäftigung (befristet oder unbefristet) bestanden hat.
• Das Bundesverfassungsgericht (Beschluss vom 6. Juni 2018, 1 BvL 7/14) hat mittlerweile zudem entschieden, dass es für die Relevanz einer Vorbeschäftigung keine Karenzzeit gibt. Selbst wenn diese Vorbeschäftigung also schon etliche Jahre zurückliegt, kann ein ehemaliger Mitarbeiter nicht mehr sachgrundlos befristet eingestellt werden.

Daraus könnte man nun schließen, dass aufgrund dieser Vorgabe sogar eine dauerhafte Aufbewahrungspflicht vorliegt, da ein Arbeitgeber jederzeit überprüfen können muss, ob ein Stellenbewerber bereits einmal im Unternehmen eingestellt war. Dies würde allerdings zumindest nicht alle Daten des möglichen Bewerbers und ehemaligen Mitarbeiters umfassen

Allerdings handelt es sich beim Verbot der sachgrundlosen Befristung aufgrund einer bestehenden Vorbeschäftigung in § 14 Abs. 2 S. 2 TzBfG um eine allgemeine Formulierung und es werden keine konkrete Vorgaben gemacht, wie dieses Verbot umzusetzen ist.

• Es kann daher auch nicht gefolgert werden, dass dieses Verbot eine dauerhafte Verarbeitungs- bzw. Speicherpflicht begründet.
• Den Anforderungen des TzBfG können Arbeitgeber zudem auch auf anderem Wege nachkommen.

Dies beispielsweise, indem sie im Bewerbungsprozess die Stellenbewerber nach einer Vorbeschäftigung im Unternehmen fragen. Eine dauerhafte

Speicherung der Personaldaten ehemaliger Beschäftigter zur Überprüfung einer Vorbeschäftigung ist daher nicht notwendig.

Grundsätze der Datensparsamkeit und Datenminimierung

Im Ergebnis sind bei der Speicherung von Personaldaten die Prinzipien der Datensparsamkeit und Datenminimierung zu beachten:

• Zwar müssen und können auch nach Beendigung des Arbeitsverhältnisses bestimmte Personaldaten gespeichert bleiben,
• wobei es allerdings für unterschiedliche Daten auch unterschiedlich lange Speicherfristen gibt.
• Eine dauerhafte Speicherung von Personaldaten mit Hinweis auf das Vorbeschäftigungsverbots des Teilzeit- und Befristungsgesetzes ist jedoch nicht zulässig,
• denn am Verbot einer Speicherung nicht mehr benötigter Daten ändern auch die Vorgaben des Gesetzes nichts.

Um das von der Datenschutzgrundverordnung geforderte rechtzeitige Löschen der nicht mehr notwendigen Daten der ehemaligen Beschäftigten kommt man also mit diesem Hinweis nicht herum.

Hintergrund:

Datenschutzgrundverordnung brachte strengere Regeln für die Speicherung persönlicher Daten:

Von höchster Wichtigkeit ist, dass die Verarbeitung transparent gemacht wird. Die Person, deren Daten verarbeitet werden, muss jederzeit wissen, 

• warum,
• zu welchem Zweck,
• wie lange genau welche Informationen verarbeitet werden,
• welche Wege sie gehen,
• wie sie gespeichert und geschützt werden. 

Art. 5 DSGVO zählt die Datenschutzprinzipien auf, die Niederschlag in der Betriebsvereinbarung finden sollten, am besten mit einfachen, verständlichen Erklärungen und mit den dazu passenden Maßnahmen, die deren Einhaltung gewährleisten: Daten müssen auf

• rechtmäßige Weise, nach Treu und Glauben in einer für die betroffene Person nachvollziehbaren Weise verarbeitet,
• nur für vorher festgelegte, eindeutige, legitime Zwecke im Beschäftigtenkontext erhoben,
• nur so wenig wie nötig verarbeitet werden und müssen immer richtig und auf dem aktuellen Stand sein.
• Die Daten dürfen nur so lange wie nötig gespeichert und müssen so schnell wie möglich anonymisiert oder gelöscht werden.
• Sie müssen vor Verlust und unberechtigtem Zugriff geschützt werden.

Derjenige, der für die Datenverarbeitung verantwortlich ist, muss kontrollieren, dass die vorstehenden Grundsätze eingehalten werden und jederzeit bereit sein, hierüber Rechenschaft abzulegen.