§ 11 Datenschutz / 2. Verarbeitung von Beschäftigtendaten nach Interessenabwägung

Rz. 24

Die Bewertung der Zulässigkeit der Datenverarbeitung war bislang und ist seit 25.5.2018 auf Basis einer Interessenabwägung, die die Interessen von Arbeitgeber und Beschäftigten in Einklang bringen muss, zu treffen (§ 32 Abs. 1 BDSG a.F. und § 26 Abs. 1 BDSG). Die Bewertung ist daher oft vom jeweiligen Einzelfall abhängig.

Rz. 25

Für die Verarbeitung der Beschäftigtendaten bleibt es dabei, dass eine vollständige Überprüfung der Arbeitstätigkeiten der Beschäftigten durch den Arbeitgeber unzulässig ist. Im Rahmen der Datenverarbeitungsprozesse bei der Leistungserbringung ist der sog. Need-to-know-Grundsatz anzuwenden, nach dem ein Zugriff auf Daten zwischen Beschäftigten und durch die Vorgesetzten nur insoweit zulässig ist, als es aufgrund der geschäftlichen Tätigkeiten erforderlich ist.^[55] Eine Überwachung und Auswertung von Leistung und Verhalten der Beschäftigten ist grundsätzlich allein mittels Stichprobenkontrollen ohne Anlass oder durch individuelle Kontrollen bei einem Verdacht auf ein Fehlverhalten zulässig. Eine Sperrwirkung von § 32 Abs. 1 S. 2 BDSG a.F. gegenüber Satz 1 besteht nicht,^[56] so dass die Verarbeitung von Beschäftigtendaten bei bloßem Verdacht einer Pflichtverletzung auf Basis der Interessenabwägung nach § 32 Abs. 1 S. 1 BDSG – künftig § 26 Abs. 1 S. 1 BDSG – zulässig ist.^[57]

Rz. 26

Das weiterhin geltende Verbot der Vollüberwachung (ausführlich § 5 Rdn 1 ff.) von Beschäftigten hat zudem Auswirkungen auf die Datenverarbeitung der Arbeitswelt 4.0 und die maschinenbezogene Kommunikation. Dies wird durch die aktuelle Rechtsprechung des BAG zum (in aller Regel unzulässigen) Einsatz von sog. Keyloggern deutlich, bei denen eine fast vollständige Aufzeichnung und Speicherung der Tastatureingaben sowie Anfertigung von Bildschirmfotos erfolgen kann.^[58] Auswirkungen auf die Verarbeitung von maschinenbezogenen Daten und die M2M-Kommunikation hat auch die Rechtsprechung des BAG zur Erstellung einer "Belastungsstatistik". In einem vom BAG im Jahr 2017 entschiedenen Fall sollte eine Betriebsvereinbarung die Erfassung, Speicherung und Auswertung eines jeden einzelnen Arbeitsschrittes während der gesamten Arbeitszeit der Beschäftigten regeln, was eine Vollüberwachung der Arbeitsleistung zur Folge gehabt hätte. Auf diese Weise sollte in dem Unternehmen festgestellt werden können, welche Beschäftigten und Abteilungen besonders effektiv arbeiten und wo Unterstützungsbedarf bestand. Das BAG befand, dass eine solche lückenlose Erfassung sämtlicher Arbeitsschritte einen Beschäftigten zum "Objekt einer Überwachungstechnik" mache, die einen schwerwiegenden Eingriff in das Persönlichkeitsrecht der Beschäftigten darstelle.^[59] Eine vergleichbar vollumfassende Arbeitsstatistik kann in der Arbeitswelt 4.0 bereits rein technisch durch die Dokumentation der Arbeitsschritte der ­Maschinen oder der Software erstellt werden. Schon die Erstellung dieser Daten kann unzulässig sein. ­Allerdings muss die Zwecksetzung der Datenverarbeitung berücksichtigt werden. Falls eine technisch bedingte Aufzeichnung aller Arbeitsschritte stattfindet, muss sichergestellt werden, dass keine Zuordnung der ausgeführten Arbeitsschritte zu einzelnen Mitarbeitern erfolgen kann. Anonyme Statistiken über die Nutzung von Maschinen können also geführt werden, wenn eine Zuordnung zu einzelnen Beschäftigten ausgeschlossen ist.^[60] Es wird zudem als Aufgabe des Verantwortlichen bewertet, die Validität der Anonymisierung auch in laufenden Verarbeitungsvorgängen dauerhaft sicherzustellen und zu überprüfen.^[61] Werden demgegenüber E-Mail-Prüfungen automatisiert zum Zwecke von Viren-/Malware-Schutz durchgeführt, ist das bei verbotener Privatnutzung grundsätzlich zulässig,^[62] während die inhaltliche Kontrolle zur möglichen Aufdeckung von Straftaten nach § 26 Abs. 1 S. 2 BDSG stark limitiert ist.^[63] Die Nutzung der Informationen darf mithin nicht zur Erstellung einer "Belastungsstatistik" erfolgen, sondern nur für generelle statistische Auswertungen.

[55] BSI, Leitfaden Informationssicherheit – IT-Grundschutz kompakt, S. 41; Wächter, Rn 206.

[56] BAG 27.7.2017 – 2 AZR 681/16, NZA 2017, 1327.

[57] Kritisch z.B. Düwell/Brink, NZA 2017, 1081, 1084.

[58] BAG 17.7.2017 – 2 AZR 681/16, NZA 2017, 1327, dazu Fuhlrott, NZA 2017, 1308.

[59] BAG 25.4.2017 – 1 ABR 46/15, BB 2017, 2428.

[60] Zur Rückverfolgbarkeit bei (vermeintlicher) Anonymisierung z.B. BfDI, Positionspapier zur Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche v. 29.6.2020, S. 4.

[61] Art.-29-Gruppe, Working Paper 216, S. 4.

[62] AusführlichKoreng/Lachenmann/Bergt, Formularhandbuch Datenschutzrecht, H. VII.; zu Terrorlisten-Screenings Nolde, ebd., H. VI.

[63] Dazu zuletzt BAG 23.3.2021 – 1 ABR 31/19, NZA 2021, 959.