Datenschutz / 4.3 Datenverarbeitung im besonderen Zusammenhang mit dem Arbeitsverhältnis: § 26 BDSG

§ 26 BDSG ist seit dem 25.5.2018 die einschlägige Spezialregelung für das Arbeitsverhältnis – die Norm basiert auf der entsprechenden Öffnungsklausel des Art. 88 DSGVO.

Der vom Gesetz verwendete, weite Begriff des Beschäftigten nach § 26 Abs. 8 BDSG erfasst:

• Arbeitnehmer
• Leiharbeitnehmer
• Auszubildende
• Arbeitnehmerähnliche Personen einschließlich der Heimarbeiter
• Beamte, Richter und Soldaten
• Menschen mit Behinderungen in anerkannten Behinderten-Werkstätten
• Freiwillige nach dem Jugendfreiwilligendienstegesetz und dem Bundesfreiwilligendienstgesetz
• Teilnehmer von Rehabilitationsmaßnahmen zur Wiedereingliederung in das Arbeitsleben

Bewerber und ausgeschiedene Beschäftigte werden nach § 26 Abs. 8 Satz 2 BDSG ausdrücklich gleichgestellt.

Datenverarbeitung im Arbeitsverhältnis

Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist nur innerhalb der arbeitsvertraglichen Zwecksetzung^[1] zulässig. Die Reichweite dieses Zweckbezugs ist umstritten. Eine Reduzierung nur auf den gegenseitigen Leistungsaustausch erscheint im Hinblick auf die überragende Bedeutung des Schutzguts Persönlichkeitsrecht nicht vertretbar. Richtigerweise wird – unter Zugrundelegung des Schutzzwecks – jegliche mit dem Arbeitsverhältnis in Verbindung stehende Datenverarbeitung erfasst. Der zeitliche Anwendungsbereich der Regelung ist ebenfalls umfassend. Insbesondere wird bereits das vorvertragliche Stadium erfasst.^[2] Das vorvertragliche Stadium der Vertragsanbahnung wird auch von Art. 6 Abs. 1 b) DSGVO erfasst.

Die Daten können sich weiterhin auf die Durchführung sowie die Beendigung des Arbeitsverhältnisses beziehen.

Aufgrund der Unwirksamkeit von § 26 BDSG ist fraglich, inwieweit Art. 6 Abs. 1 b) DSGVO auch die Datenverarbeitung in gleichem Umfang erfasst, insbesondere bei Begründung, Inhaltsänderung und Beendigung ( dazu bereits oben 4. Hinweiskasten).

Die Datenverarbeitung kann erfolgen aufgrund:

• Allgemeiner gesetzlicher Ermächtigungsgrundlage in der DSGVO oder dem BDSG
• Spezialgesetzlicher Ermächtigungsgrundlage (Artt. 6, 88 Abs. 1 DSGVO, sowie bislang § 26 Abs. 1 BDSG; Spezialgesetzen wie z. B. dem GenDG, die einschlägigen Vorschriften im SGB – dagegen soll das AGG mangels spezifisch datenschutzrechtlicher Inhalte nicht erfasst werden)
• Betriebs- oder Dienstvereinbarung (Art. 88 Abs. 1 DSGVO, dazu als Öffnungsklausel bislang § 26 Abs. 4 BDSG)
• Tarifvertrag (Art. 88 Abs. 1 DSGVO, dazu ebenfalls als Öffnungsklausel bislang § 26 Abs. 4 BDSG)
• Einwilligung des Beschäftigten (Art. 6, 7 DSGVO, dazu als Öffnungsklausel bislang § 26 Abs. 2 BDSG)

Die jeweiligen Ermächtigungsgrundlagen müssen dabei stets den generellen Vorgaben der DSGVO genügen. Der nationale Gesetzgeber, aber auch die Tarifvertrags- und Betriebsparteien sind keinesfalls frei in ihrer inhaltlichen Ausgestaltung der Regelungen^[3].

Die umfassende Anwendbarkeit auf alle drei Phasen des Beschäftigungsverhältnisses – Begründung, Durchführung und Beendigung – behält auch die Neuregelung in § 26 Abs. 1 BDSG bei.

Eine Übermittlung von arbeitnehmerbezogenen Daten unterliegt den gleichen Anforderungen.^[4] Die arbeitsvertragsbezogene Übermittlung ist bspw. gerechtfertigt bei der Weitergabe an überbetriebliche Sozialeinrichtungen, an andere Unternehmen im Konzernverbund, sofern das Arbeitsverhältnis Konzernbezug hat (Versetzungsbefugnis) oder bei Mitteilung an Banken zur bargeldlosen Lohnzahlung.

Die Datenerhebung kann präventiv^[5] oder repressiv^[6] erfolgen. Umfasst wird sowohl die automatisierte als auch die nicht automatisierte Datenverarbeitung.^[7] Die Vorschrift erfasst deshalb nach ihrem Regelungsgehalt auch die Datenerhebung durch rein tatsächliche Handlungen: So zählt bspw. eine Schrankkontrolle zur nicht-automatisierten Datenerhebung.^[8]

Arbeitnehmerdaten

Gegenständlich umfasst § 26 BDSG die allgemeinen Daten des Arbeitnehmers (Geschlecht, Alter, Ausbildung, betrieblicher Werdegang); in Randbereichen wird dies aber problematisch (Konfession, Gewerkschaftszugehörigkeit, Krankheiten). Insofern bedarf es der Abwägung im Einzelfall unter Berücksichtigung der jeweiligen Umstände des Arbeitsverhältnisses. Zulässig ist die Verarbeitung von Krankheits- und Fehlzeitendaten, auch für Datenläufe, mit denen auf einzelne Arbeitnehmer bezogene Aussagen über krankheitsbedingte Fehlzeiten, attestfreie Fehlzeiten und unentschuldigte Fehlzeiten erarbeitet werden sollen. Besonders zu beachten sind die sensiblen Daten i. S. v. Art. 9 DSGVO, § 22 BDSG, deren Erhebung und Verarbeitung besonderen Anforderungen unterliegen. Arbeitsrechtlich relevant sind hier insbesondere die Merkmale Gewerkschaftszugehörigkeit und Gesundheit, u. U. aber auch ethnische Herkunft, Religionszugehörigkeit und politische Meinungen. In diesem Zusammenhang sind die Diskriminierungsverbote des AGG^[9] auch datenschutzrechtlich zu beachten. Nach Art. 9 Abs. 1 DSGVO ist die Verarbeitung dieser Daten als "besondere Kategorien personenbezogener Daten" grundsätzlich verboten. Dazu gehören nach Art. 9 Abs. 1 DSGVO Gesundheitsdaten, Daten zur poli...