Personalakten richtig führen / 4.2 Anforderungen des Bundesdatenschutzgesetzes

Art. 88 DSGVO befasst sich mit der "Datenverarbeitung im Beschäftigungskontext". Er regelt, dass die Mitgliedsstaaten "durch Rechtsvorschriften oder durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext ... vorsehen" können. Auf dieser Öffnungsklausel basiert § 26 BDSG, welcher die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses regelt.

Gemäß § 26 Abs. 1 Satz 1 BDSG dürfen personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Nach Satz 2 dürfen personenbezogene Daten von Beschäftigten nur dann zur Aufdeckung von Straftaten verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.

Der Punkt "Aufdeckung von Straftaten" betrifft unmittelbar das wichtige Thema "Compliance". In einem engeren Sinne kann man darunter organisatorische Maßnahmen zur Sicherstellung der Einhaltung sämtlicher rechtlicher Gebote und Verbote verstehen ("gesetzeskonformes Verhalten").

Wichtig

Einwilligung muss schriftlich oder elektronisch erteilt werden

Ein Erlaubnistatbestand für die Datenverarbeitung ist die Einwilligung des Betroffenen.^[1] Sie hat schriftlich oder elektronisch (zum Beispiel per E-Mail) zu erfolgen. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben. Abgesehen davon ist der Betroffene auf den vorgesehenen Zweck der Datenverarbeitung hinzuweisen.

Sollen Daten erhoben und verarbeitet werden, deren Erhebung und Verarbeitung nicht schon aufgrund gesetzlicher Regelung (insbesondere § 26 Abs. 1 BDSG, Art. 6 DSGVO) zulässig ist, ist die Einholung einer schriftlichen oder elektronisch erklärten Einwilligung unverzichtbar. Eine derartige Einwilligungserklärung könnte etwa wie folgt aussehen:

Ich bin damit einverstanden, dass im Rahmen des Arbeitsverhältnisses folgende personenbezogene Daten zu folgenden Zwecken erhoben, verarbeitet und genutzt werden:

personenbezogene Daten:	Zweck:
………………………….	……………………………………..
………………………….	……………………………………..

[1] Art. 6 Abs. 1a DSGVO, Art. 7 DSGVO, § 26 Abs. 2 BDSG.