Beschäftigtendatenschutz – Fit in DSGVO & Co.

Beschäftigtendatenschutz umfasst alle Regeln zum Schutz personenbezogener Daten von Mitarbeitenden durch ihre:n Arbeitgeber:in. Er regelt, wie Daten von der Bewerbung über das laufende Arbeitsverhältnis bis zur Beendigung erhoben, verarbeitet und gespeichert werden dürfen. Die zentralen rechtlichen Grundlagen dafür sind die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG), die die informationelle Selbstbestimmung der Beschäftigten am Arbeitsplatz sicherstellen.

Zu den personenbezogenen Daten von Mitarbeitenden zählen alle Informationen, die einer Person direkt oder indirekt zugeordnet werden können. Beispiele sind Name, Adresse, Geburtsdatum, Bankverbindung, Steuer-ID und Sozialversicherungsnummer. Aber auch Leistungsbeurteilungen, Daten zur Zeiterfassung, Krankmeldungen und unter Umständen sogar die dienstliche E-Mail-Adresse oder IP-Adressen fallen darunter.

Die Verarbeitung von Mitarbeiterdaten ist hauptsächlich auf Grundlage von Art. 88 DSGVO in Verbindung mit § 26 Bundesdatenschutzgesetz (BDSG) erlaubt. Demnach dürfen Daten verarbeitet werden, wenn es für die Anbahnung, Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich ist. Weitere Rechtsgrundlagen können eine ausdrückliche Einwilligung der Beschäftigten, eine Betriebsvereinbarung oder die Erfüllung rechtlicher Pflichten sein.

Personaldaten dürfen nur so lange gespeichert werden, wie es für den Zweck der Verarbeitung notwendig ist oder gesetzliche Aufbewahrungsfristen es vorschreiben. Nach Beendigung des Arbeitsverhältnisses gilt oft eine Frist von drei Jahren, um mögliche rechtliche Ansprüche abwehren zu können. Für bestimmte Dokumente wie Lohn- und Gehaltsabrechnungen können aufgrund steuerrechtlicher Vorgaben jedoch längere Fristen von sechs oder mehr Jahren gelten.

Ob Arbeitgeber:innen die Nutzung kontrollieren dürfen, hängt von den betrieblichen Regelungen ab. Haben sie die private Nutzung von E-Mail und Internet verboten, sind stichprobenartige Kontrollen des Datenverkehrs grundsätzlich erlaubt, private Mails dürfen aber nicht gelesen werden. Ist die Privatnutzung hingegen erlaubt oder wird sie geduldet, unterliegt die Kommunikation dem Fernmeldegeheimnis und eine inhaltliche Kontrolle ist in der Regel unzulässig.

Eine Videoüberwachung am Arbeitsplatz ist nur in engen Grenzen und bei einem berechtigten Interesse des Arbeitgebers zulässig, etwa zur Aufdeckung von Straftaten oder zum Schutz des Eigentums. Eine permanente Überwachung von Beschäftigten ist grundsätzlich unverhältnismäßig und daher verboten. Bereiche, die der privaten Lebensgestaltung dienen, wie Umkleiden oder Pausenräume, dürfen grundsätzlich nicht videoüberwacht werden.

Krankheitsdaten sind als Gesundheitsdaten nach der DSGVO besonders geschützt und dürfen nur für notwendige Zwecke verarbeitet werden. Arbeitgeber:innen müssen sicherstellen, dass nur ein begrenzter Personenkreis, wie die Personalabteilung, Zugriff auf Arbeitsunfähigkeitsbescheinigungen hat. Die Information über die Arbeitsunfähigkeit darf intern kommuniziert werden, die Diagnose oder der Grund der Erkrankung hingegen unterliegt der ärztlichen Schweigepflicht und dem Datenschutz.

Arbeitgeber:innen dürfen Informationen über Bewerbende aus dem Internet erheben, wenn diese beruflich relevant und für die Einstellungsentscheidung erforderlich sind. Dabei ist die Recherche in karrierebezogenen Netzwerken wie Xing oder LinkedIn in der Regel unproblematischer als in rein privaten Profilen auf Facebook oder Instagram. Das Ausspähen von geschützten, nicht-öffentlichen Profilen ist unzulässig.

Der Betriebsrat hat die Aufgabe, darüber zu wachen, dass die datenschutzrechtlichen Vorschriften zugunsten der Beschäftigten eingehalten werden. Er hat Mitbestimmungsrechte bei der Einführung und Anwendung von technischen Einrichtungen, die zur Überwachung von Leistung oder Verhalten der Mitarbeitenden bestimmt sind. Obwohl der Arbeitgeber datenschutzrechtlich verantwortlich bleibt, muss auch der Betriebsrat selbst den Datenschutz bei seiner eigenen Arbeit sicherstellen.

Bei einer Datenpanne, wie dem Verlust oder der unbefugten Offenlegung von Beschäftigtendaten, müssen Unternehmen schnell handeln. Besteht ein Risiko für die Rechte und Freiheiten der betroffenen Personen, muss der Vorfall unverzüglich, möglichst binnen 72 Stunden, an die zuständige Datenschutzaufsichtsbehörde gemeldet werden. Bei einem hohen Risiko müssen zusätzlich die betroffenen Mitarbeitenden persönlich über die Datenpanne informiert werden.