Datenschutz im Personalwesen – Rechtssicherheit nach DSGVO & BDSG

Beschäftigtendatenschutz umfasst alle Regeln zum Schutz personenbezogener Daten von Mitarbeitenden durch den Arbeitgeber. Er ist wichtig, weil Arbeitgebende eine besondere Verantwortung für die sensiblen Informationen ihrer Beschäftigten tragen, die sich in einem Abhängigkeitsverhältnis befinden. Ziel ist es, das Recht auf informationelle Selbstbestimmung am Arbeitsplatz zu wahren und einen fairen Ausgleich zwischen Unternehmens- und Arbeitnehmerinteressen zu schaffen.

Der § 26 BDSG regelt, unter welchen Voraussetzungen personenbezogene Daten von Beschäftigten verarbeitet werden dürfen. Dies ist erlaubt, wenn es für die Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich ist. Die Norm konkretisiert die Vorgaben der DSGVO für das deutsche Arbeitsrecht und legt auch strenge Kriterien für eine Einwilligung von Beschäftigten sowie für die Verarbeitung zur Aufdeckung von Straftaten fest.

Im Personalwesen fallen zahlreiche personenbezogene Daten an, die sich direkt oder indirekt einer Person zuordnen lassen. Dazu gehören Stammdaten wie Name und Adresse, Vertrags- und Gehaltsdaten, Bankverbindungen, Steuerinformationen und Qualifikationsnachweise. Auch sensible Informationen wie Gesundheitsdaten aus Krankmeldungen, Leistungsbeurteilungen oder Daten aus der Zeiterfassung zählen dazu und unterliegen strengen Schutzvorschriften.

Bewerberdaten dürfen in der Regel bis zu sechs Monate nach Abschluss des Bewerbungsverfahrens gespeichert werden. Diese Frist dient der Abwehr möglicher Klagen nach dem Allgemeinen Gleichbehandlungsgesetz (AGG). Nach Ablauf dieser Frist müssen die Daten gelöscht werden, es sei denn, die bewerbende Person hat ausdrücklich einer längeren Speicherung, zum Beispiel für einen Talentpool, zugestimmt.

Arbeitgeber müssen beachten, dass Krankendaten zu den besonders geschützten Gesundheitsdaten gemäß Art. 9 DSGVO gehören. Die Verarbeitung ist grundsätzlich verboten und nur in engen Grenzen erlaubt, etwa zur Erfüllung der gesetzlichen Pflicht zur Entgeltfortzahlung. Die Diagnose darf dem Arbeitgeber nicht mitgeteilt werden, und der Zugriff auf Arbeitsunfähigkeitsbescheinigungen muss auf die Personalabteilung beschränkt bleiben.

Eine Videoüberwachung von Mitarbeitenden ist nur in engen Ausnahmefällen und bei einem berechtigten Interesse des Arbeitgebers erlaubt. Eine permanente und anlasslose Überwachung ist unzulässig, da sie das Persönlichkeitsrecht der Beschäftigten verletzt. Zulässig kann sie zur Aufklärung von Straftaten oder zum Schutz des Eigentums sein, wenn mildere Mittel nicht ausreichen und die Maßnahme transparent und verhältnismäßig ist.

Mitarbeitende haben das Recht, jederzeit Einsicht in ihre vollständige Personalakte zu nehmen, was durch § 83 BetrVG geregelt ist. Ergänzend dazu gewährt Art. 15 DSGVO einen weitreichenden Auskunftsanspruch über die verarbeiteten Daten sowie das Recht auf eine Kopie der Daten. Beschäftigte können zudem die Berichtigung falscher Daten oder die Löschung nicht mehr erforderlicher Informationen verlangen.

Die Kontrolle der privaten Internetnutzung hängt davon ab, ob diese erlaubt wurde. Hat der Arbeitgeber die private Nutzung verboten, darf er bei einem konkreten Verdacht auf Missbrauch stichprobenartig kontrollieren, etwa durch Einsicht in den Browserverlauf. Hat er die private Nutzung hingegen gestattet, unterliegt er den strengen Regeln des Telekommunikations- und Datenschutzrechts, was eine inhaltliche Kontrolle praktisch ausschließt.

Ehemalige Mitarbeitende haben nach Art. 15 DSGVO ein umfassendes Auskunftsrecht über die Daten, die der frühere Arbeitgeber noch über sie speichert. Sie können Informationen über Verarbeitungszwecke, Datenkategorien, Empfänger und Speicherdauer verlangen sowie eine Kopie der Daten anfordern. Dieser Anspruch besteht, solange das Unternehmen die Daten aufgrund gesetzlicher Aufbewahrungsfristen noch nicht gelöscht hat.