Home
Intern
veröffentlicht am 18. September 2017
Am 25. Mai 2016 ist die neue EU-Verordnung Nr. 2016/679 (Europäische Datenschutzgrundverordnung, kurz: EU-DSGVO) in Kraft getreten. Ab dem 25. Mai 2018 ersetzt sie die Europäische Datenschutzrichtlinie 95/46/EG und genießt gegenüber nationalen Regelungen Anwendungsvorrang. Trotz des Hauptziels der Verordnung, den Datenschutz europaweit zu harmonisieren, erlaubt Art. 88 Abs. 1 EU-DSGVO den Mitgliedstaaten die Datenverarbeitung im Beschäftigungskontext durch nationale Rechtsvorschriften zu konkretisieren. Auf dieser Grundlage hat der Bundesrat im Mai 2017 dem vom Bundestag am 27. April 2017 verabschiedeten Datenschutz-Anpassungs-und Umsetzungsgesetz-EU (Neues Bundesdatenschutzgesetz, BDSG-neu) zugestimmt. Das BDSG-neu tritt am 25. Mai 2018 gleichzeitig mit dem Gültigwerden der EU-DSGVO in Kraft. § 26 BDSG-neu wird künftig den Beschäftigtendatenschutz regeln.
§ 26 BDSG-neu ist stark an den bisherigen § 32 BDSG, der abwertend als rein „symbolische Gesetzgebung" bezeichnet wurde, angelehnt. Dennoch enthält § 26 BDSG-neu einige Neuregelungen:
Wie bisher § 32 Abs. 1 BDSG, regelt § 26 Abs. 1 BDSG-neu zu welchen Zwecken und unter welchen Voraussetzungen personenbezogene Daten vor, im und nach dem Beschäftigungsverhältnis verarbeitet werden dürfen, wenn das zum Zwecke des Beschäftigungsverhältnisses erforderlich ist. Nach der Gesetzesbegründung sind bei der Erforderlichkeitsprüfung – wie nach den bisherigen Anforderungen der Rechtsprechung zu § 32 BDSG – die widerstreitenden Grundrechtspositionen zur Herstellung praktischer Konkordanz abzuwägen.
Einwilligungen von Beschäftigten in die Verarbeitung personenbezogener Daten bleiben nach wie vor zulässig, müssen aber nach § 26 Abs. 2 BDSG-neu ausdrücklich freiwillig erteilt werden. Dabei sind für die Beurteilung der Freiwilligkeit der Einwilligung die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann nach dem Gesetzeswortlaut insbes. vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. Damit dürfte im Umkehrschluss eine Einwilligung immer dann ausscheiden, wenn damit für den Beschäftigten kein rechtlicher oder wirtschaftlicher Vorteil erreicht wird.
Die Einwilligung bedarf nach § 26 Abs. 2 Satz 3 BDSG-neu stets der Schriftform. Nur wenn „besondere Umstände" vorliegen, kann auch eine andere Form angemessen sein. Was solche besonderen Umstände sein sollen, wird sowohl in der Regelung als auch in der Gesetzesbegründung offen gelassen.
Außerdem hat der Arbeitgeber die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht in Textform nach Art. 7 Abs. 3 EU-DSGVO aufzuklären. Die Vorgänge sollten seitens der Arbeitgeber immer entsprechend dokumentiert werden.
§ 26 Absatz 8 BDSG-neu legt die Grenzen des Beschäftigtenbegriffs fest und stellt klar, dass Beschäftigte im Sinne des Beschäftigtendatenschutzes Arbeitnehmer, einschließlich der Leiharbeitnehmer im Verhältnis zum Entleiher, zu ihrer Berufsbildung Beschäftigte, Teilnehmer an Leistungen zur Teilhabe am Arbeitsleben sowie an Abklärung der beruflichen Eignung oder Arbeitserprobung, in anerkannten Werkstätten für behinderte Menschen Beschäftigte, Freiwillige, die einen Dienst nach dem Jugendfreiwilligendienstgesetz oder dem Bundesfreiwilligendienstgesetz leisten, Personen, die wegen ihrer wirtschaftlichen Unselbstständigkeit als arbeitnehmerähnliche Personen anzusehen sind, wie in Heimarbeit Beschäftigte und die ihnen Gleichgestellten, Beamte des Bundes, Richter des Bundes, Soldaten und Zivildienstleistende, Bewerber sowie Personen, deren Beschäftigungsverhältnis beendet ist, sind.
Daten, aus denen die rassische und ethische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, dürfen nach § 26 Abs. 3 BDSG-neu nur verarbeitet werden, wenn sie zur Ausübung von Rechten oder der Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich sind. Es darf dabei kein Grund zu der Annahme bestehen, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Des Weiteren unterfallen der Vorschrift daneben die Verarbeitung von genetischen und biometrischen Daten zur eindeutigen Identifizierung einer Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person. Es ist zu beachten, dass, soweit die Verarbeitung auf der Grundlage einer Einwilligung erfolgt, zusätzlich die Voraussetzungen des § 26 Abs. 2 BDSG-neu zu beachten sind, d.h. die Einwilligung muss sich ausdrücklich auf diese Daten beziehen.
Nach § 26 Abs. 4 BDSG-neu ist die Verarbeitung personenbezogener Daten, einschließlich besonderer Kategorien personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses auf der Grundlage von Kollektivvereinbarungen zulässig. Damit stellt das BDSG–neu ausdrücklich klar, dass Kollektivvereinbarungen wie Betriebs- oder Tarifvereinbarungen weiterhin ein zulässiges Mittel zur Regelung erlaubter Datenverarbeitung bleiben. Sie müssen aber künftig den Anforderungen von Art. 88 Abs. 2 EU-DSGVO und § 26 BDSG-neu genügen. Nach Art. 88 Abs. 2 EU-DSGVO müssen sie angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen, insbes. im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz. Da die Vorschrift keine Regelung zu „Alt-Betriebsvereinbarungen" trifft, sind sie bis Mai 2018 an die Anforderungen der EU-DSGVO anzupassen.
Nach § 26 Abs. 5 BDSG-neu muss der Verantwortliche sicherstellen, dass die Grundsätze der EU-DSGVO, insbesondere diejenigen des Art. 5 EU-DSGVO eingehalten werden. Das betrifft die Grundsätze der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben, der Transparenz, der Zweckbindung, der Datenminimierung, der Richtigkeit, der Speicherbegrenzung, der Integrität und der Vertraulichkeit personenbezogener Daten sowie die in Art. 5 Abs. 2 EU-DSGVO normierte Rechenschaftspflicht. Verantwortliche im Sinne des Paragraphen sind der Arbeitgeber, dessen verbundene Unternehmen, der Betriebsrat oder andere Betriebsverfassungsorgane, die personenbezogene Daten von Beschäftigten bearbeiten.
Dem Gesetzgeber hat sich die Möglichkeit geboten, im Zusammenhang mit den Neuerungen des Datenschutzes, den Beschäftigtendatenschutz umfangreich zu regeln. Von der Möglichkeit hat der Gesetzgeber jedoch keinen Gebrauch gemacht, sondern den ursprünglichen § 32 BDSG nur leicht modifiziert. Die großen Problemfelder des Beschäftigtendatenschutzes bleiben damit weiterhin ungeregelt, so dass sich Arbeitgeber, Beschäftigte und Betriebsräte weiterhin an den Vorgaben der Rechtsprechung zu § 32 BDSG orientieren sollten. Dabei müssen aber zwingend die neuen Vorgaben der EU-DSGVO beachtet werden, wie etwa die umfangreichen Unterrichtungspflichten nach Art. 12 EU-DSGVO, die Informationspflichten nach Art. 13 ff. EU-DSGVO, die Auskunftsansprüche nach Art. 15 EU-DSGVO und das Recht auf Löschung nach Art. 17 EU-DSGVO.
Dr. Michael S. Braun
Rechtsanwalt, Fachanwalt für Arbeitsrecht, Wirtschaftsjurist (Univ. Bayreuth)
Partner
Anfrage senden
Profil
Alexander von Chrzanowski
Rechtsanwalt, Fachanwalt für IT-Recht und Arbeitsrecht
Associate Partner
