Whistleblowing im Beschäftigtendatenschutz

veröffentlicht am 15. September 2017

Viele Unternehmen führen Compliance-Systeme zum sog. „Whistleblowing” ein. Hiermit werden klare Regeln für Anzeigepflichten bei Missständen aufgestellt. Auch mit Inkrafttreten der EU-Verordnung Nr. 2016/679 (EU-DSGVO) zum 25. Mai 2016 und dem Inkrafttreten des Datenschutz-Anpassungs- und Umsetzungsgesetz-EU (BDSG-neu) zum 25. Mai 2018 fehlen hierzu weiterhin gesetzliche Regelungen in Deutschland.
 

Art. 88 Abs. 1 EU-DSGVO erlaubt den Mitgliedstaaten, die Datenverarbeitung im Beschäftigungskontext durch nationale Rechtsvorschriften zu konkretisieren. Auf der Grundlage regelt § 26 BDSG-neu künftig den Beschäftigtendatenschutz.
 

Nach § 26 Abs. 1 Satz 1 BDSG-neu ist die Verarbeitung von personenbezogenen Daten des Arbeitnehmers zulässig, wenn es der Zweckbestimmung des Vertragsverhältnisses dient. Aus dem Grund dürfte die Datenverarbeitung durch ein Whistleblowing-System künftig nach § 26 Abs. 1 Satz 1 BDSG-neu zulässig sein, wenn hiermit der Arbeitnehmer seine Treuepflicht gegenüber dem Arbeitgeber erfüllt, ihn vor Schäden zu bewahren, indem kriminelles Verhalten anderer Arbeitnehmer gemeldet wird.
 

§ 26 Abs. 1 Satz 2 BDSG-neu gestattet dem Arbeitgeber personenbezogene Daten eines Arbeitnehmers zur Aufdeckung von Straftaten zu erheben, zu verarbeiten und zu nutzen. Voraussetzung ist aber, dass tatsächliche zu dokumentierende Anhaltspunkte dahingehend vorliegen, dass der Arbeitnehmer eine Straftat im Beschäftigungsverhältnis begangen hat. Darüber hinaus muss beachtet werden, dass die Datenerhebung, -verarbeitung oder -nutzung zur Aufdeckung der Straftat verhältnismäßig sein muss. Mit anderen Worten muss die Maßnahme geeignet und zur Aufdeckung der jeweiligen Straftat auch erforderlich sein und es dürfen keine Anhaltspunkte dafür bestehen, dass schutzwürdige Interessen des betroffenen Arbeitnehmers überwiegen.
 

Soweit der verdächtigte Arbeitnehmer die Straftat bestreitet und sich nicht feststellen lässt, ob sie tatsächlich vom Arbeitnehmer begangen wurde, sind die während der Untersuchung gewonnen personenbezogenen Daten des Arbeitnehmers zu sperren. Sollte sich herausstellen, dass die gewonnenen Daten unrichtig sind, sind sie zu berichtigen. Sobald die Daten nach Abschluss der Untersuchung nicht mehr erforderlich sind, sind sie innerhalb von 2 Monaten zu löschen. Eine darüberhinausgehende Speicherung ist nur für die Dauer der Klärung erforderlicher weiterer Schritte wie Disziplinarverfahren oder Einleitung von Strafverfahren zulässig.