Vertrauen ist gut, Kontrolle ist besser: Beschäftigtendatenschutz und Compliance

veröffentlicht am 22. November 2018

Aufgrund der heute verfügbaren Technik überwachen immer mehr Arbeitgeber ihre Arbeitnehmer, indem sie Kameras am Arbeitsplatz verstecken oder heimlich Software auf den Dienstcomputer aufspielen. Führt der Arbeitgeber solche Maßnahmen durch, muss er sich selbst compliance-konform verhalten.

Das gilt v.a. aufgrund der seit dem 25. Mai 2018 in ganz Europa geltenden EU-Datenschutzgrundver­ordnung (DSGVO) und deren verschärften Sanktionen. Da die DSGVO – wie der Name schon sagt – als Verordnung ausgestaltet ist, müssen Gerichte und Behörden sie vorrangig gegenüber nationalen Rege­lungen anwenden, obwohl in Deutschland gleichzeitig mit der DSGVO auch das neue Bundesdaten­schutzgesetz (BDSG) in Kraft getreten ist. Dieser Anwendungsvorrang hat erhebliche Aus­wirkungen auf die Compliance-Praxis in Unternehmen, auch wenn bspw. der deutsche Gesetzgeber von der Öffnungsklausel des Art. 88 DSGVO Gebrauch gemacht und mit § 26 BDSG eigene Regelungen für den Beschäftigtendaten­schutz aufgestellt hat. Weitere EU Mitgliedstaaten haben diese Möglichkeit ebenfalls genutzt und eigene nationale Sonderregelungen zum Beschäftigtendatenschutz erlassen.

Rückgriff auf nationale und europäische Rechtsprechung

Nach § 26 BDSG ist in Deutschland nach wie vor die Verarbeitung von Beschäftigtendaten dann zulässig, wenn das für die Verwirklichung der Zwecke des Beschäftigungsverhältnisses oder zur Aufdeckung von Straftaten im Beschäftigungsverhältnis erforderlich ist. Da § 26 BDSG aber eine Reihe von unbestimmten Rechtsbegriffen enthält, muss zur Konkretisierung jetzt neben der nationalen Rechtsprechung auch auf die europäische zurückgegriffen werden. Ferner wird es wegen der unmittelbaren Anwendung der DSGVO künftig in stärkerem Maße auf die Rechtsprechung des EuGH ankommen. Die mit der Arbeitnehmerüber­wachung regelmäßig verbundene Datenverarbeitung muss daher seit dem 25. Mai 2018 sowohl nach deutschem als auch nach europäischem Recht zulässig sein.

Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (EGMR)

Da eine Arbeitnehmerüberwachung regelmäßig Hand in Hand mit einem Eingriff in das Persönlichkeitsrecht des Arbeitnehmers einhergeht, müssen bei Compliance-Kontrollen auch die vom EGMR aufgestellten Maßstäbe berücksichtigt werden. Gemäß des Urteils vom 5. September 2017, in dem es um einen rumänischen Vertriebsingenieur ging und dem wegen privater Chats über einen Messenger-Dienst gekün­digt worden war, muss eine Arbeitnehmerüberwachung immer verhältnismäßig sein und geeigneten Verfahrens­garantien – wie z.B. der Transparenz der Maßnahme – unterliegen. D.h. mit anderen Worten, dass der Arbeitgeber vor der Arbeitnehmerüberwachung klare und verständliche Hinweise auf die Möglichkeit einer Überwachung erteilen und die Arbeitnehmer angemessen über die Art und den Umfang der Maßnahme informieren muss. Ferner ist es zwingend erforderlich, dass auf Seiten des Arbeitgebers legitime Gründe für die Arbeitnehmerüberwachung vorliegen. Besteht für den Arbeitgeber die Möglichkeit, den Zweck der Überwachung durch eine mildere Maßnahme zu erreichen, ist die Überwachungsmaßnahme unzulässig. Weiterhin muss der Arbeitgeber die Folgen einer Überwachungsmaßnahme für den konkreten Arbeitnehmer für jeden Einzelfall gesondert beurteilen und eine Abwägung mit dem Zweck der Maßnahme vornehmen. Zwar entsprechen die vorbenannten Grundsätze weitgehend den Anforderungen deutscher Arbeitsgerichte an eine rechtmäßige Über­wachungs­maßnahme, dennoch sind deutsche Arbeitgeber gehalten, sich genau an die Vorgaben aus diesem Urteil zu halten. Ansonsten droht die Gefahr, dass eine Überwachung unzulässig ist, da sie den Arbeitnehmer in seinem Recht auf Achtung seines Privatlebens verletzt.

Fazit für Arbeitgeber

Damit Unternehmen bei der Arbeitnehmerüberwachung nicht mit Beweisverwertungsverboten, Bußgeldern oder Schadenersatzansprüchen rechnen müssen, ist es spätestens seit Geltung der DSGVO in Europa unerlässlich, neben der aktuellen nationalen Rechtsprechung auch die europäische Rechtsprechung zum Beschäftigten­daten­schutz zu beobachten und zu kennen. In Bezug auf Compliance-Kontrollen ist es dringend anzuraten, dass Arbeitgeber bereits im Vorfeld Maßnahmen durch umfassende Datenschutz­hinweise ergreifen.