Die kleine Reihe: Rechtsgrundlagen Teil 4 Datenverarbeitung im Beschäftigtenverhältnis
In Teil 4 unserer kleinen Reihe Rechtsgrundlagen widmen wir uns dem § 26 Bundesdatenschutzgesetz (BDSG), der die Datenverarbeitung im Beschäftigungsverhältnis regelt. Wir schauen kurz auf den Ursprung der Norm und erläutern dann die wichtigsten Eckpunkte der Regelung.
Rechtsgrundlagen außerhalb der DSGVO
Andere Gesetze neben der DSGVO spielen im Bereich der Rechtmäßigkeit nicht nur für die Fälle von konkreten gesetzlichen Verpflichtungen (Art. 6 Abs. 1 lit. c) DSGVO) eine Rolle (s. dazu Teil 3 der kleinen Reihe Rechtsgrundlagen), sondern auch für die Fälle des Beschäftigtendatenschutzes. Hintergrund ist der Art. 88 DSGVO, der eine sogenannte Öffnungsklausel darstellt. Das bedeutet, dass die DSGVO in den Fällen des Beschäftigtendatenschutzes keine konkreten Regelungen trifft, sondern den nationalen Gesetzgebern der Mitgliedsstaaten die Möglichkeit einräumt, die Datenverarbeitung im Beschäftigungskontext eigenständig zu regeln. Dies hat der deutsche Gesetzgeber in § 26 des Bundesdatenschutzgesetzes (BDSG) getan.
Aufbau der Norm
Im § 26 BDSG verstecken sich mehrere Rechtsgrundlagen, die angewendet werden können. Absatz 1 regelt, dass personenbezogene Daten Beschäftigter immer dann verarbeitet werden dürfen, wenn die Verarbeitung zur Begründung, Durchführung oder Beendigung des Beschäftigtenverhältnisses erforderlich ist. Absatz 2 regelt die Bedingungen für eine Einwilligung im Beschäftigtenverhältnis, Absatz 3 die Regelungen bei der Verarbeitung besonderer Kategorien personenbezogener Daten.
Erforderlichkeit – § 26 Abs. 1 BDSG
Sind personenbezogene Daten für die Begründung, Durchführung und Beendigung eines Beschäftigtenverhältnisses erforderlich, so dürfen sie verarbeitet werden. Knackpunkt dieser Norm ist die Auslegung des Begriffs der Erforderlichkeit. Zu fragen ist in diesem Sinne immer: Kann das Beschäftigtenverhältnis auch ohne die Daten begründet, durchgeführt oder beendet werden oder ist dies ohne die Verarbeitung der personenbezogenen Daten nicht möglich? Werden die Daten nicht zwingend benötigt, findet der § 26 Abs. 1 BDSG streng genommen keine Anwendung. Legt man den § 26 Abs. 1 BDSG als Rechtsgrundlage zu Grunde, so sollte die angenommene Erforderlichkeit auch immer dokumentiert werden.
Typische Anwendungsfälle: Prozesse wie das Bewerbungsverfahren (Personalbogen), die Personalakte, die Lohn- und Gehaltsabrechnung, die Verwaltung von Urlauben und Abwesenheiten u.v.m.
Das Problem mit der Freiwilligkeit – § 26 Abs. 2 BDSG
Auch im Beschäftigtenverhältnis kann eine Einwilligung als Rechtsgrundlage angewendet werden. Zu beachten ist dabei allerdings, dass § 26 Abs. 2 BDSG höhere Anforderungen an die Freiwilligkeit der Einwilligung stellt. Der Hintergrund ist das dem Beschäftigungsverhältnis immanente Machtungleichgewicht zwischen Arbeitgeber und Beschäftigten, das sich auf die Freiwilligkeit einer Einwilligung auswirkt. Eine Einwilligung kommt im Beschäftigungsverhältnis daher nur dann in Frage, wenn die Datenverarbeitung für den Beschäftigten zu rechtlichen oder wirtschaftlichen Vorteilen führt oder die beschäftigte Person mit dem Arbeitgeber gleichgelagerte Interessen verfolgt. Datenverarbeitungsprozesse, die im Endeffekt zu Nachteilen für den Beschäftigten führen, werden daher in aller Regel nicht auf Basis einer Einwilligung zu rechtfertigen sein. Zu bedenken ist weiterhin, wie auch bei einer „normalen“ Einwilligung gem. Art 6 Abs. 1 lit. a) DSGVO das jederzeitige Widerrufsrecht der betroffenen Person.
Typische Anwendungsfälle: Anfertigen und Nutzen von Fotos, Geburtstagsliste, Gratifikationen u.a.
Besondere Kategorien personenbezogener Daten – § 26 Abs. 3 BDSG
Besondere Kategorien personenbezogener Daten dürfen im Beschäftigtenverhältnis immer dann verarbeitet werden, wenn die Datenverarbeitung zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist. Auch an dieser Stelle findet sich also der Begriff der „Erforderlichkeit“ wieder – hier sei auf das oben bereits Gesagte verwiesen. Zusätzlich fordert der § 26 Abs. 3 BDSG allerdings noch eine Art Interessenabwägung, denn die (erforderliche) Datenverarbeitung darf nur stattfinden, wenn kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. In der Praxis ist die Anwendung dieser Norm daher eher selten.
Fazit
Der § 26 BDSG ist eine der wichtigsten Rechtsgrundlagen im deutschen Datenschutzrecht. Werden personenbezogene Daten von Beschäftigten verarbeitet, so gehen die Regelungen des § 26 BDSG denen des Art. 6 DSGVO vor. Umstritten ist allerdings, ob ein Rückgriff auf die Normen des Art. 6 DSGVO möglich ist – beispielsweise, wenn die Rechtsgrundlagen des § 26 BDSG nicht einschlägig sind, aber eine Rechtsgrundlage aus Art. 6 oder 9 DSGVO Abhilfe schaffen könnte. Interessant wird diese Fragestellung immer dann für den Verantwortlichen, wenn die Verarbeitung auf ein berechtigtes Interesse gestützt werden soll. Zu klären ist dies im Einzelfall letztendlich durch die zuständigen Fachgerichte.
Aufgrund der Komplexität der Thematik wird zur besseren Verständlichkeit in dieser „Kleinen Reihe“ nicht gegendert. Sämtliche Geschlechter sind mit gemeint.
