I. Einleitung

Am 25. Mai 2018 tritt die Datenschutzgrundverordnung (EU) 2016/679 (DS-GVO) in allen Mitgliedsstaaten der Europäischen Union in Kraft. Ziel dieser Verordnung ist ein gleichmäßiges Datenschutzniveau innerhalb der Europäischen Union. In der Verordnung sind einige Öffnungsklauseln (Art. 88) und Regelungsaufträge für nationale Gesetzgeber vorgesehen. Der deutsche Gesetzgeber beabsichtigt nun noch gegen Ende der laufenden Legislaturperiode das deutsche Datenschutzrecht vollständig unter Berücksichtigung der Vorgaben der DS-GVO zu überarbeiten. Dies soll mit dem Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 geschehen, dem sog. Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU, geschehen, das vom Bundeskabinett am 1. Februar 2017 verabschiedet wurde.

II. Vorherige rechtliche Situation

Der § 32 BDSG war bisher die zentrale Norm im Beschäftigtendatenschutz. Nach dieser ist eine Verarbeitung der personenbezogenen Daten eines Beschäftigten nur dann rechtmäßig, wenn dies für Zwecke des Beschäftigungsverhältnisses geschieht und auch erforderlich ist. § 32 BDSG ist eine Erlaubnisnorm, nach der man unter bestimmten Voraussetzungen die Daten eines Beschäftigten verarbeiten darf. Demnach erfordert die Verarbeitung unter den dort genannten Voraussetzungen keiner Einwilligung des Beschäftigten. Für die Erhebung besonders sensibler Daten sind besondere Voraussetzungen zu beachten. An dieser Grundstruktur ändert auch § 26 BDSG-E nichts.

III. Neuerungen

1. Begriff des Beschäftigten

Der Begriff des Beschäftigten wurde in dem Anpassungsgesetz erweitert. Nach § 26 Abs. 8 BDSG-E erfasst er u.a. Arbeitnehmer, Leiharbeitnehmern und Auszubildenden sowie Heimarbeiter, Beamte, Richter, Soldaten. Er entspricht § 3 Absatz 11 BDSG a.F.

2. Einwilligung

Für die Personalpraxis von besonderer Bedeutung ist die nun in § 26 Absatz 2 BDSG-E vorgesehene Einwilligung, die die Zulässigkeit der Datenverarbeitung des Beschäftigten begründet. Für die Beurteilung der Freiwilligkeit sind die im Beschäftigungsverhältnis bestehende Abhängigkeit des Beschäftigten sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere dann vorliegen, wenn für den Beschäftigten ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder der Arbeitgeber und der Beschäftigte gleichgelagerte Interessen verfolgen. Die Einwilligung bedarf grundsätzlich der Schriftform. Darüber hinaus hat der Arbeitgeber den Beschäftigten über den Zweck der Datenverarbeitung sowie über sein Widerrufsrecht aufzuklären. Damit bestätigt der Entwurf nun, dass mit einer Einwilligung zur Verarbeitung von personenbezogenen Daten im Arbeitsverhältnis – anders als vielfach angenommen – die Datenverarbeitung erlaubt. Ob die Abgrenzungskriterien zur Freiwilligkeit praxistauglich sein werden, bleibt abzuwarten. In der Gesetzesbegründung wird angedeutet, dass die Unterzeichnung einer Einwilligungserklärung nach Abschluss des Arbeitsvertrages freiwillig sein soll.

3. Erforderlichkeit

Die Erforderlichkeit wurde im Anpassungsgesetz nicht genauer definiert. Jedoch ist der Gesetzesbegründung eine Klarstellung zu entnehmen. Im Rahmen der Erforderlichkeitsprüfung seien demnach die Interessen des Arbeitgebers an der Datenverarbeitung und des Persönlichkeitsrechts des Beschäftigten zu einem schonenden Ausgleich zu bringen, der beide Interessen möglichst weitgehend berücksichtigt. Es findet also eine Bestimmung der Erforderlichkeit mit einer am Verhältnismäßigkeitsgrundsatz orientierten Interessenabwägung statt. Die Datenverarbeitung eines Beschäftigten ist dann erforderlich, wenn sie für Zwecke des Beschäftigungsverhältnisses geeignet ist. Zudem muss es das Mildeste aus möglichen gleich effektiven Mitteln darstellen. Des Weiteren darf das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegen. Hier bleibt es bei den bisher geltenden Grundsätzen.

4. Anforderungen an Betriebsvereinbarungen

§ 26 Abs. 1 S. 1 sowie Absatz 4 BDSG-E bestätigt die herrschende Meinung, dass die Datenverarbeitung dann zulässig ist, wenn dies zur Erfüllung der sich aus einer Kollektivvereinbarung (Tarifvertrag, Betriebs- oder Dienstvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. § 26 Abs. 4 BDSG-E bestimmt, dass die Parteien bei einer Kollektivvereinbarung zwingend die Vorgaben von Art. 88 Abs. 2 DS-GVO beachten müssen. Betriebsvereinbarungen müssen folglich angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen, der Grundrechte der betroffenen Personen sowie entsprechende Regelungen hinsichtlich der Transparenz der Verarbeitung enthalten. Insbesondere im Hinblick auf Überwachungssysteme sind entsprechende Schutzmaßnahmen für Betriebsvereinbarungen zu beachten. Diese gesetzliche Klarstellung ist zu begrüßen. Arbeitgeber erhalten damit die Sicherheit, dass sie durch Betriebsvereinbarung die Datenverarbeitung rechtssicher gestalten können. Mitbestimmungsrechte von Betriebsräten werden damit gestärkt.

5. Besonders sensible Daten

§ 26 Abs. 3 BDSG-E regelt die Verarbeitung besonders sensibler Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses, wie beispielsweise politischer Meinungen oder Gesundheitsdaten. Hierfür gilt eine eingeschränkte Berechtigung zur Verarbeitung.

Die Verarbeitung solcher Daten für Zwecke des Beschäftigungsverhältnisses ist nach § 26 Abs. 3 S. 1 BDSG-E nur zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit bzw. des Sozialschutzes erforderlich ist. Darüber hinaus darf kein Grund zu der Annahme bestehen, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt.

6. Datenschutzgrundsätze

In § 26 Abs. 5 BDSG-E ist geregelt, dass die für die Verarbeitung personenbezogener Daten verantwortliche Stelle sicherstellen muss, die in Art. 5 DS-GVO festgelegten Datenschutzprinzipien zu beachten und umzusetzen. Dies betrifft die Grundsätze der Rechtmäßigkeit, der Verarbeitung nach Treu und Glauben, der Transparenz, der Zweckbindung, der Datenminimierung, der Richtigkeit, der Speicherbegrenzung, der Integrität und der Vertraulichkeit personenbezogener Daten sowie die in Art. 5 Abs. 2 DS-GVO normierte Rechenschaftspflicht. Diese Pflicht gilt gleichsam für Arbeitgeber wie auch für Betriebsräte.

IV. Praxishinweise

Im Ergebnis ändert sich das Beschäftigtendatenschutzrecht mit dem neuen § 26 BDSG-E nicht grundlegend. Der Entwurf wird sicherlich in einer Reihe von Punkten Kritik erfahren und zu neuen Zweifelsfragen führen. Für die Personalpraxis erscheinen mir zwei Punkte von besonderer Bedeutung:

1. Die individuelle Einwilligung zur Datenverarbeitung im Arbeitsverhältnis erlaubt die Datenverarbeitung. Dies gibt auch nicht verfassten Betrieben Rechtssicherheit. Die bestehenden Einwilligungsmuster im Unternehmen sind jedoch zwingend an die neuen gesetzlichen Vorgaben anzupassen. Hier besteht Handlungsbedarf.

2. Bestehende Betriebsvereinbarung über den Datenschutz sind an die neunen Vorgaben des § 26 BDSG-E sowie die DS-GVO anzupassen. Hier besteht umfassender Anpassungsbedarf bedingt u.a. auch durch die neuen Transparenzvorgaben im Datenschutzrecht. Auch hier besteht sowohl für Arbeitgeber als auch für Betriebsräte Handlungsbedarf. Nur BDSG-E konforme Kollektivvereinbarungen bilden einen rechtmäßigen Erlaubnistatbestand für die Datenverarbeitung im Beschäftigungsverhältnis. Neue Kollektivvereinbarungen sind ohnehin unter Berücksichtigung der neuen Vorgaben zu gestalten.