Da­ten­schutz im Ar­beits­recht

• War­um ist der Da­ten­schutz im Ar­beits­verhält­nis wich­tig?
• Wo sind Rech­te von Ar­beit­neh­mern und Pflich­ten für Ar­beit­ge­ber in Be­zug auf den Da­ten­schutz ge­re­gelt?
• War­um müssen Ar­beit­ge­ber die DS-GVO be­ach­ten?
• Gilt die DS-GVO auch für Klein­be­trie­be?
• Wer ist im Ar­beits­recht durch die DS-GVO und das BDSG geschützt?
• Was sind per­so­nen­be­zo­ge­ne Da­ten des Ar­beit­neh­mers?
• Wann be­treibt der Ar­beit­ge­ber „Da­ten­ver­ar­bei­tung“ im Sin­ne der DS-GVO?
• Was heißt Da­ten­ver­ar­bei­tung im Ar­beits­recht gemäß § 26 BDSG?
• Wel­che Grundsätze müssen Ar­beit­ge­ber bei der Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Ar­beit­neh­mer­da­ten be­ach­ten?
• Auf wel­che Vor­schrif­ten können Ar­beit­ge­ber die Rechtmäßig­keit der Da­ten­ver­ar­bei­tung stützen?
• War­um soll­ten Ar­beit­ge­ber die Rechtmäßig­keit der Da­ten­ver­ar­bei­tung bes­ser nicht von ei­ner Ein­wil­li­gung des Ar­beit­neh­mers abhängig ma­chen?
• Was heißt trans­pa­ren­te Da­ten­ver­ar­bei­tung nach Treu und Glau­ben im Ar­beits­verhält­nis?
• Wann ver­s­toßen Ar­beit­ge­ber ge­gen die Zweck­bin­dung der Da­ten­ver­ar­bei­tung?
• Wel­che Ar­beit­neh­mer­da­ten soll­ten nach dem Grund­satz der „Da­ten­mi­ni­mie­rung“ ver­nich­tet oder gar nicht erst er­ho­ben wer­den?
• Was folgt aus dem Grund­satz der „Rich­tig­keit der Da­ten­ver­ar­bei­tung“ im Ar­beits­recht?
• Wann sind Be­wer­ber- und Ar­beit­neh­mer­da­ten nach dem Grund­satz der Spei­cher­be­gren­zung zu ver­nich­ten?
• Was soll­ten Ar­beit­ge­ber tun, um die „In­te­grität und Ver­trau­lich­keit“ der Da­ten­ver­ar­bei­tung zu gewähr­leis­ten?
• Was folgt aus der Re­chen­schafts­pflicht des Ar­beit­ge­bers über die Ver­ar­bei­tung von Ar­beit­neh­mer­da­ten?
• Wo fin­den Sie mehr zum The­ma Da­ten­schutz im Ar­beits­recht?
• Was kön­nen wir für Sie tun?

War­um ist der Da­ten­schutz im Ar­beits­verhält­nis wich­tig?

Ar­beit­ge­ber müssen bei der Be­gründung ei­nes Ar­beits­verhält­nis­ses und bei sei­ner Durchführung per­so­nen­be­zo­ge­ne Da­ten des Ar­beit­neh­mers spei­chern und ver­ar­bei­ten. An­dern­falls könn­ten sie we­der ei­ne Per­so­nal­ak­te führen noch mo­nat­li­che Lohn- bzw. Ge­halts­ab­rech­nun­gen vor­neh­men.

Da­mit ist die Ge­fahr ver­bun­den, dass Ar­beit­ge­ber es mit der Da­ten­sam­me­lei über­trei­ben und ein­zel­ne Ar­beit­neh­mer oder gan­zer Be­leg­schaf­ten re­gel­recht durch­leuch­ten. Das Er­geb­nis wären „gläser­ne Ar­beit­neh­mer“ bzw. „gläser­ne Be­leg­schaf­ten“.

Der Da­ten­schutz im Ar­beits­verhält­nis soll Ar­beit­neh­mer und Be­leg­schaf­ten vor ei­ner un­verhält­nismäßigen Da­ten­sam­mel­wut des Ar­beit­ge­bers be­wah­ren. Außer­dem sol­len Ar­beit­neh­mer wis­sen, wel­che Da­ten der Ar­beit­ge­ber ver­ar­bei­tet und war­um.

Wo sind Rech­te von Ar­beit­neh­mern und Pflich­ten für Ar­beit­ge­ber in Be­zug auf den Da­ten­schutz ge­re­gelt?

Die wich­tigs­ten Da­ten­schutz­rech­te für Ar­beit­neh­mer und Da­ten­schutz­pflich­ten für Ar­beit­ge­ber sind in der Da­ten­schutz-Grund­ver­ord­nung (DS-GVO) fest­ge­schrie­ben.

Die DS-GVO ist seit dem 25.05.2018 in al­len Ländern der Eu­ropäischen Uni­on (EU) in­halts­gleich in Kraft. An­ders als EU-Richt­li­ni­en, die in den Mit­glieds­staa­ten nur zu be­ach­ten sind, wenn sie durch na­tio­na­le Rechts­vor­schrif­ten um­ge­setzt wer­den, gel­ten EU-Rechts­ver­ord­nun­gen wie die DS-GVO oh­ne ei­nen sol­chen Um­set­zungs­akt, d.h. un­mit­tel­bar.

Ne­ben der DS-GVO gilt in Deutsch­land das Bun­des­da­ten­schutz­ge­setz (BDSG), das ei­ne spe­zi­el­le Vor­schrift zum Ar­beits- bzw. Beschäfti­gungs­verhält­nis enthält, nämlich § 26 BDSG. Dort fin­det sich z.B. der all­ge­mei­ne Grund­satz (§ 26 Abs.1 Satz 1 BDSG), dass per­so­nen­be­zo­ge­ne Da­ten der Beschäftig­ten vom Ar­beit­ge­ber nur ver­ar­bei­tet wer­den dürfen, 

• wenn die Da­ten­ver­ar­bei­tung für die Ent­schei­dung über die Be­gründung ei­nes Beschäfti­gungs­verhält­nis­ses not­wen­dig ist, und/oder
• wenn die Da­ten­ver­ar­bei­tung nach Be­gründung des Beschäfti­gungs­verhält­nis­ses für sei­ne Durchführung (z.B. für Lohn­ab­rech­nun­gen) oder sei­ne Be­en­di­gung (z.B. für ei­ne Kündi­gung oder ei­nen Auf­he­bungs­ver­trag) er­for­der­lich ist, und/oder
• wenn die Da­ten­ver­ar­bei­tung nötig ist für die Ar­beit der In­ter­es­sen­ver­tre­tun­gen der Beschäftig­ten, die in ei­nem Ge­setz (z.B. dem Be­triebs­ver­fas­sungs­ge­setz - Be­trVG), in ei­nem Ta­rif­ver­trag, in ei­ner Be­triebs- oder in ei­ner Dienst­ver­ein­ba­rung ge­re­gelt sein kann.

Außer­halb der DS-GVO und des BDSG ent­hal­ten auch Art.2 Abs.1 Grund­ge­setz (GG) und Art.8 Eu­ropäische Grund­rech­te­char­ta (GRC) da­ten­schutz­recht­li­che Vor­schrif­ten, die im Ar­beits­verhält­nis zu be­ach­ten sind.

Art.2 Abs.1 GG, der die „freie Ent­fal­tung der Persönlich­keit“ schützt, be­inhal­tet nach der Recht­spre­chung auch ein Recht auf in­for­ma­tio­nel­le Selbst­be­stim­mung, dem zu­fol­ge je­de Per­son selbst über ih­re Da­ten und de­ren Ver­wen­dung be­stim­men kann. Außer­dem lei­tet die Recht­spre­chung aus Art.2 Abs.1 GG ein Grund­recht auf Ver­trau­lich­keit und In­te­grität in­for­ma­ti­ons­tech­ni­scher Sys­te­me her. Die­ses Grund­recht ver­langt, dass durch IT-Sys­te­me er­zeug­te bzw. ver­ar­bei­te­te per­so­nen­be­zo­ge­ne Da­ten ver­trau­lich blei­ben und ein heim­li­cher Zu­griff un­ter­bleibt.

Art.8 GRC schreibt darüber hin­aus Fol­gen­des vor:

„(1) Je­de Per­son hat das Recht auf Schutz der sie be­tref­fen­den per­so­nen­be­zo­ge­nen Da­ten.

(2) Die­se Da­ten dürfen nur nach Treu und Glau­ben für fest­ge­leg­te Zwe­cke und mit Ein­wil­li­gung der be­trof­fe­nen Per­son oder auf ei­ner sons­ti­gen ge­setz­lich ge­re­gel­ten le­gi­ti­men Grund­la­ge ver­ar­bei­tet wer­den. Je­de Per­son hat das Recht, Aus­kunft über die sie be­tref­fen­den er­ho­be­nen Da­ten zu er­hal­ten und die Be­rich­ti­gung der Da­ten zu er­wir­ken.

(3) Die Ein­hal­tung die­ser Vor­schrif­ten wird von ei­ner un­abhängi­gen Stel­le über­wacht.“

Art.8 GRC stimmt in­halt­lich mit ent­spre­chen­den Vor­schrif­ten des DS-GVO weit­ge­hend übe­rein, ins­be­son­de­re

• mit Art.5 Abs.1 Buch­sta­be a) und b) DS-GVO (trans­pa­ren­te Da­ten­ver­ar­bei­tung, „Treu und Glau­ben“, Zweck­bin­dung),
• mit Art.6 Abs.1 DS-GVO (Rechtmäßig­keit der Da­ten­ver­ar­bei­tung, Ein­wil­li­gung) und
• mit Art.15 DS-GVO (Aus­kunfts­recht).

Da­her ist die prak­ti­sche Be­deu­tung von Art.8 GRC ge­ring.

War­um müssen Ar­beit­ge­ber die DS-GVO be­ach­ten?

Ar­beit­ge­ber ent­schei­den, schon al­lein durch das Führen von Per­so­nal­ak­ten, über „die Zwe­cke und Mit­tel der Ver­ar­bei­tung von per­so­nen­be­zo­ge­nen Da­ten“ ih­rer Ar­beit­neh­mer. Da­her sind Ar­beit­ge­ber gemäß Art.4 Nr.7 DS-GVO „ver­ant­wort­li­che Stel­len“ im Sin­ne der DS-GVO. Dem­ent­spre­chend müssen sie die Vor­schrif­ten der DS-GVO zu­guns­ten der von ih­nen beschäftig­ten Ar­beit­neh­mer be­ach­ten.

Nicht an die DS-GVO ge­bun­den sind nur natürli­che Per­so­nen, wenn sie Da­ten „zur Ausübung aus­sch­ließlich persönli­cher oder fa­mi­liärer Tätig­kei­ten“ ver­ar­bei­ten (Art.2 Abs.2 Buch­sta­be c) DS-GVO).

Gilt die DS-GVO auch für Klein­be­trie­be?

Im Er­geb­nis ja. Es gibt zwar in Art.30 Abs.5 DS-GVO ei­ne Aus­nah­me­re­ge­lung für Un­ter­neh­men und Ein­rich­tun­gen mit we­ni­ger als 250 Mit­ar­bei­tern, doch ist die­se Re­ge­lung so ge­strickt, dass sie prak­tisch nie zur An­wen­dung ge­langt. Die­se Vor­schrift lau­tet:

"Die in den Absätzen 1 und 2 ge­nann­ten Pflich­ten gel­ten nicht für Un­ter­neh­men oder Ein­rich­tun­gen, die we­ni­ger als 250 Mit­ar­bei­ter beschäfti­gen, so­fern die von ih­nen vor­ge­nom­me­ne Ver­ar­bei­tung nicht ein Ri­si­ko für die Rech­te und Frei­hei­ten der be­trof­fe­nen Per­so­nen birgt, die Ver­ar­bei­tung nicht nur ge­le­gent­lich er­folgt oder nicht die Ver­ar­bei­tung be­son­de­rer Da­ten­ka­te­go­ri­en gemäß Ar­ti­kel 9 Ab­satz 1 bzw. die Ver­ar­bei­tung von per­so­nen­be­zo­ge­nen Da­ten über straf­recht­li­che Ver­ur­tei­lun­gen und Straf­ta­ten im Sin­ne des Ar­ti­kels 10 ein­sch­ließt."

Wie der Ver­weis auf die "in den Absätzen 1 und 2 ge­nann­ten Pflich­ten" zeigt, gilt die Aus­nah­me nicht für die ge­sam­te DS-GVO, son­dern nur für die Pflicht zum Führen ei­nes Ver­zeich­nis­ses von Da­ten­ver­ar­bei­tungstätig­kei­ten, denn nur die­se Pflicht ist in Art.30 Abs.1 und 2 DS-GVO ge­re­gelt. Al­le an­de­ren Ar­beit­ge­ber­pflich­ten und Ar­beit­neh­mer­rech­te, die sich aus der DS-GVO er­ge­ben, fal­len von vorn­her­ein nicht un­ter die­se Aus­nah­me­re­ge­lung.

Klei­ne und kleins­te Ar­beit­ge­ber sind aber noch nicht ein­mal von der Pflicht zum Führen ei­nes Ver­zeich­nis­ses von Da­ten­ver­ar­bei­tungstätig­kei­ten be­freit, denn die Aus­nah­me­re­ge­lung un­ter an­de­rem in fol­gen­dem Fall nicht:

Die Ver­ar­bei­tung von Ar­beit­neh­mer­da­ten er­folgt "nicht nur ge­le­gent­lich", d.h. sie wird mit ei­ner ge­wis­sen Re­gelmäßig­keit vor­ge­nom­men.

Das ist bei je­dem Ar­beit­ge­ber zwangsläufig der Fall, denn er muss je­den Mo­nat (= "nicht nur ge­le­gent­lich") ei­ne Lohn­ab­rech­nung so­wie so­zi­al­ver­si­che­rungs­recht­li­che Bei­trags­mel­dun­gen er­stel­len. Aus die­sem Grund müssen al­le Ar­beit­ge­ber, auch wenn sie nur ei­nen oder zwei Ar­beit­neh­mer beschäfti­gen, ein Ver­zeich­nis von Da­ten­ver­ar­bei­tungstätig­kei­ten an­fer­ti­gen.

Im Er­geb­nis heißt das: Art.30 Abs.5 DS-GVO sieht zwar ei­ne Aus­nah­me von der Pflicht zur Ver­zeich­nis­er­stel­lung zu­guns­ten von Un­ter­neh­men mit we­ni­ger als 250 Mit­ar­bei­tern vor, doch ist die­se "Aus­nah­me" so for­mu­liert, dass sie prak­tisch nie zur An­wen­dung kom­men kann. Denn die Aus­nah­me gilt be­reits dann nicht, wenn der Ar­beit­ge­ber nicht nur „ge­le­gent­lich“ per­so­nen­be­zo­ge­ne Da­ten sei­ner Mit­ar­bei­ter ver­ar­bei­tet. Ei­ne sol­che (= nicht nur ge­le­gent­li­che bzw. re­gelmäßige) Da­ten­ver­ar­bei­tung be­trei­ben aber not­ge­drun­gen al­le Ar­beit­ge­ber, al­lein schon auf­grund der recht­li­chen Pflicht zur mo­nat­li­chen Lohn­ab­rech­nung.

Wer ist im Ar­beits­recht durch die DS-GVO und das BDSG geschützt?

Die DS-GVO re­gelt die Ver­ar­bei­tung „per­so­nen­be­zo­ge­ne Da­ten“, und das sind gemäß Art.4 Nr.1 DS-GVO „al­le In­for­ma­tio­nen, die sich auf ei­ne iden­ti­fi­zier­te oder iden­ti­fi­zier­ba­re natürli­che Per­son (…) be­zie­hen“, die sog. „be­trof­fe­ne Per­son“. Und gemäß Art.4 Nr.7 DS-GVO sind Ar­beit­ge­ber „ver­ant­wort­li­che Stel­le“ im Sin­ne der DS-GVO, denn sie ent­schei­den „über die Zwe­cke und Mit­tel der Ver­ar­bei­tung von per­so­nen­be­zo­ge­nen Da­ten“ der im Be­trieb täti­gen Per­so­nen.

Dem­zu­fol­ge sind sämt­li­che zum Be­trieb gehöri­gen natürli­chen Per­so­nen, de­ren Da­ten der Be­triebs­in­ha­ber bzw. Ar­beit­ge­ber ver­ar­bei­tet, als „be­trof­fe­ne Per­so­nen“ durch die DS-GVO geschützt. Da­zu gehören

• Ar­beit­neh­mer,
• Aus­zu­bil­den­de,
• Be­wer­ber,
• freie Mit­ar­bei­ter,
• Prak­ti­kan­ten,
• Leih­ar­beit­neh­mer so­wie
• Mit­ar­bei­ter von Fremd­fir­men, die im Be­trieb un­ter der Re­gie der Fremd­fir­ma ar­bei­ten, falls der Be­triebs­in­ha­ber de­ren per­so­nen­be­zo­ge­ne Da­ten er­hebt.

Ähn­lich weit ist der persönli­che Schutz­be­reich des BDSG im Ar­beits­recht. Da­zu heißt es in § 26 Abs.8 BDSG:

„Beschäftig­te im Sin­ne die­ses Ge­set­zes sind:

1. Ar­beit­neh­me­rin­nen und Ar­beit­neh­mer, ein­sch­ließlich der Leih­ar­beit­neh­me­rin­nen und Leih­ar­beit­neh­mer im Verhält­nis zum Ent­lei­her,
2. zu ih­rer Be­rufs­bil­dung Beschäftig­te,
3. Teil­neh­me­rin­nen und Teil­neh­mer an Leis­tun­gen zur Teil­ha­be am Ar­beits­le­ben so­wie an Abklärun­gen der be­ruf­li­chen Eig­nung oder Ar­beits­er­pro­bung (Re­ha­bi­litan­din­nen und Re­ha­bi­litan­den),
4. in an­er­kann­ten Werkstätten für be­hin­der­te Men­schen Beschäftig­te,
5. Frei­wil­li­ge, die ei­nen Dienst nach dem Ju­gend­frei­wil­li­gen­dien­ste­ge­setz oder dem Bun­des­frei­wil­li­gen­dienst­ge­setz leis­ten,
6. Per­so­nen, die we­gen ih­rer wirt­schaft­li­chen Un­selbständig­keit als ar­beit­neh­merähn­li­che Per­so­nen an­zu­se­hen sind; zu die­sen gehören auch die in Heim­ar­beit Beschäftig­ten und die ih­nen Gleich­ge­stell­ten,
7. Be­am­tin­nen und Be­am­te des Bun­des, Rich­te­rin­nen und Rich­ter des Bun­des, Sol­da­tin­nen und Sol­da­ten so­wie Zi­vil­dienst­leis­ten­de.

Be­wer­be­rin­nen und Be­wer­ber für ein Beschäfti­gungs­verhält­nis so­wie Per­so­nen, de­ren Beschäfti­gungs­verhält­nis be­en­det ist, gel­ten als Beschäftig­te.“

Was sind per­so­nen­be­zo­ge­ne Da­ten des Ar­beit­neh­mers?

Gemäß Art.4 Nr.1 DS-GVO sind „per­so­nen­be­zo­ge­ne Da­ten“ al­le In­for­ma­tio­nen, die sich auf ei­ne iden­ti­fi­zier­te oder iden­ti­fi­zier­ba­re natürli­che Per­son be­zie­hen; die­se Per­son heißt „be­trof­fe­ne Per­son“.

Im Ar­beits­recht gehören da­zu al­le In­for­ma­tio­nen, die in der Per­so­nal­ak­te ei­nes Ar­beit­neh­mers ent­hal­ten sind. Das sind ins­be­son­de­re

• Be­wer­bungs­un­ter­la­gen,
• ar­beits­ver­trag­li­che Ver­ein­ba­run­gen (Ar­beits­ver­trag, Ziel­ver­ein­ba­run­gen, Pro­vi­si­ons­re­ge­lun­gen),
• Stamm­da­ten des Ar­beit­neh­mers (Na­me, An­schrift, Ge­burts­da­tum, Ge­schlecht, Kran­ken­kas­se, Lohn­steu­er­merk­ma­le),
• Krank­heits­ta­ge und sons­ti­gen Fehl­zei­ten, so­wie
• dienst­li­che Be­ur­tei­lun­gen (Be­ur­tei­lungsbögen, Ab­mah­nun­gen, Zeug­nis­se usw.).

Darüber hin­aus wer­den in vie­len Be­trie­ben auch per­so­nen­be­zo­ge­ne Da­ten von Ar­beit­neh­mern er­ho­ben und ge­spei­chert, die sich nicht oder nicht nur in der Per­so­nal­ak­te fin­den. Das sind z.B. durch EDV- oder Te­le­fon­an­la­gen er­ho­be­ne In­for­ma­tio­nen über An­we­sen­heits­zei­ten, Ar­beits­er­geb­nis­se, Ar­beits­un­ter­bre­chun­gen oder über Fahrt­we­ge von Außen­dienst­mit­ar­bei­tern.

Für die Er­he­bung, Spei­che­rung und Wei­ter­ver­wen­dung al­ler die­ser Da­ten braucht der Ar­beit­ge­ber ei­ne recht­li­che Er­laub­nis.

Wann be­treibt der Ar­beit­ge­ber „Da­ten­ver­ar­bei­tung“ im Sin­ne der DS-GVO?

Da­ten­schutz be­deu­tet im We­sent­li­chen, dass die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten an­de­rer Men­schen außer­halb der Pri­vat­sphäre ver­bo­ten ist (= Re­gel), es sei denn, es gibt für ei­ne sol­che Da­ten­ver­ar­bei­tung ei­ne ein­deu­ti­ge recht­li­che Er­laub­nis (= Aus­nah­me).

Das er­gibt sich aus Art.5 Abs.1 Buch­sta­be a) DS-GVO und Art.6 Abs1. DS-GVO, die vor­schrei­ben, dass für je­de Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten ei­ne Rechts­grund­la­ge er­for­der­lich ist. Und auch § 26 Abs.1 und Abs.2 BDSG schreibt vor, dass per­so­nen­be­zo­ge­ne Da­ten von Beschäftig­ten durch den Ar­beit­ge­ber nur ver­ar­bei­tet wer­den dürfen, wenn die dort ge­nann­ten ge­setz­li­chen Vor­aus­set­zun­gen vor­lie­gen.

Vor die­sem Hin­ter­grund (all­ge­mei­nes Ver­bot der Da­ten­ver­ar­bei­tung mit dem Aus­nah­me­vor­be­halt ei­ner recht­li­chen Er­laub­nis) könn­te man ver­mu­ten, dass nur be­son­ders „gefähr­li­che“ For­men der Ver­wen­dung und Auf­be­rei­tung von per­so­nen­be­zo­ge­nen Da­ten als „Da­ten­ver­ar­bei­tung“ un­ter die DS-GVO und/oder das BDSG fal­len, wie z.B. die au­to­ma­ti­sier­te Ge­sichts­er­ken­nung mit Hil­fe von aus­ge­fuchs­ten EDV-Pro­gram­men.

Das Ge­gen­teil steht im Ge­setz: Grundsätz­lich ver­bo­te­ne und da­her nur im Aus­nah­me­fall (bei Vor­lie­gen ei­ner recht­li­chen Er­laub­nis) er­laub­te Da­ten­ver­ar­bei­tung ist prak­tisch al­les, was mit per­so­nen­be­zo­ge­nen Da­ten ir­gend­wie zu tun hat.

Da­zu enthält Art.4 Nr.2 DS-GVO fol­gen­de De­fi­ni­ti­on: Der Aus­druck „Ver­ar­bei­tung“ (von Da­ten) im Sin­ne der DS-GVO be­zeich­net

„je­den mit oder oh­ne Hil­fe au­to­ma­ti­sier­ter Ver­fah­ren aus­geführ­ten Vor­gang oder je­de sol­che Vor­gangs­rei­he im Zu­sam­men­hang mit per­so­nen­be­zo­ge­nen Da­ten wie das Er­he­ben, das Er­fas­sen, die Or­ga­ni­sa­ti­on, das Ord­nen, die Spei­che­rung, die An­pas­sung oder Verände­rung, das Aus­le­sen, das Ab­fra­gen, die Ver­wen­dung, die Of­fen­le­gung durch Über­mitt­lung, Ver­brei­tung oder ei­ne an­de­re Form der Be­reit­stel­lung, den Ab­gleich oder die Ver­knüpfung, die Ein­schränkung, das Löschen oder die Ver­nich­tung“.

Ergänzend heißt es in Art.2 Abs1. DS-GVO:

„Die­se Ver­ord­nung gilt für die ganz oder teil­wei­se au­to­ma­ti­sier­te Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten so­wie für die nicht­au­to­ma­ti­sier­te Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten, die in ei­nem Da­tei­sys­tem ge­spei­chert sind oder ge­spei­chert wer­den sol­len.“

BEISPIEL: Ar­beit­ge­ber und Be­wer­ber sit­zen zu­sam­men im Vor­stel­lungs­gespräch. Der Be­wer­ber erzählt ein we­nig über sei­ne bis­he­ri­gen Ar­beits­verhält­nis­se, über sei­ne pri­va­te Le­bens­si­tua­ti­on und sei­ne Hob­bies. Der Ar­beit­ge­ber macht da­zu auf ei­nem Blatt Pa­pier stich­punkt­ar­tig hand­schrift­li­che No­ti­zen. Das Blatt mit den No­ti­zen hef­tet er nach dem Gespräch in ei­nen Leitz-Ord­ner mit der Auf­schrift „Ak­tu­el­le Be­wer­bun­gen“.

Hier „er­hebt“ der Ar­beit­ge­ber per­so­nen­be­zo­ge­ne Da­ten des Be­wer­bers, nämlich In­for­ma­tio­nen bzw. An­ga­ben zu sei­nem in­di­vi­du­el­len Be­rufs­weg, sei­nem Pri­vat­le­ben und sei­nen Frei­zeit­ak­ti­vitäten. Die­se Er­he­bung ge­schieht hand­schrift­lich, d.h. „oh­ne Hil­fe au­to­ma­ti­sier­ter Ver­fah­ren“, was nach der aus­drück­li­chen Klar­stel­lung in Art.4 Nr.2 DS-GVO un­ter den Be­griff der Da­ten­ver­ar­bei­tung fällt. Außer­dem „spei­chert“ der Ar­beit­ge­ber die von ihm (nicht au­to­ma­ti­siert) er­ho­be­nen Da­ten in ei­nem Da­tei­sys­tem. Auch ein gewöhn­li­cher Ak­ten­ord­ner wie hier der Leitz-Ord­ner ist nämlich ein „Da­tei­sys­tem“.

An­ders wäre es, wenn der Ar­beit­ge­ber kaum Be­wer­ber hätte und sei­nen No­tiz­zet­tel auf ei­nen großen un­sor­tier­ten Sta­pel von Wer­be­post le­gen würde, so dass er ihn nach ei­ni­gen Wo­chen nicht mehr fin­den könn­te. Dann wären sei­ne hand­schrift­li­chen No­ti­zen kei­ne „Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten“ im Sin­ne von Art.2 Abs.1 und Art.4 Nr.2 DS-GVO. Denn dann würde der Ar­beit­ge­ber kein „Da­tei­sys­tem“ (Art.2 Abs.1 DS-GVO) ver­wen­den, in dem er sei­ne No­ti­zen später wie­der­fin­den könn­te.

Was heißt Da­ten­ver­ar­bei­tung im Ar­beits­recht gemäß § 26 BDSG?

Das deut­sche Da­ten­schutz­recht geht an die­ser Stel­le, d.h. beim Be­griff der Da­ten­ver­ar­bei­tung im Ar­beits­recht, so­gar noch über Art.2 Abs.1 und Art.4 Nr.2 DS-GVO hin­aus. Denn gemäß § 26 Abs.7 BDSG liegt ei­ne „Ver­ar­bei­tung“ per­so­nen­be­zo­ge­ner Ar­beit­neh­mer­da­ten auch dann vor, wenn die­se Da­ten er­ho­ben wer­den, z.B. durch ei­ne Be­fra­gung, oh­ne dass sie über­haupt ge­spei­chert wer­den oder ge­spei­chert wer­den sol­len. § 26 Abs.7 BDSG lau­tet:

„Die Absätze 1 bis 6 sind auch an­zu­wen­den, wenn per­so­nen­be­zo­ge­ne Da­ten, ein­sch­ließlich be­son­de­rer Ka­te­go­ri­en per­so­nen­be­zo­ge­ner Da­ten, von Beschäftig­ten ver­ar­bei­tet wer­den, oh­ne dass sie in ei­nem Da­tei­sys­tem ge­spei­chert sind oder ge­spei­chert wer­den sol­len.“

BEISPIEL: Ar­beit­ge­ber und Be­wer­ber sit­zen zu­sam­men im Vor­stel­lungs­gespräch. Der Ar­beit­ge­ber fragt den Be­wer­ber nach sei­nen bis­he­ri­gen Ar­beits­verhält­nis­sen, nach sei­ner pri­va­ten Le­bens­si­tua­ti­on und nach sei­nen Hob­bies. Hand­schrift­li­che No­ti­zen zu den Ant­wor­ten macht sich der Ar­beit­ge­ber nicht.

Hier liegt in den Fra­gen des Ar­beit­ge­bers und den da­zu­gehöri­gen Ant­wor­ten des Be­wer­bers ei­ne Ver­ar­bei­tung (= Er­he­bung) von per­so­nen­be­zo­ge­nen Da­ten des Be­wer­bers, wo­bei es gemäß § 26 Abs.7 BDSG kei­ne Rol­le spielt, dass der Ar­beit­ge­ber die Ant­wor­ten nur in sei­nem Gedächt­nis „spei­chert“.

Da­mit stellt sich die Fra­ge, ob die­se Da­ten­ver­ar­bei­tung ge­recht­fer­tigt ist. Das ist bei den Fra­gen nach den bis­he­ri­gen Ar­beits­verhält­nis­sen der Fall, denn die­se In­for­ma­tio­nen braucht der Ar­beit­ge­ber „für die Ent­schei­dung über die Be­gründung ei­nes Beschäfti­gungs­verhält­nis­ses“ (§ 26 Abs.1 Satz 1 BDSG). Da­ge­gen sind die Fra­gen nach der pri­va­ten Le­bens­si­tua­ti­on und den Hob­bies des Be­wer­bers da­ten­schutz­recht­lich un­zulässig. Zulässig wäre es al­ler­dings, wenn der Be­wer­ber von sich aus An­ga­ben da­zu im Be­wer­bungs­gespräch ge­macht hätte.

Wel­che Grundsätze müssen Ar­beit­ge­ber bei der Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Ar­beit­neh­mer­da­ten be­ach­ten?

In Art.5 DS-GVO wer­den die wich­tigs­ten Grundsätze auf­ge­lis­tet, die Ar­beit­ge­ber bei der Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten von Ar­beit­neh­mern be­ach­ten müssen. Kon­kret sind das fol­gen­de Grundsätze:

1. Rechtmäßig­keit der Da­ten­ver­ar­bei­tung: Per­so­nen­be­zo­ge­ne Ar­beit­neh­mer­da­ten müssen auf rechtmäßige Wei­se er­ho­ben wer­den, d.h. der Ar­beit­ge­ber braucht ei­ne Rechts­grund­la­ge für die Er­he­bung, Spei­che­rung und Ver­wen­dung der Da­ten (Art.5 Abs.1 Buch­sta­be a) DS-GVO).
2. Trans­pa­renz der Da­ten­ver­ar­bei­tung, Be­ach­tung von Treu und Glau­ben: Per­so­nen­be­zo­ge­ne Ar­beit­neh­mer­da­ten müssen „nach Treu und Glau­ben“ (fair) und in ei­ner für den be­trof­fe­nen Ar­beit­neh­mer nach­voll­zieh­ba­ren Wei­se ver­ar­bei­tet wer­den, d.h. der Ar­beit­neh­mer muss wis­sen, wel­che Da­ten der Ar­beit­ge­ber er­hebt und war­um (Art.5 Abs.1 Buch­sta­be a) DS-GVO).
3. Zweck­bin­dung der Da­ten­ver­ar­bei­tung: Ar­beit­ge­ber dürfen per­so­nen­be­zo­ge­ne Ar­beit­neh­mer­da­ten nur für „fest­ge­leg­te, ein­deu­ti­ge und le­gi­ti­me Zwe­cke“ er­he­ben, und sie dürfen die­se Da­ten nicht wei­ter­ver­ar­bei­ten, wenn die Wei­ter­ver­ar­bei­tung mit die­sen Zwe­cken nicht zu ver­ein­ba­ren wäre (Art.5 Abs.1 Buch­sta­be b) DS-GVO).
4. Da­ten­mi­ni­mie­rung: Ar­beit­ge­ber dürfen per­so­nen­be­zo­ge­ne Ar­beit­neh­mer­da­ten nur er­he­ben, spei­chern und ver­wen­den, wenn die­se Da­ten­ver­ar­bei­tung im Rah­men des Ar­beits­verhält­nis­ses an­ge­mes­sen und auf das not­wen­di­ge Maß be­schränkt ist (Art.5 Abs.1 Buch­sta­be c) DS-GVO).
5. Rich­tig­keit der Da­ten­ver­ar­bei­tung: Ar­beit­ge­ber müssen dar­auf ach­ten, dass die von ih­nen ge­spei­cher­ten Ar­beit­neh­mer­da­ten sach­lich rich­tig und auf dem neu­es­ten Stand sind. Dafür müssen sich Ar­beit­ge­ber zwar kein Bein aus­reißen, aber „an­ge­mes­se­ne Maßnah­men“ er­grei­fen, um un­rich­ti­ge Da­ten zu be­rich­ti­ge oder zu löschen (Art.5 Abs.1 Buch­sta­be d) DS-GVO).
6. Spei­cher­be­gren­zung: Ar­beit­ge­ber dürfen per­so­nen­be­zo­ge­ne Ar­beit­neh­mer­da­ten nur so lan­ge spei­chern, wie das für die Zwe­cke der Da­ten­ver­ar­bei­tung er­for­der­lich ist. Da­nach müssen die Da­ten ent­we­der gelöscht oder so verändert wer­den, dass kein Be­zug mehr zu ei­nem be­stimm­ten Ar­beit­neh­mer her­ge­stellt wer­den kann (An­ony­mi­sie­rung, Pseud­ony­mi­sie­rung oder dgl.). Da­her muss je­der Ar­beit­ge­ber für sei­nen Be­trieb bzw. Un­ter­neh­men ein Löschkon­zept aus­ar­bei­ten, dem zu­fol­ge be­stimm­te Ar­beit­neh­mer­da­ten nach all­ge­mein fest­ge­leg­ten Fris­ten gelöscht oder an­ony­mi­siert / pseud­ony­mi­siert wer­den (Art.5 Abs.1 Buch­sta­be e) DS-GVO).
7. In­te­grität und Ver­trau­lich­keit: Ar­beit­ge­ber müssen die von ih­nen ge­spei­cher­ten Ar­beit­neh­mer­da­ten „durch ge­eig­ne­te tech­ni­sche und or­ga­ni­sa­to­ri­sche Maßnah­men“ da­vor schützen, dass sie un­be­ab­sich­tigt ver­lo­ren ge­hen oder beschädigt bzw. zerstört wer­den, und sie müssen die Da­ten ge­genüber ei­nem un­be­fug­ten Zu­griff ab­si­chern (Art.5 Abs.1 Buch­sta­be f) DS-GVO).
8. Re­chen­schafts­pflicht: Sch­ließlich müssen Ar­beit­ge­ber die o.g. Grundsätze nicht nur be­fol­gen, son­dern sie müssen da­zu in der La­ge sein, die Re­gel­be­fol­gung nach­zu­wei­sen (Art.5 Abs.2 DS-GVO).

Auf wel­che Vor­schrif­ten können Ar­beit­ge­ber die Rechtmäßig­keit der Da­ten­ver­ar­bei­tung stützen?

Wie oben erwähnt sind Ar­beit­ge­ber gemäß Art.5 Abs.1 Buch­sta­be a) DS-GVO da­zu ver­pflich­tet, Ar­beit­neh­mer­da­ten auf rechtmäßige Wei­se zu ver­ar­bei­ten. Wann ei­ne Da­ten­ver­ar­bei­tung rechtmäßig ist, re­gelt Art.6 DS-GVO. In Art.6 Abs.1 Satz 1 DS-GVO heißt es da­zu:

„Die Ver­ar­bei­tung ist nur rechtmäßig, wenn min­des­tens ei­ne der nach­ste­hen­den Be­din­gun­gen erfüllt ist:

a) Die be­trof­fe­ne Per­son hat ih­re Ein­wil­li­gung zu der Ver­ar­bei­tung der sie be­tref­fen­den per­so­nen­be­zo­ge­nen Da­ten für ei­nen oder meh­re­re be­stimm­te Zwe­cke ge­ge­ben;

b) die Ver­ar­bei­tung ist für die Erfüllung ei­nes Ver­trags, des­sen Ver­trags­par­tei die be­trof­fe­ne Per­son ist, oder zur Durchführung vor­ver­trag­li­cher Maßnah­men er­for­der­lich, die auf An­fra­ge der be­trof­fe­nen Per­son er­fol­gen;

c) die Ver­ar­bei­tung ist zur Erfüllung ei­ner recht­li­chen Ver­pflich­tung er­for­der­lich, der der Ver­ant­wort­li­che un­ter­liegt;
(…)

f) die Ver­ar­bei­tung ist zur Wah­rung der be­rech­tig­ten In­ter­es­sen des Ver­ant­wort­li­chen oder ei­nes Drit­ten er­for­der­lich, so­fern nicht die In­ter­es­sen oder Grund­rech­te und Grund­frei­hei­ten der be­trof­fe­nen Per­son, die den Schutz per­so­nen­be­zo­ge­ner Da­ten er­for­dern, über­wie­gen (…)“

Ergänzend da­zu hat Deutsch­land auf der Grund­la­ge von Art.88 DS-GVO ei­ne Re­ge­lung er­las­sen, die spe­zi­ell für Ar­beits­verhält­nis­se gilt, nämlich § 26 BDSG. § 26 Abs.1 Satz 1 BDSG lau­tet:

„Per­so­nen­be­zo­ge­ne Da­ten von Beschäftig­ten dürfen für Zwe­cke des Beschäfti­gungs­verhält­nis­ses ver­ar­bei­tet wer­den, wenn dies für die Ent­schei­dung über die Be­gründung ei­nes Beschäfti­gungs­verhält­nis­ses oder nach Be­gründung des Beschäfti­gungs­verhält­nis­ses für des­sen Durchführung oder Be­en­di­gung oder zur Ausübung oder Erfüllung der sich aus ei­nem Ge­setz oder ei­nem Ta­rif­ver­trag, ei­ner Be­triebs- oder Dienst­ver­ein­ba­rung (Kol­lek­tiv­ver­ein­ba­rung) er­ge­ben­den Rech­te und Pflich­ten der In­ter­es­sen­ver­tre­tung der Beschäftig­ten er­for­der­lich ist.“

Auf der Grund­la­ge die­ser ge­setz­li­chen Er­laub­nis­se sind ins­be­son­de­re fol­gen­de alltägli­che Da­ten­ver­ar­bei­tungs­vorgänge durch Ar­beit­ge­ber da­ten­schutz­recht­lich le­gal:

Per­so­nal­ak­ten: Das Führen von elek­tro­ni­schen Per­so­nal­ak­ten und/oder von Per­so­nal­ak­ten in Pa­pier­form ist ge­recht­fer­tigt auf der Grund­la­ge von Art.6 Abs.1 Satz 1 Buch­sta­be b) DS-GVO („Erfüllung ei­nes Ver­trags“) und auf der Grund­la­ge von § 26 Abs.1 Satz 1 BDSG („Durchführung ei­nes Beschäfti­gungs­verhält­nis­ses“).

In Per­so­nal­ak­ten darf der Ar­beit­ge­ber spei­chern

• die Stamm­da­ten des Ar­beit­neh­mers (Na­me, Vor­na­me, Ge­burts­da­tum, Ein­tritts­da­tum, Ge­schlecht, An­schrift, Te­le­fon­num­mer, E-Mail-Adres­se),
• Ar­beits­verträge und ergänzen­de ver­trag­li­che Ver­ein­ba­run­gen,
• Zeug­nis­se vor­he­ri­ger Ar­beit­ge­ber so­wie be­rufs­zu­gangs­re­le­van­te Qua­li­fi­ka­tio­nen (Ge­sel­len­brie­fe, Di­plo­me, Ex­amens­zeug­nis­se),
• lohn­steu­er­li­che Merk­ma­le (Un­ter­halts­pflich­ten, Re­li­gi­ons­zu­gehörig­keit),
• die Mit­glied­schaft in ei­ner ge­setz­li­chen Kran­ken­kas­se oder pri­va­ten Kran­ken­ver­si­che­rung,
• Ar­beits­an­wei­sun­gen und dienst­li­che Be­ur­tei­lun­gen (u.a. Aus­zeich­nun­gen, Er­mah­nun­gen, Ab­mah­nun­gen),
• lau­fen­de Lohn­ab­rech­nun­gen,
• vom Ar­beit­neh­mer er­brach­te Leis­tun­gen wie z.B. er­ziel­te Umsätze,
• so­zi­al­ver­si­che­rungs­recht­li­che Mel­dun­gen, Bei­trags­mel­dun­gen, lohn­steu­er­li­che und so­zi­al­ver­si­che­rungs­recht­li­che Jah­res­mel­dun­gen,
• Auf­zeich­nun­gen zu krank­heits­be­ding­ten und an­der­wei­ti­gen Fehl­zei­ten, zu Über­stun­den und zu Ur­laub­sa­gen,
• so­wie schließlich auch Un­ter­la­gen zur Be­en­di­gung des Ar­beits­verhält­nis­ses (Kündi­gungs­erklärun­gen, Auf­he­bungs­ver­ein­ba­run­gen, Ab­wick­lungs­ver­ein­ba­run­gen).

Be­wer­bungs­un­ter­la­gen: Das Auf­be­wah­ren bzw. Spei­chern von Be­wer­ber­da­ten und Be­wer­bungs­un­ter­la­gen ist ge­recht­fer­tigt auf der Grund­la­ge von Art.6 Abs.1 Satz 1 Buch­sta­be b) DS-GVO („Durchführung vor­ver­trag­li­cher Maßnah­men, die auf An­fra­ge der be­trof­fe­nen Per­son er­fol­gen“) und auf der Grund­la­ge von § 26 Abs.1 Satz 1 BDSG („Ent­schei­dung über die Be­gründung ei­nes Beschäfti­gungs­verhält­nis­ses“).

Lohn­ab­rech­nun­gen, SV-Mel­dun­gen, Lohn­steu­er­an­mel­dun­gen: Die Da­ten­ver­ar­bei­tungs­vorgänge

• für lau­fen­de und ein­ma­li­ge Ge­halts­ab­rech­nun­gen,
• für die Er­stel­lung und Ver­sen­dung so­zi­al­ver­si­che­rungs­recht­li­cher Mel­dun­gen (Be­ginn und En­de der Beschäfti­gung, Un­ter­bre­chungs­mel­dun­gen usw.),
• für die Be­rech­nung, Mel­dung und Abführung von So­zi­al­ver­si­che­rungs­beiträgen,
• so­wie für die Be­rech­nung, Mel­dung und Abführung der Lohn­steu­er

sind mehr­fach ge­setz­lich ge­recht­fer­tigt, nämlich zum ei­nen durch Art.6 Abs.1 Satz 1 Buch­sta­be b) DS-GVO („Erfüllung ei­nes Ver­trags“) bzw. auf der Grund­la­ge von § 26 Abs.1 Satz 1 BDSG („Durchführung ei­nes Beschäfti­gungs­verhält­nis­ses“) so­wie zum an­de­ren auf der Grund­la­ge von Art.6 Abs.1 Satz 1 Buch­sta­be c) DS-GVO („Erfüllung ei­ner recht­li­chen Ver­pflich­tung, der der Ver­ant­wort­li­che un­ter­liegt“).

Die recht­li­chen Ver­pflich­tun­gen des Ar­beit­ge­bers er­ge­ben sich da­bei aus den ge­setz­li­chen Vor­schrif­ten über die So­zi­al­ver­si­che­rungs­pflicht und über die so­zi­al­ver­si­che­rungs­recht­li­chen Mel­dun­gen, Bei­trags­mel­dun­gen und den Ein­be­halt und die Abführung von So­zi­al­beiträgen (ins­be­son­de­re Vier­tes Buch So­zi­al­ge­setz­buch - SGB IV) so­wie aus den steu­er­recht­li­chen Vor­schrif­ten über den Ein­be­halt und die Abführung von Lohn- und Kir­chen­steu­ern (ins­be­son­de­re Ein­kom­men­steu­er­ge­setz - EStG, Lohn­steu­er­durchführungs­ver­ord­nung - LSt­DV).

Wenn der Ar­beit­ge­ber bei der Lohn­ab­rech­nung die Ta­rif­verträge ver­schie­de­ner Ge­werk­schaf­ten ne­ben­ein­an­der an­wen­det und sich da­bei nach der Ge­werk­schafts­zu­gehörig­keit der Ar­beit­neh­mer rich­tet, darf er auch (nach Ab­schluss des Ar­beits­ver­trags) die Ge­werk­schafts­zu­gehörig­keit er­fra­gen und zur Per­so­nal­ak­te spei­chern.

War­um soll­ten Ar­beit­ge­ber die Rechtmäßig­keit der Da­ten­ver­ar­bei­tung bes­ser nicht von ei­ner Ein­wil­li­gung des Ar­beit­neh­mers abhängig ma­chen?

Die in Art.6 Abs.1 Satz 1 Buch­sta­be a) DS-GVO ge­nann­te Ein­wil­li­gung des Be­trof­fe­nen bzw. des Ar­beit­neh­mers zur Ver­ar­bei­tung sei­ner Da­ten hat im Ver­gleich zu den o.g. Recht­fer­ti­gungs­gründen (Not­wen­dig­keit zur Ver­trags­be­gründung oder Ver­trags­durchführung, recht­li­che Pflicht zur Da­ten­ver­ar­bei­tung) ei­ne ge­rin­ge prak­ti­sche Be­deu­tung. Denn auf die­sen Recht­fer­ti­gungs­grund soll­ten sich Ar­beit­ge­ber nur in Aus­nah­mefällen be­ru­fen, und zwar aus zwei Gründen:

Ers­tens be­fin­den sich Ar­beit­neh­mer, vor al­lem beim Ab­schluss des Ar­beits­ver­trags, ty­pi­scher­wei­se in ei­ner un­ter­le­ge­nen Po­si­ti­on. Da­her ist die Rechts­wirk­sam­keit von da­ten­schutz­recht­li­chen Ein­wil­li­gun­gen des Ar­beit­neh­mers im­mer zwei­fel­haft (vgl. da­zu Art.7 Abs.4 DS-GVO, § 26 Abs.2 BDSG).

Zwei­tens können Ar­beit­neh­mer ei­ne ein­mal er­teil­te Ein­wil­li­gun­gen gemäß Art.7 Abs.3 Satz 1 DS-GVO je­der­zeit wi­der­ru­fen. Ab dem Zeit­punkt des Wi­der­rufs sind Da­ten­ver­ar­bei­tun­gen, die (nur) auf ei­ne Ein­wil­li­gung des Ar­beit­neh­mers gestützt sind, nicht mehr zulässig. Ar­beit­ge­ber müssen sich aber dar­auf ver­las­sen können, dass ih­re Da­ten­ver­ar­bei­tungs­vorgänge, wenn sie DS-GVO-kon­form aus­ge­stal­tet sind, im lau­fen­den Ar­beits­verhält­nis dau­er­haft le­gal sind bzw. le­gal blei­ben.

Was heißt trans­pa­ren­te Da­ten­ver­ar­bei­tung nach Treu und Glau­ben im Ar­beits­verhält­nis?

Ar­beit­ge­ber müssen gemäß Art.5 Abs.1 Buch­sta­be a) DS-GVO nicht nur auf die Rechtmäßig­keit der Ver­ar­bei­tung von per­so­nen­be­zo­ge­nen Ar­beit­neh­mer­da­ten ach­ten. Viel­mehr müssen die­se Da­ten auch „nach Treu und Glau­ben“ und in ei­ner für den be­trof­fe­nen Ar­beit­neh­mer „nach­voll­zieh­ba­ren Wei­se“ (= trans­pa­rent) ver­ar­bei­tet wer­den.

Ge­gen das Ge­bot von Treu und Glau­ben würde der Ar­beit­ge­ber ver­s­toßen, wenn er In­for­ma­tio­nen über den Ar­beit­neh­mer oder ei­nen Be­wer­ber heim­lich, d.h. hin­ter sei­nem Rücken er­hebt. Da­zu ent­hielt die al­te Fas­sung des BDSG das Ge­bot, In­for­ma­tio­nen im All­ge­mei­nen di­rekt beim Be­trof­fe­nen zu er­he­ben (§ 4 Abs.2 Satz 1 BDSG 1990). Ob­wohl die­se Re­ge­lung nicht aus­drück­lich in die DS-GVO über­nom­men wur­de, ist sie Be­stand­teil des Ver­bots ei­ner treu­wid­ri­gen Da­ten­ver­ar­bei­tung.

BEISPIEL: Der Ar­beit­ge­ber hat den ge­ne­rel­len Ver­dacht, dass sei­ne Ver­triebs­mit­ar­bei­ter nicht im­mer fleißig bei der Ar­beit sind, son­dern zu­wei­len pri­vat im In­ter­net sur­fen oder pri­va­te Te­le­fo­na­te führen. Kon­kre­te Ver­dachts­mo­men­te für ein sol­ches Ver­hal­ten gibt es nicht. Der Ar­beit­ge­ber setzt oh­ne Wis­sen der Ver­triebs­mit­ar­bei­ter ei­ne Spähsoft­ware („PC Agent“) ein (über ei­nen sol­chen Fall hat­te das Bun­des­ar­beits­ge­richt (BAG) ein­mal zu ent­schei­den, vgl. BAG, Ur­teil vom 26.10.2017, 6 AZR 158/16, wir be­rich­te­ten in Ar­beits­recht ak­tu­ell: 17/274 Dreijähri­ge Kündi­gungs­frist ist un­wirk­sam).

In die­sem Fall verstößt die heim­li­che Ar­beit­neh­merüber­wa­chung ge­gen das Ge­bot, Da­ten nur un­ter Be­ach­tung des Prin­zips von Treu und Glau­ben zu er­he­ben. Zu­gleich ver­letzt der Ar­beit­ge­ber das Trans­pa­renz­ge­bot.

Das Trans­pa­renz­ge­bot (Art.5 Abs.1 Buch­sta­be a) DS-GVO in Verb. mit Art.12 DS-GVO ver­pflich­tet Ar­beit­ge­ber da­zu, Da­ten in ei­ner für den Ar­beit­neh­mer nach­voll­zieh­ba­ren Wei­se zu ver­ar­bei­ten. Das Trans­pa­renz­ge­bot wird ab­ge­si­chert durch kon­kre­te ge­setz­li­che In­for­ma­ti­ons­pflich­ten des Ar­beit­ge­bers und ent­spre­chen­de Aus­kunfts­rech­te des Ar­beit­neh­mers.

Über die Art und Wei­se der In­for­ma­ti­on heißt es in Art.12 Abs.1 DS-GVO:

„Der Ver­ant­wort­li­che trifft ge­eig­ne­te Maßnah­men, um der be­trof­fe­nen Per­son al­le In­for­ma­tio­nen gemäß den Ar­ti­keln 13 und 14 und al­le Mit­tei­lun­gen gemäß den Ar­ti­keln 15 bis 22 und Ar­ti­kel 34, die sich auf die Ver­ar­bei­tung be­zie­hen, in präzi­ser, trans­pa­ren­ter, verständ­li­cher und leicht zugäng­li­cher Form in ei­ner kla­ren und ein­fa­chen Spra­che zu über­mit­teln (…).“

Kon­kret muss Ar­beit­ge­ber 

• den Ar­beit­neh­mer von sich aus u.a. über die Zwe­cke, die Rechts­grund­la­ge(n), die Dau­er und ei­ne ggf. be­ste­hen­de recht­li­che Pflicht zur Da­ten­ver­ar­bei­tung in­for­mie­ren (Art.13 Abs.1 Buch­sta­be c), Abs.2 Buch­sta­be a) und e) DS-GVO),
• dem Ar­beit­neh­mer auf des­sen Ver­lan­gen um­fas­sen­de Auskünf­te er­tei­len, u.a. über die Ver­ar­bei­tungs­zwe­cke, die Ka­te­go­ri­en der ver­ar­bei­te­ten per­so­nen­be­zo­ge­ner Da­ten, die Da­ten­empfänger (z.B. Be­triebsstätten-Fi­nanz­amt, Kran­ken­kas­se), die ge­plan­te Dau­er der Da­ten­spei­che­rung und das Be­ste­hen ei­nes Da­ten­be­rich­ti­gungs- und Be­schwer­de­rechts (Art.15 Abs.1 Buch­sta­ben a) bis f) DS-GVO).

Wann ver­s­toßen Ar­beit­ge­ber ge­gen die Zweck­bin­dung der Da­ten­ver­ar­bei­tung?

Zweck­bin­dung der Da­ten­ver­ar­bei­tung heißt, dass Ar­beit­ge­ber per­so­nen­be­zo­ge­ne Da­ten der Ar­beit­neh­mer nur für „fest­ge­leg­te, ein­deu­ti­ge und le­gi­ti­me Zwe­cke“ er­he­ben dürfen, und sie dürfen die­se Da­ten nicht wei­ter­ver­ar­bei­ten, wenn die Wei­ter­ver­ar­bei­tung mit die­sen Zwe­cken nicht zu ver­ein­ba­ren wäre (Art.5 Abs.1 Buch­sta­be b) DS-GVO).

Die Zweck­bin­dung der Da­ten­ver­ar­bei­tung hängt eng mit ih­rer Rechtmäßig­keit zu­sam­men: Nur wenn man weiß, wo­zu Da­ten ver­ar­bei­tet wer­den, kann man prüfen, auf wel­cher Rechts­grund­la­ge ei­ne sol­che Da­ten­ver­ar­bei­tung recht­lich zulässig ist. Da­her könn­te man er­war­ten, dass die DS-GVO bei nachträgli­chen Zweckände­run­gen der Da­ten­ver­ar­bei­tung vom Ver­ant­wort­li­chen ver­langt, dass er sich ei­ne neue pas­sen­de Rechts­grund­la­ge sucht und im Zwei­fel den Be­trof­fe­nen um ei­ne Ein­wil­li­gung bit­tet.

In die­ser Fra­ge ist die DS-GVO aber aus­nahms­wei­se ver­wen­der­freund­lich und da­mit im Ar­beits­recht ar­beit­ge­ber­freund­lich, wie sich an § 6 Abs.4 DS-GVO zeigt. Nach die­ser Vor­schrift ist es nämlich nicht von vorn­her­ein aus­ge­schlos­sen, 

• dass die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Ar­beit­neh­mer­da­ten zu ei­nem an­de­ren Zweck er­folgt als zu dem Zweck, zu dem die Da­ten ursprüng­lich er­ho­ben wur­den, und
• dass we­der ei­ne Ein­wil­li­gung des Ar­beit­neh­mers noch ei­ne kla­re ge­setz­li­che Er­laub­nis da­zu vor­liegt.

Dann muss der Ar­beit­ge­ber al­ler­dings in ei­ner Art Prüfver­fah­ren fest­stel­len, ob die Da­ten­ver­ar­bei­tung zu dem an­de­ren (neu­en, geänder­ten) Zweck mit dem ursprüng­li­chen Zweck der Da­ten­er­he­bung ver­ein­bar ist. Bei die­ser Ver­ein­bar­keitsprüfung „berück­sich­tigt“ der Ar­beit­ge­ber gemäß § 6 Abs.4 DS-GVO

„a) je­de Ver­bin­dung zwi­schen den Zwe­cken, für die die per­so­nen­be­zo­ge­nen Da­ten er­ho­ben wur­den, und den Zwe­cken der be­ab­sich­tig­ten Wei­ter­ver­ar­bei­tung,

b) den Zu­sam­men­hang, in dem die per­so­nen­be­zo­ge­nen Da­ten er­ho­ben wur­den, ins­be­son­de­re hin­sicht­lich des Verhält­nis­ses zwi­schen den be­trof­fe­nen Per­so­nen und dem Ver­ant­wort­li­chen,

c) die Art der per­so­nen­be­zo­ge­nen Da­ten, ins­be­son­de­re ob be­son­de­re Ka­te­go­ri­en per­so­nen­be­zo­ge­ner Da­ten gemäß Ar­ti­kel 9 ver­ar­bei­tet wer­den oder ob per­so­nen­be­zo­ge­ne Da­ten über straf­recht­li­che Ver­ur­tei­lun­gen und Straf­ta­ten gemäß Ar­ti­kel 10 ver­ar­bei­tet wer­den,

d) die mögli­chen Fol­gen der be­ab­sich­tig­ten Wei­ter­ver­ar­bei­tung für die be­trof­fe­nen Per­so­nen,

e) das Vor­han­den­sein ge­eig­ne­ter Ga­ran­ti­en, wo­zu Ver­schlüsse­lung oder Pseud­ony­mi­sie­rung gehören kann.“

BEISPIEL: Der Ar­beit­ge­ber möch­te den Be­trieb gemäß § 613a Bürger­li­ches Ge­setz­buch (BGB) an ei­nen Kauf­in­ter­es­sen­ten veräußern. Die Fol­ge ei­nes sol­chen Be­triebsüber­gangs wäre, dass der Er­wer­ber in die Rech­te und Pflich­ten der be­ste­hen­den Ar­beits­verhält­nis­se als neu­er Ar­beit­ge­ber ein­tritt (§ 613a Abs.1 Satz 1 BGB). Da­her möch­te der Kauf­in­ter­es­sent ge­nau wis­sen, wel­che Ar­beit­neh­mer (Al­ter? Qua­li­fi­ka­tio­nen? Dau­er der Beschäfti­gung?) auf der Grund­la­ge wel­cher Ar­beits­verträge (Ur­laubs­ansprüche? Ge­haltshöhe und -ent­wick­lung? Ta­rif­bin­dung?) im Be­trieb tätig sind. Der Kauf­in­ter­es­sent hat da­her ein Team von Anwälten und Be­triebs­wir­ten zu­sam­men­ge­stellt, das u.a. die Ar­beits­verträge auf Herz und Nie­ren prüfen soll (sog. „Due-di­li­gence-Prüfung“).

Hier im Bei­spiel ist die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten zum Zwe­cke der ju­ris­ti­schen Vor­ab-Be­wer­tung durch ei­nen Kauf­in­ter­es­sen­ten nicht mehr vom ursprüng­li­chen Zweck der Da­ten­er­he­bung ge­deckt, denn die­ser Zweck be­stand (und be­steht) in der Durchführung der Ar­beits­verhält­nis­se mit dem bis­he­ri­gen Ar­beit­ge­ber. Al­ler­dings sind die­se Zwe­cke auch nicht von vorn­her­ein mit­ein­an­der un­ver­ein­bar, denn in­fol­ge ei­nes Be­triebsüber­gangs würden die be­ste­hen­den Ar­beits­verhält­nis­se „eins zu eins“ über­ge­hen und der Be­trieb würde fort­geführt.

Hier muss der bis­he­ri­ge Ar­beit­ge­ber un­ter Berück­sich­ti­gung sei­ner Fürsor­ge­pflich­ten (Art.6 Abs.4 Buch­sta­be b) DS-GVO: „Verhält­nis zwi­schen den be­trof­fe­nen Per­so­nen und dem Ver­ant­wort­li­chen“) dar­auf ach­ten, dass der Kauf­in­ter­es­sent bzw. sei­ne Anwälte nur an­ony­mi­sier­te Per­so­nal­da­ten ein­se­hen können (Art.6 Abs.4 Buch­sta­be e) DS-GVO: „Ver­schlüsse­lung oder Pseud­ony­mi­sie­rung“), und dass sog. sen­si­ble Da­ten (im Sin­ne von Art.9 DS-GVO) wie z.B. die Krank­heits­da­ten ein­zel­ner Ar­beit­neh­mer in be­son­de­rer Wei­se vor der Kennt­nis­nah­me durch den Kauf­in­ter­es­sent bzw. sei­ne Be­vollmäch­tig­ten geschützt sind.

Es wäre mit der Zweck­bin­dung der Da­ten­ver­ar­bei­tung un­ver­ein­bar, wenn der Ar­beit­ge­ber im Vor­feld ei­ner ge­plan­ten Be­triebs­veräußerung ei­nem Kauf­in­ter­es­sen­ten ei­nen zu weit­ge­hen­den Zu­griff auf die Per­so­nal­ak­ten gewähren würde, d.h. ei­nen nicht durch An­ony­mi­sie­rung oder Pseud­ony­mi­sie­rung be­grenz­ten Voll­zu­griff.

In der da­ten­schutz­recht­li­chen Li­te­ra­tur wird darüber hin­aus ver­tre­ten, dass der Ar­beit­ge­ber, der sei­nen Be­trieb veräußern möch­te und da­her dem Kauf­in­ter­es­sen­ten kon­kre­te In­for­ma­tio­nen über die be­ste­hen­den Ar­beits­verhält­nis­se an die Hand ge­ben muss, bei ei­ni­gen (we­ni­gen) Führungs­kräften auch da­zu be­rech­tigt sein soll, dem In­ter­es­sen­ten nicht an­ony­mi­sier­te Per­so­nal­ak­ten die­ser Führungs­kräfte zur Verfügung zu stel­len. In die­sem Fall muss der Ar­beit­ge­ber aber die be­trof­fe­nen Führungs­kräfte gemäß Art. 13 Abs.3 DS-GVO vor­ab in­for­mie­ren. Die­se Vor­schrift lau­tet:

„Be­ab­sich­tigt der Ver­ant­wort­li­che, die per­so­nen­be­zo­ge­nen Da­ten für ei­nen an­de­ren Zweck wei­ter­zu­ver­ar­bei­ten als den, für den die per­so­nen­be­zo­ge­nen Da­ten er­ho­ben wur­den, so stellt er der be­trof­fe­nen Per­son vor die­ser Wei­ter­ver­ar­bei­tung In­for­ma­tio­nen über die­sen an­de­ren Zweck (…) zur Verfügung.“

Wel­che Ar­beit­neh­mer­da­ten soll­ten nach dem Grund­satz der „Da­ten­mi­ni­mie­rung“ ver­nich­tet oder gar nicht erst er­ho­ben wer­den?

Ar­beit­ge­ber dürfen per­so­nen­be­zo­ge­ne Da­ten der Ar­beit­neh­mer nur ver­ar­bei­ten, wenn dies im Rah­men des Ar­beits­verhält­nis­ses an­ge­mes­sen und auf das not­wen­di­ge Maß be­schränkt ist. Das be­sagt der Grund­satz der Da­ten­mi­ni­mie­rung (Art.5 Abs.1 Buch­sta­be c) DS-GVO).

Letzt­lich können nur die­je­ni­gen In­for­ma­tio­nen über Ar­beit­neh­mer er­ho­ben wer­den, die für das Ar­beits­verhält­nis von Be­deu­tung sind. Das gilt auch für das Be­wer­bungs­ver­fah­ren, denn Be­wer­ber gehören zu den von der DS-GVO und dem BDSG geschütz­ten Per­so­nen (Art.4 Nr.1 DS-GVO, § 26 Abs.8 Satz 2 BDSG).

Un­abhängig vom Da­ten­schutz ha­ben die Ar­beits­ge­rich­te das Fra­ge­recht des Ar­beit­ge­bers im Be­wer­bungs­ver­fah­ren be­reits seit vie­len Jah­ren er­heb­lich ein­ge­schränkt (und da­mit schon lan­ge vor In­kraft­tre­ten der DS-GVO). Vie­le Fra­gen des Ar­beit­ge­bers sind im Be­wer­bungs­gespräch seit eh und je recht­lich ta­bu.

Ge­setz­li­che Grund­la­ge für die­se Be­wer­tung wa­ren bis­lang vor al­lem die Dis­kri­mi­nie­rungs­ver­bo­te des All­ge­mei­nen Gleich­be­hand­lungs­ge­set­zes (AGG). Denn be­stimm­te Fra­gen können Be­wer­ber we­gen ei­nes der in § 1 AGG ge­nann­ten persönli­chen Merk­ma­le be­nach­tei­li­gen, al­so z.B. we­gen des Ge­schlechts, we­gen der eth­ni­schen Her­kunft oder we­gen ei­ner Be­hin­de­rung.

Ver­bo­ten sind ins­be­son­de­re

• die Fra­ge nach der Schwan­ger­schaft (denn da nur Frau­en schwan­ger wer­den können, ist die­se Fra­ge ei­ne ver­bo­te­ne ge­schlechts­be­ding­te Dis­kri­mi­nie­rung von Frau­en im Sin­ne von § 1, § 2 Abs.1 Nr.1, § 7 AGG),
• die Fra­ge nach ei­ner Be­hin­de­rung oder Schwer­be­hin­de­rung (denn die­se Fra­ge be­nach­tei­ligt be­hin­der­te bzw. schwer­be­hin­der­te Be­wer­ber und ist da­her ei­ne be­hin­de­rungs­be­ding­te Dis­kri­mi­nie­rung im Sin­ne von § 1, § 2 Abs.1 Nr.1, § 7 AGG),
• die Fra­ge nach ei­ner Par­tei­zu­gehörig­keit oder Re­li­gi­ons­zu­gehörig­keit (denn die­se Fra­ge be­nach­tei­ligt Be­wer­ber we­gen ih­rer Re­li­gi­on oder Welt­an­schau­ung im Sin­ne von § 1, § 2 Abs.1 Nr.1, § 7 AGG).

Stellt der Ar­beit­ge­ber im Be­wer­bungs­gespräch sol­che un­zulässi­gen Fra­gen, hat der Be­wer­ber ein sog. „Recht zur Lüge“, das heißt er darf die un­zulässi­ge Fra­ge wis­sent­lich falsch be­ant­wor­ten. Nähe­re In­for­ma­tio­nen da­zu fin­den Sie un­ter „Hand­buch Ar­beits­recht: Aus­kunfts­pflicht des Stel­len­be­wer­bers“.

Aber nicht nur dis­kri­mi­nie­ren­de Fra­gen sind im Be­wer­bungs­ver­fah­ren bzw. im Be­wer­bungs­gespräch ver­bo­ten, son­dern auch an­de­re (nicht ge­gen das AGG ver­s­toßen­de) Fra­gen, mit de­nen der Ar­beit­ge­ber "nur" zu weit­ge­hend im Pri­vat­le­ben ei­nes Be­wer­bers her­um­schnüffelt und da­mit ge­gen den Grund­satz der Da­ten­mi­ni­mie­rung (Art.5 Abs.1 Buch­sta­be c) DS-GVO) verstößt.

Aus die­sem Grun­de (Da­ten­mi­ni­mie­rung) un­zulässig sind da­her ins­be­son­de­re

• die Fra­ge nach der pri­va­ten Le­bens- und Wohn­si­tua­ti­on,
• die Fra­ge nach der Be­treu­ung der Kin­der des Be­wer­bers bzw. der Be­wer­be­rin,
• die Fra­ge nach der Le­bens­pla­nung, z.B. nach ei­nem Kin­der­wunsch,
• die Fra­ge nach der Frei­zeit­ge­stal­tung, d.h. nach Hob­bies oder sport­li­chen Ak­ti­vitäten,
• die Fra­ge nach der fi­nan­zi­el­len Si­tua­ti­on,
• die Fra­ge nach Vor­stra­fen oder lau­fen­den Er­mitt­lungs­ver­fah­ren, wenn die­se Fra­ge nicht auf be­stimm­te De­lik­te ein­ge­grenzt wird, z.B. auf die Fra­ge nach Straßen­ver­kehrs­de­lik­ten bei der Ein­stel­lung ei­nes Kraft­fah­rers oder auf die Fra­ge nach Vermögens­de­lik­ten bei der Ein­stel­lung ei­nes Buch­hal­ters oder Kas­sie­rers (wir be­rich­te­ten über ei­nen der­ar­ti­gen Fall in Ar­beits­recht ak­tu­ell: 12/356 Be­fra­gung des Stel­len­be­wer­bers zu Er­mitt­lungs­ver­fah­ren).

Aber auch im be­ste­hen­den Ar­beits­verhält­nis muss der Ar­beit­ge­ber we­gen des Grund­sat­zes der Da­ten­mi­ni­mie­rung dar­auf ach­ten, dass er die Pri­vat­sphäre des Ar­beit­neh­mers re­spek­tiert. Die Hob­bies und sons­ti­gen Frei­zeit­ak­ti­vitäten, die fi­nan­zi­el­le Si­tua­ti­on, ein eher „ge­sun­des“ oder eher „un­ge­sun­des“ Kon­sum- und/oder Frei­zeit­ver­hal­ten so­wie Krank­hei­ten ge­hen den Ar­beit­ge­ber im All­ge­mei­nen nichts an.

BEISPIEL: Ein Ar­beit­neh­mer mel­det sich am Mon­tag bei Ar­beits­be­ginn te­le­fo­nisch bei sei­nem Vor­ge­setz­ten ar­beits­unfähig krank und reicht im Lau­fe des Ta­ges ei­ne ärzt­li­che Ar­beits­unfähig­keits­be­schei­ni­gung ein. Aus dem At­test er­gibt sich, dass der Ar­beit­neh­mer vor­aus­sicht­lich bis ein­sch­ließlich Frei­tag ar­beits­unfähig er­krankt ist. Der Ar­beit­ge­ber ruft an und wünscht gu­te Bes­se­rung. Bei die­ser Ge­le­gen­heit fragt er, wor­an denn der Ar­beit­neh­mer er­krankt sei.

Ei­ne sol­che Fra­ge des Ar­beit­ge­bers nach der Krank­heit bzw. Ur­sa­che für ei­ne Ar­beits­unfähig­keit ist da­ten­schutz­recht­lich un­zulässig. Denn die ein­zi­ge In­for­ma­ti­on, die der Ar­beit­ge­ber braucht, um sei­ne Pflicht zur Ent­gelt­fort­zah­lung zu prüfen, ist die ärzt­li­che Krank­schrei­bung. Wei­ter­ge­hen­de In­for­ma­tio­nen bzw. Da­ten über die Krank­heit darf der Ar­beit­ge­ber nicht er­he­ben, und zwar auch nicht „nur“ münd­lich, da auch ei­ne sol­che Form der Da­ten­ver­ar­bei­tung gemäß § 26 Abs.7 BDSG un­ter den Be­griff der Da­ten­ver­ar­bei­tung im Ar­beits­recht fällt.

Außer­dem müssen Ar­beit­ge­ber kri­tisch über­prüfen, wel­che In­for­ma­tio­nen not­wen­di­ger Be­stand­teil der Per­so­nal­ak­te sind und wel­che In­for­ma­tio­nen dem­ge­genüber überflüssig sind. Da­ten über den Ar­beit­neh­mer, die in der Per­so­nal­ak­te ent­hal­ten sind, die aber für die Durchführung des Ar­beits­verhält­nis­ses kei­ne Rol­le spie­len, müssen aus der Per­so­nal­ak­te ent­fernt wer­den.

BEISPIEL: Ein Be­wer­ber hat sei­ne Be­wer­bungs­map­pe ein­ge­reicht. Sie enthält An­ga­ben zu sei­nen Hob­bies, zu eh­ren­amt­li­chen Tätig­kei­ten und zu sport­li­chen Ak­ti­vitäten. Außer­dem hat der Be­wer­ber Ko­pi­en sei­nes 20 Jah­re al­ten Ab­itur­zeug­nis­ses bei­gefügt. Nach er­folg­rei­chem Be­wer­bungs­ver­fah­ren wird er ein­ge­stellt. Der Ar­beit­ge­ber hef­tet die Be­wer­bungs­un­ter­la­gen zur Per­so­nal­ak­te.

In die­sem Fall liegt die Schul­zeit be­reits lan­ge Jah­re zurück, so dass die Schul­no­ten kei­nen Auf­schluss (mehr) über die Kennt­nis­se und Fähig­kei­ten des Be­wer­bers bzw. Ar­beit­neh­mers ge­ben. Auch die (frei­wil­li­gen) An­ga­ben in der Be­wer­bungs­map­pe über das Pri­vat­le­ben des Be­wer­bers bzw. Ar­beit­neh­mers sind für das Ar­beits­verhält­nis oh­ne Be­deu­tung. Der Ar­beit­ge­ber muss da­her gemäß dem Grund­satz der Da­ten­mi­ni­mie­rung ent­we­der die ge­sam­te Be­wer­bungs­map­pe nach der Ein­stel­lung des Be­wer­bers ver­nich­ten oder er muss sich dar­auf be­schränken, nur die be­rufs­re­le­van­ten Qua­li­fi­ka­ti­on in die Per­so­nal­ak­te zu über­neh­men.

Was folgt aus dem Grund­satz der „Rich­tig­keit der Da­ten­ver­ar­bei­tung“ im Ar­beits­recht?

Gemäß Art.5 Abs.1 Buch­sta­be d) DS-GVO, dem Prin­zip der Rich­tig­keit der Da­ten­ver­ar­bei­tung, müssen per­so­nen­be­zo­ge­ne Da­ten des Ar­beit­neh­mers, die der Ar­beit­ge­ber ver­ar­bei­tet,

„sach­lich rich­tig und er­for­der­li­chen­falls auf dem neu­es­ten Stand sein; es sind al­le an­ge­mes­se­nen Maßnah­men zu tref­fen, da­mit per­so­nen­be­zo­ge­ne Da­ten, die im Hin­blick auf die Zwe­cke ih­rer Ver­ar­bei­tung un­rich­tig sind, un­verzüglich gelöscht oder be­rich­tigt wer­den („Rich­tig­keit“)“.

Aus die­ser Vor­schrift folgt

• das Ver­bot, per­so­nen­be­zo­ge­ne Da­ten des Ar­beit­neh­mers sach­lich un­rich­tig zu spei­chern,
• das Ge­bot, ver­al­te­te Da­ten zu ak­tua­li­sie­ren („auf dem neu­es­ten Stand“), und
• das Ge­bot, un­rich­ti­ge Da­ten un­verzüglich zu löschen oder zu be­rich­ti­gen.

Die­se Ar­beit­ge­ber­pflich­ten wer­den ergänzt durch ei­nen An­spruch des Ar­beit­neh­mers auf Be­rich­ti­gung und Ver­vollständi­gung un­rich­ti­ger bzw. un­vollständi­ger Da­ten (Art.16 DS-GVO). Außer­dem hat der Ar­beit­neh­mer das Recht, vom Ar­beit­ge­ber die vorüber­ge­hen­de Ein­schränkung der Ver­ar­bei­tung sol­cher per­so­nen­be­zo­ge­ner Da­ten zu ver­lan­gen, die er für un­rich­tig hält (Art.18 Abs.1 Buch­sta­be a) DS-GVO).

BEISPIEL: Ei­ne Ar­beit­neh­me­rin hat während ih­rer El­tern­zeit ge­hei­ra­tet und ih­ren Na­men geändert. Außer­dem ha­ben sie und ihr Mann die Re­ge­lung ge­trof­fen, dass ihr ge­mein­sa­mes Kind je­weils zur Hälf­te bei je­dem der Ehe­leu­te steu­er­lich berück­sich­tigt wird, so dass die Ar­beit­neh­me­rin nach ih­rer Rück­kehr aus der El­tern­zeit die Berück­sich­ti­gung ei­nes hälf­ti­gen Lohn­steu­er­frei­be­trag ver­lan­gen kann, d.h. das Kind ist zur Hälf­te bzw. mit 0,5 in ih­re lohn­steu­er­li­chen Stamm­da­ten ein­zu­pfle­gen.

In die­sem Bei­spiel kann die Ar­beit­neh­me­rin gemäß Art.16 DS-GVO vom Ar­beit­ge­ber die Be­rich­ti­gung ih­res Na­mens in der Per­so­nal­ak­te ver­lan­gen so­wie außer­dem, dass der Ar­beit­ge­ber die in der Per­so­nal­ak­te geführ­ten steu­er­li­chen Stamm­da­ten so ändert, dass das Kind mit 0,5 bei der Lohn­ab­rech­nung berück­sich­tigt wird.

Wann sind Be­wer­ber- und Ar­beit­neh­mer­da­ten nach dem Grund­satz der Spei­cher­be­gren­zung zu ver­nich­ten?

Gemäß Art.5 Abs.1 Buch­sta­be e) DS-GVO dürfen Ar­beit­ge­ber per­so­nen­be­zo­ge­ne Da­ten ih­rer Ar­beit­neh­mer auch dann, wenn er sie ursprüng­lich zu­recht er­ho­ben bzw. ver­ar­bei­tet wur­den, nicht zeit­lich un­be­grenzt spei­chern bzw. auf­be­wah­ren. Die­se Da­ten müssen viel­mehr, so Art.5 Abs.1 Buch­sta­be e) DS-GVO,

„in ei­ner Form ge­spei­chert wer­den, die die Iden­ti­fi­zie­rung der be­trof­fe­nen Per­so­nen nur so lan­ge ermöglicht, wie es für die Zwe­cke, für die sie ver­ar­bei­tet wer­den, er­for­der­lich ist“.

Ent­spre­chend dem Grund­satz der Trans­pa­renz der Da­ten­ver­ar­bei­tung (Art.5 Abs.1 Buch­sta­be a) DS-GVO, s. oben) muss der Ar­beit­neh­mer auch frühzei­tig, nämlich zum Zeit­punkt der Da­ten­er­he­bung, in­for­miert wer­den über

„die Dau­er, für die die per­so­nen­be­zo­ge­nen Da­ten ge­spei­chert wer­den oder, falls dies nicht möglich ist, die Kri­te­ri­en für die Fest­le­gung die­ser Dau­er“ (Art.13 Abs.2 Buch­sta­be a) DS- GVO).

Prak­tisch be­deu­tet das für die Dau­er der (di­gi­ta­len oder pa­pier­ge­bun­de­nen) Spei­che­rung von per­so­nen­be­zo­ge­nen Be­wer­ber- und Ar­beit­neh­mer­da­ten, 

• dass Ar­beit­ge­ber ver­schie­de­ne Grup­pen bzw. Ka­te­go­ri­en von Ar­beit­neh­mer­da­ten bil­den müssen, die sie in ih­rem Be­trieb oder Un­ter­neh­men er­he­ben,
• dass sie für je­de Da­ten­grup­pe spe­zi­el­le Auf­be­wah­rungs­fris­ten fest­le­gen müssen, d.h. ent­schei­den müssen, wie lan­ge wel­che Da­ten auf­be­wahrt wer­den können / müssen, und aus wel­chen recht­li­chen Gründen das der Fall ist, was dar­auf hin­ausläuft,
• dass Ar­beit­ge­ber ein be­triebs­in­di­vi­du­el­les Löschkon­zept aus­ar­bei­ten müssen, dem zu­fol­ge die ver­schie­de­nen Grup­pen bzw. Ka­te­go­ri­en von Ar­beit­neh­mer­da­ten nach all­ge­mein fest­ge­leg­ten Fris­ten gelöscht oder an­ony­mi­siert / pseud­ony­mi­siert wer­den.

Für ei­ni­ge ty­pi­sche Grup­pen bzw. Ka­te­go­ri­en von Be­wer­ber- und Ar­beit­neh­mer­da­ten sind fol­gen­de Auf­be­wah­rungs­fris­ten bzw. Löschungs­zeit­punk­te sinn­voll und recht­lich gut ver­tret­bar:

Initia­tiv­be­wer­bun­gen: Initia­tiv­be­wer­bun­gen dürfen ver­nich­tet wer­den, oh­ne dass der Be­wer­ber darüber ge­son­dert in­for­miert wer­den muss, denn die Adres­sa­ten sol­cher Be­wer­bun­gen sind kei­ne „Ver­ant­wort­li­chen“ im Sin­ne von Art.4 Abs.7 DS-GVO.

Be­wer­bungs­un­ter­la­gen auf der Grund­la­ge von Stel­len­aus­schrei­bun­gen: Be­wer­bun­gen, die auf der Grund­la­ge ei­ner Stel­len­aus­schrei­bung des Ar­beit­ge­bers in Pa­pier­form oder (wie heu­te prak­tisch aus­sch­ließlich) per E-Mail beim Ar­beit­ge­ber ein­ge­hen, muss der Ar­beit­ge­ber nach herr­schen­der Mei­nung un­ter Ar­beits­recht­lern nicht auf sei­ne Kos­ten zurück­sen­den, falls die Be­wer­bung kei­nen Er­folg hat. Für die vorüber­ge­hen­de Auf­be­wah­rung der Be­wer­bungs­un­ter­la­gen kann sich der Ar­beit­ge­ber auf den Recht­fer­ti­gungs­grund des Art.6 Abs.1 Buch­sta­be f) DS-GVO be­ru­fen, d.h. auf sei­ne ei­ge­nen „be­rech­tig­ten In­ter­es­sen“.

Denn ab­ge­lehn­te Be­wer­ber können mögli­cher­wei­se Ansprüche auf Gel­dentschädi­gung we­gen ei­ner (aus ih­rer Sicht vor­lie­gen­den) Dis­kri­mi­nie­rung gemäß dem AGG gel­tend ma­chen, so dass der Ar­beit­ge­ber ein be­rech­tig­tes In­ter­es­se dar­an hat, den Um­gang mit der Be­wer­bung später nach­wei­sen zu können. Da­bei müssen er­folg­lo­se Be­wer­ber, wenn sie Ansprüche we­gen ei­ner (an­geb­li­chen) Dis­kri­mi­nie­rung gel­tend ma­chen wol­len, ih­re (an­geb­li­chen) Ansprüche zwei Mo­na­te nach Zu­gang der Ab­leh­nung beim Ar­beit­ge­ber schrift­lich gel­tend ma­chen (§ 15 Abs.4 Satz 1 AGG), und sie ha­ben da­nach noch ein­mal drei Mo­na­te Zeit zur Er­he­bung ei­ner Kla­ge (§ 61b Abs.1 Ar­beits­ge­richts­ge­setz - ArbGG).

Da­her kann der Ar­beit­ge­ber (un­ter Ein­rech­nung ei­nes Si­cher­heits­puf­fers) die Be­wer­bungs­un­ter­la­gen ab­ge­lehn­ter Be­wer­ber sechs Mo­na­te nach der Ab­leh­nung des Be­wer­bers auf­be­wah­ren.

Be­wer­bungs­un­ter­la­gen ein­ge­stell­ter Be­wer­ber: Schnel­ler als im Fal­le ab­ge­lehn­ter Be­wer­ber, nämlich un­verzüglich, soll­ten Ar­beit­ge­ber die Be­wer­bungs­un­ter­la­gen (ganz oder teil­wei­se) ver­nich­ten, nach­dem sie ei­nen Be­wer­ber ein­ge­stellt ha­ben.

Denn nach dem Prin­zip der Da­ten­mi­ni­mie­rung muss man da­von aus­ge­hen, dass er­heb­li­che Tei­le von Be­wer­bungs­map­pen für die Durchführung des Ar­beits­verhält­nis­ses unnötig sind. Überflüssi­ge Un­ter­la­gen und In­for­ma­tio­nen wie z.B. Be­wer­bungs­schrei­ben, al­te Schul­zeug­nis­se oder An­ga­ben zu Hob­bies im Le­bens­lauf gehören nicht in die Per­so­nal­ak­te.

Lohn­steu­er­li­che Ab­rech­nungs­un­ter­la­gen / Lohn­kon­to: Ar­beit­ge­ber müssen mo­nat­li­che Lohn­ab­rech­nun­gen vor­neh­men und da­bei die Lohn­steu­er kor­rekt er­mit­teln, ein­be­hal­ten und an das Be­triebsstätten-Fi­nanz­amt abführen. Da­zu müssen sie für je­den Ar­beit­neh­mer ein Lohn­kon­to führen, das ins­be­son­de­re fol­gen­de Ar­beit­neh­mer­da­ten enthält:

• Na­me, Vor­na­me, Ge­burts­da­tum, An­schrift, Be­steue­rungs­merk­ma­le ent­spre­chend der vom Fi­nanz­amt aus­ge­stell­ten Be­schei­ni­gung für den Lohn­steu­er­ab­zug (§ 4 Abs.1 Nr.1 Lohn­steu­er-Durchführungs­ver­ord­nung - LSt­DV),
• die mo­nat­lich be­rech­ne­ten Ar­beitslöhne (ge­trennt nach Bar­lohn und Sach­bezügen) und die ein­be­hal­te­ne Lohn­steu­er (§ 4 Abs.2 Nr.3 Satz 1 LSt­DV).

Für die­se Da­ten bzw. für das ent­spre­chen­de Lohn­kon­to gilt auf­grund steu­er- und ab­ga­ben­recht­li­cher Vor­schrif­ten (§ 41 Abs.1 Ein­kom­men­steu­er­ge­setz - EStG in Verb. mit § 4 LSt­DV) ei­ne lohn­steu­er­recht­li­che Auf­be­wah­rungs­frist von sechs Jah­ren (§ 41 Abs.1 Satz 9 EStG). Die Frist be­ginnt mit dem Ab­lauf des Ka­len­der­jah­res, in dem die letz­te Lohn- und Ge­halts­ab­rech­nung vor­ge­nom­men wur­de. Dem­ent­spre­chend dürfen die­se Da­ten auch gemäß der DS-GVO sechs Jah­re lang auf­be­wahrt wer­den, denn der Ar­beit­ge­ber erfüllt da­mit ei­ne ihn tref­fen­de recht­li­che Ver­pflich­tung (Art.6 Abs.1 Buch­sta­be c) DS-GVO).

Ar­beits­verträge, Lohn­ab­rech­nun­gen: Pri­va­te Ar­beit­ge­ber sind zur er­trags­steu­er­li­chen Buch­hal­tung ver­pflich­tet, d.h. zu ei­ner ord­nungs­gemäßen Fi­nanz­buch­hal­tung, aus der sich der jähr­li­che Ge­winn oder Ver­lust er­gibt. Zur Fi­nanz­buch­hal­tung gehören al­le Un­ter­la­gen, die kon­kre­te Be­triebs­aus­ga­ben be­le­gen.

Bei den Lohn­kos­ten sind das ins­be­son­de­re

• ar­beits­ver­trag­li­che Lohn- und Ge­halts­ver­ein­ba­run­gen,
• lau­fen­de Lohn­ab­rech­nun­gen,
• lau­fen­de Bei­trags­mel­dun­gen zu den Kran­ken­kas­sen,
• et­wai­ge mit Ar­beit­neh­mern ge­trof­fe­ne Ver­rech­nungs­ab­re­den, Gut­schrif­ten und Mahn­schrei­ben,
• In­for­ma­tio­nen über und Do­ku­men­te be­tref­fend Kos­ten­er­stat­tun­gen (Rei­se­kos­ten, Auf­wands­entschädi­gun­gen usw.),
• Un­ter­la­gen über ei­ne et­wai­ge Ti­tu­lie­rung von Lohn­for­de­run­gen so­wie
• wei­te­re Un­ter­la­gen mit Be­zug auf die fi­nan­zi­el­len As­pek­te des Ar­beits­verhält­nis­ses, da die­se Un­ter­la­gen zu den Büchern und Auf­zeich­nun­gen bzw. zu den Bu­chungs­be­le­gen im Sin­ne von § 147 Abs.1 Nr.1 und Nr.4 Ab­ga­ben­ord­nung (AO) gehören.

Für die­se Da­ten (Bücher, Auf­zeich­nun­gen, Bu­chungs­be­le­ge) gilt auf­grund ge­setz­li­cher Vor­schrift (§ 147 Abs.1 Nr.1 und Nr.4, Abs.3 Satz 1, Abs.4 Satz 1 AO) ei­ne er­trags­steu­er­li­che Auf­be­wah­rungs­pflicht von zehn Jah­ren. Die Frist be­ginnt mit dem Ab­lauf des Steu­er- bzw. Ka­len­der­jah­res, in dem die letz­te das Ar­beits­verhält­nis be­tref­fen­de Bu­chung vor­ge­nom­men oder ei­ne Lohn- bzw. Ge­halts­ab­rech­nung er­stellt wird.

Die­se zehnjähri­ge er­trags­steu­er­li­che Auf­be­wah­rungs­pflicht be­zieht sich auf die oben ge­nann­ten Da­ten und Do­ku­men­te aber nur in­so­weit, als sie für die Fi­nanz­buch­hal­tung, d.h. für Bi­lan­zen, Jah­res­ab­schlüsse oder Ein­nah­men-Über­schuss-Rech­nun­gen von Be­deu­tung sind. Auch bei die­ser Auf­be­wah­rungs­frist kann sich der Ar­beit­ge­ber auf die „Erfüllung ei­ner recht­li­chen Ver­pflich­tung“ be­ru­fen (Art.6 Abs.1 Buch­sta­be c) DS-GVO).

So­zi­al­ver­si­che­rungs­recht­li­che Ab­rech­nungs­un­ter­la­gen: Ar­beit­ge­ber müssen gemäß § 28f Abs.1 Satz 1 Vier­tes Buch So­zi­al­ge­setz­buch (SGB IV) so­zi­al­ver­si­che­rungs­recht­lich re­le­van­te Ent­gelt­un­ter­la­gen auf­be­wah­ren, ins­be­son­de­re

• die Ab­rech­nungs­da­ten des ein­zel­nen Ar­beit­neh­mers,
• die Kran­ken­kas­sen­zu­gehörig­keit,
• die Be­rech­nung bzw. die Zu­sam­men­set­zung der mo­nat­li­chen Brut­to- und Net­to­bezüge,
• die dar­aus er­rech­ne­ten Bei­trags­mel­dun­gen und
• sons­ti­ge So­zi­al­ver­si­che­rungs­mel­dun­gen

so­wie ähn­li­che Da­ten, die für die tur­nusmäßig („min­des­tens“) al­le vier Jah­re durch­geführ­ten Be­triebs­prüfun­gen (§ 28p Abs.1 Satz 1 SGB IV) re­le­vant sind.

Die Auf­be­wah­rungs­pflicht des Ar­beit­ge­bers in Be­zug auf die so­zi­al­ver­si­che­rungs­recht­li­chen Da­ten beträgt ein Ka­len­der­jahr. Die Ka­len­der­jah­res­frist be­ginnt mit dem Ab­lauf Ka­len­der­jah­res, in dem die letz­te Be­triebs­prüfun­gen gemäß § 28p Abs.1 SGB IV durch­geführt wur­de (§ 28f Abs.1 Satz 1 SGB IV). In­fol­ge der Abhängig­keit der Jah­res­frist von dem Zeit­punkt der letz­ten Be­triebs­prüfung kann sich ei­ne Verlänge­rung der Auf­be­wah­rungs­pflicht ge­genüber der lohn­steu­er­recht­li­chen Sechs­jah­res­frist er­ge­ben. Die Recht­fer­ti­gung für die­se Auf­be­wah­rungs­frist ist wie­der­um die „Erfüllung ei­ner recht­li­chen Ver­pflich­tung“ be­ru­fen (Art.6 Abs.1 Buch­sta­be c) DS-GVO).

Ab­mah­nun­gen: Ei­ne Be­son­der­heit gilt für Ab­mah­nun­gen auf­grund der Recht­spre­chung des Bun­des­ar­beits­ge­richts (BAG) zu den Vor­aus­set­zun­gen ei­ner außer­or­dent­li­chen und/oder or­dent­li­chen ver­hal­tens­be­ding­ten Kündi­gung durch den Ar­beit­ge­ber, mit de­nen der Ar­beit­ge­ber auf Vermögens­de­lik­te im Ba­ga­tell­be­reich re­agiert.

Hier­zu hat das BAG im Jah­re 2010 ent­schie­den, dass klei­ne­re Diebstähle, Un­ter­schla­gun­gen, oder Be­trugs­ver­su­che des Ar­beit­neh­mers nach lan­ger Beschäfti­gungs­dau­er nicht zur frist­lo­sen Kündi­gung be­rech­ti­gen, falls das Ar­beits­verhält­nis bis zu die­sem (ein­ma­li­gen) Fehl­tritt des Ar­beit­neh­mers störungs­frei ver­lau­fen ist Ur­teil (BAG, Ur­teil vom 10.06.2010, 2 AZR 541/09 (Bar­ba­ra Em­me / „Em­me­ly“), wir be­rich­te­ten in Ar­beits­recht ak­tu­ell: 10/136 Em­me­ly ar­bei­tet wie­der als Kas­sie­re­rin). Um vor Ge­richt ggf. nach­wei­sen zu können, dass ein Ar­beits­verhält­nis nicht störungs­frei ver­lau­fen ist, muss der Ar­beit­ge­ber in der La­ge sein, Ab­mah­nun­gen und Er­mah­nun­gen im Prin­zip zeit­lich un­be­grenzt (al­ler­dings nur bis zur Be­en­di­gung des Ar­beits­verhält­nis­ses) auf­zu­be­wah­ren.

Lohn­ab­rech­nungs­un­ter­la­gen aus­ge­schie­de­ner Ar­beit­neh­mer: Wenn Ar­beit­neh­mer aus dem Ar­beits­verhält­nis aus­schei­den, stellt sich die Fra­ge, wie lan­ge der Ar­beit­ge­ber da­zu be­rech­tigt ist, per­so­nen­be­zo­ge­ne Ar­beit­neh­mer­da­ten wei­ter­hin auf­zu­be­wah­ren. Hier gilt zunächst die o.g. zehnjähri­ge er­trags­steu­er­li­che Auf­be­wah­rungs­frist bzw. das dar­aus fol­gen­de da­ten­schutz­recht­li­che Auf­be­wah­rungs­recht (§ 147 Abs.1 Nr.1 und Nr.4, Abs.3 Satz 1, Abs.4 Satz 1 AO).

Un­abhängig da­von können sich Ar­beit­ge­ber da­ne­ben auch an der (al­ler­dings deut­lich kürze­ren) all­ge­mei­nen ge­setz­li­chen Verjährungs­frist von drei Ka­len­der­jah­ren ori­en­tie­ren. Die Frist be­ginnt mit En­de des Ka­len­der­jah­res (= 31. De­zem­ber) , in dem der Ar­beit­neh­mer aus dem Ar­beits­verhält­nis aus­ge­schie­den ist, da mit Ab­lauf die­ser Verjährungs­frist Ansprüche aus dem Ar­beits­verhält­nis verjähren, z.B. auf rückständi­gen Lohn, auf Ur­laubs­ab­gel­tung, auf Ent­gelt­fort­zah­lung im Krank­heits­fall usw., § 195 Bürger­li­ches Ge­setz­buch (BGB) in Verb. mit § 199 Abs.1 BGB.

Für die­se dreijähri­ge (Min­dest-)Auf­be­wah­rungs­zeit von Lohn­ab­rech­nungs­un­ter­la­gen aus­ge­schie­de­ner Ar­beit­neh­mer kann der Ar­beit­ge­ber auf den Recht­fer­ti­gungs­grund des Art.6 Abs.1 Buch­sta­be f) DS-GVO ver­wei­sen, d.h. auf sei­ne ei­ge­nen „be­rech­tig­ten In­ter­es­sen“.

Stamm­da­ten und Un­ter­la­gen zur Be­en­di­gung aus­ge­schie­de­ner Ar­beit­neh­mer: Auch wenn das Ar­beits­verhält­nis be­reits länger als drei bzw. länger als zehn Jah­re be­en­det ist, darf der Ar­beit­ge­ber ei­ni­ge (we­ni­ge) Stamm­da­ten des Ar­beit­neh­mers (Na­me, Vor­na­me, Funk­ti­on, Ein­tritts- und Aus­tritts­da­tum, Ge­burts­da­tum) so­wie Un­ter­la­gen zur Be­en­di­gung des Ar­beits­verhält­nis­ses (Kündi­gungs­erklärun­gen, Auf­he­bungs­verträge, Ab­wick­lungs­verträge, Ge­richts­ur­tei­le, ge­richt­li­che Ver­glei­che) auf­be­wah­ren, und zwar zeit­lich un­be­grenzt.

An­dern­falls wäre er nicht da­zu in der La­ge, nach z.B. zehn, 20 oder 30 Jah­ren nach­zu­voll­zie­hen, wel­che recht­li­chen Tat­bestände zur Be­en­di­gung des Ar­beits­verhält­nis­ses geführt ha­ben und wann ge­nau das Ar­beits­verhält­nis be­en­det wur­de. Da Ar­beit­neh­mer kei­ne da­ten­schutz­recht­li­chen Ver­pflich­tun­gen dem Ar­beit­ge­ber ge­genüber ha­ben, können sie Ver­trags­un­ter­la­gen und Lohn­ab­rech­nun­gen zeit­lich un­be­grenzt auf­be­wah­ren, und auf die­ser Grund­la­ge können sie auch nach lan­ger Zeit ar­beits­ver­trag­li­che Ansprüche gel­tend ma­chen, ins­be­son­de­re auf Beschäfti­gung und Lohn­zah­lung. Vor die­sem Hin­ter­grund muss es dem Ar­beit­ge­ber möglich sein, die o.g. Stamm­da­ten so­wie Un­ter­la­gen zur Ver­trags­be­en­di­gung oh­ne zeit­li­che Gren­ze auf­zu­be­wah­ren.

Die­ses Recht wird er­gibt sich auch dar­aus, dass die sach­grund­lo­se Be­fris­tung ei­nes Ar­beits­ver­tra­ges gemäß § 14 Abs.2 Satz 2 Teil­zeit- und Be­fris­tungs­ge­setz (Tz­B­fG) recht­lich un­wirk­sam ist, wenn zwi­schen den Ver­trags­par­tei­en "be­reits zu­vor" ein Ar­beits­verhält­nis be­stan­den hat. Da­bei ist "be­reits zu­vor" zu ver­ste­hen im Sin­ne von "ir­gend­wann ein­mal in der Ver­gan­gen­heit", d.h. ei­ne zeit­li­che Gren­ze gilt hier nicht. Das hat das Bun­des­ver­fas­sungs­ge­richt (BVerfG) im Som­mer 2018 ent­ge­gen ei­ner an­ders­lau­ten­den Recht­spre­chung des Bun­des­ar­beits­ge­richts (BAG) klar­ge­stellt (BVerfG, Be­schluss vom 06.06.2018, 1 BvL 7/14 und 1 BvR 1375/14, wir be­rich­te­ten in Ar­beits­recht ak­tu­ell 18/143: BAG-Recht­spre­chung zum Vor­beschäfti­gungs­ver­bot ge­kippt).

Auch aus die­sem Grund muss der Ar­beit­ge­ber nach­voll­zie­hen können, wel­che Ar­beit­neh­mer bei ihm ein­mal beschäftigt wa­ren, auch zu lan­ge zurück­lie­gen­den Zei­ten.

Für das zeit­lich un­be­grenz­te Auf­be­wah­rungs­recht in Be­zug auf (ei­ni­ge we­ni­ge) Stamm­da­ten und Un­ter­la­gen zur Ver­trags­be­en­di­gung können sich Ar­beit­ge­ber auf Art.6 Abs.1 Buch­sta­be f) DS-GVO be­ru­fen, d.h. auf ih­re ei­ge­nen „be­rech­tig­ten In­ter­es­sen“.

Was soll­ten Ar­beit­ge­ber tun, um die „In­te­grität und Ver­trau­lich­keit“ der Da­ten­ver­ar­bei­tung zu gewähr­leis­ten?

Gemäß Art.5 Abs.1 Buch­sta­be f) DS-GVO müssen Ar­beit­neh­mer­da­ten

„in ei­ner Wei­se ver­ar­bei­tet wer­den, die ei­ne an­ge­mes­se­ne Si­cher­heit der per­so­nen­be­zo­ge­nen Da­ten gewähr­leis­tet, ein­sch­ließlich Schutz vor un­be­fug­ter oder un­rechtmäßiger Ver­ar­bei­tung und vor un­be­ab­sich­tig­tem Ver­lust, un­be­ab­sich­tig­ter Zerstörung oder un­be­ab­sich­tig­ter Schädi­gung durch ge­eig­ne­te tech­ni­sche und or­ga­ni­sa­to­ri­sche Maßnah­men (>In­te­grität und Ver­trau­lich­keit<)“.

Aus dem Grund­satz der In­te­grität und Ver­trau­lich­keit er­ge­ben sich für Ar­beit­ge­ber ins­be­son­de­re fol­gen­de Pflich­ten:

In Pa­pier­form geführ­te Per­so­nal­ak­ten müssen un­ter Ver­schluss ge­hal­ten wer­den, d.h. sie müssen in ei­nem ab­sch­ließba­ren Raum und/oder in ei­nem ab­sch­ließba­ren Schrank auf­be­wahrt wer­den. Ähn­lich ge­si­chert wer­den müssen elek­tro­nisch geführ­te Per­so­nal­ak­ten, d.h. auch hier ist si­cher­zu­stel­len, dass (ggf. ne­ben dem be­trof­fe­nen Ar­beit­neh­mer) nur Per­so­nal­ver­ant­wort­li­che bzw. Mit­ar­bei­ter der Per­so­nal­ab­tei­lung Zu­griff auf die elek­tro­ni­schen Per­so­nal­ak­ten ha­ben.

Ar­beit­ge­ber soll­ten elek­tro­ni­sche Per­so­nal­ak­ten durch re­gelmäßige Back-ups si­chern, um ei­nem Da­ten­ver­lust in­fol­ge tech­ni­scher Pan­nen vor­zu­beu­gen.

In Pa­pier geführ­te Per­so­nal­ak­ten und an­de­re, in Pa­pier­form vor­han­de­ne per­so­nen­be­zo­ge­ne Da­ten von Be­wer­bern und Ar­beit­neh­mern müssen im Fal­le ei­ner Da­tenlöschung durch den Reißwolf ver­nich­tet wer­den.

Sch­ließlich müssen Ar­beit­ge­ber be­son­ders vor­sich­tig sein beim Um­gang mit sog. sen­si­blen Da­ten im Sin­ne von Art.9 Abs.1 DS-GVO. Prak­tisch geht es da­bei vor al­lem um Da­ten zu ei­ner Re­li­gi­ons- oder Ge­werk­schafts­zu­gehörig­keit so­wie um Ge­sund­heits­da­ten des Ar­beit­neh­mers.

Die­se Da­ten darf der Ar­beit­ge­ber ver­ar­bei­ten, da er an­dern­falls sei­ne Ar­beit­ge­ber­pflich­ten nicht erfüllen könn­te, z.B. bei der Abführung von Kir­chen­steu­ern („re­li­giöse Über­zeu­gun­gen“), bei der ta­rif­ge­rech­ten Be­zah­lung („Ge­werk­schafts­zu­gehörig­keit“) oder bei der Ent­gelt­fort­zah­lung, beim Mut­ter­schutz oder beim Schwer­be­hin­der­ten­schutz („ Ge­sund­heits­da­ten“), wie sich aus Art.9 Abs.2 Buch­sta­be b) DS-GVO er­gibt.

Bei der Ver­ar­bei­tung die­ser sen­si­blen Da­ten, ins­be­son­de­re zu Krank­hei­ten, muss der Ar­beit­ge­ber dar­auf ach­ten, dass die un­be­ab­sich­tig­te Kennt­nis­nah­me durch ei­nen Per­so­nal­sach­be­ar­bei­ter, z.B. bei der mo­nat­li­chen Lohn­ab­rech­nung, ver­hin­dert wird. Das kann z.B. da­durch ge­sche­hen, dass Krank­schrei­bun­gen, ärzt­li­che At­tes­te und dies­bezügli­che Kor­re­spon­denz zwi­schen Ar­beit­ge­ber und Ar­beit­neh­mer zwar in der Per­so­nal­ak­te, dort aber in ei­nem be­son­de­ren, ver­schlos­se­nen Um­schlag auf­be­wahrt wer­den (BAG, Ur­teil vom 12.09.2006, 9 AZR 271/06).

Was folgt aus der Re­chen­schafts­pflicht des Ar­beit­ge­bers über die Ver­ar­bei­tung von Ar­beit­neh­mer­da­ten?

Gemäß Art.5 Abs.2 DS-GVO ist der Ar­beit­ge­ber als ver­ant­wort­li­che Stel­le nicht nur (selbst­verständ­lich) für die Ein­hal­tung der o.g. da­ten­schutz­recht­li­chen Grundsätze ver­ant­wort­lich (was be­reits aus Art.4 Nr.7 DS-GVO folgt), son­dern er muss die Ein­hal­tung die­ser Grundsätze „nach­wei­sen können“.

Um die­se sog. Re­chen­schafts­pflicht zu erfüllen, müssen Ar­beit­ge­ber ins­be­son­de­re

• ein sog. Ver­zeich­nis von Ver­ar­bei­tungstätig­kei­ten an­le­gen, in dem die vom Ar­beit­ge­ber ver­ar­bei­te­ten per­so­nen­be­zo­ge­nen Ar­beit­neh­mer­da­ten und der Um­gang des Ar­beit­ge­bers mit die­sen Da­ten do­ku­men­tiert wird (Art.30 DS-GVO),
• ge­eig­ne­te „ge­eig­ne­te tech­ni­sche und or­ga­ni­sa­to­ri­sche Maßnah­men“ (TOM) er­grei­fen bzw. „um­set­zen“, um si­cher­zu­stel­len und um nach­wei­sen können, dass die Ver­ar­bei­tung von Ar­beit­neh­mer­da­ten all­ge­mein den An­for­de­run­gen der DS-GVO ent­spricht (Art.24 Abs.1 DS-GVO) und ins­be­son­de­re ein an­ge­mes­se­ner Schutz vor Da­ten­ver­lus­ten und un­be­fug­ten Zu­grif­fen gewähr­leis­tet ist (Art.32 DS-GVO),
• von sich aus die Ar­beit­neh­mer über die Da­ten­ver­ar­bei­tung in­for­mie­ren, und zwar „in präzi­ser, trans­pa­ren­ter, verständ­li­cher und leicht zugäng­li­cher Form in ei­ner kla­ren und ein­fa­chen Spra­che“ (Art.12 Abs.1 Satz 1 DS-GVO), wo­bei an­de­rer­seits aber gemäß Art.13 DS-GVO ei­ne ziem­lich lan­ge Lis­te von not­wen­di­gen In­for­ma­tio­nen ab­ge­ar­bei­tet wer­den muss.

Wo fin­den Sie mehr zum The­ma Da­ten­schutz im Ar­beits­recht?

Wei­te­re In­for­ma­tio­nen, die Sie im Zu­sam­men­hang mit dem The­ma Da­ten­schutz im Ar­beits­recht in­ter­es­sie­ren könn­ten, fin­den Sie hier:

• Da­ten­schutz-Grund­ver­ord­nung (DS-GVO)
• Bun­des­da­ten­schutz­ge­setz (BDSG)
• Hand­buch Ar­beits­recht: Ab­mah­nung
• Hand­buch Ar­beits­recht: Anhörung des Be­triebs­rats
• Hand­buch Ar­beits­recht: Ar­beit­neh­mer
• Hand­buch Ar­beits­recht: Ar­beits­ver­trag
• Hand­buch Ar­beits­recht: Aus­kunfts­pflicht des Stel­len­be­wer­bers
• Hand­buch Ar­beits­recht: Be­hin­de­rung, Men­schen mit Be­hin­de­rung
• Hand­buch Ar­beits­recht: Be­trieb­li­ches Ein­glie­de­rungs­ma­nage­ment (BEM)
• Dis­kri­mi­nie­rung - An­wen­dungs­be­reich des ge­setz­li­chen Schut­zes
• Hand­buch Ar­beits­recht: Co­ro­na­vi­rus und Ar­beits­recht
• Hand­buch Ar­beits­recht: Ge­bot fai­ren Ver­han­delns
• Hand­buch Ar­beits­recht: Haf­tung des Ar­beit­ge­bers
• Hand­buch Ar­beits­recht: Ho­me-Of­fice
• Hand­buch Ar­beits­recht: Krank­heit
• Hand­buch Ar­beits­recht: Kündi­gung - Frist­lo­se Kündi­gung
• Hand­buch Ar­beits­recht: Kündi­gung - Kündi­gung we­gen Krank­heit
• Hand­buch Ar­beits­recht: Kündi­gung - Ver­dachtskündi­gung
• Hand­buch Ar­beits­recht: Schwer­be­hin­de­rung, schwer­be­hin­der­ter Mensch
• Hand­buch Ar­beits­recht: So­zi­al­ver­si­che­rungs­bei­trag, SV-Bei­trag
• Hand­buch Ar­beits­recht: So­zi­al­ver­si­che­rungs­mel­dun­gen
• Hand­buch Ar­beits­recht: Whist­leb­lo­wing, An­zei­ge ge­gen den Ar­beit­ge­ber

 

• Mus­ter­schrei­ben: In­for­ma­tio­nen zur Ar­beit­neh­mer-Da­ten­ver­ar­bei­tung gemäß Art.13 DS-GVO
• Mus­ter­schrei­ben: Aus­kunfts­ver­lan­gen des Ar­beit­neh­mers gemäß Art.15 DS-GVO
• Mus­ter­schrei­ben: Erfüllung des Aus­kunfts­ver­lan­gens gemäß Art.15 DS-GVO durch den Ar­beit­ge­ber

 

Kom­men­ta­re un­se­res An­walts­teams zu ak­tu­el­len Fra­gen rund um das The­ma Da­ten­schutz im Ar­beits­recht fin­den Sie hier: 

Ar­beits­recht ak­tu­ell 2022:

• Up­date Ar­beits­recht 09/2022 LAG Ba­den-Würt­tem­berg: Un­kla­re Hin­wei­se zum Da­ten­schutz bei der Ein­la­dung zum BEM
• Up­date Ar­beits­recht 06|2022 LAG Hamm: Scha­dens­er­satz we­gen un­verhält­nismäßiger Da­tenüber­mitt­lung im Kon­zern
• Up­date Ar­beits­recht 03|2022 LAG Köln: Frist­lo­se Kündi­gung we­gen Le­sens und Wei­ter­lei­tens pri­va­ter E-Mails und Chat­verläufe ei­nes Vor­ge­setz­ten
• Up­date Ar­beits­recht 04|2022 BAG: Be­stimmt­heit ei­nes da­ten­schutz­recht­li­chen Aus­kunfts­ver­lan­gens

Ar­beits­recht ak­tu­ell 2021:

• Up­date Ar­beits­recht 20|2021 LAG Ba­den-Würt­tem­berg: Not­wen­di­ge Da­ten­schutz­hin­wei­se in der BEM-Ein­la­dung und Nach­weis der Zu­stel­lung
• Up­date Ar­beits­recht 15|2021 LAG Ba­den-Würt­tem­berg: Da­ten­schutz­recht­li­cher In­for­ma­ti­ons­an­spruch und An­spruch auf Un­ter­la­gen
• Up­date Ar­beits­recht 10|2021 BAG: Kla­gen Ar­beit­neh­mer Ko­pi­en ih­rer E-Mails ein, müssen sie die­se kon­kret be­zeich­nen
• Ar­beits­recht ak­tu­ell: 21/004 An­ste­hen­de Ent­schei­dun­gen des EuGH zum Ar­beits­recht

Ar­beits­recht ak­tu­ell 2020:

• Ar­beits­recht ak­tu­ell: 20/100 Di­gi­ta­le Be­triebs­rats­sit­zung we­gen Co­ro­na-Kri­se
• Up­date Ar­beits­recht 10|2020 LAG Meck­len­burg-Vor­pom­mern: Ab­be­ru­fung ei­nes in­ter­nen Da­ten­schutz­be­auf­trag­ten

Ar­beits­recht ak­tu­ell 2019:

• Ar­beits­recht ak­tu­ell: 19/178 Schutz von Hin­weis­ge­bern im An­ti­dis­kri­mi­nie­rungs­recht
• Ar­beits­recht ak­tu­ell: 19/170 Ent­fer­nung ei­ner Ab­mah­nung aus der Per­so­nal­ak­te we­gen Da­ten­schut­zes nach der DS-GVO
• Ar­beits­recht ak­tu­ell: 19/166 Be­triebs­rat und Da­ten­schutz
• Ar­beits­recht ak­tu­ell: 19/160 Kündi­gung we­gen Ver­dachts der Geld­un­ter­schla­gung
• Ar­beits­recht ak­tu­ell: 19/159 Kündi­gung we­gen übler Nach­re­de per Whats­App
• Ar­beits­recht ak­tu­ell: 19/086 Da­ten­schutz con­tra Hin­weis­ge­ber­schutz im Ar­beits­recht
• Ar­beits­recht ak­tu­ell: 19/011 Be­triebs­rat steht Ein­sicht in Ge­halts­lis­ten mit Ar­beit­neh­mer­na­men zu

Ar­beits­recht ak­tu­ell 2018:

• Ar­beits­recht ak­tu­ell: 18/291 Mit­be­stim­mung beim Spei­chern von An­we­sen­heits­zei­ten in Ex­cel
• Ar­beits­recht ak­tu­ell: 18/247 BAG weicht Anhörung bei Ver­dachtskündi­gun­gen auf
• Ar­beits­recht ak­tu­ell: 18/207 Löschungs­pflicht bei Vi­deoüber­wa­chung von Ar­beit­neh­mern
• Ar­beits­recht ak­tu­ell: 18/125 Da­ten­schutz im Ar­beits­recht nach der DS-GVO
• Ar­beits­recht ak­tu­ell: 18/023 Kündi­gung we­gen heim­li­cher Auf­nah­me ei­nes Per­so­nal­gesprächs

Ar­beits­recht ak­tu­ell 2017:

• Ar­beits­recht ak­tu­ell: 17/274 Dreijähri­ge Kündi­gungs­frist ist un­wirk­sam
• Ar­beits­recht ak­tu­ell: 17/236 Ar­beit­neh­merüber­wa­chung durch ei­nen De­tek­tiv
• Ar­beits­recht ak­tu­ell: 17/214 Ver­let­zung der Pri­vat­sphäre am Ar­beits­platz
• Ar­beits­recht ak­tu­ell: 17/201 Ar­beit­neh­mer-Über­wa­chung mit Key­log­ger

Ar­beits­recht ak­tu­ell 2016:

• Ar­beits­recht ak­tu­ell: 16/078 Be­trieb­li­ches Ein­glie­de­rungs­ma­nage­ment und Da­ten­schutz

Ar­beits­recht ak­tu­ell 2015:

• Ar­beits­recht ak­tu­ell: 15/050 Heim­li­che Vi­deoüber­wa­chung von Ar­beit­neh­mern

Ar­beits­recht ak­tu­ell 2013:

• Ar­beits­recht ak­tu­ell: 13/202 Ar­beit­neh­mer fo­to­gra­fie­ren - geht das?
• Ar­beits­recht ak­tu­ell: 13/024 Ge­setz zum Ar­beit­neh­mer-Da­ten­schutz

Ar­beits­recht ak­tu­ell 2012:

• Ar­beits­recht ak­tu­ell: 12/254 Vi­deoüber­wa­chung - Entschädi­gung

Ar­beits­recht ak­tu­ell 2011:

• Ar­beits­recht ak­tu­ell: 11/091 Vi­deoüber­wa­chung am Ar­beits­platz - Schmer­zens­geld
• Ar­beits­recht ak­tu­ell: 11/069 Vor­ver­ur­tei­lung durch Vor­ge­setz­ten: Schmer­zens­geld we­gen Ver­let­zung des Persönlich­keits­rechts

Ar­beits­recht ak­tu­ell 2010:

• Ar­beits­recht ak­tu­ell: 10/214 Veröffent­li­chung von Ar­beit­neh­mer-Fo­tos im In­ter­net
• Ar­beits­recht ak­tu­ell: 10/175 Ent­wurf ei­nes Ge­set­zes zum Schutz von Beschäftig­ten­da­ten

Ar­beits­recht ak­tu­ell 2008:

• Ar­beits­recht ak­tu­ell: 08/114 Be­ru­fung des Ar­beit­ge­bers auf rechts­wid­rig er­lang­te Er­kennt­nis­se im Ar­beits­ge­richts­pro­zess

Letzte Überarbeitung: 21. Mai 2022

www.hensche.de > Handbuch Arbeitsrecht > Arbeitsrecht - D

Bewertung: 4.5 von 5 Sternen (3 Bewertungen)