HENSCHE RECHTSANWÄLTE, FACHANWALTSKANZLEI FÜR ARBEITSRECHT

HANDBUCH ARBEITSRECHT

Da­ten­schutz im Ar­beits­recht

In­for­ma­tio­nen zum The­ma Da­ten­schutz im Ar­beits­recht: Hen­sche Rechts­an­wäl­te, Kanz­lei für Ar­beits­recht
Diktiergerät, Smartphone mit Aufnahmefunktion, heimliches mitschneiden

Le­sen Sie hier, wel­che da­ten­schutz­recht­li­chen Vor­schrif­ten für Ar­beit­ge­ber, Ar­beit­neh­mer und Be­wer­ber be­son­ders wich­tig sind.

Im Ein­zel­nen fin­den Sie Hin­wei­se zum ar­beits­recht­li­chen Gel­tungs­be­reich der Da­ten­schutz-Grund­ver­ord­nung (DS-GVO) und des Bun­des­da­ten­schutz­ge­set­zes (BSGD) so­wie zu den Fra­gen, auf wel­che Er­laub­nis­se die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Ar­beit­neh­mer­da­ten ge­stützt wer­den kann, was aus den Ge­bo­ten der Trans­pa­renz, der Zweck­bin­dung und der Da­ten­mi­ni­mie­rung folgt und wie lan­ge Ar­beit­ge­ber die Da­ten ih­rer Ar­beit­neh­mer auf­be­wah­ren dür­fen.

von Rechts­an­walt Dr. Mar­tin Hen­sche, Fach­an­walt für Ar­beits­recht, Ber­lin

War­um ist der Da­ten­schutz im Ar­beits­verhält­nis wich­tig?

Ar­beit­ge­ber müssen bei der Be­gründung ei­nes Ar­beits­verhält­nis­ses und bei sei­ner Durchführung per­so­nen­be­zo­ge­ne Da­ten des Ar­beit­neh­mers spei­chern und ver­ar­bei­ten. An­dern­falls könn­ten sie we­der ei­ne Per­so­nal­ak­te führen noch mo­nat­li­che Lohn- bzw. Ge­halts­ab­rech­nun­gen vor­neh­men.

Da­mit ist die Ge­fahr ver­bun­den, dass Ar­beit­ge­ber es mit der Da­ten­sam­me­lei über­trei­ben und ein­zel­ne Ar­beit­neh­mer oder gan­zer Be­leg­schaf­ten re­gel­recht durch­leuch­ten. Das Er­geb­nis wären „gläser­ne Ar­beit­neh­mer“ bzw. „gläser­ne Be­leg­schaf­ten“.

Der Da­ten­schutz im Ar­beits­verhält­nis soll Ar­beit­neh­mer und Be­leg­schaf­ten vor ei­ner un­verhält­nismäßigen Da­ten­sam­mel­wut des Ar­beit­ge­bers be­wah­ren. Außer­dem sol­len Ar­beit­neh­mer wis­sen, wel­che Da­ten der Ar­beit­ge­ber ver­ar­bei­tet und war­um.

Wo sind Rech­te von Ar­beit­neh­mern und Pflich­ten für Ar­beit­ge­ber in Be­zug auf den Da­ten­schutz ge­re­gelt?

Die wich­tigs­ten Da­ten­schutz­rech­te für Ar­beit­neh­mer und Da­ten­schutz­pflich­ten für Ar­beit­ge­ber sind in der Da­ten­schutz-Grund­ver­ord­nung (DS-GVO) fest­ge­schrie­ben.

Die DS-GVO ist seit dem 25.05.2018 in al­len Ländern der Eu­ropäischen Uni­on (EU) in­halts­gleich in Kraft. An­ders als EU-Richt­li­ni­en, die in den Mit­glieds­staa­ten nur zu be­ach­ten sind, wenn sie durch na­tio­na­le Rechts­vor­schrif­ten um­ge­setzt wer­den, gel­ten EU-Rechts­ver­ord­nun­gen wie die DS-GVO oh­ne ei­nen sol­chen Um­set­zungs­akt, d.h. un­mit­tel­bar.

Ne­ben der DS-GVO gilt in Deutsch­land das Bun­des­da­ten­schutz­ge­setz (BDSG), das ei­ne spe­zi­el­le Vor­schrift zum Ar­beits- bzw. Beschäfti­gungs­verhält­nis enthält, nämlich § 26 BDSG. Dort fin­det sich z.B. der all­ge­mei­ne Grund­satz (§ 26 Abs.1 Satz 1 BDSG), dass per­so­nen­be­zo­ge­ne Da­ten der Beschäftig­ten vom Ar­beit­ge­ber nur ver­ar­bei­tet wer­den dürfen, 

  • wenn die Da­ten­ver­ar­bei­tung für die Ent­schei­dung über die Be­gründung ei­nes Beschäfti­gungs­verhält­nis­ses not­wen­dig ist, und/oder
  • wenn die Da­ten­ver­ar­bei­tung nach Be­gründung des Beschäfti­gungs­verhält­nis­ses für sei­ne Durchführung (z.B. für Lohn­ab­rech­nun­gen) oder sei­ne Be­en­di­gung (z.B. für ei­ne Kündi­gung oder ei­nen Auf­he­bungs­ver­trag) er­for­der­lich ist, und/oder
  • wenn die Da­ten­ver­ar­bei­tung nötig ist für die Ar­beit der In­ter­es­sen­ver­tre­tun­gen der Beschäftig­ten, die in ei­nem Ge­setz (z.B. dem Be­triebs­ver­fas­sungs­ge­setz - Be­trVG), in ei­nem Ta­rif­ver­trag, in ei­ner Be­triebs- oder in ei­ner Dienst­ver­ein­ba­rung ge­re­gelt sein kann.

Außer­halb der DS-GVO und des BDSG ent­hal­ten auch Art.2 Abs.1 Grund­ge­setz (GG) und Art.8 Eu­ropäische Grund­rech­te­char­ta (GRC) da­ten­schutz­recht­li­che Vor­schrif­ten, die im Ar­beits­verhält­nis zu be­ach­ten sind.

Art.2 Abs.1 GG, der die „freie Ent­fal­tung der Persönlich­keit“ schützt, be­inhal­tet nach der Recht­spre­chung auch ein Recht auf in­for­ma­tio­nel­le Selbst­be­stim­mung, dem zu­fol­ge je­de Per­son selbst über ih­re Da­ten und de­ren Ver­wen­dung be­stim­men kann. Außer­dem lei­tet die Recht­spre­chung aus Art.2 Abs.1 GG ein Grund­recht auf Ver­trau­lich­keit und In­te­grität in­for­ma­ti­ons­tech­ni­scher Sys­te­me her. Die­ses Grund­recht ver­langt, dass durch IT-Sys­te­me er­zeug­te bzw. ver­ar­bei­te­te per­so­nen­be­zo­ge­ne Da­ten ver­trau­lich blei­ben und ein heim­li­cher Zu­griff un­ter­bleibt.

Art.8 GRC schreibt darüber hin­aus Fol­gen­des vor:

„(1) Je­de Per­son hat das Recht auf Schutz der sie be­tref­fen­den per­so­nen­be­zo­ge­nen Da­ten.

(2) Die­se Da­ten dürfen nur nach Treu und Glau­ben für fest­ge­leg­te Zwe­cke und mit Ein­wil­li­gung der be­trof­fe­nen Per­son oder auf ei­ner sons­ti­gen ge­setz­lich ge­re­gel­ten le­gi­ti­men Grund­la­ge ver­ar­bei­tet wer­den. Je­de Per­son hat das Recht, Aus­kunft über die sie be­tref­fen­den er­ho­be­nen Da­ten zu er­hal­ten und die Be­rich­ti­gung der Da­ten zu er­wir­ken.

(3) Die Ein­hal­tung die­ser Vor­schrif­ten wird von ei­ner un­abhängi­gen Stel­le über­wacht.“

Art.8 GRC stimmt in­halt­lich mit ent­spre­chen­den Vor­schrif­ten des DS-GVO weit­ge­hend übe­rein, ins­be­son­de­re

Da­her ist die prak­ti­sche Be­deu­tung von Art.8 GRC ge­ring.

War­um müssen Ar­beit­ge­ber die DS-GVO be­ach­ten?

Ar­beit­ge­ber ent­schei­den, schon al­lein durch das Führen von Per­so­nal­ak­ten, über „die Zwe­cke und Mit­tel der Ver­ar­bei­tung von per­so­nen­be­zo­ge­nen Da­ten“ ih­rer Ar­beit­neh­mer. Da­her sind Ar­beit­ge­ber gemäß Art.4 Nr.7 DS-GVO „ver­ant­wort­li­che Stel­len“ im Sin­ne der DS-GVO. Dem­ent­spre­chend müssen sie die Vor­schrif­ten der DS-GVO zu­guns­ten der von ih­nen beschäftig­ten Ar­beit­neh­mer be­ach­ten.

Nicht an die DS-GVO ge­bun­den sind nur natürli­che Per­so­nen, wenn sie Da­ten „zur Ausübung aus­sch­ließlich persönli­cher oder fa­mi­liärer Tätig­kei­ten“ ver­ar­bei­ten (Art.2 Abs.2 Buch­sta­be c) DS-GVO).

Gilt die DS-GVO auch für Klein­be­trie­be?

Im Er­geb­nis ja. Es gibt zwar in Art.30 Abs.5 DS-GVO ei­ne Aus­nah­me­re­ge­lung für Un­ter­neh­men und Ein­rich­tun­gen mit we­ni­ger als 250 Mit­ar­bei­tern, doch ist die­se Re­ge­lung so ge­strickt, dass sie prak­tisch nie zur An­wen­dung ge­langt. Die­se Vor­schrift lau­tet:

"Die in den Absätzen 1 und 2 ge­nann­ten Pflich­ten gel­ten nicht für Un­ter­neh­men oder Ein­rich­tun­gen, die we­ni­ger als 250 Mit­ar­bei­ter beschäfti­gen, so­fern die von ih­nen vor­ge­nom­me­ne Ver­ar­bei­tung nicht ein Ri­si­ko für die Rech­te und Frei­hei­ten der be­trof­fe­nen Per­so­nen birgt, die Ver­ar­bei­tung nicht nur ge­le­gent­lich er­folgt oder nicht die Ver­ar­bei­tung be­son­de­rer Da­ten­ka­te­go­ri­en gemäß Ar­ti­kel 9 Ab­satz 1 bzw. die Ver­ar­bei­tung von per­so­nen­be­zo­ge­nen Da­ten über straf­recht­li­che Ver­ur­tei­lun­gen und Straf­ta­ten im Sin­ne des Ar­ti­kels 10 ein­sch­ließt."

Wie der Ver­weis auf die "in den Absätzen 1 und 2 ge­nann­ten Pflich­ten" zeigt, gilt die Aus­nah­me nicht für die ge­sam­te DS-GVO, son­dern nur für die Pflicht zum Führen ei­nes Ver­zeich­nis­ses von Da­ten­ver­ar­bei­tungstätig­kei­ten, denn nur die­se Pflicht ist in Art.30 Abs.1 und 2 DS-GVO ge­re­gelt. Al­le an­de­ren Ar­beit­ge­ber­pflich­ten und Ar­beit­neh­mer­rech­te, die sich aus der DS-GVO er­ge­ben, fal­len von vorn­her­ein nicht un­ter die­se Aus­nah­me­re­ge­lung.

Klei­ne und kleins­te Ar­beit­ge­ber sind aber noch nicht ein­mal von der Pflicht zum Führen ei­nes Ver­zeich­nis­ses von Da­ten­ver­ar­bei­tungstätig­kei­ten be­freit, denn die Aus­nah­me­re­ge­lung un­ter an­de­rem in fol­gen­dem Fall nicht:

Die Ver­ar­bei­tung von Ar­beit­neh­mer­da­ten er­folgt "nicht nur ge­le­gent­lich", d.h. sie wird mit ei­ner ge­wis­sen Re­gelmäßig­keit vor­ge­nom­men.

Das ist bei je­dem Ar­beit­ge­ber zwangsläufig der Fall, denn er muss je­den Mo­nat (= "nicht nur ge­le­gent­lich") ei­ne Lohn­ab­rech­nung so­wie so­zi­al­ver­si­che­rungs­recht­li­che Bei­trags­mel­dun­gen er­stel­len. Aus die­sem Grund müssen al­le Ar­beit­ge­ber, auch wenn sie nur ei­nen oder zwei Ar­beit­neh­mer beschäfti­gen, ein Ver­zeich­nis von Da­ten­ver­ar­bei­tungstätig­kei­ten an­fer­ti­gen.

Im Er­geb­nis heißt das: Art.30 Abs.5 DS-GVO sieht zwar ei­ne Aus­nah­me von der Pflicht zur Ver­zeich­nis­er­stel­lung zu­guns­ten von Un­ter­neh­men mit we­ni­ger als 250 Mit­ar­bei­tern vor, doch ist die­se "Aus­nah­me" so for­mu­liert, dass sie prak­tisch nie zur An­wen­dung kom­men kann. Denn die Aus­nah­me gilt be­reits dann nicht, wenn der Ar­beit­ge­ber nicht nur „ge­le­gent­lich“ per­so­nen­be­zo­ge­ne Da­ten sei­ner Mit­ar­bei­ter ver­ar­bei­tet. Ei­ne sol­che (= nicht nur ge­le­gent­li­che bzw. re­gelmäßige) Da­ten­ver­ar­bei­tung be­trei­ben aber not­ge­drun­gen al­le Ar­beit­ge­ber, al­lein schon auf­grund der recht­li­chen Pflicht zur mo­nat­li­chen Lohn­ab­rech­nung.

Wer ist im Ar­beits­recht durch die DS-GVO und das BDSG geschützt?

Die DS-GVO re­gelt die Ver­ar­bei­tung „per­so­nen­be­zo­ge­ne Da­ten“, und das sind gemäß Art.4 Nr.1 DS-GVO „al­le In­for­ma­tio­nen, die sich auf ei­ne iden­ti­fi­zier­te oder iden­ti­fi­zier­ba­re natürli­che Per­son (…) be­zie­hen“, die sog. „be­trof­fe­ne Per­son“. Und gemäß Art.4 Nr.7 DS-GVO sind Ar­beit­ge­ber „ver­ant­wort­li­che Stel­le“ im Sin­ne der DS-GVO, denn sie ent­schei­den „über die Zwe­cke und Mit­tel der Ver­ar­bei­tung von per­so­nen­be­zo­ge­nen Da­ten“ der im Be­trieb täti­gen Per­so­nen.

Dem­zu­fol­ge sind sämt­li­che zum Be­trieb gehöri­gen natürli­chen Per­so­nen, de­ren Da­ten der Be­triebs­in­ha­ber bzw. Ar­beit­ge­ber ver­ar­bei­tet, als „be­trof­fe­ne Per­so­nen“ durch die DS-GVO geschützt. Da­zu gehören

  • Ar­beit­neh­mer,
  • Aus­zu­bil­den­de,
  • Be­wer­ber,
  • freie Mit­ar­bei­ter,
  • Prak­ti­kan­ten,
  • Leih­ar­beit­neh­mer so­wie
  • Mit­ar­bei­ter von Fremd­fir­men, die im Be­trieb un­ter der Re­gie der Fremd­fir­ma ar­bei­ten, falls der Be­triebs­in­ha­ber de­ren per­so­nen­be­zo­ge­ne Da­ten er­hebt.

Ähn­lich weit ist der persönli­che Schutz­be­reich des BDSG im Ar­beits­recht. Da­zu heißt es in § 26 Abs.8 BDSG:

„Beschäftig­te im Sin­ne die­ses Ge­set­zes sind:

  1. Ar­beit­neh­me­rin­nen und Ar­beit­neh­mer, ein­sch­ließlich der Leih­ar­beit­neh­me­rin­nen und Leih­ar­beit­neh­mer im Verhält­nis zum Ent­lei­her,
  2. zu ih­rer Be­rufs­bil­dung Beschäftig­te,
  3. Teil­neh­me­rin­nen und Teil­neh­mer an Leis­tun­gen zur Teil­ha­be am Ar­beits­le­ben so­wie an Abklärun­gen der be­ruf­li­chen Eig­nung oder Ar­beits­er­pro­bung (Re­ha­bi­litan­din­nen und Re­ha­bi­litan­den),
  4. in an­er­kann­ten Werkstätten für be­hin­der­te Men­schen Beschäftig­te,
  5. Frei­wil­li­ge, die ei­nen Dienst nach dem Ju­gend­frei­wil­li­gen­dien­ste­ge­setz oder dem Bun­des­frei­wil­li­gen­dienst­ge­setz leis­ten,
  6. Per­so­nen, die we­gen ih­rer wirt­schaft­li­chen Un­selbständig­keit als ar­beit­neh­merähn­li­che Per­so­nen an­zu­se­hen sind; zu die­sen gehören auch die in Heim­ar­beit Beschäftig­ten und die ih­nen Gleich­ge­stell­ten,
  7. Be­am­tin­nen und Be­am­te des Bun­des, Rich­te­rin­nen und Rich­ter des Bun­des, Sol­da­tin­nen und Sol­da­ten so­wie Zi­vil­dienst­leis­ten­de.

Be­wer­be­rin­nen und Be­wer­ber für ein Beschäfti­gungs­verhält­nis so­wie Per­so­nen, de­ren Beschäfti­gungs­verhält­nis be­en­det ist, gel­ten als Beschäftig­te.“

Was sind per­so­nen­be­zo­ge­ne Da­ten des Ar­beit­neh­mers?

Gemäß Art.4 Nr.1 DS-GVO sind „per­so­nen­be­zo­ge­ne Da­ten“ al­le In­for­ma­tio­nen, die sich auf ei­ne iden­ti­fi­zier­te oder iden­ti­fi­zier­ba­re natürli­che Per­son be­zie­hen; die­se Per­son heißt „be­trof­fe­ne Per­son“.

Im Ar­beits­recht gehören da­zu al­le In­for­ma­tio­nen, die in der Per­so­nal­ak­te ei­nes Ar­beit­neh­mers ent­hal­ten sind. Das sind ins­be­son­de­re

  • Be­wer­bungs­un­ter­la­gen,
  • ar­beits­ver­trag­li­che Ver­ein­ba­run­gen (Ar­beits­ver­trag, Ziel­ver­ein­ba­run­gen, Pro­vi­si­ons­re­ge­lun­gen),
  • Stamm­da­ten des Ar­beit­neh­mers (Na­me, An­schrift, Ge­burts­da­tum, Ge­schlecht, Kran­ken­kas­se, Lohn­steu­er­merk­ma­le),
  • Krank­heits­ta­ge und sons­ti­gen Fehl­zei­ten, so­wie
  • dienst­li­che Be­ur­tei­lun­gen (Be­ur­tei­lungsbögen, Ab­mah­nun­gen, Zeug­nis­se usw.).

Darüber hin­aus wer­den in vie­len Be­trie­ben auch per­so­nen­be­zo­ge­ne Da­ten von Ar­beit­neh­mern er­ho­ben und ge­spei­chert, die sich nicht oder nicht nur in der Per­so­nal­ak­te fin­den. Das sind z.B. durch EDV- oder Te­le­fon­an­la­gen er­ho­be­ne In­for­ma­tio­nen über An­we­sen­heits­zei­ten, Ar­beits­er­geb­nis­se, Ar­beits­un­ter­bre­chun­gen oder über Fahrt­we­ge von Außen­dienst­mit­ar­bei­tern.

Für die Er­he­bung, Spei­che­rung und Wei­ter­ver­wen­dung al­ler die­ser Da­ten braucht der Ar­beit­ge­ber ei­ne recht­li­che Er­laub­nis.

Wann be­treibt der Ar­beit­ge­ber „Da­ten­ver­ar­bei­tung“ im Sin­ne der DS-GVO?

Da­ten­schutz be­deu­tet im We­sent­li­chen, dass die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten an­de­rer Men­schen außer­halb der Pri­vat­sphäre ver­bo­ten ist (= Re­gel), es sei denn, es gibt für ei­ne sol­che Da­ten­ver­ar­bei­tung ei­ne ein­deu­ti­ge recht­li­che Er­laub­nis (= Aus­nah­me).

Das er­gibt sich aus Art.5 Abs.1 Buch­sta­be a) DS-GVO und Art.6 Abs1. DS-GVO, die vor­schrei­ben, dass für je­de Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten ei­ne Rechts­grund­la­ge er­for­der­lich ist. Und auch § 26 Abs.1 und Abs.2 BDSG schreibt vor, dass per­so­nen­be­zo­ge­ne Da­ten von Beschäftig­ten durch den Ar­beit­ge­ber nur ver­ar­bei­tet wer­den dürfen, wenn die dort ge­nann­ten ge­setz­li­chen Vor­aus­set­zun­gen vor­lie­gen.

Vor die­sem Hin­ter­grund (all­ge­mei­nes Ver­bot der Da­ten­ver­ar­bei­tung mit dem Aus­nah­me­vor­be­halt ei­ner recht­li­chen Er­laub­nis) könn­te man ver­mu­ten, dass nur be­son­ders „gefähr­li­che“ For­men der Ver­wen­dung und Auf­be­rei­tung von per­so­nen­be­zo­ge­nen Da­ten als „Da­ten­ver­ar­bei­tung“ un­ter die DS-GVO und/oder das BDSG fal­len, wie z.B. die au­to­ma­ti­sier­te Ge­sichts­er­ken­nung mit Hil­fe von aus­ge­fuchs­ten EDV-Pro­gram­men.

Das Ge­gen­teil steht im Ge­setz: Grundsätz­lich ver­bo­te­ne und da­her nur im Aus­nah­me­fall (bei Vor­lie­gen ei­ner recht­li­chen Er­laub­nis) er­laub­te Da­ten­ver­ar­bei­tung ist prak­tisch al­les, was mit per­so­nen­be­zo­ge­nen Da­ten ir­gend­wie zu tun hat.

Da­zu enthält Art.4 Nr.2 DS-GVO fol­gen­de De­fi­ni­ti­on: Der Aus­druck „Ver­ar­bei­tung“ (von Da­ten) im Sin­ne der DS-GVO be­zeich­net

„je­den mit oder oh­ne Hil­fe au­to­ma­ti­sier­ter Ver­fah­ren aus­geführ­ten Vor­gang oder je­de sol­che Vor­gangs­rei­he im Zu­sam­men­hang mit per­so­nen­be­zo­ge­nen Da­ten wie das Er­he­ben, das Er­fas­sen, die Or­ga­ni­sa­ti­on, das Ord­nen, die Spei­che­rung, die An­pas­sung oder Verände­rung, das Aus­le­sen, das Ab­fra­gen, die Ver­wen­dung, die Of­fen­le­gung durch Über­mitt­lung, Ver­brei­tung oder ei­ne an­de­re Form der Be­reit­stel­lung, den Ab­gleich oder die Ver­knüpfung, die Ein­schränkung, das Löschen oder die Ver­nich­tung“.

Ergänzend heißt es in Art.2 Abs1. DS-GVO:

„Die­se Ver­ord­nung gilt für die ganz oder teil­wei­se au­to­ma­ti­sier­te Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten so­wie für die nicht­au­to­ma­ti­sier­te Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten, die in ei­nem Da­tei­sys­tem ge­spei­chert sind oder ge­spei­chert wer­den sol­len.“

BEISPIEL: Ar­beit­ge­ber und Be­wer­ber sit­zen zu­sam­men im Vor­stel­lungs­gespräch. Der Be­wer­ber erzählt ein we­nig über sei­ne bis­he­ri­gen Ar­beits­verhält­nis­se, über sei­ne pri­va­te Le­bens­si­tua­ti­on und sei­ne Hob­bies. Der Ar­beit­ge­ber macht da­zu auf ei­nem Blatt Pa­pier stich­punkt­ar­tig hand­schrift­li­che No­ti­zen. Das Blatt mit den No­ti­zen hef­tet er nach dem Gespräch in ei­nen Leitz-Ord­ner mit der Auf­schrift „Ak­tu­el­le Be­wer­bun­gen“.

Hier „er­hebt“ der Ar­beit­ge­ber per­so­nen­be­zo­ge­ne Da­ten des Be­wer­bers, nämlich In­for­ma­tio­nen bzw. An­ga­ben zu sei­nem in­di­vi­du­el­len Be­rufs­weg, sei­nem Pri­vat­le­ben und sei­nen Frei­zeit­ak­ti­vitäten. Die­se Er­he­bung ge­schieht hand­schrift­lich, d.h. „oh­ne Hil­fe au­to­ma­ti­sier­ter Ver­fah­ren“, was nach der aus­drück­li­chen Klar­stel­lung in Art.4 Nr.2 DS-GVO un­ter den Be­griff der Da­ten­ver­ar­bei­tung fällt. Außer­dem „spei­chert“ der Ar­beit­ge­ber die von ihm (nicht au­to­ma­ti­siert) er­ho­be­nen Da­ten in ei­nem Da­tei­sys­tem. Auch ein gewöhn­li­cher Ak­ten­ord­ner wie hier der Leitz-Ord­ner ist nämlich ein „Da­tei­sys­tem“.

An­ders wäre es, wenn der Ar­beit­ge­ber kaum Be­wer­ber hätte und sei­nen No­tiz­zet­tel auf ei­nen großen un­sor­tier­ten Sta­pel von Wer­be­post le­gen würde, so dass er ihn nach ei­ni­gen Wo­chen nicht mehr fin­den könn­te. Dann wären sei­ne hand­schrift­li­chen No­ti­zen kei­ne „Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten“ im Sin­ne von Art.2 Abs.1 und Art.4 Nr.2 DS-GVO. Denn dann würde der Ar­beit­ge­ber kein „Da­tei­sys­tem“ (Art.2 Abs.1 DS-GVO) ver­wen­den, in dem er sei­ne No­ti­zen später wie­der­fin­den könn­te.

Was heißt Da­ten­ver­ar­bei­tung im Ar­beits­recht gemäß § 26 BDSG?

Das deut­sche Da­ten­schutz­recht geht an die­ser Stel­le, d.h. beim Be­griff der Da­ten­ver­ar­bei­tung im Ar­beits­recht, so­gar noch über Art.2 Abs.1 und Art.4 Nr.2 DS-GVO hin­aus. Denn gemäß § 26 Abs.7 BDSG liegt ei­ne „Ver­ar­bei­tung“ per­so­nen­be­zo­ge­ner Ar­beit­neh­mer­da­ten auch dann vor, wenn die­se Da­ten er­ho­ben wer­den, z.B. durch ei­ne Be­fra­gung, oh­ne dass sie über­haupt ge­spei­chert wer­den oder ge­spei­chert wer­den sol­len. § 26 Abs.7 BDSG lau­tet:

„Die Absätze 1 bis 6 sind auch an­zu­wen­den, wenn per­so­nen­be­zo­ge­ne Da­ten, ein­sch­ließlich be­son­de­rer Ka­te­go­ri­en per­so­nen­be­zo­ge­ner Da­ten, von Beschäftig­ten ver­ar­bei­tet wer­den, oh­ne dass sie in ei­nem Da­tei­sys­tem ge­spei­chert sind oder ge­spei­chert wer­den sol­len.“

BEISPIEL: Ar­beit­ge­ber und Be­wer­ber sit­zen zu­sam­men im Vor­stel­lungs­gespräch. Der Ar­beit­ge­ber fragt den Be­wer­ber nach sei­nen bis­he­ri­gen Ar­beits­verhält­nis­sen, nach sei­ner pri­va­ten Le­bens­si­tua­ti­on und nach sei­nen Hob­bies. Hand­schrift­li­che No­ti­zen zu den Ant­wor­ten macht sich der Ar­beit­ge­ber nicht.

Hier liegt in den Fra­gen des Ar­beit­ge­bers und den da­zu­gehöri­gen Ant­wor­ten des Be­wer­bers ei­ne Ver­ar­bei­tung (= Er­he­bung) von per­so­nen­be­zo­ge­nen Da­ten des Be­wer­bers, wo­bei es gemäß § 26 Abs.7 BDSG kei­ne Rol­le spielt, dass der Ar­beit­ge­ber die Ant­wor­ten nur in sei­nem Gedächt­nis „spei­chert“.

Da­mit stellt sich die Fra­ge, ob die­se Da­ten­ver­ar­bei­tung ge­recht­fer­tigt ist. Das ist bei den Fra­gen nach den bis­he­ri­gen Ar­beits­verhält­nis­sen der Fall, denn die­se In­for­ma­tio­nen braucht der Ar­beit­ge­ber „für die Ent­schei­dung über die Be­gründung ei­nes Beschäfti­gungs­verhält­nis­ses“ (§ 26 Abs.1 Satz 1 BDSG). Da­ge­gen sind die Fra­gen nach der pri­va­ten Le­bens­si­tua­ti­on und den Hob­bies des Be­wer­bers da­ten­schutz­recht­lich un­zulässig. Zulässig wäre es al­ler­dings, wenn der Be­wer­ber von sich aus An­ga­ben da­zu im Be­wer­bungs­gespräch ge­macht hätte.

Wel­che Grundsätze müssen Ar­beit­ge­ber bei der Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Ar­beit­neh­mer­da­ten be­ach­ten?

In Art.5 DS-GVO wer­den die wich­tigs­ten Grundsätze auf­ge­lis­tet, die Ar­beit­ge­ber bei der Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten von Ar­beit­neh­mern be­ach­ten müssen. Kon­kret sind das fol­gen­de Grundsätze:

  1. Rechtmäßig­keit der Da­ten­ver­ar­bei­tung: Per­so­nen­be­zo­ge­ne Ar­beit­neh­mer­da­ten müssen auf rechtmäßige Wei­se er­ho­ben wer­den, d.h. der Ar­beit­ge­ber braucht ei­ne Rechts­grund­la­ge für die Er­he­bung, Spei­che­rung und Ver­wen­dung der Da­ten (Art.5 Abs.1 Buch­sta­be a) DS-GVO).
  2. Trans­pa­renz der Da­ten­ver­ar­bei­tung, Be­ach­tung von Treu und Glau­ben: Per­so­nen­be­zo­ge­ne Ar­beit­neh­mer­da­ten müssen „nach Treu und Glau­ben“ (fair) und in ei­ner für den be­trof­fe­nen Ar­beit­neh­mer nach­voll­zieh­ba­ren Wei­se ver­ar­bei­tet wer­den, d.h. der Ar­beit­neh­mer muss wis­sen, wel­che Da­ten der Ar­beit­ge­ber er­hebt und war­um (Art.5 Abs.1 Buch­sta­be a) DS-GVO).
  3. Zweck­bin­dung der Da­ten­ver­ar­bei­tung: Ar­beit­ge­ber dürfen per­so­nen­be­zo­ge­ne Ar­beit­neh­mer­da­ten nur für „fest­ge­leg­te, ein­deu­ti­ge und le­gi­ti­me Zwe­cke“ er­he­ben, und sie dürfen die­se Da­ten nicht wei­ter­ver­ar­bei­ten, wenn die Wei­ter­ver­ar­bei­tung mit die­sen Zwe­cken nicht zu ver­ein­ba­ren wäre (Art.5 Abs.1 Buch­sta­be b) DS-GVO).
  4. Da­ten­mi­ni­mie­rung: Ar­beit­ge­ber dürfen per­so­nen­be­zo­ge­ne Ar­beit­neh­mer­da­ten nur er­he­ben, spei­chern und ver­wen­den, wenn die­se Da­ten­ver­ar­bei­tung im Rah­men des Ar­beits­verhält­nis­ses an­ge­mes­sen und auf das not­wen­di­ge Maß be­schränkt ist (Art.5 Abs.1 Buch­sta­be c) DS-GVO).
  5. Rich­tig­keit der Da­ten­ver­ar­bei­tung: Ar­beit­ge­ber müssen dar­auf ach­ten, dass die von ih­nen ge­spei­cher­ten Ar­beit­neh­mer­da­ten sach­lich rich­tig und auf dem neu­es­ten Stand sind. Dafür müssen sich Ar­beit­ge­ber zwar kein Bein aus­reißen, aber „an­ge­mes­se­ne Maßnah­men“ er­grei­fen, um un­rich­ti­ge Da­ten zu be­rich­ti­ge oder zu löschen (Art.5 Abs.1 Buch­sta­be d) DS-GVO).
  6. Spei­cher­be­gren­zung: Ar­beit­ge­ber dürfen per­so­nen­be­zo­ge­ne Ar­beit­neh­mer­da­ten nur so lan­ge spei­chern, wie das für die Zwe­cke der Da­ten­ver­ar­bei­tung er­for­der­lich ist. Da­nach müssen die Da­ten ent­we­der gelöscht oder so verändert wer­den, dass kein Be­zug mehr zu ei­nem be­stimm­ten Ar­beit­neh­mer her­ge­stellt wer­den kann (An­ony­mi­sie­rung, Pseud­ony­mi­sie­rung oder dgl.). Da­her muss je­der Ar­beit­ge­ber für sei­nen Be­trieb bzw. Un­ter­neh­men ein Löschkon­zept aus­ar­bei­ten, dem zu­fol­ge be­stimm­te Ar­beit­neh­mer­da­ten nach all­ge­mein fest­ge­leg­ten Fris­ten gelöscht oder an­ony­mi­siert / pseud­ony­mi­siert wer­den (Art.5 Abs.1 Buch­sta­be e) DS-GVO).
  7. In­te­grität und Ver­trau­lich­keit: Ar­beit­ge­ber müssen die von ih­nen ge­spei­cher­ten Ar­beit­neh­mer­da­ten „durch ge­eig­ne­te tech­ni­sche und or­ga­ni­sa­to­ri­sche Maßnah­men“ da­vor schützen, dass sie un­be­ab­sich­tigt ver­lo­ren ge­hen oder beschädigt bzw. zerstört wer­den, und sie müssen die Da­ten ge­genüber ei­nem un­be­fug­ten Zu­griff ab­si­chern (Art.5 Abs.1 Buch­sta­be f) DS-GVO).
  8. Re­chen­schafts­pflicht: Sch­ließlich müssen Ar­beit­ge­ber die o.g. Grundsätze nicht nur be­fol­gen, son­dern sie müssen da­zu in der La­ge sein, die Re­gel­be­fol­gung nach­zu­wei­sen (Art.5 Abs.2 DS-GVO).

Auf wel­che Vor­schrif­ten können Ar­beit­ge­ber die Rechtmäßig­keit der Da­ten­ver­ar­bei­tung stützen?

Wie oben erwähnt sind Ar­beit­ge­ber gemäß Art.5 Abs.1 Buch­sta­be a) DS-GVO da­zu ver­pflich­tet, Ar­beit­neh­mer­da­ten auf rechtmäßige Wei­se zu ver­ar­bei­ten. Wann ei­ne Da­ten­ver­ar­bei­tung rechtmäßig ist, re­gelt Art.6 DS-GVO. In Art.6 Abs.1 Satz 1 DS-GVO heißt es da­zu:

„Die Ver­ar­bei­tung ist nur rechtmäßig, wenn min­des­tens ei­ne der nach­ste­hen­den Be­din­gun­gen erfüllt ist:

a) Die be­trof­fe­ne Per­son hat ih­re Ein­wil­li­gung zu der Ver­ar­bei­tung der sie be­tref­fen­den per­so­nen­be­zo­ge­nen Da­ten für ei­nen oder meh­re­re be­stimm­te Zwe­cke ge­ge­ben;

b) die Ver­ar­bei­tung ist für die Erfüllung ei­nes Ver­trags, des­sen Ver­trags­par­tei die be­trof­fe­ne Per­son ist, oder zur Durchführung vor­ver­trag­li­cher Maßnah­men er­for­der­lich, die auf An­fra­ge der be­trof­fe­nen Per­son er­fol­gen;

c) die Ver­ar­bei­tung ist zur Erfüllung ei­ner recht­li­chen Ver­pflich­tung er­for­der­lich, der der Ver­ant­wort­li­che un­ter­liegt;
(…)

f) die Ver­ar­bei­tung ist zur Wah­rung der be­rech­tig­ten In­ter­es­sen des Ver­ant­wort­li­chen oder ei­nes Drit­ten er­for­der­lich, so­fern nicht die In­ter­es­sen oder Grund­rech­te und Grund­frei­hei­ten der be­trof­fe­nen Per­son, die den Schutz per­so­nen­be­zo­ge­ner Da­ten er­for­dern, über­wie­gen (…)“

Ergänzend da­zu hat Deutsch­land auf der Grund­la­ge von Art.88 DS-GVO ei­ne Re­ge­lung er­las­sen, die spe­zi­ell für Ar­beits­verhält­nis­se gilt, nämlich § 26 BDSG. § 26 Abs.1 Satz 1 BDSG lau­tet:

„Per­so­nen­be­zo­ge­ne Da­ten von Beschäftig­ten dürfen für Zwe­cke des Beschäfti­gungs­verhält­nis­ses ver­ar­bei­tet wer­den, wenn dies für die Ent­schei­dung über die Be­gründung ei­nes Beschäfti­gungs­verhält­nis­ses oder nach Be­gründung des Beschäfti­gungs­verhält­nis­ses für des­sen Durchführung oder Be­en­di­gung oder zur Ausübung oder Erfüllung der sich aus ei­nem Ge­setz oder ei­nem Ta­rif­ver­trag, ei­ner Be­triebs- oder Dienst­ver­ein­ba­rung (Kol­lek­tiv­ver­ein­ba­rung) er­ge­ben­den Rech­te und Pflich­ten der In­ter­es­sen­ver­tre­tung der Beschäftig­ten er­for­der­lich ist.“

Auf der Grund­la­ge die­ser ge­setz­li­chen Er­laub­nis­se sind ins­be­son­de­re fol­gen­de alltägli­che Da­ten­ver­ar­bei­tungs­vorgänge durch Ar­beit­ge­ber da­ten­schutz­recht­lich le­gal:

Per­so­nal­ak­ten: Das Führen von elek­tro­ni­schen Per­so­nal­ak­ten und/oder von Per­so­nal­ak­ten in Pa­pier­form ist ge­recht­fer­tigt auf der Grund­la­ge von Art.6 Abs.1 Satz 1 Buch­sta­be b) DS-GVO („Erfüllung ei­nes Ver­trags“) und auf der Grund­la­ge von § 26 Abs.1 Satz 1 BDSG („Durchführung ei­nes Beschäfti­gungs­verhält­nis­ses“).

In Per­so­nal­ak­ten darf der Ar­beit­ge­ber spei­chern

  • die Stamm­da­ten des Ar­beit­neh­mers (Na­me, Vor­na­me, Ge­burts­da­tum, Ein­tritts­da­tum, Ge­schlecht, An­schrift, Te­le­fon­num­mer, E-Mail-Adres­se),
  • Ar­beits­verträge und ergänzen­de ver­trag­li­che Ver­ein­ba­run­gen,
  • Zeug­nis­se vor­he­ri­ger Ar­beit­ge­ber so­wie be­rufs­zu­gangs­re­le­van­te Qua­li­fi­ka­tio­nen (Ge­sel­len­brie­fe, Di­plo­me, Ex­amens­zeug­nis­se),
  • lohn­steu­er­li­che Merk­ma­le (Un­ter­halts­pflich­ten, Re­li­gi­ons­zu­gehörig­keit),
  • die Mit­glied­schaft in ei­ner ge­setz­li­chen Kran­ken­kas­se oder pri­va­ten Kran­ken­ver­si­che­rung,
  • Ar­beits­an­wei­sun­gen und dienst­li­che Be­ur­tei­lun­gen (u.a. Aus­zeich­nun­gen, Er­mah­nun­gen, Ab­mah­nun­gen),
  • lau­fen­de Lohn­ab­rech­nun­gen,
  • vom Ar­beit­neh­mer er­brach­te Leis­tun­gen wie z.B. er­ziel­te Umsätze,
  • so­zi­al­ver­si­che­rungs­recht­li­che Mel­dun­gen, Bei­trags­mel­dun­gen, lohn­steu­er­li­che und so­zi­al­ver­si­che­rungs­recht­li­che Jah­res­mel­dun­gen,
  • Auf­zeich­nun­gen zu krank­heits­be­ding­ten und an­der­wei­ti­gen Fehl­zei­ten, zu Über­stun­den und zu Ur­laub­sa­gen,
  • so­wie schließlich auch Un­ter­la­gen zur Be­en­di­gung des Ar­beits­verhält­nis­ses (Kündi­gungs­erklärun­gen, Auf­he­bungs­ver­ein­ba­run­gen, Ab­wick­lungs­ver­ein­ba­run­gen).

Be­wer­bungs­un­ter­la­gen: Das Auf­be­wah­ren bzw. Spei­chern von Be­wer­ber­da­ten und Be­wer­bungs­un­ter­la­gen ist ge­recht­fer­tigt auf der Grund­la­ge von Art.6 Abs.1 Satz 1 Buch­sta­be b) DS-GVO („Durchführung vor­ver­trag­li­cher Maßnah­men, die auf An­fra­ge der be­trof­fe­nen Per­son er­fol­gen“) und auf der Grund­la­ge von § 26 Abs.1 Satz 1 BDSG („Ent­schei­dung über die Be­gründung ei­nes Beschäfti­gungs­verhält­nis­ses“).

Lohn­ab­rech­nun­gen, SV-Mel­dun­gen, Lohn­steu­er­an­mel­dun­gen: Die Da­ten­ver­ar­bei­tungs­vorgänge

  • für lau­fen­de und ein­ma­li­ge Ge­halts­ab­rech­nun­gen,
  • für die Er­stel­lung und Ver­sen­dung so­zi­al­ver­si­che­rungs­recht­li­cher Mel­dun­gen (Be­ginn und En­de der Beschäfti­gung, Un­ter­bre­chungs­mel­dun­gen usw.),
  • für die Be­rech­nung, Mel­dung und Abführung von So­zi­al­ver­si­che­rungs­beiträgen,
  • so­wie für die Be­rech­nung, Mel­dung und Abführung der Lohn­steu­er

sind mehr­fach ge­setz­lich ge­recht­fer­tigt, nämlich zum ei­nen durch Art.6 Abs.1 Satz 1 Buch­sta­be b) DS-GVO („Erfüllung ei­nes Ver­trags“) bzw. auf der Grund­la­ge von § 26 Abs.1 Satz 1 BDSG („Durchführung ei­nes Beschäfti­gungs­verhält­nis­ses“) so­wie zum an­de­ren auf der Grund­la­ge von Art.6 Abs.1 Satz 1 Buch­sta­be c) DS-GVO („Erfüllung ei­ner recht­li­chen Ver­pflich­tung, der der Ver­ant­wort­li­che un­ter­liegt“).

Die recht­li­chen Ver­pflich­tun­gen des Ar­beit­ge­bers er­ge­ben sich da­bei aus den ge­setz­li­chen Vor­schrif­ten über die So­zi­al­ver­si­che­rungs­pflicht und über die so­zi­al­ver­si­che­rungs­recht­li­chen Mel­dun­gen, Bei­trags­mel­dun­gen und den Ein­be­halt und die Abführung von So­zi­al­beiträgen (ins­be­son­de­re Vier­tes Buch So­zi­al­ge­setz­buch - SGB IV) so­wie aus den steu­er­recht­li­chen Vor­schrif­ten über den Ein­be­halt und die Abführung von Lohn- und Kir­chen­steu­ern (ins­be­son­de­re Ein­kom­men­steu­er­ge­setz - EStG, Lohn­steu­er­durchführungs­ver­ord­nung - LSt­DV).

Wenn der Ar­beit­ge­ber bei der Lohn­ab­rech­nung die Ta­rif­verträge ver­schie­de­ner Ge­werk­schaf­ten ne­ben­ein­an­der an­wen­det und sich da­bei nach der Ge­werk­schafts­zu­gehörig­keit der Ar­beit­neh­mer rich­tet, darf er auch (nach Ab­schluss des Ar­beits­ver­trags) die Ge­werk­schafts­zu­gehörig­keit er­fra­gen und zur Per­so­nal­ak­te spei­chern.

War­um soll­ten Ar­beit­ge­ber die Rechtmäßig­keit der Da­ten­ver­ar­bei­tung bes­ser nicht von ei­ner Ein­wil­li­gung des Ar­beit­neh­mers abhängig ma­chen?

Die in Art.6 Abs.1 Satz 1 Buch­sta­be a) DS-GVO ge­nann­te Ein­wil­li­gung des Be­trof­fe­nen bzw. des Ar­beit­neh­mers zur Ver­ar­bei­tung sei­ner Da­ten hat im Ver­gleich zu den o.g. Recht­fer­ti­gungs­gründen (Not­wen­dig­keit zur Ver­trags­be­gründung oder Ver­trags­durchführung, recht­li­che Pflicht zur Da­ten­ver­ar­bei­tung) ei­ne ge­rin­ge prak­ti­sche Be­deu­tung. Denn auf die­sen Recht­fer­ti­gungs­grund soll­ten sich Ar­beit­ge­ber nur in Aus­nah­mefällen be­ru­fen, und zwar aus zwei Gründen:

Ers­tens be­fin­den sich Ar­beit­neh­mer, vor al­lem beim Ab­schluss des Ar­beits­ver­trags, ty­pi­scher­wei­se in ei­ner un­ter­le­ge­nen Po­si­ti­on. Da­her ist die Rechts­wirk­sam­keit von da­ten­schutz­recht­li­chen Ein­wil­li­gun­gen des Ar­beit­neh­mers im­mer zwei­fel­haft (vgl. da­zu Art.7 Abs.4 DS-GVO, § 26 Abs.2 BDSG).

Zwei­tens können Ar­beit­neh­mer ei­ne ein­mal er­teil­te Ein­wil­li­gun­gen gemäß Art.7 Abs.3 Satz 1 DS-GVO je­der­zeit wi­der­ru­fen. Ab dem Zeit­punkt des Wi­der­rufs sind Da­ten­ver­ar­bei­tun­gen, die (nur) auf ei­ne Ein­wil­li­gung des Ar­beit­neh­mers gestützt sind, nicht mehr zulässig. Ar­beit­ge­ber müssen sich aber dar­auf ver­las­sen können, dass ih­re Da­ten­ver­ar­bei­tungs­vorgänge, wenn sie DS-GVO-kon­form aus­ge­stal­tet sind, im lau­fen­den Ar­beits­verhält­nis dau­er­haft le­gal sind bzw. le­gal blei­ben.

Was heißt trans­pa­ren­te Da­ten­ver­ar­bei­tung nach Treu und Glau­ben im Ar­beits­verhält­nis?

Ar­beit­ge­ber müssen gemäß Art.5 Abs.1 Buch­sta­be a) DS-GVO nicht nur auf die Rechtmäßig­keit der Ver­ar­bei­tung von per­so­nen­be­zo­ge­nen Ar­beit­neh­mer­da­ten ach­ten. Viel­mehr müssen die­se Da­ten auch „nach Treu und Glau­ben“ und in ei­ner für den be­trof­fe­nen Ar­beit­neh­mer „nach­voll­zieh­ba­ren Wei­se“ (= trans­pa­rent) ver­ar­bei­tet wer­den.

Ge­gen das Ge­bot von Treu und Glau­ben würde der Ar­beit­ge­ber ver­s­toßen, wenn er In­for­ma­tio­nen über den Ar­beit­neh­mer oder ei­nen Be­wer­ber heim­lich, d.h. hin­ter sei­nem Rücken er­hebt. Da­zu ent­hielt die al­te Fas­sung des BDSG das Ge­bot, In­for­ma­tio­nen im All­ge­mei­nen di­rekt beim Be­trof­fe­nen zu er­he­ben (§ 4 Abs.2 Satz 1 BDSG 1990). Ob­wohl die­se Re­ge­lung nicht aus­drück­lich in die DS-GVO über­nom­men wur­de, ist sie Be­stand­teil des Ver­bots ei­ner treu­wid­ri­gen Da­ten­ver­ar­bei­tung.

BEISPIEL: Der Ar­beit­ge­ber hat den ge­ne­rel­len Ver­dacht, dass sei­ne Ver­triebs­mit­ar­bei­ter nicht im­mer fleißig bei der Ar­beit sind, son­dern zu­wei­len pri­vat im In­ter­net sur­fen oder pri­va­te Te­le­fo­na­te führen. Kon­kre­te Ver­dachts­mo­men­te für ein sol­ches Ver­hal­ten gibt es nicht. Der Ar­beit­ge­ber setzt oh­ne Wis­sen der Ver­triebs­mit­ar­bei­ter ei­ne Spähsoft­ware („PC Agent“) ein (über ei­nen sol­chen Fall hat­te das Bun­des­ar­beits­ge­richt (BAG) ein­mal zu ent­schei­den, vgl. BAG, Ur­teil vom 26.10.2017, 6 AZR 158/16, wir be­rich­te­ten in Ar­beits­recht ak­tu­ell: 17/274 Dreijähri­ge Kündi­gungs­frist ist un­wirk­sam).

In die­sem Fall verstößt die heim­li­che Ar­beit­neh­merüber­wa­chung ge­gen das Ge­bot, Da­ten nur un­ter Be­ach­tung des Prin­zips von Treu und Glau­ben zu er­he­ben. Zu­gleich ver­letzt der Ar­beit­ge­ber das Trans­pa­renz­ge­bot.

Das Trans­pa­renz­ge­bot (Art.5 Abs.1 Buch­sta­be a) DS-GVO in Verb. mit Art.12 DS-GVO ver­pflich­tet Ar­beit­ge­ber da­zu, Da­ten in ei­ner für den Ar­beit­neh­mer nach­voll­zieh­ba­ren Wei­se zu ver­ar­bei­ten. Das Trans­pa­renz­ge­bot wird ab­ge­si­chert durch kon­kre­te ge­setz­li­che In­for­ma­ti­ons­pflich­ten des Ar­beit­ge­bers und ent­spre­chen­de Aus­kunfts­rech­te des Ar­beit­neh­mers.

Über die Art und Wei­se der In­for­ma­ti­on heißt es in Art.12 Abs.1 DS-GVO:

„Der Ver­ant­wort­li­che trifft ge­eig­ne­te Maßnah­men, um der be­trof­fe­nen Per­son al­le In­for­ma­tio­nen gemäß den Ar­ti­keln 13 und 14 und al­le Mit­tei­lun­gen gemäß den Ar­ti­keln 15 bis 22 und Ar­ti­kel 34, die sich auf die Ver­ar­bei­tung be­zie­hen, in präzi­ser, trans­pa­ren­ter, verständ­li­cher und leicht zugäng­li­cher Form in ei­ner kla­ren und ein­fa­chen Spra­che zu über­mit­teln (…).“

Kon­kret muss Ar­beit­ge­ber 

  • den Ar­beit­neh­mer von sich aus u.a. über die Zwe­cke, die Rechts­grund­la­ge(n), die Dau­er und ei­ne ggf. be­ste­hen­de recht­li­che Pflicht zur Da­ten­ver­ar­bei­tung in­for­mie­ren (Art.13 Abs.1 Buch­sta­be c), Abs.2 Buch­sta­be a) und e) DS-GVO),
  • dem Ar­beit­neh­mer auf des­sen Ver­lan­gen um­fas­sen­de Auskünf­te er­tei­len, u.a. über die Ver­ar­bei­tungs­zwe­cke, die Ka­te­go­ri­en der ver­ar­bei­te­ten per­so­nen­be­zo­ge­ner Da­ten, die Da­ten­empfänger (z.B. Be­triebsstätten-Fi­nanz­amt, Kran­ken­kas­se), die ge­plan­te Dau­er der Da­ten­spei­che­rung und das Be­ste­hen ei­nes Da­ten­be­rich­ti­gungs- und Be­schwer­de­rechts (Art.15 Abs.1 Buch­sta­ben a) bis f) DS-GVO).

Wann ver­s­toßen Ar­beit­ge­ber ge­gen die Zweck­bin­dung der Da­ten­ver­ar­bei­tung?

Zweck­bin­dung der Da­ten­ver­ar­bei­tung heißt, dass Ar­beit­ge­ber per­so­nen­be­zo­ge­ne Da­ten der Ar­beit­neh­mer nur für „fest­ge­leg­te, ein­deu­ti­ge und le­gi­ti­me Zwe­cke“ er­he­ben dürfen, und sie dürfen die­se Da­ten nicht wei­ter­ver­ar­bei­ten, wenn die Wei­ter­ver­ar­bei­tung mit die­sen Zwe­cken nicht zu ver­ein­ba­ren wäre (Art.5 Abs.1 Buch­sta­be b) DS-GVO).

Die Zweck­bin­dung der Da­ten­ver­ar­bei­tung hängt eng mit ih­rer Rechtmäßig­keit zu­sam­men: Nur wenn man weiß, wo­zu Da­ten ver­ar­bei­tet wer­den, kann man prüfen, auf wel­cher Rechts­grund­la­ge ei­ne sol­che Da­ten­ver­ar­bei­tung recht­lich zulässig ist. Da­her könn­te man er­war­ten, dass die DS-GVO bei nachträgli­chen Zweckände­run­gen der Da­ten­ver­ar­bei­tung vom Ver­ant­wort­li­chen ver­langt, dass er sich ei­ne neue pas­sen­de Rechts­grund­la­ge sucht und im Zwei­fel den Be­trof­fe­nen um ei­ne Ein­wil­li­gung bit­tet.

In die­ser Fra­ge ist die DS-GVO aber aus­nahms­wei­se ver­wen­der­freund­lich und da­mit im Ar­beits­recht ar­beit­ge­ber­freund­lich, wie sich an § 6 Abs.4 DS-GVO zeigt. Nach die­ser Vor­schrift ist es nämlich nicht von vorn­her­ein aus­ge­schlos­sen, 

  • dass die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Ar­beit­neh­mer­da­ten zu ei­nem an­de­ren Zweck er­folgt als zu dem Zweck, zu dem die Da­ten ursprüng­lich er­ho­ben wur­den, und
  • dass we­der ei­ne Ein­wil­li­gung des Ar­beit­neh­mers noch ei­ne kla­re ge­setz­li­che Er­laub­nis da­zu vor­liegt.

Dann muss der Ar­beit­ge­ber al­ler­dings in ei­ner Art Prüfver­fah­ren fest­stel­len, ob die Da­ten­ver­ar­bei­tung zu dem an­de­ren (neu­en, geänder­ten) Zweck mit dem ursprüng­li­chen Zweck der Da­ten­er­he­bung ver­ein­bar ist. Bei die­ser Ver­ein­bar­keitsprüfung „berück­sich­tigt“ der Ar­beit­ge­ber gemäß § 6 Abs.4 DS-GVO

„a) je­de Ver­bin­dung zwi­schen den Zwe­cken, für die die per­so­nen­be­zo­ge­nen Da­ten er­ho­ben wur­den, und den Zwe­cken der be­ab­sich­tig­ten Wei­ter­ver­ar­bei­tung,

b) den Zu­sam­men­hang, in dem die per­so­nen­be­zo­ge­nen Da­ten er­ho­ben wur­den, ins­be­son­de­re hin­sicht­lich des Verhält­nis­ses zwi­schen den be­trof­fe­nen Per­so­nen und dem Ver­ant­wort­li­chen,

c) die Art der per­so­nen­be­zo­ge­nen Da­ten, ins­be­son­de­re ob be­son­de­re Ka­te­go­ri­en per­so­nen­be­zo­ge­ner Da­ten gemäß Ar­ti­kel 9 ver­ar­bei­tet wer­den oder ob per­so­nen­be­zo­ge­ne Da­ten über straf­recht­li­che Ver­ur­tei­lun­gen und Straf­ta­ten gemäß Ar­ti­kel 10 ver­ar­bei­tet wer­den,

d) die mögli­chen Fol­gen der be­ab­sich­tig­ten Wei­ter­ver­ar­bei­tung für die be­trof­fe­nen Per­so­nen,

e) das Vor­han­den­sein ge­eig­ne­ter Ga­ran­ti­en, wo­zu Ver­schlüsse­lung oder Pseud­ony­mi­sie­rung gehören kann.“

BEISPIEL: Der Ar­beit­ge­ber möch­te den Be­trieb gemäß § 613a Bürger­li­ches Ge­setz­buch (BGB) an ei­nen Kauf­in­ter­es­sen­ten veräußern. Die Fol­ge ei­nes sol­chen Be­triebsüber­gangs wäre, dass der Er­wer­ber in die Rech­te und Pflich­ten der be­ste­hen­den Ar­beits­verhält­nis­se als neu­er Ar­beit­ge­ber ein­tritt (§ 613a Abs.1 Satz 1 BGB). Da­her möch­te der Kauf­in­ter­es­sent ge­nau wis­sen, wel­che Ar­beit­neh­mer (Al­ter? Qua­li­fi­ka­tio­nen? Dau­er der Beschäfti­gung?) auf der Grund­la­ge wel­cher Ar­beits­verträge (Ur­laubs­ansprüche? Ge­haltshöhe und -ent­wick­lung? Ta­rif­bin­dung?) im Be­trieb tätig sind. Der Kauf­in­ter­es­sent hat da­her ein Team von Anwälten und Be­triebs­wir­ten zu­sam­men­ge­stellt, das u.a. die Ar­beits­verträge auf Herz und Nie­ren prüfen soll (sog. „Due-di­li­gence-Prüfung“).

Hier im Bei­spiel ist die Ver­ar­bei­tung per­so­nen­be­zo­ge­ner Da­ten zum Zwe­cke der ju­ris­ti­schen Vor­ab-Be­wer­tung durch ei­nen Kauf­in­ter­es­sen­ten nicht mehr vom ursprüng­li­chen Zweck der Da­ten­er­he­bung ge­deckt, denn die­ser Zweck be­stand (und be­steht) in der Durchführung der Ar­beits­verhält­nis­se mit dem bis­he­ri­gen Ar­beit­ge­ber. Al­ler­dings sind die­se Zwe­cke auch nicht von vorn­her­ein mit­ein­an­der un­ver­ein­bar, denn in­fol­ge ei­nes Be­triebsüber­gangs würden die be­ste­hen­den Ar­beits­verhält­nis­se „eins zu eins“ über­ge­hen und der Be­trieb würde fort­geführt.

Hier muss der bis­he­ri­ge Ar­beit­ge­ber un­ter Berück­sich­ti­gung sei­ner Fürsor­ge­pflich­ten (Art.6 Abs.4 Buch­sta­be b) DS-GVO: „Verhält­nis zwi­schen den be­trof­fe­nen Per­so­nen und dem Ver­ant­wort­li­chen“) dar­auf ach­ten, dass der Kauf­in­ter­es­sent bzw. sei­ne Anwälte nur an­ony­mi­sier­te Per­so­nal­da­ten ein­se­hen können (Art.6 Abs.4 Buch­sta­be e) DS-GVO: „Ver­schlüsse­lung oder Pseud­ony­mi­sie­rung“), und dass sog. sen­si­ble Da­ten (im Sin­ne von Art.9 DS-GVO) wie z.B. die Krank­heits­da­ten ein­zel­ner Ar­beit­neh­mer in be­son­de­rer Wei­se vor der Kennt­nis­nah­me durch den Kauf­in­ter­es­sent bzw. sei­ne Be­vollmäch­tig­ten geschützt sind.

Es wäre mit der Zweck­bin­dung der Da­ten­ver­ar­bei­tung un­ver­ein­bar, wenn der Ar­beit­ge­ber im Vor­feld ei­ner ge­plan­ten Be­triebs­veräußerung ei­nem Kauf­in­ter­es­sen­ten ei­nen zu weit­ge­hen­den Zu­griff auf die Per­so­nal­ak­ten gewähren würde, d.h. ei­nen nicht durch An­ony­mi­sie­rung oder Pseud­ony­mi­sie­rung be­grenz­ten Voll­zu­griff.

In der da­ten­schutz­recht­li­chen Li­te­ra­tur wird darüber hin­aus ver­tre­ten, dass der Ar­beit­ge­ber, der sei­nen Be­trieb veräußern möch­te und da­her dem Kauf­in­ter­es­sen­ten kon­kre­te In­for­ma­tio­nen über die be­ste­hen­den Ar­beits­verhält­nis­se an die Hand ge­ben muss, bei ei­ni­gen (we­ni­gen) Führungs­kräften auch da­zu be­rech­tigt sein soll, dem In­ter­es­sen­ten nicht an­ony­mi­sier­te Per­so­nal­ak­ten die­ser Führungs­kräfte zur Verfügung zu stel­len. In die­sem Fall muss der Ar­beit­ge­ber aber die be­trof­fe­nen Führungs­kräfte gemäß Art. 13 Abs.3 DS-GVO vor­ab in­for­mie­ren. Die­se Vor­schrift lau­tet:

„Be­ab­sich­tigt der Ver­ant­wort­li­che, die per­so­nen­be­zo­ge­nen Da­ten für ei­nen an­de­ren Zweck wei­ter­zu­ver­ar­bei­ten als den, für den die per­so­nen­be­zo­ge­nen Da­ten er­ho­ben wur­den, so stellt er der be­trof­fe­nen Per­son vor die­ser Wei­ter­ver­ar­bei­tung In­for­ma­tio­nen über die­sen an­de­ren Zweck (…) zur Verfügung.“

Wel­che Ar­beit­neh­mer­da­ten soll­ten nach dem Grund­satz der „Da­ten­mi­ni­mie­rung“ ver­nich­tet oder gar nicht erst er­ho­ben wer­den?

Ar­beit­ge­ber dürfen per­so­nen­be­zo­ge­ne Da­ten der Ar­beit­neh­mer nur ver­ar­bei­ten, wenn dies im Rah­men des Ar­beits­verhält­nis­ses an­ge­mes­sen und auf das not­wen­di­ge Maß be­schränkt ist. Das be­sagt der Grund­satz der Da­ten­mi­ni­mie­rung (Art.5 Abs.1 Buch­sta­be c) DS-GVO).

Letzt­lich können nur die­je­ni­gen In­for­ma­tio­nen über Ar­beit­neh­mer er­ho­ben wer­den, die für das Ar­beits­verhält­nis von Be­deu­tung sind. Das gilt auch für das Be­wer­bungs­ver­fah­ren, denn Be­wer­ber gehören zu den von der DS-GVO und dem BDSG geschütz­ten Per­so­nen (Art.4 Nr.1 DS-GVO, § 26 Abs.8 Satz 2 BDSG).

Un­abhängig vom Da­ten­schutz ha­ben die Ar­beits­ge­rich­te das Fra­ge­recht des Ar­beit­ge­bers im Be­wer­bungs­ver­fah­ren be­reits seit vie­len Jah­ren er­heb­lich ein­ge­schränkt (und da­mit schon lan­ge vor In­kraft­tre­ten der DS-GVO). Vie­le Fra­gen des Ar­beit­ge­bers sind im Be­wer­bungs­gespräch seit eh und je recht­lich ta­bu.

Ge­setz­li­che Grund­la­ge für die­se Be­wer­tung wa­ren bis­lang vor al­lem die Dis­kri­mi­nie­rungs­ver­bo­te des All­ge­mei­nen Gleich­be­hand­lungs­ge­set­zes (AGG). Denn be­stimm­te Fra­gen können Be­wer­ber we­gen ei­nes der in § 1 AGG ge­nann­ten persönli­chen Merk­ma­le be­nach­tei­li­gen, al­so z.B. we­gen des Ge­schlechts, we­gen der eth­ni­schen Her­kunft oder we­gen ei­ner Be­hin­de­rung.

Ver­bo­ten sind ins­be­son­de­re

Stellt der Ar­beit­ge­ber im Be­wer­bungs­gespräch sol­che un­zulässi­gen Fra­gen, hat der Be­wer­ber ein sog. „Recht zur Lüge“, das heißt er darf die un­zulässi­ge Fra­ge wis­sent­lich falsch be­ant­wor­ten. Nähe­re In­for­ma­tio­nen da­zu fin­den Sie un­ter „Hand­buch Ar­beits­recht: Aus­kunfts­pflicht des Stel­len­be­wer­bers“.

Aber nicht nur dis­kri­mi­nie­ren­de Fra­gen sind im Be­wer­bungs­ver­fah­ren bzw. im Be­wer­bungs­gespräch ver­bo­ten, son­dern auch an­de­re (nicht ge­gen das AGG ver­s­toßen­de) Fra­gen, mit de­nen der Ar­beit­ge­ber "nur" zu weit­ge­hend im Pri­vat­le­ben ei­nes Be­wer­bers her­um­schnüffelt und da­mit ge­gen den Grund­satz der Da­ten­mi­ni­mie­rung (Art.5 Abs.1 Buch­sta­be c) DS-GVO) verstößt.

Aus die­sem Grun­de (Da­ten­mi­ni­mie­rung) un­zulässig sind da­her ins­be­son­de­re

  • die Fra­ge nach der pri­va­ten Le­bens- und Wohn­si­tua­ti­on,
  • die Fra­ge nach der Be­treu­ung der Kin­der des Be­wer­bers bzw. der Be­wer­be­rin,
  • die Fra­ge nach der Le­bens­pla­nung, z.B. nach ei­nem Kin­der­wunsch,
  • die Fra­ge nach der Frei­zeit­ge­stal­tung, d.h. nach Hob­bies oder sport­li­chen Ak­ti­vitäten,
  • die Fra­ge nach der fi­nan­zi­el­len Si­tua­ti­on,
  • die Fra­ge nach Vor­stra­fen oder lau­fen­den Er­mitt­lungs­ver­fah­ren, wenn die­se Fra­ge nicht auf be­stimm­te De­lik­te ein­ge­grenzt wird, z.B. auf die Fra­ge nach Straßen­ver­kehrs­de­lik­ten bei der Ein­stel­lung ei­nes Kraft­fah­rers oder auf die Fra­ge nach Vermögens­de­lik­ten bei der Ein­stel­lung ei­nes Buch­hal­ters oder Kas­sie­rers (wir be­rich­te­ten über ei­nen der­ar­ti­gen Fall in Ar­beits­recht ak­tu­ell: 12/356 Be­fra­gung des Stel­len­be­wer­bers zu Er­mitt­lungs­ver­fah­ren).

Aber auch im be­ste­hen­den Ar­beits­verhält­nis muss der Ar­beit­ge­ber we­gen des Grund­sat­zes der Da­ten­mi­ni­mie­rung dar­auf ach­ten, dass er die Pri­vat­sphäre des Ar­beit­neh­mers re­spek­tiert. Die Hob­bies und sons­ti­gen Frei­zeit­ak­ti­vitäten, die fi­nan­zi­el­le Si­tua­ti­on, ein eher „ge­sun­des“ oder eher „un­ge­sun­des“ Kon­sum- und/oder Frei­zeit­ver­hal­ten so­wie Krank­hei­ten ge­hen den Ar­beit­ge­ber im All­ge­mei­nen nichts an.

BEISPIEL: Ein Ar­beit­neh­mer mel­det sich am Mon­tag bei Ar­beits­be­ginn te­le­fo­nisch bei sei­nem Vor­ge­setz­ten ar­beits­unfähig krank und reicht im Lau­fe des Ta­ges ei­ne ärzt­li­che Ar­beits­unfähig­keits­be­schei­ni­gung ein. Aus dem At­test er­gibt sich, dass der Ar­beit­neh­mer vor­aus­sicht­lich bis ein­sch­ließlich Frei­tag ar­beits­unfähig er­krankt ist. Der Ar­beit­ge­ber ruft an und wünscht gu­te Bes­se­rung. Bei die­ser Ge­le­gen­heit fragt er, wor­an denn der Ar­beit­neh­mer er­krankt sei.

Ei­ne sol­che Fra­ge des Ar­beit­ge­bers nach der Krank­heit bzw. Ur­sa­che für ei­ne Ar­beits­unfähig­keit ist da­ten­schutz­recht­lich un­zulässig. Denn die ein­zi­ge In­for­ma­ti­on, die der Ar­beit­ge­ber braucht, um sei­ne Pflicht zur Ent­gelt­fort­zah­lung zu prüfen, ist die ärzt­li­che Krank­schrei­bung. Wei­ter­ge­hen­de In­for­ma­tio­nen bzw. Da­ten über die Krank­heit darf der Ar­beit­ge­ber nicht er­he­ben, und zwar auch nicht „nur“ münd­lich, da auch ei­ne sol­che Form der Da­ten­ver­ar­bei­tung gemäß § 26 Abs.7 BDSG un­ter den Be­griff der Da­ten­ver­ar­bei­tung im Ar­beits­recht fällt.

Außer­dem müssen Ar­beit­ge­ber kri­tisch über­prüfen, wel­che In­for­ma­tio­nen not­wen­di­ger Be­stand­teil der Per­so­nal­ak­te sind und wel­che In­for­ma­tio­nen dem­ge­genüber überflüssig sind. Da­ten über den Ar­beit­neh­mer, die in der Per­so­nal­ak­te ent­hal­ten sind, die aber für die Durchführung des Ar­beits­verhält­nis­ses kei­ne Rol­le spie­len, müssen aus der Per­so­nal­ak­te ent­fernt wer­den.

BEISPIEL: Ein Be­wer­ber hat sei­ne Be­wer­bungs­map­pe ein­ge­reicht. Sie enthält An­ga­ben zu sei­nen Hob­bies, zu eh­ren­amt­li­chen Tätig­kei­ten und zu sport­li­chen Ak­ti­vitäten. Außer­dem hat der Be­wer­ber Ko­pi­en sei­nes 20 Jah­re al­ten Ab­itur­zeug­nis­ses bei­gefügt. Nach er­folg­rei­chem Be­wer­bungs­ver­fah­ren wird er ein­ge­stellt. Der Ar­beit­ge­ber hef­tet die Be­wer­bungs­un­ter­la­gen zur Per­so­nal­ak­te.

In die­sem Fall liegt die Schul­zeit be­reits lan­ge Jah­re zurück, so dass die Schul­no­ten kei­nen Auf­schluss (mehr) über die Kennt­nis­se und Fähig­kei­ten des Be­wer­bers bzw. Ar­beit­neh­mers ge­ben. Auch die (frei­wil­li­gen) An­ga­ben in der Be­wer­bungs­map­pe über das Pri­vat­le­ben des Be­wer­bers bzw. Ar­beit­neh­mers sind für das Ar­beits­verhält­nis oh­ne Be­deu­tung. Der Ar­beit­ge­ber muss da­her gemäß dem Grund­satz der Da­ten­mi­ni­mie­rung ent­we­der die ge­sam­te Be­wer­bungs­map­pe nach der Ein­stel­lung des Be­wer­bers ver­nich­ten oder er muss sich dar­auf be­schränken, nur die be­rufs­re­le­van­ten Qua­li­fi­ka­ti­on in die Per­so­nal­ak­te zu über­neh­men.

Was folgt aus dem Grund­satz der „Rich­tig­keit der Da­ten­ver­ar­bei­tung“ im Ar­beits­recht?

Gemäß Art.5 Abs.1 Buch­sta­be d) DS-GVO, dem Prin­zip der Rich­tig­keit der Da­ten­ver­ar­bei­tung, müssen per­so­nen­be­zo­ge­ne Da­ten des Ar­beit­neh­mers, die der Ar­beit­ge­ber ver­ar­bei­tet,

„sach­lich rich­tig und er­for­der­li­chen­falls auf dem neu­es­ten Stand sein; es sind al­le an­ge­mes­se­nen Maßnah­men zu tref­fen, da­mit per­so­nen­be­zo­ge­ne Da­ten, die im Hin­blick auf die Zwe­cke ih­rer Ver­ar­bei­tung un­rich­tig sind, un­verzüglich gelöscht oder be­rich­tigt wer­den („Rich­tig­keit“)“.

Aus die­ser Vor­schrift folgt

  • das Ver­bot, per­so­nen­be­zo­ge­ne Da­ten des Ar­beit­neh­mers sach­lich un­rich­tig zu spei­chern,
  • das Ge­bot, ver­al­te­te Da­ten zu ak­tua­li­sie­ren („auf dem neu­es­ten Stand“), und
  • das Ge­bot, un­rich­ti­ge Da­ten un­verzüglich zu löschen oder zu be­rich­ti­gen.

Die­se Ar­beit­ge­ber­pflich­ten wer­den ergänzt durch ei­nen An­spruch des Ar­beit­neh­mers auf Be­rich­ti­gung und Ver­vollständi­gung un­rich­ti­ger bzw. un­vollständi­ger Da­ten (Art.16 DS-GVO). Außer­dem hat der Ar­beit­neh­mer das Recht, vom Ar­beit­ge­ber die vorüber­ge­hen­de Ein­schränkung der Ver­ar­bei­tung sol­cher per­so­nen­be­zo­ge­ner Da­ten zu ver­lan­gen, die er für un­rich­tig hält (Art.18 Abs.1 Buch­sta­be a) DS-GVO).

BEISPIEL: Ei­ne Ar­beit­neh­me­rin hat während ih­rer El­tern­zeit ge­hei­ra­tet und ih­ren Na­men geändert. Außer­dem ha­ben sie und ihr Mann die Re­ge­lung ge­trof­fen, dass ihr ge­mein­sa­mes Kind je­weils zur Hälf­te bei je­dem der Ehe­leu­te steu­er­lich berück­sich­tigt wird, so dass die Ar­beit­neh­me­rin nach ih­rer Rück­kehr aus der El­tern­zeit die Berück­sich­ti­gung ei­nes hälf­ti­gen Lohn­steu­er­frei­be­trag ver­lan­gen kann, d.h. das Kind ist zur Hälf­te bzw. mit 0,5 in ih­re lohn­steu­er­li­chen Stamm­da­ten ein­zu­pfle­gen.

In die­sem Bei­spiel kann die Ar­beit­neh­me­rin gemäß Art.16 DS-GVO vom Ar­beit­ge­ber die Be­rich­ti­gung ih­res Na­mens in der Per­so­nal­ak­te ver­lan­gen so­wie außer­dem, dass der Ar­beit­ge­ber die in der Per­so­nal­ak­te geführ­ten steu­er­li­chen Stamm­da­ten so ändert, dass das Kind mit 0,5 bei der Lohn­ab­rech­nung berück­sich­tigt wird.

Wann sind Be­wer­ber- und Ar­beit­neh­mer­da­ten nach dem Grund­satz der Spei­cher­be­gren­zung zu ver­nich­ten?

Gemäß Art.5 Abs.1 Buch­sta­be e) DS-GVO dürfen Ar­beit­ge­ber per­so­nen­be­zo­ge­ne Da­ten ih­rer Ar­beit­neh­mer auch dann, wenn er sie ursprüng­lich zu­recht er­ho­ben bzw. ver­ar­bei­tet wur­den, nicht zeit­lich un­be­grenzt spei­chern bzw. auf­be­wah­ren. Die­se Da­ten müssen viel­mehr, so Art.5 Abs.1 Buch­sta­be e) DS-GVO,

„in ei­ner Form ge­spei­chert wer­den, die die Iden­ti­fi­zie­rung der be­trof­fe­nen Per­so­nen nur so lan­ge ermöglicht, wie es für die Zwe­cke, für die sie ver­ar­bei­tet wer­den, er­for­der­lich ist“.

Ent­spre­chend dem Grund­satz der Trans­pa­renz der Da­ten­ver­ar­bei­tung (Art.5 Abs.1 Buch­sta­be a) DS-GVO, s. oben) muss der Ar­beit­neh­mer auch frühzei­tig, nämlich zum Zeit­punkt der Da­ten­er­he­bung, in­for­miert wer­den über

„die Dau­er, für die die per­so­nen­be­zo­ge­nen Da­ten ge­spei­chert wer­den oder, falls dies nicht möglich ist, die Kri­te­ri­en für die Fest­le­gung die­ser Dau­er“ (Art.13 Abs.2 Buch­sta­be a) DS- GVO).

Prak­tisch be­deu­tet das für die Dau­er der (di­gi­ta­len oder pa­pier­ge­bun­de­nen) Spei­che­rung von per­so­nen­be­zo­ge­nen Be­wer­ber- und Ar­beit­neh­mer­da­ten, 

  • dass Ar­beit­ge­ber ver­schie­de­ne Grup­pen bzw. Ka­te­go­ri­en von Ar­beit­neh­mer­da­ten bil­den müssen, die sie in ih­rem Be­trieb oder Un­ter­neh­men er­he­ben,
  • dass sie für je­de Da­ten­grup­pe spe­zi­el­le Auf­be­wah­rungs­fris­ten fest­le­gen müssen, d.h. ent­schei­den müssen, wie lan­ge wel­che Da­ten auf­be­wahrt wer­den können / müssen, und aus wel­chen recht­li­chen Gründen das der Fall ist, was dar­auf hin­ausläuft,
  • dass Ar­beit­ge­ber ein be­triebs­in­di­vi­du­el­les Löschkon­zept aus­ar­bei­ten müssen, dem zu­fol­ge die ver­schie­de­nen Grup­pen bzw. Ka­te­go­ri­en von Ar­beit­neh­mer­da­ten nach all­ge­mein fest­ge­leg­ten Fris­ten gelöscht oder an­ony­mi­siert / pseud­ony­mi­siert wer­den.

Für ei­ni­ge ty­pi­sche Grup­pen bzw. Ka­te­go­ri­en von Be­wer­ber- und Ar­beit­neh­mer­da­ten sind fol­gen­de Auf­be­wah­rungs­fris­ten bzw. Löschungs­zeit­punk­te sinn­voll und recht­lich gut ver­tret­bar:

Initia­tiv­be­wer­bun­gen: Initia­tiv­be­wer­bun­gen dürfen ver­nich­tet wer­den, oh­ne dass der Be­wer­ber darüber ge­son­dert in­for­miert wer­den muss, denn die Adres­sa­ten sol­cher Be­wer­bun­gen sind kei­ne „Ver­ant­wort­li­chen“ im Sin­ne von Art.4 Abs.7 DS-GVO.

Be­wer­bungs­un­ter­la­gen auf der Grund­la­ge von Stel­len­aus­schrei­bun­gen: Be­wer­bun­gen, die auf der Grund­la­ge ei­ner Stel­len­aus­schrei­bung des Ar­beit­ge­bers in Pa­pier­form oder (wie heu­te prak­tisch aus­sch­ließlich) per E-Mail beim Ar­beit­ge­ber ein­ge­hen, muss der Ar­beit­ge­ber nach herr­schen­der Mei­nung un­ter Ar­beits­recht­lern nicht auf sei­ne Kos­ten zurück­sen­den, falls die Be­wer­bung kei­nen Er­folg hat. Für die vorüber­ge­hen­de Auf­be­wah­rung der Be­wer­bungs­un­ter­la­gen kann sich der Ar­beit­ge­ber auf den Recht­fer­ti­gungs­grund des Art.6 Abs.1 Buch­sta­be f) DS-GVO be­ru­fen, d.h. auf sei­ne ei­ge­nen „be­rech­tig­ten In­ter­es­sen“.

Denn ab­ge­lehn­te Be­wer­ber können mögli­cher­wei­se Ansprüche auf Gel­dentschädi­gung we­gen ei­ner (aus ih­rer Sicht vor­lie­gen­den) Dis­kri­mi­nie­rung gemäß dem AGG gel­tend ma­chen, so dass der Ar­beit­ge­ber ein be­rech­tig­tes In­ter­es­se dar­an hat, den Um­gang mit der Be­wer­bung später nach­wei­sen zu können. Da­bei müssen er­folg­lo­se Be­wer­ber, wenn sie Ansprüche we­gen ei­ner (an­geb­li­chen) Dis­kri­mi­nie­rung gel­tend ma­chen wol­len, ih­re (an­geb­li­chen) Ansprüche zwei Mo­na­te nach Zu­gang der Ab­leh­nung beim Ar­beit­ge­ber schrift­lich gel­tend ma­chen (§ 15 Abs.4 Satz 1 AGG), und sie ha­ben da­nach noch ein­mal drei Mo­na­te Zeit zur Er­he­bung ei­ner Kla­ge (§ 61b Abs.1 Ar­beits­ge­richts­ge­setz - ArbGG).

Da­her kann der Ar­beit­ge­ber (un­ter Ein­rech­nung ei­nes Si­cher­heits­puf­fers) die Be­wer­bungs­un­ter­la­gen ab­ge­lehn­ter Be­wer­ber sechs Mo­na­te nach der Ab­leh­nung des Be­wer­bers auf­be­wah­ren.

Be­wer­bungs­un­ter­la­gen ein­ge­stell­ter Be­wer­ber: Schnel­ler als im Fal­le ab­ge­lehn­ter Be­wer­ber, nämlich un­verzüglich, soll­ten Ar­beit­ge­ber die Be­wer­bungs­un­ter­la­gen (ganz oder teil­wei­se) ver­nich­ten, nach­dem sie ei­nen Be­wer­ber ein­ge­stellt ha­ben.

Denn nach dem Prin­zip der Da­ten­mi­ni­mie­rung muss man da­von aus­ge­hen, dass er­heb­li­che Tei­le von Be­wer­bungs­map­pen für die Durchführung des Ar­beits­verhält­nis­ses unnötig sind. Überflüssi­ge Un­ter­la­gen und In­for­ma­tio­nen wie z.B. Be­wer­bungs­schrei­ben, al­te Schul­zeug­nis­se oder An­ga­ben zu Hob­bies im Le­bens­lauf gehören nicht in die Per­so­nal­ak­te.

Lohn­steu­er­li­che Ab­rech­nungs­un­ter­la­gen / Lohn­kon­to: Ar­beit­ge­ber müssen mo­nat­li­che Lohn­ab­rech­nun­gen vor­neh­men und da­bei die Lohn­steu­er kor­rekt er­mit­teln, ein­be­hal­ten und an das Be­triebsstätten-Fi­nanz­amt abführen. Da­zu müssen sie für je­den Ar­beit­neh­mer ein Lohn­kon­to führen, das ins­be­son­de­re fol­gen­de Ar­beit­neh­mer­da­ten enthält:

Für die­se Da­ten bzw. für das ent­spre­chen­de Lohn­kon­to gilt auf­grund steu­er- und ab­ga­ben­recht­li­cher Vor­schrif­ten (§ 41 Abs.1 Ein­kom­men­steu­er­ge­setz - EStG in Verb. mit § 4 LSt­DV) ei­ne lohn­steu­er­recht­li­che Auf­be­wah­rungs­frist von sechs Jah­ren (§ 41 Abs.1 Satz 9 EStG). Die Frist be­ginnt mit dem Ab­lauf des Ka­len­der­jah­res, in dem die letz­te Lohn- und Ge­halts­ab­rech­nung vor­ge­nom­men wur­de. Dem­ent­spre­chend dürfen die­se Da­ten auch gemäß der DS-GVO sechs Jah­re lang auf­be­wahrt wer­den, denn der Ar­beit­ge­ber erfüllt da­mit ei­ne ihn tref­fen­de recht­li­che Ver­pflich­tung (Art.6 Abs.1 Buch­sta­be c) DS-GVO).

Ar­beits­verträge, Lohn­ab­rech­nun­gen: Pri­va­te Ar­beit­ge­ber sind zur er­trags­steu­er­li­chen Buch­hal­tung ver­pflich­tet, d.h. zu ei­ner ord­nungs­gemäßen Fi­nanz­buch­hal­tung, aus der sich der jähr­li­che Ge­winn oder Ver­lust er­gibt. Zur Fi­nanz­buch­hal­tung gehören al­le Un­ter­la­gen, die kon­kre­te Be­triebs­aus­ga­ben be­le­gen.

Bei den Lohn­kos­ten sind das ins­be­son­de­re

  • ar­beits­ver­trag­li­che Lohn- und Ge­halts­ver­ein­ba­run­gen,
  • lau­fen­de Lohn­ab­rech­nun­gen,
  • lau­fen­de Bei­trags­mel­dun­gen zu den Kran­ken­kas­sen,
  • et­wai­ge mit Ar­beit­neh­mern ge­trof­fe­ne Ver­rech­nungs­ab­re­den, Gut­schrif­ten und Mahn­schrei­ben,
  • In­for­ma­tio­nen über und Do­ku­men­te be­tref­fend Kos­ten­er­stat­tun­gen (Rei­se­kos­ten, Auf­wands­entschädi­gun­gen usw.),
  • Un­ter­la­gen über ei­ne et­wai­ge Ti­tu­lie­rung von Lohn­for­de­run­gen so­wie
  • wei­te­re Un­ter­la­gen mit Be­zug auf die fi­nan­zi­el­len As­pek­te des Ar­beits­verhält­nis­ses, da die­se Un­ter­la­gen zu den Büchern und Auf­zeich­nun­gen bzw. zu den Bu­chungs­be­le­gen im Sin­ne von § 147 Abs.1 Nr.1 und Nr.4 Ab­ga­ben­ord­nung (AO) gehören.

Für die­se Da­ten (Bücher, Auf­zeich­nun­gen, Bu­chungs­be­le­ge) gilt auf­grund ge­setz­li­cher Vor­schrift (§ 147 Abs.1 Nr.1 und Nr.4, Abs.3 Satz 1, Abs.4 Satz 1 AO) ei­ne er­trags­steu­er­li­che Auf­be­wah­rungs­pflicht von zehn Jah­ren. Die Frist be­ginnt mit dem Ab­lauf des Steu­er- bzw. Ka­len­der­jah­res, in dem die letz­te das Ar­beits­verhält­nis be­tref­fen­de Bu­chung vor­ge­nom­men oder ei­ne Lohn- bzw. Ge­halts­ab­rech­nung er­stellt wird.

Die­se zehnjähri­ge er­trags­steu­er­li­che Auf­be­wah­rungs­pflicht be­zieht sich auf die oben ge­nann­ten Da­ten und Do­ku­men­te aber nur in­so­weit, als sie für die Fi­nanz­buch­hal­tung, d.h. für Bi­lan­zen, Jah­res­ab­schlüsse oder Ein­nah­men-Über­schuss-Rech­nun­gen von Be­deu­tung sind. Auch bei die­ser Auf­be­wah­rungs­frist kann sich der Ar­beit­ge­ber auf die „Erfüllung ei­ner recht­li­chen Ver­pflich­tung“ be­ru­fen (Art.6 Abs.1 Buch­sta­be c) DS-GVO).

So­zi­al­ver­si­che­rungs­recht­li­che Ab­rech­nungs­un­ter­la­gen: Ar­beit­ge­ber müssen gemäß § 28f Abs.1 Satz 1 Vier­tes Buch So­zi­al­ge­setz­buch (SGB IV) so­zi­al­ver­si­che­rungs­recht­lich re­le­van­te Ent­gelt­un­ter­la­gen auf­be­wah­ren, ins­be­son­de­re

  • die Ab­rech­nungs­da­ten des ein­zel­nen Ar­beit­neh­mers,
  • die Kran­ken­kas­sen­zu­gehörig­keit,
  • die Be­rech­nung bzw. die Zu­sam­men­set­zung der mo­nat­li­chen Brut­to- und Net­to­bezüge,
  • die dar­aus er­rech­ne­ten Bei­trags­mel­dun­gen und
  • sons­ti­ge So­zi­al­ver­si­che­rungs­mel­dun­gen

so­wie ähn­li­che Da­ten, die für die tur­nusmäßig („min­des­tens“) al­le vier Jah­re durch­geführ­ten Be­triebs­prüfun­gen (§ 28p Abs.1 Satz 1 SGB IV) re­le­vant sind.

Die Auf­be­wah­rungs­pflicht des Ar­beit­ge­bers in Be­zug auf die so­zi­al­ver­si­che­rungs­recht­li­chen Da­ten beträgt ein Ka­len­der­jahr. Die Ka­len­der­jah­res­frist be­ginnt mit dem Ab­lauf Ka­len­der­jah­res, in dem die letz­te Be­triebs­prüfun­gen gemäß § 28p Abs.1 SGB IV durch­geführt wur­de (§ 28f Abs.1 Satz 1 SGB IV). In­fol­ge der Abhängig­keit der Jah­res­frist von dem Zeit­punkt der letz­ten Be­triebs­prüfung kann sich ei­ne Verlänge­rung der Auf­be­wah­rungs­pflicht ge­genüber der lohn­steu­er­recht­li­chen Sechs­jah­res­frist er­ge­ben. Die Recht­fer­ti­gung für die­se Auf­be­wah­rungs­frist ist wie­der­um die „Erfüllung ei­ner recht­li­chen Ver­pflich­tung“ be­ru­fen (Art.6 Abs.1 Buch­sta­be c) DS-GVO).

Ab­mah­nun­gen: Ei­ne Be­son­der­heit gilt für Ab­mah­nun­gen auf­grund der Recht­spre­chung des Bun­des­ar­beits­ge­richts (BAG) zu den Vor­aus­set­zun­gen ei­ner außer­or­dent­li­chen und/oder or­dent­li­chen ver­hal­tens­be­ding­ten Kündi­gung durch den Ar­beit­ge­ber, mit de­nen der Ar­beit­ge­ber auf Vermögens­de­lik­te im Ba­ga­tell­be­reich re­agiert.

Hier­zu hat das BAG im Jah­re 2010 ent­schie­den, dass klei­ne­re Diebstähle, Un­ter­schla­gun­gen, oder Be­trugs­ver­su­che des Ar­beit­neh­mers nach lan­ger Beschäfti­gungs­dau­er nicht zur frist­lo­sen Kündi­gung be­rech­ti­gen, falls das Ar­beits­verhält­nis bis zu die­sem (ein­ma­li­gen) Fehl­tritt des Ar­beit­neh­mers störungs­frei ver­lau­fen ist Ur­teil (BAG, Ur­teil vom 10.06.2010, 2 AZR 541/09 (Bar­ba­ra Em­me / „Em­me­ly“), wir be­rich­te­ten in Ar­beits­recht ak­tu­ell: 10/136 Em­me­ly ar­bei­tet wie­der als Kas­sie­re­rin). Um vor Ge­richt ggf. nach­wei­sen zu können, dass ein Ar­beits­verhält­nis nicht störungs­frei ver­lau­fen ist, muss der Ar­beit­ge­ber in der La­ge sein, Ab­mah­nun­gen und Er­mah­nun­gen im Prin­zip zeit­lich un­be­grenzt (al­ler­dings nur bis zur Be­en­di­gung des Ar­beits­verhält­nis­ses) auf­zu­be­wah­ren.

Lohn­ab­rech­nungs­un­ter­la­gen aus­ge­schie­de­ner Ar­beit­neh­mer: Wenn Ar­beit­neh­mer aus dem Ar­beits­verhält­nis aus­schei­den, stellt sich die Fra­ge, wie lan­ge der Ar­beit­ge­ber da­zu be­rech­tigt ist, per­so­nen­be­zo­ge­ne Ar­beit­neh­mer­da­ten wei­ter­hin auf­zu­be­wah­ren. Hier gilt zunächst die o.g. zehnjähri­ge er­trags­steu­er­li­che Auf­be­wah­rungs­frist bzw. das dar­aus fol­gen­de da­ten­schutz­recht­li­che Auf­be­wah­rungs­recht (§ 147 Abs.1 Nr.1 und Nr.4, Abs.3 Satz 1, Abs.4 Satz 1 AO).

Un­abhängig da­von können sich Ar­beit­ge­ber da­ne­ben auch an der (al­ler­dings deut­lich kürze­ren) all­ge­mei­nen ge­setz­li­chen Verjährungs­frist von drei Ka­len­der­jah­ren ori­en­tie­ren. Die Frist be­ginnt mit En­de des Ka­len­der­jah­res (= 31. De­zem­ber) , in dem der Ar­beit­neh­mer aus dem Ar­beits­verhält­nis aus­ge­schie­den ist, da mit Ab­lauf die­ser Verjährungs­frist Ansprüche aus dem Ar­beits­verhält­nis verjähren, z.B. auf rückständi­gen Lohn, auf Ur­laubs­ab­gel­tung, auf Ent­gelt­fort­zah­lung im Krank­heits­fall usw., § 195 Bürger­li­ches Ge­setz­buch (BGB) in Verb. mit § 199 Abs.1 BGB.

Für die­se dreijähri­ge (Min­dest-)Auf­be­wah­rungs­zeit von Lohn­ab­rech­nungs­un­ter­la­gen aus­ge­schie­de­ner Ar­beit­neh­mer kann der Ar­beit­ge­ber auf den Recht­fer­ti­gungs­grund des Art.6 Abs.1 Buch­sta­be f) DS-GVO ver­wei­sen, d.h. auf sei­ne ei­ge­nen „be­rech­tig­ten In­ter­es­sen“.

Stamm­da­ten und Un­ter­la­gen zur Be­en­di­gung aus­ge­schie­de­ner Ar­beit­neh­mer: Auch wenn das Ar­beits­verhält­nis be­reits länger als drei bzw. länger als zehn Jah­re be­en­det ist, darf der Ar­beit­ge­ber ei­ni­ge (we­ni­ge) Stamm­da­ten des Ar­beit­neh­mers (Na­me, Vor­na­me, Funk­ti­on, Ein­tritts- und Aus­tritts­da­tum, Ge­burts­da­tum) so­wie Un­ter­la­gen zur Be­en­di­gung des Ar­beits­verhält­nis­ses (Kündi­gungs­erklärun­gen, Auf­he­bungs­verträge, Ab­wick­lungs­verträge, Ge­richts­ur­tei­le, ge­richt­li­che Ver­glei­che) auf­be­wah­ren, und zwar zeit­lich un­be­grenzt.

An­dern­falls wäre er nicht da­zu in der La­ge, nach z.B. zehn, 20 oder 30 Jah­ren nach­zu­voll­zie­hen, wel­che recht­li­chen Tat­bestände zur Be­en­di­gung des Ar­beits­verhält­nis­ses geführt ha­ben und wann ge­nau das Ar­beits­verhält­nis be­en­det wur­de. Da Ar­beit­neh­mer kei­ne da­ten­schutz­recht­li­chen Ver­pflich­tun­gen dem Ar­beit­ge­ber ge­genüber ha­ben, können sie Ver­trags­un­ter­la­gen und Lohn­ab­rech­nun­gen zeit­lich un­be­grenzt auf­be­wah­ren, und auf die­ser Grund­la­ge können sie auch nach lan­ger Zeit ar­beits­ver­trag­li­che Ansprüche gel­tend ma­chen, ins­be­son­de­re auf Beschäfti­gung und Lohn­zah­lung. Vor die­sem Hin­ter­grund muss es dem Ar­beit­ge­ber möglich sein, die o.g. Stamm­da­ten so­wie Un­ter­la­gen zur Ver­trags­be­en­di­gung oh­ne zeit­li­che Gren­ze auf­zu­be­wah­ren.

Die­ses Recht wird er­gibt sich auch dar­aus, dass die sach­grund­lo­se Be­fris­tung ei­nes Ar­beits­ver­tra­ges gemäß § 14 Abs.2 Satz 2 Teil­zeit- und Be­fris­tungs­ge­setz (Tz­B­fG) recht­lich un­wirk­sam ist, wenn zwi­schen den Ver­trags­par­tei­en "be­reits zu­vor" ein Ar­beits­verhält­nis be­stan­den hat. Da­bei ist "be­reits zu­vor" zu ver­ste­hen im Sin­ne von "ir­gend­wann ein­mal in der Ver­gan­gen­heit", d.h. ei­ne zeit­li­che Gren­ze gilt hier nicht. Das hat das Bun­des­ver­fas­sungs­ge­richt (BVerfG) im Som­mer 2018 ent­ge­gen ei­ner an­ders­lau­ten­den Recht­spre­chung des Bun­des­ar­beits­ge­richts (BAG) klar­ge­stellt (BVerfG, Be­schluss vom 06.06.2018, 1 BvL 7/14 und 1 BvR 1375/14, wir be­rich­te­ten in Ar­beits­recht ak­tu­ell 18/143: BAG-Recht­spre­chung zum Vor­beschäfti­gungs­ver­bot ge­kippt).

Auch aus die­sem Grund muss der Ar­beit­ge­ber nach­voll­zie­hen können, wel­che Ar­beit­neh­mer bei ihm ein­mal beschäftigt wa­ren, auch zu lan­ge zurück­lie­gen­den Zei­ten.

Für das zeit­lich un­be­grenz­te Auf­be­wah­rungs­recht in Be­zug auf (ei­ni­ge we­ni­ge) Stamm­da­ten und Un­ter­la­gen zur Ver­trags­be­en­di­gung können sich Ar­beit­ge­ber auf Art.6 Abs.1 Buch­sta­be f) DS-GVO be­ru­fen, d.h. auf ih­re ei­ge­nen „be­rech­tig­ten In­ter­es­sen“.

Was soll­ten Ar­beit­ge­ber tun, um die „In­te­grität und Ver­trau­lich­keit“ der Da­ten­ver­ar­bei­tung zu gewähr­leis­ten?

Gemäß Art.5 Abs.1 Buch­sta­be f) DS-GVO müssen Ar­beit­neh­mer­da­ten

„in ei­ner Wei­se ver­ar­bei­tet wer­den, die ei­ne an­ge­mes­se­ne Si­cher­heit der per­so­nen­be­zo­ge­nen Da­ten gewähr­leis­tet, ein­sch­ließlich Schutz vor un­be­fug­ter oder un­rechtmäßiger Ver­ar­bei­tung und vor un­be­ab­sich­tig­tem Ver­lust, un­be­ab­sich­tig­ter Zerstörung oder un­be­ab­sich­tig­ter Schädi­gung durch ge­eig­ne­te tech­ni­sche und or­ga­ni­sa­to­ri­sche Maßnah­men (>In­te­grität und Ver­trau­lich­keit<)“.

Aus dem Grund­satz der In­te­grität und Ver­trau­lich­keit er­ge­ben sich für Ar­beit­ge­ber ins­be­son­de­re fol­gen­de Pflich­ten:

In Pa­pier­form geführ­te Per­so­nal­ak­ten müssen un­ter Ver­schluss ge­hal­ten wer­den, d.h. sie müssen in ei­nem ab­sch­ließba­ren Raum und/oder in ei­nem ab­sch­ließba­ren Schrank auf­be­wahrt wer­den. Ähn­lich ge­si­chert wer­den müssen elek­tro­nisch geführ­te Per­so­nal­ak­ten, d.h. auch hier ist si­cher­zu­stel­len, dass (ggf. ne­ben dem be­trof­fe­nen Ar­beit­neh­mer) nur Per­so­nal­ver­ant­wort­li­che bzw. Mit­ar­bei­ter der Per­so­nal­ab­tei­lung Zu­griff auf die elek­tro­ni­schen Per­so­nal­ak­ten ha­ben.

Ar­beit­ge­ber soll­ten elek­tro­ni­sche Per­so­nal­ak­ten durch re­gelmäßige Back-ups si­chern, um ei­nem Da­ten­ver­lust in­fol­ge tech­ni­scher Pan­nen vor­zu­beu­gen.

In Pa­pier geführ­te Per­so­nal­ak­ten und an­de­re, in Pa­pier­form vor­han­de­ne per­so­nen­be­zo­ge­ne Da­ten von Be­wer­bern und Ar­beit­neh­mern müssen im Fal­le ei­ner Da­tenlöschung durch den Reißwolf ver­nich­tet wer­den.

Sch­ließlich müssen Ar­beit­ge­ber be­son­ders vor­sich­tig sein beim Um­gang mit sog. sen­si­blen Da­ten im Sin­ne von Art.9 Abs.1 DS-GVO. Prak­tisch geht es da­bei vor al­lem um Da­ten zu ei­ner Re­li­gi­ons- oder Ge­werk­schafts­zu­gehörig­keit so­wie um Ge­sund­heits­da­ten des Ar­beit­neh­mers.

Die­se Da­ten darf der Ar­beit­ge­ber ver­ar­bei­ten, da er an­dern­falls sei­ne Ar­beit­ge­ber­pflich­ten nicht erfüllen könn­te, z.B. bei der Abführung von Kir­chen­steu­ern („re­li­giöse Über­zeu­gun­gen“), bei der ta­rif­ge­rech­ten Be­zah­lung („Ge­werk­schafts­zu­gehörig­keit“) oder bei der Ent­gelt­fort­zah­lung, beim Mut­ter­schutz oder beim Schwer­be­hin­der­ten­schutz („ Ge­sund­heits­da­ten“), wie sich aus Art.9 Abs.2 Buch­sta­be b) DS-GVO er­gibt.

Bei der Ver­ar­bei­tung die­ser sen­si­blen Da­ten, ins­be­son­de­re zu Krank­hei­ten, muss der Ar­beit­ge­ber dar­auf ach­ten, dass die un­be­ab­sich­tig­te Kennt­nis­nah­me durch ei­nen Per­so­nal­sach­be­ar­bei­ter, z.B. bei der mo­nat­li­chen Lohn­ab­rech­nung, ver­hin­dert wird. Das kann z.B. da­durch ge­sche­hen, dass Krank­schrei­bun­gen, ärzt­li­che At­tes­te und dies­bezügli­che Kor­re­spon­denz zwi­schen Ar­beit­ge­ber und Ar­beit­neh­mer zwar in der Per­so­nal­ak­te, dort aber in ei­nem be­son­de­ren, ver­schlos­se­nen Um­schlag auf­be­wahrt wer­den (BAG, Ur­teil vom 12.09.2006, 9 AZR 271/06).

Was folgt aus der Re­chen­schafts­pflicht des Ar­beit­ge­bers über die Ver­ar­bei­tung von Ar­beit­neh­mer­da­ten?

Gemäß Art.5 Abs.2 DS-GVO ist der Ar­beit­ge­ber als ver­ant­wort­li­che Stel­le nicht nur (selbst­verständ­lich) für die Ein­hal­tung der o.g. da­ten­schutz­recht­li­chen Grundsätze ver­ant­wort­lich (was be­reits aus Art.4 Nr.7 DS-GVO folgt), son­dern er muss die Ein­hal­tung die­ser Grundsätze „nach­wei­sen können“.

Um die­se sog. Re­chen­schafts­pflicht zu erfüllen, müssen Ar­beit­ge­ber ins­be­son­de­re

  • ein sog. Ver­zeich­nis von Ver­ar­bei­tungstätig­kei­ten an­le­gen, in dem die vom Ar­beit­ge­ber ver­ar­bei­te­ten per­so­nen­be­zo­ge­nen Ar­beit­neh­mer­da­ten und der Um­gang des Ar­beit­ge­bers mit die­sen Da­ten do­ku­men­tiert wird (Art.30 DS-GVO),
  • ge­eig­ne­te „ge­eig­ne­te tech­ni­sche und or­ga­ni­sa­to­ri­sche Maßnah­men“ (TOM) er­grei­fen bzw. „um­set­zen“, um si­cher­zu­stel­len und um nach­wei­sen können, dass die Ver­ar­bei­tung von Ar­beit­neh­mer­da­ten all­ge­mein den An­for­de­run­gen der DS-GVO ent­spricht (Art.24 Abs.1 DS-GVO) und ins­be­son­de­re ein an­ge­mes­se­ner Schutz vor Da­ten­ver­lus­ten und un­be­fug­ten Zu­grif­fen gewähr­leis­tet ist (Art.32 DS-GVO),
  • von sich aus die Ar­beit­neh­mer über die Da­ten­ver­ar­bei­tung in­for­mie­ren, und zwar „in präzi­ser, trans­pa­ren­ter, verständ­li­cher und leicht zugäng­li­cher Form in ei­ner kla­ren und ein­fa­chen Spra­che“ (Art.12 Abs.1 Satz 1 DS-GVO), wo­bei an­de­rer­seits aber gemäß Art.13 DS-GVO ei­ne ziem­lich lan­ge Lis­te von not­wen­di­gen In­for­ma­tio­nen ab­ge­ar­bei­tet wer­den muss.

Wo fin­den Sie mehr zum The­ma Da­ten­schutz im Ar­beits­recht?

Wei­te­re In­for­ma­tio­nen, die Sie im Zu­sam­men­hang mit dem The­ma Da­ten­schutz im Ar­beits­recht in­ter­es­sie­ren könn­ten, fin­den Sie hier:


Kom­men­ta­re un­se­res An­walts­teams zu ak­tu­el­len Fra­gen rund um das The­ma Da­ten­schutz im Ar­beits­recht fin­den Sie hier: 

Letzte Überarbeitung: 30. November 2018

Was können wir für Sie tun?

Wenn Sie als Ar­beit­neh­mer, Ar­beit­ge­ber, Be­triebs­rat oder Be­triebs­rats­mit­glied Fra­gen zum Da­ten­schutz im Ar­beits­recht ha­ben, be­ra­ten wir Sie ger­ne.

In mit­be­stimm­ten Be­trie­ben soll­ten Ar­beit­ge­ber und Be­triebs­rä­te über­le­gen, ob sie Fra­gen des be­trieb­li­chen Da­ten­schut­zes in ei­ner Da­ten­schutz-Be­triebs­ver­ein­ba­rung re­geln möch­ten bzw. wel­chen In­halt ei­ne sol­che Be­triebs­ver­ein­ba­rung sinn­vol­ler­wei­se ha­ben soll­te. Bei der Über­prü­fung, For­mu­lie­rung und beim Aus­han­deln sol­cher Be­triebs­ver­ein­ba­run­gen un­ter­stüt­zen wir Sie ger­ne.

Je nach La­ge des Fal­les bzw. ent­spre­chend Ih­ren Wün­schen tre­ten wir ent­we­der nach au­ßen nicht in Er­schei­nung oder aber wir ver­han­deln in Ih­rem Na­men mit der Ge­gen­par­tei.

Für ei­ne mög­lichst ra­sche und ef­fek­ti­ve Be­ra­tung be­nö­ti­gen wir fol­gen­de Un­ter­la­gen:

  • Ty­pi­sche Ar­beits­ver­trä­ge in an­ony­mi­sier­ter / pseud­ony­mi­sier­ter Form
  • Be­triebs­ver­ein­ba­run­gen zum Da­ten­schutz (falls vor­han­den)
  • Be­triebs­ver­ein­ba­run­gen zu tech­ni­schen Ein­rich­tun­gen im Sin­ne von § 87 Nr.6 Be­triebs­ver­fas­sungs­ge­setz (Be­trVG)
Bewertung: 4.0 von 5 Sternen (1 Bewertung)

Auf Facebook teilen Auf Google+ teilen Ihren XING-Kontakten zeigen Beitrag twittern

 

Sie möchten regelmäßig ausführliche, praxisnahe und verständliche Artikel zum Arbeitsrecht, Informationen zu Gesetzesänderungen und zu aktuellen Gerichtsurteilen erhalten? Dann abonnieren Sie unseren Newsletter!
NEWSLETTER
Anrede Vorname
Email* Nachname
  Abmelden   *Pflichtangabe

HINWEIS: Sämtliche Texte dieser Internetpräsenz mit Ausnahme der Gesetzestexte und Gerichtsentscheidungen sind urheberrechtlich geschützt. Urheber im Sinne des Gesetzes über Urheberrecht und verwandte Schutzrechte (UrhG) ist Rechtsanwalt und Fachanwalt für Arbeitsrecht Dr. Martin Hensche, Lützowstraße 32, 10785 Berlin.

Wörtliche oder sinngemäße Zitate sind nur mit vorheriger schriftlicher Genehmigung des Urhebers bzw. bei ausdrücklichem Hinweis auf die fremde Urheberschaft (Quellenangabe iSv. § 63 UrhG) rechtlich zulässig. Verstöße hiergegen werden gerichtlich verfolgt.

© 1997 - 2018:
Rechtsanwalt Dr. Martin Hensche, Berlin
Fachanwalt für Arbeitsrecht
Lützowstraße 32, 10785 Berlin
Telefon: 030 - 26 39 62 0
Telefax: 030 - 26 39 62 499
E-mail: hensche@hensche.de