Beschäftigtendatenschutz

Ein Arbeitsverhältnis ist immer auch ein Datenverhältnis. Nirgends sonst laufen personenbezogene Daten in solcher Dichte zusammen wie in der Personalabteilung – und nirgends sonst passieren deshalb so viele Fehler. Beschäftigtendatenschutz folgt dabei eigenen Regeln, die neben der DSGVO stehen.

Externen DSB anfragen

Warum der Beschäftigtendatenschutz eigenen Regeln folgt

Sehen Sie sich an, was zwischen Stellenanzeige und Archivierung der Personalakte zusammenkommt: Bewerbungsunterlagen, Gehaltsdaten, Gesundheitsnachweise, Leistungsbeurteilungen, Zeiterfassung, Zutrittsprotokolle, E-Mail-Verkehr, Ortungsdaten von Dienstfahrzeugen, Fotos für Intranet und Website, bei modernen Zugangssystemen auch biometrische Daten.

Der europäische Gesetzgeber hat diese Besonderheit erkannt. Art. 88 DSGVO erlaubt den Mitgliedstaaten, für den Beschäftigungskontext eigene, genauere Vorschriften zu erlassen. Deutschland nutzt diese Möglichkeit mit § 26 BDSG.

Die allgemeinen Grundsätze der Verordnung gelten dadurch nicht weniger – sie werden nur durch ein zusätzliches Regelwerk ergänzt. Wer das übersieht, riskiert mehr als ein Bußgeld: Beweisverwertungsverbote im Prozess, unwirksame Kündigungen und Schadensersatzansprüche nach Art. 82 DSGVO.

Die Rechtsgrundlagen in der richtigen Reihenfolge

§ 26 Abs. 1 BDSG als Regelfall

Für alles, was unmittelbar mit dem Arbeitsverhältnis zusammenhängt, ist die Rechtsgrundlage bereits gefunden. Der Gesetzeswortlaut stellt darauf ab, ob die Verarbeitung „für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist”.

Auf dem Wort „erforderlich” liegt dabei das Gewicht. Es bedeutet nicht „praktisch” oder „hilfreich”, sondern: Ohne diese Verarbeitung lässt sich der konkrete Zweck nicht erreichen.

Zwei weitere Grundlagen treten daneben. Art. 6 Abs. 1 lit. c DSGVO deckt gesetzliche Pflichten ab – Lohnsteuer, Sozialversicherung. Und Art. 6 Abs. 1 lit. f DSGVO trägt dort, wo eine Verarbeitung nicht direkt aus dem Arbeitsverhältnis folgt, betrieblich aber notwendig ist, etwa bei Zutrittskontrollsystemen.

Warum die Einwilligung selten trägt

Der häufigste Fehler in Personalabteilungen ist gut gemeint: Man holt sicherheitshalber für alles eine Einwilligung ein. Tatsächlich ist sie im Arbeitsverhältnis die riskanteste aller Rechtsgrundlagen.

§ 26 Abs. 2 BDSG verlangt, dass die Einwilligung freiwillig und informiert erteilt wird, sich auf einen bestimmten Zweck bezieht und jederzeit widerrufen werden kann. Genau an der Freiwilligkeit hakt es: Zwischen Arbeitgeber und Beschäftigten besteht ein strukturelles Machtgefälle, das echte Wahlfreiheit regelmäßig in Zweifel zieht.

Eine brauchbare Prüfregel für den Alltag: Fragen Sie sich, was passiert, wenn die Person nicht unterschreibt. Entsteht ihr dadurch ein Nachteil, ist die Einwilligung mit hoher Wahrscheinlichkeit unwirksam – und mit ihr die gesamte darauf gestützte Verarbeitung.

Recruiting: die erste Phase des Lebenszyklus

Schon vor dem ersten Arbeitstag greifen die Pflichten.

Bewerbende informieren. Wer Bewerbungen entgegennimmt, muss vor oder spätestens bei der Erhebung einen Datenschutzhinweis nach Art. 13 DSGVO bereitstellen.

Active Sourcing. Sprechen Sie Kandidaten von sich aus an, stützt sich das auf Art. 6 Abs. 1 lit. f DSGVO. Reagiert die Person nicht, sind die Daten zu löschen. Schattenprofile – also dauerhaft gepflegte Datensätze über Personen, die nie mit Ihnen in Kontakt getreten sind – sind unzulässig.

Wann welche Unterlagen wieder verschwinden müssen, gehört in Ihr Löschkonzept; die einzelnen Verarbeitungen ins Verarbeitungsverzeichnis.

Was bei Fehlern droht

Die Besonderheit dieses Bereichs liegt in der doppelten Folge. Neben dem datenschutzrechtlichen Risiko – Bußgeld und Schadensersatz nach Art. 82 DSGVO – steht das arbeitsrechtliche: Wer Daten unzulässig erhoben hat, kann sie im Verfahren häufig nicht verwerten. Eine auf solche Daten gestützte Kündigung hält dann nicht.

Praktisch relevant wird das vor allem bei Überwachungsmaßnahmen – Videoüberwachung, Ortung, Auswertung von Protokolldaten. Dort ist die Mitbestimmung des Betriebsrats zusätzlich zu beachten.

Vorbeugen lässt sich am ehesten durch Schulung der Personalabteilung: Die meisten Verstöße entstehen nicht aus Absicht, sondern aus Routine.

Kontakt

Sie wollen Ihre HR-Prozesse überprüfen lassen – vom Bewerbungsformular bis zur Personalakte? Das Erstgespräch ist unverbindlich.