Beschäftigtendatenschutz: Neue Empfehlungen für Arbeitgeber

Berlin, 05.09.2017 - Vor dem Hintergrund der technischen Entwicklungen hat die Artikel 29-Datenschutzgruppe - das unabhängige Beratungsgremium der Europäischen Kommission in Fragen des Datenschutzes - eine überarbeitete Stellungnahme zum Beschäftigtendatenschutz vorgelegt.

Darin bewertet sie, wie aus ihrer Sicht eine Balance zwischen den Interessen der Arbeitgeber und den Erwartungen der Beschäftigten an den Datenschutz hergestellt werden kann. Sie stellt sowohl auf die gegenwärtige Rechtslage als auch auf die zukünftig geltende europäische Datenschutz-Grundverordnung ab.

Empfehlungen zum Umgang mit Daten für Arbeitgeber

Die Datenschutzgruppe legt mit diesem Papier eine Empfehlung zum Umgang mit Daten vor, die unter Nutzung von neuen Technologien verarbeitet werden. Dabei werden die gesetzlichen Vorgaben eng ausgelegt. Es ist davon auszugehen, dass auch die deutschen Aufsichtsbehörden sich an den getroffenen Vorgaben orientieren werden.

Dabei müssen aus Sicht des MITTELSTANDSVERBUNDES nationale Besonderheiten Berücksichtigung finden. Das gilt z. B. für den Bereich der Einwilligung. So hat das BAG festgestellt, dass eine Einwilligungserklärung auch im Arbeitsverhältnis eine rechtmäßige Grundlage für die Verarbeitung von Beschäftigtendaten sein kann (BAG, 11. Dezember 2014, 8 AZR 1010/13). Auch das ab dem 25. Mai 2018 anzuwendende Recht sieht in § 26 Absatz 2 BDSG-neu vor, dass eine Einwilligung im Beschäftigungsverhältnis grundsätzlich möglich ist.

Die wichtigsten Hinweise im Überblick

In dem Papier werden insbesondere folgende Aussagen getroffen:

• Einwilligung

Aus Sicht der Datenschutzgruppe ist die Einwilligung im Beschäftigungsverhältnis kritisch zu bewertet. Für die Mehrzahl der Fälle sei die Einwilligung im Beschäftigungsverhältnis keine Rechtsgrundlage, auf die man sich bei der Verarbeitung von Beschäftigtendaten stützen könne bzw. sollte.

Sollte eine Einwilligung gleichwohl eine rechtmäßige Grundlage für die Datenverarbeitung sein, so müsse sie ein für den konkreten Fall und in Kenntnis der Sachlage erfolgter aktiv geäußerter Wunsch des Beschäftigten sein.

• Bewerbungsverfahren

Die Gruppe setzt sich mit dem Umgang mit Social Media im Bewerbungsprozess auseinander. Arbeitgeber dürften nicht allein deshalb Daten aus einem Nutzerprofil verarbeiten, weil das Profil öffentlich zugänglich sei. Der Arbeitgeber solle vielmehr bei der Abwägung heranziehen, ob es sich um ein privates oder ein berufliches Profil handle. Daten, die während des Bewerbungsverfahrens angefallen seien, könnten nur unter bestimmten Umständen gespeichert bleiben.

• Überwachung

Während des Beschäftigungsverhältnisses dürfe keine allgemeine Überwachung von Social Media Profil von Beschäftigten stattfinden. Es könne aber auch Fälle, wie die Überprüfung nachvertraglicher Wettbewerbsklauseln geben, in denen das berufliche Profil überprüft werden könnten. Eine durchgehende Überwachung der Aktivitäten bleibe auch weiterhin unzulässig.

Sollte z. B. Verschlüsselungstechnologie genutzt werden, so sei es wichtig, sie so einzurichten, dass die dauerhafte Erfassung der Aktivitäten des Beschäftigten verhindert werde. Hier müsste die Verhältnismäßigkeit gewahrt werden und zudem Anwendungsregelungen eingeführt werden. Würden cloud-basierte Anwendungen genutzt, so sei sicherzustellen, dass Beschäftigte bestimmte private Bereiche bestimmen könnten, auf die der Arbeitgeber nur bei besonderen Umständen zugreifen könne.

• Bring your own device

Bei der dienstlichen Nutzung von Privatgeräten könne die Überwachung von Standort und Datenverkehr ein rechtmäßiges Interesse darstellen, um personenbezogene Daten zu schützen. Hiervon dürften jedoch keine privaten Daten des Beschäftigten erfasst werden. Deshalb sollten Maßnahmen eingeführt werden, die sicherstellen, dass der dienstliche und der private Bereich des Gerätes getrennt sind.