Stellungnahme der Hamburger Datenschutzgesellschaft e.V. zum BDSG-neu, 29.03.2017
Neuer Beschäftigtendatenschutzparagraph:
Gesetzgeber sollte sich nicht vor Klarstellung drücken

Der Bundestag ist im Begriff, ein neues Bundesdatenschutzgesetz („BDSG-neu“) zu verabschieden. Es soll zum einen Vorschriften schaffen, die nach der neuen unmittelbar wirksamen DSGVO vom Mitgliedstaatengesetzgeber umzusetzen sind und vor allem auch Spielräume der DSGVO, gerade auch im Beschäftigtendatenschutz und bei Informationspflichten, ausschöpfen. Leider wird beim Beschäftigtendatenschutz nicht geregelt, wann künftig Beschäftigtendaten verarbeitet werden dürfen.

Regelung der DSGVO

Nach der Datenschutz-Grundverordnung dürfen Unternehmen erforderliche Daten verarbeiten, wenn eine rechtliche Verpflichtung (Art. 6 Abs. 1 Satz 1 lit. c), ein Vertrag/Vorvertrag (Art. 6 Abs. 1 Satz 1 lit. b), ein überwiegendes Interesse des Verantwortlichen oder eines Dritten (Art. 6 Abs. 1 Satz 1 lit. f), die Zweckvereinbarkeit (Art. 6 Abs. 4), eine Einwilligung (Art. 6 Abs. 1 Satz 1 lit. a) oder der Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 Satz 1 lit. d) gegeben ist. Für den Beschäftigtendatenschutz sieht die DSGVO eigene Regelungen durch die Mitgliedstaaten vor (Art. 88). In Deutschland fehlt bei dieser eigenen Regelung, dem vorgeschlagenen § 26 BDSG-neu, die Erlaubnis „überwiegendes Interesse“.

Regelungsabsicht des deutschen Gesetzgebers

Laut Regierungsentwurf zum neuen BDSG will man mit § 26 BDSG-neu den Beschäftigtendatenschutz weitgehend national und DSGVO-unabhängig regeln. Der Entwurf passt sich im Wortlaut weitgehend der aus dem aktuellen BDSG bekannten Regelung (§ 32 BDSG) an und erweitert sie. Die Datenverarbeitung wird für zulässig erklärt, wenn es für den Arbeitsvertrag oder für die Ermittlung von Straftaten erforderlich ist. Ausdrücklich neu aufgenommen wird die Zulässigkeit der Datenverarbeitung bei Vorliegen von Kollektivvereinbarungen und von schriftlichen freiwilligen Einwilligungen des Mitarbeiters. Kollektivvereinbarungen, wie Betriebsvereinbarungen, werden schon bisher – über § 4 Abs. 1 BDSG – als Rechtsvorschrift für die Verarbeitung von Beschäftigtendaten genutzt, wenn es beispielsweise um die Verwendung dienstlicher Geräte zu privaten Zwecken oder um Mitarbeiterbewertungen geht. Schwere Eingriffe ins Persönlichkeitsrecht lässt die Kollektivvereinbarung bisher nicht zu.

Die Einwilligung war als Erlaubnis zur Verarbeitung im Beschäftigtendatenschutz umstritten, weil teilweise an der Freiwilligkeit des Handelns des Mitarbeiters im Beschäftigungsverhältnis gezweifelt wurde. Es ist zutreffend, dass beispielsweise gerade im Rahmen des Bewerbungsverhältnisses kaum freiwillige Einwilligungen, gerade in Auskunftsquellen, denkbar sind. Der Entwurf des § 26 Abs. 2 BDSG-neu sieht weiterhin vor, dass es freiwillige Einwilligungen im Beschäftigungsverhältnis gibt. Er benennt auch, wann Freiwilligkeit gegeben ist, nämlich insbesondere dann, wenn mit der Datenverarbeitung für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder wenn Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. Die Einwilligung muss in der Regel schriftlich erteilt werden. Zudem wird geregelt, dass künftig auch Leiharbeitnehmer datenschutzrechtlich zu den Beschäftigten gehören. Schließlich werden die Ausnahmetatbestände für die Verarbeitung von sensitiven Daten noch einmal für Beschäftigte ausgeführt. Den Bezug zur DSGVO stellt der Entwurf des Beschäftigtendatenschutzparagraphen (§ 26 BDSG-neu) nur eingeschränkt her, nämlich in Gestalt eines Verweises auf die neun Datenschutzgrundsätze:

       Rechtmäßigkeit,
       Verarbeitung nach Treu und Glauben,
       Transparenz,
       Zweckbindung,
       Datenminimierung,
       Richtigkeit,
       Speicherbegrenzung,
       Integrität und Vertraulichkeit
       sowie Rechenschaftspflicht,
auf die Beschäftigtendatenschutzgrundsätze des Art. 88 Abs. 2 DSGVO, auf die Aufklärungspflichten bei Einwilligung und auf die Erweiterung der Verarbeitungsbefugnisse bei sensitiven Beschäftigtendaten.

Es fehlt die Verarbeitungserlaubnis „überwiegendes Interesse“

Die neue Regelung sollte um die Datenverarbeitungserlaubnis „überwiegendes Interesse des Arbeitgebers“ (Güterabwägung), bisher § 28 Abs. 1 Satz 1 Nr. 2 BDSG, ergänzt werden, denn die braucht jede Einrichtung. Ob Beschäftigtendaten zum Beispiel für interne Revisionszwecke, Personalplanungsmaßnahmen, Aus- und Fortbildungsmaßnahmen, Arbeitsprofile, Rabattierung beim Personaleinkauf, Fahrtkostenzuschüsse oder für Zuschüsse für die Mitgliedschaft in Sporteinrichtungen genutzt werden, all diese Datenverarbeitungen ergeben sich in der Regel nicht aus dem Arbeitsvertrag. Daher bedarf es in § 26 BDSG-neu ausdrücklich der Datenverarbeitungserlaubnis für den Arbeitgeber, wenn „die Verarbeitung zur Wahrung der berechtigten Interessen des Arbeitgebers erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Beschäftigten, die den Schutz personenbezogener Daten erfordern, überwiegen.“


Internet: siehe.eu/da652
Autor: Für den Vorstand der HDG, Dr. Philipp Kramer, 1. Vorsitzender der Hamburger Datenschutzgesellschaft e.V.