Arbeitnehmerdatenschutz: DSGVO, Rechte & Pflichten

Was ist Arbeitnehmerdatenschutz?

Arbeitnehmerdatenschutz bezeichnet den Schutz personenbezogener Daten von Beschäftigten im Arbeitsverhältnis. Er regelt, welche Daten der Arbeitgeber erheben, verarbeiten und speichern darf und welche Rechte Arbeitnehmer bezüglich ihrer Daten haben. Ziel ist es, die Persönlichkeitsrechte der Beschäftigten zu wahren und sie vor Missbrauch ihrer Daten zu schützen. Der Arbeitnehmerdatenschutz ist besonders wichtig, da im Arbeitsverhältnis ein strukturelles Machtungleichgewicht besteht.

Rechtliche Grundlagen

Datenschutzgrundverordnung (DSGVO)

Seit 2018: EU-weit gültig
Direkt anwendbar: In allen Mitgliedstaaten
Hohe Anforderungen: An Datenverarbeitung
Strenge Sanktionen: Bei Verstößen
Besonderer Schutz: Für sensible Daten

Bundesdatenschutzgesetz (BDSG)

Nationale Ergänzung zur DSGVO
Spezielle Regelungen für Beschäftigtendaten
§ 26 BDSG regelt Datenverarbeitung im Arbeitsverhältnis
Öffnungsklauseln der DSGVO nutzen

Weitere relevante Gesetze

Betriebsverfassungsgesetz: Mitbestimmung bei Datenverarbeitung
Telekommunikationsgesetz: E-Mail- und Telefonüberwachung
Arbeitsgerichtsgesetz: Rechtsweg bei Verstößen
Strafgesetzbuch: Datenschutzverstöße können Straftaten sein

Welche Daten darf der Arbeitgeber erheben?

Erlaubte Daten

Personaldaten: Name, Adresse, Geburtsdatum, Kontaktdaten
Vertragsdaten: Position, Gehalt, Arbeitszeit, Vertragsart
Qualifikationen: Zeugnisse, Abschlüsse, Weiterbildungen
Bankverbindung: Für Gehaltszahlung
Sozialversicherungsdaten: Notwendig für Anmeldung
Steuerliche Daten: Steuerklasse, Freibeträge, Steuernummer

Erlaubte Daten mit Einschränkungen

Gesundheitsdaten: Nur bei Krankschreibung oder Betriebsarzt
Schwangerschaft: Nur relevant für Mutterschutz
Schwerbehinderung: Nur mit Zustimmung und für Schutzmaßnahmen
Arbeitszeitdaten: Zur Erfüllung arbeitszeitrechtlicher Pflichten
Leistungsdaten: Zur Beurteilung und Vergütung

Besonders geschützte Daten

Gesundheitsdaten: Höchster Schutzstandard
Ethnische Herkunft: Grundsätzlich unzulässig
Religionszugehörigkeit: Nur ausnahmsweise
Sexuelle Orientierung: Verboten
Gewerkschaftszugehörigkeit: Geschützt
Politische Meinungen: Unzulässig

Unzulässige Fragen und Daten

Familienplanung und Schwangerschaftswunsch
Vorstrafen (außer wenn relevant für Tätigkeit)
Vermögensverhältnisse
Privatleben und Hobbys (außer bei Relevanz)
Gesundheitszustand bei Einstellung (mit Ausnahmen)

Grundsätze der Datenverarbeitung

Rechtmäßigkeit

Rechtsgrundlage erforderlich: Gesetz, Vertrag oder Einwilligung
§ 26 BDSG: Erforderlichkeit für Beschäftigungsverhältnis
Einwilligung: Nur bei echtem freien Willen (schwierig im Arbeitsverhältnis)
Berechtigtes Interesse: Muss gegen Rechte des Arbeitnehmers abgewogen werden

Zweckbindung

Daten nur für festgelegten Zweck verwenden
Keine Nutzung für andere Zwecke
Beispiel: Bewerberdaten nicht für Marketing nutzen
Zweckänderung nur mit neuer Rechtsgrundlage

Datenminimierung

Nur notwendige Daten erheben
So wenig wie möglich, so viel wie nötig
Keine "Vorratsdatenspeicherung"
Regelmäßige Prüfung der Erforderlichkeit

Richtigkeit

Daten müssen aktuell und korrekt sein
Fehlerhafte Daten unverzüglich berichtigen
Regelmäßige Aktualisierung
Arbeitnehmer hat Pflicht zur Mitteilung von Änderungen

Speicherbegrenzung

Daten nicht länger als nötig speichern
Löschfristen beachten
Nach Zweckerfüllung löschen
Gesetzliche Aufbewahrungsfristen beachten

Vertraulichkeit und Integrität

Technische und organisatorische Maßnahmen
Schutz vor unbefugtem Zugriff
Verschlüsselung sensibler Daten
Zugriffsrechtekonzept

Rechte der Arbeitnehmer

Auskunftsrecht

Inhalt: Welche Daten werden verarbeitet?
Zweck: Wofür werden die Daten genutzt?
Empfänger: Wer hat Zugriff auf die Daten?
Speicherdauer: Wie lange werden Daten gespeichert?
Rechte: Information über Berichtigung, Löschung, Widerspruch
Kostenlos: Erste Auskunft ist gratis
Frist: Arbeitgeber muss innerhalb eines Monats antworten

Recht auf Berichtigung

Korrektur falscher Daten verlangen
Unverzüglich durchzuführen
Beispiel: Falsche Adresse, falsches Geburtsdatum

Recht auf Löschung

Zweck erfüllt: Daten nicht mehr notwendig
Unrechtmäßige Verarbeitung: Ohne Rechtsgrundlage erhoben
Widerruf Einwilligung: Wenn Einwilligung Grundlage war
Ausnahmen: Gesetzliche Aufbewahrungspflichten

Recht auf Einschränkung

Verarbeitung einschränken statt löschen
Bei Bestreiten der Richtigkeit
Bei unrechtmäßiger Verarbeitung ohne Löschungswunsch
Wenn Daten für Rechtsansprüche benötigt werden

Recht auf Datenübertragbarkeit

Daten in strukturiertem Format erhalten
An anderen Verantwortlichen übermitteln lassen
Relevant bei Arbeitgeberwechsel
Maschinenlesbare Form

Widerspruchsrecht

Widerspruch gegen Verarbeitung einlegen
Bei berechtigtem Interesse als Grundlage
Arbeitgeber muss Verarbeitung einstellen oder überwiegende Gründe nachweisen

Pflichten des Arbeitgebers

Informationspflichten

Bei Erhebung: Über Zweck und Rechtsgrundlage informieren
Datenschutzerklärung: Allen Beschäftigten zur Verfügung stellen
Transparenz: Verständlich und klar formulieren
Änderungen mitteilen: Bei neuen Verarbeitungszwecken

Technische und organisatorische Maßnahmen (TOM)

Zutrittskontrolle: Unbefugter Zutritt zu Räumen verhindern
Zugangskontrolle: Passwörter, Berechtigungskonzepte
Zugriffskontrolle: Nur befugte Personen dürfen auf Daten zugreifen
Verschlüsselung: Besonders für sensible Daten
Backups: Regelmäßige Sicherungen
Protokollierung: Nachvollziehbarkeit von Zugriffen

Datenschutzbeauftragter

Pflicht ab 20 Personen: Die ständig mit Datenverarbeitung befasst sind
Aufgaben: Überwachung, Beratung, Schulung
Unabhängig: Weisungsfrei in Datenschutzfragen
Ansprechpartner: Für Beschäftigte und Aufsichtsbehörde

Auftragsverarbeitung

Bei Dienstleistern: Z.B. Lohnbuchhaltung, Cloud-Anbieter
Vertrag erforderlich: Auftragsverarbeitungsvertrag (AVV)
Sorgfaltspflicht: Auswahl geeigneter Dienstleister
Kontrolle: Regelmäßige Überprüfung

Meldepflicht bei Datenpannen

Binnen 72 Stunden: Meldung an Aufsichtsbehörde
Benachrichtigung Betroffener: Bei hohem Risiko
Dokumentation: Alle Datenpannen dokumentieren
Maßnahmen: Zur Schadensbegrenzung ergreifen

Besondere Themen

Videoüberwachung am Arbeitsplatz

Grundsätzlich problematisch: Eingriff in Persönlichkeitsrechte
Nur ausnahmsweise zulässig: Bei konkretem Anlass
Verhältnismäßigkeit: Muss gewahrt sein
Keine Dauerüberwachung: Arbeitsplätze nicht permanent überwachen
Information: Beschäftigte müssen informiert werden
Betriebsrat: Hat Mitbestimmungsrecht

E-Mail- und Internetnutzung

Dienstlich: Überwachung eingeschränkt möglich
Privat erlaubt: Telekommunikationsgeheimnis greift
Betriebsvereinbarung: Regelungen treffen
Keine anlasslose Kontrolle: Nur bei konkretem Verdacht
Transparenz: Klare Regeln kommunizieren

Arbeitszeiterfassung

Erforderlich zur Einhaltung des Arbeitszeitgesetzes
Datenminimierung beachten
Nur notwendige Daten erfassen
Technische Sicherheit gewährleisten
Zugriffsbeschränkungen implementieren

Homeoffice und mobiles Arbeiten

Gleiche Datenschutzanforderungen wie im Büro
Sichere Verbindungen (VPN)
Verschlüsselte Datenübertragung
Regelungen zur Nutzung privater Geräte (BYOD)
Schulung der Mitarbeiter

Bewerberdaten

Nur für Bewerbungsverfahren nutzen
Nach Abschluss löschen (außer bei Einstellung)
Speicherfrist: Wenige Monate nach Absage
Einwilligung für Talent Pool erforderlich
Auskunftsrecht gilt auch für Bewerber

Mitbestimmung des Betriebsrats

Mitbestimmungspflichtig

§ 87 Abs. 1 Nr. 6 BetrVG: Technische Einrichtungen zur Überwachung
Beispiele: Zeiterfassung, Videoüberwachung, GPS-Tracking
Betriebsvereinbarung: Erforderlich für Einführung
Erzwingbar: Notfalls per Einigungsstelle

Inhalt von Betriebsvereinbarungen

Zweck der Datenverarbeitung
Art der erhobenen Daten
Zugriffsberechtigungen
Speicherfristen
Löschkonzept
Rechte der Beschäftigten

Sanktionen bei Verstößen

Bußgelder

Bis zu 20 Millionen Euro: Oder 4% des weltweiten Jahresumsatzes
Bemessung: Nach Schwere und Dauer des Verstoßes
Aufsichtsbehörde: Verhängt Bußgelder
Auch bei Fahrlässigkeit: Nicht nur bei Vorsatz

Schadensersatz

Arbeitnehmer kann Schadensersatz verlangen
Materieller und immaterieller Schaden
Beweislastumkehr: Arbeitgeber muss nachweisen, dass kein Verstoß vorlag
Beispiel: Schmerzensgeld bei Verletzung Persönlichkeitsrechte

Strafrechtliche Folgen

Verletzung des Fernmeldegeheimnisses
Ausspähen von Daten
Verletzung von Privatgeheimnissen
Freiheitsstrafe oder Geldstrafe möglich

Arbeitsrechtliche Konsequenzen

Abmahnung bei Datenschutzverstößen durch Arbeitnehmer
Kündigung bei schweren oder wiederholten Verstößen
Unterlassungsanspruch des Arbeitnehmers

Best Practices

Für Arbeitgeber

Datenschutzkonzept erstellen und regelmäßig aktualisieren
Mitarbeiter schulen
Datenschutzbeauftragten bestellen
Verarbeitungsverzeichnis führen
Technische Maßnahmen implementieren
Betriebsvereinbarungen mit Betriebsrat
Dienstleister sorgfältig auswählen

Für Arbeitnehmer

Sparsam mit eigenen Daten umgehen
Rechte kennen und bei Bedarf geltend machen
Datenschutzverstöße melden
An Schulungen teilnehmen
Verdächtige Vorgänge an Datenschutzbeauftragten melden

Häufige Fragen zum Arbeitnehmerdatenschutz

Darf mein Arbeitgeber meine E-Mails lesen?

Das hängt davon ab, ob private E-Mail-Nutzung erlaubt ist. Ist sie verboten, darf der Arbeitgeber bei konkretem Verdacht und verhältnismäßig kontrollieren. Ist private Nutzung erlaubt, greift das Telekommunikationsgeheimnis - dann darf grundsätzlich nicht kontrolliert werden. Am besten sind klare Regelungen in einer Betriebsvereinbarung.

Welche Gesundheitsdaten darf mein Arbeitgeber haben?

Sehr eingeschränkt. Bei Krankheit reicht eine Arbeitsunfähigkeitsbescheinigung - die Diagnose geht den Arbeitgeber nichts an. Gesundheitsdaten dürfen nur für betriebsärztliche Untersuchungen, Mutterschutz oder Schwerbehindertenvertretung erhoben werden. Der Arbeitgeber darf nicht nach Ihrer Gesundheit fragen, es sei denn, es besteht ein konkreter Bezug zur Tätigkeit.

Kann ich Auskunft über alle Daten verlangen, die mein Arbeitgeber über mich hat?

Ja, Sie haben ein umfassendes Auskunftsrecht nach DSGVO. Der Arbeitgeber muss Ihnen innerhalb eines Monats mitteilen, welche Daten er über Sie speichert, woher diese stammen, zu welchem Zweck sie verarbeitet werden und an wen sie weitergegeben wurden. Die erste Auskunft ist kostenlos. Sie können auch eine Kopie Ihrer Daten in strukturiertem Format verlangen.

Was passiert, wenn mein Arbeitgeber gegen Datenschutz verstößt?

Sie können sich an den betrieblichen Datenschutzbeauftragten oder die Datenschutzaufsichtsbehörde wenden. Diese kann Bußgelder bis zu 20 Millionen Euro verhängen. Sie haben außerdem Anspruch auf Schadensersatz und Schmerzensgeld bei Verletzung Ihrer Rechte. Dokumentieren Sie den Verstoß gut und holen Sie sich rechtlichen Rat, bevor Sie Schritte einleiten.