Beschäftigtendatenschutz

Der Beschäftigtendatenschutz ist der Bereich des Datenschutzes der sich mit Beschäftigten, also insbesondere Arbeitnehmern aber auch beispielsweise Azubis und Praktikanten, als betroffene Person befasst.

Die DSGVO hat selbst keine spezifischen Regelungen zum Beschäftigtendatenschutzgesetz. Allerdings enthält Art. 88 Abs. 1 DSGVO eine sehr weitgehende Öffnungsklausel für den Beschäftigtendatenschutz. Diese wurde durch den Bundesgesetzgeber für § 26 BDSG genutzt. Auf Landesebene (und damit für öffentliche Stellen) wurde die Öffnungsklausel ebenfalls genutzt; in Thüringen durch § 27 ThuerDSG, der wiederum weitgehend auf die §§ 79 bis 87 ThürBG (Thüringer Beamtengesetz) verweist.

Auch Betriebs- bzw. Dienstvereinbarungen fallen (neben Tarifverträgen) als „Kollektivvereinbarungen“ in den Anwendungsbereich des Art. 88 Abs. 1 DSGVO.¹⁾ Sie sind damit taugliche Rechtsgrundlagen, die für die Rechtmäßigkeit der Verarbeitung eine Konkretisierung des Art. 6 Abs. 1 DSGVO bewirken kann.

Kennzeichnend für den Beschäftigtendatenschutz ist, dass der Arbeitgeber, der in der Regel der Verantwortlicher für die Verarbeitung personenbezogener Daten von Beschäftigten ist, gegenüber den Beschäftigten wirtschaftlich klar überlegen ist. Um das auszugleichen, werden üblicherweise sehr hohe Anforderungen an Informationen (Datenschutzerklärungen, Einwilligungen und andere Tatbestände für die Rechtmäßigkeit der Verarbeitung geknüpft.²⁾

Der europäische Gesetzgeber gibt also (wie auch schon früher das BDSG) einen klaren Anreiz, dass Arbeitgeber Datenschutzthemen nicht einseitig per Weisung regeln sondern gemeinsam mit Arbeitnehmervertretern.

Die Überwachung durch technische Einrichtungen ist ein klassisches Gebiet der betrieblichen Mitbestimmung. Anders als der Wortlaut des § 87 Abs. 1 Nr. 6 BetrVG nahelegt („dazu bestimmt“) braucht es keine Absicht der Überwachung von Arbeitnehmern durch den Arbeitgeber. Vielmehr genügt die bloße Eignung zur Überwachung.³⁾ In § 74 Abs. 2 Nr. 11 ThürPersVG heißt es dementsprechend präziser „geeignet“.

Dementsprechend weit zieht die Rechtsprechung den Kreis der mitbestimmungspflichtigen IT-Systeme.⁴⁾