Nach fast vierjähriger Verhandlung zwischen dem Europäischen Rat, dem Europäischen Parlament und der Europäischen Kommission haben sich die Beteiligten am 15.12.2015 endgültig über den Inhalt der EU-Datenschutz-Grundverordnung (DSGVO) geeinigt. Die DSGVO wird nun ab dem 25. Mai 2018 vollständig Geltung erlangen und die EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) ersetzen. Anders als die Datenschutzrichtlinie wird die DSGVO unmittelbar in der gesamten Europäischen Union gelten. Darüber hinaus wird sich der Anwendungsbereich der DSGVO auch auf außereuropäische Unternehmen erstrecken, die auf dem europäischen Markt tätig sind (sog. Marktortprinzip). Voraussetzung hierfür ist gemäß Art. 3 Abs. 2 DSGVO lediglich, dass sich ein Angebot an einen bestimmten nationalen Markt in der EU richtet oder dass die Datenverarbeitung der Beobachtung des Verhaltens von Personen in der EU dient. Die Grundprinzipien des bisherigen Datenschutzrechts werden in der neuen DSGVO weiterentwickelt. Vordringlichstes Ziel war es, das Datenschutzrecht innerhalb Europas zu vereinheitlichen und einheitliche Standards zu schaffen. Darüber hinaus sollte das Datenschutzrecht modernisiert werden und der zunehmenden Digitalisierung im Internetzeitalter Rechnung tragen. Dies ist weitestgehend gelungen.
In der DSGVO finden sich keine detaillierten Regelungen zum Beschäftigtendatenschutz, das heißt zum Datenschutz bei Arbeitnehmern, Arbeitern, Angestellten und Beamten. Der Beschäftigtendatenschutz wird seit Jahren in der Öffentlichkeit diskutiert. So stellte die Bundesregierung bereits im Jahr 2010 einen Gesetzesentwurf zum Arbeitnehmerdatenschutz vor. Im Jahr 2013 kam das Vorhaben zum Erliegen. Für ein Beschäftigtendatenschutzgesetz fehlte stets die notwendige Mehrheit. Die Reform des Arbeitnehmerdatenschutzes durch Schaffung eines Beschäftigtendatenschutzgesetzes wurde ausgesetzt, unter anderem wegen der anstehenden EU-Datenschutzreform und der Aussicht darauf, dass detaillierte Regelungen zum Beschäftigtendatenschutz in die DSGVO aufgenommen werden, was bedauerlicherweise nicht geschehen ist.
Die DSGVO enthält für den Bereich des Beschäftigtendatenschutzes lediglich eine Öffnungsklausel (Art. 88 DSGVO). Hiernach können die Mitgliedstaaten durch Rechtsvorschriften oder durch Kollektivvereinbarungen (z.B. Tarifverträge) spezifische Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext vorsehen. Betriebsvereinbarungen zählen auch zu Kollektivvereinbarungen im Sinne von Art. 88 Absatz 1 DSGVO, dies ergibt sich aus Erwägungsgrund 155 zur DSGVO.
Der Beschäftigtendatenschutz ist auf nationaler Ebene bisher in § 32 BDSG geregelt. Der § 32 BDSG war als Kompromisslösung in Folge der gescheiterten Reform des Beschäftigtendatenschutzes eingeführt worden. Dem deutschen Gesetzgeber bot sich nun aufgrund der DSGVO und der Öffnungsklausel in Art. 88 DSGVO eine gute Gelegenheit, den Beschäftigtendatenschutz umfangreich zu reformieren und in Übereinstimmung mit der DSGVO zu regeln. Der deutsche Gesetzgeber hat zwar durch Schaffung eines neuen § 26 BDSG (im Folgenden „§ 26 BDSG-neu“) von seiner Kompetenz nach Art. 88 DSGVO Gebrauch gemacht, eine Reformierung durch Schaffung umfangreicher und lange überfälliger Regelungen auf dem Gebiet des Beschäftigtendatenschutzes blieb jedoch aus. § 26 BDSG-neu entspricht im Wesentlichen dem alten § 32 BDSG, wenngleich § 26 BDSG-neu nunmehr im Lichte der DSGVO zu sehen ist.
Das BDSG-neu wurde als Teil des Datenschutz-Anpassungs- und Umsetzungsgesetzes EU beschlossen und wird am 25. Mai 2018 mit der DSGVO in Kraft treten und das bisherige BDSG ersetzen. § 26 BDSG-neu wird somit am 25. Mai 2018 den bisherigen § 32 BDSG ersetzen.
Der Text von § 26 BDSG-neu lautet:
§ 26 BDSG (neu) Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses
(1) Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. Zur Aufdeckung von Straftaten dürfen personenbezogene Daten von Beschäftigten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.
(2) Erfolgt die Verarbeitung personenbezogener Daten von Beschäftigten auf der Grundlage einer Einwilligung, so sind für die Beurteilung der Freiwilligkeit der Einwilligung insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Der Arbeitgeber hat die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht nach Artikel 7 Absatz 3 der Verordnung (EU) 2016/679 in Textform aufzuklären.
(3) Abweichend von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 für Zwecke des Beschäftigungsverhältnisses zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Absatz 2 gilt auch für die Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten; die Einwilligung muss sich dabei ausdrücklich auf diese Daten beziehen. § 22 Absatz 2 gilt entsprechend.
(4) Die Verarbeitung personenbezogener Daten, einschließlich besonderer Kategorien personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses, ist auf der Grundlage von Kollektivvereinbarungen zulässig. Dabei haben die Verhandlungspartner Artikel 88 Absatz 2 der Verordnung (EU) 2016/679 zu beachten.
(5) Der Verantwortliche muss geeignete Maßnahmen ergreifen, um sicherzustellen, dass insbesondere die in Artikel 5 der Verordnung (EU) 2016/679 dargelegten Grundsätze für die Verarbeitung personenbezogener Daten eingehalten werden.
(6) Die Beteiligungsrechte der Interessenvertretungen der Beschäftigten bleiben unberührt.
(7) Die Absätze 1 bis 6 sind auch anzuwenden, wenn personenbezogene Daten, einschließlich besonderer Kategorien personenbezogener Daten, von Beschäftigten verarbeitet werden, ohne dass sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
(8) Beschäftigte im Sinne dieses Gesetzes sind:
- Arbeitnehmerinnen und Arbeitnehmer, einschließlich der Leiharbeitnehmerinnen und Leiharbeitnehmer im Verhältnis zum Entleiher,
- zu ihrer Berufsbildung Beschäftigte,
- Teilnehmerinnen und Teilnehmer an Leistungen zur Teilhabe am Arbeitsleben sowie an Abklärungen der beruflichen Eignung oder Arbeitserprobung (Rehabilitandinnen und Rehabilitanden),
- in anerkannten Werkstätten für behinderte Menschen Beschäftigte,
- Freiwillige, die einen Dienst nach dem Jugendfreiwilligendienstegesetz oder dem Bundesfreiwilligendienstgesetz leisten,
- Personen, die wegen ihrer wirtschaftlichen Unselbständigkeit als arbeitnehmerähnliche Personen anzusehen sind; zu diesen gehören auch die in Heimarbeit Beschäftigten und die ihnen Gleichgestellten,
- Beamtinnen und Beamte des Bundes, Richterinnen und Richter des Bundes, Soldatinnen und Soldaten sowie Zivildienstleistende.
Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis beendet ist, gelten als Beschäftigte.
Bei dem § 26 BDSG-neu handelt es sich um eine leicht ergänzte Fassung des bisherigen § 32 BDSG. Wesentliche Neuerungen und im Vergleich zum alten § 32 BDSG umfangreichere Regelungen finden sich im § 26 BDSG-neu bedauerlicherweise nicht. Der Begriff des „Beschäftigten“ ist in § 26 Absatz 8 BDSG-neu weiter gefasst. Neben Arbeitnehmern, Bewerbern, ehemaligen Beschäftigten, Leiharbeitern und Auszubildenden sind auch Beamte, Richter, Soldaten und weitere Personengruppen ausdrücklich erwähnt. Gemäß § 26 Abs. 1 Satz 2 BDSG-neu ist zukünftig auch die Verarbeitung personenbezogener Daten aufgrund Gesetzes oder gesetzesähnlicher Regelung am Maßstab der Erforderlichkeit zu messen. In § 26 Abs. 2 BDSG-neu finden sich nun strengere Anforderungen an die Einwilligung. Die Einwilligung in die Verarbeitung personenbezogener Daten im Beschäftigungskontext ist demnach zukünftig in Schriftform einzuholen. Zudem hat der Arbeitgeber die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht in Textform aufzuklären. § 26 Abs. 2 BDSG-neu gibt eine Beurteilungshilfe in Bezug auf die Einschätzung der Freiwilligkeit der Einwilligung. Im Ergebnis bleibt es aber auch hier bei einem Beurteilungsspielraum, die Problematik der Freiwilligkeit wird daher auch in Zukunft bestehen bleiben. § 26 Abs. 3 BDSG-neu sieht vor, dass die Verarbeitung besonderer Kategorien personenbezogener Daten für Zwecke des Beschäftigungsverhältnisses zulässig ist, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zur Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss einer Verarbeitung überwiegt.
Die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis kann nun ausdrücklich auch auf Grundlage von Kollektivvereinbarungen erfolgen, dies ist in § 26 Abs. 4 BDSG-neu nun ausdrücklich geregelt. Bisher folgte dies aus § 4 BDSG in Verbindung mit der entsprechenden Rechtsprechung. Gemäß § 26 Abs. 5 BDSG-neu muss der Verantwortliche geeignete Maßnahmen ergreifen um sicherzustellen, dass die Grundsätze der DSGVO, insbesondere die Regelungen in Art. 5 DSGVO, eingehalten werden. Es bleibt festzustellen, dass der gesamte § 26 BDSG-neu im Lichte der DSGVO auszulegen ist. Auf eine grundlegende Reformierung des Beschäftigtendatenschutzes im Sinne einer umfassenden abgeschlossenen Regelung darf weiter gewartet werden, denn das bringt § 26 BDSG-neu nicht.
Gesetz zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und –Umsetzungsgesetz EU – DSAnpUG-EU) vom 30.06.2017, BGBl. I, S. 2097
Bundesdatenschutzgesetz – BDSG 2018