Personalakten

Dem Grundrecht des Arbeitnehmers auf informationelle Selbstbestimmung steht ein nur bedingt gleichrangiges Recht des Arbeitgebers gegenüber, für das Arbeitsverhältnis maßgebliche Informationen über die Persönlichkeit des Arbeitnehmers, sowie seinen Fähigkeiten, Fertigkeiten und innerbetriebliches Verhalten zu erheben, verarbeiten und zu nutzen, soweit dies zur Begründung, Durchführung oder Beendigung eines Arbeitsverhältnisses erforderlich ist. Seit 2009 ist dieses Recht in § 32 Bundesdatenschutzgesetz (BDSG) normiert. Die Zweckbindung personenbezogener Daten verpflichtet den Arbeitgeber, die Personalakte sorgfältig zu verwahren und ihren Inhalt vertraulich zu behandeln. Da keine Rechtsnorm dem Arbeitgeber eine Erhebung und Nutzung von Detailinformationen zur Gesundheit eines Beschäftigten gestattet, dürfen derartige Informationen, soweit der Arbeitgeber durch Einwilligung des Arbeitnehmer von diesen Kenntnis erlangt, aufgrund ihrer strengen Zweckbindung kein regulärer Teil einer Personalakte sein. Sie müssen getrennt vom sonstigen Inhalt der Personalakte aufbewahrt und gegen zweckfremde Kenntnisnahme besonders gesichert werden.

Vorläufige Regelung

Trotz seiner großen praktischen Bedeutung war der Arbeitnehmerdatenschutz in Deutschland bis 2009 gesetzlich nicht expliziert geregelt. Seit 1978 griff die Praxis daher auf die allgemeinen Regelungen des Bundesdatenschutzgesetzes zurück. Forderungen nach Schaffung eines speziellen Arbeitnehmerdatenschutzgesetzes wurden nicht erfüllt.

In den Jahren 2008/2009 wurde bekannt, dass bedeutende deutsche Unternehmen wie der Lebensmitteldiscounter Lidl und die Deutsche Bahn ihre Beschäftigten mit teilweise unzulässigen Methoden überwacht hatten. Besondere Aufmerksamkeit erlangte die Überwachungsaffäre der Deutschen Telekom. Auf Grund dieser Vorfälle entschied sich die Bundesregierung im Februar 2009, die Arbeit an einem Arbeitnehmerdatenschutzgesetz wieder aufzunehmen. Als „Sofortmaßnahme“ wurde das Bundesdatenschutzgesetz um § 32 BDSG ergänzt. Bei dieser Vorschrift handelt es sich um eine Regelung zur Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses. Sie trat am 1. September 2009 in Kraft.

Derzeit bestehen neben dem neuen, seit 1. September 2009 geltenden § 32 BDSG verschiedene bereichsspezifische Vorschriften, die (auch) das informationelle Selbstbestimmungsrecht der Beschäftigten regeln, beispielsweise im Telemediengesetz, im Bundesbeamtengesetz, in der Bildschirmarbeitsverordnung, im Betriebsverfassungsgesetz und in den Personalvertretungsgesetzen. Genetische Untersuchungen im Arbeitsleben sind seit Februar 2010 im Gendiagnostikgesetz geregelt.

Jüngere Gesetzgebungsaktivitäten im Arbeitnehmerdatenschutz

Am 4. September 2009 legte Bundesarbeitsminister Olaf Scholz den Entwurf für ein Gesetz zum Datenschutz im Beschäftigungsverhältnis (Beschäftigtendatenschutzgesetz – BDatG) vor. Das geplante Gesetz sollte laut Scholz die bestehenden Vorschriften und Gerichtsurteile zum Beschäftigtendatenschutz vereinheitlichen und bestehende Lücken schließen. Der Entwurf und seine Vorlage kurz vor der Bundestagswahl 2009 erfuhren sowohl Lob als auch Kritik. Die Koalitionsvereinbarung der zweiten Regierung Merkel sieht eine Erweiterung des Bundesdatenschutzgesetzes um einen eigenen Bereich Arbeitnehmerdatenschutz vor, ein separates Gesetz soll es nicht mehr geben. Anfang April 2010 brachte der Bundesinnenminister einen ersten Referentenentwurf zum erweiterten § 32 BDSG in die Ressortabstimmung ein, der einen eigenen Unterabschnitt Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses mit 14 Ziffern zum § 32 BDSG vorsieht. Die Änderung der datenschutzrechtlichen Vorschriften in diesem Bereich wurde bereits länger diskutiert. Ziel ist es, die uneinheitliche Rechtsprechung der Arbeitsgerichte zu vereinen und so mehr Rechtssicherheit für Arbeitnehmer und Arbeitgeber zu schaffen. Grundlage für die gesetzliche Ausgestaltung soll sowohl die betriebliche Praxis wie auch die bisher ergangene Rechtsprechung der Arbeitsgerichte sein.

Das Bundeskabinett hat am 25. August 2010 den Entwurf des Gesetzes zur Regelung des Beschäftigtendatenschutzes beschlossen. Inzwischen ist am 15. Dezember 2010 die Bundestags-Drucksache 17/4230 mit einem neuen, überarbeiten Entwurf eines Beschäftigtendatenschutzgesetzes erschienen.

Vorschläge des DGB

Es liegt ein Vorschlag des Deutschen Gewerkschaftsbundes (DGB) zum Arbeitnehmerdatenschutz vor. Darin werden insbesondere Bewegungsprofile und Überwachungen von Pausenräumen untersagt.

Richterrecht

Da die Gesetze den Datenschutz im Arbeitsverhältnis nur sehr lückenhaft regeln und nicht alle Details durch Betriebsvereinbarungen geklärt sind, werden viele Fragen von den Arbeitsgerichten entschieden. Zu nennen sind beispielsweise die Grundsatzurteile des Bundesverfassungsgerichts zum rechtswidrigen Mithören nicht-öffentlicher Kommunikation und des Bundesarbeitsgerichts zur Videoüberwachung am Arbeitsplatz und zum Mithören von dienstlichen Telefongesprächen.

Betriebsvereinbarungen

In größeren Unternehmen werden datenschutzrechtlich relevante Sachverhalte häufig auch in Betriebsvereinbarungen nach dem BetrVG geregelt, im öffentlichen Dienst in Dienstvereinbarungen. Eine derartige Vereinbarung kann Eingriffe in das informationelle Selbstbestimmungsrecht der Arbeitnehmer nicht rechtfertigen, aber regeln. Dabei schreibt sie aber auch die Grenzen fest, die der Arbeitgeber nicht überschreiten darf. Typische Fälle sind Betriebsvereinbarungen, die die Nutzung von E-Mail- und Internetdiensten im Betrieb, den Einsatz von Trouble-Ticket-Systemen, Anzeigen auf Telefonanlagen u. ä. regeln und festschreiben, wann und wie der Arbeitgeber die Einhaltung dieser Nutzungsregeln kontrollieren darf.

Datenschutz bei Leistungs- und Verhaltenskontrollen

Berührungspunkte zwischen dem Datenschutz der Arbeitnehmer und den Interessen des Arbeitgebers ergeben sich insbesondere dann, wenn der Arbeitgeber Leistungs- und Verhaltenskontrollen durchführt. Hat der Arbeitgeber ein berechtigtes Interesse an den Kontrollen und beeinträchtigen die Kontrollen die Rechte des Arbeitnehmers nicht oder nur gering, so handelt der Arbeitgeber im Regelfall rechtmäßig. Greift der Arbeitgeber zur Überwachung auf technische Einrichtungen zurück, beispielsweise auf Videokameras, Zeiterfassungssysteme oder elektronische Zutrittskontrollen, so hat der Betriebs- oder Personalrat ein Mitbestimmungsrecht, § 87 Abs. 1 Nr. 6 BetrVG.

Oft können für den Datenschutz erforderliche Verfahrensbeschreibungen nach § 4e BDSG bei Betriebsvereinbarungen oder Dienstvereinbarungen zur Leistungs- und Verhaltenskontrolle durch technische Einrichtungen wiederverwendet werden und damit die Zusammenarbeit zwischen Betriebsrat und Betriebsleitung erheblich vereinfachen.

Überwachung von Telekommunikation

Das Bundesverfassungsgericht hat bereits in der Entscheidung vom 9. Oktober 2002 die verfassungsrechtlichen Rahmenbedingungen zum Zugriff auf Kommunikationsinhalte konkretisiert:

1. Der Schutz des Fernmeldegeheimnisses (Art. 10 Abs. 1 GG) erstreckt sich auf die von Privaten betriebenen Telekommunikationsanlagen.
2. Art. 10 Abs. 1 GG begründet ein Abwehrrecht gegen die Kenntnisnahme des Inhalts und der näheren Umstände der Telekommunikation durch den Staat und einen Auftrag an den Staat, Schutz auch insoweit vorzusehen, als private Dritte sich Zugriff auf die Kommunikation verschaffen.

Das Grundrecht des Fernmeldegeheimnisses dient der freien Entfaltung der Persönlichkeit durch einen Kommunikationsaustausch mit Hilfe des Fernmeldeverkehrs. Es ist unerheblich, um welche Inhalte es sich handelt und ob sie privater, geschäftlicher oder politischer Art sind (vgl. BVerfGE 100, 313 <358>). Der Schutz ist nicht auf die früher von der Deutschen Bundespost genutzten Technologien und angebotenen Fernmeldedienste (wie Telefon, Telefax oder Teletext) beschränkt, sondern umfasst sämtliche mit Hilfe der verfügbaren Telekommunikationstechniken erfolgenden Übermittlungen von Informationen. Auf die konkrete Übermittlungsart (etwa über Kabel oder Funk, durch analoge oder digitale Vermittlung) und Ausdrucksform (etwa Sprache, Bilder, Töne, Zeichen oder sonstige Daten) kommt es nicht an. Mit Rücksicht auf die zwischenzeitlich erfolgte technologische Entwicklung ist der früher üblich gewesene Begriff des Fernmeldewesens in anderen Bestimmungen des Grundgesetzes zwischenzeitlich durch den der Telekommunikation ersetzt worden (vgl. Art. 73 Nr. 7, Art. 87f GG).

Gemäß den Vorgaben des BVerfG gilt der verfassungsmäßige Schutz durch Art. 10 Abs. 1 GG für alle Inhalte (privat ebenso wie geschäftlich) und für alle Arten der Übertragung (Telefon, Fax, IP-Telefonie, E-Mail, SMS, MMS, Instant Messaging/XMPP, Skype, Facetime etc.).

Videoüberwachung am Arbeitsplatz

Eine Videoüberwachung durch den Arbeitgeber stellt wegen des mit ihr verbundenen Überwachungsdrucks einen erheblichen Eingriff in das allgemeine Persönlichkeitsrecht der betroffenen Arbeitnehmer dar. Deshalb ist sie nur in besonderen Ausnahmefällen zulässig. Anerkannte Gründe für eine zulässige Videoüberwachung sind ein besonderes Sicherheitsbedürfnis (z. B. Videoüberwachung des Schalterraums einer Bank). Vom letzten Mittel in einer Notwehr- oder Notwehrähnlichen Situation abgesehen, muss die Videoüberwachung "offen" erfolgen. Die Videoüberwachung unterliegt zudem der Mitbestimmung des Betriebsrats.

Das Bundesarbeitsgericht hat sich im Beschluss vom 29. Juni 2004 sehr ausführlich mit einer Betriebsvereinbarung einer Einigungsstelle zur Videoüberwachung in einem Betrieb auseinandergesetzt und diese Betriebsvereinbarung aufgrund schwerwiegender Mängel aufgehoben. Im Beschluss vom 26. August 2008 hat das Bundesarbeitsgericht erneut eine Betriebsvereinbarung zur Videoüberwachung im Betrieb analysiert und dargestellt, aufgrund welcher Sicherungsvorkehrungen die vorgelegte Vereinbarung (bis auf ein paar kleinere Fehler) akzeptabel ist. Demgegenüber beschreibt das ältere BAG-Urteil vom 27. März 2003, unter welchen besonderen Voraussetzungen eine eigenmächtige heimliche Videoüberwachung durch den Arbeitgeber in einem konkreten Einzelfall von einem Beweisverwertungsverbot ausgenommen sein kann. Siehe auch die Analyse im BAG-Urteil vom 16. Dezember 2010, Randnummer 29ff.

Im März 2008 berichtete das Magazin Stern von heimlichen Überwachungsmaßnahmen bei der Discounterkette Lidl. Mitarbeiter und Kunden seien ohne ihr Wissen gefilmt und abgehört worden. Das Unternehmen räumte ein, dass es „mit Kameraanlagen und in Filialen mit extrem hohen Inventurverlusten zeitlich begrenzt mit Detekteien“ zusammenarbeite. Dies geschehe, um „durch Diebstahl verursachte Inventurverluste zu vermeiden“. Eine systematische Bespitzelung sei nicht gewollt gewesen. Im September 2008 verhängten die für Lidl zuständigen Aufsichtsbehörden für den Datenschutz Bußgelder in Höhe von insgesamt 1,462 Millionen Euro.

Netzwerke und PC-Überwachung

Zugangsregeln und Zugriffsregeln gehören zur Datensicherheit unabdingbar dazu. Daher muss sich jeder Nutzer an einem sicheren Netzwerk identifizieren. Ein anonymer Zugriff ist in der Regel nicht erlaubt, die Zugriffe auf schutzwürdige und gesicherte Daten und Änderungen daran werden zudem einzeln protokolliert. Das fordert bereits das international genormte Vorgehensmodell nach ISO 15408 (Common Criteria).

Regelungen in Bezug auf die Überwachung der PC-Tätigkeiten von Arbeitnehmern finden sich unter anderem in der Bildschirmarbeitsverordnung und im Betriebsverfassungsgesetz. Gemäß Ziffer 22 des Anhangs zur Bildschirmarbeitsverordnung darf „[o]hne Wissen der Benutzer […] keine Vorrichtung zur qualitativen oder quantitativen Kontrolle verwendet werden“. Damit ist dem Arbeitgeber ein heimlicher Einsatz von Überwachungssoftware und -hardware wie beispielsweise Keyloggern verboten. § 87 Abs. 1 Nr. 6 BetrVG bestimmt darüber hinaus, dass „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“, der Mitbestimmung des Betriebsrats bzw. im öffentlichen Dienst des Personalrats, vgl. § 80 Abs. 1 Nr. 21 BPersVG unterliegen.

§ 26 BDSG

§ 26 integriert zahlreiche bereits bekannte Regelungen ins Gesetz. Arbeitgeber können demnach auch ohne Einwilligung ihrer Angestellten jene personenbezogene Daten verarbeiten, welche für die Durchführung, Beendigung oder Aufnahme eines Dienstverhältnisses erforderlich sind.

1984–2000

Das Land Hessen nahm 1986 in das Hessische Datenschutzgesetz (HDSG) eine Vorschrift zum Beschäftigtendatenschutz auf. § 34 HDSG bestimmte, dass Beschäftigtendaten nur verarbeitet werden dürfen, wenn dies zur Eingehung, Durchführung, Beendigung oder Abwicklung des Dienst- oder Arbeitsverhältnisses oder zur Durchführung innerdienstlicher, planerischer, organisatorischer, sozialer und personeller Maßnahmen erforderlich ist oder eine Rechtsvorschrift, ein Tarifvertrag oder eine Dienstvereinbarung es vorsieht. Diese Vorschrift war die erste ihrer Art in Deutschland. Sie gilt mit einigen Veränderungen bis heute, allerdings nur im Land Hessen und auch nur für Behörden und andere öffentliche Arbeitgeber.

Im Jahr 1984 forderten die Datenschutzbeauftragten des Bundes und der Länder erstmals bereichsspezifische gesetzliche Bestimmungen zum Arbeitnehmerdatenschutz. 1992 stellten sie Grundsätze für ein Arbeitnehmerdatenschutzgesetz auf. Auch die Gewerkschaften setzten sich für eine gesetzliche Regelung ein. So legte beispielsweise der Deutsche Gewerkschaftsbund im Jahr 1999 Eckpunkte für ein Gesetz zum Arbeitnehmerdatenschutz vor.

Der Deutsche Bundestag und der Bundesrat sahen ebenfalls Handlungsbedarf. Der Bundestag fasste mehrere Beschlüsse, in denen er die jeweilige Bundesregierung aufforderte, einen entsprechenden Gesetzentwurf zu erarbeiten.

Im Jahr 2000 plante die von Gerhard Schröder geführte Bundesregierung nach eigenem Bekunden die Vorlage eines entsprechenden Gesetzes, welches die Bezeichnung „Gesetz über Information und Kommunikation im Arbeitsverhältnis“ haben sollte. Das Vorhaben wurde jedoch nicht verwirklicht. Die Arbeiten am Gesetz wurden eingestellt.

2001–2010

Einen Teilbereich des Arbeitnehmerdatenschutzes regelt das im Jahr 2009 beschlossene Gendiagnostikgesetz (GenDG). In Abschnitt 5 des Gesetzes ist geregelt, unter welchen Voraussetzungen genetische Untersuchungen im Arbeitsleben zulässig sind. Dabei gilt der Grundsatz, dass ein Arbeitgeber nicht verlangen darf, dass ein Beschäftigter oder Bewerber genetischen Untersuchungen oder Analysen an sich vornehmen lässt. Der Arbeitgeber darf Untersuchungsergebnisse auch nicht entgegennehmen oder verwerten (§ 19 GenDG). Von diesem Verbot ausgenommen sind diagnostische genetische Untersuchungen im Rahmen von arbeitsmedizinischen Vorsorgeuntersuchungen für Beschäftigte an bestimmten Arbeitsplätzen (§ 20 GenDG). Die arbeitsrechtlichen Vorschriften des Gendiagnostikgesetzes traten am 1. Februar 2010 in Kraft.

In den Jahren 2008/2009 wurde bekannt, dass bedeutende deutsche Unternehmen wie der Lebensmitteldiscounter Lidl und die Deutsche Bahn ihre Beschäftigten mit teilweise unzulässigen Methoden überwacht hatten. Besondere Aufmerksamkeit erlangte die Überwachungsaffäre der Deutschen Telekom. Auf Grund dieser Vorfälle entschied sich die mittlerweile von Angela Merkel geführte Bundesregierung im Februar 2009, die Arbeit an einem Arbeitnehmerdatenschutzgesetz wieder aufzunehmen. Das Bundesministerium für Arbeit und Soziales erstellte daraufhin den Entwurf für ein Gesetz zum Datenschutz im Beschäftigungsverhältnis (Beschäftigtendatenschutzgesetz – BDatG), der von Bundesarbeitsminister Olaf Scholz im September 2009 in die Diskussion eingebracht wurde. Angesichts der bevorstehenden Bundestagswahl wurde der Entwurf nicht mehr von der CDU/CSU-SPD-Bundesregierung verabschiedet.

Nach dem Regierungswechsel im Herbst 2009 verständigten sich CDU/CSU und FDP darauf, kein eigenes Gesetz zum Arbeitnehmerdatenschutz zu schaffen, sondern stattdessen das Bundesdatenschutzgesetz um ein Kapitel zum Datenschutz für Beschäftigte zu ergänzen. Die Federführung für dieses Gesetzesvorhaben wurde dem Bundesministerium des Innern übertragen. Am 1. April 2010 stellte Bundesinnenminister Thomas de Maiziére Eckpunkte für ein neues Beschäftigtendatenschutzrecht vor.

2011–2020

Durch das Zweite Datenschutz-Anpassungs- und Umsetzungsgesetz EU (2. DSAnpUG-EU)vom 20. November 2019 wurde § 26 Abs. 2 Satz 3 BDSG im Hinblick auf die Anforderungen zur Form der Einwilligung geändert. Die Wörter „bedarf der Schriftform“ wurden durch die Wörter „hat schriftlich oder elektronisch zu erfolgen“ ersetzt.

In der Gesetzesbegründung heißt es dazu:

Die Änderung des § 26 Absatz 2 Satz 3 erleichtert die Voraussetzungen, unter denen im Beschäftigungsverhältnis eine Einwilligung eingeholt werden kann. Die Verordnung (EU) 2016/679 sieht kein Schriftformerfordernis vor. Vielmehr verlangt Artikel 4 Nummer 11 der Verordnung (EU) 2016/679 nur nach „einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“. Da die Einwilligung elektronisch erfolgen kann, genügt es beispielsweise, dass der Arbeitgeber sie als E-Mail abspeichert. Die Erleichterung der Voraussetzungen, unter denen eine Einwilligung eingeholt werden kann, entspricht dem Ziel des Koalitionsvertrages, alle Gesetze auf ihre Digitaltauglichkeit zu überprüfen; insbesondere soll eine „erneute, ehrgeizige Überprüfung der Schriftformerfordernisse“ erfolgen.

Seit dem 16. Juni 2020 beschäftigt sich ein interdisziplinärer Beirat des Bundesministeriums für Arbeit und Soziales mit der Frage, ob ein eigenständiges Gesetz zum Beschäftigtendatenschutz notwendig ist.