Rechtsfragen der Mitarbeiterkontrolle / 1.3 Spezielle Kontrollgrenze gemäß § 26 BDSG und der DSGVO

Nach § 26 Abs. 1 BDSG dürfen personenbezogene Daten von Arbeitnehmern für die Zwecke des Beschäftigungsverhältnisses dann erhoben, verarbeitet oder genutzt werden, wenn dies erforderlich ist für

• die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder
• nach Begründung eines Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung.

Dies galt bereits vor der Neuregelung des § 26 Abs. 1 BDSG zum 25.5.2018. Hinzu kommt seither allerdings ein weiterer Zweck "zur Ausübung oder Erfüllung der sich aus dem Gesetz oder einer Kollektivvereinbarung ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten".

Nach dem Wortlaut muss die Arbeitnehmerdatenverarbeitung heutzutage zwar anders als früher "erforderlich" und nicht mehr nur dem Arbeitsverhältnis "dienlich" sein. Es ist aber in der Praxis keine ernsthafte Änderung der Maßstäbe für die Erhebung und Nutzung der üblichen Arbeitnehmerdaten durch Arbeitgeber eingetreten. Daher ist richtigerweise auch die bisherige Rechtsprechung und Literatur unverändert einschlägig.^[1]

Insofern ist jedoch zu beachten, dass § 26 Abs. 1 Satz 1 BDSG nicht eigenständig anwendbar ist. Das liegt daran, dass der EuGH die wortlautgleiche Parallelvorschrift des hessischen Datenschutzgesetzes (§ 23 Abs. 1 Satz 1 HDSIG) für unvereinbar mit dem Unionsrecht hält.^[2]

In diesem Kontext ist auch eine Entscheidung des VG Hannover relevant, die eine Maßnahme des Landesdatenschutzbeauftragten gegen ein Logistikunternehmen zum Gegenstand hatte.^[3] Das Urteil erging vor der Entscheidung des EuGH und hielt weitgehende Leistungsmessungen entsprechend dem Maßstab des § 26 Abs. 1 Satz 1 BDSG noch für zulässig. Aufgrund der neuen Rechtsprechung kann die Norm nur mit den zusätzlichen Voraussetzungen der Art. 6 und 9 DSGVO eine taugliche Rechtsgrundlage sein.^[4]

Die Normen schaffen Erlaubnistatbestände für die Datenverarbeitung. In Arbeitsverhältnissen relevant sind vor allem die Erforderlichkeit der Datenverarbeitung

• zur Durchführung des Arbeitsverhältnisses, Art. 6 Abs. 1b DSGVO,
• zur Erfüllung einer rechtlichen Verpflichtung, Art. 6 Abs. 1c DSGVO,
• und aufgrund berechtigter Interessen des Arbeitgebers, Art. 6 Abs. 1f DSGVO.

Erforderlich in diesem Sinne heißt, dass die Datenverarbeitung zweckmäßig ist und Alternativen entweder weniger effektiv sind oder stärker das Recht der Mitarbeiter auf informationelle Selbstbestimmung berühren.

Als berechtigtes Interesse ist jedes rechtliche, wirtschaftliche und ideelle Interesse anzusehen. Darunter fällt beispielsweise auch, Daten zu verarbeiten, um Personalentscheidungen zu treffen oder Mitarbeitern Feedback zu erteilen.

Eine geeignete Rechtsgrundlage ist § 26 Abs. 1 Satz 1 BDSG im Übrigen dann, wenn die Datenverarbeitung erforderlich ist, um Interessenvertretungsrechte der Arbeitnehmer zu berücksichtigen. Das hat das BAG beschlossen zu der Frage, ob Arbeitgeber Listen mit den angestellten schwerbehinderten Menschen führen dürfen und an den Betriebsrat auf Verlangen herausgeben müssen. Der Betriebsrat fungiert als Interessenvertretung der Arbeitnehmer und hat daher ein Recht auf Auskunft darüber, welche Mitarbeiter schwerbehindert sind. Ansonsten wäre ihm die Wahrnehmung seiner Aufgabe erschwert, was mit dem von insbesondere § 164 Abs. 2 SGB IX bezweckten Schutz schwerbehinderter Mitarbeiter nicht vereinbar ist.^[6]

Potenzielle Straftaten

Anders ist die Rechtslage hingegen für die Ermittlung von potenziellen Straftaten von Arbeitnehmern zu beurteilen. Mit § 32 BDSG a. F. wurde in Abs. 1 Satz 2 auch eine besondere Regelung zur Datenverarbeitung personenbezogener Daten von Arbeitnehmern "zur Aufdeckung von Straftaten" eingeführt. Nach dem Gesetzeswortlaut durften zur Aufdeckung von Straftaten personenbezogene Daten eines Beschäftigten nur dann erhoben, verarbeitet oder genutzt werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass der Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat. Zudem musste die Erhebung, Verarbeitung oder Nutzung zur Aufdeckung erforderlich sein und das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung durfte nicht überwiegen. Insbesondere durften Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sein. Insoweit hat der seit dem 25.5.2018 geltende § 26 Abs. 1 Satz 2 BDSG nahezu denselben Wortlaut. Die neue Fassung beschränkt die Tätigkeit jedoch auf die Verarbeitung von Daten und benennt die Erhebung und Nutzung nicht. Es bleibt aber unverändert bei einer Abwägung zwischen Aufklärungsinteresse des Arbeitgebers und dem Recht der Beschäftigten auf Datenschutz.

Der enge Wortlaut legt zunächst nahe, dass davon jede Form der Mitarbeiterkontrolle erfasst und jede...