Datenschutz im Arbeitsrecht

Was wir tun

Arbeitgeber verarbeiten häufig personenbezogene Daten ihrer Mitarbeiter. Dazu gehören beispielsweise Name, Adresse und Bankverbindung für Gehaltszahlungen. Für die Verarbeitung personenbezogener Daten gelten zahlreiche gesetzliche Bestimmungen, die von Unternehmen eingehalten werden müssen. Personenbezogene Daten müssen mit größter Sorgfalt behandelt werden, um finanzielle oder Reputationsschäden sowie Bußgelder zu vermeiden. Der Datenschutz ist in praktisch jeder Akte des Unternehmens verankert. Daher nimmt der Schutz personenbezogener Daten im Arbeitsrecht einen wichtigen Platz ein. Mit unserer Expertise und Erfahrung beraten und begleiten wir Ihr Unternehmen und teilen unser Wissen. Beispiele hierfür sind:

• Compliance-Fragen und Umsetzung der DSGVO
• Durchführung von Risikobewertungen (DSFA)
• Die Ernennung eines Datenschutzbeauftragten
• Erstellung, Überprüfung und Bearbeitung von Datenschutzdokumenten, wie z. B. einer Datenschutzerklärung oder einer Vereinbarung zur Datenverarbeitung
• Entwurf, Überprüfung und Bearbeitung von Datenschutzrichtlinien
• Aufbewahrungsfristen
• Datenschutz bei Umstrukturierungen oder Reorganisationen
• Datenschutz in Bezug auf Bewerber, Kündigung oder Behinderung
• Meldung von Datenschutzverletzungen
• Wir bieten Kurse und Präsentationen im Bereich Arbeitsrecht und Datenschutz an

Haben Sie Fragen zum Datenschutz? Bitte kontaktieren Sie uns direkt:

Datenschutz und Arbeitsrecht: Wo stehen wir?

Datenschutz am Arbeitsplatz ist ein Schnittpunkt von Arbeitsrecht und Datenschutzrecht. Einerseits hat der Arbeitnehmer das Recht auf Schutz seines Privatlebens, auch während der Arbeitszeit; andererseits hat der Arbeitgeber das Recht, Anweisungen zu erteilen, und ein berechtigtes Interesse am Schutz des Unternehmens, des Firmeneigentums und der Mitarbeiter. Die Verarbeitung von Mitarbeiterdaten muss der Datenschutz-Grundverordnung (DSGVO) entsprechen. Daher berührt praktisch jede Entscheidung des Arbeitgebers – von Leistungsbeurteilungen bis hin zur Videoüberwachung – den Datenschutz. Unsere interdisziplinären Teams aus Anwälten und (Unternehmens-)Rechtsexperten unterstützen Sie dabei, dieses Gleichgewicht rechtskonform zu wahren, egal ob Sie ein internationaler Konzern oder der kleine Bäcker um die Ecke mit wenigen Mitarbeitern sind. Diese Seite ist Teil unserer umfassenden Expertise im Arbeitsrecht.

Die Rechtsgrundlage: Darf der Arbeitgeber diese Daten verarbeiten?

Jede Verarbeitung personenbezogener Daten von Mitarbeitern erfordert eine gültige Rechtsgrundlage. Die DSGVO legt diese Rechtsgrundlagen in Artikel 6 der Datenschutz-Grundverordnung fest. Im Arbeitsverhältnis ist die „Einwilligung“ des Mitarbeiters in der Regel keine ausreichende Rechtsgrundlage, da eine Einwilligung in einem Autoritätsverhältnis selten freiwillig erteilt wird. Arbeitgeber berufen sich daher häufig auf „berechtigte Interessen“ oder eine gesetzliche Verpflichtung. In diesem Zusammenhang gilt der Grundsatz der Zweckbindung und Datenminimierung gemäß Artikel 5 der DSGVO: Es dürfen nicht mehr Daten verarbeitet werden, als für einen klar definierten Zweck unbedingt erforderlich sind, und Daten dürfen nicht länger als nötig gespeichert werden. Für besondere Kategorien personenbezogener Daten, wie beispielsweise die Gesundheitsdaten eines erkrankten Mitarbeiters, gilt die strengere Regelung des Artikels 9 der DSGVO: grundsätzlich ein Verarbeitungsverbot mit wenigen Ausnahmen.

Kontrolle und Überwachung der Mitarbeiter

Wenn ein Arbeitgeber seine Angestellten überwachen möchte – beispielsweise durch Videoüberwachung, E-Mail- und Internetnutzung, GPS-Ortung in Fahrzeugen oder Überwachung der Heimarbeit –, dann muss diese Überwachung drei Anforderungen erfüllen:

• Berechtigtes Interesse: Es gibt einen konkreten, legitimen Grund, wie z. B. Diebstahlprävention, Sicherheit oder Effizienz.
• Verhältnismäßigkeit: Die Mittel stehen in einem angemessenen Verhältnis zum Zweck; es werden nicht mehr Kontrollen durchgeführt als nötig.
• Subsidiarität: Es gibt keine weniger einschneidenden Mittel, um dasselbe Ziel zu erreichen.

Darüber hinaus müssen die Mitarbeiter im Voraus informiert werden, beispielsweise durch eine Datenschutzerklärung oder ein Überwachungsprotokoll, gemäß der Informationspflicht nach Artikel 13 und 14 der Datenschutz-Grundverordnung. Verdeckte Videoüberwachung ist nur in Ausnahmefällen zulässig, und der Zugriff auf geschäftliche E-Mails ist unter bestimmten Bedingungen möglich, auf private Kommunikation jedoch grundsätzlich nicht. Videomaterial wird in der Regel nicht länger als vier Wochen gespeichert, es sei denn, es ist ein Vorfall eingetreten.

Die Rolle des Betriebsrats

Datenschutz ist nicht allein eine Angelegenheit zwischen Arbeitgeber und Arbeitnehmer. Möchte ein Arbeitgeber eine Regelung zur Verarbeitung personenbezogener Daten von Mitarbeitern einführen oder ändern oder Bestimmungen zur Beobachtung oder Überwachung von Anwesenheit, Verhalten oder Leistung treffen, ist die Zustimmung des Betriebsrats erforderlich. Diese Zustimmungspflicht ergibt sich aus Artikel 27 des Betriebsratsgesetzes. Wird diese Zustimmung unterlassen, kann die eingeführte Kontrollmaßnahme unwirksam sein. Wir unterstützen sowohl den Arbeitgeber als auch den Betriebsrat in diesem gesamten Prozess.

Bewerber, kranke Mitarbeiter und Kündigung

Datenschutz spielt im gesamten Beschäftigungszyklus eine wichtige Rolle. Während des Bewerbungs- und Auswahlverfahrens darf ein Arbeitgeber nicht unbegrenzt Daten erheben; die Einstellungsprüfung muss verhältnismäßig und für die jeweilige Position angemessen sein. Im Krankheitsfall darf ein Arbeitgeber keine medizinischen Daten oder die Art der Beschwerden erfassen – dies ist dem Betriebsarzt vorbehalten –, sondern nur Informationen zu funktionellen Einschränkungen und zur Wiedereingliederung. Siehe auch unsere Seite zum Thema Krankheit und Wiedereingliederung im Arbeitsrecht. Nach Beendigung des Arbeitsverhältnisses müssen personenbezogene Daten gelöscht oder anonymisiert werden, sobald die gesetzlichen Aufbewahrungsfristen abgelaufen sind; ehemalige Mitarbeiter behalten ihre Rechte auf Auskunft, Berichtigung und Löschung.

Datenschutzverletzungen und die Datenschutz-Folgenabschätzung

Wenn etwas schiefgeht – beispielsweise ein gestohlener Laptop, eine falsch adressierte Gehaltsabrechnung oder ein Hackerangriff – kann dies eine Datenschutzverletzung darstellen. Eine meldepflichtige Datenschutzverletzung muss gemäß Artikel 33 und 34 der Datenschutz-Grundverordnung (DSGVO) innerhalb von 72 Stunden der niederländischen Datenschutzbehörde und gegebenenfalls auch den betroffenen Mitarbeitern gemeldet werden. Vor risikoreichen Verarbeitungsvorgängen, wie z. B. groß angelegtem Monitoring, kann gemäß Artikel 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) erforderlich sein. Wir erstellen Monitoring-Protokolle und DSFAs und unterstützen Organisationen im Umgang mit der niederländischen Datenschutzbehörde.

Was MKB Juristen für Sie tut

Datenschutz im Arbeitsrecht erfordert Kenntnisse in zwei Rechtsgebieten. Unsere interdisziplinären Teams aus Anwälten und Unternehmensjuristen vereinen Expertise im Arbeits- und Datenschutzrecht. Wir erstellen Datenschutzrichtlinien, Datenverarbeitungsvereinbarungen und Überwachungsprotokolle, begleiten den Einwilligungsprozess mit dem Betriebsrat, führen Datenschutz-Folgenabschätzungen durch und beraten bei Datenschutzverletzungen, Kündigungen und Umstrukturierungen. Ob Konzern mit Hunderten von Mitarbeitern oder Kleinunternehmer mit nur wenigen Angestellten – wir übersetzen die gesetzlichen Bestimmungen in praktikable Vereinbarungen für Ihr Unternehmen. Für weiterführende Informationen verweisen wir Sie auf unsere im Arbeitsrecht.