Das Thema klingt sperrig – tatsächlich hat es aber Relevanz für jeden Arbeitgeber.
Im Juli hatten wir bereits auf die Zunahme von Schadenersatzansprüchen wegen datenschutzrechtlicher Verstöße hingewiesen
,https://www.xing.com/communities/posts/arbeitsrecht-fuer-arbeitgeber-1024571563
Nunmehr wollen wir ein weiteres Urteil vorstellen, welches Arbeitgeber zwingt noch einmal über weitere datenschutzrechtliche Themen in der Personalabteilung nachzudenken:
Der Fall
Ein Arbeitgeber war Teil eines Konzerns. Diesem Konzern gehörte auch eine Firma A an, die für sämtliche andere Konzernfirmen Aufgaben aus dem Bereich Organisation, Management und Personalcontrolling übernahm.
Zur Umsetzung einer Konzernentscheidung wurde die Firma A beauftragt bei allen konzernangehörigen Firmen eine Aufstellung anzufordern, die alle Arbeitnehmer auflisten sollte, die mehr als € 80.000,— brutto pro Jahr verdienten. Vor diesem Hintergrund wandet sich die Firma A auch an den Arbeitgeber und verlangte die Erstellung einer Liste mit folgenden Inhalten:
-Name des Betriebes
-Namen und Vorname des Arbeitnehmers
-Personalnummer
-betriebliche Organisationseinheit
-Einstellung-/Vertragsänderungsdatum
-etwaige Befristung
-Jahresbruttoentgelt
-Zielprämie/Tantieme
-sonstige Leistungen nach Bezeichnung und Höhe
Der Arbeitgeber übermittelte diese Daten wunschgemäß.
Eine dort beschäftigte Arbeitnehmerin war mit der Übermittlung ihrer Daten nicht einverstanden. Sie verklagte zum einen die Firma A vor den Zivilgerichten. A wurde vom OLG Hamm rechtskräftig zur Löschung der in dieser Sache über die Arbeitnehmerin gespeicherten Daten sowie zur Zahlung eines Schadenersatzes in Höhe von 8.000,— verurteilt.
Die Arbeitnehmerin verklagte darüber hinaus aber auch noch ihren Arbeitgeber auf Unterlassung der Weitergabe ihrer personenbezogenen Daten sowie auf Schadenersatz in Höhe von € 10.000,—.
Das Arbeitsgericht Herne verurteilte den Arbeitgeber zur Unterlassung und sprach der Arbeitnehmerin einen Schadenersatz in Höhe von € 2.000 zu. Hiergegen wandte sich der Arbeitgeber mit seiner Berufung zum Landesarbeitsgericht Hamm.
Die Entscheidung
Das LAG Hamm hat die Berufung zurückgewiesen und das Urteil zugunsten der Arbeitnehmerin aufrechterhalten (Urteil v. 14.12.2021 – 17 Sa 1185/20).
Zunächst einmal ging das Arbeitsgericht davon aus, dass der Weitergabe der personenbezogenen Daten keine Rechtsgrundlage zugrundelag. Insbesondere war die Weitergabe nicht aufgrund von § 26 BDSG zur Durchführung des Arbeitsverhältnisses erforderlich. Die Definition des Begriffs der „Erforderlichkeit“ in § 26 BDSG ist relativ eng auszulegen; erforderlich ist eine Datenverarbeitung (z.B. wie hier die Weitergabe von Daten) nur dann, wenn das Arbeitsverhältnis ohne diese Verarbeitung nicht durchgeführt werden könne, was hier ersichtlich nicht der Fall ist.
Der Arbeitgeber berief sich als Rechtsgrundlage für die Weitergabe der Daten zusätzlich auf Art. 6 I f DSGVO, nach dem personenbezogene Daten verarbeitet werden dürfen, wenn die Verarbeitung zur Wahrung berechtigter Interessen (hier des Arbeitgebers) erfolgt, sofern nicht Interessen der betroffenen Person (hier: der Arbeitnehmerin) überwiegen. Das LAG vertrat hierzu die Meinung, dass zwar berechtigte Interessen des Arbeitgebers gegeben seien, im vorliegenden Fall jedoch die Interessen der Arbeitnehmerin überwiegen würden.
Begründet hat das LAG diese Auffassung damit, dass bereits zweifelhaft sei, ob die Weitergabe der Daten (in dieser Form) überhaupt erforderlich gewesen sei. Auf jeden Fall habe der Arbeitgeber aber gegen den Grundsatz der Transparenz verstoßen. Verantwortliche sind nämlich nach Art. 13 DSGVO verpflichtet betroffene Personen über die Verarbeitung (z.B. die Weitergabe von Daten) zu informieren. Auch muss über den Zweck der Verarbeitung informiert, im Fall von Art. 6 If auf die Interessen des Verantwortlichen, auf den Empfänger der Daten, auf die Dauer der Speicherung, sowie auf die Rechte der betroffenen Person hingewiesen werden. Vorliegend hätte die Arbeitnehmerin zusätzlich über ihr Widerspruchsrecht informiert werden müssen, was unstreitig nicht geschehen ist.
Praxistipp
Was lernen wir daraus? Zum einen sollte man sich ganz klarmachen, dass die wesentliche Grundlage für die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis § 26 BDSG ist. Kann eine bestimmte Verarbeitung nicht durch § 26 BDSG gerechtfertigt werden, sollte man sich als Arbeitgeber gut überlegen, ob man versucht die Verarbeitung durch andere (in der Regel kompliziertere) Rechtsgrundlagen wie die Einwilligung (Art. 6 I a DSGVO) oder das Vorliegen berechtigter Interessen (Art. 6 I f DSGVO) stützen will.
Ganz wichtig ist darüber hinaus, dass Sie checken sollten, ob Sie Ihre Arbeitnehmer im Sinne von Art. 13 DSGVO über die von Ihnen verarbeiteten Daten aufgeklärt haben. Dies hat zunächst einmal zu Beginn des Arbeitsverhältnisses zu erfolgen.Dem Arbeitnehmer (und vorher auch jedem Bewerber) ist also ein ausführliches Dokument zu übergeben, in dem im Einzelnen auf folgendes hingewiesen wird:
-den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
-gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
-die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
-wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
-gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
-gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen gemäß Artikel 46 oder Artikel 47 oder Artikel 49 Absatz 1 Unterabsatz 2 einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind.
-die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
-das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
-wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
-das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
-ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und
-das Bestehen einer automatisierten Entscheidungsfindung, einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
Haben Sie keine solche Dokumente an Ihre Arbeitnehmer ausgehändigt, so können Ihnen ebenfalls Schadenersatzklagen drohen. Hinzu kommt, dass gegnerische Anwälte diesen Punkt in einem Kündigungsschutzverfahren nutzen könnten, um weiteren Druck aufzubauen.
Wenn Sie für diese Dokumente (Datenschutzerklärung nach Art. 13 DSGVO für Bewerber + Arbeitnehmer) Muster (2 Dokumente) benötigen, können Sie diese bei uns zu einem Preis von je € 250 zzgl. USt. erwerben.
Im Übrigen gilt die Informationspflicht auch nach Begründung des Arbeitsverhältnisses fort. Wenn Sie eine neue bzw. zusätzliche Verarbeitung beabsichtigen (z.B. Installation einer Kamera im Eingangsbereich des Betriebes), so haben Sie alle Ihre Arbeitnehmer im Sinne von Art. 13 DSGVO nunmehr erneut zu informieren.
Sie sehen Datenschutz ist schwierig, aber machbar. Und vor allem – wenn Sie sich mit den datenschutzrechtlichen Anforderungen auseinandersetzen, verbessern Sie nicht nur Ihre datenschutzrechtliche Situation, sondern auch Ihre Chancen in eventuellen Kündigungsschutzverfahren.
Weitere Informationen zum Thema Arbeitsrecht Hamburg erhält man auch unter https://scharf-und-wolter.de/fachanwalt-hamburg/fachanwalt-arbeitsrecht/ sowie unter Anwalt Hamburg