Die Datenschutzgrundverordnung (DS-GVO) im Arbeitsverhältnis
Es besteht akuter Handlungsbedarf für Arbeitgeber aufgrund der Einführung der europäischen Datenschutzgrundverordnung (DS-GVO). Die DS-GVO enthält zwar keine unmittelbaren Regelungen zum Datenschutz bezüglich Angestellten und Arbeitnehmern. Über Art 88 DS-GVO besteht aber für jeden Mitgliedsstaat die Möglichkeit im Bereich der Verarbeitung personenbezogener Daten, eigene Vorgaben zum Datenschutz zu regeln.
Von dieser Möglichkeit hat der Gesetzgeber im Rahmen des DSAnpUG-EU (Datenschutzanpassungs- und Umsetzungsgesetz) Gebrauch gemacht.
Die Veröffentlichung von Mitarbeiterdaten, insbesondere auf der Homepage, muss kritisch überprüft werden. Bei den Miterbeiterdaten handelt es sich um „personenbezogene Daten“ nach § 3 BDSG. Bei der „Verarbeitung“ „personenbezogener Daten“ gilt auch der Grundsatz des Verbots mit Einwilligungsvorbehalt. Danach ist eine Veröffentlichung nur zulässig, wenn ein Gesetz dieses dem Arbeitgeber erlaubt oder der betroffene Mitarbeiter einwilligt.
Als Erlaubnisvorschrift kommt § 26 BDSG in Betracht. Dort wird zwischen „Funktionsträgern“ und „Nichtfunktionsträgern“ unterschieden. Unter „Funktionsträgern“ sind diejenigen Mitarbeiter gemeint, denen ein übergeordneter Verantwortungsbereich zukommt oder die als offizielle Ansprechpartner dienen. Bei diesen Mitarbeitern ist die Veröffentlichung der Basisdaten erlaubt (wie z. B. Name, Tätigkeitsbereich, E-Mail-Adresse, Telefonnummer). Eine Veröffentlichung von Daten, die für die Erreichbarkeit nicht erforderlich ist, bedarf dagegen stets der Einwilligung.
Bei der Veröffentlichung von Mitarbeiterfotos ist nicht nur das Datenschutzrecht, sondern auch das Persönlichkeitsrecht des Mitarbeiters und das Urheberrecht des Fotografen zu beachten.
Bei der Einholung der Einwilligung des Mitarbeiters zur Veröffentlichung des Fotos sowie zur Veröffentlichung seiner Daten sind datenschutzrechtliche Vorgaben zu berücksichtigen. Die Einwilligung muss zwingend vor der Veröffentlichung erfolgen. Die Einwilligung nach dem Datenschutzgesetz bedarf grundsätzlich der Schriftform. Der Mitarbeiter muss im Vorfeld auch darüber aufgeklärt werden, in welchem Zusammenhang seine Daten veröffentlich werden. Der Mitarbeiter muss außerdem darüber aufgeklärt werden, dass er seine Einwilligung in die Veröffentlichung seiner Daten in Textform widerrufen kann.
Aber auch nach der Beendigung des Arbeitsverhältnisses muss geprüft werden, ob und inwieweit Mitarbeiterdaten weiter verwendet werden dürfen. Aus dem Grundsatz der Zweckbindung ergibt sich, dass die Einwilligung grundsätzlich auf den Zeitraum beschränkt ist, für den das Arbeitsverhältnis besteht. Wurde der Arbeitgeber gebeten, die Daten zu entfernen, ist die weitere Veröffentlichung der Daten unzulässig. Wenn sich der Arbeitnehmer zur weiteren Nutzung seiner Daten nicht äußert, sollte der Arbeitgeber dennoch tätig werden. Es muss genau geprüft werden, wo und in welchem Zusammenhang Mitarbeiterdaten veröffentlicht wurden (z. B. Social-Media-Kanäle, Impressum der Homepage). Wird der Name des Mitarbeiters (ohne Einwilligung) nach seinem Ausscheiden weiter verwendet, liegt nicht nur ein Verstoß gegen datenschutzrechtliche Vorgaben vor. Dem Arbeitgeber kann unter Umständen auch ein Verstoß gegen UWG und einer Verletzung des Namensrechts des Mitarbeiters vorgeworfen werden.
Fazit: Damit dem Arbeitgeber nicht künftig Schadensersatzansprüchen von (ehemaligen) Mitarbeitern drohen, sollte der Umgang mit Daten der Arbeitnehmer im Hinblick auf das Inkrafttreten der Datenschutzgrundverordnung nochmals kritisch überprüft werden.
Ansprechpartner:
Dr. Klaus-R. Luckow, Rechtsanwalt und Fachanwalt für Verwaltungsrecht