Das Thema
Nun ist Sie seit wenigen Tagen wirksam, die europäische Datenschutzgrundverordnung (hier: DS-GVO). Und auch nach der Neufassung des Bundesdatenschutzgesetzes (BDSG) bleibt es bei dem Grundsatz, dass die Verarbeitung personenbezogener Daten einem Erlaubnisvorbehalt unterliegt (Art. 6 DS-GVO).
Arbeitgeber brauchen also eine datenschutzrechtliche Rechtfertigungsgrundlage, wenn sie Daten ihrer Beschäftigten verarbeiten wollen. Als gesetzliche Rechtfertigungsgrundlage kommt vor allem Art. 6 Abs. 1 S. 1 lit. b DSG-VO in Betracht, daneben auch Kollektivvereinbarungen (praktisch vor allem Betriebsvereinbarung) und schließlich die Datenverarbeitung mit Einwilligung des Beschäftigten. Allerdings ist die Einwilligung zur Datenverarbeitung kein Allheilmittel.
Aber was kann der Arbeitgeber unternehmen, wenn er Daten des Beschäftigten verarbeiten möchte, dieser aber keine Einwilligung erteilen möchte und ein anderer Erlaubnistatbestand nicht einschlägig ist? Kann die Einwilligung des Betroffenen erzwungen werden? Kann ggf. der Betriebsrat (sogar) helfen?
Einwilligung: Freiwilligkeit notwendig
Nach Art. 4 Nr. 11 DS-GVO ist die Einwilligung der betroffenen Person jede freiwillige, auf einen bestimmten Fall, in informierter und unmissverständlicher Weise abgegebene Willensbekundung, mit der die Person zu verstehen gibt, dass sie mit der Verarbeitung ihrer Daten einverstanden ist. Die Freiwilligkeit der Einwilligung ist damit eine zentrale Wirksamkeitsvoraussetzung.
Nach wie vor ist bei vielen Datenschutzbehörden und in Teilen der Fachliteratur Skepsis vorzufinden, dass die Freiwilligkeitsvoraussetzung im Arbeitsverhältnis überhaupt erfüllbar ist. Für diese Skepsis besteht jedoch bei Lichte betrachtet kein Grund, zumal diese Ansicht Beschäftigten ganz grundsätzlich ihre Grundrechtsmündigkeit abzusprechen scheint. Wenn das allgemeine Persönlichkeitsrecht nicht an der Schwelle zum Betrieb abgegeben wird, dann bedeutet das eben auch, dass (wohlinformierte – wofür der Arbeitgeber sorgen muss) mündige Beschäftigte in die Verarbeitung ihrer personenbezogenen Daten einwilligen können müssen.
Auch das BAG erkennt freiwillig erteilte Einwilligung im Arbeitsverhältnis an
Auch das Bundesarbeitsgericht (BAG, 11.12.2014 – 8 AZR 1010/13) hat sich unter Berufung auf die Eigenverantwortlichkeit und Selbstbestimmtheit von Beschäftigten schon vor längerem dafür ausgesprochen, dass eine freiwillig erteilte Einwilligung auch im Arbeitsverhältnis möglich ist. Seit dem 25. Mai 2018 ist die Einwilligung für das Beschäftigungsverhältnis in § 26 Abs. 2 BDSG zudem gesetzlich als – zumindest grundsätzlich – taugliche Rechtsgrundlage für eine Datenverarbeitung anerkannt.
Danach gelten allerdings strenge Kriterien: Für die Beurteilung der Freiwilligkeit der Einwilligung sind danach insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Der Arbeitgeber muss die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht in Textform aufklären.
Kann eine Einwilligung durch den Arbeitgeber „erzwungen“ werden?
Wie sich aus der vom Gesetz vorausgesetzten und einzelfallabhängig zu prüfenden Freiwilligkeit der Einigung ergibt, gibt es grundsätzlich keine Möglichkeit für den Arbeitgeber, die Abgabe einer Einwilligungserklärung durch den Beschäftigten zu erzwingen. Denn einen Anspruch auf Einwilligung in die Datenverarbeitung kennt weder die DSG-VO, noch das BDSG oder das Arbeitsrecht. Allenfalls in ganz speziell gelagerten Einzelfällen wird man darüber nachdenken können, ob die Verweigerung einer Einwilligung durch den Beschäftigten treuwidrig ist (§ 242 BGB).
Völlig abwegig ist dies deswegen nicht, weil das BAG in der oben angesprochenen Entscheidung anerkannt hat, dass der Widerruf einer Einwilligung unter bestimmten Bedingungen treuwidrig sein kann. Es erscheint damit zumindest nicht völlig ausgeschlossen, dass dies auch auf die Verweigerung der Einwilligung als solche zutreffen kann, wenn der Arbeitgeber auf die Einwilligung angewiesen ist und die Interessen des Beschäftigten durch die beabsichtige Datenverarbeitung praktisch nicht tangiert werden. Allerdings ist das für die Praxis zu vernachlässigen, zumal dann auf Abgabe der Einwilligungserklärung geklagt werden müsste – mit äußerst fraglichen Erfolgsaussichten für den Arbeitgeber.
Welche Rolle spielt der Betriebsrat?
Nach Art. 88 Abs. 1 DS-GVO sind auch Betriebsvereinbarungen eine taugliche Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Diese müssen nach Art. 88 Abs. 2 DS-GVO geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, auch im Hinblick auf die Transparenz, umfassen und müssen damit ihrerseits ein angemessenes Datenschutzniveau gewährleisten. (Anm. d. Red.: Welchen Vorgaben Betriebsvereinbarungen nun entsprechen müssen und wie man entsprechende Regelungen gestaltet.)
Dabei bieten Betriebsvereinbarungen als datenschutzrechtliche Rechtsgrundlage diverse Vorteile gegenüber individuellen Einwilligungen: Sie gelten unmittelbar für die betroffenen Arbeitsverhältnisse und es bedarf damit keines Einholens einer Vielzahl von Einzelerklärungen, die Unsicherheit bzgl. der Freiwilligkeit entfällt und auch muss der Arbeitgeber nicht jederzeit mit dem Widerruf von Einwilligungen durch einzelne Beschäftigte rechnen, so dass er nicht Gefahr läuft, am Ende mit einem „Flickenteppich“ dazustehen. Zudem kommt der Arbeitgeber, wenn es um neue elektronische Datenverarbeitungen geht, an einer Beteiligung des Betriebsrats wegen § 87 Abs. 1 Nr. 6 BetrVG in der Regel ohnehin nicht vorbei. Dieser Vorschrift unterfällt bekanntermaßen eine Vielzahl von Szenarien mit datenschutzrechtlicher Relevanz, neben dem Einsatz von Videoüberwachung oder sonstigen technischen Überwachungseinrichtungen bspw. auch viele IT-Programme zur Personaldatenverarbeitung.
Handlungszwang? Die Einigungsstelle kann helfen
Da sich der Betriebsrat einer Verhandlung über Angelegenheiten, die dem zwingenden Mitbestimmungsrecht unterliegen, nicht entziehen kann, hat der Arbeitgeber auf kollektiver Ebene faktisch größere Einwirkungsmöglichkeiten, seine Datenverarbeitungsinteressen durchzusetzen, als auf individualrechtlicher Basis.
Können der Betriebsrat und der Arbeitgeber keine Einigung erzielen, kann auf Antrag die Einigungsstelle angerufen werden, die dann im konkreten Fall über den Inhalt einer Betriebsvereinbarung und damit auch über die Modalitäten der Datenverarbeitung entscheidet. Praktisch muss in diesem Szenario mit dem Betriebsrat auch über die datenschutzrechtliche Zulässigkeit der Maßnahme verhandelt werden, was gewiss nicht immer einfach ist, zumal der Datenschutz bisweilen zu Unrecht von Seiten des Betriebsrats als „Totschlagsargument“ gebraucht wird.
Hier kommt es darauf an, die Betriebsvereinbarung mit angemessenen datenschutzrechtlichen Gewährleistungen und Regelungen zur Transparenz auszustatten und damit die richtige Balance mit den berechtigten Verarbeitungsinteressen des Arbeitgebers herzustellen, so dass der Betriebsrat und im Nichteinigungsfall auch die Einigungsstelle überzeugt werden kann. Denn auch die durch Spruch der Einigungsstelle zustande gekommene Betriebsvereinbarung kann Rechtsgrundlage für die Datenverarbeitung sein, was allerdings – nach Erfahrung der Autoren – bei einigen Datenschutzbehörden zu Diskussionen führen kann.
Einwilligung nur “Plan B”
Die Einwilligung des datenschutzrechtlich Betroffenen kann zwar gewisse Vorteile gegenüber dem Heranziehen gesetzlicher Rechtfertigungstatbestände zur Datenverarbeitung mit sich bringen (Abweichen vom gesetzlichen Datenschutzstandard auch nach unten, keine Interessensabwägung erforderlich). Gleichwohl sollte – insbesondere solange die genauen Anforderungen an das Merkmal der Freiwilligkeit nicht weitergehend konkretisiert wurden – auf eine Einwilligung als Erlaubnistatbestand auf Seiten des Arbeitgebers nur als „Plan B“ zurückgegriffen werden.
„Plan A“ sollten die gesetzlichen Erlaubnistatbestände sein, was erfordert, dass der vorgesehen Prozess datenschutzrechtlich im Detail geprüft werden sollte. Ist nämlich ein gesetzlicher Erlaubnistatbestand einschlägig, bedarf es einer Einwilligung schon gar nicht mehr und ein massenhaftes Einholen von Standardeinwilligungen wäre – gerade vor dem Hintergrund des weiteren aus der DSG-VO für Arbeitgeber folgenden Handlungsbedarfs – in diesem Fall eine Verschwendung wichtiger Ressourcen.
Zum Autorenprofil einschließlich den Kontaktmöglichkeiten zum Autor in den sozialen Medien
Autorenprofil einschließlich Kontaktmöglichkeiten