Es gibt sie in fast jedem Unternehmen: Listen, die in irgendeiner Form personenbezogene Daten von Mitarbeitern enthalten. Häufige Beispiele sind Listen mit den Geburtstagen aller Mitarbeiter, Sammellisten für Essensbestellungen oder für Dienstreisen, Kontaktlisten mit privaten Rufnummern oder die klassische Anwesenheitsliste.
Datenverarbeitung nur bei Erforderlichkeit möglich
Dabei stellt sich die Frage, ob solche Listen durch den Arbeitgeber geführt werden dürfen. Denn grundsätzlich hat jeder Mitarbeiter das Recht, selbst zu entscheiden, welche seiner zusätzlichen Daten er mit dem Arbeitgeber und Kollegen teilen möchte. Für den Arbeitgeber gilt wie immer, dass er eine Rechtsgrundlage benötigt, um die Daten verarbeiten zu dürfen. Diese ergibt sich im Beschäftigungsverhältnis aus Art. 6, Art. 88 DSGVO i.V.m. § 26 BDSG. Hiernach dürfen Beschäftigtendaten verarbeitet werden, wenn dies für die Durchführung des Beschäftigtenverhältnisses erforderlich ist. Und hier stellt sich die Frage: Sind die diversen Listen erforderlich, um das Beschäftigungsverhältnis durchführen zu können? In nahezu allen Fällen wird man zu dem Ergebnis kommen, dass dies nicht der Fall ist. Denn der Arbeitgeber und der Arbeitnehmer können das Arbeitsverhältnis durchführen, auch ohne, dass bspw. eine Geburtstagsliste geführt wird, damit der Arbeitgeber dem Mitarbeiter zum Geburtstag gratulieren kann. Dabei spielt keine Rolle, dass der Arbeitgeber das Geburtsdatum aus anderen Gründen, wie der Erstellung der Lohnabrechnung, ohnehin kennt. Denn es gilt eine strenge Zweckbindung zur Verarbeitung von personenbezogenen Daten. Einerseits ist das Geburtsdatum zur Erstellung der Lohnabrechnung erforderlich, um das Beschäftigungsverhältnis durchführen zu können. Andererseits stellt das Führen einer Geburtstagsliste einen anderen Zweck dar und erfordert eine weitere Rechtsgrundlage.
Führen von Listen meist nur mit Einwilligung der Mitarbeiter möglich
Für das Führen einer Geburtstagsliste, die die Namen der Mitarbeiter sowie deren Geburtsdaten enthält, bleibt nur die Einholung einer freiwilligen Einwilligung aller Mitarbeiter, die präzise angibt, zu welchem Zweck die Daten verarbeitet werden. Dabei stellt sich im Beschäftigungskontext jedoch stets die Frage, ob die Einwilligung der Mitarbeiter tatsächlich freiwillig erfolgte. Daran kann gezweifelt werden, da sich die Arbeitnehmer „unter Druck gesetzt fühlen“ könnten, die Einwilligung zu erteilen, um keine negativen Konsequenzen vom Arbeitgeber zu erwarten. Es ist also stets im Einzelfall zu prüfen, ob die Einwilligung der Arbeitnehmer wirksam ist oder nicht. Gem. § 26 Abs. 2 S. 2 BDSG kann von einer freiwilligen Einwilligung immer dann ausgegangen werden, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder der Arbeitgeber und der Beschäftigte gleichgelagerte Interessen verfolgen. Bei einer Geburtstagsliste, die vom Arbeitgeber geführt wird, kann wohl davon ausgegangen werden, dass zumindest gleichgelagerte Interessen bestehen, denn ein durchschnittlicher Arbeitnehmer freut sich, wenn sein Arbeitgeber ihm zum Geburtstag gratuliert und evtl. ein kleines Präsent überreicht und der Arbeitgeber hat ebenso ein Interesse an einem positiven Betriebsklima.
Zugriffsrechte auf Listen beschränken und Aufnahme ins Verarbeitungsverzeichnis
Wichtig ist, dass die Zugriffsrechte auf diese Listen innerhalb des Unternehmens eng begrenzt sind. Ein Aushang am „schwarzen Brett“, über den andere Mitarbeiter Einsicht in die Daten der Kollegen nehmen können, ist nicht zulässig. Zudem müssen die Beschäftigten über diesen „Datenverarbeitungsvorgang“ (z.B. Geburtstagsliste) mittels einer Datenschutzbelehrung informiert werden. Außerdem ist der Vorgang in das Verzeichnis der Verarbeitungstätigkeiten des Unternehmens aufzunehmen.
Fazit
Es ist durchaus möglich, Listen mit Mitarbeiterdaten zu führen, die über das für das Beschäftigungsverhältnis erforderliche Maß hinaus gehen. Allerdings ist im Einzelfall zu prüfen, welche Sicherungsmaßnahmen ergriffen werden müssen und ob die Freiwilligkeit der Einwilligung garantiert werden kann. Fragen Sie hierzu am besten Ihren Datenschutzbeauftragten.
Kein Kommentar