Die Datenverarbeitung im Beschäftigungsverhältnis ist ein Thema für sich. Da zwischen den Beschäftigten und dem für die Datenverarbeitung verantwortlichem Arbeitgeber regelmäßig eine gewisse Machtasymmetrie gegeben ist, gelten Beschäftigte als besonders schutzbedürftig Personengruppe (vgl. Art. 29 Datenschutzgruppe, WP 248, S. 12). Diesem Umstand muss der Arbeitergeber insbesondere dann Rechnung tragen, wenn eine Datenverarbeitung auf der Einwilligung der beschäftigten Person basieren soll.

Typische Einwilligungskonstellationen im Beschäftigungsverhältnis

Auch wenn Art. 6 DSGVO diverse Rechtsgrundlage für Datenverarbeitungsprozesse bereithält, kommt ein Arbeitgeber in bestimmten Situationen nicht an der Einholung einer Einwilligung vorbei. Typische Fallkonstellationen sind etwa:

• die Aufnahme von Mitarbeiterdaten in Geburtstagslisten
• die Veröffentlichung von Mitarbeiterfotos auf der Unternehmenswebsite/Social Media
• die Verwendung von WhatsApp als betriebliches Kommunikationsmittel
• die Aufnahme abgelehnter Bewerber in den Bewerberpool

Arbeitgeber sollten sich dabei bewusst sein, dass der Begriff des „Beschäftigten“ weit zu verstehen ist. So stellt der insoweit einschlägige § 26 BDSG in Absatz 8 klar, dass nicht nur der/die klassische Arbeitnehmer:in Beschäftigte/r im Sinne des Datenschutzrechts ist, sondern auch Bewerber, Auszubildende, Leiharbeiternehmer, in Werkstätten für behinderte Menschen arbeitende Personen, sonstige arbeitnehmerähnliche Personen etc..

Anforderungen an eine wirksame Einwilligung

Möchte der Arbeitergeber eine Datenverarbeitung also auf die Einwilligung und damit auf Art. 6 Abs. 1 lit. a) DSGVO stützen, so müssen bestimmte Anforderungen gewahrt werden.

1. Freiwilligkeit

Die Zustimmung zur Datenverarbeitung muss freiwillig erfolgen, d. h. die beschäftigte Person muss eine echte Wahlmöglichkeit haben. Entscheidet sie sich dagegen, dürfen ihr hieraus keine Nachteile entstehen. Wird die Einwilligung durch den Einsatz von Druck, Täuschung, Einschüchterung oder sonstigen Nötigungshandlungen bewirkt, ist sie unwirksam.

1.1. Die Freiwilligkeit und das Ungleichgewicht im Beschäftigungsverhältnis

An dieser Stelle stellt sich ein im Beschäftigungskontext typisches Problem: das Machungleichgewicht im Arbeitsverhältnis. Je nach Unternehmensklima und den vorhandenen sozialen Strukturen wird ein Arbeitnehmer einen von oben kommenden Vorschlag wohlmöglich nicht ablehnen können ohne gleichzeitig befürchten zu müssen, dass die Weigerung zu Nachteilen führt.

Es empfiehlt sich daher, die Unterschrift des Arbeitsvertrags und die Einholung datenschutzrechtlicher Einwilligungen zeitlich zu entzerren. Idealerweise sollten Einwilligungen anlassbezogen  während des Beschäftigungsverhältnisses oder zumindest nach Abschluss des Arbeitsvertrags im Rahmen des On-Boarding Prozesses eingeholt werden. Zudem sollte die beschäftigte Person ausdrücklich darauf hingewiesen werden, dass die Einwilligung auf freiwilliger Basis erteilt wird und bei Nichterteilung keine negativen Konsequenzen zu befürchten sind. Mit Blick auf die Nachweispflicht sollte dieser Hinweis direkt im Einwilligungstext enthalten und dort optisch, z. B. durch Fettdruck und Unterstreichung, hervorgehoben werden.

1.2. Die Freiwilligkeit und das Trennungsgebot

Die Freiwilligkeit ist regelmäßig auch in solchen Fällen zu verneinen, in denen ein Beschäftigter nur in mehrere Verarbeitungsprozesse gleichzeitig einwilligen kann („Take it or leave it“). Steht die Durchführung verschiedener Verarbeitungsvorgängen zur Diskussion, so muss die betroffene Person gesondert über die Zulässigkeit der jeweiligen Verarbeitungen entscheiden können (z. B. durch Ankreuzkästchen). Ein Anhaltspunkt für die Beantwortung der Frage, ob verschiedene Verarbeitungsvorgänge gegeben sind, ist das Vorliegen verschiedener Verarbeitungszwecke. Jeder (neue) Verarbeitungszweck bedarf in der Regel einer gesonderten Einwilligung.

Hinzu kommt, dass Einwilligungen stets für den konkreten Fall eingeholt und erteilt werden müssen. Eine pauschale Muster-Einwilligungserklärung oder zu schwammig und offen formulierte Verarbeitungszwecke führen zur Unwirksamkeit der Einwilligung.

1.3. Freiwilligkeit und das Kopplungsverbot

Gemäß Erwägungsgrund 43 gilt die Einwilligung als nicht freiwillig erteilt, wenn die Erfüllung eines Vertrags (…) von der Einwilligung abhängig gemacht wird, obwohl diese Einwilligung für die Erfüllung des Vertrags nicht erforderlich ist. Bei strenger Auslegung würde das bedeuten, dass sämtliche Geschäftsmodelle, die auf dem Daten-gegen-Leistung-Prinzip beruhen, als nicht datenschutzkonform zu werten wären (sog. absolutes Kopplungsverbot). Da dieser Ansatz an der heutigen Lebensrealität vorbeigeht und die Interessen der Verbraucher außer Acht lässt, erscheint es sinnvoller, die Vorgabe des Erwägungsgrunds wie folgt zu interpretieren: Die Einwilligung ist erst dann als unfreiwillig zu qualifizieren, wenn sie für die Erfüllung des Vertrages oder der Dienstleistung nicht erforderlich ist und die Ablehnung der Zustimmungserteilung einen so wesentlichen Nachteil für den Beschäftigten darstellt, dass es Zwang gleichkommt und von Selbstbestimmung nicht mehr die Rede sein kann.

2. Transparenz

Die beschäftigte Person muss zudem umfassend über die Hintergründe und Umstände der geplanten Verarbeitung informiert werden. Nur wer weiß, wozu er eigentlich einwilligt, kann auch eine wirksame Einwilligungserklärung abgeben.

Wie umfangreich diese Informationen sein müssen, ist nicht abschließend geklärt. Strittig ist dabei insbesondere, ob der gesamte in Art. 13 DSGVO enthaltenen Katalog wiedergegeben werden muss. In jedem Fall genannt werden müssen die verantwortliche Stelle, die Zwecke der Datenverarbeitung und – soweit relevant - an wen die Daten weitergebenen werden (Name und Adresse des Empfängers) sowie die geplanten Verarbeitungszwecke des Empfängers. Daneben sollten Angaben zur Art der verarbeiteten Daten, zur Dauer und ggf. weiteren Modalitäten der Verarbeitung gemacht werden. Gleiches gilt für den Hinweis über die möglichen Konsequenzen einer Verweigerung. Findet eine Datenübermittlung in Drittstaaten (Länder außerhalb der EU/EWR) statt oder kommt es zu automatisierten Entscheidungsfindungen, sollte auch über diese Umstände und die damit einhergehenden Risiken informiert werden. Bis zur abschließenden rechtlichen Klärung sollten Verantwortliche  um Haftungsrisiken zu minimieren über sämtliche in Art. 13 DSGVO aufgezählten Umstände informieren.

Um Informationsüberladung zu vermeiden, sollten Verantwortliche hier einerseits nicht unverhältnismäßig tief ins Detail gehen. Gleichzeitig müssen die Informationen jedoch in einer Weise zur Verfügung gestellt werden, die es der betroffenen Person ermöglicht, sich ein gutes Bild von den tatsächlich stattfindenden Datenverarbeitungsprozessen zu machen. Die relevanten Informationen müssen den Beschäftigten so zur Verfügung werden, dass sie hiervon in zumutbarer Weise und vor Erteilung der Einwilligung Kenntnis nehmen können.

3. Widerruflichkeit

Im Rahmen der o. g. Informationspflichten muss zudem darüber informiert werden, dass die Einwilligung jederzeit und mit Wirkung für die Zukunft widerrufen werden kann. Erfolgt dieser Hinweis nicht, so ist von der Unwirksamkeit der Einwilligung auszugehen

4. Form

§ 26 Abs. 2 S. 3 BDSG sieht vor, dass die Einwilligung eines Beschäftigten in schriftlicher oder elektronischer Form zu erfolgen hat. Liegen besondere Umstände vor, kann auch eine andere Form angemessen sein.  

dacuro GmbH

Wenn Sie gerne mehr über unsere Dienstleistungen und Services erfahren möchten oder auf der Suche nach einem externen Datenschutzbeauftragten sind, nehmen Sie gerne Kontakt zu uns auf. Unser Team besteht aus einem Gesamtpaket: wir verfügen über qualifizierte Datenschutzbeauftragte, Expertenwissen durch eigene Juristen und kompetente Kollegen mit jahrelanger technischer Erfahrung, sodass wir das Thema „Datenschutz“ komplett für unsere Kunden abbilden können. Wir betreuen unsere Kunden nicht nur im Rhein-Neckar-Kreis, sondern deutschlandweit in den verschiedensten Branchen. Einen kleinen Einblick finden Sie in unseren Referenzen. Wir freuen uns auf Sie.