Arbeitnehmerdatenschutz: Einwilligung vs. Betriebsvereinbarung

Hinweise zur Abgrenzung zwischen verschiedenen Rechtfertigungsgründen zur Datenverarbeitung im Arbeitsverhältnis

Immer dann, wenn der Arbeitgeber bei einer bestimmten Tätigkeit oder Maßnahme personenbezogene Mitarbeiterdaten verarbeiten möchte, greift er dadurch in das Recht auf informationelle Selbstbestimmung des Mitarbeiters ein. Ein solcher Eingriff bedarf stets einer Rechtfertigung.

Gemäß § 4 BDSG sind Datenverarbeitungsmaßnahmen gerechtfertigt, wenn sie (1.) auf einer gesetzlichen Erlaubnis oder (2.) einer anderen Rechtsvorschrift beruhen oder wenn (3.) der Betroffene ausdrücklich in die Datenverarbeitung eingewilligt hat.

Gesetzliche Erlaubnis

Die Verarbeitung von personenbezogenen Mitarbeiterdaten ist gem. § 32 Abs. 1 BDSG gerechtfertigt, wenn die Verarbeitung für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Die Rechtsprechung legt an die Erforderlichkeit recht strenge Maßstäbe, weswegen es nicht genügt, dass die Datenverarbeitung einfach nur praktikabel ist oder eine Arbeitserleichterung für das Unternehmen darstellt. Bei vielen Maßnahmen ist ein Rückgriff auf § 32 BDSG daher nicht möglich. Wenn ein Unternehmen bestimmte Vorhaben (auch im Sinne seiner Mitarbeiter) aber trotzdem umsetzen möchte, muss es daher auf einen der anderen Legitimationstatbestände des § 4 BDSG zurückgreifen.

Andere Rechtsvorschrift = Betriebsvereinbarung

Unter einer anderen Rechtsvorschrift im zuvor genannten Sinne ist nach der ständigen Rechtsprechung des Bundesarbeitsgerichts auch die sogenannte Betriebsvereinbarung zu verstehen.

Eine Betriebsvereinbarung stellt eine betriebliche Einigung zwischen dem Arbeitgeber und dem Betriebsrat als Vertreter der Belegschaft dar. Hierin werden einerseits Rechte und Pflichten der Betriebsparteien begründet und darüber hinaus (ähnlich wie ein Tarifvertrag oder ein Gesetz) verbindliche Normen für sämtliche Arbeitnehmer eines Betriebs formuliert.

Betriebsvereinbarungen können Regelungen zu diversen betrieblichen Inhalten treffen. So kann etwa die Verwendung privater Geräte zu dienstlichen Zwecken (BYOD) bzw. der Umgang mit dienstlichen Geräten zur privaten Kommunikation genauso in einer Betriebsvereinbarung geregelt werden wie Regelungen zur Arbeitszeiterfassung, zu Mitarbeiterbewertungen, zum Arbeits- oder Gesundheitsschutz oder auch zum Urlaub.

In einigen Fällen sind Betriebsvereinbarungen zwingend vorgeschrieben. In anderen Fällen erklärt sich der Arbeitgeber aber auch freiwillig dazu bereit, eine Betriebsvereinbarung mit dem Betriebsrat abzuschließen. Dies kann einerseits der Akzeptanz der Mitarbeiter dienen, andererseits stellt dieses Vorgehen gerade in größeren Unternehmen oftmals die schnellere und daher praktikablere Lösung dar, als das Einverständnis jedes einzelnen Mitarbeiters einzuholen. Zudem sorgen Betriebsvereinbarungen für Rechtssicherheit in der Auseinandersetzung zwischen Betriebsrat und Arbeitgeber und gewährleisten eine transparente Regelung, die für die gesamte Belegschaft gleichermaßen Geltung erlangt. Für die Mitarbeiter werden mit Hilfe von Betriebsvereinbarungen eindeutige und nachvollziehbare Rechts- und Verhaltensnormen geschaffen.

Die Betriebsvereinbarung erfüllt aus datenschutzrechtlicher Sicht den Zweck, dass für bestimmte Maßnahmen nicht jeder einzelne Mitarbeiter um seine Erlaubnis gefragt werden muss, sondern der Betriebsrat dies stellvertretend für sämtliche Beschäftigte übernimmt.

Keine Rechtfertigung von schwerwiegenden Eingriffen in das Persönlichkeitsrecht

Dies findet dort seine Grenzen, wo durch die Betriebsvereinbarung Datenverarbeitungen geregelt werden, die einen schwerwiegenden Eingriff in das Selbstbestimmungsrecht des einzelnen Arbeitnehmers darstellen. Maßnahmen, die den einzelnen Mitarbeiter im geschützten innersten Kern seiner Persönlichkeitssphäre betreffen (z. B. Zwang zu einer Genomanalyse) können durch eine Betriebsvereinbarung nicht legitimiert werden.

Datenschutzrechtliche Einwilligung

Schließlich lassen sich Datenverarbeitungen durch die Einholung der individuellen Einwilligung jedes Mitarbeiters legitimieren.

Parallele Anwendung von Betriebsvereinbarung und Einwilligung

Diese drei Möglichkeiten stehen gem. § 4 BDSG alternativ nebeneinander. Teilweise kommt es jedoch vor, dass Unternehmen die Mitarbeiter um ihr Einverständnis zur Durchführung bestimmter Vorhaben bitten, obwohl die zuvor abgeschlossene Betriebsvereinbarung diese Frage schon geregelt hat. Eine zusätzliche Einwilligung wäre in diesen Fällen also eigentlich nicht erforderlich.

Aus rein praktischer Sicht ist dieses Vorgehen durchaus nachvollziehbar, wenn der Arbeitgeber einzelne Mitarbeiter besonders sensibilisieren möchte und sichergehen will, dass diese auch wirklich persönlich mit dem Vorhaben „einverstanden“ sind.

Abgesehen davon, dass dies auch aus organisatorischen Gründen jedoch meist unnötigen Aufwand erzeugt, ist ein derartiges Vorgehen rechtlich durchaus problematisch:

Zum einen unterliegt die Einwilligung gem. § 4a BDSG besonderen formellen und inhaltlichen Anforderungen. Insbesondere muss die Einwilligung freiwillig, d. h. ohne Zwang, erfolgen. Dies ist gerade im Beschäftigungsverhältnis nicht unproblematisch, da hier eine generelle „Drucksituation“ vorliegt und der Arbeitnehmer sich nach Ansicht einiger Juristen niemals wirklich „frei“ für oder gegen ein Vorhaben des Arbeitgebers entscheiden könne. Deshalb wird die Wirksamkeit von Einwilligungen im Rahmen eines Arbeitsverhältnisses teilweise bezweifelt. Der Abschluss von Betriebsvereinbarungen ist daher im Vergleich zur Individualeinwilligung oftmals die rechtssicherere Alternative. Denn der beteiligte Betriebsrat handelt bestimmungsgemäß im Interesse der Beschäftigten und kann dabei unabhängiger agieren als der einzelne Arbeitnehmer.

Zum anderen ist es nach herrschender Auffassung in der datenschutzrechtlichen Literatur und Rechtsprechung unzulässig, eine Einwilligung einzuholen, wenn bereits ein anderer Legitimationsgrund besteht. Denn wenn die verantwortliche Stelle die Datenverarbeitung unabhängig davon durchführen darf, ob der Betroffene seine Einwilligung erteilt, wird Letzterer über seine nur vermeintlich bestehende Wahlmöglichkeit getäuscht.

Die Einholung einer (zusätzlichen) Einwilligung wäre nur dann zulässig, wenn die verantwortliche Stelle sich bei einer Verweigerung nicht auf den anderen Legitimationsgrund zurückzieht, um die Datenverarbeitung über diesen „Umweg“ trotzdem durchzuführen.

Kein Widerspruch zwischen Betriebsvereinbarung und Einwilligung

Im Übrigen folgt aus dem arbeitsrechtlichen Günstigkeitsprinzip, dass einzelvertragliche Vereinbarungen, die für den Arbeitnehmer günstiger sind, einer Betriebsvereinbarung stets vorgehen.

Daraus folgt, dass Betriebsvereinbarung und Einwilligung sich nicht widersprechen dürfen. Das bedeutet, dass die Einwilligung dort nicht mehr greift, wo die Zulässigkeitsgrenzen der Datenverarbeitung durch die BV im kollektiven Interesse einheitlich festgelegt worden sind. Der Arbeitgeber darf sich also nicht über den „Umweg“ der Einwilligung weitergehende Befugnisse einholen, als in der hierauf bezogenen BV geregelt sind.

Konsequenz

Sofern der Arbeitgeber neben der Betriebsvereinbarung zusätzlich Einwilligungen der Mitarbeiter einholt, darf die Datenverarbeitung dann tatsächlich auch nur hinsichtlich derjenigen Mitarbeiter erfolgen, die dem ausdrücklich zustimmen. Der Arbeitgeber wäre an die Verweigerung der Zustimmung gebunden, ein Rückgriff auf die Betriebsvereinbarung wäre ihm dann verwehrt.

Die Betriebsvereinbarung, die der Betriebsrat ja gerade stellvertretend für die gesamte Belegschaft abschließt, wäre dann faktisch nur teilweise und gerade nicht mehr für alle Mitarbeiter nutzbar, was ja eigentlich der ursprüngliche Sinn und Zweck der Betriebsvereinbarung gewesen ist.

Bei der Auswahl der Legitimationsgrundlage für Datenverarbeitungsprozesse im Arbeitsverhältnis ist mithin Sorgfalt geboten.

[:en]Immer dann, wenn der Arbeitgeber bei einer bestimmten Tätigkeit oder Maßnahme personenbezogene Mitarbeiterdaten verarbeiten möchte, greift er dadurch in das Recht auf informationelle Selbstbestimmung des Mitarbeiters ein. Ein solcher Eingriff bedarf stets einer Rechtfertigung.

Gemäß § 4 BDSG sind Datenverarbeitungsmaßnahmen gerechtfertigt, wenn sie (1.) auf einer gesetzlichen Erlaubnis oder (2.) einer anderen Rechtsvorschrift beruhen oder wenn (3.) der Betroffene ausdrücklich in die Datenverarbeitung eingewilligt hat.

Gesetzliche Erlaubnis

Die Verarbeitung von personenbezogenen Mitarbeiterdaten ist gem. § 32 Abs. 1 BDSG gerechtfertigt, wenn die Verarbeitung für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Die Rechtsprechung legt an die Erforderlichkeit recht strenge Maßstäbe, weswegen es nicht genügt, dass die Datenverarbeitung einfach nur praktikabel ist oder eine Arbeitserleichterung für das Unternehmen darstellt. Bei vielen Maßnahmen ist ein Rückgriff auf § 32 BDSG daher nicht möglich. Wenn ein Unternehmen bestimmte Vorhaben (auch im Sinne seiner Mitarbeiter) aber trotzdem umsetzen möchte, muss es daher auf einen der anderen Legitimationstatbestände des § 4 BDSG zurückgreifen.

Andere Rechtsvorschrift = Betriebsvereinbarung

Unter einer anderen Rechtsvorschrift im zuvor genannten Sinne ist nach der ständigen Rechtsprechung des Bundesarbeitsgerichts auch die sogenannte Betriebsvereinbarung zu verstehen.

Eine Betriebsvereinbarung stellt eine betriebliche Einigung zwischen dem Arbeitgeber und dem Betriebsrat als Vertreter der Belegschaft dar. Hierin werden einerseits Rechte und Pflichten der Betriebsparteien begründet und darüber hinaus (ähnlich wie ein Tarifvertrag oder ein Gesetz) verbindliche Normen für sämtliche Arbeitnehmer eines Betriebs formuliert.

Betriebsvereinbarungen können Regelungen zu diversen betrieblichen Inhalten treffen. So kann etwa die Verwendung privater Geräte zu dienstlichen Zwecken (BYOD) bzw. der Umgang mit dienstlichen Geräten zur privaten Kommunikation genauso in einer Betriebsvereinbarung geregelt werden wie Regelungen zur Arbeitszeiterfassung, zu Mitarbeiterbewertungen, zum Arbeits- oder Gesundheitsschutz oder auch zum Urlaub.

In einigen Fällen sind Betriebsvereinbarungen zwingend vorgeschrieben. In anderen Fällen erklärt sich der Arbeitgeber aber auch freiwillig dazu bereit, eine Betriebsvereinbarung mit dem Betriebsrat abzuschließen. Dies kann einerseits der Akzeptanz der Mitarbeiter dienen, andererseits stellt dieses Vorgehen gerade in größeren Unternehmen oftmals die schnellere und daher praktikablere Lösung dar, als das Einverständnis jedes einzelnen Mitarbeiters einzuholen. Zudem sorgen Betriebsvereinbarungen für Rechtssicherheit in der Auseinandersetzung zwischen Betriebsrat und Arbeitgeber und gewährleisten eine transparente Regelung, die für die gesamte Belegschaft gleichermaßen Geltung erlangt. Für die Mitarbeiter werden mit Hilfe von Betriebsvereinbarungen eindeutige und nachvollziehbare Rechts- und Verhaltensnormen geschaffen.

Die Betriebsvereinbarung erfüllt aus datenschutzrechtlicher Sicht den Zweck, dass für bestimmte Maßnahmen nicht jeder einzelne Mitarbeiter um seine Erlaubnis gefragt werden muss, sondern der Betriebsrat dies stellvertretend für sämtliche Beschäftigte übernimmt.

Keine Rechtfertigung von schwerwiegenden Eingriffen in das Persönlichkeitsrecht

Dies findet dort seine Grenzen, wo durch die Betriebsvereinbarung Datenverarbeitungen geregelt werden, die einen schwerwiegenden Eingriff in das Selbstbestimmungsrecht des einzelnen Arbeitnehmers darstellen. Maßnahmen, die den einzelnen Mitarbeiter im geschützten innersten Kern seiner Persönlichkeitssphäre betreffen (z. B. Zwang zu einer Genomanalyse) können durch eine Betriebsvereinbarung nicht legitimiert werden.

Datenschutzrechtliche Einwilligung

Schließlich lassen sich Datenverarbeitungen durch die Einholung der individuellen Einwilligung jedes Mitarbeiters legitimieren.

Parallele Anwendung von Betriebsvereinbarung und Einwilligung

Diese drei Möglichkeiten stehen gem. § 4 BDSG alternativ nebeneinander. Teilweise kommt es jedoch vor, dass Unternehmen die Mitarbeiter um ihr Einverständnis zur Durchführung bestimmter Vorhaben bitten, obwohl die zuvor abgeschlossene Betriebsvereinbarung diese Frage schon geregelt hat. Eine zusätzliche Einwilligung wäre in diesen Fällen also eigentlich nicht erforderlich.

Aus rein praktischer Sicht ist dieses Vorgehen durchaus nachvollziehbar, wenn der Arbeitgeber einzelne Mitarbeiter besonders sensibilisieren möchte und sichergehen will, dass diese auch wirklich persönlich mit dem Vorhaben „einverstanden“ sind.

Abgesehen davon, dass dies auch aus organisatorischen Gründen jedoch meist unnötigen Aufwand erzeugt, ist ein derartiges Vorgehen rechtlich durchaus problematisch:

Zum einen unterliegt die Einwilligung gem. § 4a BDSG besonderen formellen und inhaltlichen Anforderungen. Insbesondere muss die Einwilligung freiwillig, d. h. ohne Zwang, erfolgen. Dies ist gerade im Beschäftigungsverhältnis nicht unproblematisch, da hier eine generelle „Drucksituation“ vorliegt und der Arbeitnehmer sich nach Ansicht einiger Juristen niemals wirklich „frei“ für oder gegen ein Vorhaben des Arbeitgebers entscheiden könne. Deshalb wird die Wirksamkeit von Einwilligungen im Rahmen eines Arbeitsverhältnisses teilweise bezweifelt. Der Abschluss von Betriebsvereinbarungen ist daher im Vergleich zur Individualeinwilligung oftmals die rechtssicherere Alternative. Denn der beteiligte Betriebsrat handelt bestimmungsgemäß im Interesse der Beschäftigten und kann dabei unabhängiger agieren als der einzelne Arbeitnehmer.

Zum anderen ist es nach herrschender Auffassung in der datenschutzrechtlichen Literatur und Rechtsprechung unzulässig, eine Einwilligung einzuholen, wenn bereits ein anderer Legitimationsgrund besteht. Denn wenn die verantwortliche Stelle die Datenverarbeitung unabhängig davon durchführen darf, ob der Betroffene seine Einwilligung erteilt, wird Letzterer über seine nur vermeintlich bestehende Wahlmöglichkeit getäuscht.

Die Einholung einer (zusätzlichen) Einwilligung wäre nur dann zulässig, wenn die verantwortliche Stelle sich bei einer Verweigerung nicht auf den anderen Legitimationsgrund zurückzieht, um die Datenverarbeitung über diesen „Umweg“ trotzdem durchzuführen.

Kein Widerspruch zwischen Betriebsvereinbarung und Einwilligung

Im Übrigen folgt aus dem arbeitsrechtlichen Günstigkeitsprinzip, dass einzelvertragliche Vereinbarungen, die für den Arbeitnehmer günstiger sind, einer Betriebsvereinbarung stets vorgehen.

Daraus folgt, dass Betriebsvereinbarung und Einwilligung sich nicht widersprechen dürfen. Das bedeutet, dass die Einwilligung dort nicht mehr greift, wo die Zulässigkeitsgrenzen der Datenverarbeitung durch die BV im kollektiven Interesse einheitlich festgelegt worden sind. Der Arbeitgeber darf sich also nicht über den „Umweg“ der Einwilligung weitergehende Befugnisse einholen, als in der hierauf bezogenen BV geregelt sind.

Konsequenz

Sofern der Arbeitgeber neben der Betriebsvereinbarung zusätzlich Einwilligungen der Mitarbeiter einholt, darf die Datenverarbeitung dann tatsächlich auch nur hinsichtlich derjenigen Mitarbeiter erfolgen, die dem ausdrücklich zustimmen. Der Arbeitgeber wäre an die Verweigerung der Zustimmung gebunden, ein Rückgriff auf die Betriebsvereinbarung wäre ihm dann verwehrt.

Die Betriebsvereinbarung, die der Betriebsrat ja gerade stellvertretend für die gesamte Belegschaft abschließt, wäre dann faktisch nur teilweise und gerade nicht mehr für alle Mitarbeiter nutzbar, was ja eigentlich der ursprüngliche Sinn und Zweck der Betriebsvereinbarung gewesen ist.

Bei der Auswahl der Legitimationsgrundlage für Datenverarbeitungsprozesse im Arbeitsverhältnis ist mithin Sorgfalt geboten.[:]