20
Mrz
2020
Dr. Christian Tinnefeld
Dr. Christian Tinnefeld
Datenschutz und Datensicherheit, IT-Recht, Internetrecht, Urheberrecht / Hamburg
E-Mail: christian.tinnefeld@hoganlovells.com
Telefon: +49 40 41993 238
» zur Autorenseite
Dr. Christian Tinnefeld
Dr. Henrik Hanßen
Dr. Henrik Hanßen
IPMT, Datenschutzrecht, IT-Recht / Hamburg
E-Mail: henrik.hanssen@hoganlovells.com
Telefon: +49 40 419 93 0
» zur Autorenseite
& Dr. Henrik Hanßen

VG Hamburg: Verarbeitung von Arbeitnehmerdaten über Arbeitsverhältnis hinaus zulässig

Das Verwaltungsgericht (VG) Hamburg hat mit Urteil vom 16. Januar 2020 (Az. 17 K 3920/19), bestätigt, dass personenbezogene Daten von Beschäftigten grundsätzlich auch dann verarbeitet werden dürfen, wenn die Erlaubnisnorm des § 26 Bundesdatenschutzgesetz (BDSG) nicht (mehr) einschlägig ist, sich aber ein anderer Rechtfertigungsgrund in der Datenschutz-Grundverordnung (DSGVO) findet. Auch wenn diese Botschaft für Arbeitgeber zunächst positiv klingt, gilt es Fallstricke bei der Anwendung der möglichen Rechtfertigungstatbestände zu meiden.

Worum ging es in dem Fall?

In dem Verfahren vor dem VG Hamburg hatte sich der Kläger, der als kaufmännischer Leiter beim Universitätsklinikum Hamburg-Eppendorf (UKE) angestellt war, dagegen gewendet, dass seine Vergütung nach § 3 Abs. 1 Nr. 15 des Hamburgischen Transparenzgesetzes offengelegt worden war. Das UKE ist eine Körperschaft des öffentlichen Rechts, deren alleinige Trägerin die Freie und Hansestadt Hamburg (FHH) ist, die als Beklagte von dem Kläger wegen einer Verletzung seines Rechts auf informationelle Selbstbestimmung in Anspruch genommen worden ist.

In der Entscheidung des Verwaltungsgerichts kam es, neben anderen Fragen, u.a. darauf an, ob sich die FHH als ehemaliger Arbeitgeberin des Klägers für die Veröffentlichung der Vergütung auf eine datenschutzrechtliche Rechtsgrundlage stützen kann – und ob es sich hierbei um eine Regelung aus dem BDSG oder der DSGVO handelt. Damit stellte sich zugleich die Frage nach dem Verhältnis der beiden Gesetze zueinander.

Die Regelung des Beschäftigtendatenschutzes

Seit dem 25. Mai 2018 gelten innerhalb der Europäischen Union bekanntlich für den Datenschutz vorrangig, in manchen Bereichen allein, die Vorschriften der DSGVO. Für die Datenverarbeitung im Beschäftigungskontext sieht Art. 88 DSGVO jedoch eine sog. Öffnungsklausel vor, wonach die Mitgliedsstaaten eigene Normen zur Regelung des Beschäftigtendatenschutzes erlassen und und die vor dem Stichtag der DSGVO bestehenden Regelungen weiter anwenden können. Der deutsche Gesetzgeber hat von dieser Öffnungsklausel in Form von § 26 BDSG Gebrauch gemacht. Danach dürfen die Daten von Beschäftigten verarbeitet werden, soweit dies zur Begründung, der anschließenden Durchführung oder Beendigung des Beschäftigungsverhältnisses oder zur Erfüllung von Pflichten aus Kollektivvereinbarungen (z.B. Tarifverträgen, Dienst-, oder Betriebsvereinbarungen) gemäß § 26 Abs. 4 BDSG erforderlich ist, vgl. auch Erwägungsgrund (155) der DSGVO (S. 29).

Das Konkurrenzverhältnis zwischen § 26 BDSG zur DSGVO

Werden Beschäftigtendaten aus den oben genannten Gründen verarbeitet, so stellt sich die Frage, ob der Arbeitgeber diese Daten (ggf. später) auch zu anderen Zwecken nutzen darf. Rechtfertigungsgründe hierfür finden sich insbesondere in Art. 6 DSGVO. Das VG Hamburg bestätigt in seinem aktuellen Urteil nun, dass der Arbeitgeber auf diese Rechtfertigungsgründe auch dann zurückgreifen darf, wenn die Daten ursprünglich für die Zwecke der Begründung und Durchführung des Beschäftigungsverhältnisses erhoben wurden. Dies entspricht auch der von den Aufsichtsbehörden vertretenen Auffassung (vgl. z.B. den Ratgeber zum Beschäftigtenschutz des LfDI Baden-Württemberg). Für die Verarbeitung von Beschäftigtendaten ist § 26 BDSG damit nicht abschließend. Liegen weitere Gründe vor, die eine (Weiter-)verarbeitung der Daten rechtfertigen, so dürfen Arbeitgeber auf die allgemeineren Vorschriften der DSGVO zurückgreifen.

Welche Rechtfertigungstatbestände kommen in Betracht?

In dem vom VG Hamburg zu beurteilenden Fall ging es um die Erfüllung einer Verpflichtung der FHH als Arbeitgeberin zur Offenlegung der Vergütung bestimmter Arbeitnehmer aus dem Hamburgischen Transparenzgesetz. Es bestand folglich eine gesetzliche Verpflichtung zur Weitergabe der Daten im Sinne des Art. 6 Abs. 1 lit. c) DSGVO, die durch die spezielle Regelung des § 26 BDSG nicht in Frage gestellt wird.

Im Einzelfall schwieriger zu beurteilen können die Fälle sein, in denen eine Datenverarbeitung auf ein überwiegendes berechtigtes Interesse des Arbeitgebers nach Art. 6 Abs. 1  lit. f) DSGVO gestützt werden soll. Das Urteil des VG Hamburg macht zwar deutlich, dass grundsätzlich auf die Norm zurückgegriffen werden darf. Handelt es sich aber um eine Verarbeitung im Beschäftigtenkontext und reicht § 26 BDSG für eine Rechtfertigung nicht aus, liegt ein überwiegendes berechtigtes Interesse an der Verarbeitung häufig nicht vor. So besteht nach Ansicht des Arbeitsgerichts (ArbG) Berlin (Urteil vom 16. Oktober 2019, Az. 29 Ca 5451/19) beispielsweise kein berechtigtes Interesse des Arbeitgebers am Speichern von Fingerabdrücken des Arbeitnehmers zur Erfassung der Arbeitszeiten. Ein anderes Beispiel liefert der Beschluss des Verwaltungsgerichtshofs (VGH) Bayern vom 21. Mai 2019 (Az. 17 P 18.2581), wonach die Klarnamen abgelehnter Bewerber auf eine Versetzung nicht ohne deren Einwilligung an den Personalrat weitergeleitet werden dürfen.

Wann also ein berechtigtes Interesse des Arbeitgebers an der Verarbeitung der Daten des Beschäftigten besteht, das über die Erlaubnisnorm des § 26 BDSG hinausgeht, muss durch sorgfältige Prüfung des konkreten Sachverhalts im Einzelfall ermittelt werden. Dabei ist zu beachten, dass durch Anwendung des Rechtfertigungstatbestandes der DSGVO die gesetzgeberische Entscheidung in § 26 BDSG, die Verarbeitung von Beschäftigtendaten grundsätzlich auf das Maß zu beschränken, was zur Begründung, Durchführung und Beendigung des Arbeitsverhältnisses erforderlich ist, nicht gänzlich unterlaufen wird.

Kommt eine Rechtfertigung auf Grundlage einer Interessensabwägung oder einer rechtlicher Verpflichtung nicht in Betracht, verbleibt als letztes Mittel die Einholung einer Einwilligung beim Arbeitnehmer gemäß § 26 Abs. 2 S. 2 BDSG i.V.m. Art. 7 ff. DSGVO. Insbesondere im Beschäftigtenkontext muss dabei sichergestellt werden, dass diese „freiwillig“ abgegeben wird. Dies kann insofern kritisch sein, als dass nach herrschender Auffassung zwischen Arbeitgeber und Arbeitnehmer ein Abhängigkeitsverhältnis besteht. Der Arbeitnehmer darf sich zur Abgabe der Einwilligung also nicht gezwungen fühlen und muss eine echte Wahlmöglichkeit haben. § 26 Abs. 2 S. 2 BDSG nennt als Kriterien für die Freiwilligkeit bespielhaft die Erreichung eines wirtschaftlichen Vorteils des Arbeitnehmers durch die Datenverarbeitung oder diesbezüglich gleichlaufende Interessen von Arbeitgeber und Arbeitnehmer.

Praxistipps

Ist eine Verarbeitung der Daten des Arbeitnehmers durch den Arbeitgeber für die Durchführung des Beschäftigtenverhältnisses nicht zwingend erforderlich, möchte der Arbeitgeber diese aber dennoch für andere Zwecke nutzen, so sind insbesondere folgende Punkte zu beachten:

  • Einzelfallprüfung der einschlägigen Rechtsgrundlagen: Unternehmen sollten jeweils genau prüfen, auf welcher Rechtsgrundlage die Verarbeitung erfolgen kann und ob die hierfür erforderlichen Voraussetzungen erfüllt sind. Neben der Erforderlichkeit der Verarbeitung für das Beschäftigungsverhältnis nach § 26 Abs. 1 BDSG oder im Rahmen von Kollektivvereinbarungen (§ 26 Abs. 4 BDSG) werden regelmäßig vor allem die Erfüllung von rechtlichen Verpflichtungen (Art. 6 Abs. 1  lit. c) DSGVO), ein überwiegendes berechtigtes Interesse (Art. 6 Abs. 1  lit. f) DSGVO) oder – in Einzelfällen – die Verarbeitung aufgrund einer Einwilligung (§ 26 Abs. 2 S. 2 BDSG i.V.m. Art. 7 ff. DSGVO) relevant.
  • Information der Beschäftigten: Auch wenn die Datenverarbeitung gerechtfertigt ist, entbindet dies den Arbeitgeber nicht von seiner Informationspflicht gegenüber dem Arbeitnehmer. Diese umfasst nach Art. 13 Abs. 1 lit. c) DSGVO auch die Information über die anwendeten Rechtgrundlage(n).
  • Widerspruchsrechte beachten: Für den Fall, dass der Arbeitgeber die Verarbeitung der Daten des (ggf. ehemaligen) Arbeitnehmers auf ein berechtigtes Interesse stützt, kann unter den Voraussetzungen des Art. 21 Abs. 1 DSGVO ein Widerspruchsrecht des Arbeitnehmers zu beachten sein.
  • Bestimmung der Löschfristen: Personenbezogene Daten dürfen stets nur solange gespeichert bleiben, wie es die verbleibenden Zwecke erlauben und eine Rechtsgrundlage für die Speicherung besteht. Die Wahl der Rechtsgrundlage kann daher auch die zulässige Speicherfrist beeinflussen. Dies sollte bei der Prüfung und Festlegung der Speicherfristen im Löschkonzept berücksichtigt werden.
  • Dokumentation im Verarbeitungsverzeichnis: Ist die Führung eines Verarbeitungsverzeichnisses nach Art. 30 DS-GVO für den Arbeitgeber verpflichtend, müssen die betroffenen Verarbeitungsvorgänge in diesem erfasst werden. Hierbei empfiehlt sich auch die Dokumentation der jeweils angewendeten Rechtsgrundlage(n).
  • Datenschutz-Folgenabschätzung: In Einzelfällen kann ferner die Durchführung und Dokumentation einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO erforderlich sein.