Datenschutz im Arbeitsverhältnis

Im Arbeitsverhältnis verarbeitet der Arbeitgeber in großem Umfang personenbezogene Daten der Arbeitnehmer – von Bewerbungs- und Personaldaten über Lohn-, Leistungs- und Gesundheitsdaten bis hin zu Daten aus Videoüberwachung und betrieblicher Kommunikation. Rechtsgrundlage ist das Gesetz zum Schutz personenbezogener Daten Nr. 6698 (KVKK), das durch die Reform vom März 2024 in wesentlichen Punkten an die europäische Datenschutz-Grundverordnung angenähert wurde. Für Arbeitgeber – insbesondere international tätige Unternehmen mit konzernweiten Personalsystemen – ist die rechtskonforme Verarbeitung von Beschäftigtendaten eine dauerhafte Compliance-Aufgabe mit erheblichen Bußgeld- und Haftungsrisiken.

Inhaltsübersicht

• Welche Beschäftigtendaten unterliegen dem Datenschutz?
• Welche Grundsätze gelten für jede Datenverarbeitung?
• Auf welche Rechtsgrundlagen kann die Verarbeitung gestützt werden?
• Welche Besonderheiten gelten für besondere Kategorien personenbezogener Daten?
• Welche Bedeutung hat die ausdrückliche Einwilligung im Arbeitsverhältnis?
• Was gilt für Überwachungsmaßnahmen am Arbeitsplatz?
• Welche Informations-, Registrierungs- und Sicherheitspflichten treffen den Arbeitgeber?
• Was gilt für die Übermittlung von Beschäftigtendaten ins Ausland?
• Welche Regeln gelten für Aufbewahrung, Löschung und Betroffenenrechte?
• Welche Folgen haben Verstöße?
• Fazit

Welche Beschäftigtendaten unterliegen dem Datenschutz?

Personenbezogene Daten sind alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Im Arbeitsverhältnis fallen darunter praktisch alle Personalinformationen: Identitäts- und Kontaktdaten, Lebenslauf und Referenzen, Lohn-, Konto- und Steuerdaten, Anwesenheits-, Leistungs- und Disziplinardaten, Standort- und Fahrzeugdaten, Fotos sowie Protokolle der IT-Nutzung. Der Schutz beginnt bereits im Bewerbungsverfahren und wirkt über das Ende des Arbeitsverhältnisses hinaus – etwa bei der Aufbewahrung von Personalakten und der Erteilung von Auskünften.

Welche Grundsätze gelten für jede Datenverarbeitung?

Jede Verarbeitung muss den allgemeinen Grundsätzen des Artikels 4 KVKK genügen:

• Rechtmäßigkeit und Treu und Glauben
• Richtigkeit und erforderlichenfalls Aktualität der Daten
• Verarbeitung für festgelegte, eindeutige und legitime Zwecke
• Zweckbindung, Verhältnismäßigkeit und Datenminimierung
• Aufbewahrung nur für die gesetzlich oder zweckbezogen erforderliche Dauer

Diese Grundsätze bilden den Prüfungsmaßstab für jede einzelne Personalmaßnahme – von der Bewerberauswahl über Leistungsbeurteilungen bis zur Herausgabe von Daten an Dritte.

Auf welche Rechtsgrundlagen kann die Verarbeitung gestützt werden?

Die Verarbeitung ist zulässig, wenn eine der in Artikel 5 KVKK geregelten Voraussetzungen vorliegt. Neben der ausdrücklichen Einwilligung kommen im Arbeitsverhältnis vor allem in Betracht:

• Die Erforderlichkeit für den Abschluss oder die Erfüllung des Arbeitsvertrags – etwa Lohnabrechnung, Arbeitszeiterfassung oder Reisemanagement
• Die Erfüllung rechtlicher Pflichten des Arbeitgebers – etwa sozialversicherungs-, steuer- und arbeitsschutzrechtliche Melde- und Aufbewahrungspflichten
• Die ausdrückliche gesetzliche Vorsehung der Verarbeitung
• Die Erforderlichkeit zur Begründung, Ausübung oder Verteidigung von Rechten – etwa in arbeitsgerichtlichen Verfahren
• Das berechtigte Interesse des Arbeitgebers, sofern die Grundrechte und Freiheiten des Arbeitnehmers nicht überwiegen – etwa bei konzerninternen Organisationsmaßnahmen

Welche Besonderheiten gelten für besondere Kategorien personenbezogener Daten?

Besondere Kategorien – unter anderem Gesundheitsdaten, Gewerkschaftszugehörigkeit, strafrechtliche Verurteilungen, biometrische und genetische Daten, Religion und Weltanschauung – genießen verstärkten Schutz. Die Reform von 2024 hat die zuvor sehr engen Rechtsgrundlagen erweitert: Besondere Datenkategorien dürfen nunmehr unter anderem verarbeitet werden, wenn dies in Gesetzen ausdrücklich vorgesehen ist, zum Schutz lebenswichtiger Interessen erforderlich ist oder – von zentraler Bedeutung für die Personalpraxis – soweit dies zur Erfüllung rechtlicher Pflichten in den Bereichen Beschäftigung, Arbeitsschutz und Arbeitssicherheit sowie soziale Sicherheit erforderlich ist.

Damit können etwa Gesundheitsdaten aus arbeitsmedizinischen Untersuchungen, Daten zur Erfüllung der Beschäftigungsquote für Menschen mit Behinderung oder die für die Lohnabrechnung erforderliche Angabe der Gewerkschaftszugehörigkeit ohne ausdrückliche Einwilligung verarbeitet werden. Gleichwohl bleiben besondere Daten dem Grundsatz strengster Erforderlichkeit unterworfen; für sie sind zudem die vom Datenschutzausschuss bestimmten zusätzlichen Sicherheitsmaßnahmen zu treffen.

Welche Bedeutung hat die ausdrückliche Einwilligung im Arbeitsverhältnis?

Die ausdrückliche Einwilligung muss informiert, zweckbezogen und freiwillig erteilt werden. Wegen des strukturellen Ungleichgewichts zwischen Arbeitgeber und Arbeitnehmer wird die Freiwilligkeit im Arbeitsverhältnis kritisch geprüft; eine Einwilligung, deren Verweigerung dem Arbeitnehmer Nachteile bringt, ist unwirksam. Die Verarbeitung sollte daher vorrangig auf die gesetzlichen Erlaubnistatbestände gestützt und die Einwilligung nur dort eingeholt werden, wo keine andere Grundlage trägt – etwa bei der Verwendung von Mitarbeiterfotos zu Marketingzwecken. Unwirksam ist auch die pauschale „Blankett-Einwilligung" im Arbeitsvertrag für sämtliche künftigen Verarbeitungen.

Was gilt für Überwachungsmaßnahmen am Arbeitsplatz?

Videoüberwachung, die Kontrolle dienstlicher E-Mail- und Internetnutzung sowie Ortungssysteme sind nur in den Grenzen der Verhältnismäßigkeit zulässig. Nach der Rechtsprechung – einschließlich der Entscheidungen des Verfassungsgerichts zur Kontrolle dienstlicher E-Mails – muss der Arbeitgeber die Arbeitnehmer vorab klar über Art, Umfang und Zwecke der Überwachung informieren; heimliche Überwachung ist nur in engen Ausnahmefällen denkbar. Eine lückenlose Totalüberwachung, die Ausdehnung auf höchstpersönliche Bereiche oder die Verwendung der Daten zu anderen als den mitgeteilten Zwecken sind unzulässig und können neben Bußgeldern zur Unverwertbarkeit der gewonnenen Erkenntnisse im Kündigungsprozess führen.

Welche Informations-, Registrierungs- und Sicherheitspflichten treffen den Arbeitgeber?

Der Arbeitgeber hat die Arbeitnehmer bei der Erhebung ihrer Daten über den Verantwortlichen, die Verarbeitungszwecke, die Empfänger, die Erhebungsmethode und die Rechtsgrundlagen sowie über ihre Rechte zu informieren (Aufklärungspflicht). Unter den vom Datenschutzausschuss festgelegten Voraussetzungen besteht die Pflicht zur Eintragung in das Register der Datenverantwortlichen („VERBİS") und zur Führung eines Verarbeitungsverzeichnisses. Ferner sind angemessene technische und organisatorische Maßnahmen zu treffen – Zugriffskonzepte, Verschlüsselung, Schulungen, Vertraulichkeitsverpflichtungen – und Datenschutzverletzungen unverzüglich, nach der Praxis des Ausschusses grundsätzlich innerhalb von 72 Stunden, dem Ausschuss sowie den Betroffenen zu melden.

Was gilt für die Übermittlung von Beschäftigtendaten ins Ausland?

Die Reform von 2024 hat das Regime der Auslandsübermittlung grundlegend neu geordnet und praxistauglicher gestaltet. Eine Übermittlung ist zulässig, wenn für das Zielland, den Zielsektor oder die internationale Organisation ein Angemessenheitsbeschluss des Datenschutzausschusses vorliegt. Fehlt ein solcher, kann die Übermittlung auf geeignete Garantien gestützt werden – praktisch am wichtigsten sind die vom Ausschuss veröffentlichten Standardvertragsklauseln, die binnen fünf Werktagen nach Unterzeichnung anzumelden sind, sowie für Konzerne genehmigte verbindliche Unternehmensregelungen. In eng begrenzten Ausnahmefällen bleibt eine gelegentliche Übermittlung – etwa mit Einwilligung oder zur Vertragserfüllung – möglich.

Für internationale Unternehmen mit zentralen HR-Systemen, Cloud-Diensten oder Konzern-Reporting ist damit ein strukturierter Übermittlungsmechanismus verfügbar; zugleich ist die Verletzung der Anmeldepflicht für Standardvertragsklauseln ausdrücklich bußgeldbewehrt. Bestehende Übermittlungsstrukturen sollten auf das neue Regime umgestellt sein.

Welche Regeln gelten für Aufbewahrung, Löschung und Betroffenenrechte?

Beschäftigtendaten dürfen nur so lange aufbewahrt werden, wie gesetzliche Aufbewahrungspflichten oder legitime Zwecke dies erfordern; danach sind sie zu löschen, zu vernichten oder zu anonymisieren. Hierfür ist – bei VERBİS-pflichtigen Verantwortlichen – eine Lösch- und Vernichtungsrichtlinie mit periodischen Löschläufen vorzuhalten. Arbeitnehmer können als Betroffene Auskunft über die Verarbeitung ihrer Daten, Berichtigung, Löschung und die Mitteilung an Empfänger verlangen; Anträge sind grundsätzlich innerhalb von 30 Tagen zu beantworten. Gegen ablehnende oder unbeantwortete Anträge steht der Weg der Beschwerde zum Datenschutzausschuss offen.

Welche Folgen haben Verstöße?

Verstöße gegen Aufklärungs-, Sicherheits-, Registrierungs- und Übermittlungspflichten werden mit Verwaltungsgeldbußen geahndet, deren Beträge jährlich angepasst werden und empfindliche Höhen erreichen; rechtswidrige Verarbeitung und Weitergabe können zudem strafrechtliche Konsequenzen nach dem türkischen Strafgesetzbuch haben. Daneben kommen Schadensersatz- und Schmerzensgeldansprüche der betroffenen Arbeitnehmer in Betracht. Gegen Entscheidungen des Datenschutzausschusses ist seit der Reform der Verwaltungsrechtsweg eröffnet. Datenschutzverstöße im Personalbereich belasten überdies arbeitsgerichtliche Verfahren, wenn rechtswidrig erlangte Beweise unverwertbar sind.

Fazit

Der Schutz von Beschäftigtendaten ist eine dauerhafte Querschnittsaufgabe, die sämtliche Personalprozesse vom Recruiting bis zum Ausscheiden erfasst. Nach der Reform von 2024 sollten Unternehmen ihre Rechtsgrundlagen und Einwilligungspraxis überprüfen, die Verarbeitung besonderer Datenkategorien auf die neuen Erlaubnistatbestände umstellen und ihre Auslandsübermittlungen – insbesondere im Konzernverbund – über Standardvertragsklauseln oder verbindliche Unternehmensregelungen absichern.

Aufklärungstexte, Verarbeitungsverzeichnisse, Lösch- und Überwachungsrichtlinien sowie geschulte Führungskräfte sind die tragenden Elemente einer belastbaren Datenschutzorganisation im Personalbereich – und im Prüfungs- oder Streitfall das entscheidende Verteidigungsmittel.

Die Arbeitsrechtsabteilung von GEMS Schindhelm berät Unternehmen bei der datenschutzkonformen Gestaltung ihrer Personalprozesse, bei Überwachungs- und Kontrollmaßnahmen, bei der Auslandsübermittlung von Beschäftigtendaten sowie bei der Abwehr von Bußgeld- und Haftungsrisiken.