AOK Logo
AOK
Wählen Sie Ihre AOK
Baden-Württemberg Bayern Bremen-Bremerhaven Hssen Niedersachsen Mecklenburg-Vorpommern Berlin Brandenburg Schleswig-Holstein Westfalen-Lippe Thüringen Sachsen Rheinland-Pfalz Saarland HamburgRheinland Sachsen-Anhalt
Willkommen bei Ihrer AOK für Unternehmen
Schrift anpassen: A-AA+

Pfadnavigation

Hauptinhalt

Datenschutz - Arbeitnehmerrechte

Datenschutz - Arbeitnehmerrechte

 Information 

1. Allgemeines

Der Arbeitgeber ist wie jeder andere an Recht und Gesetz gebunden. Die BDSG-Vorschriften zielen zwar in erster Linie auf die Verarbeitung personenbezogener Daten durch öffentliche Stellen. Das Gesetz gilt aber gem. § 1 Abs. 1 Satz 2 BDSG auch für nichtöffentliche Stellen wie den Arbeitgeber, die personenbezogene Daten verarbeiten. § 26 BDSG enthält Spezialvorschriften für die "Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses". Der Begriff "Arbeitnehmer" wird von der EU-DSGVO und dem BDSG nur sparsam verwendet. Das BDSG spricht von "Beschäftigten" und enthält in § 26 Abs. 8 BDSG einen ganzen Katalog von Personen, die "Beschäftigte" i.S. dieses Gesetzes sind. Dazu gehören selbstverständlich auch Arbeitnehmer (mehr dazu in Gliederungspunkt 2.).

Praxistipp:

Der EU-DSGVO- oder BDSG-Datenschutz ist eine ernst zu nehmende Angelegenheit - keine Frage. Am meisten berufen sich allerdings oft diejenigen auf "meinen Datenschutz", die von der Materie nun so gar keine Ahnung haben. Damit können sie Arbeitgeber/Personaler schnell in die Irre führen. Gerade in Beschäftigungsverhältnissen setzt die Verarbeitung personenbezogener Daten nicht immer die Einwilligung der Beschäftigten voraus. § 26 Abs. 1 Satz 1 BDSG erlaubt hier für die im Gesetz geregelten Zwecke die einwilligungslose Datenverarbeitung. Dazu muss man sich vergegenwärtigen, dass die Beschäftigung von Arbeitnehmern ohne Verarbeitung ihrer personenbezogenen Daten gar nicht möglich ist. Man denke nur an die Steuermerkmale oder die Sozialversicherungsnummer. Hier reicht es in den meisten Fällen, dass die Verarbeitung einfach nur "für Zwecke des Beschäftigungsverhältnisses" erforderlich ist.

Die EU-DSGVO und das BDSG sehen eine Vielzahl von Ansprüchen und Rechten betroffener Personen vor (s. dazu Gliederungspunkt 3.). Das fängt bei bloßen Auskunfts- und Informationsansprüchen (s. dazu die Gliederungspunkte 3.2. und 3.6.) an, geht über Benachrichtigungs- und Berichtigungsansprüche (s. dazu die Gliederungspunkte 3.3. und 3.4.) bis hin zum Anspruch auf Löschung (s. dazu Gliederungspunkt 3.7.) und Schadensersatz (s. dazu Gliederungspunkt 3.8.). Ein Anspruch, der in EU-DSGVO und BDSG nicht enthalten ist: Arbeitnehmer können zukünftigen Beeinträchtigungen ihrer Rechte mit einem Unterlassungsanspruch vorbeugen. Dieser Anspruch wird allgemein aus den §§ 823, 1004 BGB hergeleitet (s. dazu Gliederungspunkt 3.9.). Die vom Gesetz verlangte Wiederholungsgefahr kann schon bei einem einmaligen Rechtsverstoß des zur Unterlassung Verpflichteten bejaht werden.

2. Der geschützte Personenkreis

Sowohl die EU-DSGVO als auch das BDSG verwenden den Begriff "Arbeitnehmer" sehr zurückhaltend. Beide Regelwerke stellen in puncto Arbeitsrecht eher den Begriff "Beschäftigte" in den Vordergrund. Art. 88 EU-DSGVO spricht zwar die "Datenverarbeitung" im Beschäftigungskontext an, sagt aber nicht, was "Beschäftigte" i.S.d. EU-DSGVO sind.

Das BDSG zieht den Kreis der Beschäftigten weit. Beschäftigte i.S.d. BDSG (s. dazu das Stichwort Datenschutz - Beschäftigungsverhältnis) sind u.a.

  • selbstverständlich Arbeitnehmer und Leiharbeitnehmer (§ 26 Abs. 8 Satz 1 Nr. 1 BDSG),

  • Auszubildende (§ 26 Abs. 8 Satz 1 Nr. 2 BDSG),

  • arbeitnehmerähnliche Personen (§ 26 Abs. 8 Satz 1 Nr. 6 BDSG) und

  • in Heimarbeit Beschäftigte (§ 26 Abs. 8 Satz 1 Nr. 6 BDSG).

BDSG-Beschäftigte sind auch "Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis beendet ist" (§ 26 Abs. 8 Satz 2 BDSG).

Soweit EU-DSGVO und BDSG Arbeitnehmer und Beschäftigte nicht direkt nennen, sind sie als "betroffene Person" angesprochen. In diesem Stichwort wird größtenteils der Begriff "Arbeitnehmer" verwendet. Damit sind dann - soweit sich aus Sach- und Sinnzusammenhang keine Abweichungen ergeben - natürlich alle Beschäftigten i.S.d. BDSG gemeint.

Die Verarbeitung von personenbezogenen Daten für Zwecke des Beschäftigungsverhältnisses erlaubt § 26 Abs. 1 Satz 1 BDSG. Darüber hinaus ist die Verarbeitung gem. § 26 Abs. 2 Satz 1 BDSG via Einwilligung zulässig (s. dazu das Stichwort Datenschutz - Einwilligung). Und was immer zu berücksichtigen ist: Art. 6 Abs. 1 Satz 1 lit. f) EU-DSGVO:

Die "Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte oder Grundfreiheiten der betroffenen Person, die den Schutz personenbezogenerr Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei den betroffenen Personen um ein Kind handelt."

Der Arbeitgeber darf personenbezogene Beschäftigtendaten auch für die Ausübung seines Direktionsrechts oder für die Kündigung eines Arbeitsverhältnisses verarbeiten.

3. Die Rechte des geschützten Personenkreises

Die im BDSG angesprochenen Rechte betroffener Personen gelten in erster Linie im VerhältnisBetroffener/öffentliche Stelle (§ 1 Abs. 1 Satz 1 BDSG). Soweit es das Verhältnis Arbeitgeber/Arbeitnehmer betrifft, ergibt sich die Geltung des BDSG in diesem Bereich aus dessen § 1 Abs. 1 Satz 2:

"Für nichtöffentliche Stellen gilt dieses Gesetz für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen, es sei denn, die Verarbeitung durch natürliche Personen erfolgt zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten."

Die grundsätzliche Zulässigkeit der Verarbeitung geschützter personenbezogener Daten ergibt sich aus § 26 Abs. 1 BDSG (s. dazu das Stichwort Datenschutz - Beschäftigungsverhältnis) oder infolge einer Einwilligung mit der Datenverarbeitung (§ 26 Abs. 2 BDSG, s. dazu auch das Stichwort Datenschutz - Einwilligung).

Soweit die Verarbeitung personenbezogener Daten durch Auftragsverarbeiter durchgeführt wird, ist § 62 BDSG zu beachten.

Die wichtigsten Arbeitnehmerrechte werden nachfolgend in alphabetischer Reihenfolge vorgestellt:

3.1 Aufklärungsanspruch

Erfolgt die Verarbeitung personenbezogener Daten auf der Grundlage einer Einwilligung (§ 26 Abs. 2 Satz 1 BDSG), hat der Arbeitgeber den Arbeitnehmer in Textform über

  • den Zweck der Datenverarbeitung und

  • ihr Widerrufsrecht nach Art. 7 Abs. 3 EU-DSGVO

aufzuklären (s. zur Einwilligung das Stichwort Datenschutz - Einwilligung und zum Widerrufsrecht nachfolgend Gliederungspunkt 3.10.). Als Zweck der Datenverarbeitung kommen in einem Arbeitsverhältnis u.a. in Betracht:

  • Bewerberauswahl

  • Einstellung

  • Erfüllung des Arbeitsvertrags

  • Erfüllung gesetzlicher Pflichten

  • Erfüllung kollektivrechtlicher Pflichten

  • Inanspruchnahme privater und/oder öffentlicher Rechte

Die "Datenverarbeitung im Beschäftigungskontext" ist in Art. 88 EU-DSGVO geregelt und wird durch § 26 BDSG - "Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses" - ergänzt. Wichtig ist: "Personenbezogene Daten müssen" gem. § 47 Nr. 2 BDSG "für festgelegte, eindeutige und rechtmäßige Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise verarbeitet werden".

3.2 Auskunftsanspruch

Art. 15 EU-DSGVO sieht ein "Auskunftsrecht der betroffenen Person" vor. Dazu gehören nach Art. 15 Abs. 1 EU-DSGVO neben den verarbeiteten personenbezogenen Daten u.a. folgende Informationen:

  • Verarbeitungszweck

  • Kategorie der verarbeiteten personenbezogenen Daten

  • Empfänger der verarbeiteten Daten

  • Dauer der Datenspeicherung

  • Berichtigungs- und Löschungsmöglichkeit

  • falls die Daten nicht beim Betroffenen erhoben wurden: Herkunft der Daten

§ 34 BDSG schränkt den EU-DSGVO-Auskunftsanspruch ein, u.a. wenn die Daten nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher Aufbewahrungsvorschriften nicht gelöscht werden dürfen und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde (§ 34 Abs. 1 Nr. 2 lit. a) BDSG). Die Gründe der Auskunftsverweigerung sind zu dokumentieren (§ 34 Abs. 2 Satz 1 BDSG).

Die Ablehnung der Auskunftsverweigerung ist gegenüber der betroffenen Person zu begründen, "soweit nicht durch die Mitteilung der tatsächlichen und rechtlichen Gründe, auf die die Entscheidung gestützt wird, der mit der Auskunftsverweigerung verfolgte Zweck gefährdet würde" (§ 34 Abs. 2 Satz 2 BDSG). Im nationalen Recht ist zudem § 57 BDSG - "Auskunftsrecht" der betroffenen Person - zu beachten.

3.3 Benachrichtigungsanspruch

Die Benachrichtigung der betroffenen Person hat in den Fällen des § 56 Abs. 1 BDSG mindestens folgende Angaben zu enthalten:

  • die in § 55 BDSG genannten Informationen

  • die Rechtsgrundlage der Verarbeitung

  • die für die Daten geltende Speicherdauer oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer

  • gegebenenfalls die Kategorien von Empfängern personenbezogener Daten sowie

  • erforderlichfalls weitere Informationen, insbesondere, wenn die personenbezogenen Daten ohne Wissen der betroffenen Person erhoben werden.

Der Verantwortliche kann die Benachrichtigung insoweit und solange aufschieben, einschränken oder unterlassen, wie andernfalls

  • die Erfüllung der in § 45 BDSG genannten Aufgaben,

  • die öffentliche Sicherheit oder

  • Rechtsgüter Dritter

gefährdet würden, wenn das Interesse an der Vermeidung dieser Gefahren das Informationsinteresse der betroffenen Person überwiegt (§ 56 Abs. 2 BDSG). Die EU-rechtliche Benachrichtigungspflicht Verantwortlicher ist in Art. 34 EU-DSGVO untergebracht. Dort ist insbesondere auf Art. 34 Abs. 3 EU-DSGVO zu achten, der Ausnahmen für die Benachrichtigungspflicht vorsieht. Unter anderem in Fällen, in denen die Benachrichtigung mit einem unverhältnismäßigen Aufwand verbunden wäre (Art. 34 Abs. 3 lit. c) EU-DSGVO).

3.4 Berichtigungsanspruch

Schon in den Erwägungsgründen (EWG) zur EU-DSGVO steht in Ziffer (39):

"Es sollten alle vertretbaren Schritte unternommen werden, damit unrichtige personenbezogene Daten gelöscht und berichtigt werden."

Art. 5 Abs. 1 lit. d) EU-DSGVO sieht daher - Grundsatz der Datenrichtigkeit - vor, dass "alle angemessenen Maßnahmen zu treffen sind, damit unrichtige personenbezogene Daten "unverzüglich gelöscht oder berichtigt" werden.

Die betroffene Person hat nach Art. 16 Satz 1 EU-DSGVO das Recht, vom Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger personenbezogener Daten zu verlangen. § 47 Nr. 4 BDSG ergänzt, dass personenbezogene Daten

"sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein [müssen, wobei] ... alle angemessenen Maßnahmen zu treffen [sind], damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden".

§ 58 Abs. 1 Satz 1 BDSG gibt betroffenen Personen das Recht, "von dem Verantwortlichen unverzüglich die Berichtigung sie betreffender unrichtiger Daten zu verlangen." Zudem können Betroffene nach § 58 Abs. 1 Satz 5 BDSG "die Vervollständigung unvollständiger personenbezogener Daten verlangen, wenn dies unter Berücksichtigung der Verarbeitungszwecke angemessen ist."

Hat der Verantwortliche eine Berichtigung vorgenommen, hat er der Stelle, die ihm die Daten zuvor übermittelt hat, die Berichtigung mitzuteilen (§ 58 Abs. 5 Satz 1 BDSG). Zudem muss er bei einer Berichtigung Empfängern, denen er die Daten übermittelt hat, die Maßnahme mitteilen (§ 58 Abs. 5 Satz 2 BDSG). Der Empfänger hat die Daten dann ebenfalls zu berichtigen (§ 58 Abs. 5 Satz 3 BDSG). Sieht der Verantwortliche von der Berichtigung ab, muss er den Betroffenen darüber schriftlich unterrichten (§ 58 Abs. 6 Satz 1 BDSG) und die Unterrichtung begründen - "es sei denn, dass die Mitteilung der Gründe den mit dem Absehen von der Unterrichtung verfolgten Zweck gefährden würde" (§ 58 Abs. 6 Satz 3 BDSG).

3.5 Einschränkungsrecht

Nach Art. 4 Nr. 3 EU-DSGVO bedeutet "Einschränkung der Verarbeitung" die "Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken" (s. dazu auch § 46 Nr. 3 BDSG). Der Verantwortliche muss die betroffenen Person nach Maßgabe des Art. 13 Abs. 2 lit. b) EU-DSGVO darüber informieren, dass sie ein Recht auf Einschränkung der Verarbeitung hat (s. dazu auch § 55 Nr. 2 BDSG). Das Recht auf Einschränkung der Verarbeitung gehört zu den nach Art. 15 Abs. 1 lit. e) EU-DSGVO zu erteilenden Auskünften. Das "Recht auf Einschränkung der Verarbeitung" ist inhaltlich in Art. 18 EU-DSGVO geregelt.

Kann die Richtigkeit oder Unrichtigkeit von Daten nicht festgestellt werden, tritt an die Stelle

  • der Berichtigung

  • eine Einschränkung der Verarbeitung (§ 58 Abs. 1 Satz 2 BDSG).

In diesem Fall hat der Verantwortliche die Betroffene zu unterrichten, bevor er die Einschränkung wieder aufhebt (§ 58 Abs. 1 Satz 4 BDSG). Anstatt personenbezogene Daten zu löschen, kann der Verantwortliche deren Verarbeitung u.a. einschränken, wenn

  • Grund zur Annahme besteht, dass die Löschung schutzwürdige Interessen einer betroffenen Person beeinträchtigen würde (§ 58 Abs. 3 Satz 1 Nr. 1 BDSG) oder

  • die Löschung wegen der besonderen Speicherart nicht oder bloß mit unverhältnismäßig hohem Aufwand möglich ist (§ 58 Abs. 3 Satz 1 Nr. 3 BDSG).

Daten, deren Verarbeitung nach § 58 Abs. 3 Satz 1 BDSG eingeschränkt ist, "dürfen nur zu dem Zweck verarbeitet werden, der ihrer Löschung entgegenstand" (§ 58 Abs. 3 Satz 2 BDSG).

3.6 Informationsanspruch

Art. 13 EU-DSGVO sieht Informationspflichten für den Fall vor, dass personenbezogene Daten bei der betroffenen Person erhoben werden. Werden die Daten nicht bei der betroffenen Person erhoben, gilt Art. 14 EU-DSGVO. Diese Informationspflicht ist in den in Art. 14 Abs. 5 EU-DSGVO hinterlegten Fällen eingeschränkt. Zusätzlich sieht § 33 Abs. 1 Nr. 2 BDSG bei nichöffentlichen Stellen eine Einschränkung der Informationspflicht vor, wenn die Pflicht zur Information

  • "die Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche beeinträchtigen würde oder die Verarbeitung Daten aus zivilrechtlichen Verträgen beinhaltet und der Verhütung von Schäden durch Straftaten dient, sofern nicht das berechtigte Interesse der betroffenen Person an der Informationserteilung überwiegt" (§ 33 Abs. 1 Nr. 2 lit. a) BDSG) oder

  • "die zuständige öffentliche Stelle gegenüber dem Verantwortlichen festgestellt hat, dass das Bekanntwerden der Daten die öffentliche Sicherheit oder Ordnung gefährden oder sonst dem Wohl des Bundes oder eines Landes Nachteile bereiten würde; im Fall der Datenverarbeitung für Zwecke der Strafverfolgung bedarf es keiner Feststellung nach dem ersten Halbsatz" (§ 33 Abs. 1 Nr. 2 lit. a) BDSG).

Auch wenn eine Information der betroffenen Person unterbleibt, muss der Verwantwortliche die geeigneten Maßnahmen zum Schutz der berechtigten Interessen des Betroffenen ergreifen (§ 33 Abs. 2 Satz1 BDSG). Gleichzeitig muss er schriftlich festhalten, "aus welchen Gründen er von einer Information abgesehen hat" (§ 33 Abs. 2 Satz 2 BDSG). Weitere Informationspflichten ergeben sich aus § 55 BDSG.

§ 59 BDSG - "Verfahren für die Ausübung der Rechte der betroffenen Person" - regelt die Information Betroffener - u.a. "unter Verwendung einer klaren und einfachen Sprache in präziser, verständlicher und leicht zugänglicher Form." Wichtig: "Die Erteilung von Informationen nach § 55, die Benachrichtigungen nach den §§ 56 und 66 und die Bearbeitung von Anträgen nach den §§ 57 und 58 erfolgen unentgeltlich. Bei offenkundig unbegründeten oder exzessiven Anträgen nach den §§ 57 und 58 kann der Verantwortliche entweder eine angemessene Gebühr auf der Grundlage der Verwaltungskosten verlangen oder sich weigern, aufgrund des Antrags tätig zu werden. In diesem Fall muss der Verantwortliche den offenkundig unbegründeten oder exzessiven Charakter des Antrags belegen können" (§ 59 Abs. 3 BDSG).

3.7 Löschungsanspruch

Schon in Ziffer (65) der Erwägungsgründe (EWG) zur EU-DSGVO steht:

"Eine betroffene Person sollte ein Recht auf Berichtigung der sie betreffenden personenbezogenen Daten besitzen sowie ein 'Recht auf Vergessenwerden', wenn die Speicherung ihrer Daten gegen diese Verordnung oder gegen das Unionsrecht oder das Recht der Mitgliedsstaaten, dem der Verantwortliche unterliegt, verstößt."

Und weiter:

"Insbesondere sollten betroffene Personen Anspruch darauf haben, dass ihre personenbezogenen Daten gelöscht und nicht mehr verarbeitet werden, wenn die personenbezogenen Daten hinsichtlich der Zwecke, für die sie erhoben bzw. anderweitig verarbeitet wurden, nicht mehr benötigt werden, wenn die betroffenen Personen ihre Einwilligung in die Verarbeitung widerrufen oder Widerspruch gegen die Verarbeitung der sie betreffenden personenbezogenen Daten eingelegt haben oder wenn die Verarbeitung ihrer personenbezogenen Daten aus anderen Gründen gegen diese Verordnung verstößt."

Dem Grundsatz der Datenrichtigkeit folgend müssen alle personenbezogenen Daten sachlich richtig und - erforderlichenfalls - auf dem neuesten Stand sein (Art. 5 Abs. 1 lit. d) EU-DSGVO). § 47 Nr. 4 BDSG sieht vor, dass Daten, die diesen Anforderungen nicht entsprechen, "unverzüglich gelöscht ... werden." § 35 Abs. 1 BDSG schränkt das "Recht auf Löschung" "im Fall nicht automatisierter Datenverarbeitung" ein.

Gem. § 58 Abs. 2 BDSG können Betroffene vom Verantwortlichen die unverzügliche Löschung sie betreffender Daten verlangen, wenn

  • deren Verarbeitung unzulässig ist,

  • deren Kenntnis für die Aufgabenerfüllung nicht mehr erforderlich ist oder

  • diese Daten zur Erfüllung einer rechtlichen Verpflichtung gelöscht werden müssen.

An Stelle der Löschung kann nach Maßgabe des § 58 Abs. 3 BDSG eine Einschränkung der Verarbeitung in Frage kommen. Bei einer Löschung von Daten nach § 58 Abs. 1 bis 3 BDSG muss der Verantwortliche Empfängern, denen die Daten übermittelt wurden, seine Maßnahme mitteilen (§ 58 Abs. 5 Satz 2 BDSG). Der Empfänger hat die Daten dann ebenfalls zu löschen (§ 58 Abs. 5 Satz 3 BDSG). Sieht der Verantwortliche von der Löschung ab, muss er den Betroffenen davon nach Maßgabe des § 58 Abs. 6 Satz 3 BDSG unter Angabe der Gründe unterrichten (§ 58 Abs. 6 Satz 1 BDSG).

3.8 Schadensersatzanspruch

Arbeitnehmer können von dem für die Verarbeitung personenbezogener Daten Verantwortlichen gem. § 83 Abs. 1 Satz 1 BDSGSchadensersatz verlangen, wenn die Verarbeitung

  • nach dem BDSG oder

  • nach anderen auf ihre Verarbeitung anwendbaren Vorschriften

rechtswidrig war und der betroffenen Person durch die Verarbeitung ein Schaden entstanden ist.

Beispiel:

Abeitgeber G liest heimlich die persönlichen E-Mails seiner Arbeitnehmer. Mitarbeiter M hat sich für einen auf drei Monate befristeten 450-Euro-Nebenjob beworben und dafür per E-Mail eine Zusage bekommen. G löscht diese E-Mail - M erfährt erst im Nachhinein und zu spät von der Zusage. Er nimmt G auf Schadensersatz in Anspruch. Das Erheben und Löschen der Daten war BDSG-widrig.

Wegen eines Schadens, der kein Vermögensschaden (= immaterieller Schaden) ist, können Arbeitnehmer gem. § 83 Abs. 2 BDSG eine angemessene Entschädigung in Geld verlangen. Soweit der Schaden nicht durch BDSG-widriges Verhalten hervorgerufen wurde, gelten die allgemeinen Grundsätze des Schadensrechts. So sind die BDSG-Bestimmungen Schutzgesetze i.S.d. § 823 Abs. 2 BGB.

3.9 Unterlassungsanspruch

In der EU-DSGVO sucht man vergeblich nach einem Unterlassungsanspruch. Gleiches gilt für das BDSG. Das schließt es jedoch nicht aus, dass Arbeitnehmer gegen ihren Arbeitgeber einen Anspruch darauf haben, eine EU-DSGVO- beziehungsweise BDSG-widrige Verarbeitung personenbezogener Daten zu unterlassen. So ein Unterlassungsanspruch folgt aus den §§ 823 Abs. 1, 1004 BGB.

§ 1004 Abs. 1 BGB sagt eigentlich nur:

"Wird das Eigentum in anderer Weise als durch Entziehung oder Vorenthaltung des Besitzes beeinträchtigt, so kann der Eigentümer von dem Störer die Beseitigung der Beeinträchtigung verlangen. Sind weitere Beeinträchtigungen zu besorgen, so kann der Eigentümer auf Unterlassung klagen."

§ 1004 BGB schützt zwar vorrangig das Eigentumsrecht - über seinen Wortlaut hinaus hat die Rechtsprechung § 1004 BGB jedoch zu einem allgemeinen Abwehr- und Unterlassungsanspruch entwickelt, soweit absolute Rechte und Rechtsgüter i.S.d. § 823 Abs. 1 BGB betroffen sind.

Die Anwendung der §§ 1004, 823 Abs. 1 BGB setzt eine Wiederholungsgefahr voraus, die - je nach Art und Schwere des Eingriffs - schon durch eine einmalige Beeinträchtigung indiziert sein kann.

3.10 Widerrufsrecht

Hat der Arbeitnehmer in die Verarbeitung seiner personenbezogenen Daten eingewilligt, darf er diese Einwilligung im Nachhinein jederzeit widerrufen (Art. 7 Abs. 3 Satz 1 EU-DSGVO, § 51 Abs. 3 Satz 1 BDSG). Der Widerruf wirkt aber nur zukunftsgerichtet.

Beispiel:

Arbeitnehmer N hat Arbeitgeber G die Einwilligung gegeben, die Zeiten der Nutzung betrieblicher Fitnesseinrichtungen zu nutzen. G will mit diesen Daten die Besuchsfrequenz seiner Einrichtungen und die tatsächliche Nutzung der aufgestellten Geräte erfassen. N kommt irgendwann auf die Idee, dass G sich mit den erhobenen und verarbeiteten Daten auch ein Bild von seinem Gesundheitszustand machen kann. Er widerruft seine Einwilligung.

Der Widerruf setzt keinen besonderen Anlass oder Grund voraus. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenerhebung wird durch den Widerruf nicht berührt (Art. 7 Abs. 3 Satz 2 EU-DSGVO, § 51 Abs. 3 Satz 2 BDSG).

Beispiel:

G darf die bis zum Widerruf von N gesammelten Nutzungsdaten weiter verarbeiten. Ab dem Widerruf darf G keine Nutzungsdaten mehr von N erfassen.

§ 26 Abs. 2 BDSG gilt auch für die Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten - vor allem in die Verarbeitung von Gesundheitsdaten (s. dazu §§ 22, 46 Nr. 13 BDSG). Die Einwilligung muss sich dabei allerdings ausdrücklich auf diese Daten beziehen (§ 26 Abs. 3 Satz 2 BDSG).

4. Rechtsprechungs-ABC

An dieser Stelle werden einige der interessantesten Entscheidungen zum Thema Datenschutz und Arbeitnehmerrechte in alphabetischer Reihenfolge nach Stichwörtern geordnet vorgestellt:

4.1 Berechtigtes Interesse

Bei Prüfung der Erforderlichkeit der Verarbeitung von Beschäftigtendaten i.S.d. § 32 Abs. 1 Satz 1 BDSG a.F. (= § 26 Abs. 1 Satz 1 BDSG n.F.) ist danach zu fragen, ob der Arbeitgeber ein berechtigtes Interesse an der Erhebung, Verarbeitung und Nutzung dieser Daten hat, das seine Grundlage im bestehenden Arbeitsverhältnis haben muss. Das setzt voraus, dass zwischen den Daten und der zu erfüllenden Arbeitspflicht des Beschäftigten sowie seinen sonstigen Obliegenheiten aus dem Arbeitsverhältnis und den vom Arbeitgeber einzuhaltenden Pflichten ein Zusammenhang besteht (s. dazu BAG, 07.09.1995 - 8 AZR 828/93). Die Erhebung, Verarbeitung oder Nutzung personenbezogener Beschäftigungsdaten darf den Arbeitnehmer zudem nicht übermäßig belasten und muss der Bedeutung des Informationsinteresses des Arbeitgebers entsprechen (BAG, 17.11.2016 - 2 AZR 730/15).

4.2 Berücksichtigungsverbot

Die BDSG-Bestimmungen über die Anforderungen an eine zulässige Verarbeitung personenbezogener Beschäftigtendaten ziehen der Zulässigkeit von Parteivorbringen und seiner Verwertung in arbeitsgerichtlichen Verfahren keine Grenzen. Sie konkretisieren den Schutz des Rechts auf informationelle Selbstbestimmung und am eigenen Bild. Sie regeln, in welchem Umfang im Anwendungsbereich des Gesetzes Eingriffe durch öffentliche oder nichtöffentliche Stellen ( § 1 Abs. 1 Satz 1 und Satz 2 BDSG n.F.) in geschützte Rechtspositionen zulässig sind (s. dazu BAG, 21.11.2013 - 2 AZR 797/11 - und BAG, 15.11.2012 - 6 AZR 339/11). Das BDSG sieht Informations- und Auskunftsansprüche der Betroffenen und Ansprüche auf Berichtigung, Löschung und Sperrung von Daten vor. Gleichzeitig enthält das BDSG Straf- und Bußgeldbestimmungen. Die BDSG-Normen "ordnen für sich genommen jedoch nicht an, dass unter ihrer Missachtung gewonnene Erkenntnisse oder Beweismittel bei der Feststellung des Tatbestands im arbeitsgerichtlichen Verfahren vom Gericht nicht berücksichtigt werden dürften" (BAG, 20.10.2016 - 2 AZR 395/15 - mit Hinweis auf BAG, 22.09.2016 - 2 AZR 848/15).

4.3 Entfernung einer Abmahnung

§ 32 Abs. 1 Satz 1 BDSG [a.F.] ließ die Verarbeitung personenbezogene Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses zu. Gem. § 35 Abs. 2 Satz 2 Nr. 3 BDSG [a.F.] waren personenbezogene Beschäftigtendaten zu löschen, "wenn sie für eigene Zwecke verarbeitet werden, sobald ihre Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erforderlich ist." Kein Löschungs- bzw. Entfernungsanspruch folgte aus § 35 Abs. 2 Satz 2 Nr. 3 BDSG [a.F.], wenn Abmahnungen in einer vom Arbeitgeber in Papierform geführten Personalakte enthalten waren, "weil durch Personalakten in Papierform keine personenbezogenen Daten unter Einsatz von Datenverarbeitungsanlagen i.S.v. § 3 Abs. 2 Satz 1 BDSG [a.F.] i.V.m. § 27 Abs. 1 Satz 1 BDSG [a.F.] verarbeitet werden" (LAG Sachsen, 14.01.2014 - 1 Sa 266/13 - mit Hinweis auf BAG, 16.11.2010 - 9 AZR 573/09 - wobei - Anm. d. Verf. - diese Rechtsprechung mit Blick auf § 46 Nr. 2 BDSG - "Verarbeitung" - möglicherweise überholt sein könnte, s. aber auch EWG Nr. 15 Satz 3: Ausnahme für "Akten oder Aktensammlungen sowie ihre Deckblätter, die nicht nach bestimmten Kriterien geordnet sind" - s. auch das Stichwort Abmahnung - Rechtsschutz).

4.4 Löschungsanspruch

"1. Nach § 6b Abs. 5 BDSG i.d.F. v. 14.01.2003 [= § 4 Abs. 5 BDSG n.F.] sind die Daten einer offenen Videoüberwachung zur Wahrnehmung des Hausrechts und zur Wahrnehmung berechtigter Interessen für konkret festgelegte Zwecke in einem öffentlich zugänglichen Ladenlokal unverzüglich zu löschen, wenn sie zur Erreichung des Zwecks nicht mehr erforderlich sind oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegenstehen 2. Es ist mit dieser Vorschrift nicht vereinbar, wenn ein Ladeninhaber die Videoaufzeichnungen wegen eines bei einer stichprobenartigen Ermittlung der Warenaufschläge der Filiale im dritten Quartal 2016 festgestellten Verdachts auf Warenschwund auswertet, die im Zeitpunkt der Auswertung nahezu sechs Monate alt sind. 3. Wegen der Intensität der Persönlichkeitsrechtsverletzung durch den Verstoß gegen den Datenschutz besteht ein Beweisverwertungsverbot. Die fraglichen Videoaufzeichnungen dürfen nicht zum Nachweis der vom Arbeitgeber behaupteten vorsätzlichen Vermögensschädigungen verwertet werden" (LAG Hamm, 20.12.2017 - 2 Sa 192/17 - Leitsätze - wichtig: neutralisiert durch BAG, 23.08.2018 - 2 AZR 133/18).

4.5 Schadensersatz

Das in Art. 2 Abs. 1 GG verankerte allgemeine Persönlichkeitsrecht beinhaltet auch das Recht auf informationelle Selbstbestimmung. Danach entscheidet grundsätzlich jeder Einzelne selbst, welche persönlichen Daten er preisgibt und wie die von ihm preisgegebenen Daten verwendet werden sollen. Das allgemeine Persönlichkeitsrecht greift auch auf Beschäftigungsverhältnisse durch (s. dazu BAG, 27.03.2003 - 2 AZR 51/02). Verletzt der Arbeitgeber das allgemeine Persönlichkeitsrechts eines Beschäftigten rechtswidrig, "kann der Betroffene eine Geldentschädigung für immaterielle Schäden beanspruchen, wenn es sich um eine schwerwiegende Verletzung handelt und die Beeinträchtigung nach Art der Verletzung nicht in anderer Weise - etwa Genugtuung durch Unterlassen, Gegendarstellung oder Widerruf - befriedigend ausgeglichen werden kann." Bemessungsfaktoren u.a.: Prävention, Intensität der Verletzung, Genugtuung des Opfers. Der Anspruch folgt "aufgrund des Schutzauftrags von Art. 1, Art. 2 GG unmittelbar aus § 823 BGB" (LAG Hamm, 11.07.2013 - 11 Sa 312/13 - mit Hinweis auf BGH, 05.10.2004 - VI ZR 255/03).

4.6 Zugriffsbefristung

Auch wenn eine "Gesamtbetriebsvereinbarung zur Belastungsstatistik für Schadenaußenstellen" - nachfolgend GBV - Führungsverantwortlichen den Zugriff auf in 1-Wochen- und 4-Wochen-Auswertungen erfasste Daten nur für jeweils zwölf Wochen ermöglicht und den Zugriff auf 26-Wochen-Auswertungen für 26 Wochen erlaubt: Der Eingriff in das Persönlichkeitsrecht wird dadurch - obwohl die GBV zusätzlich "Innerhalb der vorstehenden Fristen sind etwaige Ausdrucke der Auswertungen zu vernichten" vorgibt - nicht neutralisiert. Im Ergebnis bleiben die Mitarbeiter durch Aufzeichnung der Bewegungsdaten und deren Auswertung einem dauerhaften Überwachungs- und Anpassungsdruck "aufgrund der wöchentlich fortgeschriebenen Auswertungen zeitlich unbefristet ausgesetzt" (BAG, 25.04.2017 - 1 ABR 46/15 - mit dem Ergebnis, dass der Spruch der Einigungsstelle in diesem Fall zwingender Mitbestimmung unwirksam war).