Die einzelnen Rechte
- Übersicht
- Das Recht auf Information bei Erhebung von Daten
- Auskunftsrecht
- Recht auf Berichtigung
- Recht auf Vergessenwerden/Löschung
- Recht auf Einschränkung der Verarbeitung
- Widerspruchsrecht
- Recht auf Datenübertragbarkeit
- Recht auf menschliche Entscheidung
- Unentgeltlichkeit, Verständlichkeit und Schnelligkeit
- Beschäftigtenrechte in Kollektivvereinbarungen
- Recht auf Schadensersatz
1. Übersicht
Die Datenschutzgrundverordnung gewährt den Arbeitnehmern Benachrichtigungs- und Auskunftsansprüche gemäß Artikel 13, 14 und 15 DSGVO. Bei unzulässiger Datenverarbeitung kann der Arbeitnehmer Berichtigung (Artikel 16 DSGVO), Löschung (Artikel 17 DSGVO) oder die Einschränkung der Verarbeitung von Daten verlangen (Artikel 18 DSGVO).
Beschäftigte haben ferner unter bestimmten Voraussetzungen ein Widerspruchsrecht (Artikel 21 DSGVO),das Recht auf Datenübertragbarkeit (Artikel 20 DSGVO) und das Recht auf menschliche Entscheidung (Artikel 22 DSGVO).
Die Verletzung dieser Rechte kann Schadensersatzansprüche nach sich ziehen. Der Arbeitgeber ist als verantwortliche Stelle datenschutzverpflichtet und bleibt dies auch im Fall der Auftragsverarbeitung gem. Artikel 28 DSGVO.
Sieht der Arbeitnehmer Probleme hinsichtlich des Datenschutzes in seinem Betrieb oder Unternehmen, so ist ihm anzuraten, sich an den Betriebs- oder Personalrat zu wenden. Neben dem betrieblichen Datenschutzbeauftragten, der eine Unterstützungsperson des Arbeitgebers ist, verfügen die Betriebs- und Personalräte über die notwendige Unabhängigkeit vom Arbeitgeber, sich mit diesem Thema zu beschäftigen.
2. Das Recht auf Information bei Erhebung von Daten
Ein Recht auf Benachrichtigung des Arbeitnehmers bei erstmaliger Speicherung ohne Kenntnis des Arbeitnehmers bestand schon im alten BDSG (§ 33 BDSG-alt). Die Datenschutz-Grundverordnung hat die Informationsverpflichtung jedoch erweitert (Artikel 13 und 14 DSGVO).
Der Arbeitgeber/Unternehmer muss jetzt von sich aus auch über die Dauer der beabsichtigten Speicherung informieren. Das ist u.a. deswegen gut, weil der Arbeitgeber sich so überlegen muss, wie lange er die Daten speichern will, was es wahrscheinlicher macht, dass er sie irgendwann von sich aus wieder löscht.
Zudem muss der Arbeitgeber über die Absicht informieren, die Daten an ein Drittland, z.B. an ein amerikanisches Unternehmen, zu übermitteln, sowie darlegen, warum dies zulässig ist.
Schließlich muss er auch über die weiteren Rechte auf Auskunft, Berichtigung, Löschung/Vergessenwerden, Einschränkung der Verarbeitung, Widerspruch aus besonderen Gründen (z.B. bei Profiling), Datenübertragbarkeit sowie das Beschwerderecht bei der Aufsichtsbehörde informieren. In der DSGVO gegenüber der alten Rechtslage neue Rechte stellen unter dieser Aufzählung das Widerspruchsrecht (Artikel 21 DSGVO), das Recht auf Datenübertragbarkeit (z.B. bei Wechsel des Arbeitgebers oder außerhalb des Arbeitsrechts eines sozialen Netzwerks oder Dienstleisters, Artikel 20 DSGVO) und das Recht auf Vergessenwerden/Löschung (Artikel 17 DSGVO) dar.
Auch die Durchsetzung von Datenschutzrechten von Beschäftigten wird durch die erweiterten Informationspflichten erleichtert: Arbeitgeber müssen nun darlegen, worin ihr berechtigtes Interesse für eine Datenverarbeitung liegt. Mit dieser Information können Beschäftigte damit leichter prüfen, ob die Datenverarbeitung auch wirklich erforderlich ist, und gegen ungewollte Datenverarbeitung vorgehen, ggf. durch einen Widerspruch nach Artikel 21 DSGVO.
Betriebsräte sollten sicherstellen, dass in ihren Betrieben gewährleistet ist, dass der Arbeitgeber bei erstmaliger Speicherung von Beschäftigtendaten, die Beschäftigten über die neuerdings erforderlichen Angaben informiert.
3. Auskunftsrecht
Bei den Informationspflichten sind zwei Arten zu unterscheiden: Die Pflicht des Arbeitgebers, die Beschäftigten von sich aus zu informieren/benachrichtigen nach Artikel 13 und 14 DSGVO, und die Pflicht des Arbeitgebers, den Beschäftigten auf Anfrage Auskunft zu erteilen.
Diese Pflicht ist in Artikel 15 DSGVO als Auskunftsrecht des Beschäftigten geregelt, da diese Pflicht an das Verlangen der Beschäftigten auf Auskunft anknüpft.
Die Verletzung dieser Pflicht bzw. dieses Rechts durch unvollständige oder verspätete Erteilung der Auskunft kann nicht nur Bußgelder, sondern auch Ansprüche der Beschäftigten auf Ersatz des entstandenen Schadens nach sich ziehen. Dabei kann auch der Ersatz von immateriellem Schaden („Schmerzensgeld“) verlangt werden (vgl. Arbeitsgericht Düsseldorf Urteil vom 05.03.2020, 9 Ca 6557/18).
Das Bundesarbeitsgericht hat übrigens entschieden, dass für einen Anspruch eines Arbeitnehmers gegen seinen früheren Arbeitgeber auf Auskunft i.S.d. Artikel 15 DSGVO (früher § 34 BDSG) der Rechtsweg zu den Arbeitsgerichten eröffnet ist, selbst wenn das Arbeitsverhältnis bereits beendet ist.
4. Recht auf Berichtigung
Es ist ein wichtiger Grundsatz des Datenschutzes, dass personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neusten Stand sind (Artikel 5 Absatz 1 d DSGVO). Um diesem Grundsatz zu sichern, gibt die Datenschutzgrundverordnung Beschäftigten in Artikel 16 DSGVO das Recht, von ihrem Arbeitgeber unverzüglich die Berichtigung sie betreffender unrichtiger Daten zu verlangen.
Beschäftigte haben entsprechend auch das Recht, die Vervollständigung unvollständiger Daten zu verlangen, etwa mittels einer ergänzenden Erklärung.
5. Recht auf Vergessenwerden/Löschung
Artikel 17 DSGVO enthält das Recht auf Vergessenwerden bzw. Löschung. Dieses Recht in der DSGVO sieht umfassendere Löschpflichten vor, als sein Vorgänger im alten BDSG.
Das Recht zählt bestimmte Fallgestaltungen auf, in denen Daten gelöscht werden müssen. Zu löschen sind Daten z.B. wenn sie nicht mehr für den Zweck, für den sie erhoben wurden, notwendig sind oder die Einwilligung zu ihrer Speicherung widerrufen wurde. Die Löschung muss der Arbeitgeber von sich aus vornehmen, oder aber auf (formlosen) Antrag des Arbeitnehmers hin.
Der EuGH hatte die Reichweite von Löschpflichten in seinem Urteil in Sachen „Google ./. Spain“ (EuGH, Urteil vom 13.05.2014 –C-131/12) bereits vor Inkrafttreten der DSGVO auf Dritte ausgeweitet. Die DSGVO hat diese Ausweitung aufgenommen. Wenn der Arbeitgeber selbst zur Löschung von veröffentlichten Daten verpflichtet ist, muss er Dritte, die die Daten verarbeiten, nicht nur von der Löschung informieren, sondern auch davon, dass der Arbeitnehmer die Löschung verlangt hat (Artikel 17 Absatz 2 DSGVO). Dies führt wiederum dazu, dass auch dieser verpflichtet ist, die Daten zu löschen, wenn ein Fall der Löschverpflichtung vorliegt und keine Ausnahme greift.
Beispiel: Ein Arbeitgeber hat die Daten der bei ihm Beschäftigten im Internet veröffentlicht. Verlangt ein Beschäftigter zu Recht die Löschung seiner Daten, muss sich der Arbeitgeber an den Provider wenden, diesen über die Löschpflicht informieren und ihn zum Löschen auffordern. Relevant kann diese erweiterte Löschpflicht auch bei internen sozialen Netzwerken oder veröffentlichten Beiträgen von Beschäftigten sein.
Betriebsräte sollten auch darauf hinwirken, dass in ihren Betrieben ein Verfahren besteht, mit dem die erforderlichen Löschungen vorgenommen und Löschbegehren geprüft und erfüllt werden.
6. Recht auf Einschränkung der Verarbeitung
Die Beschäftigten haben unter Voraussetzungen, die in Artikel 18 Absatz 1 DSGVO näher bestimmt sind, ein Recht auf Einschränkung der Verarbeitung ihrer Daten.
In welchen Fällen besteht das Recht auf Einschränkung der Verarbeitung?
In folgenden Fällen besteht das Recht auf Einschränkung der Verarbeitung:
- Wenn der Beschäftigte die Richtigkeit bestritten hat für die Dauer der Prüfung des Arbeitgebers,
- Wenn der betroffene Beschäftigte bei unzulässig verarbeiteten Beschäftigtendaten statt der Löschung die Einschränkung der Nutzung verlangtBeispiel: Der Arbeitnehmer ist der Auffassung, dass der Arbeitgeber bestimmte Daten unzulässig erhoben hat und will einen Schadensersatzanspruch geltend machen. Um diesen darzulegen und zu beweisen, benötigt er die unzulässig erhobenen Daten, die (ohne Einwilligung des Beschäftigten) zu keinem anderen Zweck als der weiteren Speicherung oder der Verteidigung gegen den Schadensersatzanspruch vom Arbeitgeber genutzt werden.
- Wenn der Arbeitgeber die Daten nicht mehr für ihren Speicherzweck benötigt, aber wenn der betroffene Beschäftigte die Daten benötigt, etwa zur Geltendmachung von Rechtsansprüchen.Beispiel: Man könnte sich etwa vorstellen, dass der Arbeitgeber Leistungsdaten zur Berechnung einer Prämie erhoben hat, die Prämie berechnet und ausbezahlt ist, und der Arbeitgeber meint, sie nach Ablauf der arbeitsvertraglichen Ausschlussfrist oder weil die Prämienzahlung seiner Meinung nach freiwillig ist, nicht mehr zu benötigen. Der Arbeitnehmer könnte dagegen der Auffassung sein, dass ihm aufgrund seiner erfassten Leistung eine höhere Prämie zusteht, dass die Ausschlussfrist nicht wirksam sei oder der Arbeitgeber zur Zahlung der Prämie verpflichtet ist, und mit einer Klage auf eine höhere Prämie vor Gericht zieht.
- Wenn der Arbeitgeber als Rechtsgrundlage für die Verarbeitung die Rechtsgrundlage des „berechtigten Interesses“ angibt (Artikel 6 Absatz 1 f DSGVO), kann die beschäftigte Person der Verarbeitung (nach Artikel 21 DSGVO) widersprechen. Dann muss überprüft werden, ob die Interessen des Arbeitgebers die der beschäftigten Person überwiegen. Für die Zeit dieser Prüfung muss die Verarbeitung eingeschränkt werden. Allerdings ist bisher ungeklärt, ob neben der Spezialvorschrift für die Verarbeitung von Beschäftigtendaten in § 26 BDSG, die eine Erforderlichkeit der Datenverarbeitung gerade für die Zwecke des Arbeitsverhältnisses voraussetzt, noch auf die allgemeine Rechtsgrundlage nach Artikel 6 Absatz 1 f DSGVO zurückgegriffen werden kann, die lediglich irgendein „berechtigtes Interesses“ des die Daten Verarbeitenden verlangt.
Worin besteht die Einschränkung der Verarbeitung?
Muss die Verarbeitung der Beschäftigtendaten aufgrund eines der oben beschriebenen Fälle eingeschränkt werden, dann ist die weitere Speicherung zulässig, aber die weitere Nutzung eingeschränkt. Die Daten dürfen nur noch mit der Einwilligung der beschäftigten Person oder für ganz bestimmte Fälle genutzt werden. Fälle, in denen die Nutzung der Daten weiterhin erlaubt ist, sind die Geltendmachung oder Verteidigung von Rechtsansprüchen, der Schutz der Rechte einer anderen Person oder aufgrund eines wichtigen öffentliches Interesses (Artikel 18 Absatz 2 DSGVO).
Früher entsprach das Recht auf Einschränkung der Verarbeitung, dem Recht, die Daten „sperren“ zu lassen. Auch dieser Begriff brachte zum Ausdruck, dass die Daten zunächst nur gespeichert und sonst grundsätzlich nicht genutzt werden durften, soweit nicht ein Ausnahmefall vorliegt, aufgrund dessen die Nutzung trotz „Sperrung“ noch gerechtfertigt sein kann.
Hat eine beschäftigte Person die Einschränkung der Verarbeitung erwirkt, so muss sie unterrichtet werden, bevor die Einschränkung aufgehoben wird (Artikel 18 Absatz 3 DSGVO).
7. Widerspruchsrecht
Wenn der Arbeitgeber als Rechtsgrundlage für seine Datenverarbeitung die des „berechtigten Interesses“ angibt (Artikel 6 Absatz 1 f DSGVO) oder die des „öffentlichen Interesses“ (Artikel 6 Absatz 1 e DSGVO)nennt, kann die beschäftigte Person jederzeit aus Gründen, die sich aus ihrer besonderen Situation ergeben, der Verarbeitung widersprechen. Dieses Recht, Widerspruch gegen die Verarbeitung einzulegen, heißt Widerspruchsrecht (Artikel 21 Abs 1 DSGVO). Auf dieses Widerspruchsrecht muss der Arbeitgeber seine Beschäftigten gesondert und verständlich hinweisen, wenn er die Datenverarbeitung auf eine der eingangs genannten Rechtsgrundlage stützen will.
Im Fall des Widerspruchs muss überprüft werden, ob der Arbeitgeber Gründe für die Verarbeitung nachweisen kann, die die Interessen der beschäftigten Person überwiegen. Für die Zeit dieser Überprüfung darf der Arbeitgeber die Daten nicht oder nur noch eingeschränkt verwenden. Um diese eingeschränkte Verwendung für die Zeit der Überprüfung abzusichern, steht Beschäftigten das Recht auf Einschränkung der Verarbeitung (Artikel 18 Absatz 1 d DSGVO) zu.
Allerdings ist hier auch darauf hinzuweisen, dass bisher nicht abschließend geklärt ist, ob neben der Spezialvorschrift für die Verarbeitung von Beschäftigtendaten in § 26 BDSG, die eine Erforderlichkeit der Datenverarbeitung gerade für die Zwecke des Arbeitsverhältnisses voraussetzt, überhaupt noch auf die allgemeine Rechtsgrundlage nach Artikel 6 Absatz 1 f DSGVO zurückgegriffen werden kann, die lediglich ein „berechtigtes Interesses“ des die Daten Verarbeitenden verlangt.
8. Recht auf Datenübertragbarkeit
Beschäftigte haben ein Recht auf Datenübertragbarkeit (Artikel 19 DSGVO).
Ob Beschäftigte von diesem Recht Gebrauch machen sollten, bedarf einer Abwägung im Einzelfall.
Es erscheint jedenfalls empfehlenswert, dass Beschäftigte zuvor von ihrem Auskunftsanspruch Gebrauch machen.
9. Recht auf menschliche Entscheidung
Beschäftigte haben nach der DSGVO auch das Recht auf menschliche Entscheidung (Artikel 22 DSGVO).Das bedeutet, dass sie nicht ausschließlich einer Entscheidung unterworfen werden, die ausschließlich auf einer automatisierten Verarbeitung beruht, wenn diese Entscheidung rechtliche Wirkung ihr gegenüber entfaltet oder sie ähnlich erheblich beeinträchtigt.
Nach diesem Recht ist es etwa unzulässig, Daten von Bewerbern oder Beschäftigten ein Programm eingegeben/“gefüttert“ werden, und das Programm aufgrund eines Algorithmus bestimmt, wer zum Bewerbungsgespräch eingeladen wird, wer die Beförderung erhält oder wer gekündigt werden soll.
Beschäftigte haben einen Anspruch darauf, dass in derartigen Fällen ein Mensch die entsprechende Entscheidung trifft. Wichtig ist, dass dem Menschen auch wirklich ein echter Ermessens- und Entscheidungsspielraum zukommt und er nicht nur auf das Ergebnis schaut und es 1:1 umsetzt.
Die Abgrenzung ist in der Praxis nicht immer einfach oder von außen durchschaubar. An dieser Stelle ist es sinnvoll, wenn Betriebsparteien konkrete Regelungen zum Schutz der Rechte und Interessen der von der Entscheidung betroffenen Person festlegen. Denkbar sind insoweit die ausdrückliche Regelung der Kompetenzen der menschlichen Entscheider, von Begründungserfordernissen oder der Zuweisung der Entscheidung an mehrere menschliche Entscheider.
10. Unentgeltlichkeit, Verständlichkeit und Schnelligkeit
Die Rechte, die die Datenschutz-Grundverordnung dem Arbeitnehmer einräumt, müssen unentgeltlich wahrgenommen werden können (Artikel 12 DSGVO). Auskünfte müssen „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ erfolgen. In der Regel müssen sie schriftlich oder elektronisch gegeben werden. Eine Auskunft muss unverzüglich, regelmäßig aber spätestens innerhalb eines Monats gegeben werden.
11. Beschäftigtenrechte in Kollektivvereinbarungen
Der Beschäftigtendatenschutz ist in der DSGVO in Artikel 88 geregelt. Dort werden insbesondere verschiedene Zwecke der Datenverarbeitung im Beschäftigungskontext genannt und dem nationalen Gesetzgeber sowie den Tarifvertrags- und Betriebsparteien ein Regelungsrahmen für konkretisierende Regelungen gegeben. Auf die betriebliche Situation konkretisierte Rechte der Beschäftigten können daher auch in Betriebsvereinbarungen sinnvoll oder erforderlich sein.
12. Recht auf Schadensersatz
Im Falle der Verletzung eines der oben genannten Rechte, kann Beschäftigten ein Schadensersatzanspruch zustehen. Dabei kann (nach Artikel 82 DSGVO) auch der Ersatz von immateriellem Schaden („Schmerzensgeld“) verlangt werden (vgl. Arbeitsgericht Düsseldorf Urteil vom 05.03.2020, Az. 9 Ca 6557/18).
Redaktion BGHP-Betriebsratsberater, 2018
