Beschäftigten­datenschutz strukturiert gestalten.

Das Bundesdatenschutzgesetz (BDSG) ergänzt die DSGVO um spezifische Regeln für die Verarbeitung personenbezogener Daten im Beschäftigungskontext. Es regelt unter anderem Bewerberdaten, Leistungsüberwachung, Videoüberwachung am Arbeitsplatz, Personalakten und betriebliche Mitbestimmung.

Die primäre Rechtsgrundlage ist § 26 BDSG, der die Verarbeitung erlaubt, wenn sie für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Daneben können Einwilligungen und Betriebsvereinbarungen als Grundlage dienen.

Videoüberwachung am Arbeitsplatz ist nur unter strengen Bedingungen zulässig: Es braucht einen legitimen Zweck, eine Verhältnismäßigkeitsprüfung, eine Betriebsvereinbarung oder Mitbestimmung des Betriebsrats sowie eine klare Beschilderung. Heimliche Überwachung ist grundsätzlich unzulässig.

§ 4 BDSG erlaubt die Videoüberwachung öffentlich zugänglicher Räume durch nicht-öffentliche Stellen. Das Problem: Die DSGVO enthält für diese Regelung keine ausdrückliche Öffnungsklausel, die eine nationale Abweichung vom DSGVO-Regime legitimieren würde. In der Praxis empfiehlt sich daher eine zusätzliche Prüfung auf Basis von Art. 6 Abs. 1 lit. f DSGVO sowie eine dokumentierte Interessenabwägung.

Pauschal lässt sich das nicht beantworten. Anlasslose oder routinemäßige Überwachung ist mangels Rechtsgrundlage in der Regel unzulässig. Anders kann es liegen, wenn ein konkreter Verdacht auf eine Straftat besteht oder wenn betriebliche Interessen überwiegen, etwa weil ein Mitarbeitender längere Zeit abwesend ist und zeitkritische Geschäftsvorgänge in seinem Postfach liegen. In solchen Fällen wird der Zugriff auf dienstliche E-Mails in der Rechtsprechung teilweise als verhältnismäßig angesehen. Wo ein Betriebsrat besteht, ist dieser einzubeziehen. Entscheidend ist stets eine dokumentierte Verhältnismäßigkeitsprüfung und eine klare Rechtsgrundlage.

Bewerberdaten dürfen nur für das Bewerbungsverfahren verarbeitet werden. Nach Abschluss des Verfahrens müssen sie gelöscht werden, typischerweise nach 6 Monaten. Länger dürfen sie nur aufbewahrt werden, wenn eine Einwilligung des Bewerbers vorliegt.

Grundsätzlich dürfen nur Daten verarbeitet werden, die für die Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich sind. Das umfasst etwa Kontaktdaten, Bankverbindung, Qualifikationen und Arbeitszeitdaten, nicht aber Gesundheitsdaten außer bei gesetzlicher Pflicht oder Daten aus der privaten Sphäre. Besonders sensibel ist der Umgang mit Bewerberdaten, Leistungsüberwachung und dem Zugriff auf dienstliche E-Mails.