CMS Hasche Sigle:Datenschutzrechtliche Einwilligungserklärungen in Arbeitsverträgen: Was ändert sich nach Einführung der DSGVO?

Datenschutzrechtliche Einwilligungsklauseln

Arbeitsverträge enthalten häufig datenschutzrechtliche Einwilligungsklauseln, wie z.B. Folgende:

"Der Arbeitnehmer erklärt sich damit einverstanden, dass seine persönlichen Daten durch den Arbeitgeber für die Zwecke des Arbeitsverhältnisses verarbeitet werden, soweit das für dessen Durchführung oder Beendigung erforderlich ist."

Solche pauschalen Einwilligungen sind – nach altem wie nach neuem Datenschutzrecht – unwirksam. Die Anforderungen an eine wirksame Einwilligung sind hoch. Sie muss erkennen lassen, welche Daten auf welche Weise verarbeitet werden. Sie muss außerdem grundsätzlich vom Arbeitnehmer und vom Arbeitgeber unterzeichnet werden (Schriftform). Der Arbeitnehmer muss über den Zweck der Datenverarbeitung informiert werden und die Einwilligung muss vom Arbeitnehmer freiwillig erteilt werden. Oftmals sind Einwilligungen, die im Arbeitsvertrag erteilt wurden, bereits wegen der fehlenden Abgrenzung von den übrigen Inhalten des Arbeitsvertrages (z.B. durch grafische Hervorhebung) unwirksam (Art. 7 Abs. 2 DSGVO). Selbst wenn diese Voraussetzungen beachtet und Einwilligungen wirksam erteilt wurden, können sie jederzeit vom Arbeitnehmer widerrufen werden. In beiden Fällen entfällt die Einwilligung als Rechtsgrundlage für die Verarbeitung der Arbeitnehmerdaten. Der Arbeitgeber steht dann vor der Frage, ob er die Arbeitnehmerdaten überhaupt noch verarbeiten darf.

Rechtslage

Bereits nach alter Rechtslage war die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten nur zulässig, soweit es eine Rechtsgrundlage hierfür gab (sog. Verbot mit Erlaubnisvorbehalt). Dies gilt auch für personenbezogene Daten von Arbeitnehmern. Hieran hat sich nichts geändert.

Taugliche Rechtsgrundlage für die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten können gesetzliche Regelungen, Kollektivvereinbarungen (z.B. Betriebsvereinbarungen) oder eben Einwilligungen sein. Nach § 26 Abs. 1 BDSG-neu ist die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Arbeitsverhältnis zulässig, sofern sie für Zwecke des Arbeitsverhältnisses (insb. für die Begründung, Durchführung oder Beendigung) erforderlich ist. Einer Einwilligung des Arbeitnehmers bedarf es daher grundsätzlich nicht. Arbeitgeber dürfen Arbeitnehmerdaten nur dann nicht mehr – ohne entsprechende Einwilligung – verarbeiten, wenn ihre Zwecke darüber hinausgehen (z.B. Speicherung in einer Bewerber- oder Arbeitnehmerdatei zum Abgleich der Qualifikationen).

Problematisch ist allerdings, dass die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten bei widerrufener Einwilligung nach Ansicht des Europäischen Datenschutzausschusses selbst dann unzulässig sein soll, wenn eine solche Datenverarbeitung im Arbeitsverhältnis nach der gesetzlichen Regelung des § 26 Abs. 1 BDSG-neu erlaubt wäre. Er begründet seine Auffassung damit, dass durch die Einholung einer Einwilligung beim Arbeitnehmer der Eindruck entstehe, diese sei für die Verarbeitung der Arbeitnehmerdaten erforderlich. Deshalb hätten Arbeitgeber, die eine Einwilligung für die Verarbeitung von Arbeitnehmerdaten einholen, einen Widerruf der Einwilligung durch den Arbeitnehmer zu respektieren. Durch den Widerruf werde die Datenverarbeitung rechtswidrig. Sie könne deshalb nicht ersatzweise auf eine andere gesetzliche Rechtsgrundlage gestützt werden.

Für den Fall, dass vor Einführung der DSGVO und es BDSG-neu erteilte Einwilligungen nach neuer Rechtslage unwirksam sind, gibt der Europäische Datenschutzausschuss einen Ausweg vor: Er hält ausnahmsweise den einmaligen Übergang zu einer anderen Rechtsgrundlage für zulässig, wenn sichergestellt ist, dass die fortgesetzte Datenverarbeitung angemessen und begründet ist. Für den Fall des Widerrufs von Einwilligungen zeigt er hingegen keine solche Ausnahme auf.

Fazit

Ohne eine Rechtsgrundlage können Arbeitnehmerdaten nicht verarbeitet werden. Ein Verstoß gegen das neue Datenschutzrecht kann in Bestandsarbeitsverträgen am ehesten vermieden werden, wenn bei Unwirksamkeit von Einwilligungen ohne Unterscheidung nach dem Unwirksamkeitsgrund gegenüber dem Arbeitnehmer klargestellt wird, dass die Verarbeitung der Daten nicht aufgrund der Einwilligung, sondern auf der Grundlage von § 26 Abs. 1 BDSG-neu erfolgt. Nur für die von dieser Vorschrift nicht gedeckten Datenverarbeitungen sollte eine neue Einwilligung von den Arbeitnehmer eingeholt werden. Zwar ist zu beachten, dass dieses Vorgehen nicht von der Ansicht des Europäischen Datenschutzausschuss gedeckt ist, weshalb das Risiko einer Geldbuße (bis zu EUR 20 Mio. oder 4 % des weltweiten Jahresumsatzes; Art. 83 Abs. 5 a EU-DSGVO) besteht. Die Datenschutzbehörden gehen allerdings nach eigenen Aussagen gerade in der Übergangszeit zurückhaltend mit der Verhängung von Bußgeldern um. Das verbleibende Risiko muss bei pragmatischen Vorgehen in Kauf genommen werden, denn es bleibt abzuwarten, wie sich die Rechtsprechung hier positionieren wird.

In neu abzuschließenden Arbeitsverträgen sollte wegen der Gefahr des Widerrufs keine Einwilligung mehr eingeholt werden, sofern die Datenverarbeitung den Kernbereich des Arbeitsverhältnisses betreffen und daher im Rahmen der gesetzlichen Generalklausel des § 26 Abs. 1 BDSG-neu erfolgt.

Kontakt:
CMS Hasche Sigle

Dr. Heralt Hug
Rechtsanwalt

Dr. Anja Schöder, LL.M.
Rechtsanwältin

Zurück