Arbeitnehmerdatenschutz leicht gemacht: Tipps für Unternehmen

Der Arbeitnehmerdatenschutz ist für Unternehmen in Deutschland weit mehr als eine formale gesetzliche Pflicht. Er bildet die Grundlage für Vertrauen, informationelle Selbstbestimmung und eine faire Unternehmenskultur. Vom ersten Kontakt mit einer identifizierbaren natürlichen Person im Bewerbungsprozess bis zur Löschung von Personendaten nach dem Ausscheiden gilt es, den Schutz personenbezogener Daten konsequent sicherzustellen.Im Kern geht es um die rechtssichere Verarbeitung von personenbezogenen Daten natürlicher Personen – unabhängig davon, ob es sich um einfache Stammdaten, Kontodaten, Standortdaten, IP-Adresse, Kennnummern, Kfz-Kennzeichen oder besonders schützenswerte Informationen handelt. Unternehmen stehen dabei nicht nur im Fokus der Aufsichtsbehörde, sondern tragen auch Verantwortung gegenüber den Rechten der betroffenen Person.

Rechtliche Grundlagen für den Arbeitnehmerdatenschutz

Zentrale Grundlage ist die Datenschutzgrundverordnung, ergänzt durch das Bundesdatenschutzgesetz (BDSG). Beide Regelwerke definieren klar, wann eine Datenverarbeitung zulässig ist und welche organisatorischen Maßnahmen erforderlich sind, um Datenschutzverletzungen und mögliche Bußgelder zu vermeiden.Der Datenschutzbeauftragter nimmt hierbei eine Schlüsselrolle ein. Er überwacht die DSGVO-konforme Umsetzung, berät Fachabteilungen und fungiert als Schnittstelle zur Aufsichtsbehörde.

Grundsätze der Datenverarbeitung nach der DSGVO

Art. 5 DSGVO definiert klare Grundsätze für den Umgang mit personenbezogenen Daten, die Unternehmen zwingend einhalten müssen. Besonders hervorzuheben sind dabei: Die Zweckbindung stellt sicher, dass Daten nur für einen vorher festgelegten Zweck verarbeitet werden. Gleichzeitig verpflichtet die Datenminimierung dazu, nur solche Informationen zu erheben, die für einen bestimmten Person- oder Sachverhalt erforderlich sind. Der Personenbezug ist dabei entscheidend: Selbst scheinbar neutrale Angaben können einer bestimmten Person zugeordnet werden.Unternehmen dürfen sich in bestimmten Fällen auf ein berechtigtes Interesse oder ein öffentlichen Interesse stützen, etwa zur IT-Sicherheit oder Betrugsprävention. Dennoch gelten stets die Rechte der Betroffenen, insbesondere das Recht auf Berichtigung und das Recht auf Löschung.

Besondere Kategorien personenbezogener Daten

Zu den besonderen Kategorien personenbezogener Daten zählen insbesondere Gesundheitsdaten, genetische Daten und biometrische Daten, etwa Fingerabdrücke oder Gesichtsscans. Diese gelten zugleich als besondere personenbezogene Daten bzw. besondere personenbezogene Datenbankdaten und unterliegen erhöhten Schutzanforderungen.

Ihre Verarbeitung ist nur erlaubt, wenn eine ausdrückliche gesetzliche Grundlage besteht oder eine freiwillige Einwilligung vorliegt – beispielsweise bei Maßnahmen des betrieblichen Gesundheitsmanagements oder zur Erfüllung arbeitsrechtlicher Pflichten.

Welche Daten fallen unter den Arbeitnehmerschutz?

Geschützt sind alle Informationen, die Rückschlüsse auf eine natürliche Person zulassen – im Gegensatz zu juristischen Personen, die nicht unter die DSGVO fallen. Dazu zählen unter anderem:

• Stammdaten und Kontostände
• Kundendaten bei vertriebsnahen Tätigkeiten
• Digitale Identifikatoren wie Kennung, Kennnummern oder Login-Daten
• Daten mit Bezug zur sozialen Identität oder ethnischen Herkunft
• Aussagen über politische Meinungen, Gewerkschaftszugehörigkeit, Sexualleben oder rassische Zuschreibungen
• Subjektive Werturteile über Leistung oder Verhalten

Bereits im Recruiting greift der Arbeitnehmerdatenschutz. Bewerbungsunterlagen enthalten regelmäßig sensible Angaben, die Rückschlüsse auf die physische Merkmale, Qualifikation oder persönliche Lebensumstände zulassen. Arbeitgeber müssen ihrer Informationspflicht nachkommen und transparent erklären, wie lange Daten gespeichert werden und zu welchem Zweck die Verarbeitung personenbezogener Daten erfolgt.

Wann ist die Erhebung und Verarbeitung von Arbeitnehmerdaten zulässig?

ArbeitgeberInnen dürfen nach § 26 BDSG Arbeitnehmerdaten nur unter bestimmten Voraussetzungen verarbeiten:

• Erforderlichkeit für das Arbeitsverhältnis: Etwa für Gehaltsabrechnungen oder die Führung von Personalakten.
• Einwilligung der ArbeitnehmerInnen: Mitarbeitende können freiwillig und schriftlich zustimmen, etwa für die Veröffentlichung eines Fotos auf der Unternehmenswebsite.
• Kollektivvereinbarungen: Betriebsvereinbarungen oder Tarifverträge können ebenfalls die Grundlage für eine Datenverarbeitung bilden.
• Verdacht auf Straftaten: Daten dürfen verarbeitet werden, wenn dies zur Aufklärung einer Straftat erforderlich ist.

Beispiele für eine rechtskonforme Verarbeitung

Unternehmen können personenbezogene Daten in folgenden Fällen rechtssicher verarbeiten:

• Stammdaten: Erfassung für Gehaltsabrechnungen und zur Kontaktaufnahme.
• Abwesenheiten: Aufzeichnung von Krankheits- oder Urlaubstagen für die Lohnfortzahlung.
• Arbeitszeiten: Erfassung von Arbeitsstunden oder Zielerreichungen zur Vergütung und Dokumentation der Arbeitsleistung.

Ausbildungsnachweise: Dokumentation von Prüfungsbescheinigungen und Ausbildungszeiten.

Arbeitnehmerdatenschutz in Personalakten: Rechte und Pflichten

Personalakten enthalten zahlreiche sensible Daten von Mitarbeitenden und müssen streng vertraulich behandelt werden, um die Privatsphäre zu schützen. Dabei gelten auch hier die grundlegenden Datenschutzprinzipien wie Zweckbindung, Datenminimierung und eine Verarbeitung auf rechtlicher Grundlage.

Zugriffsrechte: Wer darf die Personalakte einsehen?

Der Zugriff auf Personalakten ist stark reglementiert:

• Befugte Personen: Nur Mitarbeitende der Personalabteilung und Vorgesetzte, die direkt für Personalangelegenheiten verantwortlich sind, dürfen Einsicht nehmen – und auch nur, wenn dies für die Personalverwaltung erforderlich ist.
• Rechte der Mitarbeitenden: ArbeitnehmerInnen haben jederzeit das Recht, ihre eigene Personalakte einzusehen. Dies ermöglicht ihnen, die gespeicherten Daten zu prüfen und fehlerhafte oder veraltete Informationen korrigieren zu lassen.

Unbefugte Personen, einschließlich anderer Führungskräfte, dürfen keine Einsicht nehmen, wenn dafür keine rechtliche oder arbeitsbezogene Notwendigkeit besteht.

Schutzmaßnahmen für Personalakten

Ob in Papierform oder digital: Die Sicherheit von Personalakten ist essenziell. Unternehmen müssen technische und organisatorische Maßnahmen nach Art. 32 DSGVO  umsetzen, um unbefugten Zugriff zu verhindern.

Nutzung spezieller Passwörter für besonders sensible Bereiche, die nur berechtigten Personen zugeteilt werden.

• Papierakten:
  • Lagerung in verschlossenen Schränken.
  • Zugang zu den Räumlichkeiten nur für befugte Personen, z. B. durch physische Zugangskontrollen.
• Digitale Akten:
  • Einsatz von Passwortschutz und Datenverschlüsselung.
  • Rollenbasierte Zugriffsrechte für unterschiedliche Aktenabschnitte.

Arbeitnehmerdatenschutz und Gesundheitsdaten im Arbeitsverhältnis

Gesundheitsdaten gehören zu den sensibelsten Kategorien personenbezogener Daten und unterliegen besonders strengen gesetzlichen Vorgaben. Der verantwortungsvolle Umgang mit diesen Daten ist ein zentraler Bestandteil des Arbeitnehmerdatenschutzes, da Verstöße nicht nur rechtliche Konsequenzen haben, sondern auch das Vertrauen der Mitarbeitenden beeinträchtigen können.

Welche Daten fallen unter Gesundheitsdaten?

Zu den Gesundheitsdaten zählen beispielsweise: 

• Krankengeschichte (Anamnese)
• Aktuelle Erkrankungen, Diagnosen und Therapieverläufe
• Chronische Erkrankungen
• Allergien und Unverträglichkeiten
• Impfstatus
• Informationen über Medikamenteneinnahme
• Laborergebnisse, Röntgenbilder, Notfalldaten
• Lebensstilfaktoren wie Ernährung, Alkoholkonsum oder Rauchen
• Informationen zu Arztrechnungen oder Arztterminen (diese ermöglichen Rückschlüsse auf den Gesundheitsstatus)

Rechtliche Grundlagen für die Verarbeitung von Gesundheitsdaten

Laut Art. 9 Abs. 1 DSGVO ist die Verarbeitung von Gesundheitsdaten grundsätzlich untersagt. Es gibt jedoch Ausnahmen, die es ArbeitgeberInnen erlauben, diese Daten im Rahmen des Arbeitnehmerdatenschutzes rechtssicher zu verarbeiten:

• Erfüllung arbeitsrechtlicher Pflichten: Gesundheitsdaten dürfen verarbeitet werden, wenn dies notwendig ist, etwa zur Lohnfortzahlung im Krankheitsfall (Art. 9 Abs. 2 lit. b DSGVO).
• Betriebliches Eingliederungsmanagement (BEM): Nach längeren Krankheitszeiten können Gesundheitsdaten erhoben werden, um die Rückkehr in den Arbeitsprozess zu erleichtern und entsprechende Maßnahmen zu planen.
• Erforderlichkeit nach § 26 BDSG: Wenn Gesundheitsdaten für die Durchführung des Arbeitsverhältnisses notwendig sind, wie bei langfristigen Erkrankungen, dürfen sie verarbeitet werden.

Was dürfen ArbeitgeberInnen über Gesundheitsdatenwissen?

Auch im Rahmen des Arbeitnehmerdatenschutzes gilt: ArbeitgeberInnen dürfen nur äußerst begrenzt Informationen zu Gesundheitsdaten erheben. Entscheidend sind dabei folgende Punkte:

• Nachweis der Arbeitsunfähigkeit: Mitarbeitende müssen eine Krankmeldung vorlegen, wenn sie arbeitsunfähig sind. Diese enthält jedoch keine Angaben zur Art der Erkrankung.
• Information über die Arbeitsunfähigkeit: ArbeitgeberInnen dürfen nicht nach der Diagnose oder den genauen Ursachen der Erkrankung fragen. Solche Informationen dürfen nur dann erhoben werden, wenn sie für das Arbeitsverhältnis erforderlich sind, z. B. bei ansteckenden Krankheiten oder chronischen Erkrankungen, die die Arbeitsleistung beeinflussen.

Praktische Tipps für den Umgang mit Gesundheitsdaten

• Beschränken Sie den Zugriff auf Gesundheitsdaten auf befugte Personen, z. B. die Personalabteilung.
• Speichern Sie Gesundheitsdaten stets verschlüsselt und legen Sie klare Löschfristen fest.
• Schulen Sie Mitarbeitende, die mit sensiblen Daten arbeiten, regelmäßig im Datenschutz.

Mit diesen Maßnahmen stellen Unternehmen sicher, dass sie die strengen Anforderungen des Arbeitnehmerdatenschutzes auch bei Gesundheitsdaten erfüllen. So wird nicht nur rechtliche Sicherheit geschaffen, sondern auch das Vertrauen der Mitarbeitenden gestärkt.

Arbeitnehmerdatenschutz im Bewerbungsprozess

Der Bewerbungsprozess ist der erste Berührungspunkt, bei dem Unternehmen personenbezogene Daten potenzieller Mitarbeitender verarbeiten. Auch diese Daten unterliegen den strengen Vorgaben des Arbeitnehmerdatenschutzes und der DSGVO, weshalb Unternehmen hier besonders sorgsam vorgehen müssen.

Welche Daten fallen unter den Arbeitnehmerdatenschutz im Bewerbungsprozess?

Zu den personenbezogenen Daten, die im Rahmen einer Bewerbung verarbeitet werden, zählen unter anderem:

• Basisinformationen: Name, Adresse, Geburtsdatum und Kontaktdaten
• Qualifikationen: Lebenslauf, Zeugnisse, Zertifikate und sonstige Nachweise
• Berufserfahrung: Angaben zur bisherigen beruflichen Laufbahn und Ausbildung
• Individuelle Bewerbungsunterlagen: Bewerbungsschreiben und Referenzen
• Ergänzende Angaben: Gehaltsvorstellungen und Verfügbarkeit

Sensible Angaben, wie Informationen zu einer Behinderung oder Gesundheitsdaten, die BewerberInnen freiwillig mitteilen, unterliegen einem besonderen Schutz und dürfen nur mit Einwilligung verarbeitet werden.

Aufbewahrung und Löschung von Bewerberdaten

Der Arbeitnehmerdatenschutz schreibt klare Regeln zur Speicherung und Löschung von Bewerberdaten vor:

• Löschung nach Beendigung des Bewerbungsverfahrens: Wenn kein Arbeitsverhältnis zustande kommt, müssen die Daten spätestens sechs Monate nach Abschluss des Bewerbungsverfahrens gelöscht werden. Dies dient der Absicherung möglicher rechtlicher Ansprüche, etwa aufgrund des Allgemeinen Gleichbehandlungsgesetzes (AGG).
• Datenaufbewahrung für künftige Stellenangebote: Möchte ein Unternehmen Bewerberdaten länger aufbewahren, beispielsweise für zukünftige Stellenangebote, ist eine schriftliche Einwilligung der BewerberInnen erforderlich. Diese Einwilligung muss freiwillig und widerruflich sein.

Praktische Tipps für datenschutzkonforme Bewerbungsprozesse

Mit diesen Maßnahmen können Unternehmen die Anforderungen des Arbeitnehmerdatenschutzes einhalten und gleichzeitig das Vertrauen der BewerberInnen stärken. Dies ist ein wichtiger Schritt, um als attraktiver Arbeitgeber wahrgenommen zu werden.

1. Transparenz gewährleisten: Informieren Sie BewerberInnen klar und verständlich darüber, welche Daten erhoben und wie diese verarbeitet werden.
2. Daten minimieren: Fordern Sie nur die Daten an, die für die Bewerbungsentscheidung tatsächlich notwendig sind.
3. Zugriffsrechte einschränken: Stellen Sie sicher, dass nur befugte Personen Zugriff auf die Bewerberdaten haben.
4. Verschlüsselung verwenden: Bewerberdaten sollten bei der Übertragung und Speicherung stets verschlüsselt werden.
5. Fristen einhalten: Implementieren Sie automatische Löschprozesse, um die Einhaltung von Löschfristen sicherzustellen.

Arbeitnehmerdatenschutz bei der Beendigung des Arbeitsverhältnisses

Auch nach der Beendigung eines Arbeitsverhältnisses bleiben ArbeitgeberInnen datenschutzrechtlich in der Pflicht. Der verantwortungsvolle Umgang mit personenbezogenen Daten ist ein zentraler Bestandteil des Arbeitnehmerdatenschutzes, insbesondere wenn es um die Aufbewahrung und Löschung von Daten geht.

Wie lange dürfen Daten nach der Kündigung gespeichert werden?

Selbst nach dem Ausscheiden von Mitarbeitenden müssen bestimmte Daten aus gesetzlichen Gründen weiterhin gespeichert werden. Hier ein Überblick:

Rechtskonforme Datenlöschung

Nach Ablauf der jeweiligen Fristen sind die Daten gemäß den Vorgaben des Arbeitnehmerdatenschutzes zu löschen, es sei denn, es bestehen rechtliche Gründe für eine längere Aufbewahrung, wie etwa laufende Gerichtsverfahren. Ein gut dokumentierter Löschprozess minimiert Risiken und gewährleistet die Einhaltung der Datenschutz-Grundverordnung.

Praktische Tipps für den Arbeitnehmerdatenschutz bei Kündigungen

1. Zugang zu Systemen sperren: E-Mail-Konten und Zugänge zu internen Systemen sollten unmittelbar nach dem Ausscheiden deaktiviert werden, um den Schutz sensibler Unternehmensdaten sicherzustellen.
2. Automatisierte Löschfristen einrichten: Verwenden Sie Tools, um Löschfristen automatisch zu überwachen und einzuhalten.
3. Datentransparenz gewährleisten: Informieren Sie Mitarbeitende bei der Kündigung transparent über die geplante Aufbewahrung und Löschung ihrer Daten.
4. Regelmäßige Prüfungen durchführen: Überprüfen Sie regelmäßig, ob gespeicherte Daten tatsächlich den gesetzlichen Vorgaben entsprechen und fristgerecht gelöscht werden.

Praktische Tipps für einen effektiven Arbeitnehmerdatenschutz

Ein konsequenter Arbeitnehmerdatenschutz ist essenziell, um die sensiblen Daten Ihrer Mitarbeitenden zu schützen und rechtliche Anforderungen zu erfüllen. Mit den folgenden Maßnahmen können Unternehmen sicherstellen, dass sie datenschutzkonform handeln:

1. Zugriffsrechte einschränken

• Stellen Sie sicher, dass nur autorisierte Personen, wie Mitarbeitende der Personalabteilung, Zugriff auf sensible Daten haben.
• Verwenden Sie Zugangskontrollen wie Passwörter, rollenbasierte Berechtigungen und Zwei-Faktor-Authentifizierung.

2. Daten verschlüsseln

• Speichern Sie sensible Daten wie Personalakten oder Gesundheitsdaten stets verschlüsselt, um unbefugten Zugriff zu verhindern.
• Verwenden Sie bei der Datenübertragung sichere Protokolle wie HTTPS.

3. Datensparsamkeit anwenden

• Erfassen und speichern Sie ausschließlich die Daten, die wirklich notwendig sind.
• Vermeiden Sie Fragen zu sensiblen Details wie Religion, Familienstand oder Gesundheitszustand, sofern diese nicht unbedingt erforderlich sind.

4. Löschfristen festlegen und einhalten

• Entwickeln Sie klare Richtlinien, wann Daten gelöscht werden müssen.
• Automatisieren Sie Löschprozesse, um sicherzustellen, dass Daten, für die keine gesetzliche Aufbewahrungspflicht mehr besteht, rechtzeitig gelöscht werden.

5. Regelmäßige Schulungen durchführen

• Schulen Sie Ihre Mitarbeitenden regelmäßig im Umgang mit sensiblen Daten und den Anforderungen der DSGVO.
• Besonders die Personalabteilung sollte für den Datenschutz sensibilisiert werden, da sie häufig mit vertraulichen Informationen arbeitet.

6. Verträge mit DienstleisterInnen prüfen

• Externe DienstleisterInnen, wie IT-AnbieterInnen oder Gehaltsabrechnungsdienste, müssen vertraglich zur Einhaltung der DSGVO verpflichtet werden.
• Stellen Sie sicher, dass ein Auftragsverarbeitungsvertrag vorliegt, der die Verarbeitung von Mitarbeitendendaten regelt.

Fazit

Der Arbeitnehmerdatenschutz ist nicht nur eine gesetzliche Notwendigkeit, sondern auch ein zentraler Bestandteil einer verantwortungsvollen und vertrauensvollen Unternehmenskultur. Vom Bewerbungsprozess über die Verarbeitung sensibler Gesundheits- und Personalakten bis hin zur Beendigung des Arbeitsverhältnisses – der korrekte Umgang mit personenbezogenen Daten erfordert klare Regeln, technische Schutzmaßnahmen und eine durchdachte Strategie.

Die Einhaltung der Vorgaben der DSGVO und des BDSG schützt Unternehmen vor rechtlichen Konsequenzen und stärkt gleichzeitig das Vertrauen der Mitarbeitenden in die Organisation. Praktische Maßnahmen wie die Einschränkung von Zugriffsrechten, die konsequente Verschlüsselung von Daten und die regelmäßige Schulung von Mitarbeitenden tragen maßgeblich dazu bei, Datenschutzverstöße zu vermeiden.

Indem Unternehmen den Arbeitnehmerdatenschutz konsequent umsetzen, schaffen sie nicht nur rechtliche Sicherheit, sondern positionieren sich auch als attraktive Arbeitgeber, die Verantwortung übernehmen. Nutzen Sie die in diesem Artikel vorgestellten Tipps und Strategien, um den Datenschutz in Ihrem Unternehmen nachhaltig zu stärken und das Fundament für eine erfolgreiche Zusammenarbeit mit Ihren Mitarbeitenden zu legen.

Inhaltsangabe

• Rechtliche Grundlagen für den Arbeitnehmerdatenschutz
• Besondere Kategorien personenbezogener Daten
• Arbeitnehmerdatenschutz in Personalakten: Rechte und Pflichten
• Arbeitnehmerdatenschutz und Gesundheitsdaten im Arbeitsverhältnis
• Arbeitnehmerdatenschutz im Bewerbungsprozess
• Arbeitnehmerdatenschutz bei der Beendigung des Arbeitsverhältnisses
• Praktische Tipps für einen effektiven Arbeitnehmerdatenschutz
• Fazit

Der lawpilots Newsletter

Erhalten Sie Produktupdates, exklusive Rabatte, kostenlose Whitepapers, spannende Blogartikel und Event-Infos zuerst!

Jetzt abonnieren