Inhaltsverzeichnis

Inhaltsverzeichnis   II

Abk  ürzungsverzeichnis  IV

A.  Einleitung  1

B.  Das Bundesdatenschutzgesetz  4

I.  Anwendungsbereich des BDSG  4

II.  Personenbezogene Daten.  6

1.  Besondere Arten von personenbezogenen Daten  6

2.  Anonymisierte und pseudonymisierte Daten  7

3.  Erheben, Verarbeiten und Nutzen  7

III.  Einwilligung  8

1.  Formale Erfordernisse einer wirksamen Einwilligung  9

2.  Inhaltliche Erfordernisse einer wirksamen Einwilligung  10

IV.  Der Gesetzesvorbehalt des § 32 BDSG  12

1.  Datenerhebung bei Bewerbern  13

2.  Datenerhebung bei Arbeitnehmern  14

3.  Der Begriff der Erforderlichkeit  15

C.  Europäische Gesetzgebung  16

D.  Datenschutz in Unternehmen  17

I.  Kontrollrechte des Arbeitgebers  17

II.  Videoüberwachung.  18

1.  Öffentlich zugängliche Räume  19

2.  Nicht öffentlich zugängliche Räume  22

3.  Heimliche Videoüberwachung  22

III.  Erfassung von Bewegungsdaten.  23

1.  Handy- und GPS-Ortung  23

2.  RFID-Anwendungen.  26

IV.  Überwachung der Telekommunikation  28

1.  Das Fernmeldegeheimnis im Grundgesetz  28

2.  Das Fernmeldegeheimnis im Telekommunikationsgesetz  29

3.  Das Telemediengesetz.  31

V.  Telefonüberwachung  32

1.  Telefondatenerfassung.  32

2.  Mithören und Aufzeichnen dienstlicher Telefonate.  33

II

VI.  Überwachung der dienstlichen E-Mail- und Internetnutzung.  35

E.  Datenschutz und Mitbestimmung.  37

I.  Rechte des Betriebsrats  37

II.  Personalfragebögen  38

III.  Leistungs- und Verhaltenskontrollen  39

F.  Der betriebliche Datenschutzbeauftragte und die  

Aufsichtsbeh  örde.  40

I.  Pflicht zur Bestellung.  40

II.  Eignung der Person.  42

III.  Aufgaben.  43

IV.  Aufsichtsbehörde  44

G.  Schlussbetrachtung  44

Literaturverzeichnis   

III

Abkürzungsverzeichnis

Abs. Absatz Art. Artikel Aufl. Auflage BAG Bundesarbeitsgericht

BDatG Beschäftigtendatenschutzgesetz

BDSG Bundesdatenschutzgesetz

BGH Bundesgerichtshof

bspw. beispielsweise

BetrVG Betriebsverfassungsgesetz

BVerfG Bundesverfassungsgericht

BVerwG Bundesverwaltungsgericht

Gem. Gemäß

GG Grundgesetz

ggf. Gegebenenfalls

o. Ä. oder Ähnliche(s)

Rn. Randnummer

S. Satz

s. o. siehe oben

StGB Strafgesetzbuch

s. u. siehe unten

TKG Telekommunikationsgesetz

TMG Telemediengesetz

u. a. unter anderem

u.U. unter Umständen

vgl. vergleiche

z.B. zum Beispiel

IV

A. Einleitung

Das Datenschutzrecht dient dem Schutz von Personen in Bezug auf ihre Daten. Charakteristische Eigenschaften einer Person, wie

Religionszugehörigkeit, Gesundheitszustand oder Einkommen sollen grundsätzlich der Selbstbestimmung und Dispositionsfreiheit der betroffenen Person unterliegen. 1

Mit der Volkszählungsentscheidung ² vom 15.12.1983 wurde das Recht auf informationelle Selbstbestimmung etabliert, wonach jeder Mensch grundsätzlich selbst entscheiden kann, wann er wem welche seiner persönlichen Daten zur Verfügung stellt. In dieses informationelle Selbstbestimmungsrecht, welches seine Wurzeln im allgemeinen Persönlichkeitsrecht nach Art. 1 Abs. 1 und Art. 2 Abs. 1 GG hat, ³ darf nur aufgrund eines überwiegenden Allgemeininteresses eingegriffen werden. ⁴ Aufgrund der Vervielfachung und Vereinfachung von Datenverarbeitung, Datenerfassung, Datenhaltung, Datenweitergabe und Datenanalyse in der Gegenwart steigt die Relevanz des Datenschutzes stetig. Durch die rasante Entwicklung und den Einsatz neuer Kommunikations-und

Informationstechnologien wie Internet, E-Mail, Videoüberwachung, Handy-und GPS-Ortung sind immer neue Möglichkeiten zur Datenerfassung gegeben. Damit gewinnt auch das Datenschutzrecht an Bedeutung. Aufgrund des besonderen Schutzbedürfnisses des Arbeitnehmers, das sich aus der Spezifik des Arbeitnehmerstatus und der Weisungsgebundenheit des Arbeitsverhältnisses sowie der strukturellen und wirtschaftlichen Überlegenheit und Dominanz des Arbeitgebers erschließt, ergibt sich eine besondere Bedeutung des Datenschutzes im Arbeitsverhältnis. Das Selbstbestimmungsrecht des Arbeitnehmers über die Verwendung seiner personenbezogenen Daten wird hierbei durch das Weisungsrecht des Arbeitgebers beeinträchtigt. Hier versucht der Arbeitnehmerdatenschutz einen Ausgleich zwischen den unterschiedlichen Interessen von Arbeitgeber und Arbeitnehmer zu finden. Unterschiedliche Kontrollbestimmungen sollen klären, welche Eingriffe des

¹ Scheja/Haag, Einführung in das Datenschutzrecht, S. 1.

² BVerfG 65, S. 1.

³ Scheja/Haag, Einführung in das Datenschutzrecht, S. 7.

⁴ Däubler, Gläserne Belegschaften? Das Handbuch zum Arbeitnehmerdatenschutz, Rn. 702.

1

Arbeitgebers in das informationelle Selbstbestimmungsrecht und das Persönlichkeitsrecht des Arbeitnehmers zulässig sind. In jüngster Zeit hat der Arbeitnehmerdatenschutz mediale Aufmerksamkeit durch die sog. Datenschutzskandale erhalten. Im September 2008 legte die Aufsichtsbehörde für den Datenschutz einen Bericht vor, der aufdeckte dass im Auftrag der Firma Lidl Detekteien umfassende Daten über Beschäftigte gesammelt hatte. Diese erstreckten sich nicht nur auf die Arbeitsleistung der Mitarbeiter, auch über den Gesundheitszustand, mögliche

Schwangerschaften, die finanzielle Situation der Mitarbeiter und ihrer Familien und sogar die vermutete Stimmungslage und „Wesensart“ der Mitarbeiter wurden Daten erhoben und gespeichert. ⁵ Obwohl in Schrifttum und Lehre schon lange die Forderung nach einem eigenständigen Arbeitnehmerdatenschutzgesetz existiert ⁶ , richtet sich der Arbeitnehmerdatenschutz immer noch vorwiegend nach dem

Bundesdatenschutzgesetz (BDSG) und seit dem 1.9.2009 insbesondere nach dem neu eingeführten § 32 BDSG der den Datenschutz im Rahmen von Beschäftigungsverhältnissen regelt.

Diese Arbeit soll die neue Rechtslage im Arbeitnehmerdatenschutz aufzeigen und erörtern. Beginnend mit dem Bundesdatenschutzgesetz werden zunächst die wichtigsten Regelungen des Arbeitnehmerdatenschutzes und insbesondere auch die Neuregelung des § 32 BDSG erläutert. Anschließend erfolgt eine kurze Einordnung des BDSG in den europarechtlichen Rahmen, hinsichtlich des Anwendungsbereichs des BDSG bei grenzüberschreitenden Sachverhalten. Besonderer Bedeutung, weil der Praxis am Nächsten, kommt dem folgenden Kapitel „Datenschutz in Unternehmen“ zu. Die datenschutzrechtliche Zulässigkeit der Überwachung von Telefon, Internet und E-Mail sowie neuer Techniken zur Bewegungsdatenerfassung wird erläutert. Schließlich werden die Möglichkeiten des Betriebsrats aufgezeigt, auf die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten der Beschäftigten durch den Arbeitgeber Einfluss zu nehmen. Zu nennen ist hier vor allem das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG, welches z.B.

⁵ Däubler, Gläserne Belegschaften? Das Handbuch zum Arbeitnehmerdatenschutz, Rn. 2b. ⁶ z.B. Ostmann/Kappel AuA, 2008, S.656 (656).

2

bei der Installation einer Videokamera im Betrieb greift, die Arbeitsabläufe überwachen soll. Im Anschluss wird die Rolle des betrieblichen Datenschutzbeauftragten erörtert, hinsichtlich der Frage wann ein solcher bestellt werden muss, wer sich für das Amt eignet und welche Aufgaben er inne hat. In diesem Zusammenhang wird auch die Rolle der Aufsichtsbehörde erklärt. Abschließend erfolgt eine Schlussbetrachtung, in der Stellung genommen wird zum Arbeitnehmerdatenschutz in Deutschland, den Defiziten in der derzeitigen Rechtslage, der Notwendigkeit eines Arbeitnehmerdatenschutzgesetzes und zu zwei aktuellen Diskussionsentwürfen für ein solches.

3

B. Das Bundesdatenschutzgesetz

I. Anwendungsbereich des BDSG Neben den jeweiligen Spezialgesetzen richtet sich der

Arbeitnehmerdatenschutz vor allem nach den Vorgaben des BDSG. Dieses bestimmt, dass die Erhebung, Speicherung und Nutzung personenbezogener Daten so ausgeübt werden müssen, dass der Einzelne nicht in seinem Persönlichkeitsrecht beeinträchtigt wird. ⁷ Das BDSG kommt nur zum Tragen, wenn es keine speziellere Datenschutzregelung gibt. Gem. § 1 Abs. S. 1 BDSG tritt das BDSG hinter anderen Rechtsvorschriften des Bundes zurück, soweit deren Anwendungsbereich reicht. Als Beispiel sind hier die §§ 88 ff. TKG, das Fernmeldegeheimnis, zu nennen. 8

Aber auch wenn es keine speziellere Regelung gibt, findet das BDSG nicht in jedem Fall Anwendung. ⁹ So sind im nicht-öffentlichen Bereich gem. § 1 Abs. 2 Nr. 3 BDSG die Erhebung, Speicherung und Verwendung von Daten die ausschließlich für persönliche oder familiäre Tätigkeiten erfolgt außerhalb des Anwendungsbereichs des BDSG. ¹⁰ Erst wenn auch berufliche Zwecke erfüllt werden, greift das Gesetz. Außerdem muss, soweit keine EDV verwendet wird (vgl. § 27 Abs. 1 Satz 1 BDSG), eine nicht automatisierte Datei gem. § 3 Abs. 2 Satz 2 BDSG vorliegen. Also eine Sammlung personenbezogener Daten die gleichartig aufgebaut ist und nach bestimmten Merkmalen zugänglich ist und ausgewertet werden kann. Die Möglichkeit zur manuellen Auswertung reicht aus. Andernfalls ist der Anwendungsbereich des BDSG nicht eröffnet. 11

Eine Ausnahme von dieser Regelung bildet hierbei der neue § 32 BDSG, der die Datenerhebung pp. im Beschäftigungsverhältnis regelt. Gem. § 32 Abs. 2 BDSG greift das Gesetz auch, wenn personenbezogene Daten erhoben,

⁷ Ostmann/Kappel AuA, 2008, S.656 (656). ⁸ Däubler, Gläserne Belegschaften? Das Handbuch zum Arbeitnehmerdatenschutz, Rn. 48.

⁹ Däubler, Gläserne Belegschaften? Das Handbuch zum Arbeitnehmerdatenschutz, Rn. 56.

¹⁰ Däubler, Gläserne Belegschaften? Das Handbuch zum Arbeitnehmerdatenschutz, Rn. 57. ¹¹ Däubler, Gläserne Belegschaften? Das Handbuch zum Arbeitnehmerdatenschutz, Rn. 58.

4

verarbeitet oder genutzt werden, ohne dass eine Datei vorliegt. ¹² Grundsätzlich gilt zudem gem. § 4 Abs. 2 Satz 1 BDSG, dass Daten direkt beim Betroffenen zu erheben sind (Gebot der Direkterhebung), sofern keine Ausnahme gem. § 4 Abs. 2 S. 2 BDSG vorliegt, z.B. wenn eine Rechtsvorschrift eine anderweitige Erhebung vorsieht oder zwingend voraussetzt (§ 4 Abs. 2 S. 2 Nr. 1 BDSG).

Für den räumlichen Anwendungsbereich des BDSG im europäischen Kontext gilt Art. 4 der EG-Datenschutzrichtlinie 95/46, auf den unten ¹³ näher eingegangen wird.

Für außerhalb der Europäischen Union oder eines der Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum gelegene

Unternehmen gilt gem. § 1 Abs. 5 S. 2 BDSG das Territorialprinzip. Danach findet das BDSG Anwendung, wenn außerhalb des Europäischen Wirtschaftsraums gelegene Stellen im Inland personenbezogene Daten erheben, verarbeiten oder nutzen. Damit soll verhindert werden, dass verantwortliche Stellen ihren Sitz oder ihre Niederlassungen in „Datenoasen“ verlagern, um damit die Anwendbarkeit innergemeinschaftlicher

Datenschutzgesetze zu umgehen, und lediglich automatisierte „Stützpunkte“ innerhalb der EU unterhalten die von einem Drittland aus gesteuert werden. Gem. § 1 Abs. 5 S. 3 BDSG muss in diesem Fall ein im Inland ansässiger Vertreter bestimmt werden, an den sich die zuständige Aufsichtsbehörde unmittelbar wenden kann. Sofern Datenträger mit personenbezogenen Daten lediglich zum Zwecke des Transits durch das Inland eingesetzt werden, ist das BDSG gem. § 1 Abs. 5 S. 4 BDSG nicht anwendbar. Von einem Transit ist die Rede, wenn personenbezogene Daten durch das Inland geleitet werden, ohne dass sie zur Kenntnis genommen werden. Im Internet kann ein solcher Transit vorliegen, sofern die Daten auf ihrem Weg vom Sender zum Empfänger auf inländischen Servern lediglich zwischengespeichert und nach erfolgter Weiterleitung unverzüglich gelöscht werden. 14

¹² Däubler, Gläserne Belegschaften? Das Handbuch zum Arbeitnehmerdatenschutz, Rn. 58.

¹³ Siehe Kapitel C.

¹⁴ Scheja/Haag, Einführung in das Datenschutzrecht, S. 32.

5

II. Personenbezogene Daten

Personenbezogene Daten sind gem. § 3 BDSG „Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener)“. Geschützt werden also Informationen, die sich auf eine bestimmte oder bestimmbare, einzelne lebende natürliche Person beziehen oder geeignet sind, einen Bezug zu ihr herzustellen (z.B. Name, Ausweisnummer, Versicherungsnummer, Telefonnummer, Fotografie, Fingerabdruck). 15

Auch Daten die Eigenschaften wie den Familienstand, den Monatsverdienst, evtl. Krankheiten, die Steuerschuld oder die Vorlieben einer natürlichen Person offenbaren können fallen unter diesen Begriff. Der Scorewert, den die SCHUFA zur Einschätzung der Kreditwürdigkeit eines Betroffenen vergibt, ist gleichfalls ein personenbezogenes Datum. 16

Für die Bestimmbarkeit kommt es auf die Kenntnisse, Mittel und Möglichkeiten der speichernden Stelle an. Sie muss den Bezug mithilfe der ihr normalerweise zustehenden Hilfsmittel und ohne unverhältnismäßigen Aufwand herstellen können. 17

Die besondere Schutzwürdigkeit personenbezogener Daten rührt daher, dass sie die Entfaltungsfreiheit bzw. das informationelle Selbstbestimmungsrecht der betroffenen Person beeinträchtigen könnten. Die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten muss daher gesetzlich zulässig sein oder die betroffene Person muss in die Erhebung pp. eingewilligt haben. 18

1. Besondere Arten von personenbezogenen Daten

Eine besondere Art von personenbezogene Daten bilden die sog. sensitiven Daten. Gem. § 3 Abs. 9 BDSG handelt es sich dabei um Angaben über Ge-sundheit, politische Überzeugung, ethnische Herkunft, religiöse oder philosophische Überzeugung oder das Sexualleben von Betroffenen. Die Erhebung,

¹⁵ Scheja/Haag, Einführung in das Datenschutzrecht, S. 24

¹⁶ Wohlgemuth/Gerloff, Datenschutz, S. 28. ¹⁷ Gola/Wronka, Handbuch zum Arbeitnehmerdatenschutz. Rechtsfragen und Handlungshilfen unter Berücksichtigung der BDSG-Novellen, Rn. 179.

¹⁸ Scheja/Haag, Einführung in das Datenschutzrecht, S. 24

6

Verarbeitung oder Nutzung solcher besonderer personenbezogener Daten ist nur unter erhöhten Anforderungen gestattet. 19

2. Anonymisierte und pseudonymisierte Daten

Anonymisierte Daten gem. § 3 Abs. 6 BDSG sind uneingeschränkt verwendbar, da ihnen der Personenbezug fehlt. Der Personenbezug darf nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft wieder hergestellt werden können. Anonymisierte Daten können so für statistische oder wissenschaftliche Zwecke genutzt werden. ²⁰ Bei pseudonymisierten Daten sind die Identifikationsmerkmale durch Kennzeichen ersetzt, so dass eine Bestimmung wesentlich erschwert ist (§ 3 Abs. 6a BDSG). Im Unterschied zu anonymisierten Daten ist der Personenbezug also nicht dauerhaft ausgeschlossen.

3. Erheben, Verarbeiten und Nutzen

Für die Anwendbarkeit des BDSG müssen personenbezogene Daten erhoben, verarbeitet oder genutzt werden. Da diese drei Begriffe im BDSG und in dieser Arbeit häufig verwendet werden, werden sie im folgenden kurz definiert. Als Erheben bezeichnet man das Beschaffen von Daten über den Betroffenen (§ 3 Abs. 3 BDSG). Das Erheben ist als Vorphase Voraussetzung für die anschließende Verarbeitung der Daten. Die Informationen müssen zielgerichtet beschafft werden, dabei ist es gleichgültig ob die Informationen mündlich oder schriftlich bzw. durch Befragung des Betroffenen oder Dritter beschafft werden. 21

Als Verarbeiten bezeichnet man das Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener Daten (§ 3 Abs. 4 S. 1 BDSG). Beim Speichern werden die personenbezogenen Daten auf einem Datenträger erfasst, aufgenommen oder aufbewahrt zum Zwecke ihrer weiteren Verarbeitung und Nutzung (§3 Abs. 4 S. 2 Nr. 1 BDSG). Verändern ist das inhaltliche Umgestalten der Daten. Als Übermitteln bezeichnet man gem. § 3

¹⁹ Scheja/Haag, Einführung in das Datenschutzrecht, S. 24

²⁰ Scheja/Haag, Einführung in das Datenschutzrecht, S. 25

²¹ Scheja/Haag, Einführung in das Datenschutzrecht, S. 26.

7