DIE VERPASSTE CHANCE

Transkript

1 DIE VERPASSTE CHANCE Beschäftigtendatenschutz im neuen BDSG nicht klar geregelt Welche dringenden Themen wieder ungelöst bleiben Vortrag auf den BvD Verbandstage 2018 Prof. Dr. Peter Wedde Berlin, 25. April 2018 Urheberrechts Hinweis Diese Kopie der Vortragsfolien von Prof. Dr. Peter Wedde ist urheberrechtlich geschützt. Sie ist ausschließlich für die Nutzung durch Teilnehmerinnen und Teilnehmer der BvD Verbandstage 2018 in Berlin bestimmt. Die Weitergabe an Dritte, die Veröffentlichung oder die Verwendung der Unterlagen im Rahmen von Präsentationen und Vorträgen ist nur mit schriftlicher Genehmigung des Verfassers zulässig. Danke für Ihr Verständnis! Kontakt: uas.de Berlin BvD BeschDSG Wedde 2018 Seite 1

2 Beschäftigtendatenschutz die verpasste Chance I. Die Praxis II. Der neue rechtliche Rahmen III. Themensammlung Bekannte Themen gelöste und ungelöste IV. Regelungsbedarf und Regelungsnotwendigkeiten V. Fazit Berlin BvD BeschDSG Wedde 2018 Seite 3 I. Die Praxis Der rechtssichere Umgang mit Beschäftigtendaten ist nicht immer einfach. Die folgenden Beispiele sollen verdeutlichen, welche Probleme es aktuell gibt Berlin BvD BeschDSG Wedde 2018 Seite Berlin BvD BeschDSG Wedde 2018 Seite 2

3 Beschäftigtendatenschutz die verpasste Chance I. Die Praxis II. Der neue rechtliche Rahmen III. Themensammlung Bekannte Themen gelöste und ungelöste IV. Regelungsbedarf und Regelungsnotwendigkeiten V. Fazit Wedde 2018 Seite 5 Andere machen es billiger Ein großer IT Konzern mit angeschlossenen Einzelhandelsgeschäften setzt in seinen Kameras ein, um Diebe abzuschrecken bzw. Diebstähle erkennen zu können. Entsprechende Kameras befinden sich auch in den Sozialräumen. Die Bilder der Kameras laufen zentral in einer Zentrale in Ost Europa zusammen. Was genau ausgewertet oder gespeichert wird, ist nicht bekannt. Nach Aussage des Konzerns ist dies die billigste Variante Berlin BvD BeschDSG Wedde 2018 Seite Berlin BvD BeschDSG Wedde 2018 Seite 3

4 Löschen geht nicht In einem Unternehmen wird ein internes soziales Netzwerk auf Basis einer entsprechenden Standardsoftware eingeführt. Die Nutzung dieser Software ist verpflichtend. In einer Betriebsvereinbarung werden individuelle Löschungsrechte festgeschrieben sowie ein Verfahren, nach dem die Daten ausgeschiedener Beschäftigter pseudonymisiert werden können, um Inhalte im Rahmen einer Wissensdatenbank zu sichern. Eine neue SaaS Version der Software enthält keine Löschungs und Pseudonymisierungsmöglichkeiten mehr Berlin BvD BeschDSG Wedde 2018 Seite 7 Die Verarbeitung ist alternativlos In einem Konzernunternehmen erfolgt in einem SAP System die Verarbeitung von Daten zur Gesundheit und zur Gewerkschaftszugehörigkeit. Begründung: Die Gesundheitsdaten sind erforderlich, um belastende Arbeitsbedingungen zu erkennen und abzuschaffen. Die Gewerkschaftsdaten sind notwendig, um bestimmte tarifliche Leistungen auszuzahlen. Durch eine Gesamtbetriebsvereinbarung ist die Verarbeitung dieser Daten allerdings ausdrücklich ausgeschlossen Berlin BvD BeschDSG Wedde 2018 Seite Berlin BvD BeschDSG Wedde 2018 Seite 4

5 Das MiLoG macht lückenlose Kontrollen von Beschäftigen notwendig Im Internet werden sog. Personal Tracker angeboten. Die Geräte sind nicht größer als ein Streichholz, beinhalten aber ein Ortungssystem und eine GSM Sendeanlage. Es wird damit geworben, dass sie auch verborgen angebracht werden können. Mit den Personal Trackern ist eine permanente und minutengenaue Ortung von Menschen möglich. Die Erforderlichkeit der Geräte wird wie folgt begründet: Insbesondere das neue Mindestlohngesetz (MiLoG), welches am in Kraft trat, macht es in vielen Branchen notwendig, die Arbeitszeiten der Mitarbeiter zu überwachen und minutengenau zu dokumentieren, damit später bewiesen werden kann, dass auch tatsächlich der Mindestlohn i. H. v. 8,50 Euro gezahlt wurde Berlin BvD BeschDSG Wedde 2018 Seite 9 Gehaltsgespräch einmal anders Im jährlichen Gehaltsgespräch wird ein Mitarbeiter mit der Behauptung konfrontiert, dass seine digitale Reputation zu niedrig sei und dass er deshalb keine Gehaltserhöhung bekommen kann. Diese Reputation wird aus den digitalen Kontakten errechnet. Eine Betriebsvereinbarung zu diesem Thema gibt es nicht Berlin BvD BeschDSG Wedde 2018 / Seite Berlin BvD BeschDSG Wedde 2018 Seite 5

6 Mining the social graph Bestandteil der eingeführten Office 365 Version ist der office graph. Der Arbeitgeber teilt dem KBR hierzu mit, dass dieser in Verbindung mit der Software Delve dazu dient, den Beschäftigten mehr Komfort bei der Suche nach Dokumenten zu bieten. Wer diesen Komfort nicht wolle, könne Delve ganz ausschalten. Auf Nachfrage des KBR teilt er weiter mit, dass lediglich Metadaten an Microsoft zurück fließen würden, aber keine personenbezogene Informationen Berlin BvD BeschDSG Wedde 2017 Seite 11 Arbeit ist international Innerhalb eines Konzerns wird die Personaldatenverarbeitung in einem konzernunternehmen zentralisiert. Hierüber informiert die Geschäftsführung eines Konzernunternehmens den Betriebsrat verbunden mit dem Betriebsrat, dass dies eine unumkehrbare Entscheidung sei. Weiterhin wird mitgeteilt, dass die notwendigen datenschutzrechtlichen Voraussetzungen in Abspreche mit dem Konzerndatenschutzbeauftragten und der zuständigen Aufsichtsbehörde geschaffen worden sind Berlin BvD BeschDSG Wedde 2018 Seite Berlin BvD BeschDSG Wedde 2018 Seite 6

7 Mit Einwilligung geht das Arbeitgeber fordern Beschäftigte unter Hinweis auf das neue Datenschutzrecht auf, individuelle Erklärungen wie diese zu unterschreiben: Hiermit willige ich gemäß 26 Abs. 2 BDSG n.f. in die Verarbeitung meiner Daten für Zwecke der Durchführung des Arbeitsverhältnisses ein Berlin BvD BeschDSG Wedde 2018 Seite 13 Kollektivvereinbarungen regeln den Beschäftigtendatenschutz Unter Hinweis auf notwendige Anpassungen an die DSGVO werden Betriebsräten geänderte Betriebsvereinbarungen mit Textbausteinen wie diesem vorgelegt: Diese Vereinbarung ist im Unternehmen Rechtsgrundlage für die Verarbeitung der Beschäftigtendaten nach Art. 88 i.v.m. 26 BDSG n.f. sowie für die Verarbeitungen zur Wahrung berechtigter Interessen des Unternehmens nach Art. 6 Abs. 1 Buchstabe f) DSGVO Ein weiterer beliebter Textbaustein lautet: Die personenbezogenen Daten der Beschäftigten dürfen für die jeweils vorgesehenen Zwecke verarbeitet werden. Weitergehende Verarbeitungszwecke sind unter Einhaltung des Art. 6 DSGVO zulässig Berlin BvD BeschDSG Wedde 2018 Seite 7

8 II. Der neue rechtliche Rahmen Art. 88 DSGVO enthält zum Beschäftigtendatenschutz nur allgemeine Vorgaben. Die eigentliche Regelungskompetenz weist Art. 88 Abs. 1 DSGVO den Mitgliedsstaaten zu. Diese können spezifischere Vorschriften zur Gewähr leistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext durch Rechtsvorschriften oder durch Kollektivvereinbarungen vorsehen Berlin BvD BeschDSG Wedde 2018 Seite BDSG n.f. viel alter Wein in wenig neuen Schläuchen Die Umsetzung des durch Art. 88 Abs. 1 DSGVO geschaffenen Regelungs spielraums in das deutsche Recht ist minimalistisch und beschränkt sich auf eine Vorschrift: 26 BDSG n.f Berlin BvD BeschDSG Wedde 2018 Seite 8

9 26 BDSG n.f. Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses Abs. 1 entspricht inhaltlich der Regelung in 32 Abs. 1 BDSG a.f. Neu ist die ausdrückliche Einbeziehung der Verarbeitungsbefugnisse von Interessenvertretungen. Abs. 2 enthält Vorgaben zur Einwilligung von Beschäftigten, die formal teilweise über die in Art. 7 DSGVO hinausgehen (etwa die Schriftform), inhaltlich Anhaltspunkte für das Vorliegen der Freiwilligkeit geben (etwa recht liche oder wirtschaftliche Vorteile für Beschäftigte) sowie eine Hinweispflicht des Arbeitgebers auf das bestehende Widerrufsrecht fest schreiben. Abs. 3 regelt die ausnahmsweise Zulässigkeit der Verarbeitung besonderer Kategorien personenbezogener Daten. 26 BDSG n.f. Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses Abs. 4 präzisiert die in Art. 88 Abs. 1 DSGVO enthaltene Legitimation der Verarbeitung von Beschäftigtendaten durch Kollektivvereinbarungen. Abs. 5 verpflichtet Arbeitgeber als Verantwortliche zur Sicherstellung der in Art. 5 Abs. 1 DSGVO enthaltenen Grundsätze. Abs. 6 stellt klar, dass die Rechte der Interessenvertretungen unberührt bleiben. Abs. 7 erstreckt den Anwendungsbereich der Vorschrift auf die Verarbeitung außerhalb von IT Systemen. Abs. 8 enthält eine Definition des Beschäftigten Berlin BvD BeschDSG Wedde 2018 Seite Berlin BvD BeschDSG Wedde 2018 Seite 9

10 III. Themensammlung 1. Bekannte Themen gelöste und ungelöste Zum Thema Beschäftigtendatenschutz gibt es zahlreiche bekannte Themen. Einzelne Fragestellungen sind durch Rechtsprechung (teilweise) beantwortet wie etwa der Umfang des Fragerechts von Arbeitgebern an Bewerber die Grenzen von Eingriffen in Persönlichkeitsrechte von Beschäftigten (etwa in der Spind Entscheidung des BAG vom ) der Ausschluss von Totalkontrollen durch Technik und/oder durch Videokameras Viele Fragen sind aber aus juristischer Sicht nach wie vor nicht abschließend geklärt Berlin BvD BeschDSG Wedde 2018 Seite 19 Ungelöste Fragen und das schon lange Machen wir eine kleine Zeitreise und werfen wir einen Blick auf die offenen Fragen, die zum Thema Beschäftigtendatenschutz in den Jahren 2011 und 2013 von Gesetzgebern diskutiert wurden Berlin BvD BeschDSG Wedde 2018 Seite Berlin BvD BeschDSG Wedde 2018 Seite 10

11 Berlin BvD BeschDSG Wedde 2018 Seite 11 Themen auf europäischer Ebene

12 Regelungsvorschläge des Ausschusses (Beispiele) Art. 82 Abs. 1a lit. a): Im Regelfall keine Verarbeitung ohne Kenntnis der Beschäftigten Art. 82 Abs. 1a lit. b): Keine Überwachung persönlicher Betriebsbereiche Art. 82 Abs. 1a lit. c): Erläuterungspflicht bezüglich ärztlicher Untersuchungen Art. 82 Abs. 1a lit. d): Regelung der Privatnutzung von E Mail und Internet durch Kollektivvereinbarungen Art. 82 Abs. 1a lit. e): Keine Schaffung Schwarzer Listen Art. 82 Abs. 1c: Besonderer Kündigungsschutz für Datenschutzbeauftragte Art. 82 Abs. 1e: Konzernverarbeitungsprivileg Berlin BvD BeschDSG Wedde 2018 Seite 23 Aktuell: Offene und / oder regelungsbedürfte Themen Der Gesetzgeber behält sich vor, Fragen des Datenschutzes im Beschäftigungsverhältnis innerhalb dieser Vorschrift oder im Rahmen eines gesonderten Gesetzes konkretisierend bestimmte Grundsätze, die im Rahmen der Rechtsprechung zum geltenden Recht bereits angelegt sind, zu regeln. Dies gilt insbesondere für das Fragerecht bei der Begründung eines Beschäftigungsverhältnisses, den expliziten Ausschluss von heimlichen Kontrollen im Beschäftigungsverhältnis, die Begrenzung der Lokalisierung von Beschäftigten sowie den Ausschluss von umfassenden Bewegungsprofilen, den Ausschluss von Dauerüberwachungen und die Verwendung biometrischer Daten zu Authentifizierungsund Autorisierungszwecken. (Bt. Drs. 18/11325, S. 97) Berlin BvD BeschDSG Wedde 2018 Seite 12

13 IV. Regelungsbedarf und Regelungsnotwendigkeiten Fast alle alten datenschutzrechtlichen Themen haben im Bereich des Beschäftigtendatenschutzes weiterhin Gültigkeit. Hinzu kommen neue, die sich aus den Vorgaben der DSGVO ableiten und die nicht in 26 BDSG n.f. stehen Berlin BvD BeschDSG Wedde 2018 Seite 25 Was nicht in 26 BDSG n.f. steht Kollektivvereinbarungen zum Beschäftigtendatenschutz müssen die in Art. 88 Abs. 2 DSGVO ausdrücklich genannten Vorgaben beachten. Sie müssen deshalb angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person enthalten, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmens gruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz Berlin BvD BeschDSG Wedde 2018 Seite Berlin BvD BeschDSG Wedde 2018 Seite 13

14 Was nicht in 26 BDSG n.f. steht Zu den spezifischen Vorgaben des Art. 88 DSGVO kommen allgemeine Vor schriften der DSGVO wie insbesondere die Grundsätze in Art. 5 Abs. 1 DSGVO, die Rechenschaftspflicht des Arbeitgebers nach Art. 5 Abs. 2 DSGVO, die Sicherstellung der Transparenzvorgaben nach Art. 12 Abs. 1 DSGVO und des Rechts auf Vergessenwerden nach Art. 17 DSGVO, die Umsetzung des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO, die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und die Datenschutz Folgenabschätzung nach Art. 35 DSGVO Berlin BvD BeschDSG Wedde 2018 Seite 27 Themen, die uns erhalten bleiben? Im Bewerbungsverfahren Grenzen des Fragerechts des Arbeitgebers Datenerhebung über Bewerber im Internet Umfang ärztlicher Einstellungsuntersuchungen Einsatz von Big Data Anwendungen oder von Predictive Analytics Speicherdauer von Bewerberdaten Berlin BvD BeschDSG Wedde 2018 Seite Berlin BvD BeschDSG Wedde 2018 Seite 14

15 Themen, die uns erhalten bleiben? Bei der Durchführung von Beschäftigungsverhältnissen 1. Auslegung der Erforderlichkeit 2. Wirksamkeit von Einwilligungen 3. Umgang mit besonderen Kategorien personenbezogener Daten 4. Kontrolle von E Mails und des Internetverhaltens 5. Videokontrollen 6. Heimliche / Offene Kontrollmaßnahmen 7. Ortung von Beschäftigten 8. Compliance und Datenschutz 9. Auswertung bei Verdacht auf arbeitsrechtliche Pflichtverletzungen 10. Wahrung berechtigter Interessen als Erlaubnistatbestand 11. Löschfristen 12. Konzernprivileg 13. Mitbestimmung zum Datenschutz Berlin BvD BeschDSG Wedde 2018 Seite 29 Neue Themen Der Umfang des Beschäftigtendatenschutzes muss unter Beachtung der DSGVO neu bewertet werden. Beachtet werden müssen insbesondere die in Art. 5 Abs. 1 DSGVO enthaltenen Grundsätze Berlin BvD BeschDSG Wedde 2018 Seite Berlin BvD BeschDSG Wedde 2018 Seite 15

16 V. Fazit Neue datenschutzrechtliche Bedingungen werden am 25. Mai 2018 mit alten Themen und Problemen aus dem Bereich des Beschäftigtendatenschutzes zusammenprallen. Die Intensität des dann entstehenden Unwetters lässt sich derzeit noch nicht absehen. Das macht ein Handeln des Gesetzgebers umso dringender: Egal wie ein Beschäftigtendatenschutz tatsächlich aussehen wird und ob uns die dort enthaltenen Regeln gefallen werden oder nicht wenn es sie gibt, können wir uns daran abarbeiten Berlin BvD BeschDSG Wedde 2018 Seite 31 Mein persönlicher Wunsch Dass es das neue Beschäftigtendatenschutzgesetz nicht erst nach der Inbetriebnahme des neuen Flughafens gibt Berlin BvD BeschDSG Wedde 2018 Seite 16

17 Dr. Peter Wedde Professor für Arbeitsrecht und Recht der Informationsgesellschaft an der Frankfurt University of Applied Sciences FRA UAS Fachbereich 2 Informatik und Ingenieurwissenschaften Wissenschaftlicher Leiter des Instituts für Datenschutz, Arbeitsrecht und Technologieberatung d+a consulting GbR, Eppstein Wissenschaftlicher Berater der Kanzlei steiner mittländer fischer in Frankfurt a.m. wedde@da consulting.de consulting.de Tel.: Postanschrift: d+a consulting GbR, Hasenborn 9a, Eppstein Berlin BvD BeschDSG Wedde 2018 Seite 17