Kategorie: Beschäftigtendatenschutz
19. Dezember 2022
Die elektronische Arbeitsunfähigkeitsbescheinigung (eAU) wird bald eingeführt, um Papier zu sparen sowie die Arbeit zu erleichtern. Dadurch müssen gesetzlich Versicherte ihrem Arbeitgeber grundsätzlich keine Bescheinigung mehr aushändigen, wenn sie arbeitsunfähig sind. Der Hinweis an den Arbeitgeber, dass er erkrankt ist, und die voraussichtliche Dauer genügt.
Wie funktioniert die elektronische Arbeitsunfähigkeitsbescheinigung?
Der Arzt erstellt die eAU in seinem Praxisverwaltungssystem (PVS), signiert sie mit einer Qualifizierten Elektronischen Signatur (QES) und verschickt sie Ende-zu-Ende-verschlüsselt mit dem KIM-Dienst (Kommunikation im Medizinwesen) an die Krankenkasse des erkrankten Arbeitnehmers. Ärtze sind bereits seit Oktober 2021 zum Versenden der eAU verpflichtet. Welche Systeme den eAU-Versand ermöglichen, lässt sich im TI-Score der für die Digitalisierung zuständigen Gematik GmbH sehen.
Sobald die eAU an die Krankenkasse verschickt wurde, gelangt sie zu einer zentralen Sammelstelle der gesetzlichen Krankenkassen. Somit sind jetzt die gesetzlichen Krankenkassen zum Nachweis verpflichtet. Der Arbeitgeber kann die Arbeitsunfähigkeitsbescheinigung über das Entgeltabrechnungsprogramm bei der Sammelstelle anfragen und sie abrufen, sobald sie dort bereitsteht: Eine Abfrage ist frühestens ab dem Folgetag der Arbeitsunfähigkeit sinnvoll. Bleibt der Arbeitgeber drei Tage lang ohne Krankschreibung von der Arbeit, empfiehlt die AOK eine Abfrage frühestens ab dem fünften Tag der Arbeitsunfähigkeit. Außerdem wird der Arbeitgeber informiert, sobald die AU bereitsteht.
Die Änderungen durch die eAU für gesetzlich Versichertete
Ab Januar 2023 müssen gesetzlich Versicherte ihren Arbeitgeber nur noch über ihre Erkrankung informieren, vgl. § 5 Abs. 1 Satz 2 des Entgeltfortzahlungsgesetzes. Nur wenn die Arbeitsunfähigkeit länger als drei Kalendertage dauert und es im Arbeitsvertrag nicht anders geregelt ist, kann der Arbeitgeber eine Anfrage bei einer dafür eingerichteten Stelle bei den gesetzlichen Krankenkassen stellen. Grundsätzlich müssen Arbeitnehmer demnach keine Arbeitsunfähigkeitsbescheinigung mehr an die Krankenkasse oder den Arbeitgeber senden.
Die Änderungen für Arbeitgeber
Arbeitgeber dürfen ab Januar 2023 von ihren gesetzlich Versicherten in der Regel keine Arbeitsunfähigkeitsbescheinigung mehr verlangen. Dazu muss der Arbeitgeber verschiedene Angaben übermitteln, etwa den Namen, das Geburtsdatum, die Versichertennummer und die Betriebsnummer des Beschäftigungsbetriebs. Ist die Versichertennummer des Arbeitnehmers nicht bekannt, muss diese mit dem Abrechnungsprogramm bei der Datenstelle der Rentenversicherung abgefragt werden. Wenn das nicht möglich ist, müssen zusätzlich Geburtsname und Geburtsort des Arbeitnehmers zur eindeutigen Identifikation angegeben werden.
Praxistipp bei technischen Störungen
Es ist nicht unwahrscheinlich, dass der Übergang zur eAU nicht ohne Probleme funktionieren wird. Das bedeutet also, dass die behandelnden Ärzte den Versicherten eine Arbeitsunfähigkeitsbescheinigung, die dem Arbeitgeber vorgelegt werden kann, wohl weiter in Papierform aushändigen.
Gerade zu Beginn des elektronischen Meldeverfahrens ist es laut einer Sprecherin des Bundesministeriums für Arbeit und Soziales (BMAS)„wichtig, dass Arbeitnehmerinnen und Arbeitnehmer einen Nachweis für ihre Arbeitsunfähigkeit erhalten, den sie bei Bedarf gegebenenfalls selbst ihrem Arbeitgeber vorlegen können, wenn dieser beispielsweise irrtümlich von unberechtigten Fehlzeiten ausgeht und arbeitsrechtliche Konsequenzen (Lohnkürzung, Abmahnung, Kündigung) erwägt“. Daher sei es laut BMAS wichtig, dass Ärztinnen und Ärzte den Versicherten übergangsweise eine Arbeitsunfähigkeitsbescheinigung für Arbeitgeber in Papierform aushändigen. Gesetzlich Versicherte sollten demnach auch darauf „achten und gegebenenfalls ausdrücklich darauf bestehen, dass ihnen diese Bescheinigung weiterhin ausgestellt wird“.
16. Dezember 2022
Die Abgeordneten des Deutschen Bundestages haben am Freitag, 16. Dezember 2022, einen „besseren Schutz hinweisgebender Personen“ im beruflichen Umfeld beschlossen.
Warum ist der Schutz von Hinweisgebern wichtig?
Im beruflichen Kontext ist der Schutz von Hinweisgebern ein wichtiges, gleichzeitig aber auch sensibles Thema, da er für den Erhalt integrer Arbeitsplätze und die Einhaltung ethischer Grundsätze in Unternehmen unerlässlich ist. Hinweisgeber tragen dazu bei, Missstände aufzudecken und zu korrigieren, indem sie Informationen über illegale oder unethische Praktiken melden.
Das Problem: Die Meldung solcher Vorgänge kann sehr riskant sein, da sie möglicherweise finanzielle Verluste oder negative Konsequenzen bei der Arbeit einbringen kann.
Aus diesem Grund müssen hinweisgebende Mitarbeiter vor Diskriminierung und Repressalien geschützt werden.
Eine weitere Herausforderung besteht darin, dass viele Mitarbeiter oft nicht wissen, wo sie solche Informationen melden können oder wie sie am besten vorgehen sollen. Daher ist es für Unternehmen wichtig, einen Mechanismus zur Meldung von Missständen zu schaffen und proaktiv über diese Mechanismen zu informieren.
Das neue Gesetz
In den letzten Jahren ist die Bedeutung des Schutzes von Hinweisgebern immer stärker in den Fokus der Öffentlichkeit gerückt. Dies ist vor allem auf die steigende Zahl von Whistleblowern zurückzuführen, die sich gegen Missstände in ihrem Unternehmen oder in ihrer Branche wenden.
Mit dem nun beschlossenen Gesetzesentwurf soll der bislang lückenhafte und unzureichende Schutz hinweisgebender Personen ausgebaut werden. Nach eigenem Bekunden will die Bundesregierung mit dem Gesetz nun zum einen die Hinweisgeberschutz-Richtlinie der Europäischen Union ((EU) 2019 / 1937, (EU) 2020 / 1503) und zum anderen die Rechtsprechung des Europäischen Gerichtshofs für Menschenrechte (EGMR) umsetzen. Deutschland – sowie einige weitere EU-Staaten – sind mit der Umsetzung allerdings sehr spät dran, denn die EU-Richtlinie hätte eigentlich bis zum 17. Dezember 2021 transferiert werden müssen. Gegen Deutschland läuft deswegen ein von der EU-Kommission angestrengtes Vertragsverletzungsverfahren.
Was ändert sich für Unternehmen und Beschäftigte?
Kernstück des Entwurfes ist ein neu zu schaffendes „Gesetz für einen besseren Schutz hinweisgebender Personen“ (Hinweisgeberschutzgesetz, HinSchG). Dieses Gesetz soll dem Entwurf zufolge die wesentlichen Anforderungen und Verfahren an den Hinweisgeberschutz beinhalten. Danach müssen grundsätzliche alle Unternehmen, die mindestens 50 Mitarbeiterinnen und Mitarbeiter beschäftigen, eine interne Meldestelle einrichten; Unternehmen mit bis zu 249 Mitarbeitenden haben die Möglichkeit, Meldestellen gemeinsam aufbauen.
Neue Meldestellen
Als externe Meldestelle soll grundsätzlich das Bundesamt für Justiz dienen, für einige Bereiche sind darüber hinaus spezielle Meldestellen vorgesehen. Wie die Bundesregierung ausführt, ist der Anwendungsbereich entsprechend der Vorgaben der EU-Richtlinie weit gefasst und umfasst neben Arbeiternehmerinnen und Arbeitnehmer auch Beamtinnen und Beamte, Anteilseignerinnen und Anteilseigner, Mitarbeiterinnen und Mitarbeiter von Lieferanten und Personen, die bereits vor Beginn eines Arbeitsverhältnisses Kenntnisse von Verstößen erlangt haben.
Die hinweisgebende Person soll laut des Gesetzesentwurfs wählen können, ob sie sich an eine interne oder externe Meldestelle wende. Entscheidend ist, dass die Identität der hinweisgebenden Person in beiden Fällen grundsätzlich vertraulich zu behandeln ist. Meldungen sollen daher laut Entwurf auch anonym möglich sein. Laut Entwurfstext soll für interne Meldestellen allerdings keine Verpflichtung bestehen, „die Meldekanäle so zu gestalten, dass sie die Abgabe anonymer Meldungen ermöglichen“. Gleiches soll vorbehaltlich spezialgesetzlicher Regelungen auch für die externen Meldestellen gelten. In beiden Fällen sollte zudem gelten, dass die jeweilige Meldestelle „anonym eingehende Meldungen allerdings bearbeiten [sollte], soweit dadurch die vorrangige Bearbeitung nicht anonymer Meldungen nicht gefährdet wird“.
Schutz vor Repressalien
Für hinweisgebende Personen und bestimmte andere Personen gilt ein Schutz vor Repressalien beziehungsweise vor einer Drohungen damit.
Erfolgt nach einer Meldung durch einen Arbeitnehmer eine „Benachteiligungen“ einer hinweisgebenden Person „im Zusammenhang mit ihrer beruflichen Tätigkeit“, soll laut Entwurfstext vermutet werden, dass es sich um eine Repressalie handelt. Daher hat „In diesem Fall hat die Person, die die hinweisgebende Person benachteiligt hat, zu beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen basierte oder dass sie nicht auf der Meldung oder Offenlegung beruhte“.
Bei einem Verstoß gegen das Verbot von Repressalien soll dem Hinweisgeber ein Schadensersatzanspruch gegen den Verursacher zustehen.
In der Praxis bleibt abzuwarten, in wie weit die gesetzlichen Regelungen tatsächlich zu einem reibungslosen Aufdecken von Missständen führen.
Fazit
Der Schutz von Hinweisgebern ist von entscheidender Bedeutung für die Einhaltung ethischer Grundsätze im beruflichen Umfeld sowie für den Erhalt integrer Arbeitsplätze und fair gehandhabte Geschäftsfelder. Daher ist es Aufgabe aller Beteiligten – insbesondere der Unternehmen – sicherzustellen, dass effektive Maßnahmen zum Schutz von Hinweisgebern getroffen werden.
14. Dezember 2022
Der aktuelle 11. Tätigkeitsbericht des Bayerischen Landesamtes für Datenschutzaufsicht (BayLDA) befasst sich mit diesem interessanten Thema aus dem Beschäftigtenkontext:
Bei der Einstellung eines neuen Mitarbeiters gehört es zum Standard, dass dieser eine entsprechende Erklärung zum vertraulichen Umgang mit personenbezogenen Daten bzw. der Einhaltung der datenschutzrechtlichen Anforderungen unterzeichnet.
Einen Mustertext findet man im Kurzpapier Nr. 19 der Datenschutzkonferenz (DSK), das auch im oben genannten Tätigkeitsbericht beiliegt (S. 51).
Das BayLDA erörtert in seinem Tätigkeitsbericht, welche Folgen es hat, wenn ein Beschäftigter sich weigert, die Verpflichtung auf das Datengeheimnis zu unterzeichnen.
Dürfen Beschäftigte ihre Unterschrift verweigern?
Nach Ansicht des BayLDA sei eine Unterschriftsverweigerung irrelevant.
Weigert sich der Arbeitnehmer, die Erklärung zu unterzeichnen, dann reiche es aus, dass der Arbeitgeber den bestehenden Prozess nachweist, den Beschäftigten auf die Einhaltung der datenschutzrechtlichen Pflichten hinweist und auch die Weigerung einschließlich des Umstandes der Weigerung dokumentiert. Zwar sieht das Gesetz dabei kein Formerfordernis für die Verpflichtung vor, dennoch empfiehlt es sich wegen der nachzukommenden Rechenschaftspflicht gemäß Art. 5 Abs. 2 DSGVO eine unterzeichnete Erklärung des Beschäftigten (in schriftlicher oder elektronischer Form) bereitzuhalten.
Schließlich kann sich durch die Weigerung des Beschäftigten die Einhaltung der datenschutzrechtlichen Pflichten, die sich insbesondere aus der DSGVO ergeben, nicht einfach ausgehebelt werden. Die Stellungnahme des BayLDA dazu ist für Arbeitgeber sehr praxistauglich.
17. November 2022
Die Amtspflichtverletzung eines betrieblichen Datenschutzbeauftragten erlaube nach Systematik sowie Sinn und Zweck des § 6 Abs. 4 BDSG nicht die fristlose Kündigung. Dies entschied das Arbeitsgericht Heilbronn mit Urteil vom 29. September 2022 (Az. 8 Ca 135/22).
Hintergründe der Kündigung
Aus Sicht des Arbeitgebers sei die fristlose Kündigung erforderlich gewesen, da der angestellte Datenschutzbeauftragte verschiedenen Verpflichtungen nicht nachgekommen sei. Dieser habe die Aufgaben, die sich aus seiner Stellung als Datenschutzbeauftragten ergeben, nicht ausreichend erfüllt. Somit sei es zu mehreren Datenschutzmängeln im Unternehmen gekommen.
Unterscheidung zwischen Abberufung und Kündigung
Das ArbG stellte die Unwirksamkeit der fristlosen Kündigung fest. Insoweit könne die Missachtung seiner Pflichten, die sich aus der Funktion als Datenschutzbeauftragter ergeben, nicht der alleinige Kündigungsgrund sein.
Das Gericht betonte dabei, dass zu unterscheiden sei zwischen arbeitsrechtlichen Pflichtverletzungen und solchen, die das Amt des Datenschutzbeauftragten betreffen. Bei Verletzung der Amtspflichten seien die gesetzlichen Sanktionen anzuwenden. Eine Kündigung sei stattdessen nicht möglich.
Außerdem führte das Gericht an, dass § 6 Abs. 4 BDSG ausdrücklich zwischen der Abberufung und der Kündigung unterscheide. Die Abberufung des Datenschutzbeauftragten sei grundsätzlich möglich. Dafür müsse ein Grund vorliegen, der nach Maßgabe des §626 BGB zu bestimmen sei. Darüber hinaus müsse der Grund mit der Funktion als Datenschutzbeauftragten in Verbindung stehen. Hinsichtlich der Kündigung stelle das Gesetz den Datenschutzbeauftragten unter einen besonderen Schutz. Die Kündigung sei grundsätzlich nicht möglich. Ausnahme dieser Regel sei das Vorliegen eines Kündigungsgrunds, der zur fristlosen Kündigung berechtige.
Aus Sicht des Gerichtes sei die ausdrückliche Unterscheidung zwischen Abberufung und Kündigung für die Kündigung des Datenschutzbeauftragten zu beachten. Wegen dieser Unterscheidung sei die Kündigung wegen einer Amtspflichtverletzung nicht möglich.
Zusätzlich sei der Sinn und Zweck der Abberufung und Kündigung zu berücksichtigen. Um den Datenschutzbeauftragten die freie Funktionsausübung zu ermöglichen, sei die Abberufung nicht ohne Grund möglich. Der Kündigungsschutz des Datenschutzbeauftragten begründe sich hingegen aus möglichen Konflikten. Diese könnten aufgrund der arbeitsrechtlichen Verpflichtungen und der Ausführung der datenschutzrechtlichen Funktion entstehen.
7. Oktober 2022
Vor kurzem legte der Generalanwalt Manuel Campos Sánchez-Bordona seine Schlussanträge in der Rechtssache C-34/21 vor. Darin befasste er sich u.a. mit der Frage, ob § 23 des Hessischen Landesdatenschutzgesetzes (HDSIG) eine „spezifische Vorschrift“ im Sinne des Art. 88 DSGVO darstelle. Obwohl § 23 HDSIG eine landesrechtliche Vorschrift ist, könnten die Schlussanträge nationale Beachtung erlangen. Grund dafür ist, dass § 23 HDSIG gleichlautend mit § 26 BDSG ist.
Hintergrund
Die Vorlagefrage wurde dem EuGH vom VG Wiesbaden vorgelegt. In der Rechtssache stritten die beteiligten Parteien über die Durchführung von Online-Unterricht mittels eines Videokonferenzsystems. Konkret stand zur Debatte, ob Schulen die personenbezogenen Daten von Lehrkräften auf Grundlage einer Einwilligung verarbeiten können, oder ob als Rechtsgrundlage das berechtigte Interesse heranzuziehen sei.
Das vorlegende Gericht wollte wissen, ob § 23 HDSIG als „(…) eine „spezifischere Vorschrift“ hinsichtlich der Verarbeitung von personenbezogenen Beschäftigtendaten nach Art. 88 DSGVO anzusehen sei.“ (GA Sánchez-Bordona, Schlussanträge vom 22.09.22, Rs. C-34/21, Rn. 11)
Nach Art. 88 Abs. 1 DSGVO können die Mitgliedstaaten hinsichtlich der Datenverarbeitung im Beschäftigtenkontext nationale Regelungen erlassen. Der Generalanwalt Sánchez-Bordona stellte fest, dass eine spezifischere Vorschrift nur vorliege, wenn die Voraussetzungen des Art. 88 Abs. 2 DSGVO erfüllt seien. Die Norm müsse „geeignete und besondere Maßnahmen zur Wahrung der Würde, der berechtigten Interessen und der Grundrechte der Beschäftigten enthalten.“
Argumente
Aus Sicht des Generalanwaltes Sánchez-Bordona sei § 23 HDSIG keine speziellere Regelung im Sinne des Art. 88 DSGVO. Diese Ansicht begründete der Generalanwalt mit der Systematik und dem Wortlaut der Normen. Nach § 23 HDSIG könne ein Verantwortlicher die personenbezogenen Daten von Beschäftigten verarbeiten, wenn dies für einen bestimmten Zweck erforderlich sei. Die nationale Norm lege als Zwecke konkret „(…) die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses (…) die Durchführung, Beendigung oder Abwicklung“ des Beschäftigtenverhältnisses fest.
Insoweit treffe § 23 HDSIG keine Bestimmung, die von Art. 6 Abs. lit. b DSGVO abweiche. Die Norm lege keine Regelung fest, die dem Schutz der Beschäftigtenrechte bei Verarbeitung ihrer personenbezogenen Daten diene. Dies sei aber für die Anforderung an eine „speziellere“, den Art. 88 DSGVO konkretisierende Norm erforderlich.
Fazit
Bei seiner Entscheidung ist der EuGH nicht an den Vortrag des Generalstaatsanwaltes gebunden. Es ist aber nicht ausgeschlossen, dass die Stellungnahme im Rahmen des Beschäftigtendatenschutzes künftig Beachtung findet.
31. August 2022
Das LAG Rheinland-Pfalz hat am 05.07.2022 (Az. Az. 6 Sa 54/22) entschieden, dass ein Arbeitgeber ein berechtigtes Interesse an der Weitergabe von Informationen über seine ehemalige Arbeitnehmerin an ihren neuen Arbeitgeber haben könne.
Der Sachverhalt
Hintergrund der Entscheidung waren verschiedene Äußerungen, die der ehemalige Arbeitgeber der Klägerin gegenüber deren neuen Arbeitgeber getätigt habe. Unter anderem behauptete der beklagte Arbeitgeber, dass die Klägerin verschiedene Pflichtverletzungen während der Anstellungen verübt habe.
Das Ziel des beklagten Arbeitgebers sei es gewesen, den neuen Arbeitgeber und dessen Kunden vor einem möglichen Schaden zu schützen. Gegen die getätigten Äußerungen wollte die Arbeitnehmerin einen Unterlassungsanspruch geltend machen.
Die Entscheidung
Das LAG stellte fest, dass ein Arbeitnehmer vor der Offenlegung von personenbezogenen Daten durch das allgemeine Persönlichkeitsrecht geschützt sei. Dieser Schutz erstrecke sich auch auf Daten, die der Arbeitgeber in zulässiger Weise erlangt habe. Grundsätzlich habe jedermann das Recht selbst darüber zu entscheiden, „(…) wann und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werden.“ (LAG Rheinland-Pfalz, Urteil vom 05.07.2022, Az. 6 Sa 54/22, Rn. 43)
Außerdem, so das Gericht, müsse der Arbeitgeber vor Weitergabe der Informationen eine Abwägung zwischen seinem Interesse an der Weitergabe und dem allgemeinem Persönlichkeitsrecht des Arbeitnehmers vornehmen. Nach Beendigung des Arbeitsverhältnisses treffe den Arbeitgeber einerseits eine Fürsorgepflicht. Andererseits könne der Arbeitgeber aber ein Interesse daran haben, „(…) andere Arbeitgeber bei der Wahrung ihrer Belange zu unterstützen.“ (LAG Rheinland-Pfalz, Urteil vom 05.07.2022, Az. 6 Sa 54/22, Rn. 43)
Das Fazit
In seiner Argumentation folgte das LAG einer älteren Entscheidung des BAG (BAG, Urteil vom 18.12.1984, Az. 3 AZR839/83). Dieses hatte bereits über das berechtigte Interesse des Arbeitgebers an einer Informationsweitergabe entschieden. Das LAG lies es offen, ob die zwischenzeitlich eingetretenen Entwicklungen auf dem Gebiet des Datenschutzrechtes möglicherweise das Auskunftsrecht des Arbeitgebers, dass nach Durchführung der Interessenabwägung bestehen könne, tangieren. Jedenfalls habe der ehemalige Arbeitgeber in diesem Fall kein Interesse an der Weitergabe der Informationen. Demnach bestehe der Unterlassungsanspruch der Klägerin.
14. Juli 2022
Gerade in den Sommermonaten greifen viele Unternehmen auf (digitale) Urlaubskalender zurück, um Mitarbeiterurlaube zu planen. Doch was sollte beachtet werden, damit die Urlaubsverwaltung und entsprechende Kalender datenschutzkonform verwendet werden?
Der Europäische Datenschutzbeauftragte zu der Urlaubsverwaltung
Der Europäische Datenschutzbeauftragte (EDSB) weist darauf hin, auch bzgl. der Urlaubsverwaltung innerhalb der eigenen Organe und Einrichtungen, dass die Verwaltung von Mitarbeiterurlauben häufig die Verarbeitung gesundheitsbezogener Daten erfordert. Ärztliche Bescheinigungen und andere Belege, die für die Genehmigung von Sonderurlauben benötigt werden, gehören der Kategorie sensibler Daten gem. der DSGVO an und unterliegen daher einem erhöhten Schutzniveau. Folglich sei es besonders wichtig, die Qualität und Sicherheit der Daten sowie die Betroffenenrechte und andere Pflichten unter der DSGVO zu gewährleisten.
Die Anforderungen der DSGVO an Urlaubskalender
Für die rechtskonforme Verarbeitung personenbezogener Daten wird zunächst eine der Rechtsgrundlagen aus Art. 6 DSGVO benötigt. Das Anlegen eines Urlaubskalenders ermöglicht es dem Arbeitgeber, seiner Pflicht zur Erfüllung von Urlaubsansprüchen gegenüber seinen Arbeitnehmern gemäß § 1 BUrlG nachzukommen. Damit ist die Verarbeitung erforderlich für die Erfüllung einer rechtlichen Verpflichtung und somit nach Art. 6 Abs. 1 lit. c DSGVO rechtmäßig. Zudem darf die Verarbeitung nur zweckgebunden stattfinden. Die betriebliche Urlaubsplanung stellt hier einen hinreichend bestimmten Zweck dar. Darüber hinaus fordert der Grundsatz der Datenminimierung, dass nur Daten verarbeitet werden, die für die Urlaubsplanung absolut erforderlich sind. Dem Prinzip der Vertraulichkeit zu Folge, muss ebenfalls eine angemessene Sicherheit der Daten durch geeignete technische und organisatorische Maßnahmen gewährleistet werden. Hier empfiehlt der EDSB, ärztliche Bescheinigungen und andere medizinische Daten, wenn möglich, vom ärztlichen Dienst oder Betriebsarzt bearbeiten zu lassen und nicht von der Personalabteilung. Personalmitarbeiter, die Urlaubsantragsverfahren bearbeiten, sollten zudem diesbezüglich zur Vertraulichkeit verpflichtet werden. Zudem müssen Mitarbeiter ausreichend über die Verarbeitung und Ihre Betroffenenrechte informiert werden. Daten sollten nicht länger als erforderlich gespeichert werden.
Urlaubskalender, zugänglich für alle?
Problematisch wird es, wenn die Urlaubskalender für alle Mitarbeiter einsehbar sind. Die Urlaubsverwaltung erfordert normalerweise nicht, dass Mitarbeiter die Urlaubstage ihrer Kollegen einsehen können. Ein solcher Zugriff, sofern nicht zwingend erforderlich, verstößt gegen den Grundsatz der Vertraulichkeit der Daten und ist somit nicht mehr auf die ursprüngliche Rechtsgrundlage der Verarbeitung zu stützen. Denkbar wäre es, einzelne Einwilligungen der Mitarbeiter in die Veröffentlichung ihrer Urlaubstage einzuholen. Jedoch muss eine solche Einwilligung die Ansprüche an die Freiwilligkeit gemäß Art. 4 Abs. 11 DSGVO i.V.m. § 26 Abs. 2 S. 2 BDSG erfüllen. Demnach ist eine Einwilligung eines Mitarbeiters insbesondere dann freiwillig, wenn dadurch für ihn ein Vorteil erreicht wird oder Arbeitnehmer und Arbeitgeber gleichgelagerte Interessen verfolgen. Hier merkt der ESDA an, dass aufgrund des Ungleichgewichts der Macht zwischen Arbeitnehmer und Arbeitgeber eine solche Freiwilligkeit im Arbeitsverhältnis zumeist nicht erfüllt ist. Folglich sollte, wenn möglich, davon abgesehen werden, Urlaubskalender allen Mitarbeitern zugänglich zu machen.
5. Juli 2022
Mit Urteil vom 22.06.2022 (C‑534/20) hat der Europäische Gerichtshof (EuGH) entschieden, dass der deutsche Sonderkündigungsschutz von Datenschutzbeauftragten aus § 38 Abs. 1 und 2 in Verbindung mit § 6 Abs. 4 Satz 2 Bundesdatenschutzgesetz (BDSG) europarechtskonform ist.
Der Sachverhalt
Eine Gesellschaft hatte ihrer internen Datenschutzbeauftragten ordentlich und aus betriebsbedingten Gründen gekündigt. Die Position der Datenschutzbeauftragten sollte zukünftig extern besetzt werden. Die Datenschutzbeauftragte wehrte sich gegen ihre Kündigung. Nach § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 Satz 2 BDSG könne sie als Datenschutzbeauftragte nur außerordentlich aus wichtigem Grund gekündigt werden. Eine ordentliche, betriebsbedingte Kündigung sei ausgeschlossen. Die deutschen Arbeitsgerichte gaben ihr Recht, die Kündigung sei nach § 134 BGB nichtig. Da die Gesellschaft stets Rechtsmittel einlegte, wurde die Streitigkeit letztlich dem Bundesarbeitsgericht (BAG) zur Entscheidung vorgelegt.
Das BAG war sich mit der Europarechtskonformität der in Frage stehenden Normen unsicher, konkret bezüglich der Vereinbarkeit mit Art. 38 DSGVO. Denn nach nationalem Recht in § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 Satz 2 BDSG ist die Kündigung einer Datenschutzbeauftragten unzulässig, es sei denn Tatsachen lägen vor, die zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist, also zur außerordentlichen Kündigung, berechtigten. Eine ordentliche Kündigung ist damit ausgeschlossen. Im europäischen Recht in Art. 38 DSGVO hingegen, ist kein besonderer Kündigungsschutz für Datenschutzbeauftragte vorgesehen. Dort ist nur geregelt, dass die Datenschutzbeauftragte nicht wegen der Erfüllung ihrer Aufgaben abberufen werden kann. Somit gewähren die deutschen Normen des BDSG einen höheren Kündigungsschutz als die europäische DSGVO.
Deshalb legte das BAG das Verfahren dem EuGH vor, u.a. mit der Frage, ob das europäische Recht den strengeren deutschen Normen entgegensteht.
Die Entscheidung
Der EuGH entschied, dass die strengeren, deutschen Normen zum Kündigungsschutz mit dem europäischen Recht vereinbar sind. Art. 38 DSGVO steht den Regelungen des BDSG nicht entgegen.
Für seine Begründung verwies der EuGH auf den Wortlaut von Art. 38 DSGVO, das mit Art. 38 DSGVO verfolgte Ziel, eine Unabhängigkeit der Datenschutzbeauftragten zu gewährleisten, sowie den Zweck der DSGVO selbst. Diese solle nämlich nicht den Kündigungsschutz generell regeln.
Der EuGH führt dazu aus, dass: “es jedem Mitgliedstaat freisteht, in Ausübung seiner vorbehaltenen Zuständigkeit besondere, strengere Vorschriften für die arbeitgeberseitige Kündigung eines Datenschutzbeauftragten vorzusehen, sofern diese mit dem Unionsrecht und insbesondere mit den Bestimmungen der DSGVO, vor allem Art. 38 Abs. 3 Satz 2 DSGVO, vereinbar sind.” Insbesondere dürfe “ein strengerer Schutz die Verwirklichung der Ziele der DSGVO nicht beeinträchtigen. Dies wäre aber der Fall, wenn dieser Schutz jede durch einen Verantwortlichen oder einen Auftragsverarbeiter ausgesprochene Kündigung eines Datenschutzbeauftragten verböte, der nicht mehr die für die Erfüllung seiner Aufgaben erforderlichen beruflichen Eigenschaften besitzt oder seine Aufgaben nicht im Einklang mit der DSGVO erfüllt.” Die Verwirklichung der Ziele der DSGVO sah der EuGH hier nicht gefährdet, denn eine Kündigung der Datenschutzbeauftragten ist im deutschen Recht grundsätzlich möglich.
2. Juni 2022
Das LAG Baden- Württemberg entschied am 25.03.2022 (Az. 7 Sa 63/21), dass eine außerordentliche Kündigung durch die unrechtmäßige Weitergabe besonderer Kategorien personenbezogener Daten begründet sein kann.
Der Sachverhalt
Hintergrund der außerordentlichen Kündigung war eine vom Kläger verschickte E-Mail, die personenbezogene Daten besonderer Kategorien enthielt. Konkret handelte es sich um Gesundheitsdaten. Diese sind personenbezogene Daten besonderer Kategorien i.S.d. Art. 9 Abs. 1 DSGVO.
Über einen Link in der E-Mail gelangte man auf Schriftsätze eines noch laufenden Verfahrens. Der Kläger wollte sich durch die Vorgehensweise gegen nicht gerechtfertigte Vorwürfe einer sexuellen Belästigung wehren. Zusätzlich forderte er dazu auf, die Schriftsätze weiter zu verbreiten und aus diesen ggf. zu zitieren.
Die Entscheidung
Das LAG Baden- Württemberg entschied, dass der Kläger die namentlich in den Schriftsätzen genannte Person in ihren Persönlichkeitsrechten verletzte. Die Schriftsätze waren weder für die Allgemeinheit noch für eine betriebsinterne Veröffentlichung bestimmt. Alleiniger Zweck der Dokumente war die prozessuale Verwendung. Demnach handelte der Kläger bei Weiterleitung der Schriftsätze bewusst und gewollt.
Außerdem stellte das Gericht die Rechtswidrigkeit der Verletzungshandlung fest. Aus Sicht des Gerichts könne sich der Kläger auf kein berechtigtes Interesse berufen. Das Gerichtsverfahren, aus welchem die Schriftsätze stammten, war noch nicht rechtskräftig abgeschlossen. Folglich waren die Entscheidungsgründe des Gerichts grundsätzlich unbekannt und etwaige Rechtsbehelfe gegen die noch ausstehende Entscheidung denkbar.
Der Kläger handelte darüber hinaus auch schuldhaft. Insbesondere könne er sich nicht auf einen möglichen Rechtsirrtum berufen. Er war Mitglied des Betriebsrates und des Personalausschusses. In dieser Funktion oblag ihm die Pflicht, an datenschutzrechtlichen Schulungen teilzunehmen. Demzufolge kannte der Kläger die datenschutzrechtlichen Vorschriften. Er sei geschult darin, rechtmäßig mit personenbezogenen Daten umzugehen, auch solche besonderer Kategorie.
Folglich konnte das Verhalten des Klägers, mit dem die betroffene Person in ihren Persönlichkeitsrechten verletzt wurde, seine außerordentliche Kündigung begründen.
6. Mai 2022
Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (DSK) hat am 04.05.2022 ihre Forderung nach einem Beschäftigtendatenschutzgesetz veröffentlicht. In ihrer Ende April gefassten Entschließung begründen sie ihre Forderung nach einem Beschäftigtendatenschutzgesetz damit, dass die sich “dynamisch entwickelnde Digitalisierung zu tiefgreifenden Veränderungen der Arbeitswelt führt, die neue Möglichkeiten von Verhaltens- und Leistungskontrollen” ermögliche. Geregelt werden müsse u.a. der Einsatz von algorithmischen Systemen einschließlich Künstlicher Intelligenz (KI).
Der Vorsitzende der DSK, Professor Ulrich Kelber, Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI) äußerte sich dazu: „Die gegenwärtigen Regelungen zum Beschäftigtendatenschutz reichen bei Weitem nicht aus. Der Gesetzgeber muss ein eigenständiges Beschäftigtendatenschutzgesetz schaffen.”
Ein Beispiel für Sachverhalte, die Regelungsgegenstand eines Beschäftigtendatenschutzgesetz werden können, ist die GPS-Überwachung von Firmenfahrzeugen. Dies ist bisher gesetzlich nicht reguliert und führt daher regelmäßig zu Gerichtsverfahren. Aber auch Regelungen über die Datenverarbeitung auf Grundlage von Kollektivvereinbarungen oder die Grenzen der Verhaltens- und Leistungskontrolle bedürfen gesetzlicher Klarstellungen.
