Mitarbeiterdatenschutz: Rechte und Pflichten im Überblick

Der Umgang mit Mitarbeiterdaten gehört zu den sensibelsten Bereichen des betrieblichen Datenschutzes. Vom Bewerbungsprozess bis zum Austritt aus dem Unternehmen werden zahlreiche personenbezogene Daten verarbeitet. Dieser Leitfaden gibt einen Überblick über die wichtigsten Rechte und Pflichten.

Rechtsgrundlagen für die Verarbeitung von Mitarbeiterdaten

Die Verarbeitung von Mitarbeiterdaten unterliegt strengen rechtlichen Vorgaben:

DSGVO und BDSG

Die wichtigsten Rechtsgrundlagen sind:

- Art. 6 Abs. 1 lit. b DSGVO: Verarbeitung zur Erfüllung des Arbeitsvertrags
- Art. 6 Abs. 1 lit. c DSGVO: Erfüllung rechtlicher Verpflichtungen (z.B. Steuerrecht)
- Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen des Arbeitgebers
- § 26 BDSG: Spezielle Regelungen für Beschäftigtendaten

### Besonderheiten bei sensiblen Daten

Für besondere Kategorien personenbezogener Daten (z.B. Gesundheitsdaten) gelten strengere Anforderungen:

- Art. 9 Abs. 2 lit. b DSGVO: Erforderlichkeit zur Ausübung von Rechten aus dem Arbeitsrecht
- Art. 9 Abs. 2 lit. h DSGVO: Gesundheitsversorgung und Arbeitsmedizin
- § 26 Abs. 3 BDSG: Spezielle Regelungen für sensible Beschäftigtendaten

## Datenschutz im Bewerbungsprozess

### Zulässige Datenerhebung

Grundsätzlich zulässig:
- Persönliche Daten (Name, Kontaktdaten)
- Ausbildung und beruflicher Werdegang
- Qualifikationen und Zeugnisse
- Berufliche Referenzen (mit Einwilligung)

Nur bei Erforderlichkeit:
- Foto (nur wenn für die Stelle relevant)
- Geburtsdatum (für Altersverifikation)
- Staatsangehörigkeit (für Arbeitserlaubnis)

In der Regel unzulässig:
- Religionszugehörigkeit (Ausnahme: Tendenzbetriebe)
- Familienplanung
- Gewerkschaftszugehörigkeit
- Partei- oder Vereinsmitgliedschaften
- Vermögensverhältnisse

### Aufbewahrung von Bewerbungsunterlagen

- Erfolgreiche Bewerbungen: Überführung in die Personalakte
- Abgelehnte Bewerbungen: Löschung nach 6 Monaten (wegen möglicher AGG-Ansprüche)
- Einwilligung zur längeren Speicherung: Maximal 1-2 Jahre üblich
- Talent-Pools: Nur mit ausdrücklicher Einwilligung

## Datenschutz während des Beschäftigungsverhältnisses

### Personalakte

Zulässiger Inhalt:
- Stammdaten und Kontaktinformationen
- Arbeitsvertrag und Änderungen
- Qualifikationsnachweise
- Beurteilungen und Zeugnisse
- Abmahnungen und Disziplinarmaßnahmen
- Gehaltsunterlagen
- Arbeitszeit- und Urlaubsaufzeichnungen

Zugriff und Einsichtsrechte:
- Strenge Zugangsbeschränkung (HR, Vorgesetzte)
- Einsichtsrecht des Mitarbeiters nach Art. 15 DSGVO
- Recht auf Berichtigung nach Art. 16 DSGVO

### Überwachung und Kontrolle

Grundsätzlich problematisch:
- Videoüberwachung am Arbeitsplatz
- Dauerhaftes Mithören von Telefonaten
- Keylogger und Screenshot-Software
- GPS-Tracking
- Biometrische Erfassung

Mögliche Rechtfertigungen:
- Konkrete Verdachtsfälle (zeitlich begrenzt)
- Besondere Sicherheitsanforderungen
- Betriebsvereinbarungen
- Transparente Information der Mitarbeiter

### Betriebliches Gesundheitsmanagement

Datenschutzkonforme Gestaltung:
- Freiwilligkeit der Teilnahme
- Anonymisierung oder Pseudonymisierung von Gesundheitsdaten
- Strikte Trennung von Gesundheits- und Personaldaten
- Keine Leistungsbeurteilung auf Basis von Gesundheitsdaten

### Leistungs- und Verhaltenskontrolle

Zulässige Maßnahmen:
- Stichprobenartige Qualitätskontrollen
- Erfassung von Arbeitszeiten
- Dokumentation von Arbeitsergebnissen
- Leistungsbeurteilungen durch Vorgesetzte

Grenzen:
- Keine lückenlose Überwachung
- Keine heimliche Kontrolle
- Keine unverhältnismäßigen Eingriffe
- Mitbestimmungsrechte des Betriebsrats beachten

## Datenschutz bei Beendigung des Arbeitsverhältnisses

### Aufbewahrungsfristen

Gesetzliche Aufbewahrungspflichten:
- Lohn- und Gehaltsunterlagen: 10 Jahre
- Sozialversicherungsnachweise: 6 Jahre
- Arbeitszeitnachweise: 2 Jahre

Nach Ablauf der Fristen:
- Pflicht zur Löschung nach Art. 17 DSGVO
- Dokumentation der Löschung
- Ausnahme: Rechtliche Auseinandersetzungen

### Zeugnisse und Referenzen

Datenschutzkonforme Auskunft:
- Nur mit Einwilligung des ehemaligen Mitarbeiters
- Beschränkung auf berufsbezogene Informationen
- Keine Weitergabe sensibler Daten

## Rechte der Mitarbeiter

### Informationsrechte

Mitarbeiter müssen informiert werden über:
- Art der gespeicherten Daten
- Zwecke der Verarbeitung
- Empfänger der Daten
- Speicherdauer
- Betroffenenrechte

Umsetzung:
- Datenschutzerklärung für Mitarbeiter
- Information bei Einstellung
- Aktualisierung bei Änderungen

### Auskunftsrecht

Mitarbeiter haben das Recht auf:
- Vollständige Auskunft über gespeicherte Daten
- Kopie der Daten
- Information über Herkunft der Daten
- Auskunft über Empfänger

Fristen:
- Unverzüglich, spätestens innerhalb eines Monats
- Bei komplexen Anfragen: Verlängerung um zwei Monate möglich

### Weitere Betroffenenrechte

- Berichtigung: Korrektur falscher Daten
- Löschung: Nach Zweckerreichung oder bei Unzulässigkeit
- Einschränkung der Verarbeitung: Bei Streitigkeiten über Richtigkeit
- Datenübertragbarkeit: Erhalt der Daten in strukturiertem Format
- Widerspruch: Bei Verarbeitung auf Basis berechtigter Interessen

## Pflichten des Arbeitgebers

### Technische und organisatorische Maßnahmen

Zugangs- und Zugriffskontrolle:
- Rollenbasierte Zugriffsrechte
- Starke Authentifizierung
- Protokollierung von Zugriffen

Datensicherheit:
- Verschlüsselung sensibler Daten
- Sichere Übertragungswege
- Regelmäßige Backups

Organisatorische Maßnahmen:
- Klare Verantwortlichkeiten
- Dokumentierte Prozesse
- Regelmäßige Schulungen

### Dokumentationspflichten

Verarbeitungsverzeichnis:
- Dokumentation aller Verarbeitungstätigkeiten
- Rechtsgrundlagen und Zwecke
- Empfänger und Übermittlungen
- Löschfristen

Datenschutz-Folgenabschätzung:
- Bei hohem Risiko für Mitarbeiterrechte
- Z.B. bei umfangreicher Überwachung
- Dokumentation von Risiken und Maßnahmen

### Meldepflichten bei Datenpannen

Meldung an Aufsichtsbehörde:
- Innerhalb von 72 Stunden
- Bei Risiko für die Rechte der Betroffenen
- Dokumentation aller Vorfälle

Benachrichtigung der Mitarbeiter:
- Bei hohem Risiko für die Betroffenen
- Klare Information über Folgen
- Empfehlungen zum Schutz

## Besondere Themen im Mitarbeiterdatenschutz

### Betriebsrat und Datenschutz

Rolle des Betriebsrats:
- Überwachung der Einhaltung des Datenschutzes (§ 80 BetrVG)
- Mitbestimmung bei technischen Einrichtungen (§ 87 BetrVG)
- Zugang zu erforderlichen Unterlagen

Datenschutz im Betriebsrat:
- Eigene Datenschutzverantwortung
- Vertraulicher Umgang mit Mitarbeiterdaten
- Sichere Aufbewahrung von Unterlagen

### Bring Your Own Device (BYOD)

Datenschutzrisiken:
- Vermischung privater und beruflicher Daten
- Zugriff durch Familienangehörige
- Sicherheitsrisiken durch private Apps

Notwendige Maßnahmen:
- Klare BYOD-Richtlinie
- Technische Trennung (Container-Lösungen)
- Vereinbarung zu Kontrollrechten
- Regelungen für Datenverlust und Gerätewechsel

### Homeoffice und mobiles Arbeiten

Datenschutzkonforme Gestaltung:
- Sichere VPN-Verbindungen
- Verschlüsselte Geräte
- Klare Regelungen zur Datenspeicherung
- Sensibilisierung für Risiken im häuslichen Umfeld

## Praktische Umsetzung

### Datenschutzrichtlinie für Mitarbeiter

Inhalte:
- Umgang mit personenbezogenen Daten
- Verantwortlichkeiten und Ansprechpartner
- Meldewege bei Datenschutzvorfällen
- Konsequenzen bei Verstößen

Implementierung:
- Schulung aller Mitarbeiter
- Regelmäßige Auffrischungen
- Dokumentation der Kenntnisnahme

### Schulungen und Sensibilisierung

Regelmäßige Schulungen zu:
- Grundlagen des Datenschutzes
- Umgang mit sensiblen Daten
- Erkennen von Datenschutzrisiken
- Meldung von Vorfällen

Formate:
- Präsenzschulungen
- E-Learning-Module
- Praxisnahe Fallbeispiele
- Regelmäßige Updates

### Betriebsvereinbarungen zum Datenschutz

Regelungsbereiche:
- Umgang mit IT-Systemen
- Leistungs- und Verhaltenskontrolle
- Videoüberwachung
- Zugangskontrollen
- Umgang mit Mitarbeiterdaten

Vorteile:
- Rechtssicherheit für beide Seiten
- Klare Regelungen und Grenzen
- Einbeziehung der Arbeitnehmervertretung
- Anpassung an betriebliche Besonderheiten

## Fazit

Der Datenschutz im Beschäftigungsverhältnis erfordert eine sorgfältige Balance zwischen den berechtigten Interessen des Arbeitgebers und den Persönlichkeitsrechten der Mitarbeiter. Durch klare Regelungen, transparente Kommunikation und angemessene technische und organisatorische Maßnahmen kann ein rechtskonformer und vertrauensvoller Umgang mit Mitarbeiterdaten sichergestellt werden.

Brauchen Sie Unterstützung beim Mitarbeiterdatenschutz? Unsere Experten helfen Ihnen bei der Entwicklung datenschutzkonformer Prozesse und Richtlinien.