Beschäftigtendatenschutz, Teil 1: Vier typische Fälle aus der Praxis der Aufsichtsbehörden

Die Stellungnahme der Aufsichtsbehörde (TB Brandenburg 2021, S. 58): Die Handlung der ehemaligen ArbN ist nicht dem Unternehmen zuzurechnen. Sie war selbst Betroffene im Bußgeldverfahren. Mit der Übersendung der personenbezogenen Daten der anderen ArbN an die private E-Mail-Adresse überschritt sie ihre Kompetenzen und handelte im datenschutzrechtlichen Sinne als Verantwortliche. Zur Erfüllung ihrer betrieblichen Aufgaben war die Übermittlung der Beschäftigtendaten an ihre private E-Mail-Adresse nicht erforderlich und damit rechtswidrig.

Konsequenz: Der Verstoß wurde mit einer Geldbuße in dreistelliger Höhe festgesetzt.

Die Stellungnahme der Aufsichtsbehörde (TB Brandenburg 2021, S. 58-60): Der ArbN handelte unbefugt. Die Übersendung der personenbezogenen Daten der Bewerber an die private E-Mail-Adresse gehörte nicht zu seinen Arbeitsaufgaben. Er war damit im datenschutzrechtlichen Sinn als Verantwortlicher anzusehen und konnte sich auf keine Rechtsgrundlage für die Übersendung der Unterlagen berufen. Die sich bewerbenden Personen hatten nicht darin eingewilligt, dass er deren Lebensläufe an seine private E-Mail-Adresse weiterleitete. Auch die Abwägung nach Art. 6 Abs. 1 S. 1 lit. f DSGVO geht zu ihren Gunsten aus. Selbst wenn das Interesse des ArbN an den Unterlagen ausschließlich der visuellen Gestaltung gegolten und er es nicht auf die personenbezogenen Bewerberdaten abgesehen hatte, überwogen die Interessen, Grundrechte und -freiheiten der betroffenen Personen. Sie hatten ihre Bewerbungsunterlagen im Vertrauen auf den datenschutzrechtlich ordnungsgemäßen Umgang mit ihren personenbezogenen Daten an den ArbG des Angestellten übersandt. Sie mussten nicht davon ausgehen, dass diese Daten unsachgemäß verwendet werden. Die Daten waren darüber hinaus für alle diejenigen einsehbar, die Zugriff auf seine E-Mails hatten, entweder beim Transport über das Internet oder während der Speicherung im E-Mail-Konto.

Konsequenz: Die Aufsichtsbehörde verhängte eine dreistellige Geldbuße gegen den ArbG.

Die Stellungnahme der Aufsichtsbehörde (LDI NRW, 27. TB 2022, S. 71 ff): Die Prüfung ergab, dass der ArbG durch die Personalstelle neben den Sozialdaten der betroffenen Beschäftigten Informationen zu krankheitsbedingten Fehlzeiten und den hierdurch verursachten Kosten sowie zur Prognose einer Erkrankung verarbeiten und an den BR im Rahmen der Mitbestimmung weitergeben darf. Nicht weitergegeben werden dürfen weitergehende Angaben zur Gesundheit der Betroffenen. Der ArbG wurde hierüber in Kenntnis gesetzt. Er schloss sich den Feststellungen an und teilte mit, künftig Gesundheitsdaten von ArbN nicht mehr zu verarbeiten und an den BR weiterzugeben.

Konsequenz: Zur Ahndung der Datenverstöße wurde gegen den ArbG ein Bußgeld verhängt. Dabei wurde zu seinen Gunsten berücksichtigt, dass die Verarbeitung und die Weitergabe der Gesundheitsdaten der Betroffenen für diese keine negativen Folgen hatten.

Die Stellungnahme der Aufsichtsbehörde (LfD Niedersachsen, 27. TB 2021, S. 147 ff.): Auf Nachfrage teilte der ArbG mit, er habe die Erhebung der personenbezogenen Daten der ArbN durch den Mitarbeiter nicht abschließend klären können. Er machte glaubhaft, dass die Tätigkeit des ArbN weder die Kenntnisnahme noch die weitergehende Nutzung von Einzelheiten aus den Beschäftigungsverhältnissen der Kollegen erforderte. Die Offenbarung der personenbezogenen Daten gegenüber dem Arbeitsgericht war daher nicht dem ArbG, sondern dem ehemaligen ArbN als datenschutzrechtlich Verantwortlichem zuzurechnen. Er hatte damit den ihm zugewiesenen Verantwortungsbereich deutlich verlassen und war so selbst zum Verantwortlichen im Sinne der DSGVO geworden (sogenannter Mitarbeiterexzess).

Aufgrund der Art und Anzahl der betroffenen personenbezogenen Daten der Beschäftigten wurde gegen ihn ein Prüfverfahren eingeleitet. Dieses ergab, dass die Offenbarung der Einzelheiten aus den Beschäftigungsverhältnissen der ArbN gegenüber dem Arbeitsgericht ohne Rechtsgrundlage und damit unrechtmäßig erfolgte. Andere Rechtsgrundlagen als die des Art. 6 Abs. 1 S. 1 lit. f DSGVO (Interessenabwägung) kamen nicht in Betracht. Die Prüfung ergab, dass die Voraussetzungen dieser Rechtsgrundlage nicht erfüllt waren. Zwar stand die Offenbarung im Kontext der Rechtsverfolgung und -verteidigung und konnte zur Wahrung eines berechtigten Interesses ausgelegt werden. Es fehlte jedoch im vorliegenden Fall bereits im Ansatz daran.

Aus dem Antrag des ArbN auf Erlass einer einstweiligen Verfügung ging nicht hervor, welche Relevanz die Einzelheiten aus den Beschäftigungsverhältnissen der anderen ArbN für die Wirksamkeit der Kündigung hatte. Dies konnte der ArbN auch im Prüfverfahren nicht darlegen. Es fehlte die Zweckdienlichkeit.

Konsequenz: Es wurde eine Verwarnung ausgesprochen.