Arbeitnehmerdatenschutz bezeichnet den Schutz personenbezogener Daten von Arbeitnehmern. Er ist bislang in keinem eigenständigen Gesetz geregelt. Grundlegende Regeln ergeben sich aus dem GG, dem BDSG und den entsprechenden LDSG. Darüber hinaus sind das BetrVG und Rechtsvorschriften des Multimediarechts zu berücksichtigen.
Das Recht auf informationelle Selbstbestimmung ist ein vom BVerfG formuliertes Grundrecht. Fraglich ist, ob dieses Grundrecht auch im Rahmen von Arbeitsverhältnissen gilt. Grundrechte binden nur die Ausübung staatlicher Gewalt. Dies resultiert aus Art. 1 Abs. 3 GG. Grundrechte regeln danach lediglich das Verhältnis zwischen Bürger und Staat, jedoch nicht zwischen Bürger und Bürger.[59] Daraus ergibt sich auch die Funktion von Grundrechten: der Schutz des Bürgers vor dem Staat. Nach ständiger Rechtsprechung des BVerfG entfalten Grundrechte keine absolute Drittwirkung.[60] Obwohl Grundrechte keine absolute Wirkung auf Verhältnisse zwischen Bürgern entfalten, beeinflussen sie dennoch die Rechtsordnung der Bürger. Grundrechte enthalten nämlich Wertentscheidungen, die auf die gesamte Rechtsordnung ausstrahlen, indem sie Gesetzgebung, Verwaltung und Rechtsprechung binden.[61] Dadurch, dass Grundrechte auf alle Bereiche ausstrahlen, entfalten sie eine mittelbare Drittwirkung. Somit entfalten Grundrechte auch auf das Bürgerliche Recht eine mittelbare Wirkung.[62] Das Recht auf informationelle Selbstbestimmung und das allgemeine Persönlichkeitsrecht wirken daher mittelbar im Gleichordnungsverhältnis zwischen Bürgern.[63]
Aus der mittelbaren Drittwirkung von Grundrechten ergibt sich ein wesentlicher Unterschied zu der gesetzlichen Bindung, die der Staat gegenüber Grundrechten hat. Der Staat ist an das informationelle Selbstbestimmungsrecht absolut gebunden.[64] Das heißt der Staat benötigt immer eine gesetzliche Ermächtigungsnorm, um personenbezogene Daten zu erheben, zu speichern oder zu verwenden.[65] Der Bürger benötigt hierzu grundsätzlich keine gesetzliche Ermächtigungsnorm. Vielmehr räumt das Grundgesetz dem Bürger diese Freiheiten ausdrücklich ein, in Form der Informations-, Meinungs- und Pressefreiheit (Art. 5 Abs. 1 GG) sowie der allgemeinen Handlungsfreiheit (Art. 2 Abs. 1 GG).[66] Das bedeutet, solange der Gesetzgeber kein Gesetz verabschiedet, das die Erhebung und Verarbeitung personenbezogener Daten durch Bürger einschränkt, hat jeder das Recht sich personenbezogene Daten zu verschaffen und zu verarbeiten.[67] Damit das Recht auf informationelle Selbstbestimmung auch unter Bürgern geschützt wird, bedarf es hoheitlicher gesetzlicher Regelungen. Der Staat erfüllt dadurch seine gesetzgeberischen Schutzpflichten.[68] Dies ist im Bereich der Verarbeitung personenbezogener Daten durch die Verabschiedung des BDSG geschehen.[69]
Das Grundrecht auf informationelle Selbstbestimmung und das allgemeine Persönlichkeitsrecht finden im Ergebnis unter Privaten und damit auch im Arbeitsverhältnis Anwendung. Relevant ist das Recht auf informationelle Selbstbestimmung vor allem in Bezug auf Führung der Personalakten und anderer personenbezogener Daten über den Arbeitnehmer[70] und bei Fragen rechtswidriger Informationsgewinnung im Rahmen von Kündigungen.[71] Während der Arbeitnehmer davor geschützt werden will, dauerhaft kontrolliert bzw. überwacht zu werden, hat der Arbeitgeber ein Interesse daran, dass der Arbeitnehmer seinen arbeitsvertraglichen Pflichten nachkommt und das Eigentum des Arbeitgebers nicht zu eigenen Zwecken verwendet.[72] Der Arbeitnehmerdatenschutz ist somit stets geprägt von der Kollision des Persönlichkeitsrechts des Arbeitnehmers (Art. 2 Abs. 1 i.V.m. Art. 1 GG) und den ökonomischen Interessen des Arbeitgebers (Berufsfreiheit aus Art. 12 Abs. 1 GG und Eigentumsgarantie aus Art. 14 GG). Diese Grundrechtspositionen sind gegeneinander abzuwägen, wenn in das Persönlichkeitsrecht des Arbeitnehmers eingegriffen wird. Das Persönlichkeitsrecht des Arbeitnehmers wird von der Rechtsprechung häufig stärker gewichtet, als die ökonomisch begründeten Interessen des Arbeitgebers. Begründet wird dies damit, dass das allgemeine Persönlichkeitsrecht in der Menschenwürde verwurzelt ist und nach Art. 79 Abs. 3 GG nicht einmal dem Gesetzgeber zur Disposition steht.[73]
Der Arbeitnehmerdatenschutz wurde erstmalig durch das BDSG umfassend geregelt.[74] Das BDSG wird als normative Vorschrift verstanden, welche die kollidierenden Arbeitnehmer- und Arbeitgeberinteressen ausgleicht.[75] Das BDSG findet gem. § 1 Abs. 2 BDSG Anwendung auf die Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch öffentliche und nichtöffentliche Stellen. Somit fällt auch der Umgang mit Arbeitnehmerdaten unter dieses Gesetz.
Das BDSG hat die Grundkonzeption eines Auffanggesetzes (§§ 1 Abs. 3 BDSG,
1 Abs. 1 BDSG), damit es in bereichsspezifischen Gesetzen weiter ausgestaltet werden kann oder individuelle Vereinbarungen durch Einwilligung des Betroffenen getroffen werden können (§ 4 Abs. 1 BDSG). Bis 2009 wurden die allgemein geltenden Regelungen des BDSG im Rahmen des Arbeitsverhältnisses angewandt. Maßgeblich war dabei vor allem § 28 BDSG.[76] Seit 01.09.2009 trat § 32 BDSG als Sonderbestimmung für einen Arbeitnehmerdatenschutz in Kraft.[77] Die Vorschrift des § 32 BDSG verdrängt als lex specialis die allgemeinen Regelungen in § 28 BDSG.[78] Die Einführung des § 32 BDSG im Rahmen der Bundesdatenschutznovelle II schaffte erstmals eine eigenständige Grundsatzregelung für die Erhebung, Verarbeitung und Nutzung von Beschäftigtendaten.[79] Sie wird als eine Reaktion auf die Skandale über die rechtswidrige Ausspähung von Arbeitnehmern gesehen.[80] Der neue § 32 BDSG wurde mit der Begründung eingeführt, er solle die bisherige Rechtsprechung konkretisieren und verständlicher machen.[81]
Das BDSG stellt die Kernmaterie für den Arbeitnehmerdatenschutz dar. Vor allem die Rechtsprechung des BAG hat den Arbeitnehmerdatenschutz über die Jahre hinweg konkretisiert.[82] Um den Besonderheiten des Arbeitnehmerdatenschutzes gerecht zu werden, enthalten LDSG zahlreiche Sonderbestimmungen für den Datenschutz im Rahmen von Arbeitsverhältnissen.[83]
Unter den Anwendungsbereich des BDSG fallen nach § 1 Abs. 2 Nr. 3 BDSG jede Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch eine nichtöffentliche Stelle. Damit sind die Vorschriften des BDSG im gesamten Bereich der Privatwirtschaft maßgebend (§ 27 Abs. 1 Nr. 1 BDSG). Das BDSG gilt nur für personenbezogene Daten, die geschäftsmäßig genutzt werden (§ 1 Abs. 2 Nr. 3 BDSG). Diese Voraussetzung ist bei Arbeitnehmerdaten stets erfüllt. Unter den Anwendungsbereich des BDSG fallen insbesondere Dateien i.S.d. § 3 Abs. 2 BDSG. Eine Datei ist im Ergebnis jede Sammlung personenbezogener Daten.[84]
Der Begriff Erheben bezeichnet das Beschaffen von Daten über den Betroffenen (§ 3 Abs. 3 BDSG). Verarbeiten von Daten umfasst gem. § 3 Abs. 4 Satz 1 BDSG das „Speichern, Verändern, Übermitteln, Sperren und Löschen von personenbezogenen Daten." Speichern ist gem. § 3 Abs. 4 Satz 2 BDSG „das Erfassen, Aufnehmen oder Aufbewahren personenbezogener Daten auf einem Datenträger zum Zwecke ihrer weiteren Verarbeitung oder Nutzung". Die Nutzung von Daten ist gem. § 3 Abs. 5 BDSG „jede Verwendung personenbezogener Daten, soweit es sich nicht um Verarbeitung handelt".
Zu den Beschäftigten i.S.d. § 32 BDSG gehören nicht nur Arbeitnehmer, sondern auch Bewerber, ehemalige Arbeitnehmer, in Heimarbeit Beschäftigte und öffentliche Bedienstete (§ 3 Abs. 11 BDSG).[85]
Die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten kann auf zwei verschiedenen Wegen zulässig sein. Entweder das BDSG bzw. eine andere Rechtsvorschrift erlaubt die Erhebung, Verarbeitung und Nutzung oder es liegt eine Einwilligung des Betroffenen vor. Beide Zulässigkeitsvoraussetzungen stehen gleichwertig nebeneinander.[86]
Wird eine Einwilligung des Beschäftigten eingeholt ist § 4a BDSG zu beachten. Bei einer Einwilligung ist es von Bedeutung, dass diese freiwillig erfolgt und der Betroffene über den Zweck der Erhebung, Verarbeitung und Nutzung sowie über die Folgen einer Verweigerung aufgeklärt wird. Außerdem bedarf sie in der Regel der Schriftform (§ 4a Abs. 1 Satz 1 bis 3 BDSG). Wird sie beim Abschluss des Arbeitsvertrags vereinbart, ist sie besonders hervorzuheben (§ 4a Abs. 1 Satz 4 BDSG).
Liegt keine Einwilligung des Betroffenen vor, so ergibt sich die Zulässigkeit aus § 32 BDSG. Die zentrale Zulässigkeitsvoraussetzung ist die Erforderlichkeit der Datenerhebung für die Entscheidung über die Begründung, Durchführung oder Beendigung eines...
