Beschäftigtendatenschutz

In diesem Beitrag geht es um das vermeintlich banale Thema von Geburtstagslisten in Unternehmen (oder auch öffentlichen Stellen).

„Gibt es da nicht wichtigere Themen?“…das können wir uns zu Recht fragen. Sicher gibt es wichtigere Themen. Aber die Frage nach Geburtstagslisten kam in den letzten Wochen häufiger von Mandanten und auch Datenschutz-Coaching-Mitgliedern. Ein Indiz dafür, dass hier Bedarf besteht. Und das Thema der Geburtstagslisten eignet sich auch wunderbar, um auf ein grundlegendes Problem hinzuweisen. Nein, besser formuliert: Um eine grundlegende Empfehlung zum Umgang mit Datenverarbeitung zu geben. Also schauen wir uns das einmal an. Wenn euch die nachfolgenden Ausführungen zu langwierig werden, hier ein Hinweis: Am Ende der Ausführungen gibt es auch einen Mustertext. Dabei könnt ihr das selbst doch sehr viel besser. Aber lest selbst, warum das so ist:

In vielen Unternehmen gibt es Geburtstagslisten. Und das in vielen verschiedenen Variationen. Von Zetteln, die in einer Abteilung von jemandem händisch gepflegt werden oder auch Excel-Dateien mit Geburtstagslisten, die im Gruppenlaufwerk gespeichert sind. Bis hin zu Unternehmen, die z.B. am Eingang oder auf den Fluren jeden Tag auf den Geburtstag von Mitarbeiterinnen oder Mitarbeitern hinweisen. Und wenn wir einmal ganz ehrlich sind, ist das wohl für die Mehrzahl der Beschäftigten eine schöne Sache, wenn Kolleginnen und Kollegen am Geburtstag gratulieren.

Jetzt können wir lange darüber diskutieren, warum viele Menschen sich gerne zum Geburtstag gratulieren lassen (und warum einige nicht), und das ist nicht unser Thema. Ich persönlich denke, es hat damit zu tun, dass es ein Grundwert von Menschen ist, „Bedeutung“ zu erlangen bzw. von anderen zu erhalten. Und wenn jemand mir zum Geburtstag gratuliert, dann nimmt er sich in diesem Moment (wenn auch nur ein kleines bisschen) Zeit, um mich wertzuschätzen.

Und es gehört zum Leben dazu, dass es auch Menschen gibt, die sich nicht gerne zum Geburtstag gratulieren lassen. Und auch das ist natürlich in Ordnung. Ich möchte jetzt auch keine Diskussion anfangen, was nun „normal“ und was „nicht normal“ ist. Das ist nicht zielführend.
Ich möchte vielmehr auf etwas anderes hinaus: Wenn es tatsächlich so ist, dass in einem Unternehmen die überwiegende Mehrheit von Beschäftigten sich gerne von Kolleginnen und Kollegen zum Geburtstag gratulieren lässt oder zumindest nichts dagegen hat, dann wäre das doch eigentlich das Musterbeispiel für Datenverarbeitung auf Basis einer Interessenabwägung.
Jetzt versteht ihr als DSGVO-Interessierte vielleicht worauf ich hinauswill. Denn wenn ich Geburtstagslisten im Unternehmen verarbeite, dann benötige ich dafür wohl oder übel eine Rechtsgrundlage.
Und zwar selbst dann, wenn ich diese nur auf Papier führe. Denn nach § 26 Abs. 7 BDSG gelten die Regelungen des Beschäftigtendatenschutzes in § 26 BDSG auch für Informationen in Papierform.

Kann denn nun die Rechtsgrundlage für die Geburtstagsliste die „Interessenabwägung“ sein oder nicht? Die Antwort ist gar nicht so einfach. Zur Interessenabwägung als Rechtsgrundlage im Beschäftigtendatenschutz solltet ihr übrigens immer erst dann gedanklich kommen, wenn ihr mit der Rechtsgrundlage des § 26 Abs. 1 BDSG nicht weiter kommt. Das sind die Fälle, in denen die jeweilige Datenverarbeitung eben nicht zur Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist.
Im Falle unser Geburtstagslisten wird man übrigens wohl schwerlich zu dem Ergebnis kommen, dass Geburtstagslisten zwecks Gratulation bzw. Hinweisen zu Geburtstagen als betriebliches Erfordernis angesehen werden können.

Aber Achtung: Wenn ihr es z.B. hinbekommt, eine zulässige Klausel im Arbeitsvertrag einzubauen, nach der es für Zwecke des freundlichen Umgangs im Unternehmen Teil der arbeitsvertraglichen Pflichten ist, den Geburtstagskindern im Unternehmen bei einer Begegnung zu gratulieren, dann käme man schon zur Rechtsgrundlage in § 26 Abs. 1 BDSG. Zumindest theoretisch. Praktisch dürfte die Wirksamkeit einer solchen Klausel schon sehr fraglich sein. Also lassen wir diesen Gedanken mal.

Wenn wir den § 26 BDSG aufmerksam lesen, sehen wir, dass diese Regelung gar keine Interessenabwägung vorsieht. Nach § 26 BDSG gibt es grundsätzlich nur die Fälle, in denen eine Datenverarbeitung betrieblich erforderlich ist oder eben die Einwilligung. Von einer Interessenabwägung ist keine Rede. Gleichwohl ist aber auch eine Interessenabwägung als Rechtsgrundlage im Beschäftigtendatenschutz möglich. Das ergibt sich nämlich schon direkt aus der insoweit vorrangigen DSGVO. Unabhängig davon, welcher Ansicht man nun für eine rechtsdogmatische Herleitung dieses Ergebnisses folgt (ist hier nicht Thema), ist nicht wegzudiskutieren, dass die Öffnungsklauseln der DSGVO für die Regelung von Datenverarbeitung im Beschäftigungskontext in den EU-Mitgliedsstaaten nicht dazu führt, dass Art. 6 DSGVO in Gänze nicht mehr anwendbar wäre. Vielmehr spricht vieles dafür, dass z.B. § 26 BDSG den Art. 6 Abs. 1 lit. b) DSGVO konkretisiert. Das wird auch anders gesehen, ist aber – wie gesagt – hier nicht unser Thema.

Stellen wir also Folgendes fest: Auch im Beschäftigungskontext ist eine Verarbeitung von Daten auf Basis einer Interessenabwägung nach Art. 6 Abs. 1 lit. f) DSGVO zulässig. Nur: Ist bei Geburtstagslisten von einem Interesse des Arbeitgebers auszugehen und ist weiter davon auszugehen, dass ein entgegenstehendes Interesse der betroffenen Person(en) nicht überwiegt? Genau das ist fraglich. Vor allem fängt schon die Schwierigkeit damit an, ob ich bei dieser Interessenabwägung nun von einem „typischen“ Beschäftigten ausgehen darf oder muss ich stets den Einzelfall betrachten. Wenn Letzteres der Fall sein sollte, wird man mit der Interessenabwägung generell keine Standard-Datenverarbeitungsprozesse rechtfertigen können. Sinn und Zweck der Norm, vor allem aber der systematische Zusammenhang der Interessenabwägung spricht gegen so eine Annahme.

Aber: Wie ich es drehe und wende, es bleibt rechtlich eine wackelige Geschichte, wenn ich die Verwendung von Geburtstagslisten auf der Interessenabwägung basieren lassen möchte. Sollte ich also vielleicht doch besser auf eine Einwilligung setzen? Die Einwilligung ist bei uns Datenschutzanwälten zu Recht nicht beliebt. Sie ist die „schlechteste“ Rechtsgrundlage für beide Seiten. Also für Verantwortlichen und Betroffenen. Warum? Das habe ich in diversen Podcasts schon mehrfach erwähnt.

Bei Geburtstagslisten ist die Einwilligung dennoch „leider“ derzeit die beste Wahl. Das hängt mit der „wackeligen“ Rechtslage bei der Interessenabwägung in diesem Fall, aber eben auch mit einer Begründung des Gesetzgebers zusammen. Denn der deutsche Gesetzgeber ist bei seiner Begründung zu § 26 BDSG auf das Thema der Geburtstagslisten eingegangen (BR-Drs. 110/17, S. 97). Und zwar im Kontext der Einwilligungsregelung in § 26 Abs. 2 BDSG. Der Gesetzgeber selbst ist hier also davon ausgegangen, dass im Falle der Verwendung von Geburtstagslisten eine Einwilligung erforderlich sein wird. Es spricht daher vieles dafür, dass auch ein Gericht (oder im Vorwege eine Aufsichtsbehörde) im Rahmen der Würdigung der Rechtslage ebenfalls diesen Schluss zieht, wenn es mal zu einer rechtlichen Auseinandersetzung käme.

Daher würde ich (auch wenn ich es eigentlich nicht für sinnvoll halte) derzeit empfehlen, die Verwendung von Geburtsdaten von Beschäftigten in Geburtstagslisten über eine Einwilligung zu regeln. Wenn ich den Mandanten oder Datenschutz-Coaching-Mitgliedern das erzähle bzw. empfehle, kommt häufig die Folgefrage: Und wie muss so eine Einwilligung formuliert sein? Das ist ganz einfach. Denn das kann jeder Mandant in der Regel sehr gut selbst. Zumindest in diesen einfachen Fällen. Es sind immer diese Regeln zu beachten:

1. Beschreibe dem Betroffenen konkret und ohne juristisches „Geschwafel“, welche Daten (Geburtsdatum oder ggf. nur Geburtstag ohne Geburtsjahr) du wofür (z.B. Aushang am Schwarzen Brett) verwenden möchtest.
2. Teile deutlich mit, dass du das nur machst, wenn eine Einwilligung dafür erteilt wird.
3. Sage sehr deutlich, dass die Einwilligung freiwillig ist und keinerlei Nachteile entstehen, wenn eine Einwilligung nicht erteilt wird.
4. Weise darauf hin, dass die Einwilligung jederzeit widerrufen werden kann und sage, wie der Betroffene das machen kann.
5. Sei freundlich in der Formulierung. Schreibe so, wie es bei euch im Unternehmen unter Kolleginnen und Kollegen üblich ist.
6. Wenn es um Daten von Arbeitnehmerinnen und Arbeitnehmern geht, sollte die Einwilligung (und auch die Informationen gem. Ziff. 1-5) grundsätzlich schriftlich erfolgen, da nach § 26 Abs. 2 Satz 3 BDSG die Schriftform vorgesehen ist, von der nur in besonderen Umständen abgesehen werden darf.

Wenn ihr diese Regeln beachtet, werdet ihr eine Einwilligung wunderbar selbst formulieren können.

Für einen Aushang von Infos zu den Geburtstagskindern kann die Einwilligung z.B. so aussehen: