Datenschutz

In Kürze

Datenschutz regelt den rechtmäßigen Umgang mit personenbezogenen Daten im Arbeitsverhältnis und schützt die Privatsphäre von Beschäftigten gegenüber Arbeitgebern und Behörden. Arbeitgeber müssen Personaldaten sicher, zweckgebunden und verhältnismäßig verarbeiten.

Definition

Datenschutz bezeichnet den Schutz personenbezogener Daten vor Missbrauch. Im Betrieb werden viele persönliche Daten erhoben – etwa in der Personalakte, der Lohnabrechnung oder bei der Krankmeldung. Der Datenschutz legt fest, wie diese Daten erhoben, verarbeitet, gespeichert und weitergegeben werden dürfen.

Datenschutz ist von Datensicherheit abzugrenzen: Datensicherheit betrifft primär technische Schutzmaßnahmen gegen Datenverlust oder unbefugten Zugriff, während Datenschutz die rechtlichen Grundlagen und Grenzen der Datenverarbeitung regelt.

Die wichtigsten gesetzlichen Grundlagen sind:

• EU-Datenschutz-Grundverordnung (DSGVO) – gilt seit dem 25. Mai 2018 verbindlich in allen EU-Mitgliedsstaaten und bildet den Kern des Datenschutzrechts.
• Bundesdatenschutzgesetz (BDSG) – ergänzt die DSGVO für Deutschland und regelt einzelne Teilbereiche.
• Art. 13, 14 DSGVO – verpflichten den Arbeitgeber, Beschäftigte darüber zu informieren, welche Daten zu welchem Zweck verarbeitet werden.
• Art. 17 DSGVO – gibt Arbeitnehmern das Recht, nach Ende des Arbeitsverhältnisses die Löschung ihrer Daten zu verlangen.
• Art. 38 DSGVO – schreibt vor, dass Arbeitgeber einen Datenschutzbeauftragten benennen müssen, wenn mindestens zehn Personen regelmäßig automatisiert Daten verarbeiten.
• Art. 88 Abs. 1 DSGVO – lässt Betriebsvereinbarungen ausdrücklich als Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten zu.
• § 87 Betriebsverfassungsgesetz (BetrVG) – räumt dem Betriebsrat ein Mitbestimmungsrecht ein, wenn der Arbeitgeber Programme zur Überwachung von Arbeitnehmern einsetzen möchte.

Im betrieblichen Alltag bedeutet Datenschutz: Nur berechtigte Personen dürfen auf Personaldaten zugreifen. Daten, die für unterschiedliche Zwecke erhoben wurden – etwa Arbeitsverträge und Lohnabrechnungen – sollten getrennt verwaltet werden. Unbefugte, auch betriebsinterne Personen, dürfen keinen Zugang zu sensiblen Unterlagen erhalten. Die Anwendung erfordert dokumentierte Prozesse, geschulte Beteiligte sowie angemessene technische und organisatorische Maßnahmen.

Ehemalige Mitarbeiter können die Löschung ihrer Daten verlangen. In Deutschland gilt jedoch eine gesetzliche Mindestaufbewahrungspflicht von sechs Jahren. Erst danach ist eine endgültige Löschung möglich. Verstöße können arbeitsrechtliche Konsequenzen, behördliche Maßnahmen und zivilrechtliche Haftung auslösen.

Ein besonderer Bereich ist der Datenschutz im Sozialrecht. Hier regeln die Vorschriften des Sozialgesetzbuchs (SGB), wie persönliche Daten von Arbeitnehmern und Versicherten durch Sozialleistungsträger – etwa Krankenkassen oder die Bundesagentur für Arbeit – verarbeitet werden dürfen. Solche Daten heißen Sozialdaten und sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person.

Für Sozialdaten gelten folgende Grundsätze:

• Erhebung (§ 67a SGB X): Sozialdaten dürfen nur erhoben werden, wenn dies für eine gesetzliche Aufgabe nach dem SGB erforderlich ist. Die Erhebung erfolgt grundsätzlich direkt beim Betroffenen, der über Zweck und eine etwaige Auskunftspflicht informiert werden muss.
• Verarbeitung (§ 67b SGB X): Die Verarbeitung ist nur erlaubt, wenn eine gesetzliche Grundlage vorliegt oder der Betroffene ausdrücklich – grundsätzlich schriftlich und vor der Verarbeitung – eingewilligt hat.
• Übermittlung (§§ 67d, 69 SGB X): Sozialdaten dürfen nur weitergegeben werden, wenn eine gesetzliche Übermittlungsbefugnis besteht. Die Verantwortung für die Zulässigkeit trägt die übermittelnde Stelle.
• Besonders geschützte Daten (§ 76 SGB X): Daten von Ärzten oder anderen Heilberuflern dürfen nur unter denselben Voraussetzungen weitergegeben werden, unter denen der Arzt selbst zur Weitergabe berechtigt wäre.
• Auskunftsrecht (§ 305 SGB V): Versicherte haben gegenüber ihrer Krankenkasse ein Auskunftsrecht über die zu ihrer Person gespeicherten Daten.

Seit dem 1. Januar 2023 erhalten Arbeitgeber keine Papierbescheinigung über Arbeitsunfähigkeit mehr. Arbeitnehmer teilen dem Arbeitgeber lediglich mit, dass sie arbeitsunfähig sind. Die Krankenkasse informiert den Arbeitgeber anschließend elektronisch über Beginn und Dauer der Arbeitsunfähigkeit – die Diagnose wird dabei nicht übermittelt.

Sozialversicherungsträger mit mehr als 20 Mitarbeitern sind verpflichtet, einen Datenschutzbeauftragten zu bestellen, der die Einhaltung der datenschutzrechtlichen Vorschriften überwacht.