Klauseln in Arbeitsverträgen mit Einwilligungserklärungen sollten überprüft werden. Denn die Einwilligung ist oftmals als Rechtsgrundlage unzuverlässig.
In keinem anderen Vertragsverhältnis fallen so viele personenbezogene Daten an wie im Arbeitsverhältnis. Bereits im Bewerbungsprozess gibt der Jobkandidat eine Vielzahl persönlicher Angaben preis, die dann oftmals durch weitere Ermittlungen und Recherchen des Arbeitgebers ergänzt werden.
Bei der Einstellung kommen dann noch Daten über das Vertragsverhältnis hinzu, sowie alle Angaben, die der Arbeitgeber benötigt, um seinen sozialversicherungsrechtlichen, steuerrechtlichen und anderen Pflichten nachzukommen. Zudem existieren in jedem Unternehmen eine Vielzahl von Prozessen, bei denen personenbezogene Daten von Beschäftigten erhoben und zu bestimmten Zwecken weiterverarbeitet werden.
Zum großen Teil betreffen diese Prozesse die Durchführung des Arbeitsverhältnisses. Als Beispiele können hier Daten über Besuche bei Kunden oder Geschäftsreisen genannt werden. Zum Teil geht es aber auch um Prozesse zur Förderung und Weiterbildung des Mitarbeiters im Rahmen von Schulungen oder eines im Unternehmen existierenden Personalentwicklungstools.
Aber auch Maßnahmen, die der Arbeitgeber ergreift, um die Arbeitsleistung des Mitarbeiters zu kontrollieren – sei es im Rahmen des Mithörens von Telefongesprächen eines Call-Center Mitarbeiters, sei es, um die Einhaltung des Verbots der privaten Internetnutzung zu überwachen – gehen einher mit der Erhebung und Auswertung personenbezogener Daten des Mitarbeiters.
EU-Datenschutzgrundverordnung zwingt zum umdenken
Die EU-Datenschutzgrundverordnung (DSGVO), die bis zum 25.Mai 2018 umzusetzen ist, zwingt die Human Resources-Verantwortlichen (HR-Verantwortlichen) im Unternehmen beim Umgang mit Daten der Beschäftigten zum Umdenken. Für jeden Prozess, bei dem Mitarbeiterdaten verarbeitet werden, muss künftig die Rechtsgrundlage nachgewiesen werden können (sog. Rechenschaftspflicht).
Ausgehend von der Masse der personenbezogenen Beschäftigtendaten, mit der die HR-Verantwortlichen im Unternehmen umgehen, ist dies eine besondere Herausforderung. Viele Unternehmen begegnen dieser Herausforderung aktuell dadurch, dass sie sich von ihren Beschäftigten im Arbeitsvertrag oder nachträglich für alle denkbaren Konstellationen Einwilligungserklärungen erteilen lassen. Und dies, obwohl es vielfach andere Rechtsgrundlagen als die Einwilligung gibt, auf die die meisten HR-Prozesse gestützt werden können.
Außerdem ist die Wirksamkeit von Einwilligungserklärungen im Beschäftigtenkontext im Allgemeinen fraglich, da das Verhältnis zwischen Arbeitnehmer und Arbeitgeber durch eine Über- und Unterordnung geprägt ist, so dass an der „Freiwilligkeit“ einer Einwilligung oftmals Zweifel bestehen können. Zu berücksichtigen ist ferner, dass der Arbeitnehmer das Recht hat, seine Einwilligung jederzeit zu widerrufen. Das macht die Einwilligung – wie auch in anderen Konstellation als dem Arbeitsverhältnis – zu einer sehr unverlässlichen Rechtsgrundlage.
Oftmals bessere Rechtsgrundlage als die Einwilligung vorhanden
Daher muss für jeden Prozess ermittelt werden, ob die Einwilligung wirklich das Mittel der Wahl ist oder ob die Datenverarbeitung nicht besser auf eine andere und verlässlichere Rechtsgrundlage gestützt werden kann. Dies gilt insbesondere vor dem Hintergrund, dass unwirksame Einwilligungserklärungen nach der Datenschutzgrundverordnung ein erhebliches Bußgeldrisiko bedeuten.
Die Einwilligung ist nur eine mögliche Ermächtigungsgrundlage für die Verarbeitung von Beschäftigtendaten. Deren Wirksamkeit setzt zunächst voraus, dass sie freiwillig erteilt wird. Bei der Beurteilung der Freiwilligkeit sind insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit des Arbeitnehmers sowie die Umstände, unter denen die Einwilligung erteilt wurde, zu berücksichtigen.
Der deutsche Gesetzgeber hat die Bedingungen, unter denen von einer Freiwilligkeit ausgegangen werden kann, präzisiert: Danach kann „Freiwilligkeit“ insbesondere vorliegen, wenn die Einwilligung in die Datenverarbeitung letztlich dazu dient, für den Arbeitnehmer einen rechtlichen oder wirtschaftlichen Vorteil zu erzielen. Zu denken ist hierbei an Gratifikationen oder andere freiwillige Leistungen des Arbeitgebers, für deren Erbringung der Arbeitnehmer (weitere) personenbezogene Daten offenbaren muss. Abgesehen von diesen Fällen bleibt aber die Freiwilligkeit der Einwilligung stets fraglich und stellt damit rechtlich gesehen ein Risiko dar.
Einwilligung sollte nicht als Auffangtatbestand herhalten
Die Einwilligung sollte daher keinesfalls als “Auffangtatbestand” herhalten, wenn unklar ist, ob der Prozess auch auf eine andere rechtliche Grundlage gestützt werden kann. Vielmehr sollte die Einwilligung künftig nicht die Regel, sondern die Ausnahme sein. Stattdessen sollte zunächst geprüft werden, ob die Datenverarbeitung auf eine andere Ermächtigungsgrundlage gestützt werden kann.
Dies ist zunächst dann der Fall, wenn die Datenverarbeitung für die Anbahnung, Durchführung oder Abwicklung des Beschäftigungsverhältnisses erforderlich ist. Zudem besteht eine Rechtfertigung für den Arbeitgeber immer dann, wenn er einer bestehenden Verpflichtung aus Gesetz, Tarifvertrag oder einer Betriebsvereinbarung nachkommt. Die Masse der Prozesse lässt sich unter einer dieser beiden Zulässigkeitsalternativen subsumieren.
Als Alternative zur Einholung von Einwilligungserklärungen bieten sich auch Betriebsvereinbarungen an. Das neue Bundesdatenschutzgesetz erkennt diese nunmehr ausdrücklich als Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten an.
Keine Einwilligung bei rechtlicher Grundlage
Klauseln in Arbeitsverträgen, die Einwilligungserklärungen enthalten, müssen unbedingt überprüft werden. Für Prozesse, die auf eine andere rechtliche Grundlage gestützt werden können, sollte keine Einwilligung eingeholt werden. Kommt der Arbeitgeber ausnahmsweise nicht an einer Einwilligung des Mitarbeiters vorbei, muss sich diese an den ab Mai 2018 geltenden Anforderungen messen lassen. Hierbei sind nicht nur die Vorgaben der DSGVO zu beachten, sondern auch die des neuen Bundesdatenschutzgesetzes, das zeitgleich mit der Verordnung in Kraft treten wird. Hervorzuheben sind in diesem Zusammenhang auch die weitaus gestiegenen Anforderungen an die Informationspflichten des Arbeitgebers.
