§ 26 BDSG und DSGVO

§ 26 BDSG

DSGVO / Erläuterung

Anwendungsbereich

(8) Beschäftigte im Sinne dieses Gesetzes sind:

1. Arbeitnehmerinnen und Arbeitnehmer, einschließlich der Leiharbeitnehmerinnen und Leiharbeitnehmer im Verhältnis zum Entleiher,

2. zu ihrer Berufsbildung Beschäftigte,

3. Teilnehmerinnen und Teilnehmer an Leistungen zur Teilhabe am Arbeitsleben sowie an Abklärungen der beruflichen Eignung oder Arbeitserprobung (Rehabilitandinnen und Rehabilitanden),

4. in anerkannten Werkstätten für behinderte Menschen Beschäftigte,

5. Freiwillige, die einen Dienst nach dem Jugendfreiwilligendienstegesetz oder dem Bundesfreiwilligendienstgesetz leisten,

6. Personen, die wegen ihrer wirtschaftlichen Unselbständigkeit als arbeitnehmerähnliche Personen anzusehen sind; zu diesen gehören auch die in Heimarbeit Beschäftigten und die ihnen Gleichgestellten,

7. Beamtinnen und Beamte des Bundes, Richterinnen und Richter des Bundes, Soldatinnen und Soldaten sowie Zivildienstleistende.

Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis beendet ist, gelten als Beschäftigte.

-

Wenn Beschäftigtendaten zu anderen Zwecken als denjenigen, die mit dem konkreten Beschäftigungsverhältnis verknüpft sind, verarbeitet werden, ist auf die allgemeinen Regelungen der DSGVO, insbesondere auf Art. 6 Abs. 1 lit. f) DSGVO, zurückzugreifen. § 26 BDSG gilt dann nicht.

Beispiele: Pflichten nach dem Geldwäschegesetz oder Anti-Terror-Gesetzen, Verkauf von Daten an Dritte (insbes. für Werbezwecke).

(7) Die Absätze 1 bis 6 sind auch anzuwenden, wenn personenbezogene Daten, einschließlich besonderer Kategorien personenbezogener Daten, von Beschäftigten verarbeitet werden, ohne dass sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

Art. 4 Nr. 6:

Verarbeitung in Dateisystemen

Verfahren

(6) Die Beteiligungsrechte der Interessenvertretungen der Beschäftigten bleiben unberührt.

deklaratorisch

(5) Der Verantwortliche muss geeignete Maßnahmen ergreifen, um sicherzustellen, dass insbesondere die in Artikel 5 der Verordnung (EU) 2016/679 dargelegten Grundsätze für die Verarbeitung personenbezogener Daten eingehalten werden.

deklaratorisch

Erlaubnistatbestände

(1) Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist.

Art. 88 DSGVO

Art. 6 I b, c, e

Zur Aufdeckung von Straftaten dürfen personenbezogene Daten von Beschäftigten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.

Art. 6 I f

(2) Erfolgt die Verarbeitung personenbezogener Daten von Beschäftigten auf der Grundlage einer Einwilligung, so sind für die Beurteilung der Freiwilligkeit der Einwilligung insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. 4Der Arbeitgeber hat die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht nach Artikel 7 Absatz 3 der Verordnung (EU) 2016/679 in Textform aufzuklären.

Art. 6 I a

(3) Abweichend von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 für Zwecke des Beschäftigungsverhältnisses zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Absatz 2 gilt auch für die Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten; die Einwilligung muss sich dabei ausdrücklich auf diese Daten beziehen. § 22 Absatz 2 gilt entsprechend.

Art. 9 Absatz 1 DSGVO verbietet die Verarbeitung solcher Daten zunächst ganz allgemein. § 26 Absatz 2 lässt dazu in einem abschließenden Katalog von Fällen Ausnahmen zu.

Die Datenverarbeitung kann durch eine qualifizierte Einwilligung gestattet werden (Art. 9 Abs. 2 lit. a DSGVO); das setzt § 26 Absatz 3 S. 2 um.

Darüber hinaus lässt Art. 9 Absatz 2 lit. b DSGVO mitgliedstaatliche Erlaubnistatbestände für den Bereich arbeits- und sozialrechtlicher Pflichten zu (davon macht § 26 Absatz 2 S. 1 Gebrauch).

(4) Die Verarbeitung personenbezogener Daten, einschließlich besonderer Kategorien personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses, ist auf der Grundlage von Kollektivvereinbarungen zulässig. Dabei haben die Verhandlungspartner Artikel 88 Absatz 2 der Verordnung (EU) 2016/679 zu beachten.

Zum ersten bezieht sich der gesetzliche Erlaubnistatbestand von § 26 Absatz 1 S. 1 auch auf Ausübung von Rechten und Erfüllung von Pflichten, die sich aus einem Kollektivvertrag ergeben. Macht ein Kollektivvertrag die Datenverarbeitung erforderlich, so wird sie über diesen Tatbestand erlaubt.

Zum zweiten können die Kollektivpartner aber auch unmittelbar datenschutzrechtliche Erlaubnistatbestände schaffen (nach Art. 88 Absatz 1 DSGVO können Kollektivverträge „spezifischere Vorschriften“ für den Beschäftigtendatenschutz enthalten).