Source: https://www.rehm-verlag.de/verwaltung/aktuelle-beitraege-datenschutz/datenschutz-fuer-beschaeftigte-bayerischer-oeffentlicher-stellen-seit-25.-mai-2018/
Timestamp: 2019-12-16 00:38:11+00:00

Document:
Datenschutz für Beschäftigte bayerischer öffentlicher Stellen seit 25. Mai 2018 | rehm. Beste Antwort
Datenschutz für Beschäftigte bayerischer öffentlicher Stellen seit 25. Mai 2018
Newsletter Ausgabe Januar 2019:
Für den Datenschutz für Arbeitnehmer und Beamte bayerischer öffentlicher Stellen kommen sowohl Vorschriften der Datenschutz-Grundverordnung als auch Vorschriften des Bayer. Datenschutzgesetzes (BayDSG) bzw. des Bayer. Beamtengesetzes (BayBG) zur Anwendung.
1. Arbeitnehmer bayerischer öffentlicher Stellen
a) Generalklausel Art. 4 Abs. 1 BayDSG
Die maßgebliche Rechtsvorschrift für den Datenschutz der Arbeitnehmer bayerischer öffentlicher Stellen ist Art. 4 Abs. 1 BayDSG. Nach Art. 4 Abs. 1 BayDSG ist die Verarbeitung personenbezogener Daten durch (bayerische) öffentliche Stelle zulässig, wenn sie zur Erfüllung einer ihr obliegenden Aufgabe erforderlich ist (Erforderlichkeitsprinzip). Zu den Aufgaben öffentlicher Stellen gehört auch die Verarbeitung der personenbezogenen Daten ihrer Arbeitnehmer und der Bewerber, soweit dies zur Durchführung organisatorischer, personeller und sozialer Maßnahmen, insbesondere zu Zwecken der Personalverwaltung oder Personalwirtschaft erforderlich ist. Diese Verarbeitung ist Voraussetzung für eine funktionsfähige Verwaltung.
Art. 4 Abs. 1 BayDSG wird ergänzt durch
Art. 4 Abs. 2 BayDSG (Erhebung),
Art. 5 BayDSG (Übermittlung),
Art. 6 BayDSG (Zweckbindung),
Art. 8 BayDSG (Verarbeitung besonderer Kategorien personenbezogener Daten), wobei in Art. 8 Abs. 1 Satz 1 Nr. 2 BayDSG die Aufgabe „zur Wahrnehmung von Rechten und Pflichten der öffentlichen Stellen auf dem Gebiet des Dienst- und Arbeitsrechts“ eigens erwähnt wird.
Mit diesen Vorschriften machte der bayerische Gesetzgeber von einer (fakultativen) Öffnungsklausel der DSGVO Gebrauch, nämlich von Art. 6 Abs. 1 UAbs. 1 Buchst. e in Verbindung mit Art. 6 Abs. 2, Abs. 3 Satz 1 DSGVO. Die Regelungen zur Verarbeitung besonderer Kategorien personenbezogener Daten fußen auf Art. 9 Abs. 2 DSGVO.
Mit Hilfe dieser Vorschriften wird man zu den gleichen Ergebnissen kommen wie bisher nach den Generalklauseln der Art. 16 bis 19 BayDSG. So lässt sich das Fragerecht des Arbeitgebers mit Hilfe von Art. 4 Abs. 1 BayDSG beurteilen. Das Erforderlichkeitsprinzip bei der Verarbeitung personenbezogener Daten ist auch für den Datenschutz im Arbeitsverhältnis sachgerecht.
Maßgeblich ist jetzt der europarechtlich auszulegende Begriff der Erforderlichkeit. „Erforderlich“ im Sinn von Art. 6 Abs. 1 DSGVO ist eine Datenverarbeitung dann, wenn ohne die Verarbeitung die Erreichung des Zwecks nicht, nur unzulänglich, nicht mit angemessenem Aufwand oder nicht in angemessener Zeit erfolgen könnte (so Niese in Wilde/Ehmann/Niese/Knoblauch, Datenschutz in Bayern, Art. 6 DSGVO Rn. 35).
Um es hier schon vorwegzunehmen: Für bayerische Beamte gilt das Erforderlichkeitsprinzip gemäß Art. 103 Satz 1 des Bayer. Beamtengesetzes.
b) Gesetzliche Verpflichtungen (Verpflichtungsnormen gemäß Art. 6 Abs. 1 UAbs. 1 Buchst. c, Abs. 3 DSGVO)
Nach Art. 6 Abs. 1 UAbs. 1 Buchst. c, Abs. 3 DSGVO ist eine Verarbeitung personenbezogener Daten zulässig, wenn die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt. Voraussetzung ist also stets, dass eine Vorschrift des Unionsrecht oder des nationalen Rechts eine Verpflichtung des Verantwortlichen bestimmt. Als Beispiel lässt sich die Meldung des Arbeitgebers an die Einzugsstelle gemäß § 28a SGB IV nennen.
c) Tarifverträge und Dienstvereinbarungen
Nach Art. 88 DSGVO können die Mitgliedstaaten bereichsspezifische Regelungen für die „Verarbeitung personenbezogener Daten im Beschäftigungskontext“ auch durch Kollektivvereinbarungen schaffen. Hierzu gehören neben Tarifverträgen auch Dienst- und Betriebsvereinbarungen.
Dienst- und Betriebsvereinbarungen müssen sich innerhalb der vom jeweiligen Personalvertretungsgesetz bzw. vom Betriebsverfassungsgesetz gewährten Regelungsautonomie halten. Nach dem Bayer. Personalvertretungsgesetz sind Dienstvereinbarungen im Rahmen des Art. 73 Abs. 1 BayPVG zulässig. Datenschutzrechtlich relevant sind vor allem die Mitbestimmungstatbestände des BayPVG:
Art. 75a Abs. 1 Nr. 1 (Mitbestimmung bei Einführung, Anwendung und erheblicher Änderung technischer Einrichtungen zur Überwachung des Verhaltens oder der Leistung der Beschäftigten),
Art. 75a Abs. 1 Nr. 2 (Mitbestimmung bei Einführung, Anwendung und erheblicher Änderung von automatisierten Verfahren zur Personalverwaltung),
Art. 75 Abs. 4 Satz 1 Nr. 10 (Personalfragebogen),
Art. 75 Abs. 4 Satz 1 Nr. 11 (Beurteilungsrichtlinien),
Art. 75 Abs. 4 Satz 1 Nr. 13 (Erlass von Richtlinien über die personelle Auswahl bei Einstellungen, Versetzungen, Umgruppierungen und Kündigungen).
Als Themen für solche Vereinbarungen bieten sich insbesondere Personalverwaltungsverfahren, Personalfragebögen, Zeiterfassung, Telefondatenerfassung, Internetnutzung, Videoüberwachung und Zugangskontrollen an.
Im deutschen Recht können durch Tarifverträge Regelungen über betriebliche Fragen geschlossen werden (§ 1 Abs. 1 Tarifvertragsgesetz). Hierzu gehört auch der Datenschutz im Betrieb. Dabei sind datenschutzrechtliche Regelungen in Tarifverträgen für Arbeitgeber und Arbeitnehmer verbindlich, wenn der Tarifvertrag den Arbeitgeber bindet, da nur er verantwortliche Stelle im Sinn des Art. 4 Nr. 7 DSGVO ist. Ob und wie die Arbeitnehmer organisiert sind, ist nicht relevant.
d) Zulässigkeitsvorschriften unmittelbar auf Grund der DSGVO
Zusätzlich gelten für den Datenschutz der Arbeitnehmer bayerischer öffentlicher Stellen die unmittelbar geltenden Zulässigkeitsvorschriften der DSGVO:
aa) Erfüllung eines Vertrages (Art. 6 Abs. 1 UAbs. 1 Buchst. b DSGVO)
Nach Art. 6 Abs. 1 UAbs. 1 Buchst. b DSGVO ist eine Verarbeitung personenbezogener Daten zulässig, wenn sie zur Erfüllung eines Vertrages (hier des Arbeitsvertrages) erforderlich ist. Diese Rechtsgrundlage erlaubt nur Verarbeitungen, die für die Erfüllung der Vertragszwecke erforderlich sind, also nur für Zwecke der Personalverwaltung, nicht der Personalwirtschaft. Allerdings erfolgt die Verarbeitung von Beschäftigtendaten in der Regel aufgrund einer nationalen Befugnisnorm. Die hierbei einschlägigen gesetzlichen Vorgaben (insbesondere zu Zweck und Umfang der Verarbeitung) dürfen durch ein Abstellen auf Art. 6 Abs. 1 UAbs. 1 Buchst. b DSGVO nicht umgangen werden. So wird diese Alternative neben Art. 4 ff. BayDSG in der Praxis keine Rolle spielen.
bb) Einwilligung (Art. 6 Abs. 1 UAbs. 1 Buchst. a, Art. 7 DSGVO)
Die Einwilligung kommt als Rechtsgrundlage in Frage und zwar nach Art. 6 Abs. 1 UAbs. 1 Buchst. a, Art. 7 DSGVO, allerdings nur in einem untergeordneten Umfang.
Die Einwilligung muss gemäß Art. 4 Nr. 11 DSGVO freiwillig, für den bestimmten Fall und unmissverständlich abgegeben werden. Die Freiwilligkeit ist im Beschäftigungsverhältnis wegen der Abhängigkeit gegenüber dem Arbeitgeber (bzw. Dienstherrn) ein besonderes Problem. Falls die Einwilligung unter Druck abgegeben wird oder die Nichteinwilligung tatsächliche oder potenzielle Nachteile zur Folge hat, kann von Freiwilligkeit nicht die Rede sein.
Freiwilligkeit setzt voraus, dass der Beschäftigte die Einwilligung ablehnen kann, ohne dass er bei Ablehnung oder einem künftigen Widerruf mit Nachteilen rechnen muss. Denn nach Erwägungsgrund 42 (letzter Satz) sollte nur dann davon ausgegangen werden, dass die betroffene Person ihre Einwilligung freiwillig gegeben hat, wenn sie eine echte oder freie Wahl hat und somit in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden. Den Begriff des Nachteils darf man aber nicht zu weit verstehen. So kann man das Vorliegen eines (unzulässigen) Nachteils nicht schon bejahen, wenn der Beschäftigte bei Verweigerung der Einwilligung nicht den Vorteil erhält, für den die Einwilligung verlangt wird. Erlaubt daher beispielsweise der Arbeitgeber (bzw. Dienstherr) die private Internetnutzung unter der Voraussetzung, dass der Beschäftigte sich mit der Durchführung von Kontrollmaßnahmen zur IT-mäßigen Missbrauchsabwehr einverstanden erklärt (= Fall der Einwilligung), so ist die Freiwilligkeit nicht schon dann zweifelhaft, wenn der Beschäftigt im Falle der Einwilligungsverweigerung das Internet eben nicht privat nutzen darf. Anders formuliert: Die Vorenthaltung des Vorteils „private Internetnutzung“ ist kein Nachteil, der die Freiwilligkeit (als Voraussetzung einer wirksamen Einwilligung) beseitigt.
Demgegenüber läge ein unzulässiger Nachteil vor, wenn der Abschluss eines Arbeitsvertrages von der Erteilung einer Einwilligung zur Verarbeitung von solchen personenbezogenen Daten abhängig gemacht würde, die zur Erfüllung des Arbeitsvertrages nicht erforderlich sind. Dies gilt insbesondere, wenn Bewerber in die Stellung von Fragen einwilligen sollen, die unzulässig sind (z. B. nach der Schwangerschaft). Dies ergibt sich aus Erwägungsgrund 43 (letzter Satz), wonach eine Einwilligung nicht als erteilt gilt, wenn die Erfüllung eines Vertrages von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Vertragserfüllung nicht erforderlich ist. Der gleiche Gesichtspunkt ergibt sich auch aus Art. 7 Abs. 4 DSGVO. Zwar sprechen Erwägungsgrund 43 (letzter Satz) und Art.7 Abs. 4 DSGVO nur von der „Erfüllung eines Vertrages“. Die dort getroffenen Aussagen gelten aber wegen der Schutzbedürftigkeit der Betroffenen ebenfalls für den Abschluss eines Vertrages.
Einwilligungen werden also nur dann in Betracht kommen, wenn es erstens um Leistungen geht, auf die der Betroffenen nicht existentiell angewiesen ist (wie z. B. bei der privaten Internetnutzung im Dienst) und zweitens die Datenverarbeitung auch objektiv erforderlich ist. Im Fall der privaten Internetnutzung kann daher die Einwilligung nur insoweit eine Rechtsgrundlage für die Datenverarbeitung im Rahmen der Missbrauchsabwehr sein, soweit im Rahmen der Missbrauchsabwehr nur im erforderlichen Umfang (und nicht überschießend) personenbezogene Daten verarbeitet werden.
Unzweifelhaft auf Basis einer Einwilligung möglich ist daher etwa die Veröffentlichung von Fotos im Behördenintranet, es sei denn dem „Verweigerer“ würden anderweitige Nachteile drohen.
Auf den ersten Blick ist die DSGVO großzügig hinsichtlich der Form. Die Einwilligung kann schriftlich, elektronisch, mündlich oder auch nur konkludent abgegeben werden („in Form einer Erklärung oder einer eindeutigen bestätigenden Handlung“, Art. 4 Nr. 11 DSGVO). Die konkludente Einwilligung scheidet allerdings bei besonderen Kategorien personenbezogener Daten im Sinn des Art. 9 Abs. 1 DSGVO aus, da dort eine „ausdrückliche“ Einwilligung notwendig ist (Art. 9 Abs. 2 Buchst. a DSGVO). Wichtig ist auch Erwägungsgrund 32 (Satz 3), wonach „Stillschweigen, angekreuzte Kästchen oder Untätigkeit“ keine Einwilligung darstellen. Im Ergebnis wird die nichtschriftliche bzw. die nicht zumindest in Textform verkörperte Einwilligung keine Bedeutung erlangen, da der Verantwortliche die Einwilligung nachweisen können muss.
Einwilligungen sind jederzeit mit Wirkung für die Zukunft widerruflich (Art. 7 Abs. 3 Satz 1 DSGVO). Die DSGVO fordert vor Abgabe der Einwilligung eine Belehrung über die Widerruflichkeit der Einwilligung, verbunden mit dem Hinweis, dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitungen unberührt bleibt (siehe Art. 7 Abs. 3 Sätze 2 und 3 DSGVO).
e) Keine Anwendung von § 26 BDSG
§ 26 Bundesdatenschutzgesetz („Datenverarbeitung für Zwecke des Beschäftigtenverhältnis“) findet für bayerische öffentliche Stellen keine Anwendung (§ 1 Abs. 1 Satz 1 Nr. 2 Halbsatz 2 BDSG). Diese Vorschrift gilt nur für öffentliche Stellen des Bundes und für nicht öffentliche Stellen.
2. Beamte bayerischer öffentlicher Stellen
Für Beamte bayerischer öffentlicher Stellen gelten (neben § 50 Beamtenstatusgesetz) Art. 103 ff. des Bayer. Beamtengesetzes (BayBG). Gemäß Art. 103 Satz 1 BayBG darf derDienstherr personenbezogene Daten über aktive und ehemalige Beamte sowie über Beamtenbewerber verarbeiten, soweit dies zur Durchführung organisatorischer, personeller und sozialer Maßnahmen, insbesondere zu Zwecken der Personalverwaltung oder Personalwirtschaft erforderlich ist (Erforderlichkeitsprinzip).
Damit hat der Gesetzgeber von der (fakultativen) Öffnungsklausel des Art. 88 DSGVO Gebrauch gemacht, wonach die Mitgliedstaaten durch Rechtsvorschriften des nationalen Gesetzgebers bereichsspezifische Datenschutzvorschriften hinsichtlich der „Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext“ schaffen oder aufrechterhalten können.
Auch bei Beamten bayerischer öffentlicher Stellen kommen folgende für Arbeitnehmer bayerischer öffentlicher Stellen genannte Rechtsgrundlagen in Betracht:
Gesetzliche Verpflichtungen (Verpflichtungsnormen gemäß Art. 6 Abs. 1 UAbs. 1 Buchst. c, Abs. 3 DSGVO),
Dienstvereinbarungen,
Einwilligung, Zulässigkeitskriterium unmittelbar auf Grund der DSGVO (Art. 6 Abs. 1 UAbs. 1 Buchst. a, Art. 7 DSGVO).

References: Art. 4
 Art. 4
 Art. 4

Art. 4

Art. 4

Art. 5

Art. 6

Art. 8
 Art. 8
 Art. 6
 Art. 6
 Art. 9
 Art. 16
 Art. 4
 Art. 6
 Art. 6
 Art. 103
 Art. 6
 Art. 6
 § 28
 Art. 88
 Art. 73

Art. 75

Art. 75

Art. 75

Art. 75

Art. 75
 Art. 4
 Art. 6
 Art. 6
 Art. 4
 Art. 7
 Art. 6
 Art. 7
 Art. 4
 Art. 7
 Art.7
 Art. 4
 Art. 9
 Art. 7
 § 26

§ 26
 § 50
 Art. 103
 Art. 103
 Art. 88
 Art. 6
 Art. 7