Beschäftigtendatenschutz

Eine Kontrolle ist nur eingeschränkt zulässig und hängt maßgeblich davon ab, ob die private Nutzung des dienstlichen E-Mail-Accounts erlaubt ist oder nicht. Ist private Nutzung gestattet, unterliegt der Arbeitgeber zusätzlichen Beschränkungen. In jedem Fall bedarf ein Zugriff eines legitimen Zwecks, muss erforderlich und verhältnismäßig sein und ist gegenüber den Beschäftigten transparent zu machen; besteht ein Betriebsrat, sind dessen Beteiligungsrechte zu beachten. Eine klare, im Vorfeld kommunizierte Richtlinie zur E-Mail-Nutzung schafft hier Rechtssicherheit für beide Seiten.

Eine Videoüberwachung am Arbeitsplatz ist nur unter engen rechtlichen Voraussetzungen zulässig. Erforderlich sind ein berechtigtes Interesse des Arbeitgebers, die Erforderlichkeit der Überwachung zur Erreichung dieses Zwecks und eine Abwägung, die nicht zugunsten der Persönlichkeitsrechte der Beschäftigten ausfällt. Als berechtigte Interessen kommen beispielsweise der Schutz vor Diebstählen, die Aufklärung konkreter Straftaten, der Schutz von Beschäftigten oder die Sicherung besonders sensibler Bereiche in Betracht. Eine permanente, flächendeckende oder rein vorsorgliche Überwachung der Mitarbeitenden ist hingegen regelmäßig unzulässig, da sie erheblich in deren Persönlichkeitsrechte eingreift. Besondere Bedeutung kommt dabei der Transparenz zu: Beschäftigte müssen grundsätzlich darüber informiert werden, dass eine Videoüberwachung stattfindet, zu welchem Zweck die Aufnahmen erfolgen und wie lange die Daten gespeichert werden. Eine verdeckte Überwachung ist nur in eng begrenzten Ausnahmefällen zulässig, etwa wenn ein konkreter Verdacht einer schwerwiegenden Pflichtverletzung oder Straftat gegen einzelne Beschäftigte besteht und mildere Mittel zur Aufklärung nicht zur Verfügung stehen. Sofern im Unternehmen ein Betriebsrat besteht, ist dieser frühzeitig einzubeziehen. Nach § 87 Abs. 1 Nr. 6 BetrVG unterliegt die Einführung und Nutzung von Videoüberwachungssystemen der zwingenden Mitbestimmung des Betriebsrats, da solche Systeme geeignet sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen. Der Arbeitgeber darf die Videoüberwachung daher grundsätzlich nicht einseitig einführen; kommt keine Einigung zustande, entscheidet die Einigungsstelle. Die konkreten Rahmenbedingungen, etwa die überwachten Bereiche, die Speicherdauer, Zugriffsrechte und Löschkonzepte, sind häufig Gegenstand einer Betriebsvereinbarung. Die Mitbestimmung des Betriebsrats ersetzt die datenschutzrechtlichen Anforderungen nicht, trägt aber wesentlich dazu bei, einen angemessenen Ausgleich zwischen den Interessen des Arbeitgebers und dem Persönlichkeitsrecht der Mitarbeitenden herzustellen.

Verarbeitet werden dürfen grundsätzlich nur Daten, die für die Entscheidung über die Begründung des Beschäftigungsverhältnisses erforderlich sind, etwa Qualifikationen und beruflicher Werdegang. Besondere Kategorien personenbezogener Daten, etwa zu Gesundheit oder Schwangerschaft, dürfen in aller Regel nicht abgefragt werden. Wird die Bewerbung abgelehnt, sind die Bewerbungsunterlagen nach Ablauf der einschlägigen Fristen zu löschen, insbesondere nach Ablauf der Frist zur Geltendmachung von Ansprüchen nach dem AGG unter Berücksichtigung eines angemessenen Zeitraums für eine etwaige gerichtliche Geltendmachung. Im Falle einer Einstellung können diejenigen Bewerberdaten in die Personalakte übernommen werden, die für das Beschäftigungsverhältnis weiterhin erforderlich sind; eine vollständige und pauschale Aufbewahrung sämtlicher Bewerbungsunterlagen ist mit dem Grundsatz der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO nicht ohne weiteres vereinbar und sollte daher zweckbezogen begründet und dokumentiert werden.

Die Speicherdauer richtet sich nach dem jeweiligen Zweck: Für lohnsteuer- und sozialversicherungsrechtlich relevante Unterlagen gelten gesetzliche Aufbewahrungsfristen von mehreren Jahren, während andere personenbezogene Daten ohne fortbestehenden Zweck zeitnah zu löschen sind. Eine pauschale, undifferenzierte Aufbewahrung „auf Vorrat“ ist datenschutzrechtlich unzulässig. Ein Löschkonzept mit klaren Fristen pro Datenkategorie schafft hier Rechtssicherheit.

Ja. Da solche Systeme geeignet sind, das Verhalten oder die Leistung von Bewerbenden beziehungsweise Beschäftigten zu überwachen und zu bewerten, unterliegt ihre Einführung und Anwendung regelmäßig der zwingenden Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Mitbestimmung bedeutet dabei nicht bloße Zustimmung: Ohne Einigung mit dem Betriebsrat darf das System nicht eingeführt werden, und bei Nichteinigung entscheidet die Einigungsstelle. Dies gilt insbesondere dann, wenn mit der Software auch interne Bewerbungen oder Talent-Pools bearbeitet werden. Hinzu kommen weitere Beteiligungsrechte: Nach § 90 BetrVG ist der Betriebsrat über die Planung technischer Anlagen und Arbeitsverfahren rechtzeitig zu unterrichten und die Maßnahme mit ihm zu beraten, und zwar bereits im Planungsstadium. Werden Auswahlkriterien für Einstellungen oder Versetzungen festgelegt, kommt ein Mitbestimmungsrecht bei Auswahlrichtlinien nach § 95 BetrVG in Betracht. Zudem gilt nach § 80 Abs. 3 Satz 2 BetrVG die Hinzuziehung eines Sachverständigen als erforderlich, wenn der Betriebsrat zur Beurteilung des Einsatzes von Künstlicher Intelligenz sachverständige Unterstützung benötigt. Datenschutzrechtlich ist eine Betriebsvereinbarung als Rechtsgrundlage nach Art. 88 DSGVO in Verbindung mit § 26 Abs. 4 BDSG möglich, ersetzt aber die materiellen Anforderungen der DSGVO nicht. Nach der KI-Verordnung sind KI-Systeme, die für die Auswahl oder Filterung von Bewerbungen eingesetzt werden, dem Hochrisikobereich nach Anhang III zuzuordnen, da sie die Karriereaussichten, die Lebensgrundlagen und die Arbeitnehmerrechte der betroffenen Personen spürbar beeinflussen können; die Pflichten für Hochrisiko-Systeme werden zeitlich gestuft anwendbar, sodass der konkrete Anwendungszeitpunkt im Einzelfall zu bestimmen ist. Zusätzlich trifft Arbeitgeber als Betreiber die Pflicht, die betroffenen Beschäftigten und ihre Vertretungen vor der Inbetriebnahme über den Einsatz zu informieren. Die betriebsverfassungsrechtlichen und die KI-rechtlichen Anforderungen sind vor Einführung parallel zu prüfen.