In Deutschland gibt es bisher keine speziellen Regeln, die jede typische Verarbeitungssituation von Beschäftigtendaten eindeutig regeln. Das Bundesarbeitsministerium hat zwar ein eigenes Beschäftigtendatenschutzgesetz als Entwurf vorgelegt; doch trotz mehrfacher Diskussion hat es der Deutsche Bundestag nie verabschiedet. Dadurch bleibt die konkrete Umsetzung der Datenschutzvorgaben im Arbeitsalltag letztlich Arbeitgebern, Betriebsräten und Mitarbeitenden überlassen.
Da heute nahezu jede Person im Unternehmen personenbezogene Daten verarbeitet, müssen alle Beschäftigten die rechtlichen Anforderungen kennen und anwenden können. Personenbezogene Daten gelten heute als wirtschaftlich wertvolles Gut – und stehen deswegen unter besonders strengem Schutz.
Die wichtigsten gesetzlichen Grundlagen
Für Beschäftigtendaten gelten europäische und nationale Datenschutzgesetze. Die wichtigsten Regelwerke sind:
DSGVO (Datenschutz-Grundverordnung): Die DSGVO ist EU-weit seit 2018 gültig. Sie regelt die Verarbeitung personenbezogener Daten und fordert u.a. Transparenz, Zweckbindung und Datensparsamkeit. Für den Beschäftigungskontext besonders relevant ist Art. 88 DSGVO. BDSG (Bundesdatenschutzgesetz): Das BDSG ergänzt die DSGVO in Deutschland. Es enthält spezifische Regeln für das Beschäftigungsverhältnis, vor allem in § 26 BDSG-neu.
Strafgesetzbuch: Das Strafgesetzbuch regelt beispielsweise die besondere Verschwiegenheit medizinischen Personals im Umgang mit Gesundheitsdaten.
Postgesetz: Das Postgesetz enthält Vorgaben zur Wahrung des Briefgeheimnisses.
Sozialgesetzbuch: Das Sozialgesetzbuch bestimmt die Vertraulichkeit im Umgang mit Sozial- und Versicherungsdaten.
Neue Herausforderungen durch moderne Technologien
Mit dem Einsatz von z.B. KI‑Tools, Cloud‑Diensten oder Videokonferenzen entstehen Situationen, die gesetzlich nicht immer eindeutig geregelt sind. Hinzu kommt: Für viele Arbeitsabläufe ist es nicht praktikabel, wenn der Arbeitgeber sehr detaillierte Vorgaben macht. Deshalb ermöglicht der Gesetzgeber hier einen Interpretationsspielraum.
Ein Beispiel: Lose Zettel auf dem Schreibtisch fallen normalerweise nicht unter die Datenschutzvorschriften. Enthalten sie jedoch personenbezogene Beschäftigtendaten, gelten strenge Schutzanforderungen. Für Beschäftigtendaten erstreckt sich der Schutz sogar auf mündlich ausgetauschte Informationen.
Auch die Aufzeichnung von Team-Meetings per Video und deren Speicherung im Intranet ist datenschutzrechtlich heikel. Eine Verwendung ist nur zulässig, wenn alle Teilnehmenden vorher informiert wurden und ausdrücklich eingewilligt haben.
Beschäftigtendaten in der Cloud
Viele Unternehmen nutzen heute mehrere externe Cloud-Lösungen (Multi-Cloud-Lösungen), zum Beispiel für regelmäßige Back-ups, mobile Arbeit und den Arbeitsplatz im Homeoffice. Mit Blick auf den Beschäftigtendatenschutz erfordert die Datenverarbeitung in einer externen Cloud eine besondere Prüfung.
Interne Clouds sind unproblematisch. Sofern Sie Beschäftigtendaten jedoch in einer externen Cloud speichern, sollten Sie Ihre Cloud-Zugänge mit der Zwei-Faktor-Authentifizierung und durch starke Passwörter absichern. Achten Sie zudem auf eine gesicherte Datenübertragung in die Cloud. Empfehlenswert ist es zudem, die Daten zu verschlüsseln, bevor Sie diese in die Cloud übertragen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, Cloud-Anbieter sorgsam auszuwählen. Vertrauenswürdige Cloud-Anbieter erkennt man an gültigen Sicherheitszertifikaten oder TÜV-Prüfzeichen. Das Kompetenznetzwerk Trusted Cloud des Bundeswirtschaftsministeriums bietet über seine Plattform die Möglichkeit, sichere Cloud-Anbieter zu finden, die deutschen Ansprüchen an den Datenschutz genügen (https://www.trusted-cloud.de/). Hinweis: Beschäftigtendaten können sich bereits in Word-Dokumenten befinden; etwa die Kontaktdaten von Mitarbeitenden, die gemeinsam an einem Konzept gearbeitet haben. Überlegen Sie sich genau, welche Daten Sie in die Cloud übertragen.
Nicht nur vorsätzliche, sondern auch fahrlässige Verstöße können erhebliche Folgen für Unternehmen und Beschäftigte haben. Unter Umständen können sogar Mitarbeitende persönlich haftbar gemacht werden.
