Auswirkungen der DSGVO auf den Arbeitnehmerdatenschutz

Rainer Knyrim und Karin Tien

Dr. Rainer Knyrim ist Rechtsanwalt in Wien. Mag. Karin Tien ist Rechtsanwaltsanwärterin in Wien.

1. Die Entwicklung des betrieblichen Datenschutzes (Art 88 DSGVO)

Bislang existiert in Österreich keine einheitliche und eigenständige Regelung des Arbeitnehmerdatenschutzrechts. Der Schutz der Arbeitnehmerdaten ergibt sich aus einer Reihe von arbeitsvertrags-, betriebsverfassungs- und datenschutzrechtlichen Bestimmungen.

Löschnigg, Arbeitsrecht¹² (2015) 725.

[lindepaywall tokens=“linde-media-plus“]

Der sachliche Anwendungsbereich der DSGVO umfasst sowohl die automatisierte als auch die nicht automatisierte Verarbeitung von Arbeitnehmerdaten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Diese Verarbeitungen sind an den Grundsätzen der DSGVO zu messen.

Vgl Art 2 DSGVO.

Neben den Regelungsspielräumen der Mitgliedstaaten nach Art 6 Abs 2 und 3 DSGVO sieht Art 88 DSGVO einen ausdrücklichen Spezifizierungsvorbehalt vor (sogenannte Öffnungsklausel), der – unter Einschränkungen – Erlaubnistatbestände für bereichsspezifische Maßnahmen im Beschäftigungskontext vorsehen kann.

Forgó/Helfrich/Schneider, Betrieblicher Datenschutz² (2017) 331.

Diese werden in Art 88 Abs 2 DSGVO und im Erwägungsgrund 155 derselben näher umrissen und zielen auf die Transparenzanforderungen gemäß Kapitel III („Rechte der Betroffenen“) ab, das heißt der Übermittlung von Arbeitnehmerdaten im Konzern, der Arbeitsplatzüberwachung und der Einholung von Einwilligungen der Arbeitnehmer.

Der österreichische Gesetzgeber hat die Öffnungsklausel bereits in seinem ersten Ministerialentwurf vom 12. 5. 2017

322/ME 25. GP, online abrufbar unter https://www.parlament.gv.at/PAKT/VHG/XXV/ME/ME_00322/ index.shtml.

skizziert und schlussendlich von dieser im am 31. 7. 2017 kundgemachten Datenschutz-Anpassungsgesetz 2018, BGBl I 2017/120, in § 11 Datenschutzgesetz (DSG) Gebrauch gemacht. In weiterer Folge hat der Gesetzgeber festgehalten, dass die Bestimmungen des ArbVG, soweit diese die Verarbeitung personenbezogener Daten regeln, eine Vorschrift im Sinne des Art 88 DSGVO sind. Bereits vor 40 Jahren sah das DSG 1978 in § 31 vor, dass die dem Betriebsrat nach dem ArbVG zustehenden Befugnisse unberührt bleiben. Diese Kernaussage ist nun wieder explizit als Norm im Datenschutz-Anpassungsgesetz 2018 zu finden und folgt einer jahrzehntelangen Tradition, generell nicht in die Systematik der Betriebsverfassung einzugreifen und von einer inhaltlichen Ausgestaltung des Arbeitsnehmerdatenschutzes im DSG Abstand zu nehmen.

Seite 363

2. Spezifischere Vorschriften für die Verarbeitung von Arbeitnehmerdaten

2.1. Betriebsvereinbarung unter der DSGVO

Die zentralen Normen des Mitbestimmungsrechts des Betriebsrats in Österreich sind §§ 96 und 96a ArbVG, welche nicht nur die zustimmungspflichtigen Maßnahmen über die Einführung von Kontrollmaßnahmen regeln, sondern auch die Einführung von technischen Systeme zur Kontrolle der Arbeitnehmer, die die Menschenwürde berühren.

Zu Hoene/Kern, Das Mitbestimmungsrecht des Betriebsrates bei der Einführung von IT-Systemen in Österreich und Deutschland, Dako 2017, 11.

An die Stelle einer formal abzugebenden individuellen Zustimmung des Arbeitnehmers tritt das Mitwirkungsrecht des Betriebsrats zur Gewährleistung des Schutzes personenbezogener Arbeitnehmerdaten nach der DSGVO, welche die Zustimmung durch institutionelle Organe des Arbeitsverfassungsrechts zulässt.

Angerler/Reven, DSGVO und nationales Arbeitsrecht, in Knyrim, Datenschutz-Grundverordnung (2016) 347 (353).

Die Mitwirkungsrechte des Betriebsrats zur Geltendmachung der Rechte der betroffenen Arbeitnehmer stellen im Kern keine wesentliche Änderung dar. Diese bleiben auch unter der DSGVO als Besonderheit für Beschäftigungsverhältnisse im Datenschutzkontext als spezifischere Vorschriften nach Art 88 DSGVO iVm Erwägungsgrund 155 derselben unverändert und ungeschmälert.

Betriebsvereinbarungen sind nun nach den allgemeinen Anforderungen der Transparenz und Nachvollziehbarkeit der DSGVO aufzusetzen.

G. Fritz, Anwendungsbereich und Rechtfertigung – Alles neu macht die DS-GVO? in Jahnel, Jahrbuch Datenschutzrecht 2016 (2016) 9 (38).

Daher sollte eine konkrete Beschreibung der Datenverarbeitung (Datenkategorien, Übermittlung, Zwecke und mögliche Zweckänderung) aufgenommen werden und die notwendigen Maßnahmen zur Wahrung der Rechte der Betroffenen sollten definiert werden.

Pötters/Wybitul/Böhm in Wybitul, EU-Datenschutz-Grundverordnung (2017) Art 88 Rz 34.

Bei der Einholung der (schriftlichen) Zustimmung in nicht betriebsratspflichtigen Betrieben nach § 10 AVRAG empfiehlt es sich, um der Anforderung der Informiertheit zu entsprechen, dass eine angemessene Bedenkzeit für die betroffenen Arbeitnehmer nach vorheriger Mitteilung über die geplante Verarbeitung eingeräumt wird. Eine Befristungsklausel oder eine andere Beendigungsmodalität bei der Kündigung dieser Vereinbarung

Reissner in Neumayr/Reissner, Zeller Kommentar zum Arbeitsrecht² (2011) § 10 AVRAG Rz 9.

können das jederzeitige Widerrufsrecht der Einwilligung nach Art 7 Abs 3 DSGVO abfedern.

2.2. Erlaubnistatbestände hinsichtlich der Verarbeitung von Arbeitnehmerdaten

Die materiellen Voraussetzungen einer wirksamen Einwilligung nach Art 4 DSGVO sind die Freiwilligkeit (ohne Zwang),

Vgl Art 7 Abs 4 DSGVO und Erwägungsgrund 43 derselben.

die Informiertheit (im Bewusstsein der Tragweite bzw in Kenntnis der Sachlage)

Vgl Art 7 Abs 2 DSGVO.

und die Konkretheit (für einen festgelegten Zweck).

Vgl Art 7 Abs 2 DSGVO.

Zwar sieht die DSGVO eine Einwilligung als Erlaubnistatbestand zur Verarbeitung von Arbeitnehmerdaten vor,

Selk in Ehmann/Selmayr, Datenschutz-Grundverordnung (2017) Art 88 Rz 100.

jedoch ist diese aufgrund des Kopplungsverbots (Abhängigkeitsverhältnis)

Siehe auch Goricnik, Die Einwilligung des Arbeitnehmers als Rechtsgrundlage einer Datenverarbeitung nach der DSGVO, Dako 2017, 54; zur Problematik des Kopplungsverbots im Allgemeinen siehe die Entscheidungsbesprechung zu Datenschutzbehörde 22. 5. 2017, DSB-D216.396/0003-DSB/2017, von V. Haidinger, Dako 2017, 92.

nach Art 7 Abs 4 DSGVO hohen Anforderung unterworfen. Die Stellungnahme

Article 29 Data Protection Working Party, Opinion 2/2017 on data processing at work (WP 249), S 6, online abrufbar unter http://ec.europa.eu/newsroom/document.cfm?doc_id=45631.

der Seite 364

Art 29-Datenschutzgruppe

Die Datenschutzgruppe wurde mit Art 29 der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. 10. 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl L 281 vom 23. 11. 1995, S 31, geschaffen und setzt sich zusammen aus den Vertretern der in jedem Mitgliedstaat des EWR bestehenden unabhängigen Datenschutz-Kontrollstellen (im Sinne des Art 28 der zitierten Richtlinie).

ist in diesem Zusammenhang von nicht unbeachtlicher Bedeutung, befasste sie sich doch mit der Einholung von Einwilligungen im Arbeitsverhältnis. Die Art 29-Datenschutzgruppe vertritt die Ansicht, dass es einer erteilten Einwilligung in einem Arbeitsverhältnis jedenfalls an der erforderlichen Freiwilligkeit mangelt, da – angesichts möglicher nachteiliger arbeitsvertraglicher Konsequenzen – eine solche nicht gegeben sein kann. Angesichts dieser Problematik empfiehlt die Art 29-Datenschutzgruppe, Verarbeitungstätigkeiten im Beschäftigungsverhältnis nicht auf Einwilligungen zu stützen, denn diese können nach Art 7 Abs 3 DSGVO auch jederzeit widerrufen werden. Aus praktischer Sicht wäre bei einem Widerruf die Datenverarbeitung folglich einzustellen. Ob die Legitimation der Datenverarbeitung in einem solchen Fall durch Rückgriff auf die gesetzliche Erlaubnis möglich bleibt, ist fraglich.

Selk in Ehmann/Selmayr, Datenschutz-Grundverordnung, Art 88 Rz 104.

Bei Verarbeitung der Arbeitnehmerdaten im Rahmen eines Vertragsverhältnisses kann auch auf den Erlaubnistatbestand des Art 6 Abs 1 lit b DSGVO abgestellt werden. Dieser erfasst – gemäß seinem Wortlaut – sämtliche für das Vertragsverhältnis erforderlichen Verarbeitungstätigkeiten (Abschluss, Durchführung, Änderung und Beendigung der arbeitsvertraglichen Beziehung).

Schulz/Gola in Gola, Datenschutz-Grundverordnung (2017) Art 6 Rz 85.

Ein weiterer Erlaubnistatbestand ist Art 6 Abs 1 lit f DSGVO, der eine Datenverarbeitung dann zulässt, wenn diese zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und diese Interessen gegenüber den Grundfreiheiten der Arbeitnehmer, die den Schutz der personenbezogenen Daten erfordern, überwiegen. Das Vorliegen eines „berechtigten Interesses“ wird in der Praxis wohl eine Beurteilung auf den jeweiligen Einzelfall erfordern, da dieses in einer Interessenabwägung an der geplanten Verarbeitung zu beurteilen ist. Ein Hinweis auf einen Bewertungsmaßstab findet sich im Erwägungsgrund 48 der DSGVO: Dieser nennt als Beispiel eines berechtigten Interesses die Übermittlung von personenbezogenen Daten innerhalb einer Unternehmensgruppe für interne Verwendungszwecke, einschließlich der Verarbeitung personenbezogener Daten von Kunden und Arbeitnehmern. Einen allgemeinen Erlaubnistatbestand für eine konzernweite Datenweitergabe (sogenanntes Konzernprivileg) kennt die DSGVO – wie bislang das DSG 2000 – dennoch nicht, denn die Übermittlungsvorgänge bleiben trotzdem rechtfertigungsbedürftig und richten sich nach den allgemeinen Erlaubnistatbeständen des Art 6 DSGVO.

2.3. Neue Rechte der Betroffenen

Durch die DSGVO werden Arbeitnehmern verschiedene Instrumente zur Verfügung gestellt, um ihre Rechte sicherzustellen. Dabei ist zu unterscheiden, dass die in Art 12 („Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person“) und Art 13 DSGVO („Informationsplicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“) geregelten Pflichten des Verantwortlichen bei jeder Datenerhebung gelten. Die Betroffenenrechte nach Art 15 ff DSGVO erlangen erst bei Geltendmachung durch den Betroffenen an Bedeutung. Eine Ausnahme davon bildet jedoch die Löschpflicht nach Art 17 Abs 1 lit a, d und f DSGVO, welche unabhängig von einer Geltendmachung der betroffenen Person ausdrückliche Handlungsverpflichtungen vorsieht. Neben dem Recht auf Auskunft gemäß Art 15 DSGVO, das umfassend und „in angemessenen Abständen“

Erwägungsgrund 63 der DSGVO.

eingefordert werden kann, soll es den Betroffenen möglich sein, Seite 365

die Rechtmäßigkeit der Verarbeitung zu überprüfen. Hierfür konkretisiert Erwägungsgrund 63 der DSGVO als Vorschlag des Zugänglichmachens eine Möglichkeit zur Einrichtung eines Fernzugangs zu einem sicheren System, der betroffenen Personen direkten Zugriff zu ihren personenbezogenen Daten ermöglichen könnte. Ob dies im Beschäftigtenkontext darauf abzielt, Arbeitnehmern ein Zugriffsrecht (oder zumindest ein Leserecht) auf den elektronischen Personalakt einzurichten, ist diskussionswürdig.

Das Recht auf Datenübertragbarkeit nach Art 20 DSGVO ist insbesondere dann von Bedeutung, wenn die Verarbeitung nicht aufgrund einer Einwilligung oder eines Vertrages gerechtfertigt werden kann. Im Arbeitsverhältnis sind jene Daten in einem strukturierten, gängigen, maschinenlesbaren und interoperablen Format auf Verlangen des Arbeitnehmers zur Verfügung zu stellen, die von diesem selbst bereitgestellt worden sind (wie etwa Angaben und Dokumente zur Person beim Bewerbungsgespräch).

Erwägungsgrund 68 der DSVGO.

2.4. Verarbeitung von Arbeitnehmerdaten bzw Arbeitnehmerkontrolle

Auch unter der DSGVO gewinnt die datenschutz- und arbeitsrechtliche Thematik der Kontrolle der Arbeitnehmer bei der Nutzung von betrieblichen Arbeitsmitteln (Hard- und Software) oder eingebrachten, zur betrieblichen Nutzung eingesetzten Geräten im Privateigentum der Arbeitnehmer (Schlagwort: bring your own device – BYOD) eine erhebliche Relevanz. Unabhängig von einer etwaigen Kontrollabsicht des Arbeitgebers liegt dann ein technisches Kontrollsystem vor, sobald es das Verhalten eines Arbeitnehmers kontrollieren oder überwachen kann.

Goricnik, Anpassungsbedarf für bestehende Betriebsvereinbarungen vor dem Hintergrund der Europäischen Datenschutz-Grundverordnung? DRdA-infas 2017, 53 (54).

Mit der DSGVO ändern sich die rechtlichen Maßstäbe für die Zulässigkeit der Verarbeitung von Beschäftigtendaten im Ergebnis nicht wesentlich;

Wronka/Gola/Pötters, Handbuch Arbeitnehmerdatenschutz⁷ (2016) 330.

diese werden sich zukünftig an Art 6 DSGVO orientieren. Jedoch sind umfangreiche Informationspflichten nach Art 13 und 14 DSGVO zu beachten, die bereits zum Zeitpunkt der Datenerhebung erfüllt werden müssen.

Byers, Die Zulässigkeit heimlicher Mitarbeiterkontrollen nach dem neuen Datenschutzrecht, NZA 2017, 1086.

Dies bedeutet, dass auch im Vorfeld der Einführung oder Erweiterung eines IT-Systems, sogar noch vor der tatsächlichen Implementationsphase (Testing), die Mitarbeiter darüber zu informieren sind und deren Einwilligung zur Nutzung ihrer Daten auch für eine Softwaretestphase einzuholen ist. Dies erschwert die Umsetzung interner IT-Projekte und kann nur durch Verzicht der Nutzung von Echtdaten der Arbeitnehmer oder durch Einsatz von Pseudonymisierungsmaßnahmen

Zum Begriff „Pseudonymisierung“ vgl Art 4 Z 5 DSGVO.

vermieden werden. Nach Empfehlung der Art 29-Datenschutzgruppe sind zudem bereits bei der Entwicklung und Ausgestaltung von IT-Anwendungen die Grundsätze des Datenschutzes, in diesem Zusammenhang vor allem die Maßnahmen zur Datenminimierung, durch datenschutzfreundliche Technik

Vgl Art 25 Abs 1 DSGVO.

(privacy by design) und datenschutzfreundliche Voreinstellungen

Vgl Art 25 Abs 2 DSGVO.

(privacy by default) zu berücksichtigten.

Article 29 Data Protection Working Party, Opinion 2/2017, S 8.

Verstöße gegen die Notwendigkeit, datenschutzfreundliche Einstellungen zu gewährleisten, können mit Bußgeldern von bis zu 2 % des Umsatzes des Unternehmens geahndet werden (Art 83 Abs 4 lit a DSGVO).

Die Arbeitnehmerdaten

Siehe näher zu data concerning vulnerable data subjects im Arbeitspapier der Article 29 Data Protection Working Party, Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is „likely to result in high risk“ for the purposes of Regulation 2016/679 (WP 248), S 9, online abrufbar unter http://ec.europa.eu/newsroom/document.cfm?doc_id=44137.

sind nach Ansicht der Art 29-Datenschutzgruppe aufgrund des „ungleichen Machtmissverhältnisses“ zwischen den Betroffenen und dem Verant Seite 366

wortlichen im Arbeitsverhältnis einem erhöhten Schutzniveau zu unterstellen, da die Arbeitnehmer nicht gänzlich frei von rechtlichen Konsequenzen der Datenverarbeitung zustimmen oder widersprechen können. Dies spielt insofern eine Rolle, als nach Art 35 DSGVO die Pflicht besteht, bei einer Datenverarbeitung mit einem voraussichtlich hohen Risiko für die persönlichen Rechte und Freiheiten der Betroffenen eine sogenannte Datenschutz-Folgenabschätzung durchzuführen.

Hierbei werden die Eintrittswahrscheinlichkeit und die Schwere eines möglichen Risikos durch die Datenverarbeitung für den Betroffenen evaluiert und anhand der Risikobewertung wird das erforderliche Maß an Schutzmechanismen abgestimmt.

Eine genaue Feststellung, woran sich ein hohes Risiko bemessen lässt, ergibt sich aus dem Gesetzeswortlaut nicht.

Bausewein/Steinhaus in Wybitul, EU-Datenschutz-Grundverordnung, Art 35 Rz 10.

Vielmehr wird mit beispielhaften Aufzählungen

Vgl Erwägungsgründe 75 und 91 der DSGVO.

versucht, sich iterativ einer praxisbezogenen Definition eines risikobehafteten Verarbeitungsvorgangs anzunähern.

Im Beschäftigungskontext wird nach Einschätzung der Art 29-Datenschutzgruppe jedenfalls bei Kontrollmaßnahmen den Arbeitnehmern gegenüber eine Datenschutz-Folgenabschätzung durchzuführen sein. Als explizite Beispiele werden das Internet-Monitoring

Article 29 Data Protection Working Party, Guidelines on Data Protection Impact Assessment, S 10.

oder die Mobile-Device-Management-Systeme

Article 29 Data Protection Working Party, Opinion 2/2017, S 17.

genannt. Dies könnte ein Hinweis darauf sein, dass betriebsvereinbarungspflichtige Maßnahmen nach § 96 Abs 1 Z 3 ArbVG künftig mit einer Datenschutz-Folgenabschätzung einhergehen werden.

3. Der Strafrahmen bei Verstößen gegen den Arbeitnehmerdatenschutz

In formeller Hinsicht sind die nationalen Rechtsvorschriften, die nach Art 88 Abs 3 DSGVO erlassen worden sind (spezifischere Rechtsvorschriften), der Europäischen Kommission zu melden. Dem Wortlaut nach sind damit lediglich die gesetzlichen Regelungen gemeint, nicht die Kollektivvereinbarungen selbst.

Wronka/Gola/Pötters, Arbeitnehmerdatenschutz⁷, 507.

Mit der Meldepflicht wird der Zweck verfolgt, dass die Europäische Kommission einen Überblick über die nationalen Umsetzungen erhält. Durch den Verweis des DSG in § 11 soll nicht das gesamte ArbVG zu einer spezifischeren Rechtsvorschrift im Sinne der DSGVO bestimmt werden,

Siehe näher Knyrim/Maurer, Der Datenschutz für die juristische Person bleibt bestehen, Dako 2017, 74 (76). Eckhard Riedl, Leiter der Datenschutzabteilung (V/3) im Bundeskanzleramt-Verfassungsdienst und Ersatzmitglied des Datenschutzrats, spricht in diesem Interview über das novellierte österreichische DSG und dessen Verhältnis zur DSGVO.

sondern – wie aus dem Ausschussbericht zum Datenschutz-Anpassungsgesetz 2018 ersichtlich

Vgl AB 1761 BlgNR 25. GP, 7 f.

– die datenschutzrechtlichen Regelungen, die in den arbeitsrechtlichen Vorschriften des ArbVG

Insbesondere §§ 89, 91, 96, 96a und 97 ArbVG und gleichlautende bundes- oder landesgesetzliche Bestimmungen für die Personalvertretungen.

zu finden sind. Die Strafbarkeit nach Art 83 DSGVO hat zur Folge, dass künftig der Nichtabschlusses einer Betriebsvereinbarung über eine Kontrollmaßnahme nach § 96 oder § 96a ArbVG künftig nach dem Strafrahmen der DSGVO geahndet werden kann, sofern eine Meldung dieser Bestimmung von Österreich an die Europäische Kommission erfolgt.

So Riedl im Interview mit Knyrim/Maurer, Dako 2017, 76.

[/lindepaywall]