Datenschutz im Arbeitsverhältnis: Was Arbeitgeber:innen beachten müssen
Rechtliche Erlaubnis, Informationspflichten, Betroffenenrechte und Speicherdauer kompakt erklärt.
Lesedauer: 6 Minuten
Allgemeine Informationen zum Thema Arbeitsrecht und Datenschutz
Als Arbeitgeber:in stehen Sie vor der Aufgabe, zahlreiche datenschutz- und arbeitsrechtliche Vorgaben zu beachten. Sie müssen sicherstellen, dass die personenbezogenen Daten Ihrer Mitarbeitenden rechtmäßig, zweckgebunden und transparent verarbeitet werden. Dazu gehört nicht nur die Information Ihrer Mitarbeiter:innen über die Datenverarbeitung, sondern – bei bestimmten automationsunterstützten Verarbeitungsvorgängen – auch die rechtzeitige und umfassende Information des Betriebsrats. In einigen Fällen ist sogar eine Betriebsvereinbarung erforderlich.
Gleichzeitig trifft Sie eine umfassende Aufsichtspflicht: Sie müssen gewährleisten, dass personenbezogene Daten durch Ihre Mitarbeitenden ausschließlich auf Ihre Weisung hin verarbeitet werden. Darüber hinaus sind Sie verpflichtet, Ihre Mitarbeiter:innen wirksam zum Datengeheimnis zu verpflichten und entsprechende organisatorische Maßnahmen zu setzen, um Datenschutzverstöße zu verhindern.
Diese Seite gibt Ihnen einen kompakten Überblick über die wichtigsten Pflichten und arbeitsrechtlichen Rahmenbedingungen im Umgang mit Mitarbeiterdaten.
Was müssen Sie als Arbeitgeber:in bei der Verarbeitung von Daten von Mitarbeitenden grundsätzlich beachten?
Als Arbeitgeber:in gelten Sie hinsichtlich der von Ihnen verarbeiteten Daten Ihrer Mitarbeiter:innen als Verantwortlicher und haben daher die üblichen Pflichten eines Verantwortlichen zu erfüllen.
Rechtliche Erlaubnis
Welche Formen der rechtlichen Erlaubnis können Sie bei der Verarbeitung der personenbezogenen Daten der Mitarbeitenden heranziehen?
Es gibt keine speziellen Formen der rechtlichen Erlaubnis im Arbeitsrecht.
Je nach Verarbeitungszweck kommen daher unterschiedliche Formen der rechtlichen Erlaubnis in Betracht:
| Form der rechtlichen Erlaubnis | Beispiele für Verarbeitungszwecke |
|---|---|
| Arbeitsvertrag | Die Verarbeitung der Kontodaten von Mitarbeiter:innen, um die Überweisung des Entgelts durchführen zu können, sofern nicht ohnedies die Verpflichtung zur bargeldlosen Entgeltzahlung besteht (Baubranche). |
| gesetzliche Verpflichtung |
|
| berechtigtes Interesse |
|
| Einwilligung |
|
Was müssen Sie als Arbeitgeber:in bei der Einholung der Einwilligung Ihrer Mitarbeitenden beachten?
- Siehe dazu die FAQ „Welche Besonderheiten gelten für Einwilligungen innerhalb eines Beschäftigungsverhältnisses?
Welche Besonderheiten müssen Sie bei der Verarbeitung von sensiblen Daten von Mitarbeiter:innen beachten?
Auch bei der Verarbeitung sensibler Daten von Mitarbeitenden ist eine rechtliche Erlaubnis erforderlich.
Im Beschäftigtenkontext kommen z. B. die folgenden Datenverarbeitungen und rechtliche Grundlagen zur Anwendung:
| Verarbeitete sensible Daten | Rechtliche Erlaubnis |
|---|---|
| Religionsbekenntnis |
|
| Gewerkschaftszugehörigkeit |
|
| Gesundheitsdaten: Krankenstandszeiten | Arbeitsrechtliche Bestimmungen als rechtliche Grundlage, da der:die Mitarbeitende infolge einer Krankheit idR Anspruch auf Entgeltfortzahlung hat (§ 8 AngG; § 2 EFZG) |
| Gesundheitsdaten allgemein |
|
| Behinderteneigenschaft | Arbeitsrechtliche Bestimmungen als rechtliche Grundlage (vgl. § 2 iVm § 14 BEinstG sowie § 3 BEinstG) |
Informationspflichten und Betroffenenrechte
Müssen Sie als Arbeitgeber:in den Mitarbeitenden eine Datenschutzerklärung zur Verfügung stellen?
Ja. Die Datenschutzerklärung kann auf verschiedene Arten an die Mitarbeiter:innen weitergegeben werden.
Als mögliche Übermittlungen kommen in Betracht:
- Versenden per E Mail,
- Bereitstellung im Intranet oder am Schwarzen Brett, sofern alle Mitarbeitenden Zugang dazu haben oder die
- Aushändigung in Papierform.
Wichtig ist lediglich, dass nachvollziehbar ist, dass die Mitarbeitenden die Information erhalten haben bzw. die Möglichkeit hatten, sie zur Kenntnis zu nehmen.
Eine schriftliche Bestätigung der Übergabe wäre der beste Nachweis, ist aber nicht zwingend erforderlich. Die Mitarbeiter:innen müssen die Datenschutzerklärung nicht „akzeptieren“ oder „zustimmen“ – sie müssen lediglich darüber informiert werden.
Ein Muster für eine Datenschutzerklärung gegenüber Mitarbeitenden finden Sie in unserem DSGVO Generator für Datenschutzerklärungen → Eine themenbezogene Datenschutzerklärung herunterladen oder erstellen → Personaldatenverarbeitung
Welche Besonderheiten müssen Sie als Arbeitgeber:in bei den Betroffenenrechten der Mitarbeiter:innen beachten?
Für Mitarbeitende gelten hinsichtlich ihrer datenschutzrechtlichen Betroffenenrechte keine Besonderheiten gegenüber anderen betroffenen Personen. Im Folgenden werden jedoch spezielle Fragestellungen behandelt, die sich typischerweise im arbeitsrechtlichen Kontext stellen können.
Wie gehen Sie als Arbeitgeber:in in der Praxis mit einem Antrag auf Auskunft von Mitarbeitenden um?
Häufig werden von Mitarbeitenden sehr viele personenbezogene Daten verarbeitet. Beginnend von Bewerbungsunterlagen über Lohn- und Gehaltsdaten, Dienstreiseabrechnungen, Krankenstände sowie der Verwendung von Namen in arbeitsbezogenen E-Mails und Unterlagen bis hin zu Aufzeichnungen im Zusammenhang mit der Beendigung des Arbeitsverhältnisses. Die Beantwortung eines Auskunftsbegehrens kann daher regelmäßig sehr umfangreich sein.
Werden große Mengen an Informationen über die betroffene Person verarbeitet, kann der Unternehmer als Verantwortlicher den:die Mitarbeiter:in als betroffene Person ersuchen, dass er:sie präzisiert, auf welche Informationen oder Verarbeitungsvorgänge sich der Antrag konkret bezieht. Der:die Mitarbeiter:in ist aber nicht verpflichtet dies zu tun und kann auch auf einer umfassenden Auskunft bestehen.
→ Allgemeine Informationen zum Auskunftsbegehren finden Sie auf der Infoseite Auskunftspflicht.
Wie gehen Sie als Arbeitgeber:in in der Praxis mit einem Antrag auf Löschung von Mitarbeitenden um?
Wenn ein:e Mitarbeitende:r die Löschung seiner:ihrer personenbezogenen Daten beantragt, müssen Sie als Arbeitgeber:in zuerst prüfen, welche Daten tatsächlich gelöscht werden dürfen und welche aufgrund gesetzlicher Aufbewahrungspflichten ($Link_Speicher-, Verjährungs- und Aufbewahrungsfristen_Unterpunkt Mitarbeiter/Arbeitsrecht) noch gespeichert werden müssen.
→ Alle nicht mehr benötigten oder nicht verpflichtend aufzubewahrenden Daten sind hingegen zu löschen.
→ Der:die Mitarbeitende ist über das Ergebnis des Löschantrags und die vorgenommenen Maßnahmen zu informieren.
→ Internen Systeme und Abläufe sind so zu prüfen, dass die Löschung vollständig und nachvollziehbar erfolgt.
Speicherdauer
Wie lange dürfen bzw. müssen Sie als Arbeitgeber:in personenbezogene Daten von (ehemaligen) Mitarbeitenden speichern?
Siehe dazu $Link_Speicher-, Verjährungs- und Aufbewahrungsfristen_Unterpunkt Mitarbeiter:innen/Arbeitsrecht.
Müssen Daten gespeichert werden, damit z. B. der Pensionsversicherungsanstalt (PVA) Auskunft gegeben werden kann, ob ehemalige Mitarbeitende unter die Schwerarbeitsregelung fallen?
Eine pauschale Speicherung von Daten, um alle Eventualitäten abdecken zu können, ist nicht zulässig. Handelt es sich jedoch um Mitarbeiter:innen, die z. B. Tätigkeiten verrichten, die von der Schwerarbeitsverordnung erfasst sind, und daher auch die dementsprechenden sozialversicherungsrechtlichen Meldungen erstattet wurden - wodurch eine Nachfrage der PVA sehr wahrscheinlich wird – wird eine längere Speicherung der dafür erforderlichen personenbezogenen Daten möglich sein.
Zum Nachschlagen: Gesetzliche Bestimmungen
Die auf dieser Seite angeführten Informationen basieren unter anderem auf folgenden gesetzlichen Regelungen:
- Art. 4 Z 7 DSGVO (Verantwortlicher)
- Art. 4 Z 8 DSGVO (Auftragsverarbeiter)
- Art. 5 DSGVO (Grundsätze der Verarbeitung personenbezogener Daten)
- Art. 6 DSGVO (Rechtsgrundlagen der Verarbeitung)
- Art. 9 DSGVO (Verarbeitung von sensiblen Daten)
- Art. 12 DSGVO (Transparente Information und Ausübung der Betroffenenrechte)
- Art. 13 DSGVO (Informationspflicht bei Erhebung von personenbezogenen Daten)
- Art. 14 DSGVO (Informationspflicht, wenn Daten nicht bei der betroffenen Person erhoben werden)
- Art. 15 DSGVO (Auskunftsrecht der betroffenen Person)
- Art. 17 DSGVO (Recht auf Löschung)
Kontakt für Rückfragen
Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne.