Fotos, Videoüberwachung, GPS-Tracking und Bewerberdaten

Fotos, Videoüberwachung und GPS-Tracking: Was müssen Sie dabei als Arbeitgeber:in beachten?

Dürfen Sie Fotos von Mitarbeiter:innen zur Darstellung als Ansprech- oder Kontaktperson im Intranet oder auf der Unternehmenswebsite veröffentlichen?

Grundsätzlich ja. Allerdings benötigen Sie zur Veröffentlichung der Fotos von Mitarbeiter:innen im Intranet oder auf der Unternehmenswebsite die Einwilligung des:der jeweiligen Mitarbeiter:in.

• Welche Formen der rechtlichen Erlaubnis können Sie bei der Verarbeitung der Daten der Mitarbeitenden heranziehen?

Was müssen Sie als Arbeitgeber:in sonst hinsichtlich Fotos und Videos von Mitarbeiter:innen beachten?

Siehe dazu die folgenden Fragen auf der Infoseite zum Thema $LINK_Infoblatt Bildverarbeitung bei Veranstaltungen.

• $LINK_ Infoblatt Bildverarbeitung bei Veranstaltungen_ Was müssen Sie als Arbeitgeber:in hinsichtlich Fotos und Videos von Mitarbeiter:innen auf Firmenveranstaltungen beachten?
• $LINK_Infoblatt Bildverarbeitung bei Veranstaltungen_Gibt es Besonderheiten bei der Verwendung von Fotos von Mitarbeitenden zu Werbezwecken?
• $LINK_Infoblatt Bildverarbeitung bei Veranstaltungen_ Was passiert, wenn der:die Mitarbeiter:in dessen:deren Foto für Werbezwecke verwendet wurde aus dem Unternehmen ausscheidet?
  

Unter welchen Voraussetzungen ist Videoüberwachung im Unternehmen zulässig?

Bitte beachten Sie hierzu die allgemeinen Informationen zur Videoüberwachung im Unternehmen. Dort finden Sie insbesondere Hinweise zu den rechtlichen Voraussetzungen, zur Kennzeichnung, zur zulässigen Speicherdauer sowie zu weiteren relevanten Rahmenbedingungen. 

Unter welchen Voraussetzungen dürfen Mitarbeitende während der Arbeitszeit videoüberwacht werden?

Neben dem Erfordernis einer datenschutzrechtlichen Grundlage für die Videoüberwachung ist aus arbeitsrechtlicher Sicht eine zusätzliche Grundlage erforderlich. Dabei ist danach zu unterscheiden, ob durch die Videoüberwachung eine Kontrollmaßnahme vorliegt, die die Menschenwürde der Mitarbeiter:innen nicht berührt, berührt oder verletzt sowie ob ein Betriebsrat im Unternehmen eingerichtet ist oder nicht:

Unter welchen Voraussetzungen dürfen Sie als Arbeitgeber:in GPS-Tracking-Systeme einsetzen? 

Der Einsatz von GPS Tracking-Systemen ermöglicht es Ihnen als Arbeitgeber:in, Fahrten mit dienstlich genutzten Fahrzeugen technisch zu erfassen und anhand von Satellitendaten nachzuvollziehen. Solche Systeme kommen insbesondere bei Außendienstmitarbeiter:innen sowie im Rahmen eines unternehmenseigenen Fuhrparks zum Einsatz, beispielsweise zur effizienteren Einsatzsteuerung, Routenplanung oder Fuhrparkverwaltung.

Da die erhobenen Standortdaten in der Regel nicht nur einem konkreten Fahrzeug, sondern auch einem:einer bestimmten Mitarbeiter:in zugeordnet werden können, handelt es sich dabei um personenbezogene Daten im Sinne des Datenschutzrechts.

Ähnlich wie bei der Videoüberwachung sind datenschutzrechtliche sowie arbeitsrechtliche Eckpunkte zu beachten:

1. Datenschutzrecht: Da durch das GPS-Tracking personenbezogene Daten der Mitarbeiter:innen verarbeitet werden, ist eine rechtliche Erlaubnis erforderlich. Für das GPS-Tracking kommt regelmäßig das berechtigte Interesse als Grundlage in Betracht.
   
   Hierbei sind folgende Dinge zu beachten:
   1. Das Prüfschema zur Durchführung der Interessenabwägung muss zu einem positiven Ergebnis führen, damit die Verarbeitung datenschutzrechtlich zulässig ist. 
   2. Der:Die Arbeitgeber:in muss – insbesondere bei der Möglichkeit zur Privatnutzung des Fahrzeugs - technische Maßnahmen für den Schutz der Mitarbeiter:innen umsetzen
      

      ---

      Beispiel
      Privatmodus, der aktiviert werden kann, sodass keine Aufzeichnung von Standortdaten mehr möglich ist.

      ---

   3. Da die Daten eine Bewertung oder Einstufung der betroffenen Personen ermöglichen können, ist im vorliegenden Fall eine Datenschutz-Folgenabschätzung ($Link Datenschutz-Folgenabschätzung) durchzuführen.
2. Arbeitsrecht: Im Falle eines GPS-Trackings liegt eine Kontrollmaßnahme vor, die die Menschenwürde berührt. Es ist daher eine Betriebsvereinbarung oder – sofern kein Betriebsrat vorhanden ist – eine Einzelvereinbarung mit den Mitarbeiter:innen erforderlich.
   $Hinweis: Auch hier gilt: Die arbeitsrechtliche Einzelvereinbarung ist keinesfalls mit einer datenschutzrechtlichen Einwilligung zu verwechseln! 
   

Unter welchen Voraussetzungen ist die Verwendung von Handvenen- oder Fingerabdruckscans zulässig? 

Um diese Frage zu beantworten, müssen datenschutzrechtliche sowie arbeitsrechtliche Eckpunkte beachtet werden:

1. Datenschutzrecht: Bei einem Handvenen- oder Fingerabdruckscan zur Identifikation einer Person handelt es sich um biometrische Daten und damit sensible Daten, bei denen besondere Formen der rechtlichen Erlaubnis erforderlich sind. In der Praxis kommt hierfür regelmäßig nur die ausdrückliche Einwilligung der betroffenen Personen in Betracht.
   Im Beschäftigungskontext ist bei Einwilligungen als Form der rechtlichen Erlaubnis besondere Vorsicht geboten, da aufgrund des strukturellen Machtungleichgewichts zwischen Arbeitgeber:in und Mitarbeitenden die Freiwilligkeit oft zweifelhaft ist. Ob aus dem Aspekt der Freiwilligkeit eine datenschutzrechtlich zulässige Einwilligung vorliegt, ist stets im Einzelfall zu beurteilen.
   

   ---

   Beispiel
   Sie setzen als Arbeitgeber:in einen Handvenenscanner ein, um Arbeitszeiten zu bestätigen und Korrekturen vorzunehmen. Für neu eingestellte Mitarbeiter:innen ist bereits im Arbeitsvertrag vorgesehen, dass zur Bestätigung der Arbeitszeiten ein Handvenenscanner verwendet wird. Die Einwilligung zur Verwendung des Handvenenscanners zu diesen Zwecken wird kurze Zeit nach Beginn des Arbeitsverhältnisses in den Räumlichkeiten der Personalabteilung abgegeben, wobei Ihrerseits keine realistische Alternative zur biometrischen Erfassung angeboten wird.
   Aufgrund des bestehenden Machtungleichgewichts zwischen Ihnen als Arbeitgeber:in und den neuen Mitarbeiter:innen, der kurzen Dauer des Dienstverhältnisses, das Bestehen einer Probezeit und der noch nicht gefestigten Position im Betrieb können Mitarbeitende nicht davon ausgehen, dass eine Verweigerung der Zustimmung ohne negative arbeitsrechtliche Konsequenzen bleibt. 
   Im vorliegenden Fall liegt daher – aufgrund der fehlenden Freiwilligkeit – keine gültige Einwilligung vor.

   ---

   2. Arbeitsrecht: Wie bei den vorherigen Fragen ist hier ebenfalls aus arbeitsrechtlicher Sicht eine zusätzliche Grundlage erforderlich. Dabei ist danach zu unterscheiden, ob durch den Handvenen- oder Fingerabdruckscan eine Kontrollmaßnahme vorliegt, die die Menschenwürde der Mitarbeiter:innen nicht berührt oder berührt sowie ob ein Betriebsrat im Unternehmen eingerichtet ist oder nicht:
   1. Menschenwürde wird nicht berührt: In diesem Fall ist weder eine Betriebsvereinbarung noch eine Einzelvereinbarung mit den Mitarbeitenden erforderlich.
      

      ---

      Beispiel
      Handvenenscan als Zutrittskontrolle in einen Hochsicherheitstrakt oder ein -labor

      ---

   2. Menschenwürde wird berührt: Hier ist eine Betriebsvereinbarung oder – sofern kein Betriebsrat besteht – eine Einzelvereinbarung mit den Mitarbeiter:innen erforderlich. Liegt keine Betriebsvereinbarung oder keine Zustimmung der Mitarbeitenden vor, ist die Verwendung des Handvenenscans arbeitsrechtlich nicht zulässig.
      

      ---

      Beispiel
      Zeiterfassung mittels Handvenen- oder Fingerabdruckscan

      ---

Bewerber:innen

Auf Basis welcher rechtlichen Erlaubnis dürfen Sie die personenbezogenen Daten der Bewerber:innen verarbeiten?

Dies ist davon abhängig, zu welchen Zwecken Sie die Daten verarbeiten:

• Zum Zwecke der Abwicklung des Bewerbungsverfahrens stützen Sie sich auf die Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen.
• Wollen Sie die Daten der Bewerber:innen in Evidenz halten, holen Sie sich die Einwilligung ein. 
  

Dürfen Sie online Background-Checks von Bewerber:innen machen? 

Ja, Arbeitgeber:innen dürfen grundsätzlich Internet-Recherchen über Bewerber:innen durchführen. Dabei sind jedoch die allgemeinen datenschutzrechtlichen Grundlagen zu beachten:

• Rechtliche Erlaubnis: Allgemeine Internetrecherchen sind generell erlaubt, insbesondere wenn es sich um von Bewerber:innen selbst veröffentlichte Daten handelt. Dies gilt sowohl für Informationen aus „privaten“ sozialen Netzwerken wie Facebook oder Instagram sowie aus „beruflichen“ sozialen Netzwerken wie LinkedIn. Als rechtliche Erlaubnis kommen sowohl die Erfüllung vorvertraglicher Maßnahmen als auch das berechtigte Interesse in Betracht.
• Datenschutzgrundsätze: Es dürfen nur solche Daten weiterverarbeitet (insb. gespeichert und verwertet) werden, die für den Bewerbungsprozess bzw. das Dienstverhältnis erforderlich sind. Hierbei ist insbesondere der Zweckbindungsgrundsatz sowie der Grundsatz der Datenminimierung zu beachten.
• Informationspflichten: Über die Verarbeitung der personenbezogenen Daten ist in einer Datenschutzerklärung zu informieren. Bei einer Recherche im Internet handelt es sich um eine indirekte Datenerhebung.

Dürfen Sie bei dem:der ehemaligen Arbeitgeber:in von Bewerber:innen Erkundigen einholen? 

Grundsätzlich ja. Aufgrund der arbeitsvertraglichen Fürsorgepflicht, die auch nach Ende des Dienstverhältnisses weiterwirkt, muss der:die ehemalige Arbeitgeber:in jedoch Aussagen unterlassen, die das berufliche Fortkommen von ehemaligen Mitarbeiter:innen erschweren („wenn Sie es mit der Arbeiterkammer zu tun haben wollen, dann stellen Sie Frau NN 3 Tage lang ein. [...] Ich würde sie nicht mehr nehmen“). 

Ein Abgleich von Beschäftigungszeiten oder die Nachfrage zur Präzisierung einer früheren Tätigkeit sind jedoch zulässig.

Hinsichtlich der datenschutzrechtlichen Grundlagen gilt das oben ausgeführte: Dürfen Sie online Background-Checks von Bewerber:innen machen?

Was müssen Sie bei einer Bewerbung machen, die das religiöse Bekenntnis enthält? 

Hierbei ist der Grundsatz der Datenminimierung zu beachten. Übermittelte Informationen über das religiöse Bekenntnis sollten gelöscht werden, da zu diesem Zeitpunkt noch keine entsprechende Verpflichtung zur Verarbeitung und damit keine rechtliche Erlaubnis besteht.

Wird der:die Bewerber:in eingestellt und begehrt eine Freistellung zur Erfüllung religiöser Verpflichtungen aufgrund einer bestimmten Religion, können Sie das Religionsbekenntnis im Rahmen der Lohnverrechnung verarbeiten.  

Wie bzw. wann müssen Sie Bewerber:innen, die sich auf ein Inserat bewerben, über die Verarbeitung ihrer personenbezogenen Daten informieren?

Die Datenschutzerklärung kann auf verschiedene Arten den die Bewerber:innen zur Verfügung gestellt werden. 

Als mögliche Übermittlungen kommen z. B. die Folgenden in Betracht:

• (automatisches) Versenden per E-Mail nach Eingang einer Bewerbung per E-Mail
• Bereitstellung auf der Firmen-Website, vor allem wenn eine Online-Bewerbung möglich ist oder
  

Wichtig ist lediglich, dass nachvollziehbar ist, dass die Bewerber:innen die Information erhalten haben bzw. die Möglichkeit hatten, sie zur Kenntnis zu nehmen. Eine schriftliche Bestätigung der Übergabe wäre der beste Nachweis, ist aber nicht zwingend erforderlich. Die Bewerber:innen müssen die Datenschutzerklärung nicht „akzeptieren“ oder ihr „zustimmen“ – sie müssen lediglich darüber informiert werden.

Wie ist mit personenbezogenen Daten von Bewerber:innen, die nicht eingestellt wurden, umzugehen?

Aufgrund des Grundsatzes der Speicherbegrenzung dürfen personenbezogene Daten nur so lange gespeichert werden, wie es der jeweilige Verarbeitungszweck erfordert. In diesem Zusammenhang ist daher zu überprüfen, zu welchen Zwecken die Daten verarbeitet werden:

• Verteidigung gegen allfällige Rechtsansprüche des:der abgelehnten Bewerber:in nach §§ 15 Abs. 1 und 29 GlBG: 
  • Rechtliche Erlaubnis: Da abgelehnte Bewerber:innen Ansprüche wegen Diskriminierung bei der Bewerbung nach §§ 15 Abs. 1 und § 29 GlBG geltend machen könnten, müssen Sie die Daten nicht sofort nach dem abgeschlossenen Bewerbungsverfahren löschen. Zur Verteidigung gegen allfällige Rechtsansprüche dürfen Sie die Daten aufgrund Ihres berechtigten Interesses weiterhin speichern. 
  • Speicherdauer: In einer rechtskräftigen Entscheidung der Datenschutzbehörde wurde eine Speicherung für einen Zeitraum von 7 Monaten als zulässig erachtet. Argument dafür ist die Frist von 6 Monaten ab Ablehnung der Bewerbung zur Geltendmachung von Ansprüchen nach §§ 15 Abs. 1 und 29 GlBG wegen Diskriminierung bei Bewerbungen zzgl. eines Monats für den potenziellen Klageweg. 
• Evidenzhaltung der Bewerbung: 
  • Rechtliche Erlaubnis: Um Bewerber:innen weiterhin in Evidenz halten zu dürfen, müssen Sie diese um Ihre Einwilligung zur Speicherung der Daten bitten. Im Falle einer Initiativbewerbung wird man bereits bei der Bewerbung davon ausgehen, dass eine Einwilligung für die Evidenzhaltung der Daten erteilt wird.
  • Speicherdauer: Die Daten dürfen aufgrund der Einwilligung grundsätzlich bis zum Widerruf der Einwilligung verarbeitet werden. Es sollte jedoch aufgrund des Grundsatzes der Richtigkeit der Daten regelmäßig (z. B. alle 3 Jahre) bei den in Evidenz gehaltenen Bewerber:innen Rücksprache bzgl. der Aktualität der Daten gehalten werden. 
    

Datenschutz im Arbeitsverhältnis: häufige Praxisfragen

Ist das Speichern von Daten (Namen, Geburtsdatum) von Ehepartner:in und Kindern bei Neueintritten zulässig? 

Der Grundsatz der Datenminimierung besagt, dass nur so viele Daten erhoben und verarbeitet werden sollen, wie notwendig.

Sie müssen sich daher fragen, wozu die Daten benötigt werden? Kann keine Begründung gefunden werden, sollten die Daten auch nicht aufgenommen, sondern allenfalls in der Zukunft anlassfallbezogen abgefragt werden.

Beispiele
Die Gewährung einer Kinderzulage, die Abwicklung einer Krankenzusatzversicherung über Sie als Arbeitgeber:in, die Inanspruchnahme einer Pflegefreistellung oder von Dienstverhinderungsgründen können mögliche Begründungen für eine zulässige Speicherung sein.

Dürfen Sie in das E-Mail-Postfach eines:einer ausgeschiedenen Mitarbeiter:in Einsicht nehmen?

Der Zugriff auf das E-Mail-Postfach ehemaliger Mitarbeiter:innen ist nur zulässig, wenn dafür eine rechtliche Erlaubnis besteht. Diese liegt in der Regel in einem berechtigten Interesse, insbesondere um wichtige E-Mails und Geschäftskorrespondenz auch nach dem Ausscheiden weiterhin bearbeiten zu können und Kund:innen trotz personeller Veränderungen eine reibungslose Auftragsabwicklung zu gewährleisten.
Wenn der:die Arbeitgeber:in die private Nutzung von E-Mail-Postfächern untersagt hat, kann aufgrund der Rechtsprechung vertreten werden, dass E-Mail-Postfächer ausgeschiedener Mitarbeiter:innen noch bis zu drei Monate aktiv bleiben. Erst nach Ablauf des vierten Monats müssen sie endgültig gelöscht werden.
Dies gilt allerdings nur für Postfächer von Mitarbeitenden mit Außen  bzw. Kundenkontakt, bei denen eine sofortige Deaktivierung oder Löschung zu einem (wirtschaftlichen) Nachteil des:der Arbeitgeber:in führen würde.

Was darf in einem Nachruf stehen?

Grundsätzlich gilt die DSGVO und auch das österreichische Datenschutzgesetz nicht für die personenbezogenen Daten von Verstorbenen. Dennoch müssen Sie als Verantwortlicher – insbesondere auch aus anderen Rechtsquellen wie dem Briefschutz, dem Bildnisschutz oder dem allgemeinen Persönlichkeitsrecht - rechtliche Grenzen beachten:

• Zulässig sind insbesondere sachliche, wertschätzende und berufsbezogene Informationen, wie Funktion, Tätigkeit, Verdienste sowie Geburts und Sterbedaten.
• Die Nennung des Familienstands und von Angehörigen ist in neutraler Form möglich.
• Zu vermeiden sind private, spekulative oder wertende Aussagen, insbesondere zu Todesursachen, Intimleben oder moralisch heiklen Umständen.
  

Zum Nachschlagen: Gesetzliche Bestimmungen 

Die auf dieser Seite angeführten Informationen basieren unter anderem auf folgenden gesetzlichen Regelungen:

• Art. 5 DSGVO (Grundsätze der Verarbeitung personenbezogener Daten)
• Art. 6 DSGVO  (Rechtsgrundlagen der Verarbeitung) 
• Art. 9 DSGVO  (Verarbeitung von sensiblen Daten)
• Art. 12 DSGVO (Transparente Information und Ausübung der Betroffenenrechte)
• Art. 13 DSGVO (Informationspflicht bei Erhebung von personenbezogenen Daten)
• Art. 14 DSGVO  (Informationspflicht, wenn Daten nicht bei der betroffenen Person erhoben werden)
• § 12 Abs. 4 Z 2 (DSG – Videoüberwachung zur Kontrolle von Mitarbeitenden)

Kontakt für Rückfragen

Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne. 

• Zur Kontaktseite