Datenschutz
Subscribe Abonnieren Sie die Beiträge von Datenschutz

Öffentlichmachung von Prozessakten mit sensiblen Daten als fristloser Kündigungsgrund?

Nach einem aktuellen Urteil des Landesarbeitsgerichts Baden-Württemberg vom 25. März 2022 (7 Sa 63/21) kann die (betriebs-)öffentliche Zugänglichmachung von Schriftsätzen aus arbeitsgerichtlichen Verfahren mittels Dropbox, in denen u.a. Gesundheitsdaten von anderen Mitarbeitern enthalten sind, sogar die außerordentliche Kündigung eines langjährig beschäftigten Mitarbeiters und Betriebsratsmitglieds rechtfertigen. Zumindest auf der Grundlage der Pressemitteilung – und in Unkenntnis der Entscheidungsgründe des vollständigen Urteils – wirft der Kündigungssachverhalt insbesondere die Frage auf, in welchen Fällen und inwieweit Mitarbeiter an das Datenschutzrecht, insbesondere nach der DSGVO, gebunden und Verstöße hiergegen als Kündigungsgrund geeignet sind.

SACHVERHALT UND ARBEITSGERICHTLICHE ENTSCHEIDUNGEN

Der gekündigte Mitarbeiter war bereits seit über 20 Jahren beim Arbeitgeber beschäftigt und über 15 Jahre Mitglied des Betriebsrats. Die außerordentliche Kündigung, der der Betriebsrat nach § 103 BetrVG zustimmte, beruht auf dem Vorwurf, dass der Mitarbeiter Schriftsätze aus einem vorherigen Kündigungsschutzverfahren zwischen den Arbeitsvertragsparteien betriebsöffentlich bzw. einem größeren Verteilerkreis mittels Dropbox zugänglich gemacht hatte. In den Schriftsätzen waren insbesondere Gesundheitsdaten weiterer Mitarbeiter unter voller Namensnennung erhalten.

In der ersten Instanz hielt das Arbeitsgericht die außerordentliche Kündigung für wirksam, weil der Mitarbeiter durch sein Verhalten gegen Bestimmungen des Datenschutzes verstoßen habe. Dagegen wandte sich der Mitarbeiter mit seiner Berufung und argumentierte, dass ein Datenschutzverstoß von vornherein ausscheide, da die DSGVO gemäß Art. 2 Abs. 2c DSGVO nicht anwendbar sei. Nach Art. 2 Abs. 2 c) DSGVO findet die DSGVO keine Anwendung auf natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten.
Das Landesarbeitsgericht wies die Berufung jedoch ab, wobei es nicht mehr auf einen Datenschutzverstoß abstellte. Der Arbeitnehmer habe, indem er die Schriftsätze durch einen beliebig weitervertreibbaren Link öffentlich zugänglich machte, eine rechtswidrige und schuldhafte Verletzung der Persönlichkeitsrechte der in den Schriftsätzen namentlich benannten Personen begangen. Dieses Verhalten könne auch nicht durch u.a. Verteidigungsinteressen des Arbeitnehmers gerechtfertigt werden.

WEN BINDET DIE DSGVO?

Wie sich aus dem zuvor genannten Art. 2 Abs. 2 c) DSGVO, der auch als „Haushaltsausnahme“ bezeichnet wird, ergibt, sind Personen bei ausschließlich persönlicher oder familiärer Tätigkeit nicht an die DSGVO gebunden. Dazu im Gegensatz stehen berufliche Tätigkeiten, die wiederum in den Anwendungsbereich des DSGVO fallen. Danach sind Verstöße gegen die DSGVO von Arbeitnehmern während ihrer arbeitsvertraglichen Tätigkeit grundsätzlich geeignet, eine Kündigung zu rechtfertigen.

Im vom Landesarbeitsgericht Baden-Württemberg entschiedenen Fall ging es hinsichtlich der Veröffentlichung der Prozessakten offensichtlich nicht um eine Datenverarbeitung, die im Rahmen des Beschäftigungsverhältnisses zu Arbeitszwecken erfolgte, sondern um das – nach eigener Aussage des Mitarbeiters – Anliegen, Transparenz hinsichtlich des damaligen Kündigungssachverhalts zu schaffen. Folgerichtig hat das Landesarbeitsgericht Baden-Württemberg die Kündigung wohl auch nicht mehr auf einen potenziellen Datenschutzverstoß gestützt.

WORIN LIEGT DER MAßGEBLICHE ARBEITSRECHTLICH RELEVANTE VERSTOß?

Das Landesarbeitsgericht Baden-Württemberg stützt sich ausweislich der Pressemitteilung auf eine Persönlichkeitsrechtsverletzung durch die Veröffentlichung der Schriftsätze. Zunächst ist festzustellen, dass es keine explizite Norm gibt, wonach die Veröffentlichung von zivilrechtlichen Prozessakten untersagt ist. Gleichzeitig finden arbeitsgerichtliche Verhandlungen grundsätzlich öffentlich statt. Insofern besteht hinsichtlich der Prozessinhalte bereits keine besondere Vertraulichkeit, eher im Gegenteil. Davon abgesehen dürften Gesundheitsdaten anderer Mitarbeiter, die nicht aufgrund der konkreten Tätigkeit im Betrieb, sondern „beiläufig“ bekannt werden, nicht unmittelbar der [...]

Continue Reading




mehr lesen

Corona-Tests in Unternehmen, der Datenschutz und Besonderheiten der Bundesländer

Seit der letzten Änderung der SARS-CoV-2-Arbeitsschutzverordnung (Corona-ArbSchV), die am 23. April in Kraft getreten ist (und nach derzeitigem Stand bis 30. Juni 2021 gilt), müssen Unternehmen ihren Beschäftigten mindestens zweimal pro Kalenderwoche einen Test in Bezug auf einen direkten Erregernachweis des Coronavirus anbieten. Wir erläutern die wichtigsten Eckpunkte.

Angebotspflicht = Testpflicht?

Nach § 5 Abs. 1 Corona-ArbSchV sind Arbeitgeber nur dazu verpflichtet ihren Beschäftigten zweimal pro Kalenderwoche einen Test anzubieten. Eine Pflicht für Arbeitnehmer, sich testen zu lassen, enthält die Verordnung nicht. Nach derzeitigem Stand besteht für Arbeitnehmer also keine generelle gesetzliche Pflicht, sich einem Coronatest zu unterziehen (auf Länderebene gibt es Ausnahmen wie z.B. in der SächsCoronaSchVO). Wie wirksam die Einführung einer bloßen Angebotspflicht bei der tatsächlichen Eindämmung der Verbreitung des Coronavirus wirklich ist, bleibt wegen einer fehlenden gesetzlichen Testpflicht auf Arbeitnehmerseite zweifelhaft. Die Frage, ob der Arbeitgeber selbst eine solche Testpflicht für seinen Betrieb festlegen kann, hatten wir bereits in einem früheren Beitrag beantwortet.

Angeboten werden müssen diese Tests allen Beschäftigten, soweit diese nicht ausschließlich in ihrer Wohnung arbeiten. Die Testpflicht korrespondiert insoweit mit der neuen Pflicht zum Home Office. Eine flächendeckende Rückkehr ins Büro wird durch die Angebotspflicht gerade nicht bezweckt, vielmehr sollen sich beide Maßnahmen zum Schutze der Arbeitnehmer gerade ergänzen.

Welche Art von Test angeboten werden muss, ist in der Verordnung nicht festgelegt. Es kommen nach der Entwurfsbegründung PCR-Tests oder Antigen-Schnelltests zur professionellen oder zur Selbstanwendung in Betracht. Der Arbeitgeber muss diese Tests nicht selbst durchführen, sondern kann die Testung der Beschäftigten auch durch Dritte (z.B. durch geeignete Dienstleister, Apotheken oder anerkannte Testzentren/Teststellen) durchführen lassen.

Wer zahlt die Rechnung?
Die Frage der Kostentragung für diese Maßnahmen ist in der Corona-ArbSchV nicht geregelt. Die Bundesregierung geht davon aus, dass die Testangebotspflicht der Arbeitgeber sowie die anschließende Testung der Beschäftigten Maßnahmen des betrieblichen Arbeits- und Gesundheitsschutzes im Sinne des Arbeitsschutzgesetzes sind. Die Kosten für derartigen Maßnahmen, so die Bundesregierung, habe daher grundsätzlich der Arbeitgeber zu tragen.

Allerdings gibt es für Testungen von Beschäftigten in einigen Bereichen der medizinischen Versorgung und der Pflege sowie bei der Betreuung von Kindern oder Menschen mit Beeinträchtigungen dennoch Möglichkeiten einer Kostenerstattung auf Basis der §§ 4-7 der Coronavirus-Testverordnung.

Dokumentationspflichten und Datenschutz
Darüber hinaus sind Arbeitgeber gem. § 5 Abs. 2 Corona-ArbSchV dazu verpflichtet, Nachweise über die Beschaffung von Tests oder Vereinbarungen mit Dritten über die Testung der Beschäftigten bis zum 30. Juni 2021 aufzubewahren. Aber Achtung: Die Corona-ArbSchV beinhaltet nur eine Pflicht zur Dokumentation dahingehend, dass eine Testmöglichkeit tatsächlich geschaffen wurde. Es besteht keine Dokumentationspflicht hinsichtlich der Testergebnisse einzelner Mitarbeiter bzw. hinsichtlich der Tatsache, welche Mitarbeiter hiervon letztendlich Gebrauch gemacht haben oder nicht.

Bei den Ergebnissen der Corona-Tests ebenso wie der bloßen Feststellung, dass eine Testung stattgefunden hat, handelt es sich um Gesundheitsdaten und damit um besondere Kategorien personenbezogener Daten gem. Art. 9 DSGVO, für die ein besonderer Schutz gilt. Grundsätzlich kommt eine Dokumentation der Tatsache, dass ein Mitarbeiter an einem Test teilgenommen hat oder gar eine Dokumentation des jeweiligen Testergebnisses nicht in Betracht, weil es einer [...]

Continue Reading




mehr lesen

Betriebsvereinbarungen als Rechtsgrundlage für nicht erforderliche Verarbeitungen von Beschäftigtendaten

Das Landesarbeitsgericht Baden-Württemberg hat sich mit Urteil vom 25. Februar 2020 (Az. 17 Sa 37/20) u.a. zu Betriebsvereinbarungen als Erlaubnistatbestand für nicht erforderliche Verarbeitungen personenbezogener Daten geäußert und die ausgeprägten Gestaltungsmöglichkeiten der Betriebsparteien im Bereich des Datenschutzrechts verdeutlicht.

Sachverhalt
Gegenstand des Urteils war ein Streit zwischen einem Beschäftigten und dessen Arbeitgeber über die Rechtmäßigkeit der Verarbeitung seiner personenbezogenen Daten (Beschäftigtendaten). Der Arbeitgeber hatte zuvor mit den Planungen zur Einführung eines cloudbasierten Personalinformationsmanagementsystems (PIMS) begonnen. Zu Erprobungszwecken wurden in diesem Zusammenhang nicht nur fiktive Testdaten an die US-amerikanische Konzernmutter übermittelt und in das cloudbasierte PIMS eingespeist, sondern auch personenbezogene Echtdaten. Zwar gab es zwischen Betriebsrat und Arbeitgeber eine Betriebsvereinbarung über die Einführung des PIMS, in der in einem Katalog festgelegt worden war, welche Beschäftigtendaten in das cloudbasierte System übertragen werden dürfen. Der Arbeitgeber übermittelte jedoch über die Festlegungen hinaus noch weitere Beschäftigtendaten an die Konzernmutter, die diese Daten im PIMS verarbeitete. Diese Verarbeitung dieser weiteren personenbezogenen Daten war nach Ansicht des Beschäftigten rechtswidrig, weil sie nicht durch die Betriebsvereinbarung gedeckt war. Der Beschäftigte forderte in diesem Zusammenhang immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO wegen einer rechtswidrigen Verarbeitung seiner Daten.

Entscheidung des Gerichts
Das Gericht stellt zunächst fest, dass die Verarbeitung der personenbezogenen Daten des Beschäftigten, die nicht zu den Katalogdaten der Betriebsvereinbarung gehören, weder auf § 26 Abs. 4 BDSG i.V.m. der Betriebsvereinbarung noch auf § 26 Abs. 1 BDSG oder Art. 6 Abs. 1 DSGVO gestützt werden kann.

Die Zulässigkeit der Verarbeitung von Echtdaten zu Testzwecken auf Grundlage des § 26 Abs. 1 S. 1 BDSG bzw. des Art. 6 Abs. 1 S. 1 lit. f DSGVO scheitert nach Ansicht des Gerichts jeweils an der fehlenden Erforderlichkeit der Verarbeitung.

Nach § 26 Abs. 1 S. 1 BDSG dürfen personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist.

Hier fehlt es nach Ansicht des Gerichts an der Erforderlichkeit der Verarbeitung i.S.d. § 26 Abs. 1 S. 1 BDSG, da der Arbeitgeber zur Durchführung der Arbeitsverhältnisse nicht darauf angewiesen gewesen sei, bereits vor Einführung des PIMS echte Beschäftigtendaten in der Cloud zu Testzwecken zu verarbeiten bzw. durch die Konzernmutter verarbeiten zu lassen.

Auch Art. 6 Abs. 1 S. 1 lit. f DSGVO (sog. berechtigtes Interesse) ist nach Ansicht des Gerichts keine geeignete Rechtsgrundlage. Im Zusammenhang mit diesem Erlaubnistatbestand betont das Gericht die notwendige Prüfung, ob eine betroffene Person zum Zeitpunkt der Erhebung der personenbezogenen Daten und angesichts der Umstände, unter denen die Erhebung erfolgte, vernünftigerweise damit rechnen musste, dass möglicherweise eine Verarbeitung für einen bestimmten Zweck erfolgen wird. Hier mussten die Beschäftigten nach Auffassung des Gerichts mit einer Verarbeitung ihrer personenbezogenen Daten zu bloßen Testzwecken – angesichts der parallel stattfindenden Datenverarbeitung im Live-System – nicht rechnen. Selbst wenn man [...]

Continue Reading




mehr lesen

Arbeits- und Datenschutzrecht im Home Office: Was ist zu beachten?

Nachdem die Covid-19-Pandemie seit etwa einem Jahr dazu führt, dass mehr und mehr Unternehmen den Arbeitsplatz ihrer Mitarbeiter ins Home Office verlagern bzw. Mobile Work einführen, schreiben mittlerweile auch die geltenden Corona-Arbeitsschutzverordnungen Arbeitgebern vor, ihren Mitarbeitern – soweit wie möglich – die Tätigkeit aus dem Homeoffice zu ermöglichen.

Gleichwohl besteht Unsicherheit darüber, welche Vorgaben aus arbeits- und datenschutzrechtlicher Sicherheit zu beachten sind. Wir zeigen Ihnen die wichtigsten Punkte auf, die aus unserer Sicht bei der Organisation von Home Office und Mobile Work zu beachten sind.

Arbeitszeit
In Bezug auf die Arbeitszeit gilt im Home Office nichts anderes als bei der Arbeitsleistung im Büro: Der Arbeitgeber ist weiterhin berechtigt, die zeitliche Lage der Arbeitszeit festzulegen (im Home Office sind dies typischerweise Kernzeiten, in denen der Arbeitnehmer erreichbar sein muss oder bestimmte Termine zu Teambesprechungen, aber auch die Anordnung von festen Arbeitszeiten ist möglich). Besondere Beachtung sollte der Arbeitgeber etwaig von den Arbeitnehmern geleisteten Überstunden/Mehrarbeit schenken – diese braucht er sich auch bei Arbeitsleistung im Home Office nicht „aufdrängen“ zu lassen. Diesbezüglich empfiehlt es sich, gerade gegenüber Arbeitnehmern im Home Office genau festzulegen, was die Voraussetzungen für ggf. zuschlagspflichtige Mehrarbeit sind: allen voran die ausdrückliche Aufforderung oder Genehmigung von Überstunden im Voraus durch den Vorgesetzten.

Auch die Vorgaben des Arbeitszeitgesetzes gelten im Home Office uneingeschränkt: z.B. das Tätigkeitsverbot an Sonn- und Feiertagen, die mindestens 11-stündige Ruhezeit zwischen zwei Arbeitstagen sowie die 8-stündige (im Ausnahmefall auch 10-stündige) tägliche Höchstarbeitszeit.

Arbeitgebern empfehlen wir, im Hinblick auf die eingeschränkten Kontrollmöglichkeiten im Home Office, die Mitarbeiter eingehend zu den gesetzlichen und betrieblichen Anforderungen zu schulen und sie zur eigenverantwortlichen Einhaltung zu verpflichten.

Arbeitsmittel und Aufwendungsersatz
Der Arbeitnehmer hat ein Recht darauf, dass der Arbeitgeber ihm einen funktionsfähigen Arbeitsplatz zur Verfügung stellt. So wird der Arbeitgeber dem im Home Office befindlichen Arbeitnehmer regelmäßig die hierfür nötigen Arbeitsmittel (PC, Drucker, Telefon) zur Verfügung stellen. Dies ist auch aus Gründen des Daten- und Geheimnisschutzes vorzugswürdig, da nur bei den unternehmenseigenen Geräten Herausgabeansprüche bestehen und die Privatnutzung untersagt werden kann.

Schafft der Arbeitnehmer sich Arbeitsmittel selbst auf eigene Kosten an, hat er ggf. einen Erstattungsanspruch nach § 670 BGB gegen den Arbeitgeber. Grundsätzliche Voraussetzung hierfür ist, dass die Anschaffung im überwiegenden Interesse des Arbeitsgebers liegt. Gleiches gilt grundsätzlich auch für die im Home Office anfallenden „Nebenkosten“ wie Strom, Internet- und Telefonkosten. Um hier eine aufwendige Berechnung von Einzelposten zu vermeiden, empfiehlt sich – wenn überhaupt – die Vereinbarung eines monatlichen Pauschalbetrags. Da § 670 BGB abdingbar ist, ist eine solche Erstattung – insbesondere, wenn das Home Office dem Wunsch des Arbeitnehmers entspricht – aber keineswegs zwingend.

Arbeitssicherheit und Arbeitsschutz
Auch die gesetzlichen Arbeitsschutzbestimmungen des Arbeitsschutzgesetzes gelten grundsätzlich im Home Office. Vor besondere Schwierigkeiten stellt den Arbeitgeber hier vor allem die Tatsache, dass er nur sehr begrenzte Einblicke und in der Regel kein Zutrittsrecht in das häusliche Arbeitszimmer seiner Arbeitnehmer hat. Das Gesetz legt den Arbeitnehmern insoweit eine Mitwirkungspflicht auf (§§ 15, 16 ArbSchG), die gerade im Home Office eine besondere Rolle spielen dürfte. Handelt es sich um [...]

Continue Reading




mehr lesen

FOLGE UNS

THEMENBEREICHE

ARCHIV