Personenbezogene Daten von Beschäftigten dürfen nach der Neufassung des Bundesdatenschutzgesetzes BDSG nur erhoben, verarbeitet oder genutzt werden, wenn dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist (§ 32 Abs. 1 Satz 1 BDSG).
Unter personenbezogenen Daten versteht man Daten, die eindeutig einer bestimmten natürlichen Person zugeordnet sind oder eine solche Zuordnung mittelbar möglich ist.
Der Schutzumfang erstreckt sich auf „Beschäftigte“ und ist somit nicht auf Arbeitnehmer beschränkt.
§ 32 Abs. 2 BDSG regelt nun auch die Datenerhebung, die nicht automatisiert bzw. nicht mit Bezug auf die Verarbeitung oder Nutzung in automatisierten Dateien erfolgt. Dies bedeutet, dass nun auch personenbezogene Daten der Mitarbeiter z. B. auf einem Fragebogen oder in einer manuell geführten Akte den datenschutzrechtlichen Beschränkungen unterliegen.
Gem. § 32 Abs. 1 Satz 2 BDSG können personenbezogene Daten eines Beschäftigten zur Aufdeckung von Straftaten dann erhoben, verarbeitet oder genutzt werden, “wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass der Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat, die Erhebung, Verarbeitung oder Nutzung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.”
Die Überprüfung der erfolgten Interessenabwägung wird der Rechtsprechung überlassen bleiben.
Allerdings ist bereits die Erhebung der personenbezogenen Daten eines Beschäftigten nur dann zulässig, wenn schon vor Beginn dieser Erhebung die zu dokumentierenden tatsächlichen Anhaltspunkte für den Verdacht einer begangenen Straftat bestehen. Problematisch ist, dass gem. § 32 Abs. 2 BDSG das Dokumentieren der Verdachtsmomente selbst bereits eine Datenerhebung darstellt, auch wenn dies vom Arbeitgeber handschriftlich erfolgte. Somit ist eine Datenerhebung zulässig, wenn eine dokumentierte Datenerhebung bereits erfolgt ist. Eine solche dokumentierte Datenerhebung wäre jedoch nur zulässig, wenn dort nicht personenbezogene Daten erhoben werden. Dies wäre beispielsweise bei einer anonymisierten Erhebung der Fall. Im Falle einer anonymisierten Erhebung kann jedoch kein Bezug zu einer konkreten Straftat eines bestimmten Mitarbeiters hergestellt werden. Eine dokumentierte Datenerhebung mit personenbezogenen Daten wäre rechtswidrig, da in diesem Fall bereits diese Erhebung ein Erheben von Mitarbeiterdaten darstellt. Zulässig dürfte die Erhebung sein, wenn § 32 Abs.1 BDSG dahingehend versteht, dass dieser auf zusätzliche Erhebungen zur erfolgten Straftat gerichtet ist.
Unzulässig wäre es, lediglich auf Verdacht präventive Kontrollen aller Mitarbeiter durchzuführen. Eine Straftat muss bereits begangen worden sein und zudem ist ein Verdacht gegen einen bestimmten Mitarbeiter erforderlich.
Von einem umfassenden “Arbeitnehmerdatenschutz” kann noch lange nicht gesprochen werden. Insbesondere der Datenschutz im Zusammenhang mit der Frage der Internet- und E-Mail-Nutzung sind noch nicht gesetzlich geregelt.
Es bleibt nur zu hoffen, dass der Gesetzgeber die Problematik nicht aus den Augen verliert und zu klaren, verständlichen und eindeutigen Regelungen findet.