Datenschutz stellt in der modernen Arbeitswelt, insbesondere im Zuge der fortschreitenden Digitalisierung, ein zentrales Thema dar. Allerdings wird dem Datenschutz von Seiten der Arbeitgeberinnen und Arbeitgeber häufig nicht die notwendige Bedeutung beigemessen. Zudem besteht bei vielen keine Kenntnis darüber, dass die datenschutzrechtlichen Bestimmungen auf die Personendaten Anwendung finden, die im Rahmen des Arbeitsverhältnisses verarbeitet werden.
Die Beantwortung der Frage, ob datenschutzrechtliche Bestimmungen zu beachten sind, richtet sich danach, ob Personendaten betroffen sind. Doch was sind Personendaten? Unter diesen Begriff fallen sämtliche Angaben, die auf eine bestimmte oder bestimmbare Person beziehen. So besteht beispielsweise ein Bewerbungsdossier aus einer Sammlung von Personendaten. Gleiches gilt für ein Personaldossier, da es diverse Informationen zu einer Person enthält. Ein zweiter, wichtiger Begriff ist jener der Bearbeitung. Darunter ist jeder Umgang mit Personendaten zu verstehen, beispielsweise die Erhebung, die Speicherung, Weitergabe und das Löschen der Daten.
Keine Bearbeitung von Daten ohne Arbeitsplatzbezug
Nach den Bestimmungen des Arbeitsrechts dürfen Personendaten von Mitarbeitenden nur bearbeitet werden, wenn sie das Arbeitsverhältnis betreffen und für die Durchführung des Arbeitsvertrags notwendig sind. Im Umkehrschluss bedeutet dies: Informationen, die nichts mit dem Arbeitsverhältnis zu tun haben, dürfen nicht von der Arbeitgeberschaft bearbeitet werden. Die Speicherung und Verwendung von Daten, die sich auf einem privaten Social-Media-Profil eines Mitarbeiters finden, dürfen demnach nicht für die Beurteilung des Verhaltens des Mitarbeiters herangezogen werden und auch nicht im Personaldossier abgelegt werden. Bei der Adresse, dem Alter und der Nationalität hingegen handelt es sich in der Regel um arbeitsplatzrelevante Informationen, die von der Arbeitgeberschaft verwendet werden dürfen.
Neben den spezifischen Regeln im Arbeitsrecht sind im Rahmen der Datenbearbeitung stets die allgemeinen Grundsätze des Datenschutzrechtes zu beachten, die insbesondere im Datenschutzgesetz (DSG) festgeschrieben sind. Demgemäss hat die Bearbeitung von Personendaten immer rechtmässig und verhältnismässig zu sein – und sie darf nur zu einem Zwecke erfolgen, der für die betroffene Person erkennbar ist. Fällt der Bearbeitungszweck weg, müssen die Personendaten gelöscht oder anonymisiert werden.
Transparente Information über den Bearbeitungszweck
Im Arbeitsverhältnis erfolgt die Bearbeitung von Personendaten in der Regel mit Einwilligung der Arbeitnehmerschaft und der Zweck der Bearbeitung, nämlich die Abwicklung des Arbeitsverhältnisses, ist für den Mitarbeitenden erkennbar. Dennoch ist es empfehlenswert, bereits im Arbeitsvertrag über die Bearbeitung der Personendaten zu informieren und die Grundsätze der Bearbeitung von Personendaten im Betrieb darzulegen. Wenn Personendaten an Dritte weitergegeben werden, muss die Arbeitnehmerschaft informiert werden. Dies ist beispielsweise beim Einsatz einer betriebsexternen Personaladministration der Fall. Auch im Zusammenhang mit IT-Dienstleistungen werden oftmals Personendaten an Dritte weitergegeben, vielfach erfolgt sogar eine Weitergabe ins Ausland. Dies ist beispielsweise der Fall, wenn Daten auf Servern grosser internationaler Anbieter gespeichert werden.
Die Arbeitgeberschaft bleibt auch bei der Bekanntgabe von Personendaten an Dritte dafür verantwortlich, dass die Personendaten ihrer Mitarbeitenden rechtmässig bearbeitet werden. Deshalb sollten mit allen Partnern klare Vereinbarungen getroffen werden, welche die zulässige Bearbeitung der Personendaten eindeutig festlegen.
Weiter hat die Arbeitgeberin zu regulieren, wer im Betrieb Zugriff auf welche Personendaten hat. Dabei muss sie dafür sorgen, dass nur diejenigen Personen einen Zugriff auf Personendaten haben, die diese für die Erledigung ihrer Tätigkeit benötigen. Auch der Umfang, auf welche Personendaten zugegriffen werden kann, ist auf das Notwendige zu beschränken. Gerade in grösseren Betrieben kommt regelmässig HR-Software zur Verwaltung der Personaldaten zum Einsatz, in der Mitarbeiterdaten gespeichert werden. Es ist wichtig, dass die Zugriffsrechte der verschiedenen Mitarbeitergruppen sauber geregelt und gewartet werden, so dass kein unberechtigter Zugriff auf Daten möglich ist. Bei Personalmutationen sind die Zugriffsrechte umgehend anzupassen.
Wann müssen Personendaten gelöscht werden?
Personendaten, deren Bearbeitungszweck entfällt, müssen umgehend anonymisiert oder gelöscht werden. Das Speichern von Personendaten «auf Vorrat» ist nicht zulässig. Im Arbeitsalltag bedeutet dies, dass Personendaten von Bewerbungskandidaten, bei denen es nicht zu einer Anstellung gekommen ist, nach dem Bewerbungsverfahren zu löschen sind. Ausnahmen sind nur zulässig, wenn die betroffene Person ihr explizit zustimmt.
Mit Beendigung des Arbeitsverhältnisses entfällt grundsätzlich der Bearbeitungszweck der Personendaten. Dennoch dürfen und müssen gewisse Personendaten aufbewahrt werden. Die Arbeitgeberschaft muss beispielsweise während zehn Jahren in der Lage sein, den Mitarbeitenden ein Arbeitszeugnis auszustellen. Zu diesem Zweck benötigt sie Zugriff auf das entsprechende Personaldossier. Allerdings gilt auch hier, dass nur diejenigen Personendaten aufbewahrt werden dürfen, die für die Erfüllung der Pflichten der Arbeitgeberin notwendig sind oder an deren Aufbewahrung ein überwiegendes Interesse der Arbeitgeberin besteht. Mit Ablauf der Verjährung können nicht mehr benötigte Personendaten gelöscht werden. Bei laufenden Rechtsstreitigkeiten können sich diese Fristen verlängern.
Der Schutz von Personendaten im Arbeitsverhältnis ist ein zentraler Bestandteil eines rechtskonformen und verantwortungsvollen Umgangs mit Mitarbeitenden. Arbeitgeberinnen und Arbeitgeber sind dazu verpflichtet, die datenschutzrechtlichen Vorgaben einzuhalten und durch klare Prozesse sowie transparente Kommunikation Vertrauen zu schaffen. Eine sorgfältige Handhabung von Personendaten ist nicht nur eine gesetzliche Pflicht, sondern auch ein wesentlicher Beitrag zu einer fairen und nachhaltigen Arbeitskultur.
Auto: Markus Prazeller, Anwalt, LL.M., ist Teil des Legal-Teams der Wirtschaftskammer Baselland und schreibt regelmässig in der Rubrik «Ratgeber Recht» im Standpunkt der Wirtschaft zum Arbeitsrecht, Gesellschaftsrecht und Datenschutz. Er ist Partner bei Wagner Prazeller Hug AG in Basel.
Jetzt anmelden und mehr zum Thema erfahren!
Ratgeber Recht online - Datenschutz im Arbeitsverhältnis: Anforderungen und praxisnahe Lösungen
Datum: 14. April 2025
Uhrzeit: 12:00 – 13:00
Weitere Informationen und Anmeldung hier.
