Datenschutzverstoß

Unzulässige Informationen über Beschäftigte in der Probezeit

Wenn in Unternehmen Beschäftigtendaten erhoben, gespeichert und verwendet werden, muss das stets im zulässigen Zusammenhang mit dem Beschäftigungsverhältnis erfolgen. Insbesondere bei Gesundheitsdaten gilt, dass sie nur in engen Grenzen verarbeitet werden dürfen, da es sich um besonders sensitive Informationen handelt. Der unzulässige Umgang in einem Berliner Unternehmen mit den Daten von Beschäftigten in der Probezeit im Zusammenhang mit der Frage, ob diese weiterbeschäftigt oder gekündigt werden sollen, führte vorliegend zu einem Einschreiten der Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI).
 

Vorgesetzte erstellt Listen über Beschäftige in Probezeit

Um mögliche Kündigungen zum Ende der Probezeit vorzubereiten, führte eine Vorgesetzte auf Weisung der Geschäftsführung des Unternehmens von März bis Juli 2021 eine tabellarische Übersicht aller Beschäftigten in der Probezeit. Die Berliner Datenschutzbeauftragte erfuhr durch Medienberichte und eine persönliche Beschwerde eines Betroffenen von dem Vorfall und leitete eine Prüfung ein.

In der Übersicht listete die Vorgesetzte alle Mitarbeitenden in der Probezeit auf und bewertete die weitere Beschäftigung von elf Personen als „kritisch“ oder „sehr kritisch“.
 

Sensible Daten für mögliche Kündigungen dokumentiert

Diese Einstufung wurde in einer Tabellenspalte mit der Überschrift „Begründung“ näher erläutert. Hier fanden sich Angaben zu persönlichen Äußerungen sowie gesundheitlichen und außerbetrieblichen Gründen, die einer flexiblen Schichteinteilung entgegenstehen würden. Auch ein mögliches Interesse an der Gründung eines Betriebsrates und die regelmäßige Teilnahme an einer Psychotherapie wurden hier genannt. In vielen Fällen hatten die Beschäftigten die aufgeführten Informationen selbst für die Dienstplanung mitgeteilt. Die Weiterverarbeitung in der Liste war ihnen nicht bekannt.
 

Bußgeld wegen Datenschutzverstoß

Die Berliner Datenschutzbeauftragte Meike Kamp kam bei ihrer Prüfung zu dem Ergebnis, dass die Verarbeitung der erhobenen Daten in den beanstandeten Fällen nicht rechtmäßig war. Die Erhebung, Speicherung und Verwendung von Beschäftigtendaten müsse stets im zulässigen Zusammenhang mit dem Beschäftigungsverhältnis erfolgen. Das sei in diesem Fall nicht gegeben gewesen. Speziell Gesundheitsdaten seien besonders sensitive Informationen, die nur in engen Grenzen verarbeitet werden dürften.

Grundsätzlich dürfen Arbeitgeber Überlegungen anstellen, inwiefern Beschäftigte weiterbeschäftigt werden sollen und insofern auch personenbezogene Daten verarbeiten. Die verarbeiteten Daten müssen jedoch für diesen Zweck geeignet und erforderlich sein. Sie dürfen nur Rückschlüsse auf Leistung oder Verhalten zulassen, die in unmittelbarem Zusammenhang mit dem Beschäftigungsverhältnis stehen.

Arbeitgeber dürfen auch von Beschäftigten selbst mitgeteilte Informationen nicht einfach weiterverarbeiten, sondern müssen prüfen, ob die Verarbeitung erforderlich und angemessen ist.
 

Noch mehr Datenschutzverstöße

Zusätzlich zur Ahndung dieses strukturellen Verstoßes verhängte die BlnBDI gegen das Unternehmen drei weitere Bußgelder in Höhe von insgesamt rund 40 000 Euro wegen fehlender Beteiligung der betrieblichen Datenschutzbeauftragten bei der Erstellung der Liste, verspäteter Meldung einer Datenpanne und fehlender Erwähnung der Liste im Verarbeitungsverzeichnis.
 

Besonders schwerwiegend: Unzulässige Verarbeitung von Gesundheitsdaten

Bei der Bemessung der Bußgelder berücksichtigte die BlnBDI den Umsatz des Unternehmens und die Anzahl der betroffenen Beschäftigten. Außerdem wurde berücksichtigt, dass insbesondere die Verarbeitung von Gesundheitsdaten ohne Rechtsgrundlage einen besonders schwerwiegenden Verstoß darstellt. Bußgeldmindernd wurde unter anderem berücksichtigt, dass das Unternehmen umfassend mit der Behörde kooperiert hat und den Verstoß nach öffentlichem Bekanntwerden bereits ohne Aufforderung von sich aus abgestellt hat.

Der Bußgeldbescheid ist noch nicht rechtskräftig.

„Wir brauchen ein Gesetz für den Beschäftigtendatenschutz“, Hans-Jürgen Urban im Interview.