Dürfen private Kontaktdaten Beschäftigter verarbeitet werden?

Bevor wir uns mit den Details dieses Themas beschäftigen, geben wir zunächst einen Überblick über die hierzu bestehende aktuelle Gesetzeslage. Dies hilft, die Situation und die bestehende Problematik besser nachvollziehen zu können.

Der Beschäftigtendatenschutz ist aktuell in § 26 Bundesdatenschutzgesetz (BDSG) sowie für den öffentlichen Sektor in einer Reihe landesrechtlicher Gesetze nur sehr allgemein geregelt. Ein gesondertes Beschäftigtendatenschutzgesetz war immer mal wieder geplant, existiert bis heute jedoch nicht. Damit fehlt für viele typische Verarbeitungssituationen im Beschäftigungskontext eine gesetzliche Regelung. Dies führt häufig zu Unklarheiten, welche Verarbeitungen im Rahmen eines Arbeits- oder Dienstverhältnisses zulässig oder nicht zulässig sind.

So sagt der § 26 BDSG insbesondere, dass die Verarbeitung personenbezogener Daten Beschäftigter zulässig ist, „wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist“. Ähnlich regeln dies die Landesgesetze für den öffentlichen Bereich.

Abgesehen von wenigen Spezialfällen, die in § 26 BDSG geregelt werden (z.B. Verarbeitung zur Aufdeckung von Straftaten, auf der Grundlage einer Einwilligung, oder zur Erfüllung einer Rechtspflicht) dürfen personenbezogene Daten der Beschäftigten demnach verarbeitet werden, sofern es „erforderlich“ ist. Und was nun erforderlich ist, darüber kann man – je nachdem, mit wem man spricht (Arbeitgeber*innen, Behörden, Beschäftigte etc.) – durchaus sehr unterschiedlicher Meinung sein …

Zudem ist zu beachten, dass neben dem vorgenannten § 26 BDSG die Erlaubnisnormen des Art. 6 Abs. 1 DSGVO zur Verarbeitung personenbezogener Daten sowie die Ausnahmen des Verarbeitungsverbots für besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 2 DSGVO parallel gelten. Eine Verarbeitung privater Beschäftigtendaten kann daher beispielsweise auch auf Basis des berechtigten Interesses der Arbeitgeber*innen oder Dienststellen erfolgen.

So ist die anfangs aufgeworfene Frage, ob und wenn ja, zu welchen Zwecken die privaten Kontaktdaten von Beschäftigten im Rahmen eines Beschäftigungsverhältnisses verarbeitet werden dürfen eine Frage, die anhand der Gesetzestexte allein nicht ohne weiteres zu beantworten ist. Denn Fälle, in denen die privaten Kontaktdaten der Beschäftigten zulässigerweise verarbeitet werden dürfen, sind im Gesetz schlicht nicht explizit geregelt; auch nicht in Form von Regelbeispielen. Hier ist also anhand der Auslegung jeweils im Einzelfall zu entscheiden, welche Verarbeitung erforderlich und unter Umständen nicht erforderlich ist. Denn erst wenn die Erforderlichkeit gegeben ist, erlaubt das Gesetz die Verarbeitung der Daten.

Und wie bereits ausgeführt wurde, gibt es recht typische Fallkonstellationen, in denen die Arbeitgeber*innen private Daten ihrer Beschäftigten für verschiedene Zwecke verarbeiten möchten. Mit solchen typischen Fallkonstellationen musste sich der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP) aufgrund mehrerer Anfragen beschäftigen. Folgende Fallkonstellationen waren dabei besonders häufig, so dass der LfDI RLP in seinem aktuellen Tätigkeitsbericht auf diese im Einzelnen einging (hierzu vgl. Ausführungen des LfDI RLP ab S. 37 des Tätigkeitsberichts). Zwar ist zu beachten, dass der LfDI RLP sich mit der Erforderlichkeit der Verarbeitung der privaten Beschäftigtendaten im öffentlichen Bereich beschäftigt hat, jedoch sind seine Ausführungen und Argumentation ohne weiteres auch auf den privatwirtschaftlichen Sektor übertragbar.

Fallkonstellation 1 – private E-Mail-Adresse:

Zur Kommunikation mit den Beschäftigten wird nicht selten ihre private E-Mail-Adresse verlangt. Grundsätzlich ist dies im Rahmen der Durchführung eines Arbeits- bzw. Dienstverhältnisses jedoch nicht erforderlich, denn die Kommunikation mit den Beschäftigten ist regelmäßig entweder vor Ort (am Arbeitsplatz) oder aber auch auf dem Postweg möglich. Allerdings können diese Kommunikationskanäle nicht immer mit dem gleichen Erfolg genutzt werden, weil es aus betrieblichen bzw. dienstlichen Gründen schnell erledigt werden muss, um die Funktionsfähigkeit des Unternehmens oder einer öffentlichen Einrichtung nicht zu beeinträchtigen. Beispielsweise ist der Rückgriff auf den Postweg dann nicht möglich, wenn in einer Gefahrensituation wie der Corona-Pandemie mit einer Vielzahl der Beschäftigten schnell kommuniziert werden muss und dabei die ansonsten zur Verfügung stehenden dienstlichen Kommunikationsmittel eben nicht zur Verfügung stehen. In diesem Fall wäre es nach Auffassung des LfDI RLP zur Durchführung eines Arbeitsverhältnisses erforderlich und damit zulässig, die private E-Mail-Adresse der Beschäftigten zu diesen Zwecken und unter den beschriebenen Umständen zu verarbeiten.

Um eine Trennung zwischen dienstlichem und privaten Bereich besser herstellen zu können, schlägt der LfDI RLP vor, dass Beschäftigte für solche Zwecke eine eigene E-Mail-Adresse einrichten. So können die E-Mails, die von Arbeitgeber*innen bzw. vom Dienststellen kommen, nur während der Arbeitszeit abgefragt und beantwortet werden. Auf diese Weise wären Beschäftigte nicht ständig erreichbar, wie es im Fall der telefonischen Erreichbarkeit der Fall wäre, wenn keine zweite (private) Rufnummer genutzt wird, die nur in einem bestimmten Zeitfenster aktiv ist.

Fallkonstellation 2 – Umleitung der dienstlichen Anrufe auf einen privaten Anschluss:

Sofern die Beschäftigten nicht an ihrem regulären Arbeitsplatz, sondern z.B. im Home-Office eingesetzt werden, wünschen sich Arbeitgeber oft, dass die ankommenden Anrufe auf eine private Festnetz- oder Mobilfunknummer umgeleitet werden und Rückrufe ggf. vom privaten Anschluss getätigt werden. In diesem Zusammenhang verlangen sie entsprechend Preisgabe der privaten Telefonnummer der Beschäftigten für diese Zwecke, sofern diese nicht ohnehin bekannt sein sollte.

Dies ist nach Ansicht des LfDI RLP grundsätzlich nicht zulässig, denn dienstliche Telefonate sollten regelmäßig auch über den dienstlichen Anschluss, der von den Arbeitgeber*innen gestellt werden müsste, erledigt werden. Erst wenn es sich unter der Berücksichtigung der Wirtschaftlichkeitsgesichtspunkte herausstellen sollte, dass die Ausstattung sämtlicher Beschäftigten mit einem Dienstgerät nicht möglich ist, kommt nach Auffassung des LfDI RLP Nutzung eines privaten Telefonanschlusses der Beschäftigten in Betracht. Dabei geht der LfDI RLP davon aus, dass beim Abschluss eines Mobilfunk-Vertrages in der Regel eine oder auch mehrere virtuelle Festnetznummern durch den jeweiligen Anschlussanbieter bereitgestellt werden. Damit wäre nach seiner Auffassung eine Trennung zwischen dem dienstlichen und dem privaten Bereich möglich. Nach unseren Informationen ist diese Option eher eine Ausnahme als die Regel, so dass die Beschäftigten regelmäßig nur eine Mobilfunknummer und ggf. eine Festnetznummer (wenn überhaupt) haben werden. Die Trennung wäre dann nur möglich, wenn der Provider eine zusätzliche Nummer (ggf. kostenpflichtig) bereitstellen kann. Für diesen Fall vertritt der LfDI RLP die Auffassung, dass der/die Arbeitgeber*in bzw. Dienststelle die Kosten, die für den/die Beschäftige*n entstehen, grundsätzlich übernehmen soll. Wann die Kosten ausnahmsweise nicht übernommen werden sollen, wird vom LfDI RLP nicht erläutert. Erforderlich zur Durchführung des Beschäftigungsverhältnisses ist diese Verarbeitung jedoch nicht. Als Rechtsgrundlage scheidet daher der § 26 BDSG aus und es ist auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Verantwortlichen) zurückzugreifen.

Sofern eine manuelle Weiterleitung anhand einer Liste erfolgen soll, so hält der LfDI RLP dies ebenfalls für zulässig, da telefonische Erreichbarkeit der Beschäftigten im Innen- und Außenverhältnis zur Sicherstellung des Dienstbetriebs gehört, damit erforderlich und datenschutzrechtlich vertretbar ist. Der LfDI RLP empfiehlt zur Regelung der Nutzung der privaten Telefonnummer zur Umleitung der dienstlichen Anrufe auf einen privaten Anschluss den Abschluss einer Betriebs- bzw. Dienstvereinbarung in der festgelegt werden sollte, wie die manuelle Weiterleitung anhand einer Liste zu erfolgen hat. Insbesondere in technischer Hinsicht empfiehlt der LfDI RLP Nutzung der Funktion „Rufnummer-Unterdrückung“ im Rahmen der Weiterleitung der Anrufe. Bei Rückrufen empfiehlt der LfDI RLP, dass die Beschäftigten auf ihren Geräten die Rufnummer-Unterdrückung selbst aktivieren sollen. Wir sehen diesen Vorschlag der LfDI RLP sehr kritisch. Anrufe mit unterdrückter Rufnummer gelten im Geschäftsbereich als mindestens sehr unhöflich, wenn nicht sogar als unseriös. Bei Anrufen zu Werbezwecken sind diese gemäß § 15  TTDSG sogar gesetzlich untersagt.

Sollte eine Umleitung der dienstlichen Anrufe auf einen privaten Anschluss stattfinden, so wäre also zu prüfen, inwiefern die Ausstattung der Beschäftigten mit einem dienstlichen Anschluss und Gerät wirtschaftlich machbar ist und sofern dies nicht der Fall sein sollte, die Weiterleitung entweder in einer Betriebs- bzw. Dienstvereinbarung oder im Rahmen einer Arbeitsanweisung zu regeln.

Fallkonstellation 3 – Angabe der privaten Mobilfunknummer:

Arbeitgeber*innen bzw. Dienststellen verlangen teilweise die Angabe der privaten Mobilfunknummer ihrer Beschäftigten, um sie (ggf. auch außerhalb der Arbeitszeit) erreichen zu können. Besonders in Zeiten, in denen die Telearbeit verbreitet ist, ist dieser Wunsch umso häufiger in der Praxis anzutreffen.

Die Angabe der Mobilfunknummer der Beschäftigten zur Sicherstellung ihrer Erreichbarkeit ist jedoch einer der am weitesten gehende Eingriff in ihre Privatsphäre, denn sofern die Beschäftigten ggf. auch außerhalb der Arbeitszeit durch Arbeitgeber*in oder Dienststelle kontaktiert werden, sind sie auch in ihrer Freizeit jederzeit für Arbeitgeber*innen verfügbar und eine Trennung in den dienstlichen und den privaten Bereich wäre nicht mehr möglich.

Grundsätzlich ist daher auch das Verlangen seitens der Arbeitgeber*innen bzw. der Dienststellen unzulässig und nur ausnahmsweise möglich. Unter der Berücksichtigung der aktuellen Rechtsprechung insbesondere des LAG Thüringen (siehe hierzu die Entscheidung des LAG Thüringen vom 16.05.2018, Az: 6 Sa 442/17) nennt der LfDI RLP drei Beispiele, unter denen er die Angabe der privaten Mobilfunknummer für zulässig hält. Der LfDI RLP möchte die Verarbeitung der privaten Mobilfunknummer akzeptieren, wenn

  • „Sich dies auf einzelne Behördenmitarbeiter mit einer gewissen Schlüsselfunktion beschränkt (z.B. Systemadministrator, Hausmeister).“
  • „Der Arbeitgeber ohne Kenntnis der Mobiltelefonnummer im Einzelfall eine legitime Aufgabe, für die der Arbeitnehmer eingestellt ist, nicht, nicht vollständig oder nicht in rechtmäßiger Weise erfüllen kann und ihm eine andere Organisation der Aufgabenerfüllung nicht möglich oder nicht zumutbar ist und insb. die Erhebung der Festnetznummer als mildere Maßnahme nicht zielführend ist.“
  • „In einer Dienstanweisung/Dienstvereinbarung Regelungen zu den Anlässen einer telefonischen Kontaktaufnahme, zur Zweckbindung, Zugriffsberechtigung und zur Löschung festgeschrieben werden.“

Zudem vertritt der LfDI RLP die Auffassung, dass im Zuge der Erfüllung der Fürsorgepflichten der Arbeitgeber*innen bzw. der Dienststelle hinsichtlich des Gesundheitsschutzes der Beschäftigten, die Aufforderung an die Beschäftigten, ihre private Mobilfunk- oder Festnetznummer sowie eine E-Mail-Adresse der Behörden- oder Unternehmensleitung mitzuteilen, datenschutzrechtlich zulässig ist. Begründet wird dies damit, dass es sich bei dem Coronavirus um ein sich schnell verbreitendes Virus handelt, welches ein hohes Ansteckungspotential und für vorerkrankte Personen ein nicht unerhebliches Risikopotenzial in sich bergen würde. Aufgrund der Eilbedürftigkeit könne dies auch Zeiträume betreffen, welche nicht innerhalb der täglichen Arbeitszeit der Beschäftigten liegen.

Fazit

Die Verarbeitung der privaten Kontaktdaten der Beschäftigten ist grundsätzlich in vielen Fällen nicht erlaubt, jedoch gibt es ausnahmsweise Fälle, in denen diese Daten durch Arbeitgeber*innen bzw. Dienststellen verarbeitet werden können. Im Rahmen der Verarbeitung der privaten Kontaktdaten der Beschäftigten zu diesen Zwecken ist jedoch darauf zu achten, dass stets geprüft wird, ob die angenommenen Voraussetzungen, unter denen die Verarbeitung möglich ist, auch tatsächlich vorliegen. Insbesondere ist die in § 26 BDSG definierte Erforderlichkeit für die Durchführung des Beschäftigungsverhältnisses in vielen Fällen nicht gegeben, In diesen Fällen müsste eine Einwilligung der Beschäftigten oder das überwiegende berechtigte Interesse der Arbeitgeber*innen oder Dienststellen vorliegen. Andernfalls kann es leicht zu Bußgeld- oder Schadensersatzrisiken kommen.

 

______________________________________

Die bITs GmbH berät Ihre Kunden zu allen Themen des Datenschutzes und stellt auf Wunsch den externen Datenschutzbeauftragten.

Haben Sie weitere Fragen an uns? Gerne können Sie sich dazu an uns wenden. Hier finden Sie unsere Kontaktdaten. Unser Team stellt sich übrigens hier vor.

Und einen Podcast haben wir auch. Gemeinsam mit der Mauß Datenschutz GmbH veröffentlichen wir alle zwei Wochen jeweils donnerstags eine neue Folge. Hören Sie doch einfach mal rein oder abonnieren Sie uns – zum Beispiel hier.