Was ist bei der Verarbeitung von Arbeitnehmerdaten aufgrund einer Einwilligung zu beachten?

§ 26 Abs. 2 BDSG legt ausdrücklich fest, dass die Einwilligung auch im Beschäftigtenverhältnis möglich ist. Aufgrund der im Beschäftigungsverhältnis bestehenden Abhängigkeit der beschäftigten Person sind an die Einwilligung dort jedoch besondere Anforderungen zu stellen und die Umstände, unter denen die Einwilligung erteilt worden ist, speziell zu berücksichtigen. Zudem ist die Freiwilligkeit einer Einwilligung nur schwer nachzuweisen.

Lässt sich die Verarbeitung von Arbeitnehmerdaten nicht auf eine gesetzliche Grundlage (insbesondere § 26 BDSG) stützen, bleibt als weitere Datenverarbeitungsgrundlage die Einwilligung. Wie sich aus Art. 6 Abs. 1 Satz 1 Buchstabe a DSGVO ergibt, stellt die Einwilligung eine taugliche Rechtsgrundlage zur Verarbeitung von personenbezogenen Daten dar.

Im Art. 7 DSGVO werden die Bedingungen bezüglich der Gültigkeit einer Einwilligung ausführlich dargestellt. Für die Gültigkeit einer Einwilligung ist es unbedingt erforderlich, dass sie im Vorhinein und von der betreffenden Person höchstpersönlich erteilt wird. Eine nachträgliche Einverständniserklärung ist nicht gültig.

Gemäß Art. 4 Nr. 11 DSGVO handelt es sich bei der „Einwilligung der betroffenen Person um jede

• freiwillig
• ­ für den bestimmten Fall,
• in informierter Weise und
• unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist“.

Eine rechtsgültige Einwilligung nach der Datenschutz-Grundverordnung liegt nur vor, wenn alle aufgeführten Merkmale erfüllt sind.

Freiwilligkeit

Das Element „frei“ impliziert, dass die betroffenen Personen eine echte Wahl und die Kontrolle haben. Eine Einwilligung kann nur dann freiwillig gegeben sein, wenn der Betroffene eine echte oder freie Wahl hat und somit in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden. So ist die Freiwilligkeit einer Einwilligung immer dann mit Zweifel versehen, falls sich der Betroffene zum Zeitpunkt der Einwilligung in einer Zwangslage befand (z. B. drohende Entlassung bei verweigerter Einwilligung). Erfolgt die Verarbeitung personenbezogener Daten von Beschäftigten auf der Grundlage einer Einwilligung, so sind für die Beurteilung der Freiwilligkeit der Einwilligung insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen (§ 26 Abs. 2 Satz 1 BDSG). Neben der Art des verarbeiteten Datums und der Eingriffstiefe ist zum Beispiel auch der Zeitpunkt der Einwilligungserteilung maßgebend. Vor Abschluss eines (Arbeits-)Vertrages werden Beschäftigte regelmäßig einer größeren Drucksituation ausgesetzt sein, eine Einwilligung in eine Datenverarbeitung zu erteilen.

Wird eine Einwilligung vom Beschäftigten erbeten und ist die Nichteinwilligung mit tatsächlichen oder potenziellen Nachteilen für ihn verbunden, so ist eine solche Einwilligung nicht gültig, da sie nicht freiwillig erfolgt. So ist es unwahrscheinlich, dass ein Arbeitnehmer frei auf ein Ersuchen seines Arbeitgebers um Einwilligung beispielsweise in die Aktivierung von Überwachungssystemen wie einer Kameraüberwachung des Arbeitsplatzes oder das Ausfüllen von Bewertungsformularen antworten kann, ohne sich gedrängt zu fühlen, die Einwilligung zu erteilen. Der Beschäftigte muss die realistische Möglichkeit zur Verweigerung der Einwilligung oder, wenn er seine Meinung ändert, zum Widerruf der Einwilligung haben, ohne dass ihm dadurch Nachteile entstehen. Beispiele für Nachteile sind Entlassung, Täuschung, Einschüchterung, Nötigung oder beträchtliche negative Folgen, wenn die betroffene Person nicht einwilligt.

Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen (§ 26 Abs. 2 Satz 2 BDSG). Die Gewährung eines Vorteils liegt beispielsweise in der Einführung eines betrieblichen Gesundheitsmanagements zur Gesundheitsförderung oder der Erlaubnis zur Privatnutzung von betrieblichen IT-Systemen. Auch die Verfolgung gleichgerichteter Interessen spricht für die Freiwilligkeit einer Einwilligung. Hierzu kann etwa die Aufnahme von Namen und Geburtsdatum in eine Geburtstagsliste oder die Nutzung von Fotos für das Intranet zählen, bei der Arbeitgeber und Beschäftigter im Sinne eines betrieblichen Miteinanders zusammenwirken.

Gemäß Art. 7 Abs. 4 DSGVO gilt eine Einwilligung nicht als freiwillig erteilt, wenn die Erfüllung eines Vertrags von der Einwilligung abhängig ist, obwohl diese Einwilligung für die Erfüllung nicht erforderlich ist (sogenanntes Kopplungsverbot).

Zweckgebunden

Gemäß Artikel 6 Abs. 1 Buchstabe a DSGVO muss die Einwilligung der betroffenen Person für „einen oder mehrere bestimmte“ Zwecke erteilt werden und eine betroffene Person in Bezug auf jeden dieser Zwecke eine Wahlmöglichkeit haben. Mit der Forderung, dass die Einwilligung für einen „bestimmten“ Zweck sein muss, soll ein gewisses Maß an Kontrolle und Transparenz für die betroffene Person sichergestellt werden.

Die Notwendigkeit, dass die Einwilligung für einen bestimmten Zweck erfolgen muss, funktioniert zusammen mit dem Konzept der Zweckbindung aus Artikel 5 Abs. 1 Buchstabe b DSGVO als Schutz vor einer schrittweisen Ausweitung oder einem Verwischen der Zwecke, für die die Daten verarbeitetet werden, nachdem die betroffene Person in die anfängliche Erhebung ihrer Daten eingewilligt hat.

Wenn sich der Arbeitgeber auf Artikel 6 Absatz 1 Buchstabe a stützt, muss der Arbeitnehmer stets seine Einwilligung für einen bestimmten Verarbeitungszweck geben. In Übereinstimmung mit dem Konzept der Zweckbindung (Artikel 5 Abs. 1 Buchstabe b DSGVO und Erwägungsgrund 32) kann die Einwilligung verschiedene Vorgänge abdecken, solange diese demselben Zweck dienen. Eine Einwilligung für den bestimmten Fall kann nur dann eingeholt werden kann, wenn die betroffenen Personen speziell über die beabsichtigte Verwendung der sie betreffenden personenbezogenen Daten informiert werden.

Wenn ein Arbeitgeber Daten auf der Grundlage der Einwilligung eines Mitarbeiters verarbeitet und die Daten noch für einen anderen Zweck verarbeiten möchte, muss er eine zusätzliche Einwilligung für diesen anderen Zweck einholen, sofern keine andere Rechtsgrundlage vorliegt, die für die Situation besser geeignet ist.

Informierte Weise

Die DSGVO bekräftigt die Anforderung, dass die Einwilligung in informierter Weise erfolgen muss. Basierend auf Artikel 5 der DSGVO ist das Erfordernis von Transparenz einer der wesentlichen Grundsätze, die eng mit den Grundsätzen der Verarbeitung nach Treu und Glauben und der Rechtmäßigkeit verknüpft sind.

Es ist von grundlegender Bedeutung, den Arbeitnehmern Informationen bereitzustellen, bevor ihre Einwilligung eingeholt wird, um es ihnen zu ermöglichen, Entscheidungen in informierter Weise zu treffen, zu verstehen, wofür sie ihre Einwilligung geben, und damit sie beispielsweise ihr Recht des Widerrufs der Einwilligung ausüben können. Wenn der Verantwortliche keine zugänglichen Informationen bereitstellt, wird die Kontrolle durch den Nutzer unmöglich. Dann ist die Einwilligung keine gültige Grundlage für die Verarbeitung.

Damit die Einwilligung als Rechtsgrundlage herangezogen kann, muss die betroffene Person hinreichend bestimmt und transparent über die konkrete Tragweite ihrer Entscheidung aufgeklärt werden. Die einzelnen Verwendungszwecke sind deshalb ausdrücklich festzulegen und in Textform zu bezeichnen und aufzulisten.

Damit eine Einwilligung in Kenntnis der Sachlage erfolgt, muss die betroffene Person über bestimmte Elemente informiert werden, die für die Entscheidungsfindung wesentlich sind. Deshalb vertritt die Artikel-29-Datenschutzgruppe (nunmehr Europäischer Datenschutzausschuss) die Auffassung, dass mindestens die folgenden Informationen erforderlich sind, damit eine Einwilligung gültig ist:

• die Identität des Verantwortlichen,
• ­ der Zweck jedes Verarbeitungsvorgangs, für den die Einwilligung eingeholt wird,
• ­ die (Art der) Daten, die erhoben und verwendet werden,
• ­ das Bestehen eines Rechts, die Einwilligung zu widerrufen,
• ­ gegebenenfalls Informationen über die Verwendung der Daten für eine automatisierte Entscheidungsfindung gemäß Artikel 22 Absatz 2 Buchstabe c DSGVO und
  ­ Angaben zu möglichen Risiken von Datenübermittlungen ohne Vorliegen eines Angemessenheitsbeschlusses und ohne geeignete Garantien gemäß Artikel 46 DSGVO¹⁾

Die DSGVO schreibt nicht vor, in welcher Form die Informationen bereitzustellen sind, um das Erfordernis der Einwilligung in informierter Weise zu erfüllen. Das heißt, dass gültige Informationen auf verschiedene Weise vorgelegt werden können, beispielsweise als schriftliche oder mündliche Erklärungen oder als Audio- oder Videonachrichten. Die DSGVO legt jedoch insbesondere in Artikel 7 Absatz 2 und in Erwägungsgrund 32 verschiedene Anforderungen im Hinblick auf eine Einwilligung in informierter Weise fest. So sollte eine vom Verantwortlichen vorformulierte Einwilligungserklärung in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt werden, und sie sollte keine missbräuchlichen Klauseln beinhalten (Art. 7 Abs. 2 DSGVO).

Die Einwilligung muss deutlich und von anderen Sachverhalten klar zu unterscheiden sein.

Unmissverständlich abgegebene Willensbekundung

Eine Einwilligung macht eine Erklärung oder eine eindeutige bestätigende Handlung seitens der betroffenen Person erforderlich macht, d. h., dass die Einwilligung stets durch eine aktive Handlung oder Erklärung erteilt werden muss. Es muss offensichtlich sein, dass die betroffene Person in diese bestimmte Verarbeitung eingewilligt hat.

Eine „eindeutige bestätigende Handlung“ bedeutet, dass die betroffene Person eine bewusste Handlung zur Einwilligung in die bestimmte Verarbeitung vorgenommen haben muss. In Erwägungsgrund 32 wird dies näher dargelegt.

Während § 26 Abs. 2 Satz 3 BDSG ausdrücklich die Schriftform für die Einwilligung fordert, fehlt eine solche Voraussetzung in der DSGVO. Vielmehr ermöglichen Art. 7 Abs. 2 DSGVO und der Erwägungsgrund 32, dass die Einwilligung schriftlich, elektronisch – etwa durch Setzen eines Häkchens (opt-in) oder auf einem digitalen Unterschriftenpad –, mündlich oder sogar konkludent erfolgen kann. Aus Beweisgründen ist es aber dennoch ratsam, die Einwilligung schriftlich zu fixieren.

Fundstelle:

¹⁾ „Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679“ des Europäischen Datenschutzausschusses – abrufbar im Internet unter https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_de