§ 3 BDSG - Weitere Begriffsbestimmungen
(1) Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). (…)
In seinem Geltungsbereich unterscheidet das BDSG also verschiedene Phasen im Umgang mit personenbezogenen Daten (§ 1 Abs. 1 BDSG - Erheben, Verarbeiten und Nutzen) und ordnet in § 4 Abs. 1 BDSG ein "Verbot mit Erlaubnisvorbehalt" an. Der Umgang mit personenbezogenen Beschäftigtendaten ist damit nur dann zulässig, wenn eine gesetzliche Norm dies erlaubt oder der Beschäftigte den Umgang mit den Daten ausdrücklich gestattet.
Erlaubnisnorm § 32 BDSG
Das BDSG selbst stellt Erlaubnistatbestände in den §§ 28, 32 BDSG auf. Die Spezialvorschrift des § 32 BDSG wurde erst im Jahr 2009 in das BDSG eingefügt und regelt den Umgang mit Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses. Der bisher in diesem Zusammenhang anwendbare § 28 Abs. 1 BDSG wird damit in vielen Fällen verdrängt. § 32 BDSG kann wohl als legislative Reaktion auf die jüngsten Datenschutzskandale bezeichnet werden, denn er ist erst mit der Entwurfsfassung vom 1.7.2009 kurzfristig in die BDSG-Novelle II eingefügt worden. Während § 32 Abs. 1 S.2 BDSG eine Regelung zur Aufdeckung von durch Beschäftigte begangene Straftaten enthält und damit an eine bereits begangene Straftat anknüpft, soll § 32 Abs. 1 S. 1 BDSG den "präventiven" Umgang mit Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses regeln und insofern die Rechtsprechung zur verdeckten Überwachung von Beschäftigten berücksichtigen.
In einer im Rahmen von § 32 Abs. 1 S. 1 BDSG erforderlichen Abwägung sind die Rechte des Betroffenen umfassend zu berücksichtigen und die Eingriffsintensität in das Persönlichkeitsrecht des Beschäftigten dem Interesse des Arbeitgebers an der Verarbeitung der Daten gegenüber zu stellen.
Einwilligung des Arbeitnehmers
Sofern eine Erlaubnisnorm zum Umgang mit den Daten des Arbeitnehmers nicht zur Verfügung steht, ist die Verarbeitung, Nutzung etc. nur zulässig, wenn der Betroffene sein Einverständnis zur Verarbeitung seiner Daten erteilt (Einwilligung). Voraussetzung dafür ist, dass dem Betroffenen hinreichende Informationen über die Art der vorgesehenen Datenverarbeitung und ihren Zweck zugänglich gemacht werden.
Eine Erklärung dergestalt, dass pauschal in jede Form der Datenverarbeitung eingewilligt wird, genügt den rechtlichen Vorgaben nicht und ist damit für eine Datenverarbeitung unzureichend. Gerade im Arbeitsverhältnis ist die Einwilligung eine problematische Grundlage, da fraglich sein kann, ob die Einwilligung des Beschäftigten gänzlich ohne "Zwang" erfolgen und der Beschäftigte die Zustimmung sanktionslos verweigern kann. § 4a Abs. 1 BDSG verlangt jedoch, dass die Einwilligung auf "der freien Entscheidung des Betroffenen" beruht. Zudem kann eine Einwilligung auch nach Erteilung widerrufen werden. Aus Arbeitgebersicht sollte in der betrieblichen Praxis daher nach Möglichkeit auf Arbeitnehmereinwilligungen verzichtet werden.