- Einwilligungen müssen dokumentiert, korrekt formuliert und freiwillig sein. Zudem besteht bei Einwilligungen immer die Möglichkeit, dass Mitarbeiter diese widerrufen
- Alle Datenverarbeitungsvorgänge, die für die Erfüllung oder Anbahnung eines Vertrags erforderlich sind, sind rechtmäßig und es wird grundsätzlich keine Einwilligung benötigt
- Doch Vorsicht: Dies gilt nur für solche personenbezogenen Daten, die für den das Arbeitsverhältnis bzw. dessen Anbahnung (den Bewerbungsprozess) auch nötig sind.
- Eine weitere mögliche Rechtsgrundlage zur Datenverarbeitung im Arbeitsverhältnis ist das berechtigte Interesse. Wird diese Rechtsgrundlage bedient, muss immer eine Interessenabwägung durchgeführt und dokumentiert werden
- Prinzipiell gilt eine Einwilligung so lange, bis sie widerrufen wird. Sie erlischt also nicht in jedem Fall automatisch mit dem Beschäftigungsende
Holen Sie Einwilligungen von Arbeitnehmern und Bewerbern nur da ein, wo es keine andere Rechtsgrundlage gibt
„Hiermit willige ich ein, dass meine Daten im Rahmen des Bewerbungsverfahrens gespeichert und verarbeitet werden.“ Checkboxen mit dieser oder ähnlichen Formulierungen finden sich auf so mancher Karriereseite. Unternehmen wollen sichergehen, dass sie Bewerberdaten DSGVO-konform verarbeiten.
Doch Einwilligungen da einzuholen, wo es andere Rechtsgrundlagen zur Datenverarbeitung gibt, ist kontraproduktiv. Zum einen können Einwilligungen jederzeit widerrufen werden. Zum anderen stiften sie rechtlich Verwirrung.
Alle Datenverarbeitungsvorgänge, die für die Erfüllung oder Anbahnung eines Vertrags erforderlich sind, sind rechtmäßig und es wird grundsätzlich keine Einwilligung benötigt. Der Bewerbungsprozess gilt als Anbahnung eines Arbeitsvertrags und erlaubt somit die Verarbeitung von Bewerberdaten. Doch Vorsicht: Dies gilt nur für solche personenbezogenen Daten, die für den Bewerbungsprozess auch nötig sind.
Das könnte Sie auch interessieren: Die Löschfristen nach DSGVO in Übersicht: Warum sind sie wichtig?
Die Erhebung bzw. das aktive Erfragen von z. B. Familienstand, Alter oder Geschlecht widerspricht dem Prinzip der Datensparsamkeit, da sie für die Entscheidung über eine Einstellung des Bewerbers nicht relevant sind bzw. sein sollten.
Ist die Bewerbung erfolgreich und der Bewerber wird eingestellt, ist es für die Durchführung des Arbeitsverhältnisses nötig, weitere Daten zu verarbeiten. Aber auch hier ist für die Verarbeitung dieser Daten keine Einwilligung erforderlich, da sie z. B. aus steuerrechtlichen Gründen erhoben und verarbeitet werden müssen.
Beispiele für Datenverarbeitungsvorgänge im Arbeitsverhältnis, die keiner Einwilligung bedürfen, sind:
- Erhebung von Kranken- und Sozialversicherungsdaten (z. B. zuständige Krankenkasse, Sozialversicherungsnummer)
- Weitergabe von Krankmeldungen an die Krankenkasse
- Abfrage einer Bankverbindung, auf die das Gehalt überwiesen werden soll
- Erhebung von Familienstand und Kinderanzahl
- Kirchensteuermerkmal
- Lohnsteuerklasse
Eine weitere mögliche Rechtsgrundlage zur Datenverarbeitung im Arbeitsverhältnis ist das berechtigte Interesse. Wird diese Rechtsgrundlage bedient, muss immer eine Interessenabwägung durchgeführt und dokumentiert werden. Berechtigtes Interesse kann zum Beispiel an der Videoüberwachung bestimmter Bereiche im Betrieb oder dem GPS-Tracking von Lieferfahrzeugen bestehen.
Wichtig ist: Die Einwilligung sollte auch bei Datenverarbeitung von Arbeitnehmern das letzte Mittel sein.
Für diese Datenverarbeitungsvorgänge brauchen Arbeitgeber Einwilligungen
Kurz gesagt: immer dann, wenn keine andere Rechtsgrundlage greift. Ein typisches Beispiel ist die Verwendung von Mitarbeiterfotos auf der Unternehmenswebsite oder für Marketing-Material (Flyer, Broschüren, etc.).
Auch der Überwachung von Arbeitslaptop oder Firmenhandy während der privaten Nutzung müssen Mitarbeiter zustimmen. Das kann allerdings dadurch vermieden werden, dass Mitarbeiter darauf hingewiesen werden, Fimenhard- und software nur für die Arbeit zu verwenden.
Bleiben Sie compliant dank Expertenwissen zum Datenschutz
Erhalten Sie Ratschläge von Experten zu den neuesten Datenschutztrends und -vorschriften – bequem per E-Mail.
Einwilligungen müssen auch im Arbeitsverhältnis freiwillig sein
Werden Einwilligungen unter Druck oder in einer Zwangssituation abgegeben, sind sie nichtig. Nun stellt sich im Arbeitsverhältnis eine spannende Frage: Kann die Freiwilligkeit überhaupt gewährleistet werden, wenn für Arbeitnehmer potenziell ihr Job auf dem Spiel stehen könnte?
Die Antwort ist: ja. Für Arbeitgeber gibt es aber einige Punkte zu beachten, um die Freiwilligkeit einer Einwilligung zu wahren:
- Koppeln Sie die Einwilligung nicht an andere Verträge wie den Arbeitsvertrag, auch nicht als Anhang zu diesem. Sie sollte ein eigenständiges, schriftliches und beidseitig unterschriebenes Dokument sein.
- Formulieren Sie die Einwilligung so, dass die Freiwilligkeit deutlich wird. Weisen Sie beispielsweise explizit darauf hin, dass bei Widerruf oder Nicht-Einwilligung keine Nachteile zu befürchten sind.
- Und last but certainly not least: Die Freiwilligkeit muss gelebte Realität in Ihrem Unternehmen sein. Das heißt: Wenn Mitarbeiter Einwilligungen nicht abgeben wollen oder nachträglich widerrufen, darf das auf keinen Fall irgendwelche negativen Folgen haben. Versuchen Sie niemals, Menschen zu überreden oder anderweitig Druck auszuüben.
Ein Hinweis zur Verwendung von Mitarbeiterfotos auf der Website
Wenn die Mitarbeiterfotos nur auf der Team- oder Karriereseite verwendet werden (z. B. im Stil von „Ihre Ansprechpartnerin bei DataGuard…“), sind Einwilligungen ein recht verlässlicher Weg.
Wollen Sie Fotos jedoch auf verschieden Internetauftritten verwenden und beispielsweise mit einem Foto Editor regelmäßig anpassen oder in unterschiedlichen Formaten darstellen, gerät das Einwilligungsmanagement schnell außer Kontrolle.
Widerruft ein Mitarbeiter dann seine Einwilligung, muss genau dokumentiert sein, an welchen Orten im Internet sein Foto verwendet wird und dort ersetzt oder gelöscht werden. Eine zuverlässige, konstant aktualisierte Dokumentation ist daher der Schlüssel zum Erfolg.
Manche Unternehmen arbeiten stattdessen mit sogenannten Model-Release Verträgen, die den Mitarbeitern ihre Fotos gegen einen Obolus abkaufen. Dann ist die Rechtsgrundlage keine Einwilligung mehr, sondern ein Vertrag. Wir empfehlen, sich für die Erstellung und Prüfung solcher Verträge an einen Rechtsanwalt zu wenden.
Übernehmen Sie die Kontrolle über die DSGVO-Compliance mit intelligenten Tools
Einwilligungen von Arbeitnehmern enden nicht automatisch mit dem Beschäftigungsverhältnis
Was passiert eigentlich, wenn ein Arbeitnehmer das Unternehmen verlässt? Einige erteilte Einwilligungen verlieren dann ihren Nutzen. Zum Beispiel wird ein Unternehmen keine Daten zum Standort des Firmenwagens der Person mehr erheben oder deren Foto online auf der Team-Seite abbilden wollen.
Sobald also der Zweck weggefallen ist, sollte die Verarbeitung eingestellt werden. Für das oben genannte Beispiel hieße das: Mitarbeiterfoto von der Webseite nehmen, auch ohne gesonderte Aufforderung des Mitarbeiters.
Prinzipiell gilt aber eine Einwilligung so lange, bis sie widerrufen wird. Sie erlischt also nicht in jedem Fall automatisch mit dem Beschäftigungsende. Im Jahr 2015 (vor Inkrafttreten der DSGVO) entschied das Bundesarbeitsgericht sogar, dass ein Widerruf der Einwilligung mitunter nur mit einem plausiblen Grund gültig ist.
Eine solche Auslegung der Einwilligung ist seit Gültigkeit der DSGVO allerdings nicht mehr zu erwarten. Hier ging es um die Weiternutzung eines Werbevideos, in dem der Mitarbeiter zu sehen war.
Worauf Sie bei der Erstellung und Veröffentlichung von Bildaufnahmen Ihrer Mitarbeiter achten müssen, erfahren Sie hier: „Mitarbeiterfotos und Datenschutz – was gibt es zu beachten?“
DSGVO-konforme Lösung für Ihren Mitarbeiterdatenschutz
Einwilligungen sind auch im Angestelltenverhältnis eine eher wacklige Angelegenheit. Sie müssen dokumentiert, korrekt formuliert und freiwillig sein. Zudem besteht bei Einwilligungen immer die Möglichkeit, dass Mitarbeiter diese widerrufen. Daher sollten Sie genau prüfen, ob Sie sich bei der Verarbeitung nicht auf eine andere Rechtsgrundlage stützen können.
Um den Anforderungen der DSGVO gerecht zu werden, ist es zudem sinnvoll, auf eine moderne Datenschutzlösung zu setzen. Eine All-in-One-Plattform vereinfacht Ihr Compliance-Management durch KI-gestützte, automatisierte Workflows, die wiederkehrende Aufgaben erleichtern. So können Sie sich darauf verlassen, dass Compliance-Anforderungen mit minimalem manuellen Aufwand erfüllt werden – und sich gleichzeitig auf Ihr Geschäftswachstum konzentrieren können.
