Datenschutzrecht Aktuell

Gut 1,5 Jahre nach Inkrafttreten der DSGVO ergehen vermehrt gerichtliche Entscheidungen an der Schnittstelle zwischen Arbeits- und Datenschutzrecht.

Im Folgenden stellen wir Ihnen zwei praxisrelevante Beispiele aus dem Bereich des Beschäftigtendatenschutzes vor:

I. Zeiterfassung mittels Fingerprint-Sensor

Das Arbeitsgericht Berlin hatte mit Urteil vom 16. Oktober 2019 (Az.: 19 Ca 5451/19) unter anderem über das klägerseitige Begehren der Entfernung von Abmahnungen aus der Personalakte zu entscheiden. Dem Urteil lag der folgende Sachverhalt zugrunde:

Nachdem der Arbeitgeber das Zeiterfassungssystem von einem auf handschriftlichen Aufzeichnungen in Dienstplänen basierendem Verfahren hin zu einem Fingerprint-System (An- und Abmeldung durch Abgleich des Fingerabdrucks) umgestellt hatte, weigerte sich der Kläger das neue System zu nutzen. Eine Einwilligung zur Verarbeitung personenbezogener Daten des Klägers lag bezüglich des neu eingeführten Verfahrens nicht vor. In der Folge mahnte der beklagte Arbeitgeber den Kläger zweimal wegen der unterlassenen Zeiterfassung schriftlich ab.

Der Arbeitgeber war der Ansicht, dass eine Einwilligung des Arbeitnehmers nicht erforderlich gewesen sei. Denn der Einsatz des Fingerprint-Sensors sei die einzige manipulationssichere Möglichkeit der Zeiterfassung. Die diesbezügliche Verarbeitung personenbezogener Daten sei also „erforderlich“ gewesen. Hiergegen wendete der Kläger ein, dass eine Zeiterfassung auch mit dem vorherigen System präzise und konsequent möglich gewesen sei. Mangels Erforderlichkeit sei eine Einwilligung zur Verarbeitung personenbezogener Daten erforderlich. Da diese nicht vorlag, sei die Zeiterfassung rechtswidrig erfolgt, sodass die die unterlassene Nutzung des neuen Zeiterfassungssystems nicht abmahnfähig gewesen sei.

Das Arbeitsgericht gab dem klagenden Arbeitnehmer vollumfänglich Recht. Datenschutzrechtlich handele es sich bei den gewonnenen Daten um biometrischen Daten nach Art. 9 Abs. 1 DSGVO sowie um besondere Kategorien personenbezogener Daten gem. § 26 Abs. 3 BDSG. Mangels individueller Einwilligung oder einer entsprechenden kollektiven Vereinbarung (z.B. Betriebsvereinbarung) sei die Verarbeitung personenbezogener Daten im Rahmen eines Arbeitsverhältnisses daher nur rechtmäßig, wenn diese im Rahmen des Arbeitsverhältnisses erforderlich sei, damit der Verantwortliche (hier der Arbeitgeber) den ihm „aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes“ erwachsenden Rechte und Pflichten nachkommen kann. Dies sei – so das Arbeitsgericht – regelmäßig nicht der Fall, wenn nicht vermehrt Missbrauch bzw. Manipulation der Zeiterfassung erfolgt sei.

Mangels entsprechender Hinweise im konkreten Fall kam das Gericht zu dem Ergebnis, dass durch den Einsatz des neuen – auf Fingerprint basierenden – Zeiterfassungssystems ein Eingriff in das Recht auf informationelle Selbstbestimmung des Arbeitnehmers zu sehen sei, welcher nicht gerechtfertigt sei. Die erfolgten Abmahnungen waren mithin rechtswidrig und mussten aus der Personalakte entfernt werden.

II. Nutzung von Mitarbeiterfotos auf Unternehmens-Facebook-Seite

Das Arbeitsgericht Lübeck hatte mit Beschluss vom 20. Juni 2019 im Rahmen der Prüfung eines Antrags auf Prozesskostenhilfe darüber zu entscheiden, ob eine rechtswidrige Nutzung von Mitarbeiterfotos auf der Unternehmens-Facebook-Seite einen Anspruch auf Schmerzensgeld begründet kann. Der Entscheidung lag der folgende Sachverhalt zugrunde:

Im Rahmen seines Beschäftigungsverhältnisses erteilte der Antragsteller gegenüber seinem Arbeitgeber schriftlich seine Zustimmung für einen Aushang mit einem (aus den Bewerbungsunterlagen entnommenen) Foto nebst Namen. Der Arbeitgeber veröffentlichte sodann ein Foto des Antragstellers sowie dessen Namen auf der Unternehmens-Webseite. Kurze Zeit später veröffentlichte der Arbeitgeber auch auf seiner Unternehmens-Facebook-Seite einen inhaltlich identischen Post.

Im Folgemonat forderte der Antragsteller seinen Arbeitgeber per E-Mail auf, das Foto auf der Homepage zu löschen. Darüber hinaus sprach er sich grundsätzlich gegen eine öffentliche Werbung mit seiner Person aus. Der Arbeitgeber löschte sodann das Foto auf der Homepage. Der Post auf der Facebook-Seite wurde hingegen erst nach späterer anwaltlicher Aufforderung entfernt.

Der Antragsteller machte einen Anspruch auf Schmerzensgeld in Höhe von EUR 3.500 geltend und war der Ansicht, dass der verantwortliche Arbeitgeber durch die vorsätzliche Veröffentlichung seines Bildes nebst Namen auf ihrer Facebook-Seite in unrechtmäßiger Weise seine personenbezogenen Daten verarbeitet habe. Der Arbeitgeber war der Ansicht, dass der Facebook-Post der Wahrnehmung rechtlicher Interessen (konkret: der Vorstellung der Mitarbeiter) gedient habe und daher rechtmäßig gewesen sei.

Das Arbeitsgericht Lübeck folgte im Wesentlichen der Ansicht des Arbeitnehmers – der Eintritt eines immateriellen Schadens sei dem Grunde nach hinreichend wahrscheinlich im Sinne des § 114 Abs. 1 ZPO. Mangels ordnungsgemäßer Einwilligung gem. § 26 Abs. 2 BDSG sei die Veröffentlichung des Fotos auf der Facebook-Seite an den Voraussetzungen des § 26 Abs. 1 BDSG zu messen. Diese Voraussetzungen lägen im konkreten Fall jedoch nicht vor. Die Veröffentlichung des Facebook-Posts sei weder für die Begründung noch für die Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich gewesen. Ein berechtigtes Interesse des Arbeitgebers an der Veröffentlichung von Mitarbeiterfotos (vgl. Art. 6 Abs. 1 lit. f) DSGVO) sei ebenfalls nicht gegeben.

Einzig bezogen auf die Höhe der begehrten Entschädigung sei lediglich ein Betrag von maximal EUR 1.000 erfolgsversprechend. Diese richte sich nach der Intensität der Verletzung des allgemeinen Persönlichkeitsrechts.

Praxistipp

Arbeitgeber sollten bei sämtlichen Verarbeitungsvorgängen, die personenbezogene Daten von Arbeitnehmern betreffen, prüfen, ob diese auf eine gesetzliche Regelung gestützt werden können, oder aufgrund einer Kollektivvereinbarung bzw. einer individuellen (ordnungsgemäßen) Einwilligungserklärung rechtmäßig sind.