Der Referentenentwurf für das Beschäftigtendatengesetz (BeschDG) – Fundament für den rechtssicheren Umgang mit Beschäftigtendaten in der digitalen Arbeitswelt?

Datenschutzrecht im Beschäftigungskontext ist seit Jahren eine Materie, die zahlreiche rechtliche Probleme aufwirft. Das liegt unter anderem an der uneinheitlichen Rechtsprechung, unterschiedlichen Auffassungen unter Aufsichtsbehörden und Gerichten sowie daran, dass die relevanten Bestimmungen zum Beschäftigtendatenschutz sehr allgemein formuliert sind. Erschwerend hinzu kommt, dass der Europäische Gerichtshof (EuGH) im vergangenen Jahr die Europarechtswidrigkeit des § 23 Abs. 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG) festgestellt hat (vgl.  EuGH, Urt. v. 30.03.2023 – C-34/21). Damit dürfte auch die nahezu identisch formulierte zentrale Bundesnorm des § 26 Abs. 1 S. 1 Bundesdatenschutzgesetz (BDSG) europarechtswidrig sein.

Die Bundesregierung hatte sich im Koalitionsvertrag zum Ziel gesetzt, klare und handhabbare Regelungen zum Beschäftigtendatenschutz zu schaffen sowie die Rechte von Beschäftigten im digitalen Zeitalter stärker zu schützen. Seit dem 8. Oktober 2024 gibt es nun einen Referentenentwurf für ein Beschäftigtendatengesetz (E-BeschDG). In diesem Update fassen wir die wesentlichen Neuregelungen zusammen. Zum Thema Beschäftigtendaten und Künstliche Intelligenz erscheint demnächst ein gesondertes Update.   

Der Referentenentwurf für ein Beschäftigtendatengesetz

Der Entwurf des BeschDG zielt darauf ab, den Einsatz moderner Technologien und Datenverarbeitungen zum Schutz der Beschäftigten klar zu regeln und zu regulieren sowie rechtssichere Rahmenbedingungen für Arbeitgeber zu schaffen.

Das als Entwurf vorgelegte BeschDG macht von der Öffnungsklausel in Art. 88 DSGVO Gebrauch und regelt die Verarbeitung von Beschäftigtendaten, d. h. personenbezogene Daten von Beschäftigten, durch den Arbeitgeber im Beschäftigungskontext. Das Gesetz gilt ebenfalls, wenn eine Datenverarbeitung im Zusammenhang mit einem möglichen (zum Beispiel Bewerber) oder bereits beendeten Beschäftigungsverhältnis stattfindet.

Inhaltlich sieht der Referentenentwurf folgende wesentliche Regelungsbereiche vor (überblicksartig zusammengefasst, nicht abschließend):

• Verarbeitungszwecke: Der Entwurf legt in § 3 fest, unter welchen Bedingungen Beschäftigtendaten verarbeitet werden dürfen und konkretisiert beispielhaft zulässige Verarbeitungszwecke. Es gilt der Grundsatz der Zweckbindung. Arbeitgeber sind außerdem aufgrund der erweiterten Betroffenenrechte (dazu sogleich) angehalten, die Verarbeitungszwecke schriftlich zu dokumentieren. Möchte der Arbeitgeber die Beschäftigtendaten später für andere als die festgelegten Zwecke weiterverarbeiten, stellt das Gesetz sehr strenge Anforderungen an die Zulässigkeit der Zweckänderung (z. B. Heranziehung der Daten zur Leistungskontrolle).
• Erforderlichkeitsprüfung: Der Entwurf bietet eine nicht abschließende Liste von Abwägungskriterien für die seit jeher im Rahmen der Erforderlichkeitsprüfung durchzuführende Interessenabwägung. Dieser Kriterienkatalog soll den Arbeitgebern als Hilfestellung dienen.  
• Einwilligung: Der Entwurf enthält Regelbeispiele, wann eine Einwilligung im Beschäftigtenkontext freiwillig erfolgen und somit wirksam eingeholt werden kann, z. B. bei der Veröffentlichung von Fotos im Intranet.
• Betroffenenrechte: Der Referentenentwurf erweitert die bereits durch die DSGVO bzw. das BDSG gewährten Betroffenenrechte (z. B. Auskunftsanspruch nach Art. 15 DSGVO). Auf Verlangen muss der Arbeitgeber dem Arbeitnehmer u. a. die wesentlichen Überlegungen seiner Erforderlichkeitsprüfung in verständlicher Weise darlegen.
• Maßnahmen zur Überwachung von Beschäftigten: Maßnahmen zur Überwachung von Beschäftigten (Erfassen von Leistungs- oder Verhaltensdaten), wie z. B. Compliance-Investigations, Videoüberwachung, GPS-Ortung und andere Überwachungsmaßnahmen sind im Referentenentwurf streng reglementiert. Verdeckte Überwachung ist nur bei Verdacht auf Straftaten zulässig.  
• Profiling: Es werden u. a. konkrete Vorgaben geschaffen, wann ein Profiling in Bezug auf Beschäftigte zulässig ist.
• Verwertungsverbot: Der Entwurf sieht ein Verbot vor, datenschutzwidrig erhobene Beschäftigtendaten in Gerichtsverfahren zu personellen Maßnahmen zu nutzen. Eine Ausnahme soll bei einem offensichtlichen Missverhältnis zwischen dem Eingriff in das Persönlichkeitsrecht und dem Interesse des Arbeitgebers besteht.
• Mitbestimmung des Betriebsrats: Die Mitbestimmungsrechte des Betriebsrats werden ausgeweitet, insbesondere mit Blick auf die Ernennung und Abberufung von Datenschutzbeauftragten sowie beim Einsatz neuer Technologien wie Künstlicher Intelligenz.
• Verarbeitung im Konzern: §30 E-BeschDG enthält Regelungen zur Datenverarbeitung im Konzern und legt legitime Zwecke einer solchen unternehmensübergreifenden Verarbeitung fest.

Ausblick und Fazit

Die fortschreitende Digitalisierung und der zunehmende Einsatz von Künstlicher Intelligenz in der Arbeitswelt erfordern klare Regelungen zum Schutz von Beschäftigtendaten. Obwohl der Referentenentwurf des BeschDG auf den ersten Blick wie ein Schritt in die richtige Richtung erscheint, offenbart eine detaillierte Analyse leider weniger ermutigende Aspekte für Arbeitgeber.

Statt eine ausgewogene Lösung zwischen Innovation, dem Beschäftigtendatenschutz sowie Arbeitgeberinteressen zu bieten, enthält der Entwurf aufgrund seiner zahlreichen Detailregelungen vor allem administrative Hürden für Arbeitgeber. Das Gesetz würde die Datenverarbeitung für Unternehmen im Beschäftigungskontext zukünftig weiter verkomplizieren, man denke nur an den Vorschlag eines erweiterten Auskunftsanspruchs.

Hinzu kommt, dass die allgemeine und breite Rechtfertigungsgrundlage zur Datenverarbeitung gemäß Art. 6 Abs. 1 f DSGVO im Beschäftigungskontext durch diesen Entwurf zukünftig vermutlich zurücktreten soll, was Handlungs- und Auslegungsspielräume für Arbeitgeber deutlich reduzieren dürfte.

Angesichts des Ablaufs der Legislaturperiode im kommenden Jahr, der Diskrepanzen innerhalb der Ampel-Koalition sowie bisher gescheiterter Versuche, spezielle Regelungen für den Beschäftigtendatenschutz zu schaffen, sind die Chancen für eine rechtzeitige Verabschiedung des Entwurfs wohl gering. Arbeitgeber sollten die Entwicklungen im Blick behalten. Die meisten im E-BeschDG geregelten Bereiche ließen sich im Interesse aller Beteiligten aber auch weiterhin allein mit dem Wortlaut der DSGVO lösen.