BAG: Datenschutzrechtliche Einwilligung im Arbeitsverhältnis grundsätzlich wirksam

Das Bundesarbeitsgericht hält eine dem Arbeitgeber erteilte Einwilligung zur Datenverarbeitung grundsätzlich für wirksam. Der bisher verbreiteten Gegenmeinung, wonach Arbeitnehmer wegen der Abhängigkeit vom Arbeitgeber in der Regel nicht "freiwillig" einwilligen könnten, hat das Gericht eine klare Absage erteilt.

BAG: Arbeitnehmern können grundsätzlich "freiwillig" einwilligen

Das BAG hatte im Urteil vom 11.12.2014 (Az. 8 AZR 1010/13) im Ergebnis entschieden, dass der Kläger seine Einwilligung in die Anfertigung und Veröffentlichung von Videoaufnahmen seiner Person wirksam erteilt hat und auch nach Beendigung des Arbeitsverhältnisses nicht widerrufen kann. Neben der (kunst-)urheberrechtlichen Wertung sind dabei für den Arbeitnehmerdatenschutz die Ausführungen zur Einwilligung nach dem BDSG interessant. Hierzu entschied das Gericht (Rz. 32): 

"Auch im Rahmen eines Arbeitsverhältnisses können Arbeitnehmer sich grundsätzlich „frei entscheiden“, wie sie ihr Grundrecht auf informationelle Selbstbestimmung ausüben wollen. Dem steht weder die grundlegende Tatsache, dass Arbeitnehmer abhängig Beschäftigte sind noch das Weisungsrecht des Arbeitgebers, § 106 GewO, entgegen. Mit der Eingehung eines Arbeitsverhältnisses und der Eingliederung in einen Betrieb begeben sich die Arbeitnehmer nicht ihrer Grund- und Persönlichkeitsrechte. Die zu § 4a BDSG formulierte Gegenauffassung (Simitis in Simitis BDSG 8. Aufl. § 4a Rn. 62) verkennt, dass schon nach § 32 BDSG Datenverarbeitung im Arbeitsverhältnis möglich ist, unter den Voraussetzungen des § 32 BDSG sogar einwilligungsfrei."

Schwach ist freilich das Argument, die Gegenauffassung beruhe darauf, dass Simitis den Erlaubnistatbestand des § 32 BDSG übersehen habe. Denn weder ist das vorstellbar, noch folgt aus § 32 BDSG irgendetwas für die Frage, wann neben der gesetzlichen Erlaubnis zur Datenverarbeitung auch eine freiwillige Einwilligung möglich ist. Mit der Ansicht, dass es in sozialen Abhängigkeitsverhältnissen an der Freiwilligkeit einer datenschutzrechtlichen Einwilligung fehlen kann, stand Simitis auch keineswegs allein. Dies hatte z.B. auch der Bundesgerichtshof entschieden (BGH, Urt. v. 16.07.2008, Az. VIII ZR 348/06, Rn. 29). Verständlich ist aber die Kritik des Gerichts an der Schlussfolgerung von Simitis u.a., dass deshalb die Einwilligung in Arbeitsverhältnis als Verarbeitungsgrundlage weitgehend ausgeschlossen sei. Es spricht einiges dafür, die Balance hier nicht einseitig zu lasten der Arbeitgeber zu treffen und die Freiwilligkeit der Einwilligung im Einzelfall zu prüfen. Das BAG geht nun sogar davon aus, dass die Einwilligung "grundsätzlich" wirksam ist.

Auswirkungen für den Arbeitnehmerdatenschutz 

Bisher haben die Aufsichtsbehörden die Auffassung vertreten, dass - umgekehrt wie vom BAG angenommen - die Einwilligung im Arbeitsverhältnis grundsätzlich nicht freiwillig erfolge und damit unwirksam sei (zB. 18. Tätigkeitsbericht des Hamburgischen Datenschutzbeauftragten, S. 197). Ausnahmsweise sollte insbesondere bei leitenden Angestellten eine Einwilligung tendenziell möglich sein. Umsichtige Berater mussten deshalb bisher empfehlen, sich auf datenschutzrechtliche Einwilligungen einfacher Angestellter nicht zu verlassen. Es war damit faktisch kaum möglich (bzw. riskant im Hinblick auf mögliche Bußgelder), über das vom Gesetz ohnhin erlaubte Maß Arbeitnehmerdaten zu verarbeiten - selbst wenn die betroffenen Mitarbeiter eingewilligt hatten. 

Die Entscheidung ist daher ein Paukenschlag für den Arbeitnehmerdatenschutz. Sie vereinfacht den Umgang mit Mitarbeiterdaten erheblich. Denn nunmehr steht Arbeitgeben bei Datenverarbeitungen, die nicht bereits vom Gesetz erlaubt sind, das Instrument der Einwilligung im Arbeitsverhältnis bereit - mit der Rechtssicherheit eines höchstrichterlichen Urteils. 

Ein Paradigmenwechsel - aber kein Freibrief zur Einführung beliebiger Verarbeitungsverfahren 

Gleichwohl wird man abwarten müssen, ob nicht in Zukunft noch von der Rechtsprechung gewisse Einschränkungen herausgearbeitet werden. Denn natürlich ist der Hinweis der Aufsichtsbehörden (und vieler Literaturstimmen) auf das Abhängigkeitsverhältnis nicht aus der Luft gegriffen. Auch in Zukunft dürfte daher nicht jede Einwilligung im Falle einer behördlichen oder gesetzlichen Prüfung Bestand haben. Gewisse Korrektive zum Schutz der Belegschaft vor interessewidriger Verarbeitung von Daten werden bleiben. Auch das BAG spricht nur davon, dass Arbeitnehmer "grundsätzlich" frei entscheiden können. Gerade bei der Verarbeitung besonders sensibler Daten (nicht nur im Sinne von § 3 Abs. 9 BDSG) sollte man dieFreiwilligkeit daher vorsichtshalber im Einzelnen prüfen.

Das BAG hat auch selbst schon angedeutet, wann es ausnahmsweise doch an der Freiwilligkeit fehlen kann (Rz. 33): 

"Dem Vorbringen des Klägers ist nicht zu entnehmen, dass seine Unterschrift nicht auf seiner freien Entscheidung beruhte oder unter Druck und Zwang geschah. Zudem haben sechs Beschäftigte damals nicht unterschrieben, in einem Fall fehlt sogar der sonst von fremder Hand hinzugefügte Abwesenheitsvermerk „Urlaub, Krank oder Schule“. Ebenso hat der Kläger weder eine Anfechtung aus dem Grund widerrechtlicher Drohung erklärt (§ 123 Abs. 1 BGB), noch hat er andere Sachverhalte vorgetragen, die gegen eine frei entschiedene Einwilligung sprechen könnten."

Ein Indiz für die Freiwilligkeit ist also, dass tatsächlich Mitarbeiter (ohne Konsequenzen) die geforderte Einwilligung nicht erteilt haben. Umgekehrt könnte also die Tatsache, dass sämtliche Arbeitnehmer auf Anforderung in eine Datenverarbeitung einwilligen, dann im Einzelfall gegen die Freiwilligkeit sprechen - insbesondere bei größeren Belegschaften. Dies wäre aber sicher kein hinreichendes Argument gegen Freiwilligkeit, sondern nur ein Indiz, das eine genauere Einzelfallprüfung erforderlich machen würde.

Ebenso läge unzulässiger Druck oder Zwang vor, wenn diejenigen, die die Einwilligung verweigern, tatsächlich negative Konsequenzen erfahren. Dass jedenfalls dann keine Freiwilligkeit anzunehmen ist, war schon seit langem z.B. die Position der Art.-29-Gruppe (d.h. des Gremiums der Datenschutzaufsichtsbehörden der EU-Staaten), siehe schon Arbeitspapier 48 (Verarbeitung von Beschäftigtendaten), S. 27, und Arbeitspapier 114 (S. 12 f.). Diese Ansicht wird durch das Urteil eher bestätigt als widerlegt. Denn das BAG bestätigt ausdrücklich, dass der Arbeitgeber zu solchen Konsequenzen nicht berechtigt ist: 

"Löste die Verweigerung einer außerhalb von § 32 BDSG erforderlichen schriftlichen Einwilligung Benachteiligungen aus, so stellte dies einen groben Verstoß gegen die arbeitgeberseitigen Pflichten aus § 241 Abs. 2 und § 612a BGB dar, der zum Schadensersatz nach §§ 282, 280 Abs. 1 BGB verpflichtete. Eine Nebenpflicht des Arbeitnehmers aus dem Arbeitsverhältnis, der Erhebung, Verarbeitung und Veröffentlichung seiner Daten - soweit erforderlich - zuzustimmen, besteht nicht."

Leider spricht das BAG aber nur die zivilrechtlichen Folgen des Falles an, dass die Verweigerung der Einwilligung zu Repressalien führt - nämlich die dann vorliegenden Schadensersatzansprüche gegen den Arbeitgeber nach §§ 282, 280 Abs. 1 BGB. Es ist aber darüber hinaus anzunehmen, dass in solchen Fällen auch die Einwilligung datenschutzrechtlich grundsätzlich unwirksam ist.

Unzulässig dürfte es damit wohl auch weiterhin sein, datenschutzrechtliche Einwilligungen von Bewerbern als - explizite oder implizite - Einstellungsvoraussetzung einzuholen (so auch Taeger/Gabel, 2. Aufl., BDSG § 4a Rn. 69). Denn in der Bewerbungssituation wird ein Arbeitnehmer nicht freiwillig über die Verwendung seiner Daten entscheiden können. Sie oder er wird vorrangig daran denken, die Bewerbungschancen nicht zu schmälern. 

Vorbehaltlich dieser Grenzen bleibt es aber bei dem Paradigmenwechsel: "Grundsätzlich" ist eine Einwilligung nunmehr nach der BAG-Rechtsprechung auch im Arbeitsverhältnis möglich. 

Ausblick: EU-Datenschutzgrundverordnung 

Für den Moment ist die datenschutzrechtliche Einwilligung im Arbeitsverhältnis als Instrument deutlich aufgewertet. Fraglich ist aber, ob dies auch nach der künftigen EU-Datenschutzgrundverordnung so bleibt. Der Verordnungsentwurf der Kommission enthält in Erwägungsgrund 34 eine klare Absage an die Auffassung des BAG: 

"(34) Die Einwilligung liefert keine rechtliche Handhabe für die Verarbeitung personenbezogener Daten, wenn zwischen der Position der betroffenen Person und des für die Verarbeitung Verantwortlichen ein klares Ungleichgewicht besteht. Dies ist vor allem dann der Fall, wenn sich die betroffene Person in einem Abhängigkeitsverhältnis von dem für die Verarbeitung Verantwortlichen befindet, zum Beispiel dann, wenn personenbezogene Daten von Arbeitnehmern durch den Arbeitgeber im Rahmen von Beschäftigungsverhältnissen verarbeitet werden."

Das EU-Parlament hat in seinem Gegenentwurf diesen Erwägungsgrund zwar gestrichen, aber als Ersatz einen - sehr interpretationsbedürftigen - Art. 82 Abs. 1b) vorgeschlagen:

"1b. Consent of an employee shall not provide a legal basis for the processing of data by the employer when the consent has not been given freely."

Die Haltung des Rates in dieser wichtigen Frage bleibt nun abzuwarten. Wie auch immer die endgültige Fassung aber aussieht - es ist nicht unwahrscheinlich, dass das Urteil des BAG mit dem Inkrafttreten der EU-Verordnung zu einer Fußnote der Rechtsgeschichte wird.