Heft 21/2024

"Die Bundesregierung setzt sich zum Ziel, eine innovative und verantwortungsvolle Datennutzung zu fördern“ und will dazu für den „sensiblen Beschäftigungskontext“ einen Rechtsrahmen schaffen, der einen starken Datenschutz mit innovativer Datennutzung verbindet – so liest sich die Begründung des Referentenentwurfs des BMAS und BMI vom 8.10.2024 des „Gesetzes zur Stärkung eines fairen Umgangs mit Beschäftigtendaten und für mehr Rechtssicherheit für Arbeitgeber und Beschäftigte in der digitalen Arbeitswelt“ (kurz: Beschäftigtendatengesetz – BeschDG). Der bislang nahezu nur in § 26 BDSG und damit „stiefmütterlich“ behandelte Arbeitnehmerdatenschutz wird umfassend kodifiziert, von der Rechtsgrundlage über die Erforderlichkeit bis hin zur Einwilligung, greift relevante Beispiele auf wie etwa Einstellungsprozess, KI, Videoüberwachung, Profiling oder bEM. Unter der DS-GVO, dem BDSG, der DSK oder aus der Rechtsprechung gewonnene Erkenntnisse sind im RefE kodifiziert. Keine Frage, der Gesetzgeber hat viel Energie investiert: Wie im Lehrbuch erklärt das BeschDG in den jeweiligen Paragraphen anhand von Beispielen, was erlaubt ist. Zudem bietet das BeschDG Neuerungen, weil der Gesetzgeber unliebsame Entscheidungen unter dem Vorwand einer Klarstellung arbeitnehmerfreundlich niederlegt. Darüber hinaus darf etwas Bürokratie durch Auskunftsansprüche, Informationsrechte (zB bei berechtigtem Interesse, KI oder Profiling) und neue Mitbestimmungsrechte (zB Bestellung des Datenschutzbeauftragten) nicht fehlen.

Nach der unionsrechtlichen Kritik an der hessischen Parallelnorm zu § 26 I 1 BDSG rätselten Praktiker, was über Art. 6 lit. b und f möglich sei (EuGH v. 30.3.2023 – C-34/21, NZA 2023, 487, dazu Fuhlrott, NZA-Editorial 8/2023). Mit den §§ 3–9 RefE regelt der Gesetzgeber eine Art „allgemeinen Teil“ des Beschäftigtendatenschutzes und klärt auch die Rechtsgrundlagen, Verarbeitungszwecke, Einwilligung, Zweckbindung und Schutzmaßnahmen. Einen Paukenschlag enthält § 11 RefE: Einerseits dürfen Arbeitgeber personelle Maßnahmen nicht auf datenschutzrechtswidrig verarbeitete Beschäftigtendaten stützen. Diese Regel wird nur bei offensichtlichen Missverhältnissen aufgebrochen. Der gelobte Ansatz des BAG, „Datenschutz ist kein Tatenschutz“ ist damit wohl Geschichte. Andererseits erlaubt der Gesetzgeber den „Verhandlungspartnern“ Verwertungsverbote zu vereinbaren. Dem hatte das BAG in Betriebsvereinbarungen noch eine Absage erteilt. Diese Kompetenz, so die Erfurter Bundesrichter, stehe nur den Gerichten zu (BAG v. 29.6.2023 – 2 AZR 296/22, NZA 2023, 1105). 

Die Beseitigung bestehender Unklarheiten durch eine einheitliche gesetzliche Regelung ist zu begrüßen. Indes schlägt bei den „echten Neuerungen“ des RefE das Pendel zwischen „Persönlichkeitsschutz“ und „Informationsverarbeitung“ in die erste Richtung aus. Anstatt zukunftsorientiert die Nutzung künstlicher Intelligenz sowie Cybersecurity in Kombination mit biometrischen Daten und Geotracking für den Arbeitsplatz nutzbar zu machen, priorisiert der Entwurf überhöhten Arbeitnehmerschutz, Bürokratie unter dem Deckmantel der Transparenz und ausufernde Mitbestimmung. Um die Gegensätze von berechtigtem Arbeitnehmerdatenschutz und moderner Arbeitswelt verhältnismäßig auszugleichen, hat der Gesetzgeber noch viel Arbeit vor sich.