Paragraph 26 BDSG ist die zentrale Norm des Beschäftigtendatenschutzes in Deutschland. Er nutzt die Öffnungsklausel in Art. 88 DSGVO und regelt, unter welchen Voraußetzungen Arbeitgeber Beschäftigtendaten verarbeiten dürfen.
Drei Phasen des Beschäftigungsverhältnisses
Die Verarbeitung ist zuläßig, wenn sie für die Begründung (Bewerbungsverfahren), Durchführung (laufendes Arbeitsverhältnis) oder Beendigung (Kündigung, Zeugnis) des Beschäftigungsverhältnisses erforderlich ist (Paragraph 26 Abs. 1 Satz 1 BDSG).
Einwilligung im Arbeitsverhältnis
Wegen des Über-/Unterordnungsverhältnisses ist die Einwilligung im Arbeitsverhältnis nur ausnahmsweise wirksam. Freiwilligkeit kann vorliegen, wenn der Beschäftigte einen rechtlichen oder wirtschaftlichen Vorteil erhält oder gleichgelagerte Interessen bestehen (Paragraph 26 Abs. 2 BDSG). Beispiele: Privatnutzung des Dienstwagens, betriebliches Gesundheitsmanagement, Geburtstagslisten. Die Einwilligung muss grundsätzlich schriftlich oder elektronisch erfolgen.
Aufdeckung von Straftaten
Zur Aufdeckung von Straftaten im Beschäftigungsverhältnis dürfen personenbezogene Daten nur verarbeitet werden, wenn dokumentierte tatsächliche Anhaltspunkte einen Verdacht begründen, die Verarbeitung erforderlich ist und das schutzwürdige Interesse des Beschäftigten nicht überwiegt (Paragraph 26 Abs. 1 Satz 2 BDSG). Verdachtserforschung oder Vorratsspeicherung sind unzuläßig.
Weiter Beschäftigtenbegriff
Beschäftigte sind nicht nur Arbeitnehmer, sondern auch Bewerber, ehemalige Beschäftigte, Leiharbeitnehmer (im Verhältnis zum Entleiher), Auszubildende, Praktikanten, Freiwillige und Beamte (Paragraph 26 Abs. 8 BDSG).
Betriebsvereinbarungen als Rechtsgrundlage
Kollektivvereinbarungen (Betriebsvereinbarungen, Tarifverträge) können als eigenständige Rechtsgrundlage dienen (Paragraph 26 Abs. 4 BDSG). Das Schutzniveau der DSGVO darf dabei nicht unterschritten werden (Art. 88 Abs. 2 DSGVO).