Sachverhalt

Die DSGVO listet unter Art. 6 – Rechtmäßigkeit der Verarbeitung – Erlaubnistatbestände auf, aus denen sich die Rechtmäßigkeit der Verarbeitung ergeben kann.

Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist: …    b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen.

Der Vertrag beruht auf den übereinstimmenden Willen der Vertragsparteien.

Im Beschäftigungsverhältnis greift vor allem das BDSG in § 26 – Bewerbung, Durchführung und Beendigung eines Beschäftigungsverhältnisses (siehe Kapitel C II, CIII und CIV) – auf der Basis des Arbeitsvertrages zwischen Arbeitgeber und Beschäftigten. Deshalb bleibt kaum Raum für die Bestimmungen aus Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO – Verarbeitung aufgrund eines sonstigen Vertrags.

Anwendung findet Art 6 Abs.1 UAbs 1 lit. b DSGVO allerdings dann, wenn Daten über das konkrete Beschäftigungsverhältnis hinaus anfallen. Dies ist zum Beispiel der Fall, wenn Beschäftigte beim Arbeitgeber Parkplätze oder Wohnungen anmieten, ein Konto für die Bankbeschäftigten eröffnet wird, ein Jahreswagen erworben wird oder der Einkauf in der Kantine getätigt wird. Wenn hier personenbezogene Daten verarbeitet werden, geschieht dies nicht in Erfüllung des Arbeitsvertrags, sondern in Erfüllung eines zusätzlichen Kauf-, Dienst- oder sonstigen Vertrags. Die Zulässigkeit einer solchen Datenverarbeitung ist somit nach Art. 6 Abs.1 UAbs.1 lit. b DSGVO zu beurteilen. Das bedeutet konkret, dass die Datenverarbeitung stets nur im Rahmen der Erforderlichkeit zulässig ist.

Erlaubt ist eine Datenverarbeitung von personenbezogenen Daten, deren Verarbeitung objektiv für die Erfüllung des konkreten Vertrags erforderlich ist – und das ist eng auszulegen und darf nicht einseitig durch das datenverarbeitende Unternehmen definiert werden. Allerdings bedarf es keiner Interessensabwägung des Betroffenen – also keiner Verhältnismäßigkeitsprüfung. Vielmehr ist nach objektiven Kriterien festzustellen, ob die Daten verarbeitet werden müssen, um dadurch effizient die Pflichten und Leistungen aus dem Vertrag zu erfüllen.

Im Beschäftigungsverhältnis ist auf eine strikte Datentrennung zu achten. Personenbezogene Daten, die im Rahmen eines solchen zusätzlichen Vertragsverhältnisses verarbeitet werden, dürfen allenfalls dann auch im Rahmen des arbeitsvertraglichen Verhältnisses verarbeitet werden, wenn für einen solchen Datenaustausch die Voraussetzungen eines entsprechenden Erlaubnistatbestands ebenfalls erfüllt sind.

Übrigens Tarifverträge und Betriebsvereinbarungen sind keine Verträge im Sinne des Art. 6 DSGVO. Einschlägig ist hier Art. 88 DSGVO, der vorsieht, dass durch mitgliedstaatliches Recht „oder durch Kollektivvereinbarungen“ (wozu EG 155 ausdrücklich auch Betriebsvereinbarungen zählt) spezifische Vorschriften für die Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext vorgesehen werden können. In Deutschland ist dies das BDSG mit § 26.