Uns steht ein langes, sonniges Oster-Wochenende bevor. Manch ein Arbeitgeber möchte seinen Mitarbeitern eine kleine Aufmerksamkeit in Form eines Schoko-Osterhasen zu senden. Vielleicht soll es neben der Wertschätzung auch ein kleines Dankesschön für durch das Durchhaltevermögen während der Corona-Krise symbolisieren. Manch ein sensibilisierter Personaler fragt sich nun: Dürfen wir die Privatadressen der Mitarbeiter hierfür verwenden? Es folgt eine kleine datenschutzrechtliche Erläuterung.
Ausgangspunkt: Grundsatz der Zweckbindung
In der Personalakte findet man schnell die Privatadresse, welche bereits zu Beginn des Arbeitsverhältnisses bzw. sogar des Bewerbungsprozesses erhoben wurde. Grund für die Datenerhebung war die Durchführung des Arbeitsverhältnisses (vgl. § 26 Abs. 1 BDSG). Die Vertragsparteien werden anhand des Namen und der Adressdaten konkretisiert. Zudem will der Arbeitgeber auch Lohnzettel oder andere arbeitsrechtliche Informationen postalisch an den Mitarbeiter senden können.
In Art. 5 Abs. 1 lit. b DSGVO ist der Grundsatz der Zweckbindung normiert. Danach müssen personenbezogene Daten
„für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecke.“
Es ist wohl zweifelhaft, ob bei Vertragsschluss bereits klar war, dass Osterhasen oder sonstige kleine Gratifikationen an die Privatadressen des Mitarbeiters gesendet werden. Nur bei bereits bestehender „Tradition“ im Unternehmen wird ein Arbeitgeber hierüber in seinen Datenschutzhinweisen an die Mitarbeiter informieren.
Man kann sich darüber streiten, ob diese Form der Mitarbeitermotivation noch unter § 26 BDSG gefasst werden kann bzw. ob diese Datenverarbeitung für die Durchführung des Arbeitsverhältnisses erforderlich ist. Aber selbst wenn man dies verneinen sollte, kommt man auf anderen Wege zur Zulässigkeit.
Zulässige Zweckänderung
Keine Regel ohne Ausnahme. Art. 6 Abs. 4 DSGVO erläutert, wann man ausnahmsweise personenbezogene Daten zu einem anderen Zwecke verarbeiten darf:
„Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, (…) so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist -unter anderem:
a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
c) die Art der personenbezogenen Daten (…),
d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.“
Zusammengefasst geht es hier also um eine Kompatibilitätsprüfung, das heißt, ist der ursprüngliche Zweck mit dem neuen Zweck vereinbar? Maßgeblich ist hierbei der Empfängerhorizont der betroffenen Person.
Ein gutes Arbeitsverhältnis sollte von gegenseitigen Respekt und Anerkennung gekennzeichnet sein. Insoweit gehört es auch zu einer guten Arbeitskultur, dass der Arbeitgeber die Arbeitsleistung des einzelnen Mitarbeiters wertschätzt. Dies führt letztlich dazu, dass die Mitarbeiter weiterhin motiviert arbeiten. Eine kleine Aufmerksamkeit in Form eines Schoko-Osterhasen oder Schoko-Nikolaus ist daher einerseits im Interesse des Arbeitnehmers und andererseits ist es – hoffentlich – auch nicht so unüblich, dass er damit nicht rechnen konnte. Für den Mitarbeiter gibt es auch keine nachteiligen Folgen – außer vielleicht einer Gewichtzunahme.
Die Grenze ist nur dort zu ziehen, wo es dem Arbeitgeber nicht mehr primär um Mitarbeitermotivation, sondern um Werbung für die eigene oder andere Firma geht. Die Nutzung der Privatadresse zu Werbezwecken überrascht dann doch jeden Mitarbeiter und ist daher nicht mehr mit dem ursprünglichen Zweck der Datenerhebung vereinbar.
Und die Rechtsgrundlage?
Art. 6 Abs. 4 DSGVO regelt nach herrschender Meinung nur, wann eine Zweckänderung zulässig ist und stellt selbst keine Rechtsgrundlage dar. Für den neuen Zweck der Datenverarbeitung muss daher noch separat eine Rechtsgrundlage nach Art. 6 Abs. 1, Art. 9 Abs. 2 DSGVO, dem BDSG oder anderen Spezialgesetzen vorliegen.
Wie bereits oben erwähnt, könnte man diese Form der Mitarbeitermotivation ggf. noch unter § 26 Abs. 1 BDSG rechtfertigen. Jedenfalls stellt es ein berechtigtes Interesse des Arbeitsgebers i. S. v. Art. 6 Abs. 1 S.1 lit. f DSGVO dar. Auf Seiten des Mitarbeiters sind keine er Interessen erkennbar, die überwiegend gegen die Datenverarbeitung sprechen. Insbesondere verwendet der Arbeitgeber nur ihm ohnehin schon bekannte Adressdaten, die nicht sonderlich schutzbedürftig sind.
Die Ostereiersuche kann beginnen
Vorsicht ist besser als Nachsicht. Es ist gut, wenn im Unternehmen der Datenschutz so Ernst genommen wird, sodass auch scheinbare Selbstverständlichkeiten nochmal kritisch hinterfragt werden. Je älter man wird, umso mehr verliert man leider diese Eigenschaft des Hinterfragens. Der Datenschutzbeauftragte kann natürlich sehr schnell Licht ins Dunkeln bringen. Und er freut sich auch mal sagen zu können: Ja, das geht.
Das Team vom Dr. Datenschutz wünschen Ihnen einen fleißigen Osterhasen und viel Spaß beim Vernaschen der Osterleckereien.
Gefällt Ihnen der Beitrag?
Dann unterstützen Sie uns doch mit einer Empfehlung per:
TWITTER FACEBOOK E-MAIL XING
Oder schreiben Sie uns Ihre Meinung zum Beitrag:
HIER KOMMENTIEREN
© www.intersoft-consulting.de