Das Symptom
Für die neue Website sollen Teamfotos her, für das Intranet eine Geburtstagsliste, für das Sommerfest ein Video, und das betriebliche Gesundheitsportal möchte die Schrittzähler der Belegschaft anbinden. Die Chefin fragt im Montagsmeeting: Hat jemand etwas dagegen? Niemand meldet sich, und damit gilt die Sache als erledigt. Wer Monate später bittet, das Foto wieder herunterzunehmen, hört: Du hast doch zugestimmt.
Auf der anderen Seite steht ein Irrtum, der genauso verbreitet ist: Im Arbeitsverhältnis sei eine Einwilligung ohnehin nie freiwillig und deshalb wertlos. Die Folge ist entweder, dass gar nicht gefragt wird, oder dass ein Formular mit zwölf Häkchen unterschrieben wird, das niemand gelesen hat. Beide Seiten reden über eine Vorschrift, die sehr genau sagt, wie es geht.
Die „Layer 8“-Wahrheit
Die Einwilligung von Beschäftigten regelt § 26 Absatz 2 BDSG in vier Sätzen. Die ersten beiden betreffen die Freiwilligkeit. Satz 1 verlangt, bei ihrer Beurteilung „insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen“. Satz 2 nennt die Fälle, in denen sie gelingen kann: „Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen.“ Ausgeschlossen ist die Einwilligung also nicht. Die BfDI spricht in ihrer FAQ von Vorgaben „zur im Beschäftigungsverhältnis nur ausnahmsweise zulässigen Einwilligung“, also von einer Ausnahme mit Bedingungen, nicht von einer Formalie.
Die Sätze 3 und 4 betreffen die Form, und an ihnen scheitert die Runde im Meeting. Satz 3: „Die Einwilligung hat schriftlich oder elektronisch zu erfolgen, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist.“ Satz 4: „Der Arbeitgeber hat die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht nach Artikel 7 Absatz 3 der Verordnung (EU) 2016/679 in Textform aufzuklären.“ Schweigen ist weder schriftlich noch elektronisch, und eine Aufklärung in Textform hat bei einer mündlichen Frage in die Runde niemand bekommen. Textform hat eine gesetzliche Bedeutung: nach § 126b BGB eine lesbare Erklärung, in der die Person des Erklärenden genannt ist, auf einem dauerhaften Datenträger. Eine E-Mail genügt dem, ein Zuruf nicht.
Für Gesundheitsdaten legt Absatz 3 Satz 2 noch etwas darauf: Die Einwilligung „muss sich dabei ausdrücklich auf diese Daten beziehen“. Das Gesundheitsportal mit Schrittzähler braucht also eine Erklärung, die genau diese Daten nennt.
Was in der Praxis Freiwilligkeit bedeutet, macht die BfDI an einem Beispiel fest, das direkt auf das Sommerfest passt: „Wenn eine beschäftigte Person z. B. im Rahmen einer Teilnahme an einer Veranstaltung ihres Arbeitgebers eine Videoaufzeichnung von sich ablehnen sollte, dürfen für sie daraus keine Nachteile entstehen und ihre Teilnahme an der Veranstaltung muss weiterhin möglich sein.“ Als Vorteil im Sinne von Satz 2 nennt sie unter anderem die Erlaubnis zur privaten Nutzung betrieblicher IT-Systeme. Zur Geburtstagsliste schreibt sie, bei Veröffentlichungen zu Jubiläen, Ehrungen und Auszeichnungen „müssen die Betroffenen um ihre Einwilligung gebeten werden“. Diese Hinweise gelten für den Aufsichtsbereich der BfDI, die öffentlichen Stellen des Bundes; Unternehmen werden meist von den Landesbehörden beaufsichtigt. Sie zeigen aber, wie eine Aufsichtsbehörde den Text liest.
Zur Einordnung gehört ein offenes Wort über die Vorschrift selbst. Die BfDI nennt § 26 BDSG die derzeit maßgebliche Norm für den Beschäftigtenkontext und hält sie zugleich für unzureichend: „Die Norm ist zu unbestimmt, lässt zu viel Interpretationsspielraum, ist nicht hinreichend praktikabel, normenklar und sachgerecht.“ Ein eigenes Beschäftigtendatenschutzgesetz gibt es nach ihrer Darstellung derzeit nicht. Für die Einwilligung ändert das wenig, denn die Formvorschrift in Absatz 2 ist so konkret, wie Gesetzestext nur sein kann. Wer fragt, fragt jede Person einzeln, schriftlich oder elektronisch, mit einem Text zu Zweck und Widerruf, und hält eine Variante ohne die Person bereit.