Der Referentenentwurf zum Beschäftigtendatengesetzes (BeschDG) – alles für die Katz?

Einleitung

Kurz vor dem Scheitern der Ampelkoalition wurde der Referentenentwurf eines Beschäftigtendatengesetzes (BeschDG-E) aus den Ministerien für Arbeit und Soziales sowie des Innern (BMAS und BMI) publik. Das bereits im Koalitionsvertrag vereinbarte Ziel eines eigenständigen Beschäftigtendatengesetzes sollte offenbar mit Nachdruck noch in dieser Legislaturperiode über die Ziellinie gebracht werden. Mit dem Aus der Ampelkoalition dürfte daraus vorerst zwar nichts mehr werden. Eine Beschäftigung mit dem Gesetzesentwurf lohnt dennoch. Der Wunsch nach einem eigenen Beschäftigtendatenschutzgesetz besteht bereits seit 2009 und wurde in den Folgejahren von den jeweiligen Regierungskoalitionen in Berlin mal mehr mal weniger intensiv verfolgt. Mit der Entscheidung des EuGH vom 30.3.2023 (C-34/21) zur Unionsrechtswidrigkeit des § 23 Abs. 1 S. 1 HDSiG und damit de facto auch des wortgleichen § 26 BDSG sowie der seit 1.8.2024 in Kraft getretenen und schrittweise Wirkung entfaltenden KI-Verordnung besteht weiterhin Handlungsbedarf. Ob der von BMAS und BMI vorgelegte Gesetzesentwurf von der nächsten Regierung als Blaupause genutzt werden kann oder besser nicht, soll daher im Überblick dargestellt werden:

Überblick

Der in einen allgemeinen und besonderen Teil gegliederte Gesetzentwurf umfasst insgesamt 30 Paragrafen, mit denen die Verarbeitung von Beschäftigtendaten gegenüber der aktuellen Gesetzeslage nach den Vorstellungen von BMAS und BMI klarer, anwendungsfreudiger und rechtssicherer gestaltet werden soll.

Der allgemeine Teil enthält neben dem Anwendungsbereich des Gesetzes unter anderem eine Legaldefinition wesentlicher Begriffe, die Erlaubnistatbestände der Datenverarbeitung, eine umfangreich ausgestaltete Erforderlichkeitsprüfung für die Datenverarbeitung mit einer die schutzwürdigen Interessen der Beschäftigten in den Vordergrund stellenden Verhältnismäßigkeitsprüfung sowie eine gegenüber der jetzigen Regelung in § 26 Abs. 2 BDSG deutlich detailliertere Regelung zur Einwilligung in die Datenverarbeitung. Des Weiteren werden Arbeitgeber in § 9 des Referentenentwurfs zu umfangreichen Schutzmaßnahmen zur Sicherstellung einer datenschutzkonformen Verarbeitung verpflichtet.

Mit dem Verwertungsverbot in § 11 BeschDG-E soll die aktuelle Rechtsprechung des BAG, dass Datenschutz kein Tatenschutz ist, wieder zurückgenommen werden. Außerdem soll es, wiederum entgegen der aktuellen Rechtsprechung des BAG, nach § 11 Abs. 2 BeschDG-E möglich sein, Verwertungsverbote kollektivrechtlich zu vereinbaren.

Neu ist die in § 12 BeschDG-E vorgesehene zwingende Mitbestimmung des Betriebsrats bei der Bestellung und Abberufung von Datenschutzbeauftragten. Die sowohl für die Bestellung als auch für die Abberufung interner und externer betrieblicher Datenschutzbeauftragter geltende Mitbestimmung des Betriebsrats dürfte indes europarechtswidrig sein, da das Recht zur Bestellung eines betrieblichen Datenschutzbeauftragten nach Art. 37 DSGVO allein beim Verantwortlichen/Arbeitgeber liegt, ohne dass die DSGVO für die Mitbestimmung des Betriebsrats eine Öffnungsklausel enthält.

Im besonderen Teil des BeschDG-E werden unter anderem insbesondere die Verarbeitungsvorgänge zur Begründung des Beschäftigungsverhältnisses, Überwachungsmaßnahmen, einschließlich Videoüberwachung und Ortung, Profiling, betriebliches Eingliederungsmanagement und Datenverarbeitung im Konzern geregelt.

Die §§ 18 bis 20 des BeschDG-E regeln die Überwachung von Beschäftigten unter strengen Vorgaben. § 18 BeschDG-E erlaubt Überwachungsmaßnahmen, um Gesundheit, Sicherheit, Leistungskontrolle oder die Aufdeckung von Straftaten und Pflichtverletzungen zu gewährleisten. Dabei gelten eine strikte Erforderlichkeits- und Verhältnismäßigkeitsprüfung sowie verschärfte Dokumentationspflichten. Solche Maßnahmen sind grundsätzlich nur kurzzeitig und anlassbezogen oder stichprobenhaft zulässig, wobei die Art und Dauer der Überwachung vom Einzelfall abhängen. § 19 BeschDG-E behandelt längerfristige Überwachungen, die nur ausnahmsweise gestattet sind. Eine längerfristige Überwachung zur Leistungskontrolle soll nach § 19 Abs. 3 BeschDG-E ausdrücklich verboten werden.

Vor dem Hintergrund der mit dem rasant steigenden Einsatz von KI möglichen automatisierten Analyse und Entscheidungsfindung sehen die §§ 24 – 27 des BeschDG-E eine weit über den Anwendungsbereich des Art. 22 DSGVO hinaus gehende Reglementierung von der Verarbeitung von Beschäftigtendaten durch oder aufgrund eines Profiling vor. Soweit überhaupt erlaubt, werden dem Arbeitgeber umfassende Informationspflichten auferlegt, die mit entsprechenden Auskunftsrechten der Beschäftigten korrespondieren.

Kritik

Der zur durchaus erforderlichen Modernisierung des Beschäftigtenschutzes von BMAS und BMI erstellte Entwurf eines BeschDG wirkt überreguliert und unausgewogen. Die mit den vorgesehenen Regelungen zu Erforderlichkeit, Zweckbindung, Überwachung und KI-Nutzung verbundenen Einschränkungen von Verarbeitungsvorgängen engen Arbeitgeber unangemessen in der heutzutage unerlässlichen Verarbeitung von Beschäftigtendaten ein und führen zu einem vor allem für KMU-Arbeitgeber unzumutbarem zusätzlichen administrativen Aufwand. Für die Rückführung der Rechtsprechung zur Beweisverwertung ggf. rechtswidrig erlangter personenbezogener Daten besteht kein Anlass. Das Eingreifen von Sachvortrags- und Beweisverwertungsverboten ist mit der aktuellen Rechtsprechung angemessen austariert. Auch greift die Ausweitung der Mitbestimmung des Betriebsrats über Gebühr in die unternehmerische Freiheit der Arbeitgeber ein.

Der Stopp des Gesetzgebungsverfahrens durch das Ende der Ampelkoalition dürfte bei Arbeitgebern daher für Erleichterung sorgen. Das BeschDG-E wäre in seiner aktuellen Fassung vor allem ein Beschäftigungs- und Innovationshemmnis. Für die erforderliche Neuregelung des Umgangs mit Beschäftigtendaten in der digitalen Arbeitsweilt sollte ein neuer Anlauf mit deutlich reduzierter Regelungsdichte, vereinfachten Transparenzpflichten und einer besseren Balance zwischen dem Schutz Beschäftigter und dem berechtigten Interesse der Arbeitgeber genommen werden. Mit diesem Ansatz könnte ein modernes und anwendungsfreundliches austariertes Datenschutzrecht entstehen, das der Dynamik technologischer Entwicklungen gerecht wird und Unternehmen wettbewerbsfähig hält.