Bußgelder in Höhe von insgesamt 215.000 € hat die Berliner Beauftragte für Datenschutz und Informationsfreiheit vor geraumer Zeit gegen ein Unternehmen im Zusammenhang mit der unzulässigen Verarbeitung von sensiblen Beschäftigtendaten verhängt. 

Was war passiert? 
Auf Weisung der Geschäftsführung des Unternehmens erstellte eine Mitarbeiterin zur Vorbereitung von Probezeitkündigungen eine Tabelle, in welche alle Mitarbeiter in der Probezeit aufgenommen wurden. Deren weitere Beschäftigung wurde als „kritisch“ oder „sehr kritisch“ bewertet. In einer weiteren Spalte wurde die Einstufung näher erläutert. Hier fanden sich Angaben zu persönlichen Äußerungen, gesundheitlichen und außerbetrieblichen Gründen, die einer flexiblen Schichteinteilung entgegenstehen würden. Auch ein mögliches Interesse an der Gründung eines Betriebsrates und die regelmäßige Teilnahme an einer Psychotherapie wurden hier genannt. Die Beschäftigten hatten die aufgeführten Informationen teilweiser selbst für die Dienstplanung mitgeteilt. Die Weiterverarbeitung in der Liste war ihnen jedoch nicht bekannt.Bei den in der Tabelle zur Bewertung herangezogenen Daten handelt es sich übrigens um sogenannte „Daten besonderer Kategorien“ im Sinne der DSGVO. Diese unterliegen einem nochmals erhöhten Schutz.

Wie erfuhr die Behörde davon? 
Die Berliner Datenschutzbeauftragte erfuhr durch Medienberichte und die Beschwerde eines Betroffenen von dem Vorfall und leitete sodann die Prüfung ein. 
Die Beschwerde eines Betroffenen ist nach meiner Erfahrung übrigens neben meldepflichtigen Datenpannen der häufigste Auslöser für behördliche Verfahren.

Die Berliner Datenschutzbeauftragte kam zu dem Ergebnis, dass die Verarbeitung der erhobenen Daten nicht rechtmäßig war. Zusätzlich zur Ahndung dieses strukturellen Verstoßes flossen die fehlende Beteiligung der betrieblichen Datenschutzbeauftragten bei der Erstellung der Liste, die verspäteter Meldung einer Datenpanne und die fehlende Erwähnung der Liste im Verarbeitungsverzeichnis in die Entscheidung mit ein.

Grundsätzlich dürfen Arbeitgeber zwar durchaus überlegen, ob sie Beschäftigte weiterbeschäftigen möchten oder nicht und insofern auch personenbezogene Daten verarbeiten. Die verarbeiteten Daten müssen jedoch für diesen Zweck geeignet und erforderlich sein. Sie dürfen nur Rückschlüsse auf Leistung oder Verhalten zulassen, die in unmittelbarem Zusammenhang mit dem Beschäftigungsverhältnis stehen. Arbeitgeber dürfen vor allem von Beschäftigten selbst mitgeteilte Informationen nicht einfach weiterverarbeiten, sondern müssen prüfen, ob die Verarbeitung erforderlich und angemessen ist, und die weiteren datenschutzrechtlichen Vorgaben bei der Verarbeitung zwingend beachten.

Quelle: Pressemitteilung der BlnBDI v. 02.08.23