Der österreichische Gesetzgeber hat die Öffnungsklausel in Art 88 DSGVO nicht genutzt. In Österreich existiert daher, anderes als in Deutschland, kein eigenes Arbeitnehmerdatenschutzgesetz. Der Schutz von Arbeitnehmer:innendaten ergibt sich vielmehr aus einem Zusammenspiel von zivil-, arbeits-, arbeitsvertrags-, betriebsverfassungs- und datenschutzrechtlichen Bestimmungen. Dazu zählen insbesondere persönlichkeitsrechtliche Grundlagen wie § 16 ABGB und § 1 DSG, die arbeitsrechtliche Fürsorgepflicht nach § 1157 ABGB bzw. § 18 AngG sowie die betriebsverfassungsrechtlichen Regelungen der §§ 96 und 96a ArbVG
Ausgangspunkt ist zunächst die Frage, ob die betroffene Person Arbeitnehmer:in ist. Ist dies der Fall, ist in weiterer Folge zwischen individuellen und kollektiven Maßnahmen zu unterscheiden.
- Individuelle Maßnahmen
Wird die Datenverarbeitung leidglich im Hinblick auf eine/n einzelne/n Arbeitnehmer:in durchgeführt ist der/die Arbeitgeber:in neben der DSGVO auch an die Bestimmungen des § 16 ABGB und der Fürsorgepflicht nach § 1157 ABGB bzw. § 18 AngG gebunden.
§ 16 ABGB bewirkt dabei eine mittelbare Anwendung der allgemeinen Grundrechte, wie insbesondere das Recht auf Achtung des Privat- und Familienlebens und das (ohnehin unmittelbar anwendbare) Grundrecht auf Datengeheimnis nach § 1 DSG, in privaten Rechtsverhältnissen. Aus der Fürsorgepflicht und § 16 ABGB folgt, dass Datenverarbeitungen, die in die Persönlichkeitssphäre der Arbeitnehmer:innen eingreifen, einer besonderen Rechtfertigung bedürfen und verhältnismäßig ausgestaltet sein müssen. Dabei ist insbesondere das Gelindeste zur Erreichung des legitimen Zwecks geeignete Mittel zu wählen.
Die arbeitsrechtliche Fürsorgepflicht und § 16 ABGB wirken damit ergänzend zu den datenschutzrechtlichen Vorgaben der DSGVO. Darüber hinaus sind die aus § 16 ABGB und der arbeitsrechtlichen Fürsorgepflicht folgenden persönlichkeitsrechtlichen Schranken einzuhalten. Diese können dazu führen, dass eine zwar datenschutzrechtlich grundsätzlich zulässige Verarbeitung in ihrer konkreten Ausgestaltung unzulässig ist, wenn der Arbeitgeber ein weniger eingriffsintensives, gleich geeignetes Mittel einsetzen könnte.
Für betroffene Arbeitnehmer:innen können rechtswidrige Datenverarbeitungen unterschiedliche arbeits- und zivilrechtliche Folgen haben. Je nach Art und Intensität des Eingriffs kommen insbesondere Unterlassungs- und Beseitigungsansprüche sowie Schadenersatzansprüche in Betracht. Bei einer entsprechend schwerwiegenden Verletzung wesentlicher Arbeitgeberpflichten kann darüber hinaus auch ein berechtigter vorzeitiger Austritt in Betracht kommen.
- Kollektive Maßnahmen
Die kollektiven Schranken ergeben sich vor allem aus dem Betriebsverfassungsrecht und den Mitwirkungsrechten des Betriebsrates in Form von Betriebsvereinbarungen. Dabei kann grundsätzlich zwischen Datenverarbeitungen, die eine die Menschwürde berührende Kontrollmaßnahme iSd § 96 Abs 1 Z 3 ArbVG darstellen und Datenverarbeitungen, die der automationsunterstützten Ermittlung, Verarbeitung und Übermittlung von personenbezogenen Daten der Arbeitnehmer:innen iSd § 96a ArbVG dienen, unterschieden werden. Die Bedeutung der beiden Betriebsvereinbarungstatbestände ist in der digitalisierten Arbeitswelt enorm. Eine Vielzahl der gängigen Personalsysteme kann je nach konkreter Ausgestaltung einen der beiden Betriebsvereinbarungstatbestände erfüllen.
Erstere bedürfen der zwingenden Zustimmung des Betriebsrates in Form einer Betriebsvereinbarung, widrigenfalls ist die konkrete Maßnahme unzulässig. Letztere bedürfen zwar ebenfalls der Zustimmung des Betriebsrates, allerdings kann diese Zustimmung durch eine Entscheidung der Schlichtungsstelle ersetzt werden.
Die DSGVO und das ArbVG stehen daher nicht in einem einfachen Verhältnis von „DSGVO = individuelle Ebene / ArbVG = kollektive Ebene“. Vielmehr sind die jeweiligen Anforderungen parallel zu prüfen: Während nach der DSGVO zu beurteilen ist, ob die konkrete Verarbeitung personenbezogener Daten rechtmäßig ist, ist auf betriebsverfassungsrechtlicher Ebene zu prüfen, ob die konkrete Maßnahme ein Mitwirkungsrecht des Betriebsrats auslöst. Eine nach der DSGVO grundsätzlich zulässige Datenverarbeitung kann daher aufgrund der besonderen kollektivrechtlichen Schranken des ArbVG dennoch der Zustimmung des Betriebsrats bedürfen. Umgekehrt ersetzt die Zustimmung des Betriebsrats nicht die datenschutzrechtlich erforderliche Rechtsgrundlage für die Verarbeitung. Die datenschutzrechtliche und die betriebsverfassungsrechtliche Zulässigkeit sind somit grundsätzlich eigenständig zu beurteilen.
Autoren:
Mag. Maximilian Donath, Rechtsanwalt | KWR Karasek Wietrzyk Rechtsanwälte
Dr. Anna Mertinz, Partnerin | KWR Karasek Wietrzyk Rechtsanwälte
Haben Sie noch Fragen? Weitere Informationen finden Sie hier: https://www.kwr.at/
