Terrorlisten-Screenings: Rechtskonform ausgestalten und durchführen

Terroristische Angriffe auch innerhalb von Europa sind in den letzten Monaten zu einer traurigen Realität geworden. Daher sehen sich auch privatrechtliche Unternehmen immer stärker veranlasst – und durch Regulierung in die Pflicht genommen – Vorkehrungen zur Terrorabwehr und zum Abschneiden der (wirtschaftlichen und organisatorischen) Unterstützungswege zu treffen. Bekannt ist die Pflicht zum Abgleich von Mitarbeitern mit den sogenannten „Terror Black Lists“ der EU („Terrorlisten-Screenings“). Datenschutzrechtlich ist dies zulässig – wie aber sind betriebsinterne Regelungen auszugestalten und durchzuführen?

Nichts muss, vieles sollte!

Datenschutzrechtlich ist das Screening der Mitarbeiter durch das BDSG gedeckt, da es im Sinne des Gesetzes erforderlich ist. Jedoch könnten zukünftige Änderungen im Zuge der EU-Datenschutzgrundverordnung (DSGVO) zu einem Wandel des Meinungsbildes in der Rechtsprechung führen. Vorausschauende Arbeitgeber sichern sich daher bereits jetzt durch eine weitere Eingriffsgrundlage ab. In Betracht kommt die ausdrückliche Einwilligungserklärung des Arbeitnehmers oder eine Gestaltung im Wege der Betriebsvereinbarung.

Auch betriebsverfassungsrechtlich ist der Gestaltungsrahmen weit: Der Betriebsrat muss nicht aktiv in die Screening-Abläufe eingebunden werden. Gesetzlich zwingend ist allein seine Unterrichtung nach § 80 Abs. 2 BetrVG. Er hat kein Mitbestimmungsrecht gemäß § 87 BetrVG, worauf er sich berufen könnte, um den Abschluss einer Betriebsvereinbarung zu erzwingen. Dennoch kann es empfehlenswert sein, den Betriebsrat zu beteiligen und eine freiwillige Betriebsvereinbarung abzuschließen. Neben den üblichen Vorteilen – vertrauensvolle Zusammenarbeit, gesteigerte Zustimmung in der Belegschaft – stellt eine Betriebsvereinbarung einen Erlaubnistatbestand im Sinne des § 4 Abs. 1 BDSG dar. Sie sichert damit die datenschutzrechtliche Zulässigkeit der Screenings. Mögliche Regelungspunkte einer Betriebsvereinbarung sind u.a. der Einsatz externer Dienstleister, Datenvermeidung- und Datensparsamkeit, Pseudonymisierung, Information der Mitarbeiter, Einbindung des Datenschutzbeauftragten, etc.

Einwilligung

Eine Einwilligung der Arbeitnehmer ist nicht erforderlich, gewährleistet aber die datenschutzrechtliche Zulässigkeit des Screenings und erhöht bei entsprechender Vermittlung die Akzeptanz innerhalb der Belegschaft. Die Einwilligung muss den Anforderungen des § 4a BDSG genügen. Sie muss in erster Linie freiwillig erfolgen. Dass diese Freiwilligkeit aufgrund des Über- und Unterordnungsverhältnisses im Arbeitsrecht nicht per se ausgeschlossen ist, hat das BAG im Dezember 2014 entschieden. Die EU-DSGVO ist glücklicherweise nicht von diesem Prinzip abgerückt, auch wenn dieser Punkt im Rahmen des Verordnungsgebungsverfahrens zur Disposition stand (vgl. Erwägungsgrund 34 des Kommissionsentwurfes). Mit Blick auf die Zukunft ist aber jedenfalls eine „clear affirmative action“ erforderlich, mit der die Einwilligung bekundet wird.

Wenn die Einwilligungserklärung zusammen mit dem Arbeitsvertrag erfolgen soll, muss sie innerhalb des Vertragstexts visuell besonders hervorgehoben werden – etwa durch Fettdruck. In jedem Fall ist der Mitarbeiter auf den Zweck des Datenabgleichs und eventuelle Folgen einer Nichteinwilligung hinzuweisen.

Mitbestimmungsrecht des Betriebsrats

Praktikabler und weniger arbeitsaufwändig ist in der Regel der Abschluss einer Betriebsvereinbarung, die als „andere Rechtsvorschrift“ im Sinne des § 4 BDSG anerkannt ist. Sie sichert somit die datenschutzrechtliche Zulässigkeit des Screenings. Auch hieran ändert die EU-DSGVO dem Grunde nach nichts; sie erhöht nur die Anforderungen an eine solche Kollektivregelung.

Der Abschluss einer Betriebsvereinbarung kann vom Betriebsrat nicht erzwungen werden. Ihm steht kein Mitbestimmungsrecht nach § 87 BetrVG zu. Vereinzelte Stimmen wollen ein Mitbestimmungsrecht über § 87 Nr. 6 BetrVG konstruieren: Das Screening treffe eine Aussage über die grundsätzliche Einsatzbarkeit des Mitarbeiters im Arbeitsverhältnis und sei somit ein Verhaltensbeurteilung im Sinne der Norm. Dies verneint die herrschende Meinung, da Angaben über den Status des Arbeitnehmers generell keine Aussage über ein Verhalten treffen. Diese Basisdaten lassen nämlich keinen Schluss auf ein willentliches Handeln zu. Die bloß abstrakte Möglichkeit personenbezogene Daten mit anderen betrieblichen Daten zur Kontrolle zu verknüpfen, löst kein Mitbestimmungsrecht aus. In jedem Fall ist der Betriebsrat aber gemäß § 80 Abs. 2 BetrVG umfassend und rechtzeitig zu unterrichten. Eine bestimmte Form ist nicht zu beachten.

Mögliche Inhalte einer freiwilligen Betriebsvereinbarung

Im Rahmen des Abschlusses einer Betriebsvereinbarung ist es rechtlich sogar möglich, vom Schutzniveau des BDSG zu Lasten der Arbeitnehmer abzuweichen. Eine Grenze bildet § 75 Abs. 2 BetrVG, wonach die Betriebsparteien das Persönlichkeitsrecht des Arbeitnehmers schützen müssen. Daher ist es ratsam, sich weitestgehend an den gesetzgeberischen Wertungen zu orientieren.

Inhaltlich muss die Betriebsvereinbarung auf die Gegebenheiten des jeweiligen Betriebes und Geschäftsfeldes zugeschnitten werden. Abstrakt kann festgehalten werden:

• Aufgrund der gravierenden Folgen eines „falschen Treffers“ sollten die Betriebsparteien überlegen, wie derartige Situationen vermieden werden können. Verfahrensregeln sind daher sinnvoll. Etabliert hat sich ein abgestuftes Verfahren, wonach – orientiert am Grundsatz der Datensparsamkeit und Erforderlichkeit – zunächst nur die Namen abgeprüft werden, und erst bei Unklarheit weitere Daten in die Betrachtung einbezogen werden.
• Die Aktualität der Terrorlisten muss sichergestellt werden. Weitere Regelungspunkte sind die Frequenz und Modalitäten der Screenings. Möglich ist auch die Einschaltung eines externen Dienstleisters unter Wahrung des § 11 BDSG. Die Sicherstellung einer ausreichenden Transparenz gemäß § 4 BDSG sowie die Einbindung eines betrieblichen Datenschutzbeauftragten können sinnvoll sein.
• Schließlich sollte der Umgang mit Treffern geregelt werden. Gesetzliche Folgen sind das Einfrieren von (Gehalts-)Zahlungen und die Meldung an die Behörden.

Lesen Sie ergänzend hierzu auch die Beiträge von Lampe: „Terrorabwehr im Unternehmen“ und Bröckner: „Datenschutzrechtliche Zulässigkeit von Terrorlisten-Screenings“, bereits veröffentlicht auf diesem Blog. Über die Neuerungen hinsichtlich der EU-DSGVO informiert Hoffmann-Remy ebenfalls hier auf diesem Blog.