23
03/19 PERSONALquarterly
die Datenverarbeitung abschließend
11
in Art. 6 DSGVO bzw.
für die Verarbeitung von Arbeitnehmerdaten in § 26 BDSG
aufgezählt sind.
Nach § 26 Abs. 1 S. 1 BDSG dürfen personenbezogene Da-
ten von Beschäftigen nur für Zwecke des Beschäftigungsver-
hältnisses verarbeitet werden, wenn dies für die Begründung,
Durchführung oder Beendigung des Beschäftigungsverhält-
nisses oder die Erfüllung einer gesetzlichen oder kollektivrecht-
lichen Pflicht erforderlich ist. Der Begriff der Erforderlichkeit
darf nicht zu eng gesehen werden, sondern ist als Abwägungs-
gebot zu verstehen.
12
Hierbei sind die Interessen beider Seiten
unter Beachtung der Grundrechte in einen möglichst scho-
nenden Ausgleich zu bringen.
13
Neben der Erforderlichkeit besteht für die Legitimation zu-
dem die Möglichkeit der Einwilligung (§ 26 Abs. 2 S. 1 BDSG),
wobei zu beachten ist, dass die Einwilligung freiwillig, für den
konkreten Fall und in informierter Weise unmissverständlich
zu erfolgen hat (Erwägungsgrund 32 zur DSGVO). Gerade die
Freiwilligkeit kann im Beschäftigungsverhältnis problema-
tisch sein: Aus diesem Grund schreibt § 26 Abs. 2 S. 1 BDSG
vor, dass für die Beurteilung der Freiwilligkeit insbesondere
die im Beschäftigungsverhältnis bestehende Abhängigkeit der
beschäftigten Personen sowie die Umstände, unter denen die
Einwilligung erteilt worden ist, zu berücksichtigen sind. Dass
die Einwilligung im Beschäftigungsverhältnis nicht per se aus-
geschlossen ist, bekräftigt § 26 Abs. 2 S. 2 BDSG, wonach
Freiwilligkeit insbesondere dann vorliegen kann, wenn für die
beschäftigte Person ein rechtlicher oder wirtschaftlicher Vor-
teil erreicht wird oder Arbeitgeber und beschäftigte Person
gleich gelagerte Interessen verfolgen. Dies dürfte aber im Be-
reich von Personalmaßnahmen nur selten der Fall sein.
eingesetzt. Die Entscheidungen oder Ergebnisse solcher
selbstlernenden Systeme sind aus Sicht der Programmierer
und Anwender in aller Regel nicht vorhersehbar.
Begriffsdefinition: Big Data
Ein weiteres in diesem Zusammenhang häufig verwendetes
Stichwort ist „Big Data“. Darunter wird trivial die Verarbeitung
von riesigen Datenmengen in großer Geschwindigkeit und se-
mi- bzw. unstrukturierter Vielfalt verstanden (Dorschel, 2015,
S. 2). Obwohl es unzählige Definitionen gibt, unterscheiden
sich diese nur in Details. In diesem Beitrag wird darauf nicht
weiter eingegangen. Die Möglichkeit, riesige Datenbestände
zu sammeln und sehr schnell auszuwerten, hat die rechtliche
und betriebswirtschaftliche Diskussion um den Nutzen und die
Gefahren solcher Technologien überhaupt erst entfacht. Es ist
möglich, unter Rückgriff auf verstreut gespeicherte Datensätze
umfassende (Persönlichkeits-)Profile über Personen zu erstel-
len.
6
Gerade im Arbeitsverhältnis fällt eine sehr große Daten-
menge an, mit denen Algorithmen „gefüttert“ werden können.
7
Hinzu kommt, dass durch die Digitalisierung immer mehr (Ver-
kehrs-)Daten anfallen, die ebenfalls für Auswertungen genutzt
werden können (vgl. Jäger/Petry, 2018, S. 38f.). So verteilen
bereits manche Arbeitgeber sog. Wearables an Arbeitnehmer,
um bspw. Bewegungs- oder Trainingsanreize zu setzen. Aller-
dings könnten die hier erzeugten Daten zur Überwachung bzw.
algorithmisierten Auswertung genutzt werden.
8
Datenschutzrechtliche Grundlagen
Seit dem 25.05.2018 regeln (im Wesentlichen) die Daten-
schutz-Grundverordnung (kurz: DSGVO)
9
sowie das Bundes-
datenschutzgesetz (kurz: BDSG)
10
das Datenschutzrecht in
Deutschland. Sobald personenbezogene Daten verarbeitet
werden, ist das Datenschutzrecht nach Art. 2 Abs. 1 DSGVO
anwendbar – bei Daten von Arbeitnehmern gem. § 26 Abs. 7
BDSG auch für solche Daten, die nicht geordnet sind, wie z. B.
handschriftliche Notizen.
Legitimationsbedürftigkeit der Datenverarbeitung
Jede Verarbeitung personenbezogener Daten bedarf einer Le-
gitimation (Art. 6 DSGVO), wobei die Legitimationsgründe für
ABSTRACT
Forschungsfrage:
Es wird untersucht, inwiefern neue Technologien im Bereich Human
Resources, insbesondere KI, auf rechtliche Probleme stoßen. Hierbei steht die DSGVO im
Vordergrund.
Methodik:
Auswertung der Rechtslage unter Berücksichtigung der Rechtsprechung und
Literatur auf der Grundlage der juristischen Methodenlehre
Praktische Implikationen:
Die Einführung von KI bei HR-Projekten kann gegen da-
tenschutzrechtliche Normen verstoßen und zu Bußgeldern führen. Ratsam ist es, in der
Planungsphase Rechtsrat einzuholen und einen vorhandenen Betriebsrat frühzeitig zu
involvieren.
6
So z.B. durch Google, vgl. Waidner, SIT-TR-2015-06: Big Data und Privatheit, S. 26.
7
Däubler, 2017, § 2 Rn. 24 m.w. N.
8
Bsp. bei Mülder: Überblick zu Potenzialen neuer Technologien für HR, in: Petry/Jäger, 2018, S. 115.
9
Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum
Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr
und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. L 119/1.
10
Bundesdatenschutzgesetz vom 30. Juni 2017, BGBl. I S. 2097.
11
Albrecht, in: Simitis/Hornung/Spiecker, Datenschutzrecht, 1. Aufl. (2019), Art. 6 DSGVO Rn. 1; Buch-
ner, Kap. 2: Grundsätze des Datenschutzrechts, in: Tinnefeld et. al., Einführung in das Datenschutz-
recht, 6. Aufl. (2018), S. 234 f.; Schwartmann/Jacquemain, in: Schwartmann, et al., HK DSGVO/BDSG,
2018, Art. 6 DSGVO Rn. 6.
12
Franzen, in: ErfK, 19. Aufl. (2019), BDSG § 26 Rn. 9.
13
Instruktiv Wybitul, BB 2010, 1085 (1086 f.); Article 29 Data Protection Working Party, Opinion
06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive
95/46/EC, S. 55 f.
