§ 26 Abs. 1 S. 1 BDSG erlaubt die Verarbeitung von Beschäftigtendaten, soweit sie für Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Nicht nützlich, nicht praktisch, nicht üblich.
Warum das wichtig ist
Der Unterschied ist groß. Nützlich ist fast jedes Datum; erforderlich nur das, ohne das die Aufgabe nicht erledigt werden kann. Die Kontonummer ist erforderlich, denn ohne sie gibt es keinen Lohn. Der Name des Partners ist es meistens nicht, das Hobby nicht, das Autokennzeichen nur bei einem Stellplatz.
Die drei Phasen stehen ausdrücklich im Wortlaut und sind die Gliederung des Kurses: Begründung, Durchführung, Beendigung.
Und ein Absatz erledigt eine beliebte Ausrede: § 26 Abs. 7 gilt auch, wenn Daten verarbeitet werden, ohne in einem Dateisystem gespeichert zu sein. Also auch der Zettel, die Kalendernotiz, die handschriftliche Liste in der Schublade.
Was das Gesetz sagt
§ 26 Abs. 1 S. 1 BDSG
„Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung … erforderlich ist."
§ 26 Abs. 7 BDSG
„Die Absätze 1 bis 6 sind auch anzuwenden, wenn personenbezogene Daten, einschließlich besonderer Kategorien personenbezogener Daten, von Beschäftigten verarbeitet werden, ohne dass sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen."
§ 26 Abs. 8 Nr. 1 BDSG
„Arbeitnehmerinnen und Arbeitnehmer, einschließlich der Leiharbeitnehmerinnen und Leiharbeitnehmer im Verhältnis zum Entleiher"
So macht man es richtig
Bei jedem Datum fragen: Welche Aufgabe scheitert ohne dieses Datum?
Fällt Ihnen keine ein, brauchen Sie es nicht — auch wenn es im Formular schon immer stand.
Auch Zettel und Notizen als Verarbeitung behandeln.
Auszubildende und Leihkräfte wie eigene Beschäftigte behandeln — § 26 Abs. 8 nennt sie ausdrücklich.
Was bei Missachtung droht
Eine Verarbeitung ohne Erforderlichkeit verletzt die Rechtmäßigkeit und fällt nach Art. 83 Abs. 5 lit. a DSGVO in den Rahmen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.
