Es gibt Themen, bei denen man in der Datenschutzberatung immer wieder zu hören bekommt: „Muss das wirklich sein? Ist so viel Aufwand tatsächlich nötig?“. Der Datenschützer, schmunzelnd der Tragweite wissend, sagt in diesem Fall bekanntlich erst einmal „ja“. Ein typisches Beispiel hierfür sind Geburtstagslisten von Mitarbeitern.

Sie tauchen in verschiedenen Konstellationen in nahezu jedem Unternehmen auf: Ob als Aushang im Pausenraum oder im Firmenkalender, mal mit dem vollständigen Namen und dem Geburtsjahr oder auch nur mit Vorname und dem Tag ohne Nennung des Geburtsjahres (wenn man den Mitarbeitern nicht zu nahe treten und das Alter bekannt geben möchte).

Eines haben jedoch alle Geburtstagslisten gemeinsam: Sofern der Arbeitgeber in irgendeiner Form an der Erstellung der Liste mitwirkt oder betriebliche Mittel hierfür zur Verfügung stellt, dürfen die Mitarbeiter grundsätzlich nur mit ihrer Einwilligung zu der Liste hinzugefügt werden.

Der Grund hierfür ist, dass es schlichtweg keine gesetzliche datenschutzrechtliche Rechtsgrundlage gibt, durch die die Datenverarbeitung legitimiert werden kann. So unbedeutend eine Geburtsliste auch klingen mag: Handelt es sich nicht um eine rein private und durch die Mitarbeiter selbst geführte Liste (was man als Arbeitgeber nicht vorschnell annehmen sollte), liegt eine Verarbeitung personenbezogener Daten von Beschäftigten vor, bei der die datenschutzrechtlichen Vorschriften Anwendung finden. Dies gilt im Übrigen auch bei handschriftlich geführten Listen oder Vergleichbarem, da es bei Beschäftigten nicht darauf ankommt, ob eine automatisierte Datenverarbeitung erfolgt oder die Daten in einem Dateisystem gespeichert werden.

Da es jedoch für ein gutes Arbeitsklima sorgt, wenn sich die Mitarbeiter untereinander zum Geburtstag gratulieren, kann selbstverständlich eine Geburtstagsliste geführt werden. Datenschutzrechtlich sind hierbei die folgenden Punkte zu beachten:

  • Mitarbeiter dürfen ohne Einwilligung nicht auf die Liste gesetzt werden, müssen folglich vorab damit einverstanden sein.
  • Die Einwilligung muss freiwillig sein. Möchten Mitarbeiter nicht auf der Liste erscheinen, dürfen hieraus keinerlei Nachteile entstehen.
  • Die Einwilligung muss transparent sein. Die Beschäftigten müssen wissen, in was sie konkret einwilligen und was mit ihren Daten geschieht. Zudem müssen sie darauf hingewiesen werden, dass sie die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen können und gegenüber wem der Widerruf erklärt werden muss. All diese Informationen müssen in Textform erteilt werden.
  • Die Einwilligung muss grundsätzlich schriftlich oder elektronisch erteilt werden. Dies schreibt einerseits das Bundesdatenschutzgesetz bei Beschäftigten vor, ist zum anderen aber auch aus Nachweisgründen sehr zu empfehlen.
  • Möchte man besonders rechtssicher vorgehen, sollte aus Gründen der Datenminimierung auf das Geburtsjahr in der Liste verzichtet werden. Diese Angabe ist zum Gratulieren nicht erforderlich und könnte bei einigen Mitarbeitern für Unmut sorgen.
  • Scheidet ein Mitarbeiter aus dem Betrieb aus oder widerruft seine Einwilligung, ist er von der Liste zu nehmen.
  • Es ist ein entsprechendes Verfahren im Verzeichnis der Verarbeitungstätigkeiten anzulegen.

Hält man sich als Verantwortlicher an die Vorgaben, steht der Geburtstagsliste aus datenschutzrechtlicher Sicht nichts im Weg.

| | | ,