Datenschutz Schweiz: Inwieweit ist die Bearbeitung von Personaldaten zulässig?
Dr. iur. Urs Egli
Rechtsanwalt Dr. iur. Urs Egli ist Gründungspartner der Anwaltskanzlei epartners Rechtsanwälte in Zürich (www.epartners.ch). Nach einer dreijährigen Tätigkeit am Bezirksgericht Zürich und einem Anwaltspraktikum in Newcastle upon Tyne (GB) arbeitete er zunächst auf dem Rechtsdienst von AT&T/NCR in der Schweiz. Seit 1997 hat er als Wirtschaftsanwalt eine grosse Zahl von Klienten betreut und sich insbesondere auf den Gebieten Informatik- und Technologierecht sowie Arbeitsrecht einen Namen gemacht. Dr. Urs Egli publiziert regelmässig auf diesen Gebieten und tritt als Referent an Fachveranstaltungen auf.
Dr. Nicole Vögeli Galli
Dr. Nicole Vögeli Galli ist Fachanwältin SAV Arbeitsrecht und Partnerin bei Küng & Vögeli Rechtsanwälte in Kloten.
Thomas Wachter
Thomas Wachter war u.a. Personalverantwortlicher für den Bereich Research und Development in einem Industriebetrieb und als Leiter HR-Instrumente und Lohnsysteme im Personaldienst des Kantons Luzern. Für WEKA Business Media AG ist er seit vielen Jahren tätig als Herausgeber und Autor für verschiedene HR-Themen.
Passende Arbeitshilfen
1. Zulässigkeit der Datenbearbeitung
Die Datenbearbeitung ist im Arbeitsverhältnis einzig zur Prüfung der Eignung des Arbeitnehmers oder zur Durchführung des Arbeitsvertrages zulässig. Zusätzlich gelten die Bestimmungen des Datenschutzgesetzes (Art. 328b OR).
Wichtig in diesem Zusammenhang ist, dass der Arbeitnehmer einer Datenbearbeitung ausserhalb von Art. 328b OR nicht gültig zustimmen kann.
2. Inhalt des Personaldossiers
Zum Personaldossier gehört alles, was der Arbeitgeber im Zusammenhang mit dem Arbeitsverhältnis über seine Arbeitnehmer aufzeichnet. Insbesondere gehören zum Personaldossier: Bewerbungsunterlagen (Lebenslauf, Zeugnisse, Referenzauskünfte, Eignungsabklärungen), Anstellungsvertrag, Stellenbeschreibung, Vertragsänderungen, Beförderungen, Mitarbeiterbeurteilungen, Lohnausweise, Spesenabrechnungen, Lohnerhöhungen, Bonusberechnungen, Krankmeldungen, Arztzeugnisse, Ferien- und Urlaubsanträge, Ausbildungsvereinbarungen, Ausbildungszertifikate, Abmahnungen, Kündigungsschreiben, Austrittsvereinbarungen etc. Zum Personaldossier gehört auch die Arbeitszeit- und Ferienkontrolle. Die Erfassung der Arbeitszeit ist gesetzlich vorgeschrieben (Art. 46 ArG und Art. 73 Abs. 1 ArGV 1).
Unter dem Personaldossier werden in erster Linie diejenigen Akten verstanden, welche von der Personalabteilung verwaltet werden. Zum Personaldossier im rechtlichen Sinn gehört jedoch auch, was ausserhalb des offiziellen Personaldossiers aufbewahrt wird. Dies gilt insbesondere für alle nur elektronisch verarbeiteten Informationen.
Geheime Personalakten (sog. graue Dossiers) sind unzulässig, respektive auch sie unterliegen dem Auskunfts- und Berichtigungsrecht des Arbeitnehmers.
3. Registrierungspflicht
Das Personaldossier ist eine Datensammlung im Sinne des Datenschutzgesetzes. Es stellt in der Regel ein Persönlichkeitsprofi l dar (siehe dazu Art. 3 lit. d DSG ) und enthält oft auch besonders schützenswerte Personendaten (siehe dazu Art. 3 lit. c DSG). Deshalb gelten hinsichtlich des Datenschutzes erhöhte Anforderungen.
Trotzdem besteht keine Pflicht, das Personaldossier beim eidgenössischen Datenschutz und Öffentlichkeitsbeauftragen (EDÖB) zu registrieren, solange nur Informationen gesammelt werden, die im Zusammenhangen mit dem Arbeitsverhältnis erforderlich sind.
4. Pflichten bei der Bearbeitung
Die im Personaldossier aufbewahrten Daten müssen richtig sein (Art. 5 DSG). Dies ist vom Arbeitgeber periodisch zu prüfen, zum Beispiel hinsichtlich der Wohnadresse sowie des Zivilstandes.
Das Personaldossier muss durch angemessene technische und organisatorische Massnahmen gegen eine unbefugte Bearbeitung oder Kenntnisnahme geschützt sein (Art. 7 Abs. 1 DSG). Befugt ist die Bearbeitung oder Kenntnisnahme durch die Personalabteilung sowie die direkten Vorgesetzten. Physisch vorhandene Dokumente (Hardcopies) sind verschlossen aufzubewahren, elektronische Akten sind mit Zugriffsberechtigungen zu schützen.
Passende Produkt-Empfehlungen
5. Auskunfts- und Berichtigungsrecht
Der Arbeitnehmer hat ein Auskunftsrecht betreff end den Inhalt des Personaldossiers (Art. 8 Abs. 1 DSG). Dieses ist innerhalb von 30 Tagen schriftlich zu beantworten (Art. 1 Abs. 4 VDSG). Dem Arbeitnehmer sind Ausdrucke oder Fotokopien zur Verfügung zu stellen. Ein Anspruch auf Einsicht in das physische Personaldossier vor Ort besteht jedoch nicht.
Das Auskunftsrecht kann nur ausnahmsweise unter Berufung auf ein besonderes Geheimhaltungsbedürfnis des Arbeitgebers verweigert werden (Art. 9 Abs. 4 DSG). Blosser Informantenschutz rechtfertigt die Verweigerung jedoch nicht.
Ob das Auskunftsrecht auch die Einsicht in die Zeiterfassung umfasst, ist durch die Gerichte nicht abschliessend geklärt.
Unrichtige Einträge (zum Beispiel den Arbeitnehmer belastende, unrichtige Aktennotizen zu seiner Leistung oder zu seinem Verhalten) kann der Arbeitnehmer berichtigen lassen (Art. 5 Abs. 2 DSG). Der Berichtigungsanspruch bezieht sich jedoch nur auf Tatsachenbehauptungen und nicht auf Werturteile.
6. Auskünfte an Dritte und Referenzen
Die Bekanntgabe von Daten über den Arbeitnehmer an Dritte ohne dessen Einwilligung oder ohne gesetzliche Verpflichtung stellt eine unzulässige Persönlichkeitsverletzung dar (Art. 12 DSG). Eine gesetzliche Verpflichtung zur Datenbekanntgabe besteht gegenüber Behörden und Versicherern (zum Beispiel AHV).
Unzulässig sind insbesondere Auskünfte an Arbeitskollegen, an Angehörige (zum Beispiel an den Ehepartner im Zusammenhang mit einem Scheidungsverfahren) oder an Gläubiger des Arbeitnehmers.
Referenzen dürfen nur mit Zustimmung des Arbeitnehmers eingeholt oder erteilt werden.
7. Aufbewahrung und Vernichtung
Daten dürfen solange aufbewahrt werden, wie sie für die Eignungsprüfung und die Durchführung des Arbeitsvertrages benötigt werden (Art. 328b OR). Damit können und müssen bereits während laufendem Arbeitsverhältnis die Daten regelmässig vernichtet werden. Der eidgenössische Datenschutzbeauftragte empfiehlt, die Personaldaten alle zwei Jahre zu prüfen.
Nach Beendigung des Arbeitsverhältnisses ist das Personaldossier grundsätzlich zu vernichten. Ausgenommen sind Unterlagen, die aus sozialversicherungs- oder steuerrechtlichen Gründen aufbewahrt werden müssen; des Weiteren Unterlagen, die zur Wahrnehmung der Zeugnispflicht erforderlich sind sowie Unterlagen, die der Arbeitgeber zur Durchsetzung oder Abwehr von Ansprüchen gegenüber dem Arbeitnehmer benötigt (zum Beispiel Durchsetzung eines Konkurrenzverbots oder Abwehr von Forderungen). Wie lange solche Unterlagen aufbewahrt werden dürfen, hängt von den Umständen ab. Die maximal zulässige Dauer beträgt 10 Jahre nach Ablauf des Kalenderjahres, in welchem das Arbeitsverhältnis endete.
Bewerbungsunterlagen gehören dem Arbeitnehmer und sind ihm bei Vertragsende zurückzugeben.
Abgewiesenen Bewerbern sind die Bewerbungsunterlagen unverzüglich zurückzugeben und Kopien sind zu vernichten.
8. Outsourcing der Datenbearbeitung
Der Betrieb eines elektronischen Personaldossiers kann auf einen externen Dienstleister übertragen werden (Outsourcing). Das ist im Rahmen einer Auftragsdatenbearbeitung zulässig, d.h. wenn der Outsourcing-Dienstleister ausschliesslich im Auftrag des Arbeitgebers handelt und keine eigene Bearbeitung oder Verwertung der Daten vornimmt (Art. 10a Abs. 1 DSG).
Die Pflichten des Outsourcing-Dienstleisters sind in einem schriftlichen Vertrag festzuhalten. Der Arbeitgeber muss sich vergewissern, dass der Outsourcing-Dienstleister die Datensicherheit gewährleistet (Art. 10a Abs. 2 DSG).
Werden diese Voraussetzungen eingehalten, ist keine Zustimmung der Arbeitnehmer zum Outsourcing erforderlich. Es ist auch nicht zwingend notwendig, die Arbeitnehmer über das Outsourcing zu informieren.
9. Datentransfer ins Ausland
Personaldaten dürfen in Länder bekannt gegeben werden, die über eine angemessene Datenschutzgesetzgebung verfügen (Art. 6 Abs. 1 DSG). Dies ist in den Ländern der Europäischen Union der Fall, nicht jedoch in den Vereinigten Staaten. Der EDÖB führt eine Liste, auf der alle Länder mit angemessenem Datenschutz aufgeführt sind.
Fehlt es an einem angemessenen Datenschutz, so ist die Datenbekanntgabe in ein solches Land nur zulässig, wenn die Einhaltung des Datenschutzes durch einen besonderen Vertrag oder eine konzerninterne Weisung sichergestellt ist (Art. 6 Abs. 2 lit. a DSG). Zudem ist der EDÖB über diese besonderen Schutzmassnahmen zu informieren (Art. 6 Abs. 3 DSG).
Auch bei einem Datentransfer ins Ausland sind die übrigen Vorschriften des Datenschutzgesetzes (z.B. Datensicherheit, keine Bekanntgabe an Dritte) einzuhalten.
