Personenbezogene Daten: Sicherer Umgang mit Personendaten im Unternehmen
KURZ ZUSAMMENGEFASST
Arbeitgeber in der Schweiz dürfen Daten über Mitarbeitende nur bearbeiten, soweit diese für die Eignung oder Durchführung des Arbeitsverhältnisses erforderlich sind. Die gesetzliche Grundlage bildet primär Art. 328b OR in Verbindung mit dem Datenschutzgesetz (DSG), während die DSGVO für Auslandsbezüge relevant ist. Eine Einwilligung ist nur zulässig, wenn sie freiwillig, transparent und schriftlich erfolgt; im Arbeitsverhältnis ist echte Freiwilligkeit oft fraglich, weshalb gesetzliche Erlaubnistatbestände bevorzugt werden.
Die wichtigsten Punkte:
- Datenbearbeitung muss verhältnismässig und zweckgebunden sein.
- Einwilligungen im Arbeitsverhältnis unterliegen strengen Anforderungen an die Freiwilligkeit.
- Bewerbungsunterlagen sind nach Ablauf der Diskriminierungsklagefrist zu löschen.
- Fotos und Kontaktdaten benötigen für die Veröffentlichung eine ausdrückliche Einwilligung.
- Gesundheitsdaten und private Informationen unterliegen einem besonders hohen Schutz.
Markus Näf
Markus Näf ist Rechtsanwalt und spezialisiert auf Datenschutzrecht und Informatikrecht. Er befasst sich seit Jahren mit der Umsetzung von komplexen Projekten im Informatikumfeld. Nebenbei ist er Lehrbeauftragter für Projektmanagement und Informatikrecht an der Fachhochschule St. Gallen.
Passende Arbeitshilfen
Wie müssen Arbeitgeber in der Schweiz mit personenbezogenen Daten ihrer Mitarbeitenden umgehen?
Zulässigkeit der Bearbeitung der Personenbezogene Daten
Nach Art. 6 DSG dürfen Personenbezogene Daten nur rechtmässig, nach Treu und Glauben und verhältnismässig bearbeitet werden. Sie müssen zu einem bestimmten, klar erkennbaren Zweck beschafft und dürfen nur so bearbeitet werden, dass sie mit diesem Zweck vereinbar sind. Die Daten sind zu löschen oder zu anonymisieren, sobald sie für den Zweck der Bearbeitung nicht mehr erforderlich sind. Von diesen Bestimmungen darf auch mit Einwilligung der Mitarbeitenden nicht zu deren Ungunsten abgewichen werden.
Bei der Beschäftigung von Mitarbeitenden in Tochtergesellschaften, Zweigniederlassungen oder Betriebsstätten im Ausland sind die jeweiligen nationalen Bestimmungen zum Beschäftigtendatenschutz zu beachten. Ein vergleichbarer Rechtfertigungsgrund besteht auch in der DSGVO sowie in den nationalen Gesetzgebungen der EU-Mitgliedstaaten. Er erlaubt grundsätzlich die Verarbeitung von Mitarbeiterdaten zur Abwicklung des Arbeitsverhältnisses auch ohne Einwilligung der Mitarbeitenden, wozu unter anderem Lohn oder Sozialversicherungsabrechnungen gehören. Diese Unterlagen unterliegen zudem gesetzlichen Aufbewahrungsfristen.
Der gesetzliche Rechtfertigungsgrund erstreckt sich ausschliesslich auf jene Personenbezogene Daten, die unmittelbar für die Durchführung des Arbeitsverhältnisses erforderlich sind. Geht die Datenverarbeitung darüber hinaus und fehlt eine entsprechende gesetzliche Grundlage, kommt als alternative Rechtsgrundlage die Einwilligung der betroffenen Person in Betracht, die im Voraus und ausdrücklich erteilt werden muss. Wird eine Einwilligung parallel zu einem gesetzlichen Erlaubnistatbestand eingeholt, muss der Mitarbeitende auf seine zusätzlichen Rechte und die Ablehnungsmöglichkeit hingewiesen werden. Eine weitergehende Einwilligung in die Verarbeitung von Personenbezogene Daten muss tatsächlich freiwillig sein. Aufgrund des bestehenden Abhängigkeitsverhältnisses im Arbeitsverhältnis ist echte Freiwilligkeit in vielen Fällen fraglich. So gilt etwa die Einwilligung in einen Urintest in der Regel nicht als freiwillig und ist daher datenschutzrechtlich unzulässig.
Die Einwilligung des Mitarbeitenden kann nur dann als Rechtsgrundlage für die Verwendung seiner Daten dienen, wenn die hohen gesetzlichen Anforderungen an Transparenz, Freiwilligkeit und Schriftform eingehalten werden. Freiwilligkeit kann insbesondere dann vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder der Arbeitgeber und der Mitarbeitende gleichgelagerte Interessen verfolgen. Ein rechtlicher oder wirtschaftlicher Vorteil liegt zum Beispiel bei der erlaubten privaten Nutzung der Informations- und Kommunikationsmittel vor.
Personalunterlagen
Arbeitgeber müssen Informationen grundsätzlich direkt bei der betroffenen Person erheben. Die Einholung von Referenzauskünften ist nur mit ausdrücklicher Zustimmung des Bewerbenden oder Arbeitnehmenden zulässig. Die Erhebung von Informationen aus Drittquellen ist in der Regel unzulässig, es sei denn, sie lässt sich auf eine gesetzliche Grundlage stützen oder erfolgt mit Einwilligung. Erfolgt die Datenbeschaffung nicht bei der betroffenen Person selbst, gilt gemäss Art. 14 DSGVO und Art. 25 DSG eine Informationspflicht: Die betroffene Person muss unter anderem über die Datenquelle, die Kategorien der verarbeiteten Daten sowie über ihre Rechte informiert werden. Dies gilt insbesondere für sogenannte Background-Checks.
Arbeitgeber dürfen grundsätzlich nur solche Informationen beschaffen, die für die Beurteilung der Eignung oder für die Durchführung des Arbeitsverhältnisses erforderlich sind. Recherchen in öffentlich zugänglichen beruflichen Netzwerken wie XING oder LinkedIn sind in der Regel zulässig, da diese Plattformen zur beruflichen Selbstdarstellung genutzt werden. Auch Informationen aus anderen öffentlich zugänglichen sozialen Netzwerken wie Facebook oder Twitter dürfen berücksichtigt werden, sofern sie von der betroffenen Person selbst ohne Einschränkung veröffentlicht wurden und einen Bezug zur beruflichen Tätigkeit haben. Es ist jedoch nicht erlaubt, gezielt nach privaten Informationen zu suchen, die keinen Zusammenhang mit der Stelle haben. In jedem Fall müssen die Grundsätze der Verhältnismässigkeit und des Persönlichkeitsschutzes beachtet werden.
Passende Produkt-Empfehlungen
Im Falle einer Anstellung dürfen Bewerbungsunterlagen ins Personaldossier aufgenommen werden, soweit sie für die Durchführung des Arbeitsverhältnisses relevant sind. Nicht mehr benötigte Unterlagen sind zu löschen oder datenschutzkonform zu vernichten, sobald sie für den ursprünglichen Zweck nicht mehr erforderlich sind. Für abgelehnte Bewerbende gilt: Ihre Unterlagen dürfen nur so lange aufbewahrt werden, wie dies zur Wahrung berechtigter Interessen notwendig ist, zum Beispiel bis zum Ablauf der Frist für eine mögliche Diskriminierungsklage (in der Regel drei Monate). Eine längere Aufbewahrung ist nur mit ausdrücklicher Einwilligung zulässig.
Für die Aufnahme von Bewerberdaten in einen Talentpool oder eine Bewerberdatenbank ist eine klare, freiwillige und jederzeit widerrufbare Einwilligung erforderlich. Die Speicherung darf nur so lange erfolgen, wie die Daten für den vorgesehenen Zweck relevant und aktuell sind. Eine unbefristete Speicherung ist nicht zulässig. Auf Wunsch der betroffenen Person sind die Daten jederzeit zu löschen. Es empfiehlt sich, die gespeicherten Daten regelmässig zu überprüfen und nicht mehr aktuelle Daten zu löschen oder zumindest auf die Kontaktdaten zu reduzieren.
Veröffentlichung von Mitarbeiterdaten
Die Veröffentlichung von Kontaktdaten und Fotos von Mitarbeitenden auf der Unternehmenswebsite, in Drucksachen oder in Online-Medien ist grundsätzlich nur mit ausdrücklicher Einwilligung der betroffenen Person zulässig. Diese Einwilligung kann jederzeit widerrufen werden, was für den Arbeitgeber die Pflicht zur umgehenden Löschung der betreffenden Daten nach sich zieht. Nach dem Austritt eines Mitarbeitenden sind dessen Daten und Fotos ebenfalls zu entfernen. Eine Auflistung als «ehemalige Mitarbeitende» ist ohne erneute Einwilligung nicht erlaubt.
Im Intranet, das ausschliesslich für Mitarbeitende zugänglich ist, kann die Veröffentlichung von Kontaktdaten und Fotos in der Regel ohne Einwilligung erfolgen, sofern keine besonders schützenswerten Personendaten betroffen sind und die Veröffentlichung für betriebliche Zwecke erforderlich ist. Dennoch empfiehlt es sich, auch hier die Mitarbeitenden zu informieren und auf Wunsch Daten zu entfernen.
Bei Fotos von Personalausflügen oder anderen Anlässen, die auf der Website oder in anderen öffentlichen Medien veröffentlicht werden sollen, ist besondere Zurückhaltung geboten. Grundsätzlich dürfen erkennbare Personen nur mit deren Einwilligung abgebildet werden. Wird die Einwilligung widerrufen, sind die Bilder zu löschen. Bei Gruppenfotos, auf denen einzelne Personen nicht im Vordergrund stehen oder nur schwer erkennbar sind, kann im Einzelfall das Interesse des Unternehmens an der Veröffentlichung überwiegen, dennoch sollte auch hier auf Wünsche der Betroffenen Rücksicht genommen werden.
Checkliste
- Haben Sie die Notwendigkeit jeder Datenbearbeitung geprüft (Verhältnismässigkeit)?
- Erheben Sie Daten direkt bei der betroffenen Person oder liegt eine gesetzliche Grundlage vor?
- Sind Einwilligungen schriftlich, freiwillig und mit Hinweis auf das Widerrufsrecht dokumentiert?
- Löschen oder anonymisieren Sie Daten, sobald der ursprüngliche Zweck entfällt?
- Beachten Sie bei abgelehnten Bewerbern die dreimonatige Aufbewahrungsfrist für Klageansprüche?
- Vermeiden Sie die Erhebung von privaten Informationen aus sozialen Netzwerken ohne Bezug zur Stelle?
- Sind Gesundheitsdaten (z. B. Krankheitsmeldungen) im Aushang streng verboten?
- Haben Sie bei Fotos von Anlässen eine Einwilligung eingeholt, besonders bei erkennbaren Personen?
- Informieren Sie Mitarbeitende über die Datenquelle bei Beschaffung aus Drittquellen?
- Schulen Sie regelmässig die Personalabteilung zu aktuellen datenschutzrechtlichen Vorgaben?
Betriebsinterne Mitteilungen erfordern ebenfalls besondere Sorgfalt. Der Aushang von Krankheitsmeldungen ist unzulässig, da Gesundheitsdaten besonders schützenswert sind. Die Veröffentlichung von Geburtstagslisten ist datenschutzrechtlich heikel, da sie für die Durchführung des Arbeitsverhältnisses nicht erforderlich ist. Falls solche Listen gewünscht werden, sollte dies nur mit Einwilligung der Betroffenen oder – als Kompromiss – ohne Angabe des Geburtsjahres erfolgen. Generell gilt: Der Schutz der Persönlichkeitsrechte und die Einhaltung der datenschutzrechtlichen Grundsätze stehen immer im Vordergrund.
Empfehlungen und nächste Schritte
- Interne Prozesse und Richtlinien zum Umgang mit Personendaten regelmässig überprüfen und an die aktuellen gesetzlichen Vorgaben anpassen
- Einwilligungen für die Bearbeitung und Veröffentlichung von Personendaten immer transparent, freiwillig und dokumentiert einholen; auf das Widerrufsrecht hinweisen
- Personendaten löschen oder anonymisieren, sobald sie für den ursprünglichen Zweck nicht mehr benötigt werden; Löschfristen beachten
- Mitarbeitende, insbesondere in der Personalabteilung, regelmässig zu Datenschutz und Persönlichkeitsschutz schulen. Bewerbende und Mitarbeitende klar und verständlich über die Bearbeitung ihrer Daten und ihre Rechte informieren
- Bei jeder Datenbearbeitung prüfen, ob sie wirklich erforderlich und verhältnismässig ist
- Bei der Veröffentlichung von Fotos und personenbezogenen Informationen besonders zurückhaltend sein und die Wünsche der Betroffenen respektieren
FAQ: Personenbezogene Daten
Ist eine Einwilligung des Mitarbeitenden für die Datenverarbeitung immer erforderlich?
Nein, primär gilt der gesetzliche Rechtfertigungsgrund nach Art. 328b OR für Daten, die für das Arbeitsverhältnis erforderlich sind. Eine Einwilligung ist nur bei darüber hinausgehender Verarbeitung nötig, muss aber wirklich freiwillig sein, was im Abhängigkeitsverhältnis schwer nachzuweisen ist.
Wie lange dürfen Bewerbungsunterlagen von abgelehnten Kandidaten aufbewahrt werden?
Grundsätzlich nur so lange, wie dies zur Wahrung berechtigter Interessen notwendig ist, in der Regel drei Monate (Frist für Diskriminierungsklagen). Eine längere Aufbewahrung ist nur mit ausdrücklicher Einwilligung zulässig.
Darf ich Fotos von Mitarbeitenden auf der Unternehmenswebsite veröffentlichen?
Nur mit ausdrücklicher Einwilligung der betroffenen Person. Diese kann jederzeit widerrufen werden, woraufhin die Bilder sofort zu löschen sind. Bei Gruppenfotos ohne erkennbare Einzelpersonen kann im Einzelfall das Unternehmensinteresse überwiegen.
Was gilt bei Recherchen in sozialen Netzwerken wie LinkedIn oder Facebook?
Öffentlich zugängliche berufliche Profile (z. B. LinkedIn) dürfen genutzt werden. Auch private Profile sind relevant, sofern die Daten ohne Einschränkung veröffentlicht wurden und einen Bezug zur Stelle haben. Gezielte Suche nach privaten, nicht beruflich relevanten Informationen ist unzulässig.
Darf ich Geburtstagslisten im Unternehmen aushängen?
Dies ist datenschutzrechtlich heikel, da das Geburtsdatum nicht für das Arbeitsverhältnis erforderlich ist. Empfohlen wird, entweder eine Einwilligung einzuholen oder nur das Geburtsdatum ohne Jahr zu veröffentlichen.
