Datenschutz am Arbeitsplatz

Am Arbeitsplatz ist der Datenschutz ein wichtiges Thema. Um einen Arbeitsvertrag abzuschliessen, müssen Mitarbeiter dem Arbeitgeber persönliche Daten bekanntgeben. Der Arbeitgeber muss diese Daten speichern. Er hat die Pflicht, sie vor unberechtigtem Zugriff zu schützen.

Pflichten gelten auch für Arbeitnehmer. Sie sind verpflichtet, vertrauliche Daten über ihr Unternehmen zu schützen und nicht an die Öffentlichkeit zu bringen. Auch wenn die Schweiz nicht zur Europäischen Union gehört, gilt die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union auch für verschiedene Unternehmen in der Schweiz.

Rechtliche Grundlage für den Datenschutz am Arbeitsplatz in der Schweiz

Rechtliche Grundlage für den Datenschutz am Arbeitsplatz in der Schweiz ist das Schweizerische Obligatenrecht (OR), Artikel 328b. Darin ist geregelt, dass der Arbeitgeber nur dann Daten von Arbeitnehmern bearbeiten darf, wenn sie die Eignung des Arbeitgebers für das Arbeitsverhältnis betreffen oder der Erfüllung des Arbeitsvertrages dienen.

Eine weitere rechtliche Grundlage ist das Bundesgesetz über den Datenschutz (DSG), das in der Fassung vom 19. Juni 1992 vorliegt. Im Artikel 1 des DSG ist der Schutz der Persönlichkeit und der Grundrechte von Personen geregelt, über die Daten erhoben und verarbeitet werden.

Seit dem 1. September 2023 gelten das totalrevidierte Datenschutzgesetz (revDSG) und die zugehörige Verordnung (DSV). Das revidierte Datenschutzrecht bringt für Unternehmen einige Neuerungen mit. Arbeitgeber müssen die neuen und erweiterten Dokumentationspflichten beachten.

Für Arbeitgeber gelten mit dem revDSG die folgenden Regelungen bezüglich der Daten von Arbeitnehmern:

zu den schützenswerten Daten von Arbeitnehmern gehören auch genetische und biometrische Daten
Software, Hardware und Dienstleistungen sind so zu gestalten, dass jederzeit der Datenschutz gewährleistet ist
bei einem erhöhten Risiko für Persönlichkeit oder Grundrechte ist eine Datenschutz-Folgenabschätzung erforderlich
Arbeitgeber stehen gegenüber Arbeitnehmern in der Informationspflicht über die Datenbeschaffung und in der Dokumentationspflicht
die Verarbeitung von Mitarbeiterdaten muss in einem Bearbeitungsverzeichnis dokumentiert werden, wenn ein Unternehmen mehr als 250 Arbeitnehmer beschäftigt

Daten, die Arbeitgeber von Mitarbeitern erheben und speichern dürfen

Daten von Mitarbeitern werden im Personaldossier gespeichert. Das Personaldossier ist erforderlich, um die Pflichten aus dem Arbeitsvertrag zu erfüllen. Der Arbeitgeber darf und muss daher von seinen Mitarbeitern bestimmte Daten erheben und speichern. Das betrifft die folgenden Daten:

Bewerbungsunterlagen mit Lebenslauf, Zeugnissen, Eignungsabklärungen und Referenzauskünften
Ausbildungsvereinbarungen
Ausbildungszertifikate
Anstellungsvertrag
Stellenbeschreibung
Beförderungen
Vertragsveränderungen
Mitarbeiterbeurteilungen
Spesenabrechnungen
Urlaubsanträge
Krankmeldungen
Arztzeugnisse
Lohnausweise
Lohnerhöhungen
Bonusberechnungen
Abmahnungen
Austrittsvereinbarungen
Kündigungsschreiben

Zum Personaldossier gehört auch die Arbeitszeit- und Ferienkontrolle. Das Arbeitszeitgesetz schreibt die lückenlose Erfassung der Arbeitszeit vor. Der Arbeitgeber muss daher die Arbeitszeit erfassen und speichern.

Aus den Rechten für den Arbeitgeber, Daten über die Mitarbeiter zu erheben und zu speichern, ergeben sich auch Rechte für die Arbeitnehmer. Jeder Arbeitnehmer hat das Recht auf Einsicht seines Personaldossiers. Unrichtige Einträge kann der Arbeitnehmer berichtigen lassen.

Tipp: Es gibt auch geheime Personalakten, die als graue Dossiers bezeichnet werden und die Arbeitnehmer meistens nicht kennen. Das Gesetz lässt solche grauen Dossiers nicht zu. Arbeitnehmer haben ein Recht darauf, zu erfahren, ob graue Dossiers über sie vorliegen, und welche Daten darin gespeichert sind.

Einwilligung des Arbeitnehmers zur Datenverarbeitung

Arbeitgeber sind verpflichtet, die Persönlichkeit ihrer Mitarbeiter zu schützen und zu achten, und stehen ihren Mitarbeitern gegenüber in der Fürsorgepflicht. Um Daten zu verarbeiten, die eine Eignung des Mitarbeiters für ein Arbeitsverhältnis betreffen und die zur Erfüllung des Arbeitsvertrages notwendig sind, ist keine Einwilligung des Arbeitnehmers erforderlich.

Für die Erhebung und Speicherung von Daten über die Arbeitnehmer gilt der Grundsatz der Verhältnismässigkeit. Die Daten dürfen nicht zum Nachteil von Mitarbeitern verwendet werden, selbst wenn die Mitarbeiter in die Verarbeitung eingewilligt haben.

Die Einwilligung des Arbeitnehmers zur Datenverarbeitung ist erforderlich, wenn die Erhebung und Verarbeitung von Daten privaten oder öffentlichen Zwecken dienen. Der Arbeitgeber benötigt auch die Einwilligung des Arbeitnehmers, bevor er dessen Daten an Dritte weitergibt. Nicht erforderlich ist die Einwilligung des Arbeitnehmers, wenn die Daten an Behörden oder Versicherer weitergegeben werden, da dazu eine gesetzliche Verpflichtung besteht. Um Referenzen über einen Arbeitnehmer einzuholen, benötigt der Arbeitgeber ebenfalls dessen Einwilligung.

Arbeitgeber dürfen die Bearbeitung von Personaldossiers und die Abrechnung von Löhnen an externe Dienstleister beauftragen. Eine Einwilligung der Arbeitnehmer ist dazu nicht erforderlich. Der Dienstleister darf die Daten nicht selbst verwerten und nicht an Dritte weitergeben.

Schutz von Arbeitnehmerdaten am Arbeitsplatz durch die DSGVO

Die DSGVO wird in der Schweiz nur bedingt angewendet, da die Schweiz nicht zur EU gehört. Sie muss in folgenden Fällen angewendet werden:

wenn ein Schweizer Unternehmen eine Niederlassung in einem EU-Land betreibt
wenn ein Schweizer Unternehmen Waren oder Dienstleistungen an Personen in der EU anbietet
wenn das Verhalten von Personen in der EU beobachtet wird

Die DSGVO schützt in der Schweiz nicht die Arbeitnehmerdaten am Arbeitsplatz. Das Schweizer Bundesgesetz über den Datenschutz (DSG) wurde jedoch überarbeitet und gilt seit dem 1. September 2023 in revidierter Form. Mit der Überarbeitung erfolgte eine Angleichung an die DSGVO. Anders als bei der DSGVO ist die Datenverarbeitung gemäss revDSG grundsätzlich erlaubt und erfordert keine Einwilligung.

Konsequenzen bei Datenschutzverletzungen durch den Arbeitgeber

In der Schweiz können Datenverantwortliche und Auftragsverarbeiter von Daten mit einem Bussgeld von 250'000 CHF belegt werden, wenn sie gegen den Datenschutz verstossen. Die Strafe richtet sich nicht gegen das Unternehmen, sondern konkret gegen die verantwortliche Person. Vor Einführung des revDSG lag das Bussgeld nur bei 10'000 CHF. Auf Antrag erfolgt eine Strafverfolgung.