Um die Kollegialität in einem Unternehmen, einer Behörde oder einer sonstigen Einrichtung zu fördern, sind anlassbezogene Gratulationen oftmals Teil des beruflichen Alltages. Wie verhält es sich also mit dem Datenschutz bei Jubiläen, Geburtstagen etc.? Was ist zu beachten?

Art der personenbezogener Daten

Gratulationen ziehen nach sich, dass ein Verantwortlicher dabei personenbezogene Daten verarbeitet. In den meisten Fällen feiern Mitarbeiter die Geburtstage der Kollegen, was heißt, das Geburtsdatum der jeweiligen Person ist bekannt. Oftmals wird im Zuge dessen auch das Geburtsjahr bekannt.

Auch bei sonstigen gratulationswürdigen Ereignissen kommt es für gewöhnlich zur Verarbeitung personenbezogener Daten. Denken wir hierbei beispielsweise an ein Jubiläum, welches verkündet, dass ein Beschäftigter eine besonders lange Zeit in einem Unternehmen gearbeitet hat. Die Daten, die das Alter offenbaren oder erahnen lassen, sind aus Sicht der jeweiligen betroffenen Person womöglich sogar sensibler Natur.

Möglicherweise verkündet ein Verantwortlicher auch die erfreulichen Nachrichten vom Familienzuwachs bei Beschäftigten. Hier kann es ggf. sogar zur Verarbeitung sensibler personenbezogener Daten kommen. Die sensiblen Daten beziehen sich dabei darauf, wenn das jeweilige andere Elternteil erwähnt wird. Daraus lässt sich auf die sexuelle Orientierung einer Person schließen. Genauso verhält sich bei Hochzeitsgratulationen.

Aus menschlicher Sicht haben vermutlich nur wenige Menschen etwas gegen Geburtstags- oder sonstige Gratulationen einzuwenden. Gilt dies aber auch aus datenschutzrechtlicher Sicht?

Rechtmäßigkeit

Die Verarbeitung personenbezogener Daten wie Geburtsdaten oder Dienstjubiläen ist nur dann rechtmäßig, wenn es dafür eine Rechtsgrundlage gibt. Als Rechtsgrundlagen kommen im Wesentlichen die in Art. 6 DSGVO genannten in Betracht.

Wenn wir die verschiedenen relevanten Rechtsgrundlagen in Art. 6 Abs. 1 DSGVO prüfen, kommen wir zusammengefasst schnell zu dem Ergebnis, dass Gratulationen zum Geburtstag, Jubiläums, zur Hochzeit etc. weder zur Durchführung des Arbeitsverhältnisses (Art. 6 Abs. 1 lit. b) DSGVO) notwendig sind noch zur Erfüllung rechtlicher Pflichten (Art. 6 abs. 1 lit. c) DSGVO oder zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe (Art. 6 Abs. 1 lit. e) DSGVO). Auch dienen sie nicht dem Schutz lebenswichtiger Interessen einer betroffenen Person (Art. 6 Abs. 1 lit. d) DSGVO).

Argumentieren könnten wir ggf. mit dem berechtigten Interesse (Art. 6 Abs. 1 lit. f) DSGVO). Dabei läge das berechtigte Interesse eines Verantwortlichen vermutlich darin, ein kollegiales Miteinander im Unternehmen zu fördern sowie einem Mitarbeiter zu zeigen, dass man ihn auch als Person wahrnimmt und die Unternehmenstreue bei Dienstjubiläen würdigt. Wenn es um besonders sensible Daten geht, z. B. die sexuelle Orientierung, die auch nur indirekt (wenn z. B. ein Mann als Ehepartner einen anderen Mann angibt), kommt die Rechtsgrundlage „berechtigtes Interesse“ nach Art. 6 Abs. 1 lit. f) DSGVO jedoch nicht in Betracht, da für derartig sensible Daten nach Art. 9 Abs. 2 DSGVO keine Interessenabwägung vorgesehen ist. Bei derartigen Daten ist also immer eine Einwilligung notwendig, um sie für Gratulationszwecke verarbeiten zu dürfen.

Die tatsächlich einschlägige Rechtsgrundlage liegt also in der der Einwilligung gemäß Art. 6 Abs. 1 lit. a) DSGVO, bei sensiblen Daten Artt. 9 Abs. 2 lit. a) i. V. m. 6 Abs. 1 lit. a) DSGVO.

Schritte zur Einwilligung

Um eine rechtlich wirksame Einwilligung einzuholen, muss die einwilligende Person vorab zur geplanten Verarbeitung ihrer personenbezogenen Daten informiert werden. Hier ist die Datenschutzinformation gem. Art. 13 DSGVO relevant. Wichtig zu beachten ist auch, der betroffenen Person die Möglichkeit zu geben, ihre Einwilligung spezifizieren zu können. Das heißt, eine betroffene Person muss die Möglichkeit haben, der Veröffentlichung ihres Geburtstages mit oder ohne Geburtsjahr zuzustimmen. Des Weiteren kann es aber sein, dass ein Jubiläum nicht im Unternehmen kommuniziert werden soll. Es macht auch einen Unterschied, ob nur der Vorgesetzte eine Geburtstagsliste hat und der betroffenen Person bilateral im Zweiergespräch gratuliert oder ob er den zu feiernden Umstand unternehmsintern bekanntgibt.

Fazit

So mancher Verantwortlicher kann möglicherweise nicht nachvollziehen, dass im beruflichen bzw. nicht-privaten Umfeld die Einwilligung der betroffenen Person einzuholen ist, um ihr zu einem bestimmten Lebensereignis zu gratulieren. Aber auch in diesem Fall muss die Verarbeitung personenbezogener Daten rechtmäßig sein (Art. 5 Abs. 1 lit. a) DSGVO). Das heißt, die Verarbeitung benötigt eine Rechtsgrundlage.

Wenn Sie also auch Unterstützung bei solchen Verarbeitungstätigkeiten benötigen, um diese DSGVO-konform vorzunehmen, kontaktieren Sie uns gern.