Datenschutz für ausgeschiedene Mitarbeiter

Worum geht's?

Das Bild auf der “Über-uns-Seite”, die Teamvorstellung auf Facebook oder die Information über den neuen Mitarbeiter im Firmenblog: Zwischen Arbeitgebern und Arbeitnehmern herrscht über persönliche Daten im Netz meist solange Einklang, bis das Arbeitsverhältnis und damit der Bezug zum Unternehmen endet. Verlässt der Mitarbeiter die Firma, bleiben die veröffentlichten Inhalte oftmals dennoch online. Doch ist das zulässig? Wann sind welche Daten zu löschen? Welche Rechte haben Arbeitnehmer – und was sollten Arbeitgeber in Sachen Datenschutz ausgeschiedener Mitarbeiter beachten?

1. Ausscheidende Mitarbeiter und der Datenschutz: Ein Risiko?

Wenn Mitarbeiter ein Unternehmen verlassen, birgt das beim Datenschutz gewisse Risiken. Diese steigen nicht zuletzt mit der Art und Weise, wie der Angestellte ausscheidet. Sicherlich enden viele Arbeitsverhältnisse in Harmonie – doch es gibt sie auch, die fristlosen und unerwarteten Kündigungen, bei denen zumindest in der Theorie die Gefahr besteht, dass der Ex-Kollege dem ehemaligen Arbeitgeber Schaden zufügt.

Zu den größten Risiken in Sachen Datenschutz ausgeschiedener Mitarbeiter zählen laut einer Umfrage zur IT-Sicherheit:

• Datenverlust
• Angriffsflächen für Hacker über nicht verwaltete Konten
• Datendiebstahl
• Einbringen von Malware in das Firmen-IT-System

Endet ein Arbeitsverhältnis, bedeutet das vor allem für die IT-Abteilung der Firma einiges an Arbeit: Zugangsberechtigungen müssen entzogen, gemeinsame Passwörter geändert und die Aufbewahrung bzw. Löschung der Mitarbeiterdaten veranlasst werden. Das gilt nicht nur für firmeneigene Hard- und Software, sondern auch für Apps auf privaten Endgeräten sowie für Cloud- und Software-as-a-Service-Diensten wie Office 365 oder Google Docs.

Auch die Social-Media-Kanäle des Unternehmens sowie die Firmenwebsite dürfen im Zuge des Off-Boarding-Prozesses für den ausgeschiedenen Mitarbeiter nicht mehr zugänglich sein, um die Datensicherheit zu gewährleisten – so sieht es die Datenschutz-Grundverordnung (DSGVO) vor.

Beim Datenschutz ehemaliger Mitarbeiter geht es aber nicht nur um die Rechte und Ansprüche des Arbeitgebers, sondern auch um die des Arbeitnehmers – denn dieser hat das Recht, eine Löschung der von ihm gespeicherten Daten zu verlangen. Sichern Sie den Datenschutz in Ihrem Unternehmen mit unserem Datenschutz-Management-System auf eRecht24 Premium ab.

2. Wann müssen welche Daten von ehemaligen Mitarbeitern gelöscht werden?

Gemäß der DSGVO dürfen personenbezogene Daten nur so lange gespeichert werden, wie es für die Erfüllung des Verarbeitungszwecks erforderlich ist. Entfällt dieser Zweck, haben Betroffene laut Artikel 17 DSGVO ein Recht auf Vergessenwerden.

Welche Löschfristen gelten für welche Daten?

Wie lange Sie als Arbeitgeber welche personenbezogenen Daten Ihrer Mitarbeiter speichern müssen bzw. wie zügig deren Löschung nach einer Kündigung zu erfolgen hat, regeln verschiedene gesetzliche Vorschriften. Dazu gehören vor allem die Vorgaben des Steuer-, Sozialversicherungs-, Handels- und natürlich des Arbeitsrechtes.

Einige Beispiele für Lösch- und Aufbewahrungsfristen von Mitarbeiterdaten:

• Arbeitszeugnisse und Beurteilungen: Jeder Arbeitnehmer hat das Recht auf ein angemessenes Arbeitszeugnis. Damit Beschäftigte diesen Anspruch geltend machen können, sind Zeugnisse und Beurteilungen für drei Jahre aufzubewahren, beginnend mit Ende des Jahres, in dem das Arbeitsverhältnis endete.
• Überstundenlisten: Ob auf Papier oder in einem Personalmanagement-Tool – geleistete Überstunden sind für zehn Jahre aufzubewahren. Das gilt aber nur, wenn sie ausgezahlt wurden, also Teil der Lohnabrechnung waren. Denn damit zählen sie als Buchungsbeleg. Wurden die Überstunden hingegen “abgebummelt”, ist die Löschfrist deutlich kürzer: Nach zwei Jahren sind die Daten zu vernichten.
• Daten zur betrieblichen Altersvorsorge: Für Angaben und Informationen, die die betriebliche Altersvorsorge des ausscheidenden Mitarbeiters betreffen, gelten die längsten Aufbewahrungsfristen: Damit Arbeitnehmer auch nach der Beendigung eines Arbeitsverhältnisses ihre Ansprüche auf Leistungen einfordern können, dürfen die Daten erst nach 30 Jahren gelöscht werden.

Was ist mit persönlichen Daten aus Gesprächen und Meetings?

Geht es um persönliche Daten aus Mitarbeitergesprächen, Meetings oder Gehaltsverhandlungen, gibt es keine mehrjährigen Aufbewahrungsfristen.

Gemäß der Datenschutzgrundverordnung besteht somit auch kein legitimer Grund für die weitere Speicherung der Daten, sobald der Arbeitnehmer das Unternehmen verlässt. Als Vorgesetzter müssen Sie daher sicherstellen, dass die gespeicherten Daten mit Beendigung des Arbeitsverhältnisses umgehend gelöscht werden.

3. Welche Rechte haben ausscheidende Mitarbeiter bezüglich ihrer Daten?

Neben den Informationen, die das Unternehmen braucht, um das Beschäftigungsverhältnis abzuwickeln, gibt es auch Daten, die vor allem als Aushängeschild für das Unternehmen dienen. Allen voran ist das die mit Mitarbeiterfotos, Über-uns-Seiten, Blogbeiträgen und Teambeschreibungen geschmückte Firmenwebsite. Wie steht es um diese Daten, wenn der dort dargestellte Angestellte das Unternehmen verlässt?

Daten im Netz? Nur mit Einverständnis der Mitarbeitenden

Grundsätzlich dürfen Arbeitgeber persönliche Daten ihrer Mitarbeitenden nur mit deren Einverständnis auf der Website oder den Social Media Accounts des Unternehmens veröffentlichen. Allein das Arbeitsverhältnis gibt dem Arbeitgeber noch kein Recht dazu. Datenschutz, Persönlichkeitsrechte und das Recht am eigenen Bild stehen dem entgegen.

Wer unbedingt Mitarbeiterinformationen ins Netz stellen will, sollte das daher entsprechend im Arbeitsvertrag regeln. Haben Sie sich einmal das Einverständnis Ihrer Mitarbeitenden eingeholt, brauchen Sie nicht bei jeder Veröffentlichung eine erneute Erlaubnis – so lange die betreffende Person in Ihrem Unternehmen arbeitet.

Einverständnis gilt nicht unbegrenzt

So wie ein Mitarbeiter sein Einverständnis geben kann, kann er es auch jederzeit widerrufen. Endet das Arbeitsverhältnis und verlässt der Arbeitnehmer das Unternehmen, endet seine erteilte Einverständniserklärung im Zweifel auch mit diesem Zeitpunkt. Haben Sie nicht schriftlich vereinbart, dass Fotos, Videos oder Blogbeiträge auch weiterhin auf der Firmenwebsite und den Social-Media-Kanälen bleiben dürfen, sollten Sie diese löschen.

Auf der sicheren Seite sind Sie nur dann, wenn eine anhaltende Veröffentlichung vom betreffenden Mitarbeiter schriftlich genehmigt wurde. Widerruft er hingegen seine Zustimmung, dürfen Sie dies nicht ignorieren – auch wenn das dazu führt, dass Sie Social-Media-Posts löschen oder die Firmenwebsite anders gestalten müssen.

Nicht immer ist eine explizite Einwilligung erforderlich. Benötigen Sie das Foto Ihres Beschäftigten, um einen neuen Betriebsausweis zu erstellen oder legen Sie ein Profil der Person im Firmen-Intranet an, um Kollegen über die neue Position (z. B. als Teamleiter oder Geschäftsführer) zu informieren, ist dies auch ohne schriftliche Einwilligung zulässig. Auch das ändert sich aber, wenn der Mitarbeiter den Job wechselt und das Unternehmen verlässt.

Sören SiebertRechtsanwalt

4. Was ist, wenn der Arbeitgeber die Löschung der Daten verweigert?

Weigern Sie sich trotz des Widerrufs des ehemaligen Mitarbeiters, die Inhalte von der Firmenwebsite oder den Social-Media-Profilen zu löschen, kann dieser dagegen gerichtlich vorgehen – und das geschieht nicht selten. Einig sind sich die Arbeitsgerichte hinsichtlich des Datenschutzes ausgeschiedener Mitarbeiter jedoch nicht, wie die folgenden Beispiele aus der Rechtsprechung zeigen.

LAG Köln: Foto als Beiwerk ist hinzunehmen

In einem Urteil aus dem Jahr 2009 (Az. 7 Ta 126/09) entschied das Landesarbeitsgericht Köln, dass eine ehemalige Mitarbeitern ein Foto von ihr auf der Firmenwebsite, das sie lediglich bei ihrer Tätigkeit am Telefon zeigte, hinzunehmen habe.

Die Begründung: Dient ein Foto allein der Illustration, aber geht es nicht konkret um die abgebildete Person, hat diese keinen Anspruch auf die Entfernung des Fotos.

AG Neuruppin: Namentliche Nennung nach Ende des Arbeitsverhältnisses ist unzulässig

Anders sah das das Arbeitsgericht Neuruppin in einem jüngeren Urteil aus dem Jahr 2021 (Az. 2 Ca 554/21). Eine ehemalige Angestellte hatte ihren Arbeitgeber nach Beendigung des Arbeitsverhältnisses dazu aufgefordert, ihre namentliche Vorstellung auf der Firmenwebsite zu entfernen. Diese war zudem auch noch falsch: Zwar hatte die Klägerin einen Abschluss als Biologin, war in dieser Position allerdings nicht für das Unternehmen tätig. Der Arbeitgeber stellte sie auf der Firmenwebsite dennoch als Biologin des Betriebs vor.

Nachdem ihr Name und die falsche Tätigkeitsbeschreibung auch nach einem Jahr nach Ende des Arbeitsverhältnisses immer noch auf der Website standen, sprach sie eine Abmahnung aus und verlangte Schadensersatz. Da der Arbeitgeber der Forderung nur eingeschränkt nachkam, erhob sie schließlich Klage vor dem Neuruppiner Arbeitsgericht.

Mit Erfolg: Das Arbeitsgericht gab der Klägerin Recht. Es handele sich hierbei um eine rechtswidrige Verarbeitung personenbezogener Daten sowie um eine Verletzung des Persönlichkeitsrechts. Der Arbeitgeber musste Schadensersatz gemäß Artikel 82 DSGVO zahlen und die Beschreibung von der Website entfernen.

LAG Hessen: Datenschutz ehemaliger Mitarbeiter überwiegt

Bereits vor der DSGVO im Jahr 2012 hatte das Landesarbeitsgericht Hessen in einem Urteil eine ähnliche Position vertreten und den Datenschutz ausgeschiedener Mitarbeiter gestärkt (Az. 19 SaGa 1480/11). In dem Fall ging es um die Darstellung einer gekündigten Anwältin im Blog einer Anwaltskanzlei.

Obwohl die Klägerin eine neue Stelle angetreten hatte, entfernte sie ihr ehemaliger Arbeitgeber zwar von der Liste der Anwälte auf der Kanzleiseite – nicht aber einen Blogbeitrag, der über die mittlerweile falsche Tatsache informierte, dass die Frau die Kanzlei im Handels- und Gesellschaftsrecht unterstütze. Das Argument des ehemaligen Arbeitgebers: Aufgrund der fehlenden Nennung im Team der Anwälte sei erkennbar, dass die Klägerin nicht mehr in der Kanzlei arbeite.

Die Klägerin sah dies anders und sich in ihren Persönlichkeitsrechten verletzt. Das LAG Hessen bestätigte dies: Die Werbung der Kanzlei mit der individuellen Persönlichkeit der Klägerin sei nach Beendigung des Arbeitsverhältnisses ein Verstoß gegen ihr Persönlichkeitsrecht. Zudem sei die Löschung der für jeden frei im Internet zugänglichen Informationen für die Kanzlei nur mit einem geringen Aufwand verbunden.

5. Was passiert, wenn Arbeitgeber den Datenschutz ehemaliger Mitarbeiter missachten?

Nicht erst seit dem Inkrafttreten der DSGVO ist der Datenschutz ehemaliger Mitarbeiter ein ernstzunehmendes Thema für Arbeitgeber. Zögern Sie daher nicht und entfernen Sie spätestens auf Verlangen des Ex-Beschäftigten Fotos, Videos und namentliche Nennungen in Profilbeschreibungen, Blogbeiträgen und auf der Firmenwebsite.

Denn: Die Verarbeitung personenbezogener Daten – und damit auch die Veröffentlichung von Inhalten – ist nur mit Zustimmung der Person erlaubt. Ohne diese Zustimmung ist die Datenverarbeitung unrechtmäßig und ein Verstoß gegen die DSGVO. Einen solchen sollten Sie unbedingt vermeiden, denn DSGVO-Verstöße sind nicht nur mit einem Reputationsverlust, sondern auch mit empfindlichen DSGVO-Bußgeldern verknüpft.

Sind Sie vor Datenpannen und Datenlecks ausreichend geschützt? Wie steht es um den Datenschutz in Ihrem Unternehmen? Werden Sie jetzt tätig, um Abmahnungen und Bußgeldern zuvorzukommen. Mit unserer Datenschutz-Lösung können Sie eine Risikoabschätzung durchführen und Maßnahmen für einen besseren Datenschutz erstellen. Probieren Sie es aus!

6. FAQ: Häufige Fragen zum Datenschutz ausgeschiedener Mitarbeiter

• Zurück zur Übersicht: "Datenschutz"
• Welche Unternehmen brauchen einen Datenschutzbeauftragten?
• Wann macht ein externer Datenschutzbeauftragter Sinn?
• Datenschutz im Homeoffice
• Standardvertragsklauseln
• Datenschutzerklärung einbinden
• Datenschutz-Audit für Unternehmen
• Datenschutz bei Software as a Service (SaaS)
• Haftung bei Verstößen gegen das Datenschutzrecht
• Datenschutz beim Recruiting
• Datenschutz bei Kundendaten
• Weitergabe von Kundendaten an Dritte
• Datenschutz beim Gewinnspiel
• Ist ein CDN DSGVO-konform?