Vertraulich sind im Arbeitsverhältnis insbesondere Informationen, die nicht öffentlich bestimmt sind und deren unbefugte Weitergabe dem Unternehmen oder den betroffenen Personen schaden kann. Dazu zählen insbesondere personenbezogene Daten von Beschäftigten wie Name, Anschrift, Geburtsdatum, Kontaktdaten sowie besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO, etwa Gesundheitsdaten oder Angaben zur Religionszugehörigkeit. Ebenso sind Inhalte der Personalakte, wie etwa die Gehaltsabrechnungen, Abmahnungen oder Krankmeldungen, als vertraulich zu behandeln.
Geschäftsgeheimnisse umfassen Informationen mit wirtschaftlichem Wert, deren Geheimhaltung vom Unternehmen gewünscht ist und für die angemessene Schutzmaßnahmen getroffen wurden (§ 2 Nr. 1 GeschGehG). Darunter fallen unter anderem Geschäftsstrategien, Kalkulationen, Kunden- und Lieferantenlisten, technische Verfahren, Preisgestaltungen oder Vertragsinhalte mit Geschäftspartnern.
Als nicht vertraulich gelten die Informationen, die allgemein zugänglich sind, die bereits öffentlich bekannt sind oder ohne weiteres zu ermitteln sind. Das Bundesarbeitsgericht hat in ständiger Rechtsprechung klargestellt, dass auch Gehälter nicht per se ein Geschäftsgeheimnis darstellen (Az. 9 AZR 676/07).
Die Verschwiegenheitspflicht ergibt sich aus der arbeitsvertraglichen Rücksichtnahmepflicht (§ 241 Abs. 2 BGB) sowie aus der allgemeinen arbeitsrechtlichen Treuepflicht. Sowohl Arbeitgeber als auch Arbeitnehmer sind verpflichtet, schutzwürdige Informationen zu sichern und die Interessen der Beschäftigten zu wahren.
Die Verarbeitung personenbezogener Daten unterliegt der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG). Arbeitgeber müssen Beschäftigte nach Art. 13 und 14 DSGVO über die Datenverarbeitung informieren. Betroffene haben insbesondere ein Auskunftsrecht (Art. 15 DSGVO) sowie ein Recht auf Berichtigung oder Löschung (Art. 16, 17 DSGVO).
Verstöße gegen die Verschwiegenheitspflicht können strafrechtlich relevant sein:
Der Arbeitgeber ist verpflichtet, alle vertraulichen Informationen – insbesondere personenbezogene Daten und Geschäftsgeheimnisse – zu schützen. Er darf solche Daten nur erheben, speichern und weitergeben, wenn eine gesetzliche Grundlage besteht oder eine Einwilligung der betroffenen Person vorliegt. Die Diskretionspflicht gilt auch nach Beendigung des Arbeitsverhältnisses (§ 6 GeschGehG).
Zur Wahrung der Vertraulichkeit muss der Arbeitgeber angemessene technische und organisatorische Maßnahmen umsetzen, etwa Zugangsbeschränkungen, Verschlüsselung und regelmäßige Schulungen. Beschäftigte sind über die Datenverarbeitung transparent zu informieren (Art. 13 DSGVO) und haben ein Auskunftsrecht (Art. 15 DSGVO).
Der Arbeitgeber darf Informationen weitergeben, wenn dies gesetzlich vorgeschrieben ist oder berechtigte Interessen überwiegen – etwa gegenüber Behörden oder Gerichten. Dabei muss die Weitergabe auf das notwendige Maß beschränkt bleiben und die Interessen der Betroffenen wahren.
Wenn Ihr Vorgesetzter vertrauliche Informationen über Sie oder andere Mitarbeitende unbefugt weitergibt, haben Sie verschiedene Möglichkeiten, sich zu wehren.
Die Diskretionspflicht des Arbeitgebers ist nicht grenzenlos. Sie gilt immer dann, wenn ein berechtigtes Interesse an der Geheimhaltung besteht. Das bedeutet, dass der Arbeitgeber Informationen nicht einfach aus Prinzip zurückhalten oder weitergeben darf. Er muss abwägen, ob tatsächlich ein Schutzinteresse vorliegt.
Es gibt gesetzlich geregelte Ausnahmen von der Verschwiegenheitspflicht.
Im Alltag sind Arbeitgeber verpflichtet, Informationen nur an solche Personen weiterzugeben, die sie zur Erfüllung ihrer Aufgaben benötigen. So dürfen etwa Gesundheitsdaten nur an die Personalabteilung oder den Betriebsarzt weitergegeben werden, nicht aber an Kollegen oder andere Vorgesetzte. Besonders sensible Daten, wie religiöse oder politische Überzeugungen, dürfen nur ausnahmsweise und mit ausdrücklicher Einwilligung verarbeitet werden (Art. 9 Abs. 2 DSGVO).
Erzählt der Arbeitgeber vertrauliche Informationen unbefugt weiter, drohen ihm erhebliche rechtliche und finanzielle Konsequenzen. Zunächst kann der betroffene Arbeitnehmer auf Unterlassung und Schadensersatz klagen (§ 823 BGB, Art. 82 DSGVO).
Bei schwerwiegenden Persönlichkeitsrechtsverletzungen ist auch Schmerzensgeld möglich (LG Frankfurt, 2-04 O 584/09).
In der Praxis können auch arbeitsrechtliche Konsequenzen für Führungskräfte folgen: Wer als Chef wiederholt oder grob fahrlässig gegen die Diskretionspflicht verstößt, riskiert Abberufung, Versetzung oder sogar die Kündigung seines Arbeitsvertrags.
Werden besonders sensible Daten wie Gesundheitsinformationen oder Geschäftsgeheimnisse preisgegeben, kann dies strafbar sein (§ 203 StGB, § 23 GeschGehG). Die Strafen reichen von Geldbußen bis zu Freiheitsstrafen von bis zu drei Jahren – bei Amtsträgern sogar bis zu fünf Jahren (§ 201 StGB).
Im Bereich Datenschutz drohen empfindliche Bußgelder durch die Aufsichtsbehörden. Nach Art. 83 DSGVO können diese bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist.
