Datenschutz Arbeitgeber

Rechtsanwältin Anja Branz empfiehlt HR, anhand der nachfolgenden Prüfliste zu überprüfen, ob die Anforderungen der DSGVO eingehalten werden oder ob datenschutzrechtliche Lücken auftauchen. Kernstück des seit dem 2. Mai 2018 gültigen DSGVO sind die Erhöhung der Transparenz, Rechenschafts- und Dokumentationspflicht, die Erweiterung der Rechte der Betroffenen, die Erhöhung der Informationspflicht für den Arbeitgeber oder Unternehmen und - im Gegensatz zum ehemaligen BDSG - die Erhöhung der Geldbußen.

Der DSGVO verhängt gegen fast alle Vorschriften eine Geldbuße (bis zu vier vom Hundert des Konzernjahresumsatzes). Den damit verbundenen Verpflichtungen für Betriebe sollte auf jeden Fall Rechnung getragen werden - insbesondere vor dem Hintergund der von der DSGVO vorgesehenen dramatischen Sanktionsmöglichkeit. Zu den wesentlichen Innovationen zählt die Verantwortlichkeit in der DSGVO.

Unmittelbare Folge davon ist die Pflicht, die Einhaltung aller Bestimmungen der DSGVO zu jedem Zeitpunkt nachzuweisen. D. h.: In einem Prozess oder vor der Aufsichtsstelle muss der Arbeitgeber die Einhaltung der Vorgaben der DSGVO vorweisen. So muss er beispielsweise beweisen, dass es eine effektive Grundlage für die Zulassung zur Verarbeitung von Daten gibt oder dass entsprechende Datenschutzmaßnahmen getroffen wurden.

Darüber hinaus finden die bekannten Grundsätze, auf denen das BDSG in der Vergangenheit beruhte, wie Treu und Glauben, Legalität, Kennzeichnungspflicht, Datenminimierung, Genauigkeit, Speicherplatzbegrenzung und Datenschutz Anwendung. Zum Beispiel wird die Sicherheit der persönlichen Angaben mit einer Geldstrafe belegt. Das DSGVO ist - wie bereits die ältere Version des BDSG - ein Verbot mit Genehmigungsvorbehalt. Die Verarbeitung von personenbezogenen Informationen ist daher generell untersagt, es sei denn, eine gesetzliche Regelung, eine betriebliche Vereinbarung oder die Zustimmung des betroffenen Personenkreises lässt dies zu.

Gestiegene Ansprüche werden an die Zustimmung erhoben - insbesondere im Kontext der Mitarbeiter. Betroffene haben ein erweitertes Recht auf Zugang zu Informationen über die Entstehung und Verarbeitung ihrer personenbezogenen Informationen und haben Anspruch auf Schadensersatz, wenn eine Bestimmung der DSGVO verletzt wird. Last but not least sollen die neue DSGVO und das neue BDSG zu mehr Kontrollen durch die Datenschutzbehörde führen.

All dies verdeutlicht, dass gerade die Transparenz- und Dokumentationspflicht auch für das Personalwesen von Bedeutung ist, um die Erfüllung der DSGVO nachzuweisen. Deshalb gibt es auch in den Spezifikationen der DSGVO beträchtliche Interaktionen mit dem Personalwesen, die möglicherweise nicht unmittelbar von der Abteilung Personalwesen, sondern in einigen Fällen von den Fachabteilungen unter Einbeziehung des Beauftragten für den Datenschutz umgesetzt werden müssen.

Darüber hinaus müssen regelmäßige Schulungen der Beschäftigten zur Sicherstellung der DSGVO nach Risikobereichen - unter Einbeziehung des Beauftragten für den Datenschutz - durchgeführt werden. Die folgende Liste kann vor dem Hintergund der neuen Datenschutzbestimmungen hilfreich sein. So kann das HR überprüfen, ob die Datenschutzanforderungen in den Kerngebieten eingehalten werden.

Wurden Mitarbeiter und Antragsteller gemäß 13, 14 DSGVO darüber unterrichtet, für welche Zwecke ihre persönlichen Angaben erfasst werden, wer der Datenschutzbeauftragte ist, an welche Adressaten die Angaben gehen und welche Rechte der Mitarbeiter gemäß DSGVO betroffen sind? Diese Mitteilungspflicht besteht zum Erhebungszeitpunkt, d.h. für die Mitarbeiter zum Erhebungszeitpunkt.

Bestehende Mitarbeiter müssen so bald wie möglich nach Eintritt der DSGVO unterwiesen werden. Wurden die Mitarbeiter nach den Bestimmungen des DSGVO wieder zum Datenschutz (bisher zum Datenschutz gemäß 5 BDSG) verpflichtet? 3. Vor allem aus der speziellen Verantwortung nach der DSGVO resultiert: Eine Neueinweisung der Mitarbeiter in den Datenschutz ist aussagekräftig, da dies die Anstrengungen des Unternehmers zur Umstellung der DSGVO nachweist.

Praxis-Tipp: Auch wenn sich am Ende nur die Bestimmungen verändern und die Pflicht nach Artikel 29 DSGVO, 5 Abs. 1 Buchst. b und f DSGVO nur indirekt entsteht, sollte sie an das Datenschutzgeheimnis der DSGVO angepaßt werden. Warum und zu welchem Zwecke dies passiert, wie lange und welche Daten bearbeitet werden, welche Pfade sie nehmen, wie sie aufbewahrt und gesichert werden.

Praxis-Tipp: Werden diese Voraussetzungen nicht beachtet, droht die Gefährdung, dass eine Unternehmensvereinbarung als Grundlage für eine Genehmigung nach dem Datenschutzrecht nicht ausreichend ist, da sie nicht den Erfordernissen der DSGVO nachkommt. In diesem Fall findet die Bearbeitung personenbezogener Informationen ohne die notwendige Einwilligung statt, es sei denn, sie ist im Einzelnen bereits gesetzlich geregelt (z.B. § 26 Abs. 1 BDSG).

Dies ist z.B. bei einem IT-System der Fall, das persönliche Angaben enthält und für die Umsetzung des Beschäftigungsverhältnisses nicht unbedingt notwendig ist, wie z.B. eine IT-Beschwerde-Hotline oder ähnliches. Die Arbeitgeberin droht dann eine Geldstrafe. Eine Zustimmung nach DSGVO ist gemäß 7 DSGVO in Verbindung mit § 26 Abs. 2 BDSG zu erteilen.

Dies bedeutet, dass der Arbeitgeber den Mitarbeiter zunächst in einer klaren und einfachen Form, losgelöst von anderen Tatsachen - vor allem dem Dienstvertrag - über den Sinn und die Widerruflichkeit der Datenerfassung - zumindest in schriftlicher Form - zu unterrichten hat.

Er darf nicht flächendeckend ausgestellt werden und muss prinzipiell durch die eigene Unterschrift des Mitarbeiters deklariert werden. ehrenamtlich. Es ist jedoch im Einzelnen nicht klar, wann z.B. durch die Verarbeitung von Daten ein gesetzlicher oder ökonomischer Nutzen erzielt wird, wie in 26 Abs. 2 BDSG gefordert (dies kann z.B. bei der Einrichtung eines Betriebsgesundheitsmanagementsystems der Fall sein oder wenn der Arbeitgeber die Privatnutzung von Betriebs-IT-Systemen gestattet) oder rechtsähnliche Belange angestrebt werden (die Begründung des Gesetzes besagt die Nennung von Namen und Geburtstag in einer Geburtstagsliste).

Ansonsten droht - im Gegensatz zum einmal erfolgten Entzug der Selbstverpflichtung - die Möglichkeit, dass sich die Verarbeitung der Daten nicht mehr auf andere, eventuell vorhandene Begründungen stützen kann. Der Autor: Dr. Anja Branz ist Juristin, Spezialistin für Arbeits- und Sozialrecht und Partner bei der Kanzlei Beiträge Burkhardt in Berlin. Anmerkung: Eine zweite Liste zum neuen Datenschutz in Zusammenarbeit mit anderen Fachbereichen findet sich im kompletten Artikel des Autors, veröffentlicht im Privatmagazin, Heft 09/2018. Mehr zum Thema: Datenschutz: Können Arbeitgeber Bewerbungen im Netz nachforschen?

Wassapp und die DSGVO: "Arbeitgeber übernehmen das Datenschutzrisiko