Source: https://www.gmbhr.de/51940.htm
Timestamp: 2020-08-10 22:14:58+00:00

Document:
Datenschutz-Grundverordnung â€“ Es wird ernst!
Eine der zentralen Vorschriften der DSGVO ist Art. 5 Abs. 1 DSGVO, in welchem Verarbeitungsprinzipien niedergelegt sind, die bei der Verarbeitung personenbezogener Daten stets zu beachten sind. Personenbezogene Daten mÃ¼ssen danach auf rechtmÃ¤ÃŸige Weise, nach Treu und Glauben und in einer fÃ¼r die betroffene Person nachvollziehbaren Weise verarbeitet werden (â€žRechtmÃ¤ÃŸigkeit, Verarbeitung nach Treu und Glauben, Transparenzâ€œ), fÃ¼r festgelegte, eindeutige und legitime Zwecke erhoben werden und dÃ¼rfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden (â€žZweckbindungâ€œ), dem Zweck angemessen und erheblich sowie auf das fÃ¼r die Zwecke der Verarbeitung notwendige MaÃŸ beschrÃ¤nkt werden (â€žDatenminimierungâ€œ), sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein (â€žRichtigkeitâ€œ). Des Weiteren mÃ¼ssen sie in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermÃ¶glicht, wie es fÃ¼r die Zwecke, fÃ¼r die sie verarbeitet werden, erforderlich ist (â€žSpeicherbegrenzungâ€œ) sowie in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewÃ¤hrleistet (â€žIntegritÃ¤t und Vertraulichkeitâ€œ). Wenngleich die meisten dieser Prinzipien schon nach dem bisherigen Datenschutzrecht galten, werden diese durch weitere Regelungen in der DSGVO vielfach konkretisiert. Von besonderer Bedeutung ist, dass der fÃ¼r die Datenverarbeitung Verantwortliche nicht nur fÃ¼r deren Einhaltung verantwortlich ist, sondern kÃ¼nftig die Einhaltung nachweisen kÃ¶nnen muss (â€žRechenschaftspflichtâ€œ). Kann er dies nicht, drohen die genannten Konsequenzen.
Neben den vorgenannten Prinzipien mÃ¼ssen Unternehmen ab dem 25.5.2018 diverse formale Anforderungen beachten. So ist z.B. regelmÃ¤ÃŸig ein Verzeichnis von VerarbeitungstÃ¤tigkeiten zu fÃ¼hren (Art. 30 DSGVO), welches der Transparenz Ã¼ber die Verarbeitung personenbezogener Daten und der rechtlichen Absicherung des Unternehmens dient. Bei risikoreichen Datenverarbeitungsprozessen ist zudem eine Datenschutz-FolgenabschÃ¤tzung vorzunehmen (Art. 35 DSGVO). Ist etwa geplant, in einer Supermarktfiliale eine VideoÃ¼berwachung einzufÃ¼hren, muss zunÃ¤chst eine systematische Beschreibung der geplanten VerarbeitungsvorgÃ¤nge und Verarbeitungszwecke, eine Bewertung der Notwendigkeit und VerhÃ¤ltnismÃ¤ÃŸigkeit der VerarbeitungsvorgÃ¤nge, eine Bewertung der Risiken der Rechte und Freiheiten der betroffenen Personen sowie eine Beschreibung der MaÃŸnahmen und Sicherheitsvorkehrungen zum Schutz der personenbezogenen Daten erfolgen. Kann das hohe Risiko trotz entsprechender MaÃŸnahmen nicht eingedÃ¤mmt werden, schlieÃŸt sich ein Konsultationsverfahren mit der AufsichtsbehÃ¶rde an, in welchem umfassende Informationen zur VerfÃ¼gung gestellt werden mÃ¼ssen (Art. 36 DSGVO).
FÃ¼r die betriebliche Praxis von besonderer Relevanz sind ferner die neuen Informationspflichten nach Art. 13 u. 14 DSGVO. Sofern personenbezogene Daten erhoben werden, mÃ¼ssen die betroffenen Personen hierÃ¼ber umfassend informiert werden. Diese Informationspflichten umfassen u.a. den Namen und die Kontaktdaten des Verantwortlichen, die Kontaktdaten des Datenschutzbeauftragten, die Zwecke, fÃ¼r die die personenbezogenen Daten verarbeitet werden sollen sowie die zugrundeliegenden Rechtsgrundlagen, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden (sofern die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht), die mÃ¶glichen EmpfÃ¤nger der personenbezogenen Daten, die Dauer der Speicherung oder die Kriterien fÃ¼r die Festlegung dieser Dauer, das Bestehen eines Rechts auf Auskunft, Berichtigung und LÃ¶schung sowie des jederzeitigen Widerrufs einer Einwilligung und das Bestehen eines Beschwerderechts bei der AufsichtsbehÃ¶rde. Bei der Erhebung durch Dritte ist zusÃ¤tzlich u.a. Ã¼ber die Kategorien der verarbeiteten personenbezogenen Daten sowie die Quellen der personenbezogenen Informationen zu unterrichten. Sofern beabsichtigt ist, die personenbezogenen Daten fÃ¼r einen anderen Zweck weiterzuverarbeiten als den, fÃ¼r den sie erhoben wurden, sind die betroffenen Person vor dieser Weiterverarbeitung erneut zu informieren, insbesondere Ã¼ber den geÃ¤nderten Zweck.
Ein Schwerpunkt der Verarbeitung personenbezogener Daten im Unternehmen liegt regelmÃ¤ÃŸig im Bereich des BeschÃ¤ftigtendatenschutzes. In diesem Zusammenhang sind nicht nur die Vorschriften der DSGVO zu beachten, sondern auch die aufgrund der Ã–ffnungsklausel des Art. 88 DSGVO novellierten Regelungen des Bundesdatenschutzgesetzes (BDSG), die ebenfalls ab dem 25.5.2018 wirksam werden.
Im Hinblick auf die ZulÃ¤ssigkeit der Verarbeitung von personenbezogenen Daten im BeschÃ¤ftigungsverhÃ¤ltnis hat die Novellierung des BDSG keine grundlegenden Ã„nderungen gebracht. Denn anders als erhofft, hat der deutsche Gesetzgeber schlussendlich die bisherigen Regelungen des BDSG mit all ihren UnzulÃ¤nglichkeiten weitgehend Ã¼bernommen und nur dort Anpassungen vorgenommen, wo dies aus seiner Sicht geboten erschien. GemÃ¤ÃŸ Â§ 26 Abs. 1 BDSG n.F., der die bisherige Regelung des Â§ 32 BDSG ersetzt, dÃ¼rfen Daten von BeschÃ¤ftigten danach fÃ¼r Zwecke des BeschÃ¤ftigungsverhÃ¤ltnisses verarbeitet werden, wenn dies fÃ¼r die Entscheidung Ã¼ber die BegrÃ¼ndung eines BeschÃ¤ftigungsverhÃ¤ltnisses oder nach BegrÃ¼ndung des BeschÃ¤ftigungsverhÃ¤ltnisses fÃ¼r dessen DurchfÃ¼hrung oder Beendigung oder zur AusÃ¼bung oder ErfÃ¼llung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der BeschÃ¤ftigten erforderlich ist (vgl. zur Verarbeitung besonders sensibler personenbezogener Daten Art. 9 DSGVO, Â§ 26 Abs. 3 BDSG). Zur Aufdeckung von Straftaten dÃ¼rfen personenbezogene Daten von BeschÃ¤ftigten ebenfalls unter bestimmten Voraussetzungen verarbeitet werden. Ob dies â€“ wie bislang fÃ¼r den insoweit inhaltsgleichen Â§ 32 Abs. 1 S. 2 BDSG vom BAG angenommen (vgl. BAG v. 27.7.2017 â€“ 2 AZR 681/16, NZA 2017, 1327 [1330]) und auch von der DSGVO gedeckt (vgl. etwa Art. 6 Abs. 1 lit. c u. f DSGVO) â€“ fÃ¼r die Aufdeckung von Pflichtverletzungen unterhalb der Schwelle der Strafbarkeit ebenfalls gilt, bleibt abzuwarten. FÃ¼hrt man sich vor Augen, dass Art. 88 Abs. 1 DSGVO den Mitgliedstaaten â€žlediglichâ€œ das Recht einrÃ¤umt, spezifischere Vorschriften vorzusehen (â€žmore specific rulesâ€œ), wÃ¤re eine andere, wortlautgetreue Auslegung des Â§ 26 Abs. 1 BDSG n.F. aber wohl europarechtswidrig.
Nach Â§ 26 Abs. 2 BDSG n.F. ist die Verarbeitung personenbezogener Daten von BeschÃ¤ftigten ferner auch weiterhin auf der Grundlage einer Einwilligung zulÃ¤ssig. Wie der Gesetzgeber nunmehr hervorgehoben hat, sind fÃ¼r die Beurteilung der Freiwilligkeit der Einwilligung im BeschÃ¤ftigungsverhÃ¤ltnis aber die bestehende AbhÃ¤ngigkeit der beschÃ¤ftigten Person sowie die UmstÃ¤nde, unter denen die Einwilligung erteilt worden ist, zu berÃ¼cksichtigen. Freiwilligkeit kann danach insbesondere vorliegen, wenn fÃ¼r die beschÃ¤ftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschÃ¤ftigte Person gleichgelagerte Interessen verfolgen. Da weitere Klarstellungen fehlen, wird die Frage der Freiwilligkeit aber auch in Zukunft zu Diskussionen fÃ¼hren und ist fÃ¼r die Verarbeitung personenbezogener Daten mit Vorsicht zu genieÃŸen.
SchlieÃŸlich kÃ¶nnen personenbezogene Daten auch nach der neuen Rechtslage auf der Grundlage von Betriebsvereinbarungen verarbeitet werden (Â§ 26 Abs. 4 BDSG n.F.). Dabei mÃ¼ssen indes angemessene und besondere MaÃŸnahmen zur Wahrung der menschlichen WÃ¼rde, der berechtigten Interessen und der Grundrechte der betroffenen Personen, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Ãœbermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame WirtschaftstÃ¤tigkeit ausÃ¼ben, und die Ãœberwachungssysteme am Arbeitsplatz vorgesehen werden (vgl. auch Art. 88 Abs. 2 DSGVO). Hierbei handelt es sich nicht etwa um einen bloÃŸen Programmsatz. Vielmehr sind sÃ¤mtliche â€“ auch bereits abgeschlossene â€“ Betriebsvereinbarungen dahingehend zu Ã¼berprÃ¼fen, ob sie den Anforderungen der DSGVO und des BDSG genÃ¼gen (vgl. etwa die Checkliste bei Imping, CR 2017, 379 [384]).
Die Menge der in einem Unternehmen tagtÃ¤glich verarbeiteten personenbezogenen Daten einerseits und die Reichweite der Verpflichtungen nach dem neuen Datenschutzrecht andererseits machen deutlich, dass ein vollumfÃ¤nglich datenschutzkonformes Verhalten fÃ¼r Unternehmen und deren Organe kÃ¼nftig mit erheblichen Anstrengungen verbunden ist. Umso wichtiger ist es, entsprechende Compliance-Strukturen im Unternehmen zu schaffen, welche eine bestmÃ¶gliche Einhaltung der Datenschutzvorschriften gewÃ¤hrleisten. Dies beinhaltet vor allem zunÃ¤chst die Erstellung eines Verzeichnisses mit den im Unternehmen verarbeiteten personenbezogenen Daten, die Erarbeitung eines MaÃŸnahmenkataloges sowie die klare Festlegung von Verantwortlichkeiten. Wichtig sind zudem in der Folge regelmÃ¤ÃŸige Audits zur ÃœberprÃ¼fung, inwieweit das Unternehmen noch den gesetzlichen, datenschutzrechtlichen Anforderungen entspricht. Schlussendlich verantwortlich sind und bleiben hierfÃ¼r stets die VorstÃ¤nde und GeschÃ¤ftsfÃ¼hrer von Unternehmen, auch wenn die Aufgaben delegiert werden kÃ¶nnen.
Verlag Dr. Otto-Schmidt vom 02.05.2018 10:36

References: Art. 5
 Art. 13
 Art. 6
 Art. 88
 Art. 9
 Art. 6
 Art. 88
 Art. 88