Source: https://www.lohn-ag.de/blog/2018/04/fit-fuer-die-neue-dsgvo.html
Timestamp: 2019-03-20 22:25:06+00:00

Document:
Fit für die neue DS-GVO – Teil 3: Informationspflichten – lohn-ag.de AG
Kennen Sie Ihre Informations- und Auskunftspflichten im Rahmen der neuen Datenschutzgrundverordnung schon?
Die neue Datenschutzgrundverordnung (DS-GVO) tritt mit Wirkung zum 25.05.2018 in Kraft. Umfangreiche Vorschriften und daraus resultierende Maßnahmen auch für Ihr Unternehmen sind damit verbunden. Wieweit ist bei Ihnen die Umsetzung der Vorschriften zur DS-GVO? Haben Sie bereits alle wichtigen und relevanten Maßnahmen getroffen und umgesetzt? Viele Kunden und Entscheider mit denen ich spreche, haben noch Informationslücken und wissen noch nicht genau, worauf Sie zu achten haben. Wir wollen an dieser Stelle keine Rechtsberatung durchführen, sondern Ihnen auf Basis meiner Erfahrungen einige Hilfen an die Hand geben. Im Einzelfall empfehle ich Ihnen eine individuelle Rechtsberatung.
Was haben wir bisher im Rahmen unserer Newsletter besprochen?
Zum einen haben wir Ihnen am Beispiel des Bewerberprozesses aufgezeigt, worauf künftig zu achten ist und in welcher Form die Anforderungen der DS-GVO Einfluss auf diesen Vorgang hat. Hiermit wollten wir Sie für das Thema DS-GVO sensibilisieren. Darüber hinaus haben wir Ihnen mögliche erste Schritte zur Umsetzung der DS-GVO aufgezeigt. Haben Sie den kleinen Online-Test des Bayrische Landesamtes für Datenschutzaufsicht gemacht? Wenn Sie am Ende auf die von Ihnen angegebene Lösung geklickt haben, konnten Sie schnell erkennen, ob Sie bzw. Ihr Unternehmen hinsichtlich der DS-GVO bereits gut aufgestellt sind und wo noch Lücken sind. Im Wesentlichen haben wir über die internen Abläufe und Aufgaben geschrieben.
Welche Informationspflichten gibt es und wie kann ich mich vorbereiten?
Ein wichtiges Ziel der DS-GVO ist die Stärkung der Betroffenenrechte. Um dieses Ziel zu erreichen, werden den Unternehmen mehr Informations- und Auskunftspflichten auferlegt als bisher. Die Betroffenen sollen in die Lage versetzt werden, zu wissen wer was wann und weshalb über sie weiß.
Die DS-GVO regelt diese Informationspflichten sehr ausführlich in den Art. 13 und 14. Hierbei regelt der Art. 13 die Informationspflichten bei der Erhebung personenbezogener Daten direkt bei dem Betroffenen. Der Art. 14 DS-GVO regelt die Informationspflichten, wenn die Erhebung nicht direkt bei dem Betroffenen erfolgt.
Welche Informationspflichten regelt der Art.13 DS-GVO?
Wenn Sie beim Betroffenen (z.B. Ihren Kunden, Mitarbeitern) Daten erheben, müssen Sie um eine faire und transparente Verarbeitung zu gewährleisten als Verantwortlicher im Sinne des DS-GVO folgende Informationen bekannt geben:
wenn die Verarbeitung auf Art. 6 Abs. 1 f beruht: das berechtigte Interesse des Verantwortlichen zur Datenerhebung,
Absicht der Übermittlung in ein Drittland (nicht-EU Land)/internationale Organisation sowie das Vorhandensein oder Fehlen eines Angemessenheitsbeschlusses der Kommission,
Wenn Sie nicht direkt beim Betroffenen die Daten erheben, so bestehen nach Art. 14 DS-GVO fast dieselben Informationspflichten. Abweichend zu den vorgenannten Punkten müssen Sie zusätzlich über folgendes Informieren:
Stellen Sie die Informationen so dar, das auch ein Kind sie verstehen könnte. Also leicht zugänglich, verständlich, transparent und präzise (Art. 12 DS-GVO).
Dabei können sie schriftlich oder in elektronischer Form an den Betroffenen übermittelt werden. Hierzu können auch sog. standardisierte Bildsymbolen verwendet werden, um in leicht wahrnehmbarer, verständlicher und klar nachvollziehbarer Form einen aussagekräftigen Überblick über die beabsichtigte Verarbeitung zu vermitteln.
Bei direkter Erhebung der Daten muss der Betroffene sofort informiert werden (Art. 13 Abs. 1).
Werden die Daten nicht direkt beim Betroffenen erhoben, muss Sie die Informationen nach Art. 14 Abs. 3 DS-GVO grundsätzlich innerhalb einer angemessenen Frist, spätestens jedoch nach einem Monat erteilen. Ausnahme: Die Daten werden zur Kommunikation mit dem Betroffenen verwendet oder sollen an einen Empfänger übermittelt werden. Dann ist die Information zwingend zum Zeitpunkt der Kontaktaufnahme oder ersten Übermittlung vorzunehmen.
Soweit die Daten nicht beim Betroffenen erhoben werden, sind die Informationspflichten gemäß Art. 14 Abs. 5 DS-GVO in drei weiteren Fällen entbehrlich:
Wie soll diese Menge an Informationen bei einer Videoüberwachung zur Verfügung gestellt werden? Aktuell muss davon ausgegangen werden, dass Videokameras mit entsprechenden Aushängen zu versehen sind. Im Zusammenhang mit dem Sonderfall Videoüberwachung kann künftig wohl von folgenden Pflichtangaben ausgegangen werden, die sich gegenüber dem Gesetzeswortlaut leicht reduziert darstellen:
Kenntlichmachung des Umstands der Beobachtung (bspw. durch ein Kamera-Piktogramm)
Die „berechtigten Interessen“ im Sinne der DSGVO, sofern zutreffend
Somit können Sie wohl auf Teile der verlangten Pflichtinformationen an Ort und Stelle verzichten und auf diese z.B. mithilfe eines Links auf eine Website (oder zusätzlich auch durch einen QR-Code) verweisen. Hier sollten Sie dann die Pflichtinformationen wie oben beschrieben veröffentlichen. Die Gesellschaft für Datenschutz und Datensicherheit e.V., die üblicherweise sehr gute und sehr korrekte Informationen veröffentlichen, haben zu diesem Thema eine andere Feststellung getroffen. Meine Hinweise basieren auf der Stellungnahme der Aufsichtsbehörden aus Februar 2018. Die Landesbeauftragte für den Datenschutz Niedersachsen hat eine entsprechende Mustervorlage hier veröffentlicht. Sie sehen, nicht alle Punkte sind bereits fest definiert. Fast täglich werden neue Informationen veröffentlicht. Ich empfehle Ihnen daher im Zweifel lieber etwas mehr als zu wenig zu informieren. Die vorgenannte Gesellschaft stellt in ihrer Praxishilfe auch ein Muster für die Informationspflicht nach Art 13, 14 DS-GVO bereit und nimmt zu besonderen Verarbeitungssituationen Stellung, z.B. Ladenlokal, Telefonische Bestellung, Automatenkauf, Bewerberdaten.
Welche Informationspflichten neben den bisher genannten aus Art 13, 14 DS-GVO müssen Sie noch beachten?
Bereits unter dem Absatz Informationspflichten nach Art 13 DS-GVO weiter oben habe ich die wichtigsten Betroffenenrechte genannt. Diese ziehen wiederum Informationspflichten nach sich:
Unterrichtung bei Berichtigung, Löschung oder Einschränkung der Verarbeitung von personenbezogenen Daten nach Art 19, 2 DS-GVO,
Hinweis auf das Widerspruchsrecht nach Art. 21 Abs. 4 DSGVO
Recht auf Datenübertragbarkeit nach Art 20 DS-GVO
Zurverfügungstellung der getroffenen Vereinbarung zwischen Gemeinsam für die Verarbeitung Verantwortliche nach Art. 26 Abs. 2,2 DS-GVO, sofern beide den Zweck und die Mittel zur Verarbeitung festlegen
Benachrichtigung der betroffenen Person über eine Verletzung des Schutzes der personenbezogenen Daten (Art. 34 DS-GVO)
Was bedeutet das Auskunftsrecht nach Art. 15 DS-GVO?
Beschäftigt sich Art. 13 und 14 DS-GVO mit der Information über „wer erhebt wann wozu Daten über mich“, so wird dem Betroffenen in Art. 15 das Recht gegeben, zu erfahren welche Daten gespeichert werden. Diese Auskunft ist dem Betroffenen auf Verlangen unverzüglich, bzw. spätestens innerhalb eines Monats mit folgenden Angaben zu erteilen:
Kategorien personenbezogener Daten, die verarbeitet werden (mit Gruppenbezeichnungen wie Personalstammdaten, Steuerdaten, Sozialversicherungsdaten, Bonitätsdaten usw.),
Information über das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung,
wenn Übermittlung an Drittland/internationale Organisation, dann Unterrichtung über die geeigneten Garantien gemäß Art. 46 DS-GVO
Wie sieht bei der Auskunftserteilung nach Art.15 DS-GVO die Form der Auskunftserteilung aus?
Hier können Sie je nach Sachverhalt schriftlich, elektronisch oder mündlich die Auskunft erteilen. Zum Zweck des Nachweises, dass Sie die Auskunft erteilt haben, ist es ratsam, eine Kopie der personenbezogenen Daten (Art. 15 Abs. 3) zur Verfügung zu stellen. Wichtig ist, dass Sie als Verantwortlicher sicherstellen, dass die Auskunft nur der betroffenen Person oder einer von ihr bevollmächtigten Person erteilt wird und die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden.
Wie kann ich mich hinsichtlich der Informations- und Auskunftsrechte vorbereiten?
Sie sehen also, das Thema DS-GVO ist umfangreich und hat so einiges an Aufgaben für uns alle. Ich empfehle Ihnen, bereiten Sie eine Auskunft nach Art. 13 vor und veröffentlichen diese auf Ihrer Homepage und in Ihrem Intranet oder am Schwarzen Brett, sodass Bewerber und Mitarbeiter die Auskunft zur Verfügung haben. Derzeit kann vermutet werden, dass es „Verstoßjäger“ geben wird, die gezielt nach Verstößen gegen das DS-GVO suchen werden, um hier Klage oder Abmahnungen zu erheben. Bereiten Sie auch eine Auskunft nach Art. 15 als Muster vor für jeweils Mitarbeiter, Bewerber, Kunden, Lieferanten. So können Sie bei Anfragen schnell reagieren.
Wir werden die Information nach Art. 13 in unserem Personalverwaltungssystem zeit-lohn.net hinterlegen und auch einen Report für die Auskunft nach Art. 15 bereitstellen. So können unsere Kunden zumindest über ihre Beschäftigtendaten und Bewerberdaten (sofern diese in unserem System sind) schnell, einfach und umfänglich Auskunft geben. Wir wollen, dass unsere Kunden durch zeit-lohn.net zusätzliche Rechtssicherheit erlangen, die Qualität steigern und die Arbeitgebermarke stärken.
: DSGVODatenschutzgrundverordnungInformations- und Auskunftspflichten

References: Art. 13
 Art. 13
 Art. 14
 Art.13
 Art. 6
 Art. 14
 Art. 14
 Art. 14
 Art. 21
 Art. 26
 Art. 15
 Art. 13
 Art. 15
 Art. 46
 Art.15
 Art. 13
 Art. 15
 Art. 13
 Art. 15