Source: https://scharf-und-wolter.de/blog/page/7/
Timestamp: 2019-08-21 08:17:02+00:00

Document:
Blog – Rechtstipps für Sie – Scharf & Wolter Blog – Rechtstipps für Sie – Seite 7 – Scharf & Wolter
Das neue Datenschutzrecht und die Auswirkungen für Arbeitgeber Teil 3: Datenschutz – Die Nachweispflichten des Arbeitgebers
Neben den neuen weitreichenderen Informationspflichten ergeben sich für den Arbeitgeber künftig auch umfassende Nachweispflichten. Als große Erneuerung ist in Art. 5 DSGVO die Rechenschaftspflicht geregelt. Der Arbeitgeber muss jetzt nicht nur die Sicherheit der Verarbeitung von personenbezogenen Daten gewährleisten, sondern ist darüber hinaus verpflichtet, Nachweise darüber zu erbringen. Er ist bezüglich der Einhaltung der Grundsätze der DSGVO Gerichten und Aufsichtsbehörden gegenüber beweisverpflichtet.
Daher ist es zwingend notwendig, dass Mitarbeiter über die Einhaltung der Datenschutzvorschriften geschult werden sowie das Unternehmen zuverlässige Datenschutz-Managementsysteme inklusive Risikoanalysen, Prozessen und Kontrollen einführen.
Nach Art. 30 DSGVO sind künftig alle Verantwortlichen verpflichtet, ein Verzeichnis über Verarbeitungstätigkeiten zu führen. Eine Freistellung der Verpflichtung für Unternehmen und Einrichtungen kann bei weniger als 250 Mitarbeitern beantragt werden aber auch nur dann, wenn die Verarbeitung von personenbezogenen Daten gelegentlich erfolgt und keine besonderen Datenkategorien wie Gesundheits- oder Religionsdaten verarbeitet werden.
Jedes Unternehmen, das also für seine Beschäftigten Lohnsteuererklärungen zur Abführung von Kirchensteuer oder Gesundheitsdaten zur Feststellung von Krankheitstagen hält, ist nicht befreit.
Zusätzlicher Datenschutzbeauftragter
Das Thema des Datenschutzbeauftragten wird in Art. 37 DSGVO,. § 38 BDSG-neu geregelt. Danach benötigen Unternehmen, die mehr als 10 Mitarbeiter mit der Verarbeitung von Daten beschäftigen, einen Datenschutzbeauftragten, der intern oder extern ernannt wird. Unabhängig von der Mitarbeiterzahl benötigen Unternehmen grundsätzlich einen Datenschutzbeauftragten, deren Kerntätigkeit die Verarbeitung von personenbezogenen Daten ist. Hier sind bspw. Werbeagenturen und Optiker zu nennen.
Dem Datenschutzbeauftragten kommen nach Art. 39 DSGVO neue Überwachungsplichten zu. Nach der alten Rechtslage sollte der Datenschutzbeauftrage nur auf die Einhaltung der Datenschutzvorschriften hinwirken, während er jetzt die Einhaltung und Durchführung überwachen muss.
Der Datenschutzbeauftragte sollte vom Verantwortlichen auch weiterhin schriftlich ernannt werden. Qualifikationen und Erfahrungen mit dem Umgang gesetzlicher Datenschutzvorschriften sollten für die Benennung eine ausschlaggebende Rolle spielen, wobei Datenschutzbeauftragten auch nach der Ernennung die Möglichkeit gegeben werden muss, an Schulungen und Weiterbildungen teilzunehmen.
Der Datenschutzbeauftragte ist verantwortlich für die Einhaltung und Überwachung der Datenschutzvorschriften. Darüber hinaus ist er Berater für den Verantwortlichen hinsichtlich der Datenschutz-Folgenabschätzung. Er arbeitet mit den Aufsichtsbehörden zusammen und ist auch Ansprechpartner für diese (Art. 37 DSGVO, § 38 BDSG-neu).
Ganz wichtig ist, dass der Datenschutzbeauftrage gemäß § 38 Abs. 2 BDSG-neu in Verbindung mit § 6 Abs. 4 BDSG-neu (§ 4f Abs. 3 BDSG-alt) nur gekündigt werden kann, wenn ein Grund für eine fristlose Kündigung gegeben ist (§ 626 BGB). Das bedeutet Sie sollten sich vorab gut überlegen, wen Sie zum Datenschutzbeauftragen ernennen, da Sie sich nach seiner Ernennung nur noch unter erschwerten Bedingungen von ihm trennen können.
Das neue Datenschutzrecht und die Auswirkungen für Arbeitgeber Teil 4: Der Umgang mit Mitarbeiterdaten nach Beendigung des Arbeitsverhältnisses
Wurde ein Arbeitsverhältnis beendet, stellt sich für viele Arbeitgeber die Frage, wie mit den Daten des Arbeitnehmers umzugehen ist. Diesbezüglich gibt es erhebliche Neuerungen, auf die Arbeitgeber in Zukunft achten müssen.
Löschungspflicht und Recht auf Vergessenwerden, Art. 17 DSGVO
Zukünftig sieht Art. 17 DSGVO, anders als bislang § 35 BDSG, mit dem neuen Recht auf Vergessenwerden umfassendere Löschpflichten des Arbeitgebers vor. Die Löschpflichten konkretisieren den Grundsatz der Speicherbegrenzung, wonach Daten nur verarbeitet werden dürfen, solange dies für den verfolgten Zweck erforderlich ist. Liegt einer der in Art. 17 Abs. 1 DSGVO genannten Löschgründe vor, so muss der Arbeitgeber die davon betroffenen personenbezogenen Daten unverzüglich löschen und alle Empfänger von diesen Daten über die Löschung informieren.
Löschgründe sind z.B. Erledigung des Zwecks, Widerruf einer Einwilligung, unrechtmäßige Verarbeitung oder eine rechtliche Verpflichtung zum Löschen.
Tipp: Um sicherzustellen, dass Daten nicht länger als nötig gespeichert werden, sollten Arbeitgeber regelmäßig prüfen, ob ein Löschungsgrund vorliegt.
Hat der Arbeitgeber die personenbezogenen Daten sogar öffentlich gemacht, so muss er zusätzlich angemessene, auch technische, Maßnahmen ergreifen, um die Adressaten über den Löschungswunsch zu informieren. Damit haben Betroffene zukünftig das Recht, Informationen leichter wieder löschen zu lassen, wie z.B. Links zu den betroffenen Daten, Kopien und Replikationen.
Bsp.: Hinsichtlich der Daten und Fotos im Mitarbeiterprofil ist davon auszugehen, dass diese selbstständig von dem Arbeitgeber unverzüglich zu löschen sind. Ein Tätigwerden entspricht nicht nur dem Interesse des ehemalig Beschäftigten, sondern auch des Unternehmens, um Missverständnisse, wer wo für wen arbeitet, zu vermeiden.
Zudem kann nach Beendigung des Arbeitsverhältnisses davon ausgegangen werden, dass der Arbeitnehmer seine Einwilligung bezüglich der weiteren Veröffentlichung von Daten, bspw. von Profilbildern auf der Homepage, widerruft. Ausgeschlossen werden kann die Befugnis zum Widerruf in Ausnahmefällen, wenn bspw. die Veröffentlichung von Fotos als solche Teile des Arbeitsvertrages sind, z.B. bei Models oder Schauspielern.
Keine sofortige Löschung des E-Mail-Accounts
Beim Ausscheiden des früheren Mitarbeiters stellt sich häufig die Frage, ob der Arbeitgeber den E-Mail-Account seines früheren Mitarbeiters ohne weiteres löschen darf. Wurde vom Arbeitgeber auch die private Nutzung des E-Mail-Postfachs gestattet, so vertritt die Rechtsprechung hierzu die Ansicht, dass von einer Löschung des E-Mail-Accounts solange Abstand genommen werden sollte, bis hinreichend geklärt ist, ob der Arbeitnehmer an einer Nutzung der Datenbestände seines Accounts kein Interesse mehr hat. Löscht der Arbeitgeber umgehend nach Beendigung des Arbeitsverhältnisses das E-Mail-Postfach des Arbeitnehmers, ohne dass feststeht, dass dieser für die auf dem Account abgelegten Daten keine Verwendung mehr hat, macht er sich diesem gegenüber schadensersatzpflichtig.
Wurde die private Nutzung des E-Mail-Postfachs hingegen ausgeschlossen, so darf der Arbeitgeber alle dienstlichen sowie auch (unbefugten) privaten E-Mails löschen, da der Arbeitnehmer dem Arbeitgeber bei Beendigung des Arbeitsverhältnisses alles herauszugeben hat, was er im Rahmen des Beschäftigungsverhältnisses erlangt hat.
Auch neu ist das Recht auf Datenübertragbarkeit, das jetzt in Art. 20 DSGVO geregelt ist. Das neue Recht gibt Betroffenen die Möglichkeit, ihre Daten zu einem anderen Arbeitgeber „mitnehmen“ zu können. Arbeitgeber müssen Datensätze deswegen portabel gestalten können. Die Datenportabilität begründet darüber hinaus den Anspruch betroffener Personen auf eine Kopie verarbeiteter Daten. Die Übergabe muss in einem gängigen, strukturierten und maschinenlesbaren Format erfolgen. Für die Praxis wird die Umsetzung dieser Regelung aufwändig und auch teuer werden.

References: Art. 5
 Art. 30
 Art. 37
 § 38
 Art. 39
 § 38
 § 38
 § 6
 Art. 17
 Art. 17
 § 35
 Art. 17
 Art. 20