Source: https://www.betriebsratsberater-berlin.de/aktuelles/datenschutz-grundverordnung.html
Timestamp: 2018-06-22 11:30:50
Document Index: 387051451

Matched Legal Cases: ['Art. 21', 'Art. 20', 'Art. 17', '§ 4', 'Art. 36', 'Art. 5', 'Art. 25', 'Art. 25', '§ 4', 'Art. 6']

Betriebsratsberater-Berlin.de >> Aktuelles >> Datenschutz-Grundverordnung
25. Mai 2018: In knapp einem Jahr ist die Datenschutz-Grundverordnung anwendbar, sechs Jahre nachdem das europäische Gesetzgebungsverfahren begann. Die Datenschutz-Grundverordnung löst die zuvor geltende Richtlinie der EU zum Datenschutz aus dem Jahr 1995 ab. Ziel ist die Vereinheitlichung, Modernisierung und Stärkung des Datenschutzes, zugleich aber auch die Entlastung von Unternehmern.
Gleichzeitig mit der Datenschutz-Grundverordnung tritt das neue Bundesdatenschutzgesetz in Kraft, um deutsches Recht anzupassen und das bisherige Bundesdatenschutzgesetz zu ersetzen. Nach dem Bundestag hat dem neuen Bundesdatenschutzgesetz am 12. Mai 2017 auch der Bundesrat zugestimmt. Der Gesetzentwurf ist hier abrufbar. Knapp ein Jahr haben Betriebsräte nun Zeit, sich mit ihren Unternehmen und mit Hilfe ihrer Berater auf die neuen Regelungen einzustellen. Das ist gar nicht so viel Zeit, in Anbetracht des Umfangs der Datenschutz-Grundverordnung mit ihren 99 Artikeln und 173 Erwägungsgründen und des neuen BDSG mit seinen 85 Paragrafen, wobei immerhin rund die Hälfte der Paragrafen des BDSG im Betrieb keine direkte Rolle spielen, weil sie Ordnungs- und Strafverfolgungsbehörden betreffen. Auch in der Datenschutz-Grundverordnung sind nicht alle Artikel gleichermaßen relevant für den Datenschutz im Betrieb. Hinzu kommt aber, dass die Datenschutz-Grundverordnung und das BDSG nebeneinander gelten, länglich formuliert und selbst für Juristen nicht einfach zu verstehen sind. Folgende Fragen stellen sich:
- Was müssen Betriebsräte jetzt tun?
- Was für Auswirkungen hat die Datenschutz-Grundverordnung für bestehende Betriebsvereinbarungen?
- Und was sind nun eigentlich die wichtigsten Änderungen?
1. Was müssen Betriebsräte jetzt tun und was bedeutet die Datenschutz-Grundverordnung für bestehende Betriebsvereinbarungen?
Betriebsräte sollten sich zunächst zeitnah zur Datenschutz-Grundverordnung qualifizieren, da sich die Datenschutzlandschaft tiefgreifend verändert und Datenschutz-Grundverordnung und neues BDSG komplex sind. Zur Qualifizierung sollten sie deshalb auch für ein entsprechendes Seminar Zeit einplanen. Noch sind auch die Beteiligten auf der Arbeitgeberseite nicht umfassend mit Datenschutz-Grundverordnung und neuem BDSG vertraut, so dass sich die Chance bietet, einen Wissensvorsprung zu erlangen oder von Anfang an auf Augenhöhe zu verhandeln. Für das Seminar muss der Arbeitgeber die Betriebsratsmitglieder in der Regel auch bezahlt freistellen und die Kosten übernehmen.
Betriebsräte sollten sich jetzt im neuen Datenschutzrecht schulen und ihre Datenschutz-Betriebsvereinbarungen zeitnah überprüfen lassen.
Wenn Betriebsräte sichergehen wollen, dass ihr Betrieb ab dem 25. Mai 2018 im Einklang mit der neuen Rechtslage handelt, müssen Betriebsräte zudem ihre Betriebsvereinbarungen zum Datenschutz einer Prüfung unterziehen. Nur so lassen sich die Bußgeld- und Compliance-Risiken so weit wie möglich vermeiden. Die Prüfung bezieht sich darauf, ob die Betriebsvereinbarungen den generellen Anforderungen der Datenschutz-Grundverordnung sowie ihren spezifischen Anforderungen zum Beschäftigtendatenschutz Rechnung tragen. Hierfür bieten die im Folgenden dargestellten Änderungen und Handlungsempfehlungen erste Ansatzpunkte. Anwaltlicher Rat wird bei der Überprüfung der Betriebsvereinbarungen regelmäßig erforderlich sein, zumal es zur Datenschutz-Grundverordnung direkt noch keine Rechtsprechung gibt, auf die man sich stützen könnte.
Den neuen Anforderungen werden bestehende Betriebsvereinbarungen angesichts der Neuerungen häufig noch nicht vollständig entsprechen, auch wenn man aufgrund der im Wesentlichen gleichbleibenden Strukturgrundsätze sicher große Teile übernehmen können wird.
In Panik müssen Betriebsräte bei der Prüfung zwar nicht verfallen: Bis zum Wirksamwerden der Datenschutz-Grundverordnung ist noch nahezu ein Jahr Zeit. Aber die Verhandlung von Datenschutz-Betriebsvereinbarungen nimmt nicht unerheblich Zeit in Anspruch. Es ist mit Blick auf die Höhe möglicher Bußgelder deshalb dringend ratsam, die Verhandlungen frühzeitig, d.h. am besten schon jetzt oder spätestens nach der Sommerpause, zu beginnen.
a) Rechte des Arbeitnehmers
Bei den Rechten des Arbeitnehmers/Betroffenen gibt es erwähnenswerte Neuerungen durch die Datenschutz-Grundverordnung:
Zudem muss der Arbeitgeber neuerdings über die Absicht informieren, die Daten an ein Drittland, z.B. an ein amerikanisches Unternehmen, zu übermitteln, sowie darlegen, warum dies zulässig ist. Schließlich muss er auch über die weiteren Rechte auf Auskunft, Berichtigung, Löschung/Vergessenwerden, Einschränkung der Verarbeitung, Widerspruch aus besonderen Gründen (z.B. bei Profiling), Datenübertragbarkeit sowie das Beschwerderecht bei der Aufsichtsbehörde informieren.
Neue Rechte stellen unter dieser Aufzählung das Widerspruchsrecht (Art. 21 DSGVO), das Recht auf Datenübertragbarkeit (z.B. bei Wechsel des Arbeitgebers oder außerhalb des Arbeitsrechts eines sozialen Netzwerks oder Dienstleisters, Art. 20 DSGVO) und das Recht auf Vergessenwerden/Löschung (Art. 17 DSGVO) dar.
b) Datenschutz-Folgenabschätzung
Bisher bestand eine generelle Meldepflicht von automatisierter Verarbeitungen personenbezogener Daten, wenn mehr als 9 Beschäftigte mit der Verarbeitung betraut waren und kein betrieblicher Datenschutzbeauftragter bestellt war (§ 4d Abs. 1 bis 4 BDSG). Diese Meldepflicht findet nun nicht mehr generell Anwendung, sondern nur noch, wenn die Datenschutz-Folgenabschätzung ein hohes Risiko für personenbezogene Daten ergibt (Art. 36 DSGVO).
d) Nachweispflicht
Der verantwortliche Arbeitgeber muss nachweisen können, dass er die Datenschutz-Grundverordnung einhält (Art. 5 Abs. 2, Art. 25 DSGVO). Die Einhaltung selbst erfolgt mittels geeigneter technischer und organisatorischer Maßnahmen.
Betriebsräte sollten darauf achten, dass der Arbeitgeber ab dem 25.05.2018 einen Nachweis über die Einhaltung der Datenschutz-Grundverordnung vorweisen kann.
e) Datenschutz durch Technikgestaltung und datenschutzfreundliche Grundeinstellungen
Zudem ist der Arbeitgeber zum Datenschutz durch datenschutzfreundliche Voreinstellungen verpflichtet („privacy by default“, (Art. 25 Abs. 2 DSGVO). Er muss Maßnahmen implementieren, die sicherstellen, dass durch Programmvoreinstellung nur personenbezogene Daten verarbeitet werden, deren Verarbeitung für den jeweiligen Zweck erforderlich sind. Diese Maßnahmen beziehen sich auf die Menge der Informationen, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit.
f) Minimalregelung zum Beschäftigtendatenschutz mit Regelungsauftrag
g) Drastische Erhöhung der Bußgelder
h) Was ist gleich geblieben?
Wesentliche Grundsätze des Datenschutzes enthält die Verordnung aber auch weiterhin, zum Teil aber begrifflich etwas anders und genauer gefasst. So ist weiterhin eine gesetzliche Erlaubnis oder Einwilligung (oder im Arbeitsrecht ein Tarifvertrag oder eine Betriebsvereinbarung) Voraussetzung für die Verarbeitung personenbezogener Daten (§ 4 BDSG /Art. 6 DSGVO).
Personenbezogene Daten dürfen nur für legitime Zwecke erhoben werden und nur dann, soweit und solange dies für den Zweck notwendig ist. Sie müssen sachlich richtig sein. Daten müssen zudem sicher sein, wofür entsprechende technische und organisatorische Maßnahmen zu ergreifen sind.
Dies waren die wichtigsten Änderungen der Rechtslage ab dem 25. Mai 2018 im Überblick.
Wenn ihr oder Sie, geschätzte Betriebsratsmitglieder, bei Schulung, Prüfung oder Verhandlung Unterstützung benötigt oder benötigen, stehen wir natürlich gerne zur Verfügung.