Source: http://docplayer.org/70422394-Was-ist-neu-was-ist-wichtig-und-was-ist-zu-tun-fuer-betriebs-und-personalraete.html
Timestamp: 2018-12-10 09:52:37
Document Index: 150207080

Matched Legal Cases: ['Art. 88', 'Art. 1', 'Art. 5', 'Art. 5', 'Art. 5', 'Art. 5', 'Art. 24', 'Art. 12', 'Art. 24', 'Art. 25', 'Art. 26', 'Art. 32', 'Art. 35', 'Art. 35', 'Art. 46', 'Art. 88']

Was ist neu, was ist wichtig und was ist zu tun für Betriebs- und Personalräte? - PDF
Download "Was ist neu, was ist wichtig und was ist zu tun für Betriebs- und Personalräte?"
1 Die Europäische Datenschutzgrundverordnung EU-DSGVO Was ist neu, was ist wichtig und was ist zu tun für Betriebs- und Personalräte? Peter Herholtz,
2 Es ist kaum etwas neu, substanziell ist alles beim alten Neu ist vor allem die Höhe möglicher Bußgelder einige mögliche Antworten Für den Beschäftigten- Datenschutz gibt es eher Aufweichungen ( Art. 88) Eine Reihe von Ergänzungen und Präzisierungen Neu ist vor allem die Rechenschafts- (Nachweis-) pflicht Für Betriebs- und Personalräte gibt es nichts zu tun Es geht darum heutige Standards in BVen gegen Anfechtungen zu verteidigen Die DSGVO gibt Anlaß die eigene Datennutzung und bestehende BVen zu überprüfen und gibt 80 BetrVG größeres Gewicht 2
3 Aus meiner Sicht: Was ist neu, was ist wichtig?! in Frage kommende Kapitel und Abschnitte der DSGVO: Kapitel Kapitel I (Art. 1 4) Allgemeine Bestimmungen II (Art. 5 11) Grundsätze Kapitel III (Art ) Rechte der betroffenen Person Kapitel IV (Art ) Verantwortlicher und Auftragsverarbeiter Kapitel Kapitel V (Art ) Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen VI (Art ) Unabhängige Aufsichtsbehörden Kapitel VII (Art ) Zusammenarbeit und Kohärenz Kapitel VIII (Art ) Rechtsbehelfe, Haftung und Sanktionen Kapitel Kapitel IX (Art ) Vorschriften für besondere Verarbeitungssituationen X (Art ) Delegierte Rechtsakte und Durchführungsrechtsakte Kapitel XI (Art ) Schlussbestimmungen 3
4 Kapitel II, Art. 5 - Die Grundsätze für die Verarbeitung personenbezogener Daten (1) Personenbezogene Daten müssen a. auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden ( Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz ); b. für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, gilt nicht als unvereinbar mit den ursprünglichen Zwecken ( Zweckbindung ); c. dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ( Datenminimierung ); 4
5 Kapitel II, Art. 5 -Forts.- ( müssen) e. sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden ( Richtigkeit ); f. in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; (Ausnahme für Archivzwecke ) ( Speicherbegrenzung ); g. in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, ( Integrität und Vertraulichkeit ); 5
6 Kapitel II, Art. 5 Grundsätze Abs.(2) (2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können ( Rechenschaftspflicht ). das wird konkretisiert in Art. 24 Verantwortung des für die Verarbeitung Verantwortlichen 6
7 Formulierungen im Vergleich: DSGVO: (Personenbezogene Daten müssen ) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; BDSG alt: 14 Datenspeicherung, -veränderung und -nutzung (1) Das Speichern, Verändern oder Nutzen personenbezogener Daten ist zulässig, wenn es zur Erfüllung der in der Zuständigkeit der verantwortlichen Stelle liegenden Aufgaben erforderlich ist und es für die Zwecke erfolgt, für die die Daten erhoben worden sind. Ist keine Erhebung vorausgegangen, dürfen die Daten nur für die Zwecke geändert oder genutzt werden, für die sie gespeichert worden sind.
8 Formulierungen im Vergleich -2- DSGVO: (Personenbezogene Daten müssen ) c. dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein ( Datenminimierung ); BDSG alt: 3a Datenvermeidung und Datensparsamkeit Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen sind an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere sind personenbezogene Daten zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zu dem angestrebten Schutzzweck unverhältnismäßigen Aufwand erfordert. 8
9 Alle Grundsätze gelten -natürlich- auch, wenn der Arbeitgeber dem Betriebsrat Beschäftigtendaten zugänglich macht! Das war bisher allerdings nicht anders! Um der Nachweispflicht des Verantwortlichen (also: des Arbeitgebers) zu genügen, müssen die Grundsätze und Regeln der DSGVO auch für die Nutzung und Verarbeitung von Beschäftigtendaten durch den Betriebsrat umgesetzt werden und ihre Einhaltung muss nachweisbar sein! 9
10 ein To Do, das schon immer gilt Betriebsverfassungsgesetz 80 : (1) Der Betriebsrat hat folgende allgemeine Aufgaben: 1. darüber zu wachen, dass die zugunsten der Arbeitnehmer geltenden Gesetze, Verordnungen, Unfallverhütungsvorschriften, Tarifverträge und Betriebsvereinbarungen durchgeführt werden; 10
11 Kapitel III (Art ; Rechte der betroffenen Person) und Kapitel IV (Art ; Verantwortlicher und Auftragsverarbeiter) beschreiben Rechte auf der einen und Pflichten auf der anderen Seite, die der Umsetzung der Grundsätze dienen. 11
12 Kapitel III (Art ) Rechte der betroffenen Person Artikel 12 Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person 1. Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten. Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde. 12
13 Art. 12 -Forts.- 2. Der Verantwortliche erleichtert der betroffenen Person die Ausübung ihrer Rechte gemäß den Artikeln 15 bis Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag gemäß den Artikeln 15 bis 22 ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung. Diese Frist kann um weitere zwei Monate verlängert werden, wenn Der Verantwortliche unterrichtet, zusammen mit den Gründen für die Verzögerung. Stellt die betroffene Person den Antrag elektronisch, so ist sie nach Möglichkeit auf elektronischem Weg zu unterrichten, sofern sie nichts anderes angibt. 13
14 Artikel 15 Auskunftsrecht der betroffenen Person (1) Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen: (Zwecke, Daten, Empfänger, Speicherdauer, ) (3) Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Stellt die betroffene Person den Antrag elektronisch, so sind die Informationen in einem gängigen elektronischen Format zur Verfügung zu stellen, sofern sie nichts anderes angibt. (4) Das Recht auf Erhalt einer Kopie gemäß Absatz 1b* darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. * Muss wohl heißen Absatz 3!? 14
15 Artikel 16 Recht auf Berichtigung einschließlich des Rechtes die Vervollständigung unvollständiger personenbezogener Daten - auch mittels einer ergänzenden Erklärung - zu verlangen. Artikel 17 Recht auf Löschung ("Recht auf Vergessenwerden") einschließlich der Pflicht der Verantwortlichen ggf. Dritte zu informieren Artikel 18 Recht auf Einschränkung der Verarbeitung (früher: Sperrung) Artikel 20 Recht auf Datenübertragbarkeit einschließlich des Rechtes, die Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten 15
16 KAPITEL IV (Art ) Verantwortlicher und Auftragsverarbeiter Art. 24 Verantwortung des für die Verarbeitung Verantwortlichen (1) Der Verantwortliche setzt geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert. (2) 18
17 Art. 25 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (1) Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen wie z. B. Pseudonymisierung trifft, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen. 19
18 Art Forts. - (2) Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden. 20
19 Art. 26 Gemeinsam für die Verarbeitung Verantwortliche (1) Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung gemäß dieser Verordnung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht, und wer welchen Informationspflichten gemäß den Artikeln 13 und 14 nachkommt, sofern und soweit die jeweiligen Aufgaben der Verantwortlichen nicht durch Rechtsvorschriften der Union oder der Mitgliedstaaten, denen die Verantwortlichen unterliegen, festgelegt sind. In der Vereinbarung kann eine Anlaufstelle für die betroffenen Personen angegeben werden. (2) Die Vereinbarung gemäß Absatz 1 muss die jeweiligen tatsächlichen Funktionen und Beziehungen der gemeinsam Verantwortlichen gegenüber betroffenen Personen gebührend widerspiegeln. Das wesentliche der Vereinbarung wird der betroffenen Person zur Verfügung gestellt. (3) Ungeachtet der Einzelheiten der Vereinbarung gemäß Absatz 1 kann die betroffene Person ihre Rechte im Rahmen dieser Verordnung bei und gegenüber jedem einzelnen der Verantwortlichen geltend machen. 21
20 Art. 32 Sicherheit der Verarbeitung (1) Unter Berücksichtigung treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen unter anderem Folgendes ein: a. die Pseudonymisierung und Verschlüsselung personenbezogener Daten; b. die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit auf Dauer sicherzustellen; c. die Fähigkeit, die Verfügbarkeit rasch wiederherzustellen; d. ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. (2) 23
21 Art. 35 Datenschutz-Folgenabschätzung (1) Hat eine Form der Verarbeitung, voraussichtlich ein hohes Risiko, so führt der Verantwortliche* vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Abschätzung vorgenommen werden. (2) Der Verantwortliche holt bei der Durchführung einer Datenschutz- Folgenabschätzung den Rat des Datenschutzbeauftragten, sofern ein solcher benannt wurde, ein. * Die vergleichbare Vorabkontrolle war im BDSG Aufgabe des Datenschutzbeauftragten - und so dem Einfluss und der Kontrolle des BR weitgehend entzogen 24
22 Forts. Art. 35 Datenschutz-Folgenabschätzung (7) Die Folgenabschätzung enthält zumindest Folgendes: 1. eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, ; 2. eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge in Bezug auf den Zweck; 3. eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen 4. die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird,. (8) (9) Der Verantwortliche holt gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter zu der beabsichtigten Verarbeitung unbeschadet des Schutzes gewerblicher oder öffentlicher Interessen oder der Sicherheit der Verarbeitungsvorgänge ein. (10) 26
23 Kapitel V Art. 46 Datenübermittlung vorbehaltlich geeigneter Garantien (1) Falls kein Beschluss nach Artikel 45* Absatz 3 vorliegt, darf ein Verantwortlicher oder ein Auftragsverarbeiter personenbezogene Daten an ein Drittland oder eine internationale Organisation nur übermitteln, sofern der Verantwortliche oder der Auftragsverarbeiter geeignete Garantien vorgesehen hat und sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. * Beschluss der europäischen Kommission dass das betreffende Drittland, ein angemessenes Schutzniveau bietet 27
24 Kapitel IX Art. 88 Datenverarbeitung im Beschäftigungskontext (1) Die Mitgliedstaaten können durch Rechtsvorschriften oder durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext, insbesondere für Zwecke vorsehen. (2) Diese Vorschriften umfassen angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz. 28
25 Die eigene Datennutzung überprüfen, - Welche Daten? - Zu welchen Zwecken? - Auf welcher rechtlichen Grundlage? - Wie geschützt? dokumentieren und darüber informieren! Folgerungen und to do s für den BR Eine Strategie überlegen zur Nutzung und Umsetzung der Regelungen der DSGVO im Rahmen der betrieblichen Mitbestimmungspraxis. Heutige Betriebsvereinbarungen abgleichen mit den präzisierten Anforderungen aus der DSGVO und bei Bedarf anpassen. Ein Vorgehen zur Nutzung des 80 BetrVG überlegen, um Mitarbeiter-Datenschutz und Betriebsvereinbarungen(!) besser zu kontrollieren. 29
26 für Ihre Aufmerksamkeit Peter Herholtz, 30