Source: https://www.recht-freundlich.de/eu-datenschutz-grundverordnung/beschaeftigtendatenschutz-vorgaben-der-eu-datenschutz-grundverordnung-dsgvo-umsetzen
Timestamp: 2019-08-19 15:18:09
Document Index: 366672945

Matched Legal Cases: ['Art. 4', 'Art. 5', 'Art. 6', 'Art. 30', 'Art. 13', 'Art. 83', 'Art. 88', 'Art. 88', '§ 26', '§ 26', '§ 26', '§ 32', '§ 26', '§ 26', '§ 26', '§ 26', 'Art. 5', '§ 26', 'Art. 88', '§ 26', '§ 26', '§ 26', 'Art. 30', 'Art. 13', '§ 5', 'Art. 32', '§ 17', '§ 88', 'Art. 7', '§ 26', '§ 26', '§ 26', 'Art. 33', 'Art. 33', 'Art. 34', 'Art. 83', 'Art. 5', 'Art. 17', 'Art. 17', 'Art. 28', 'Art. 28']

Am 25.05.2018 tritt die EU-Datenschutz-Grundverordnung (DSGVO) in Kraft. Darüber hinaus tritt das neue Bundesdatenschutzgesetz (BDSG) ebenfalls am gleichen Tag in Kraft.
Neuer Beschäftigtendatenschutz ab 25.05.2018
Weiter Begriff der „Verarbeitung“
Gesetzliche Grundlage für Beschäftigtendatenschutz
Grundsätze für die Verarbeitung personenbezogener Daten sind einzuhalten
Betriebs- oder Dienstvereinbarung als Erlaubnistatbestand?
Eckpunkte zum neuen Beschäftigungsdatenschutz
Neue Anforderungen an Einwilligungen?
Beschäftigungsdatenschutz im Bewerbungsverfahren
Beschäftigungsdatenschutz im Arbeitsverhältnis
Rechenschaftspflicht des Arbeitgebers
Beschäftigungsdatenschutz bei Beendigung des Arbeitsverhältnisses
Für Unternehmen und Behörden gelten dann neue rechtliche Regelungen zum Datenschutz. Eine Übergangsfrist gibt es nicht. Die Vorbereitungszeit liegt in dem Zeitraum vor dem 25.05.2018. Der Gesetzgeber erwartet, dass am 25.05.2018, um 0:00 Uhr, alle neuen gesetzlichen Anforderungen umgesetzt sind.
Betroffen sind alle Unternehmen, ob Großunternehmen, Mittelstand oder Kleinbetriebe, ob Arztpraxen, Onlinehändler oder Handwerksbetriebe.
Die Regelungen zum Datenschutz sind auch nicht davon abhängig, wie viele Da-ten mithilfe von strukturierten Dateien oder mithilfe von EDV bearbeitet werden. Datenschutz greift nicht erst, wenn eine bestimmte Anzahl von Daten genutzt oder verarbeitet wird.
Der Begriff der Verarbeitung ist in Art. 4 Nr. 2 DSGV definiert. Der Begriff ist weit gefasst und umfasst jeden Vorgang im Zusammenhang mit personenbezogenen Daten, wie beispielsweise das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung sowie das Auslesen und Abfragen. Auch die Verwendung, Offenlegung durch Übermittlung oder jede an-dere Form der Bereitstellung ist ein Verarbeitungsvorgang, der datenschutzrechtlich relevant ist.
Bisher galt im deutschen Datenschutzrecht das sogenannte „Verbot mit Erlaub-nisvorbehalt“. Dies bedeutet, dass jede Verarbeitung personenbezogener Daten grundsätzlich untersagt, sprich verboten ist. Nur wenn eine gesetzliche Erlaubnis oder beispielsweise eine Einwilligung vorliegt, dürfen personenbezogene Daten verarbeitet werden.
Die DSGVO wählt ein anderes System, das vermutlich im Vergleich zu dem „Verbot mit Erlaubnisvorbehalt“ zu gleichen Ergebnissen führt. Danach sind ge-mäß Art. 5 DSGVO verschiedene Grundsätze für die Verarbeitung personenbezogener Daten zu beachten. Beispielsweise soll die Datenverarbeitung transparent erfolgen und für die Betroffenen nachvollziehbar sein. Es gilt der Grundsatz der Zweckbindung, der Datenminimierung und der Speicherbegrenzung. Daten sollen nur so lange gespeichert werden, wie dies für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Weiterhin wird erwartet, dass der Grundsatz der Richtig-keit eingehalten wird. Unternehmen sollen dafür sorgen, dass personenbezogene Daten korrekt gespeichert und verarbeitet werden. Auch der Grundsatz der Integrität und Vertraulichkeit ist ausdrücklich im Gesetz festgeschrieben.
Bemerkenswert ist, dass der Gesetzgeber eine Rechenschaftspflicht normiert. Unternehmen und Behörden müssen im ausreichenden Maße dokumentieren, dass die Grundsätze eingehalten werden.
In einem zweiten Schritt ist dann zu prüfen, ob die Verarbeitung gemäß Art. 6 DSGVO rechtmäßig ist. Dazu sind verschiedene Bedingungen zu erfüllen. Es muss beispielsweise für die Verarbeitung eine Einwilligung oder eine andere rechtliche Pflicht des Verantwortlichen vorliegen.
Schon bisher musste nach dem Bundesdatenschutzgesetz ein sogenanntes „Verfahrensverzeichnis“ erstellt werden. Nunmehr erwartet die DSGVO weitere um-fangreichere Dokumentationen. Es müssen detaillierte Verzeichnisse für Verarbeitungstätigkeiten erstellt werden. Hier regelt Art. 30 DSGVO die Anforderungen im Einzelnen. Die zu erstellenden Informationen sind auch unter einem weiteren Aspekt von Bedeutung. Gemäß Art. 13 DSGVO muss bei der Erhebung von personenbezogenen Daten der jeweils Betroffene verschiedene Informationen über die Datenverarbeitung erhalten. Diese Informationen können nur zusammengestellt werden, wenn diese bereits im Verzeichnis von Verarbeitungstätigkeiten ausreichend erfasst sind.
Wenn die datenschutzrechtlichen Vorschriften am 25.05.2018 nicht eingehalten werden, drohen Bußgelder von bis zu 20 Millionen Euro oder von bis zu 4 Prozent des gesamten weltweiten Jahresumsatzes. Deutlich formuliert der EU-Gesetzgeber in Art. 83 Abs. 1 DSGVO, dass Bußgelder „abschreckend“ sein sollen.
Gemäß Art. 88 DSGVO erwartet der europäische Gesetzgeber, dass weitere Ei-zelheiten zum Beschäftigtendatenschutz von den jeweiligen Nationalstaaten gere-gelt werden. Es soll der Schutz der Rechte und Freiheiten bei der Verarbeitung personenbezogener Beschäftigtendaten gewährleistet werden. Deutlich heißt es in Art. 88 Abs. 2 DSGVO, dass angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grund-rechte der betroffenen Personen zu erlassen sind, dies insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Da-ten innerhalb einer Unternehmensgruppe und auch hinsichtlich Überwachungssystemen am Arbeitsplatz.
Der Bundesgesetzgeber hat für Unternehmen bereits reagiert und in § 26 BDSG (neue Fassung) die Datenverarbeitung für Zwecke des Beschäftigungsverhältnis-ses geregelt.
Bisher liegen noch nicht die jeweiligen Landesdatenschutzgesetze vor, die Regelungen zum Beschäftigtendatenschutz der Behörden enthalten müssen. Hier bleibt abzuwarten, ob die jeweiligen Landesgesetzgeber sich an den bundesgesetzlichen Regelungen in § 26 BDSG-neu orientieren.
§ 26 BDSG-neu wird damit den alten § 32 BDSG ersetzen. Hier ist zunächst festzustellen, dass es keine komplette Neuregelung ist, sondern viele Aspekte der bisherigen gesetzlichen Regelungen und der Rechtsprechung übernommen werden.
Beschäftigter im Sinne des Datenschutzrechtes ist nach § 26 Abs. 8 BDSG-neu jeder Arbeitnehmer, die Auszubildenden und weitere Personen, die im Einzelnen in der gesetzlichen Regelung aufgeführt sind. Auch Bewerberinnen und Bewerber für ein Beschäftigungsverhältnis sowie Personen, deren Beschäftigungsverhältnis endete, gelten als Beschäftigte.
Hier hat der Gesetzgeber in § 26 Abs. 8 BDSG-neu einen sehr großen Anwen-dungsbereich gewählt.
Weiterhin ist in § 26 Abs. 6 BDSG deutlich formuliert, dass die Beteiligungsrechte der Interessenvertretungen, sprich der Betriebsräte und Personalräte, durch die gesetzliche Regelung nicht berührt werden.
Gemäß § 26 Abs. 5 BDSG weist der Gesetzgeber den Arbeitgebern noch einmal deutlich die Aufgabe zu, die in Art. 5 der DSGVO festgelegten Grundsätze für die Verarbeitung personenbezogener Daten ausdrücklich einzuhalten. Es ist Aufgabe der Verantwortlichen, sprich der jeweiligen Geschäfts- oder Behördenleitung, geeignete Maßnahmen zu ergreifen.
Mit Blick auf die gesetzlichen Anforderungen aus der DSGVO ist jedem Arbeitge-ber zu raten, diese geeigneten Maßnahmen ausreichend zu dokumentieren.
Bisher war es möglich, Datenverarbeitungen aufgrund von Dienst- oder Betriebs-vereinbarungen durchzuführen. Hier stellt § 26 BDSG-neu klar, dass die Verarbeitung personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses auch auf Grundlage von Kollektivvereinbarungen zulässig sind. Damit besteht nach wie vor die Möglichkeit, über Dienst- oder Betriebsver-einbarungen Erlaubnistatbestände für Datenverarbeitungen zu schaffen.
Allerdings weist der Bundesgesetzgeber deutlich darauf hin, dass die Anforderun-gen gemäß Art. 88 Abs. 2 DSGVO zu beachten sind. Es wird noch einmal der gesetzliche Appell wiederholt, dass die Wahrung der menschlichen Würde und die Grundrechte der betroffenen Personen zu beachten sind.
Auch hier empfehlen wir, die entsprechende rechtliche Prüfung ausreichend zu dokumentieren.
§ 26 Abs. 1 BDSG-neu erlaubt die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses. Voraussetzung ist, dass eine entsprechende Verarbeitung personenbezogener Daten für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder Nachbegründung des Beschäftigungsverhältnis-ses für dessen Durchführung oder Beendigung notwendig ist. Auch eine Datenverarbeitung zur Erfüllung gesetzlicher Pflichten, Pflichten aus einem Tarifvertrag oder einer Betriebs- oder Dienstvereinbarung sind zulässig. Hier hat sich gegen-über der bisherigen Rechtslage nichts geändert.
Zur Aufdeckung von Straftaten dürfen personenbezogene Daten verarbeitet wer-den. Allerdings ist eine Interessenabwägung vorzunehmen. Außerdem sind weitere Tatbestandsvoraussetzungen zu beachten. Beispielsweise muss es zu doku-mentierende tatsächliche Anhaltspunkte geben, die einen Verdacht auf eine Straf-tat begründen. Es genügt also nicht, eine, wie auch immer geartete, „Gefühlslage“, sondern ein entsprechender Verdacht muss in irgendeiner Form dokumentiert werden.
Eine vorsorgliche Verarbeitung personenbezogener Daten, beispielsweise auf Vorrat, ist damit unzulässig. Arbeitgeber dürfen also nicht Daten für den Fall erhe-ben, dass später eine Straftat im Arbeitsverhältnis begangen werden könnte. Auch eine Maßnahme gegen große Gruppen von Beschäftigten ist aufgrund der gesetzlichen Regelung nicht zulässig.
Weiterhin wird erwartet, dass im Rahmen einer Interessenabwägung geprüft wird, inwieweit die Maßnahmen erforderlich sind. Dabei sind die Interessen des Arbeitgebers an einer Datenverarbeitung und das Persönlichkeitsrecht des Beschäftig-ten in so einen schonenden Ausgleich zu bringen, dass beide Interessen möglichst weitgehend berücksichtigt werden. Es empfiehlt sich gleichfalls eine ausreichende Dokumentation, da Verstöße gegen die gesetzlichen Regelungen ein Bußgeld nach sich ziehen können.
In § 26 Abs. 2 BDSG-neu wird im Einzelnen definiert, wie eine Einwilligung im Rahmen eines Beschäftigungsverhältnisses entstehen kann. Einwilligungen kön-nen eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten sein. Wichtig ist im Arbeitsverhältnis, dass die Einwilligung freiwillig erfolgt. Hier sieht auch der Gesetzgeber, dass bei beschäftigten Personen besondere Abhängigkeiten bestehen. Insoweit ist zu berücksichtigen, dass die Umstände einer Einwilli-gung letztendlich dazu führen können, dass keine Freiwilligkeit vorliegt. Grundsätzlich bedarf die Einwilligung der Schriftform.
Wichtig ist, dass die Regelungen zur Einwilligung nach der Datenschutzgrundver-ordnung ebenfalls beachtet werden. Die rechtliche Prüfung wird in der Praxis komplizierter. Es müssen sowohl die Regelungen im BDSG-neu als auch die ge-setzlichen Anforderungen aus der DSGVO parallel beachtet werden.
Beispielsweise ist der Beschäftigte über den Zweck der Datenverarbeitung und über sein Widerrufsrecht zu informieren.
In der Praxis empfiehlt es sich also, insbesondere die bisherigen Einwilligungen vor dem Hintergrund der neuen gesetzlichen Regelungen zum 25.05.2018 noch einmal detailliert zu überprüfen. Ist die Einwilligung nicht ausreichend, entfällt die Rechtsgrundlage für die Datenverarbeitung. Dies kann dann wieder Haftungen auslösen oder auch ein Bußgeld nach sich ziehen.
Nach § 26 Abs. 8 BDSG-neu gelten Bewerber auch als Beschäftigte. Die Daten von Bewerbern sind daher genauso zu behandeln wie die personenbezogenen Daten von beschäftigten Arbeitnehmern.
Der Gesetzgeber erwartet, dass im jeweiligen konkreten Einzelfall geprüft wird, welche personenbezogenen Daten für die Einstellung eines Bewerbers und für die Entscheidung über die Einstellung notwendig sind. Da nach der DSGVO der Verantwortliche ein Verzeichnis aller Verarbeitungstätigkeiten führen muss (Art. 30 Abs. 1 DSGVO), sollte das gesamte Bewerbungsverfahren in einem eigenen Verzeichnis als Verarbeitungstätigkeit dokumentiert sein. Dabei ist zu bedenken, dass die Bewerbungsunterlagen auf unterschiedlichen Wegen zum Unternehmen kommen können, beispielsweise per E-Mail oder Post. Gegenüber Bewerbern sind die Informationspflichten nach Art. 13 DSGVO zu beachten und umzusetzen.
Der Arbeitgeber soll den Kreis derer, die die Bewerbungsdaten erhalten, möglichst klein halten. Eine Bewerbung intern beliebig weiterzuleiten, entspricht nicht den datenschutzrechtlichen Vorgaben.
Ist das Bewerbungsverfahren beendet oder die Stelle besetzt, ist eine weitere Speicherung von Bewerbungsdaten und Bewerbungsunterlagen nicht mehr not-wendig. Es greifen die gesetzlichen Grundsätze zur Zweckbindung, Datenminimierung und Speicherbegrenzung. Mit anderen Worten: Es ist die Löschung der Bewerbungsunterlagen im Einzelnen zu dokumentieren. Hier hat sich bei den Aufsichtsbehörden die Meinung herausgebildet, dass Bewerbungsunterlagen ma-ximal 6 Monate gespeichert werden können. Hintergrund dieser Begrenzung ist, dass abgelehnte Bewerber Ansprüche aus möglichen Diskriminierungstatbeständen aus dem AGG geltend machen können. Dafür gilt eine dreimonatige Verjährungsfrist. Unter Berücksichtigung der organisatorischen Abläufe bei den Arbeits-gerichten wird von den Aufsichtsbehörden davon ausgegangen, dass in einem Zeitraum von maximal 6 Monaten mögliche Klagen aufgrund des AGG beim Ar-beitgeber eingehen. Nach Ablauf dieser Frist gibt es keine Gründe mehr, die personenbezogenen Daten zu speichern.
Die bisher in § 5 BDSG geregelte Anforderung, dass Mitarbeiterinnen und Mitar-beiter eine „Verpflichtung auf das Datengeheimnis“ unterzeichnen müssen, be-steht ab dem 25.05.2018 so nicht mehr. Allerdings bedeutet dies nicht, dass eine entsprechende Verpflichtung entfallen kann. Beispielsweise wird nach Art. 32 Abs. 4 DSGVO erwartet, dass der Verantwortliche und Auftragsverarbeiter alles Notwendige unternehmen, um sicherzustellen, dass Mitarbeiterinnen und Mitar-beiter personenbezogene Daten nur auf Anweisung des Verantwortlichen verarbeiten. Daneben bleiben weitere gesetzliche Verpflichtungen bestehen, beispiels-weise der Schutz von Geschäfts- und Betriebsgeheimnissen (§§ 17, 18 UWG) oder das Fernmeldegeheimnis nach § 88 TKG.
Insoweit empfiehlt es sich nach wie vor, Arbeitnehmer auf das Datengeheimnis zu verpflichten und dies schriftlich zu dokumentieren.
Wenn der Arbeitgeber personenbezogene Daten verarbeiten möchte und sich beispielsweise nicht sicher ist, ob dies im Rahmen der gesetzlichen Anforderun-gen möglich ist, kann nach Art. 7 DSGVO und § 26 Abs. 2 BDSG-neu eine Ein-willigung erfolgen. Allerdings wird erwartet, dass die Einwilligung der Mitarbeiterin-nen und Mitarbeiter freiwillig ist. Zu Beurteilung, ob eine Freiwilligkeit vorliegt, wird auf den Grad der Abhängigkeit des Beschäftigten sowie auf die konkreten Um-stände des Einzelfalls abgestellt. Gemäß § 26 Abs. 2 BDSG wird unter anderem von einer Freiwilligkeit ausgegangen, wenn für den Arbeitnehmer ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder der Arbeitgeber und der Arbeitneh-mer gleich gelagerte Interessen verfolgen. Da der Arbeitgeber als Verantwortli-cher letztendlich nachweisen muss, dass eine ordnungsgemäße Einwilligung vor-liegt, scheidet eine mündliche Einwilligung aus. Nur eine schriftliche Einwilligung sorgt für eine ausdrückliche Dokumentation. Dies unabhängig davon, dass nach den gesetzlichen Regelungen auch grundsätzlich erwartet wird, dass eine Einwilli-gung schriftlich erfolgt (§ 26 Abs. 2 BDSG-neu).
Im Rahmen der Einwilligung muss der Arbeitgeber dem Arbeitnehmer alle Infor-mationen zur Verfügung stellen, die für die Entscheidung erheblich sind. Nach wie vor wird von dem Grundsatz einer sogenannten „informierten Einwilligung“ ausgegangen. Eine Einwilligung kann also unwirksam sein, wenn der Arbeitnehmer nicht ausreichend über die Hintergründe der von ihm geforderten Einwilligung belehrt wird.
Daneben erwartet der Gesetzgeber nach Art. 33 DSGVO, dass Datenpannen der Aufsichtsbehörde gemeldet werden. Wenn beispielsweise Unberechtigte auf per-sonenbezogene Daten Zugriff nehmen konnten und diese zur Kenntnis nehmen konnten, entsteht eine entsprechende Meldepflicht. In Art. 33 DSGVO ist eine In-formationspflicht gegenüber den Datenschutzaufsichtsbehörden geregelt, in Art. 34 DSGVO eine Anzeigepflicht gegenüber dem Betroffenen. Es ist eine ab-gestufte Meldepflicht vorgesehen, die im Einzelfall zu beurteilen ist. Nach der DSGVO wird erwartet, dass eine entsprechende Meldung über eine Datenpanne innerhalb von 72 Stunden nach Bekanntwerden der Datenpanne erfolgt.
Datenpannen können beispielsweise durch Fehlversendungen per Post oder E-Mail oder durch den Verlust von Datenträgern erfolgen, wenn personenbezogene Daten enthalten oder betroffen sind.
Wird die Meldepflicht nicht eingehalten, droht gemäß Art. 83 Abs. 4a DSGVO ein Bußgeld bis maximal 10 Millionen Euro.
Bisher konnten viele Arbeitgeber das Thema Datenschutz defensiv behandeln. Aufsichtsbehörden mussten beispielsweise im Rahmen von Audits oder Prüfun-gen Mängel nachweisen.
Nunmehr ist eine Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO vorgesehen. Der Arbeitgeber muss beweisen, dass er sich ausreichend datenschutzkonform verhalten hat und dass unter anderem die Verarbeitung von personenbezogenen Daten rechtmäßig erfolgt ist. Insoweit gewinnen Dokumentationen eine erheblich größere Bedeutung.
Der Arbeitgeber unterliegt der gesetzlich normierten Speicherbegrenzung. Die Verarbeitung von Arbeitnehmerdaten muss darüber hinaus der Zweckbindung entsprechen. Die Daten sind also zu löschen, wenn der Zweck der Speicherung entfällt.
Bei einem ausscheidenden Mitarbeiter ist daher zu prüfen, welche personenbezogenen Daten gelöscht werden können. Hier ist beispielsweise auch an die perso-nenbezogenen Daten auf einem Diensthandy oder in den elektronischen Einrichtungen eines Firmenfahrzeugs zu denken, insbesondere wenn dies auch privat genutzt werden durfte.
Der Arbeitnehmer kann auch zukünftig verlangen, dass eine Löschung der Daten erfolgt. Allerdings besteht die Löschungspflicht nicht unbegrenzt. Beispielsweise müssen Arbeitnehmerdaten nicht gelöscht werden, wenn diese noch zur Gel-tendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt wer-den (Art. 17 Abs. 3e DSGVO). Auch die Erfüllung einer rechtlichen Verpflichtung führt dazu, dass ein Löschungsbegehren nicht umzusetzen ist (Art. 17 Abs. 3b DSGVO).
Bei der Zusammenarbeit mit externen Dienstleistern, wie beispielsweise Personalagenturen, Steuerberatern oder anderen Drittunternehmen, sind ebenfalls die datenschutzrechtlichen Regelungen zu beachten. Bisher hieß diese Art der Zusammenarbeit „Auftragsdatenverarbeitung“. Im Wording der DSGVO heißt die Tätigkeit nunmehr „Auftragsverarbeitung“. Geregelt ist der Fall der Auftragsverarbeitung insbesondere in Art. 28 DSGVO. Für die Auftragsverarbeiter ergibt sich eine neue Haftungssituation. Nach Art. 28 DSGVO ist bei datenschutzrechtlichen Verstößen sowohl der Auftraggeber als auch der Auftragnehmer, sprich der Auf-tragsverarbeiter, mit verantwortlich.
Wichtig ist, dass Fälle der Auftragsverarbeitung mit schriftlichen Verträgen im Detail geregelt sind. Insbesondere um die gesetzlich geforderten Überwachungs-pflichten ausreichend umzusetzen, ist es notwendig, die einzelnen Nachweispflichten des Auftragnehmers vertraglich zu vereinbaren.
Beispielsweise geht die bayrische Landesdatenschutzaufsicht davon aus, dass Auftragnehmer zum Vertragsschluss ein Datenschutzkonzept vorlegen müssen. Im weiteren Verlauf des Vertragsverhältnisses kann dann durch Zertifizierungen nachgewiesen werden, dass die datenschutzrechtlichen Standards eingehalten werden. Alternativ ist vorgesehen, dass mindestens einmal jährlich ein Audit stattfindet. Der Auditbericht und der vollständige Prüfbericht sollen dem Auftraggeber zur Prüfung und Überwachung übermittelt werden. Hier ergeben sich auch für Auftragnehmer ganz neue Herausforderungen.