Source: https://it-sec.de/ger/Aktuelles-Termine/it.sec-blog/(id)/515/(tag)/Daten
Timestamp: 2019-12-14 17:01:53
Document Index: 387889637

Matched Legal Cases: ['§ 109', '§ 40', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG']

Digitale Arbeitsunfähigkeitsbescheinigung
26.11.2019 09:43
Tags: Arbeitgeber , Arbeitnehmer , Arbeitsunfähigkeitsbescheinigung , Bürokratieentlastungsgesetz , Datenminimierung , Datenschutz , DSGVO , Krankenkasse
Ab 2021 soll es den „gelben Schein“ nicht mehr geben. Die Arbeitsunfähigkeitsbescheinigung soll dann elektronisch von der Krankenkasse an den Arbeitgeber übermittelt werden. Der entsprechende Entwurf zum Bürokratieentlastungsgesetz wurde nun vom Kabinett beschlossen.
Jährlich werden bundesweit ca. 75 Millionen Arbeitsunfähigkeitsbescheinigungen erstellt. Die Arbeitnehmer bekommen diese dann in dreifacher Ausführung: zur Vorlage bei der Krankenkasse und dem Arbeitgeber und für die eigenen Unterlagen. Das verursacht nicht nur viel Papiermüll, sondern ist auch nicht mehr ganz zeitgemäß. Durch die digitale Arbeitsunfähigkeitsbescheinigung sollen die Unternehmen und Mitarbeiter entlastet werden.
In § 109 Abs. 1 SGB IV soll künftig geregelt werden, dass nur noch die folgenden Daten in der Arbeitsunfähigkeitsbescheinigung erfasst werden:
Daten über den Namen des Beschäftigten,
den Beginn und das Ende der Arbeitsunfähigkeit,
das Ausstelldatum
die Kennzeichnung als Erst- oder Folgemeldung
Nicht mehr in der Arbeitsunfähigkeitsbescheinigung enthalten sind daher u.a. Adresse, Geburtsdatum und Versicherten-Nr. des Arbeitnehmers, attestierender Arzt und Angaben darüber, ob es sich um einen Arbeitsunfall, Arbeitsunfallfolgen oder eine Berufskrankheit handelt. Wegen der fehlenden Angabe des (Fach-)Arztes können nun beispielsweise auch keine Rückschlüsse mehr auf den Grund der Erkrankung geschlossen werden.
Aus datenschutzrechtlicher Sicht, insbesondere im Hinblick auf den Grundsatz der Datenminimierung, ist es eine erfreuliche Entwicklung, dass in Zukunft auf die Angabe dieser Daten verzichtet wird, auf die es für den Arbeitgeber auch nicht ankommt.
In welcher Sprache kommuniziere ich mit den Aufsichtsbehörden?
Tags: Aufsichtsbehörde , Datenschutzgrundverordnung , Deutsch , Dokumentation , DSGVO , Englisch , Informationspflichten , Sprache , Unternehmenssprache
Die Datenschutzgrundverordnung ist nun seit knapp 1,5 Jahren in Kraft und die Kommunikation der Aufsichtsbehörden mit Unternehmen nimmt zu. Die anfängliche Zurückhaltung flacht ab und es werden aktiv Prüfungen und Untersuchungen vorgenommen.
Dabei stellen sich Unternehmen oft die Frage in welcher Sprache muss ich mit der Aufsichtsbehörde kommunizieren und in welcher Sprache muss ich meine Dokumente vorhalten. Gerade weltweit agierende Konzernunternehmen fertigen ihre Unterlagen in der Regel in Englisch an. Dies ist auch zulässig, so lange ein international aufgestelltes Unternehmen als Unternehmenssprache Englisch festgelegt hat.
Hier ist vor allem auch in Hinblick auf die Informationspflichten gegenüber den Beschäftigten zu beachten, dass alle Beschäftigten diese verstehen können.
Bei Bedarf kann eine deutsche Aufsichtsbehörde aber Teile oder ganze Dokumente in Deutsch anfordern.
Dies ergibt sich aus der in Deutschland definierten Amtssprache. Diese ist nach den Verwaltungsgesetzen der einzelnen Bundesländer deutsch.
Unten den oben genannten Umständen ist es erlaubt seine datenschutzrechtlichen Dokumentationen in Englisch zu pflegen. Man sollte sich aber bereits vorab um eine für den Einzelfall schnell zugängliche Übersetzungsmöglichkeit bemühen, um einem möglichen Verlangen der Aufsichtsbehörde zügig nachkommen zu können.
Gerichtsurteil: Fluggastdatenverarbeitung durch BKA zulässig
29.10.2019 09:53
Tags: Abwehr terroristischer Straftaten , BKA , Daten , Datenschutz , EU-Richtlinie , FlugDaG , Fluggast , Fluggastdatengesetz , Speicherdauer , Verarbeitung
Ein EU-Bürger hatte einen Flug für November 2019 von Brüssel nach Berlin gebucht. Gegen die damit verbundene Verarbeitung seiner Fluggastdaten durch das Bundeskriminalamt (BKA) hatte er einen Eilantrag beim Verwaltungsgericht gestellt.
Das Verwaltungsgericht Wiesbaden lehnte diesen Antrag als unzulässig ab:
Die Verarbeitung dieser Daten ist gesetzlich zulässig: Das Fluggastdatengesetz (FlugDaG) erlaube die Verarbeitung von Fluggastdaten zur Abwehr terroristischer Straftaten und schwerer Kriminalität. Demnach sind Luftfahrtunternehmen verpflichtet, Daten ihrer Fluggäste, deren Flüge in Deutschland starten oder landen, an die sog. Fluggastdatenzentralstelle zu übermitteln. In Deutschland ist diese Stelle das Bundeskriminalamt, welches u.a. Namensangaben, Geburtsdatum, Anschrift, Kontaktdaten, Angaben zum Flug (Flugnummer, Datum, Uhrzeit), Zahlungsinformationen etc. der Fluggäste bei den Luftfahrtunternehmen erhebt und nach Maßgabe des FlugDaG verarbeitet.
Zudem wurde mit dem FlugDaG eine EU-Richtlinie umgesetzt, deren Vorgaben für alle Mitgliedstaaten gleichermaßen gelten. Insoweit fehle es dem Antragsteller bereits an einem Rechtsschutzinteresse, da seine Daten in dieser Art und Weise auch bereits bei früheren Flügen innerhalb der EU durch die jeweiligen PNR-Zentralstellen der anderen EU-Mitgliedstaaten verarbeitet wurden.
Die Aufsichtsbehörden für den Datenschutz haben das Instrument der Fluggastdatenverwendung als solches auch immer wieder kritisiert, insbesondere hinsichtlich der langen Speicherdauer. Zudem wurde ebenso beanstandet, dass der deutsche Gesetzgeber in seinem FlugDaG auch innereuropäische Flüge mit einbezieht. Die EU-Richtlinie verbietet das zwar nicht, sieht es aber auch nicht verpflichtend vor.
Fazit: Es wäre daher wünschenswert gewesen, das Gericht hätte beurteilt, ob die Erfassung sämtlicher Daten sowie die lange Speicherdauer den Betroffenen in seinen Rechten und Freiheiten ggf. verletzt, unabhängig davon, ob dies andere EU-Staaten ebenso machen.
Vertraulichkeit in der Betriebsratsarbeit sicherstellen
Tags: BDSG , Betriebsrat , Datenschutz , DSGVO , Einsichtnahme , Maßnahmen , Personalabteilung , Technische und organisatorische Maßnahmen , TOM
Die Mitglieder des Betriebsrats haben Zugriff auf äußerst sensible Unternehmens- und Mitarbeiterdaten. Wir wollen im Folgenden ein paar Maßnahmen aufzeigen, die die Vertraulichkeit hinsichtlich dieser Daten unterstützen.
Wer ist für die technischen und organisatorischen Maßnahmen des Betriebsrats verantwortlich?
Obwohl es umstritten ist, wer als datenschutzrechtlich „Verantwortlicher“ im Sinne des BDSG für die personenbezogenen Daten im Herrschaftsbereich des Betriebsrats anzusehen ist, dürfte klar sein, dass der Betriebsrat zumindest dafür selbst verantwortlich ist, wie seine Mitglieder mit den Vertraulichkeitserfordernissen umgehen. Das Unternehmen weiß naturgemäß nicht, welche Betriebsratsmitglieder mit welchen Sachverhalten betraut sind, denn diese Maßnahmen unterliegen der Selbstorganisation des Betriebsrats. Daher muss sich der Betriebsrat auch zwingend selbst mit den Maßnahmen, die erforderlich sind um die Vertraulichkeit der Informationen zu gewährleisten, auseinandersetzen. So kommt auch das zitierte Urteil zu dem Schluss, dass der Betriebsrat unter Beachtung der Datenschutzbestimmungen und des technisch Möglichen die Ausgestaltung der Art und Weise der Einsichtsmöglichkeit zu gestalten hat.
Bezüglich der konkreten Maßnahmen sollte sich der Betriebsrat an den Vorgaben für die Personalabteilung orientieren. Insbesondere gilt:
Betriebsratsunterlagen müssen gegen unbefugte Einsichtnahme geschützt werden. Dies gilt sowohl für Unterlagen in Papierform wie für Dateien bzw. deren Anzeige z.B. auf Bildschirmen.
Betriebsratsunterlagen, die nicht unmittelbar benötigt werden, sind daher in abgeschlossenen Schränken aufbewahren, in der Regel im Betriebsratsbüro.
Datenschutzbehälter oder angemessene Shredder müssen zur Entsorgung bereitgestellt und durch die Betriebsratsmitglieder verwendet werden.
In Großraumbüros (von nicht freigestellten Betriebsratsmitgliedern) sollten die Betriebsratsmitglieder außerdem folgendes beachten:
Bildschirme und Unterlagen so stellen und ablegen, dass nicht jeder und vor allem keine Besucher (Kollegen) Einblick haben
Bildschirmschutz bei Verlassen des Arbeitsplatzes aktivieren
Sichtschutzfolie verwenden, falls der Arbeitsplatz/Bildschirm nicht anders geschützt werden kann.
Die entsprechenden finanziellen Mittel müssen durch den Arbeitgeber gem. § 40 Abs. 2 BetrVG bereitgestellt werden.
Kommen Sie gerne auf uns zu, wenn wir Ihnen bei Fragen zum Thema technische und organisatorische Maßnahmen weiterhelfen können.
EuGH-Urteil zur Gestaltung der Einwilligung bei Platzierung und Abruf von Cookies
Tags: Aufsichtsbehörde , Cookies , Datenschutzerklärung , Einwilligung , EuGH , Privatsphäre , Webseite , Website , Widerruf
Am 01.10.2019 erging ein entscheidendes Urteil des EuGH zum Einsatz von Cookies. Der EuGH hat Folgendes dabei klargestellt:
- Das Endgerät des Website-Besuchers und die in diesen Geräten gespeicherten Informationen sind Teil seiner Privatsphäre.
- Die Einwilligung in das Platzieren und Abrufen der Cookies muss durch eine aktive Handlung erfolgen, etwa durch Anklicken eines Kästchens. Der Haken darf nicht bereits voreingestellt sein.
- Der Website-Besucher muss vollständig über die verwendeten Cookies und deren Funktionsweise informiert werden.
Aus dem Urteil ergeben sich folgende Aufgaben für Website-Betreiber:
Auch wenn es im Urteil nicht explizit erwähnt wird, so dürfen für den Betrieb einer Website technisch notwendige Cookies auch weiterhin ohne Einwilligung eingesetzt werden, bspw. Cookies zur Benutzer-Authentifizierung im Log-In-Bereich einer Website. Für alle anderen - und das dürfte der Großteil der verwendeten Cookies sein - muss die Einwilligung eingeholt werden.
HINWEIS: Es ist notwendig, dass der Betreiber die Funktionsweise der Cookies und etwaige Empfänger kennt. Andernfalls kann er die Website-Besucher nicht ausreichend hierüber in der Datenschutzerklärung informieren.
Über ein Auswahlmenü muss es den Website-Besuchern möglich sein, die jeweiligen Cookies bzw. Cookie-Kategorien auszuwählen und sich hierüber gezielt zu informieren (u.a. zu den Zwecken, Empfängern und zur Speicherdauer), um dann zu entscheiden, ob sie diese aktivieren möchten oder nicht.
Bis zur Erteilung der Einwilligung oder wenn keine Einwilligung erteilt wird, dürfen die Cookies nicht platziert werden.
Widerruf beachten
Da die Website Besucher ihre erteilte Einwilligung auch jederzeit widerrufen können, sollte eine Widerrufslösung technisch implementiert werden.
Vorgaben der Aufsichtsbehörden umsetzen
Der EuGH hat in seinem Urteil die Auffassung der deutschen Aufsichtsbehörden vom 26. April 2018 bestätigt.
HINWEIS: Die Aufsichtsbehörden verlangen aber nicht nur eine Einwilligung für das Setzen von Cookies, sondern für alle Verfahren, bei denen potentiell Daten und Informationen zu den Website-Besuchern gesammelt werden, ohne dass dies für den Betrieb der Website erforderlich ist, bspw. auch für Verfahren zur Verfolgung der Website-Besucher durch Zählpixel oder Browser-Fingerprinting. Auch diese Verfahren sollten daher in die technische Einwilligungslösung einbezogen werden.