Source: https://www.recht-freundlich.de/datenschutz-recht-dsgvo/beschaeftigtendatenschutz-vorgaben-der-eu-datenschutz-grundverordnung-dsgvo-umsetzen
Timestamp: 2019-12-10 22:36:52
Document Index: 36351679

Matched Legal Cases: ['Art. 30', 'Art. 13', 'Art. 88', 'Art. 88', '§ 26', '§ 26', '§ 26', 'Art. 30', 'Art. 13', '§ 5', 'Art. 32', '§ 17', '§ 88', 'Art. 7', '§ 26', '§ 26', '§ 26', 'Art. 33', 'Art. 33', 'Art. 34', 'Art. 17', 'Art. 17', 'Art. 28', 'Art. 28']

Schon bisher musste nach dem Bundesdatenschutzgesetz ein sogenanntes „Verfahrensverzeichnis“ erstellt werden. Nunmehr erwartet die DSGVO weitere um-fangreichere Dokumentationen. Es müssen detaillierte Verzeichnisse für Verarbeitungstätigkeiten erstellt werden.
Hier regelt Art. 30 DSGVO die Anforderungen im Einzelnen. Die zu erstellenden Informationen sind auch unter einem weiteren Aspekt von Bedeutung. Gemäß Art. 13 DSGVO muss bei der Erhebung von personenbezogenen Daten der jeweils Betroffene verschiedene Informationen über die Datenverarbeitung erhalten.
Diese Informationen können nur zusammengestellt werden, wenn diese bereits im Verzeichnis von Verarbeitungstätigkeiten ausreichend erfasst sind.
Gemäß Art. 88 DSGVO erwartet der europäische Gesetzgeber, dass weitere Ei-zelheiten zum Beschäftigtendatenschutz von den jeweiligen Nationalstaaten geregelt werden. Es soll der Schutz der Rechte und Freiheiten bei der Verarbeitung personenbezogener Beschäftigtendaten gewährleistet werden.
Deutlich heißt es in Art. 88 Abs. 2 DSGVO, dass angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grund-rechte der betroffenen Personen zu erlassen sind, dies insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe und auch hinsichtlich Überwachungssystemen am Arbeitsplatz.
Bisher war es möglich, Datenverarbeitungen aufgrund von Dienst- oder Betriebs-vereinbarungen durchzuführen. Hier stellt § 26 BDSG-neu klar, dass die Verarbeitung personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses auch auf Grundlage von Kollektivvereinbarungen zulässig sind.
Damit besteht nach wie vor die Möglichkeit, über Dienst- oder Betriebsver-einbarungen Erlaubnistatbestände für Datenverarbeitungen zu schaffen.
§ 26 Abs. 1 BDSG-neu erlaubt die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses. Voraussetzung ist, dass eine entsprechende Verarbeitung personenbezogener Daten für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder Nachbegründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung notwendig ist.
Auch eine Datenverarbeitung zur Erfüllung gesetzlicher Pflichten, Pflichten aus einem Tarifvertrag oder einer Betriebs- oder Dienstvereinbarung sind zulässig. Hier hat sich gegen-über der bisherigen Rechtslage nichts geändert.
Zur Aufdeckung von Straftaten dürfen personenbezogene Daten verarbeitet wer-den. Allerdings ist eine Interessenabwägung vorzunehmen. Außerdem sind weitere Tatbestandsvoraussetzungen zu beachten. Beispielsweise muss es zu doku-mentierende tatsächliche Anhaltspunkte geben, die einen Verdacht auf eine Straf-tat begründen.
Es genügt also nicht, eine, wie auch immer geartete, „Gefühlslage“, sondern ein entsprechender Verdacht muss in irgendeiner Form dokumentiert werden.
Weiterhin wird erwartet, dass im Rahmen einer Interessenabwägung geprüft wird, inwieweit die Maßnahmen erforderlich sind. Dabei sind die Interessen des Arbeitgebers an einer Datenverarbeitung und das Persönlichkeitsrecht des Beschäftigten in so einen schonenden Ausgleich zu bringen, dass beide Interessen möglichst weitgehend berücksichtigt werden.
Es empfiehlt sich gleichfalls eine ausreichende Dokumentation, da Verstöße gegen die gesetzlichen Regelungen ein Bußgeld nach sich ziehen können.
In § 26 Abs. 2 BDSG-neu wird im Einzelnen definiert, wie eine Einwilligung im Rahmen eines Beschäftigungsverhältnisses entstehen kann. Einwilligungen können eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten sein.
Wichtig ist im Arbeitsverhältnis, dass die Einwilligung freiwillig erfolgt. Hier sieht auch der Gesetzgeber, dass bei beschäftigten Personen besondere Abhängigkeiten bestehen. Insoweit ist zu berücksichtigen, dass die Umstände einer Einwilli-gung letztendlich dazu führen können, dass keine Freiwilligkeit vorliegt. Grundsätzlich bedarf die Einwilligung der Schriftform.
Wichtig ist, dass die Regelungen zur Einwilligung nach der Datenschutzgrundverordnung ebenfalls beachtet werden. Die rechtliche Prüfung wird in der Praxis komplizierter. Es müssen sowohl die Regelungen im BDSG-neu als auch die gesetzlichen Anforderungen aus der DSGVO parallel beachtet werden.
Der Gesetzgeber erwartet, dass im jeweiligen konkreten Einzelfall geprüft wird, welche personenbezogenen Daten für die Einstellung eines Bewerbers und für die Entscheidung über die Einstellung notwendig sind.
Da nach der DSGVO der Verantwortliche ein Verzeichnis aller Verarbeitungstätigkeiten führen muss (Art. 30 Abs. 1 DSGVO), sollte das gesamte Bewerbungsverfahren in einem eigenen Verzeichnis als Verarbeitungstätigkeit dokumentiert sein. Dabei ist zu bedenken, dass die Bewerbungsunterlagen auf unterschiedlichen Wegen zum Unternehmen kommen können, beispielsweise per E-Mail oder Post. Gegenüber Bewerbern sind die Informationspflichten nach Art. 13 DSGVO zu beachten und umzusetzen.
Ist das Bewerbungsverfahren beendet oder die Stelle besetzt, ist eine weitere Speicherung von Bewerbungsdaten und Bewerbungsunterlagen nicht mehr notwendig. Es greifen die gesetzlichen Grundsätze zur Zweckbindung, Datenminimierung und Speicherbegrenzung.
Mit anderen Worten: Es ist die Löschung der Bewerbungsunterlagen im Einzelnen zu dokumentieren. Hier hat sich bei den Aufsichtsbehörden die Meinung herausgebildet, dass Bewerbungsunterlagen ma-ximal 6 Monate gespeichert werden können.
Hintergrund dieser Begrenzung ist, dass abgelehnte Bewerber Ansprüche aus möglichen Diskriminierungstatbeständen aus dem AGG geltend machen können. Dafür gilt eine dreimonatige Verjährungsfrist. Unter Berücksichtigung der organisatorischen Abläufe bei den Arbeitsgerichten wird von den Aufsichtsbehörden davon ausgegangen, dass in einem Zeitraum von maximal 6 Monaten mögliche Klagen aufgrund des AGG beim Ar-beitgeber eingehen.
Nach Ablauf dieser Frist gibt es keine Gründe mehr, die personenbezogenen Daten zu speichern.
Die bisher in § 5 BDSG geregelte Anforderung, dass Mitarbeiterinnen und Mitarbeiter eine „Verpflichtung auf das Datengeheimnis“ unterzeichnen müssen, besteht ab dem 25.05.2018 so nicht mehr. Allerdings bedeutet dies nicht, dass eine entsprechende Verpflichtung entfallen kann.
Beispielsweise wird nach Art. 32 Abs. 4 DSGVO erwartet, dass der Verantwortliche und Auftragsverarbeiter alles Notwendige unternehmen, um sicherzustellen, dass Mitarbeiterinnen und Mitarbeiter personenbezogene Daten nur auf Anweisung des Verantwortlichen verarbeiten. Daneben bleiben weitere gesetzliche Verpflichtungen bestehen, beispielsweise der Schutz von Geschäfts- und Betriebsgeheimnissen (§§ 17, 18 UWG) oder das Fernmeldegeheimnis nach § 88 TKG.
Wenn der Arbeitgeber personenbezogene Daten verarbeiten möchte und sich beispielsweise nicht sicher ist, ob dies im Rahmen der gesetzlichen Anforderungen möglich ist, kann nach Art. 7 DSGVO und § 26 Abs. 2 BDSG-neu eine Ein-willigung erfolgen. Allerdings wird erwartet, dass die Einwilligung der Mitarbeiterin-nen und Mitarbeiter freiwillig ist.
Zur Beurteilung, ob eine Freiwilligkeit vorliegt, wird auf den Grad der Abhängigkeit des Beschäftigten sowie auf die konkreten Umstände des Einzelfalls abgestellt. Gemäß § 26 Abs. 2 BDSG wird unter anderem von einer Freiwilligkeit ausgegangen, wenn für den Arbeitnehmer ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder der Arbeitgeber und der Arbeitnehmer gleich gelagerte Interessen verfolgen.
Da der Arbeitgeber als Verantwortlicher letztendlich nachweisen muss, dass eine ordnungsgemäße Einwilligung vor-liegt, scheidet eine mündliche Einwilligung aus. Nur eine schriftliche Einwilligung sorgt für eine ausdrückliche Dokumentation. Dies unabhängig davon, dass nach den gesetzlichen Regelungen auch grundsätzlich erwartet wird, dass eine Einwilli-gung schriftlich erfolgt (§ 26 Abs. 2 BDSG-neu).
Im Rahmen der Einwilligung muss der Arbeitgeber dem Arbeitnehmer alle Informationen zur Verfügung stellen, die für die Entscheidung erheblich sind. Nach wie vor wird von dem Grundsatz einer sogenannten „informierten Einwilligung“ ausgegangen. Eine Einwilligung kann also unwirksam sein, wenn der Arbeitnehmer nicht ausreichend über die Hintergründe der von ihm geforderten Einwilligung belehrt wird.
Daneben erwartet der Gesetzgeber nach Art. 33 DSGVO, dass Datenpannen der Aufsichtsbehörde gemeldet werden. Wenn beispielsweise Unberechtigte auf personenbezogene Daten Zugriff nehmen konnten und diese zur Kenntnis nehmen konnten, entsteht eine entsprechende Meldepflicht. In Art. 33 DSGVO ist eine Informationspflicht gegenüber den Datenschutzaufsichtsbehörden geregelt, in Art. 34 DSGVO eine Anzeigepflicht gegenüber dem Betroffenen.
Es ist eine abgestufte Meldepflicht vorgesehen, die im Einzelfall zu beurteilen ist. Nach der DSGVO wird erwartet, dass eine entsprechende Meldung über eine Datenpanne innerhalb von 72 Stunden nach Bekanntwerden der Datenpanne erfolgt.
Bei einem ausscheidenden Mitarbeiter ist daher zu prüfen, welche personenbezogenen Daten gelöscht werden können. Hier ist beispielsweise auch an die personenbezogenen Daten auf einem Diensthandy oder in den elektronischen Einrichtungen eines Firmenfahrzeugs zu denken, insbesondere wenn dies auch privat genutzt werden durfte.
Der Arbeitnehmer kann auch zukünftig verlangen, dass eine Löschung der Daten erfolgt. Allerdings besteht die Löschungspflicht nicht unbegrenzt. Beispielsweise müssen Arbeitnehmerdaten nicht gelöscht werden, wenn diese noch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden (Art. 17 Abs. 3e DSGVO). Auch die Erfüllung einer rechtlichen Verpflichtung führt dazu, dass ein Löschungsbegehren nicht umzusetzen ist (Art. 17 Abs. 3b DSGVO).
Bei der Zusammenarbeit mit externen Dienstleistern, wie beispielsweise Personalagenturen, Steuerberatern oder anderen Drittunternehmen, sind ebenfalls die datenschutzrechtlichen Regelungen zu beachten. Bisher hieß diese Art der Zusammenarbeit „Auftragsdatenverarbeitung“. Im Wording der DSGVO heißt die Tätigkeit nunmehr „Auftragsverarbeitung“.
Geregelt ist der Fall der Auftragsverarbeitung insbesondere in Art. 28 DSGVO. Für die Auftragsverarbeiter ergibt sich eine neue Haftungssituation. Nach Art. 28 DSGVO ist bei datenschutzrechtlichen Verstößen sowohl der Auftraggeber als auch der Auftragnehmer, sprich der Auf-tragsverarbeiter, mit verantwortlich.
Beispielsweise geht die bayrische Landesdatenschutzaufsicht davon aus, dass Auftragnehmer zum Vertragsschluss ein Datenschutzkonzept vorlegen müssen. Im weiteren Verlauf des Vertragsverhältnisses kann dann durch Zertifizierungen nachgewiesen werden, dass die datenschutzrechtlichen Standards eingehalten werden.
Alternativ ist vorgesehen, dass mindestens einmal jährlich ein Audit stattfindet. Der Auditbericht und der vollständige Prüfbericht sollen dem Auftraggeber zur Prüfung und Überwachung übermittelt werden. Hier ergeben sich auch für Auftragnehmer ganz neue Herausforderungen.