In diesem Jahr wurde dem Datenschutz in Deutschland eine größere Bedeutung beigemessen, da es seit diesem Jahr verpflichtend für Unternehmen ist, einen Datenschutzbeauftragten zu benennen. Datenschutzbeauftragter kann entweder ein angestellter Mitarbeiter sein oder ein beauftragter externer Datenschutzbeauftragter. Die Enthüllungen zum Datenmissbrauch bei Facebook befeuerten vor einigen Monaten die Diskussion um das Thema Datenschutz. Seit dem 25. Mai 2018 ist sie in Kraft getreten, die Datenschutzgrundverordnung (kurz: DSGVO).
Das Datenschutzgesetz enthält eine ganze Reihe von Anforderungen und Verpflichtungen, an die sich Unternehmen zu halten haben, da ansonsten sogar umsatzabhängige Strafen drohen. Diese Anforderungen umzusetzen, setzt Kenntnisse des Arbeitgebers voraus. Aktuell werden zahlreiche Seminare und Fortbildungen zum Thema DSGVO angeboten.
Zudem kam es in Einzelfällen auch bereits zu Klagen, da das neue Datenschutzgesetz durchaus Angriffspunkte für Arbeitgeber liefert. Dieser Beitrag beschäftigt sich mit den wichtigsten Neuerungen der DSGVO und mit den daraus für den Arbeitgeber resultierenden Verantwortlichkeiten.
Inhalt
Neuerungen bei der Auftragsdatenverarbeitung
Ein Blick in § 11 der DSGVO verrät, dass in den Fällen, wo personenbezogene Daten im Auftrag durch andere Stellen erhoben, verarbeitet oder genutzt werden, immer der Auftraggeber für die Einhaltung der Vorschriften des Datenschutzgesetzes verantwortlich ist. Was personenbezogene Daten überhaupt sind ist ebenfalls im Datenschutzgesetz geregelt. Danach sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Besonders geschützt werden durch die Datenschutzverordnung also natürliche Personen.
Weitergabe von Informationen bei Aufträgen
Der Auftragnehmer hat im Falle einer Weitergabe von personenbezogenen Daten den potenziellen Auftraggeber unter Beachtung und Prüfung der durch ihn getroffenen technischen und organisatorischen Maßnahmen sogfältig auszuwählen und einen Auftragsdatenverarbeitungsvertrag abzuschließen.
Dieser muss Angaben wie zum Beispiel den Gegenstand und die Dauer des Vertrags, die Sicherstellung der Informationssicherheit, bei Personaldienstleistern auch den Arbeitnehmerdatenschutz, Aufbewahrungsfristen von Personalakten, etc. enthalten. Der Vertrag ist in jedem Fall schriftlich abzuschließen.
Erhöhtes Strafmaß
Über das Strafmaß bei Verstößen gegen den Datenschutz kursieren viele zum Teil falsche Informationen im Internet. Nach § 43 des Bundesdatenschutzgesetzes sind Bußgelder von bis zu 50.000 Euro im Einzelfall möglich. § 44 BDSG regelt die strafrechtlichen Sanktionen bei Verstößen gegen den Datenschutz.
Maximale Geldbuße
Nach der in diesem Jahr in Kraft getretenen Verordnung (dort in Artikel 83) beträgt die maximale Geldbuße für ein Unternehmen 20 Millionen Euro oder bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes im vorhergehenden Geschäftsjahr. Es zählt jeweils der höhere der beiden Beträge. Es gilt der Jahresumsatz auf Konzernebene. Ob ein derart hohes Bußgeld angemessen ist, hängt vom Umfang und der Schwere des Datenschutzverstoßes ab.
Bemessungskriterien für die Geldbuße
In Artikel 83 sind Bemessungskriterien definiert, die bei der Bemessung des Strafmaßes heranzuziehen sind. Unter anderem ist entscheidend die Art, Schwere und Dauer des Verstoßes, die Frage ob Vorsatz oder Fahrlässigkeit vorlag, gegebenenfalls frühere Verstöße, die Art und Weise wie der Verstoß der Aufsichtsbehörde bekannt wurde oder auch die Kategorien personenbezogener Daten, die von dem Verstoß betroffen waren. Kurzum lässt sich einfach feststellen, dass je schwerer der Verstoß ausfällt, desto höher die Strafe für das Unternehmen ausfallen wird.
Zuständigkeiten bei Datenschutzverstößen
In Deutschland sind der Bundesbeauftragte für den Datenschutz und die Informationssicherheit und in den Bundesländern die jeweiligen Landesdatenschutzbeauftragten sachlich zuständig. Verstöße werden nach Anzeige durch die Behörden verfolgt und geahndet.
Pflicht zur Berufung eines Datenschutzbeauftragten
Nach der Datenschutzverordnung muss jeder Arbeitgeber der mehr als neun Personen regelmäßig mit automatisierter Datenerhebung, -verarbeitung oder -nutzung beschäftigt einen Datenschutzbeauftragten benennen.
Der Datenschutzbeauftragte muss schriftlich bestellt werden, wobei es empfehlenswert ist, die wichtigsten Aufgaben in der Bestellungsurkunde festzuhalten (Bestellungsurkunde Datenschutzbeauftragter Aufgaben). Beim Datenschutzbeauftragten kann es sich um einen Mitarbeiter (interne Lösung) oder einen beauftragten externen Datenschutzbeauftragten (externe Lösung) handeln.
Datenschutzbeauftragter Aufgaben
Allgemein hat ein Datenschutzbeauftragter in Unternehmen dafür Sorge zu tragen, dass die datenschutzrechtlichen Vorgaben eingehalten werden. Er fungiert als unabhängiges Kontrollorgan im Unternehmen. Konkrete Aufgaben des Datenschutzbeauftragten sind die Kontrolle und Überwachung der Abläufe auf die Einhaltung des Datenschutzgesetzes und der Informationssicherheit sowie der Aufbau einer Datenschutzorganisation mit entsprechenden Datenschutzrichtlinien.
Der Datenschutzbeauftragte ist Ansprechpartner bei allen Fragen zum Datenschutz in Unternehmen. Er ist verpflichtet, alle im Unternehmen mit dem Umgang mit personenbezogenen Daten betrauten Stellen regelmäßig hinsichtlich des Datenschutzes zu schulen. Zudem hat der Datenschutzbeauftragte die rechtmäßige Entsorgung und Löschung personenbezogener Daten zu überwachen.
Die Löschpflicht
Unternehmen sind verpflichtet, unrechtmäßig, das heißt ohne Zustimmung erlangte Daten zu löschen. Generell müssen personenbezogene Daten, die ohne Einwilligung verarbeitet wurden oder bei denen die Einwilligung widerrufen wurde, gelöscht werden. Anders verhält es sich bei der für die Durchführung eines Vertrages verarbeiteten personenbezogenen Daten.
Zum Beispiel sind bei der Lohn- und Gehaltsabrechnung die Kontodaten des Mitarbeiters notwendig, damit das Gehalt überwiesen werden kann. Hier würde auch unter normalen Umständen kein Mitarbeiter Widerspruch einlegen.
Was bedeuten die datenschutzrechtlichen Änderungen für die Personalabteilung?
Die neue Verordnung wirkt sich konkret auf die Arbeitsweise in Personalabteilungen deutscher Unternehmen aus. Bisherige Praktiken in Personalabteilungen sind seit dem 25. Mai 2018 rechtswidrig. Worauf müssen Personalabteilungen in deutschen Unternehmen achten?
Allgemein gilt, dass der Arbeitgeber dafür Sorge zu tragen hat, dass nur ein kleiner Personenkreis im Personalbereich Einsicht in die Personalakten nehmen kann. Der Arbeitgeber muss personenbezogene Daten vor unbefugter Einsichtnahme sichern.
Arbeitgebern ist es nach § 32 BDSG lediglich erlaubt, Daten zu verarbeiten und zu speichern, die für die Aufnahme, Durchführung oder Beendigung eines Beschäftigungsverhältnisses erforderlich sind. Dies schließt auch einen gewissen Zeitraum nach der Beendigung eines Beschäftigungsverhältnisses mit ein, wobei die geplante Dauer, für die personenbezogene Daten gespeichert werden bzw. die Kriterien für die Festlegung dieser Dauer gegenüber dem Mitarbeiter zu kommunizieren sind. Unverhältnismäßig lange Aufbewahrungsdauern sind unzulässig.
Die Aufbewahrungsfrist von Personalakten orientiert sich an der regelmäßigen Verjährungsfrist von Ansprüchen ehemaliger Arbeitnehmer. Die Aufbewahrungsfristen Personalakten (beleghafte aber auch digitale Personalakte) sollten 3 Jahre nicht übersteigen. Arbeitgeber müssen Bewerberdaten löschen, wenn diese nicht mehr benötigt werden. Eine weitere Aufbewahrung von Bewerberdaten nach der Absage setzt in jedem Fall eine schriftliche Einwilligung der betroffenen Person voraus.
Digitalisierung im Personalbereich vorantreiben
Unternehmen sollten massiv den Wandel von der beleggeführten papierhaften hin zur digitalen Personalakte schaffen. Nur eine digitale Personalakte kann die erhöhten Anforderungen durch die Datenschutzverordnung zielführend und nachhaltig umgesetzt werden.
Datenschutzrechtliche Pflichten des Arbeitgebers
Werden personenbezogene Daten in einem Umfang verarbeitet, der über das notwendige Maß zur Vertragsdurchführung hinausgeht, so ist in jedem Fall eine schriftliche Einwilligung des Mitarbeiters einzuholen. Diese sollte möglichst Eingang finden in die digitale Personalakte. Der Personalakte Datenschutz sollte in Unternehmen oberste Priorität haben. Dem Personalakte Datenschutz und dem Arbeitnehmerdatenschutz kommt in der Datenschutzverordnung eine besondere Bedeutung zu, da es sich um besonders schützenswerte, personenbezogene Daten handelt. Der Arbeitnehmerdatenschutz zeigt sich unter anderem in umfangreichend Auskunftsrechten, die dem Mitarbeiter gegenüber seinem Arbeitgeber zustehen.
Grundsätzlich gilt gerade in Personalabteilungen das Gebot der absoluten Informationssicherheit. Gemäß Artikel 13 muss der Arbeitgeber seinen Mitarbeitern den Namen und die Kontaktdaten des Verantwortlichen sowie des Datenschutzbeauftragten sowie die Zwecke der Datenverarbeitung kommunizieren, sobald personenbezogene Daten in der Personalabteilung verarbeitet werden. Unternehmen sind ebenfalls verpflichtet, eine Datenschutzerklärung zu erstellen.
In dieser Datenschutzerklärung ist zu regeln, wie personenbezogene Daten von einem Unternehmen verarbeitet werden und welche technischen und organisatorischen Maßnahmen das Unternehmen ergreift, um die Datensicherheit zu gewährleisten. Die Datenschutzerklärung ist nicht nur intern zu verwenden, sondern auch zum Beispiel auf Homepages, Webshops, etc. zu veröffentlichen. Die Personalabteilung sollte zwecks Absicherung im Zweifel lieber eine Einwilligungserklärung zur Verarbeitung und Speicherung personenbezogener Daten mehr einholen, um nicht Gefahr zu laufen, mit einer Anzeige und damit unter Umständen möglichen Bußgeldzahlungen konfrontiert zu werden.
