Blog – Rechtstipps für Sie

Ab dem 25.05.2018 tritt die EU-DSGVO gemeinsam mit dem neuen Bundesdatenschutzgesetz (BDSG-neu) in Kraft und lösen die bisherige Gesetzgebung ab. Die größten Veränderungen für Unternehmen und Arbeitgeber spielen sich im Bereich der Einhaltung der Datenschutzvorschriften sowie der Dokumentations- und Nachweispflichten, d.h. dem Gebot der Transparenz und der Zweckbindung (Art. 5 DSGVO), ab. Zukünftig werden Verstöße gegen die Datenschutzgrundverordnung ab in Kraft treten verschärft und mit erheblichen Bußgeldern geahndet. Zudem drohen bei mangelnder Dokumentation bzgl. der Einhaltung der DSGVO verlorene Zivilprozesse.

h2>Für wen gilt die DSGVO und was ist genau erfasst?

Vom Anwendungsbereich der DSGVO erfasst werden Unternehmen, die in der EU ansässig sind, aber auch Unternehmen mit Sitz außerhalb der EU, wenn diese eine Niederlassung in der EU haben oder Daten von Personen aus der EU verarbeiten. Verarbeiten umfasst dabei alles, was mit Speichern und dem Umgang mit personenbezogenen Daten zu tun hat.
Die DSGVO gilt für ganz oder teilweise automatisierte Datenvorgänge. Das heißt, es betrifft nicht nur Daten, die in einem digitalisierten Dateisystem gespeichert sind oder werden, sondern auch solche, die nichtautomatisiert z.B. in Karteikästen abgelegt werden, sofern es sich um personenbezogene Daten handelt.
Unter personenbezogenen Daten sind alle Informationen, die eine Person direkt oder indirekt identifizierbar machen, zu verstehen. Das ist der Fall, wenn die Person mittels Zuordnung wie einem Namen, Telefonnummer, Geburtsdatum, einer Kennnummer, Standortdaten oder anderen besonderen Merkmalen identifiziert werden kann.

Rechtsgrundlagen für eine Datenverarbeitung

Grundsätzlich bedarf es bei der Verwendung personenbezogener Daten einer gesetzlichen Rechtsgrundlage. Für Arbeitgeber ergibt sich diese aus § 26 Abs. 1 S. 1 BDSG-neu. Sofern die Voraussetzungen dafür nicht erfüllt sind, können Daten auf Grundlage von Betriebsvereinbarungen erhoben werden oder die betroffene Person willigt in die Datenverarbeitung freiwillig und ausdrücklich ein (Art. 7 und 8 DSGVO).

Neu ist bei der Einwilligung das Kopplungsverbot, d.h. eine Einwilligung gilt nur dann als freiwillig erfolgt, wenn sie nicht zur Bedingung für die Ausführung eines Vertrages gemacht wird, obwohl sie hierfür nicht notwendig ist, Art. 7 Abs. 4 DSGVO. Zudem bezieht sich die Einwilligung immer nur auf einzelne Verwendungszwecke, die dem Mitarbeiter möglichst genau mitzuteilen sind.
Bsp. Wird das Profilbild ergänzend zum News-Blog der Kanzleihomepage verwendet, sollte die Einwilligung diese Darstellungsweise ausdrücklich mit umfassen.
Zudem müssen Arbeitgeber zukünftig beachten, dass sie die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht in Textform aufzuklären haben (§ 26 Abs. 2 Satz 4 BDSG-neu).

Worauf müssen Arbeitgeber bei der Erhebung und Speicherung von Bewerberdaten achten?

Gemäß Art. 13 Abs. 1 und 2 DSGVO gilt künftig, dass Unternehmen ihre Bewerber beim Eingang der Unterlagen über die Art der Datenerhebung informieren müssen. Das heißt: Der Arbeitgeber muss dokumentieren, welcher ausgeschriebenen Stelle die Bewerbungsunterlagen zugeordnet und wie lange die Unterlagen für den Bewerbungsvorgang gespeichert werden. Ist die Stelle einmal besetzt, besteht kein Grund mehr, die Informationen der abgelehnten Kandidaten aufzubewahren, es sei denn der Kandidat erteilt sein ausdrückliches Einverständnis, dass seine Unterlagen z.B. für eine andere Vakanz weiter gespeichert werden. Ist das nicht der Fall, müssen die Unterlagen zurückgegeben oder die Daten innerhalb von 3 Monaten gelöscht werden, es sei denn gegen den Arbeitgeber werden Diskriminierungsvorwürfe (§15 Abs.4 AGG) erhoben.

Gemäß Art. 15 DSGVO haben Bewerber zudem künftig das Recht, von dem Unternehmen umfangreiche Auskunft über die gespeicherten Daten zu verlangen, weswegen eine fortlaufende Dokumentation hinsichtlich des Zwecks der Datenspeicherung unerlässlich ist. Die Beweislast hinsichtlich der Einhaltung des Datenschutzes liegt bei dem Unternehmen.

Weitere Informationen zum Thema Arbeitsrecht Hamburg erhält man auch unter https://scharf-und-wolter.de/fachanwalt-hamburg/fachanwalt-arbeitsrecht/ sowie unter Anwalt Hamburg

 

Die neuen Informationspflichten und Auswirkungen von Datenschutzverletzungen

Künftig müssen Unternehmen nach Art. 12 DSGVO Arbeitnehmer deutlich umfassender als bislang und in einer nachvollziehbaren Weise darüber informieren, ob und wie sie deren Daten verarbeiten. Dabei gilt, dass der Arbeitgeber die betroffene Person von der Verarbeitung ihrer personenbezogenen Daten „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer einfachen und klaren Sprache“ unterrichten muss. Hier müssen dem Arbeitnehmer u.a. der Zweck der Verarbeitung, die Empfänger der Daten und die Dauer der Speicherung zum Zeitpunkt der Datenerhebung mitgeteilt werden (Art. 13 DSGVO).

Neben diesen Informationspflichten der Arbeitgeber haben die Arbeitnehmer zusätzlich, wie auch die Bewerber im Bewerbungsverfahren (wurde im letzten Artikel ausgeführt), ein weitergehendes Auskunftsrecht als bisher über die Verarbeitung ihrer Daten nach Art. 15 DSGVO.
Wurde der Datenschutz beim Umgang mit personenbezogenen Daten von Mitarbeitern verletzt, so muss diese Verletzung nach dem neuen Art. 33 DSGVO (bisher war dies in § 42a BDSG geregelt) der Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden der Verletzung gemeldet werden, es sei denn, das Risiko für persönliche Rechte und Freiheiten des Arbeitnehmers ist unwahrscheinlich. Zudem muss der Arbeitnehmer selbst benachrichtigt werden, wenn ein hohes Risiko für seine Rechte und Freiheiten besteht.

Die neue Datenschutz-Folgenabschätzung

Wozu dient eine DSFA?

Immer dann, wenn eine Datenverarbeitung voraussichtlich ein hohes oder ein sehr hohes Risiko für die persönlichen Rechte und Freiheiten des Arbeitnehmers zur Folge hat, hat der Arbeitgeber künftig vor deren Einführung eine Datenschutz-Folgenabschätzung (DSFA) gem. Art. 35 Abs. 1 DSGVO vorzunehmen und zu ermitteln, welche Folgen eine geplante Verarbeitung für den Schutz der Daten von Arbeitnehmern hätte.

Die DSFA ist ein wichtiges Mittel, um Risiken in Bezug auf den Datenschutz effektiv bewerten und reduzieren zu können, sie ist also so gesehen eine Risikoanalyse. Grundsätzlich ist sie nichts anderes als die bereits bekannte Vorabkontrolle gem. § 4d Abs. 5 BDSG.

Je risikoreicher und schadensgeneigter die Verarbeitung von Daten für Arbeitnehmer sein kann, umso höhere Anforderungen stellt die DSGVO an die Anwendung. Lässt sich ein hohes Risiko nicht durch angemessene technische und/oder organisatorische Maßnahmen reduzieren, ist vorab eine Genehmigung der Aufsichtsbehörde nach Art. 36 DSGVO einzuholen.

Wie werden Mitarbeiterdaten nach der Risikoanalyse bewertet?

1. Geringes/Mittleres Risiko: bei Anschriften, Kontaktdaten, Daten über Geschäfts- und Vertragsbeziehungen. Hier wäre das Risiko für den Arbeitnehmer als tolerabel einzustufen.
2. Hohes Risiko: bei sensiblen Daten wie, insbesondere Beurteilungen der beruflichen Laufbahn und Angaben über Behinderung. Hier hätte ein möglicher Datenmissbrauch erhebliche Auswirkungen für den Arbeitnehmer.
3. Sehr hohes Risiko: bei hochsensiblen Daten wie Adressen von Zeugen in bestimmten Strafverfahren. Hier wäre die Verarbeitung für den Betroffenen als nicht tolerabel einzustufen.
Folgen von Verstößen für Arbeitgeber und Unternehmen
Bislang waren Verstöße gegen die Vorgaben zur Datensicherheit beziehungsweise zu den technischen und organisatorischen Maßnahmen nach § 9 BDSG nicht bußgeldbewehrt.
Mit der Einführung des Art. 32 DSGVO werden die künftigen Vorgaben zur Datensicherheit neu geregelt. Die Verordnung erweitert durch Art. 82 DSGVO deutlich Schadensersatzansprüche wegen tatsächlicher oder behaupteter Datenschutzverstöße.

Demnach können nicht nur materielle, sondern auch immaterielle Schäden geltend gemacht werden, was eine deutliche Änderung zum bisher bestehenden deutschen Recht (§ 7 BDSG) darstellt. Verstöße gegen Organisationsregeln werden mit bis zu 2 Prozent des weltweiten Vorjahresumsatzes oder bis zu 10 Millionen Euro, je nachdem welche Summe höher ist, geahndet.
Bei Verstößen gegen die Rechte von betroffenen Person fallen zukünftig Bußgelder von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Vorjahresumsatzes an, je nachdem welche Summe höher ist.

Weitere Informationen zum Thema Arbeitsrecht Hamburg erhält man auch unter https://scharf-und-wolter.de/fachanwalt-hamburg/fachanwalt-arbeitsrecht/ sowie unter Anwalt Hamburg

 

Neben den neuen weitreichenderen Informationspflichten ergeben sich für den Arbeitgeber künftig auch umfassende Nachweispflichten. Als große Erneuerung ist in Art. 5 DSGVO die Rechenschaftspflicht geregelt. Der Arbeitgeber muss jetzt nicht nur die Sicherheit der Verarbeitung von personenbezogenen Daten gewährleisten, sondern ist darüber hinaus verpflichtet, Nachweise darüber zu erbringen. Er ist bezüglich der Einhaltung der Grundsätze der DSGVO Gerichten und Aufsichtsbehörden gegenüber beweisverpflichtet.
Daher ist es zwingend notwendig, dass Mitarbeiter über die Einhaltung der Datenschutzvorschriften geschult werden sowie das Unternehmen zuverlässige Datenschutz-Managementsysteme inklusive Risikoanalysen, Prozessen und Kontrollen einführen.

Verzeichnis über Verarbeitungstätigkeiten

Nach Art. 30 DSGVO sind künftig alle Verantwortlichen verpflichtet, ein Verzeichnis über Verarbeitungstätigkeiten zu führen. Eine Freistellung der Verpflichtung für Unternehmen und Einrichtungen kann bei weniger als 250 Mitarbeitern beantragt werden aber auch nur dann, wenn die Verarbeitung von personenbezogenen Daten gelegentlich erfolgt und keine besonderen Datenkategorien wie Gesundheits- oder Religionsdaten verarbeitet werden.
Jedes Unternehmen, das also für seine Beschäftigten Lohnsteuererklärungen zur Abführung von Kirchensteuer oder Gesundheitsdaten zur Feststellung von Krankheitstagen hält, ist nicht befreit.

Zusätzlicher Datenschutzbeauftragter

Das Thema des Datenschutzbeauftragten wird in Art. 37 DSGVO,. § 38 BDSG-neu geregelt. Danach benötigen Unternehmen, die mehr als 10 Mitarbeiter mit der Verarbeitung von Daten beschäftigen, einen Datenschutzbeauftragten, der intern oder extern ernannt wird. Unabhängig von der Mitarbeiterzahl benötigen Unternehmen grundsätzlich einen Datenschutzbeauftragten, deren Kerntätigkeit die Verarbeitung von personenbezogenen Daten ist. Hier sind bspw. Werbeagenturen und Optiker zu nennen.
Dem Datenschutzbeauftragten kommen nach Art. 39 DSGVO neue Überwachungsplichten zu. Nach der alten Rechtslage sollte der Datenschutzbeauftrage nur auf die Einhaltung der Datenschutzvorschriften hinwirken, während er jetzt die Einhaltung und Durchführung überwachen muss.

Der Datenschutzbeauftragte sollte vom Verantwortlichen auch weiterhin schriftlich ernannt werden. Qualifikationen und Erfahrungen mit dem Umgang gesetzlicher Datenschutzvorschriften sollten für die Benennung eine ausschlaggebende Rolle spielen, wobei Datenschutzbeauftragten auch nach der Ernennung die Möglichkeit gegeben werden muss, an Schulungen und Weiterbildungen teilzunehmen.
Der Datenschutzbeauftragte ist verantwortlich für die Einhaltung und Überwachung der Datenschutzvorschriften. Darüber hinaus ist er Berater für den Verantwortlichen hinsichtlich der Datenschutz-Folgenabschätzung. Er arbeitet mit den Aufsichtsbehörden zusammen und ist auch Ansprechpartner für diese (Art. 37 DSGVO, § 38 BDSG-neu).
Ganz wichtig ist, dass der Datenschutzbeauftrage gemäß § 38 Abs. 2 BDSG-neu in Verbindung mit § 6 Abs. 4 BDSG-neu (§ 4f Abs. 3 BDSG-alt) nur gekündigt werden kann, wenn ein Grund für eine fristlose Kündigung gegeben ist (§ 626 BGB). Das bedeutet Sie sollten sich vorab gut überlegen, wen Sie zum Datenschutzbeauftragen ernennen, da Sie sich nach seiner Ernennung nur noch unter erschwerten Bedingungen von ihm trennen können.

Weitere Informationen zum Thema Arbeitsrecht Hamburg erhält man auch unter https://scharf-und-wolter.de/fachanwalt-hamburg/fachanwalt-arbeitsrecht/ sowie unter Anwalt Hamburg

 

Wurde ein Arbeitsverhältnis beendet, stellt sich für viele Arbeitgeber die Frage, wie mit den Daten des Arbeitnehmers umzugehen ist. Diesbezüglich gibt es erhebliche Neuerungen, auf die Arbeitgeber in Zukunft achten müssen.

Löschungspflicht und Recht auf Vergessenwerden, Art. 17 DSGVO

Zukünftig sieht Art. 17 DSGVO, anders als bislang § 35 BDSG, mit dem neuen Recht auf Vergessenwerden umfassendere Löschpflichten des Arbeitgebers vor. Die Löschpflichten konkretisieren den Grundsatz der Speicherbegrenzung, wonach Daten nur verarbeitet werden dürfen, solange dies für den verfolgten Zweck erforderlich ist. Liegt einer der in Art. 17 Abs. 1 DSGVO genannten Löschgründe vor, so muss der Arbeitgeber die davon betroffenen personenbezogenen Daten unverzüglich löschen und alle Empfänger von diesen Daten über die Löschung informieren.
Löschgründe sind z.B. Erledigung des Zwecks, Widerruf einer Einwilligung, unrechtmäßige Verarbeitung oder eine rechtliche Verpflichtung zum Löschen.

Tipp: Um sicherzustellen, dass Daten nicht länger als nötig gespeichert werden, sollten Arbeitgeber regelmäßig prüfen, ob ein Löschungsgrund vorliegt.

Veröffentlichung von Mitarbeiterdaten

Hat der Arbeitgeber die personenbezogenen Daten sogar öffentlich gemacht, so muss er zusätzlich angemessene, auch technische, Maßnahmen ergreifen, um die Adressaten über den Löschungswunsch zu informieren. Damit haben Betroffene zukünftig das Recht, Informationen leichter wieder löschen zu lassen, wie z.B. Links zu den betroffenen Daten, Kopien und Replikationen.
Bsp.: Hinsichtlich der Daten und Fotos im Mitarbeiterprofil ist davon auszugehen, dass diese selbstständig von dem Arbeitgeber unverzüglich zu löschen sind. Ein Tätigwerden entspricht nicht nur dem Interesse des ehemalig Beschäftigten, sondern auch des Unternehmens, um Missverständnisse, wer wo für wen arbeitet, zu vermeiden.
Zudem kann nach Beendigung des Arbeitsverhältnisses davon ausgegangen werden, dass der Arbeitnehmer seine Einwilligung bezüglich der weiteren Veröffentlichung von Daten, bspw. von Profilbildern auf der Homepage, widerruft. Ausgeschlossen werden kann die Befugnis zum Widerruf in Ausnahmefällen, wenn bspw. die Veröffentlichung von Fotos als solche Teile des Arbeitsvertrages sind, z.B. bei Models oder Schauspielern.

Keine sofortige Löschung des E-Mail-Accounts

Beim Ausscheiden des früheren Mitarbeiters stellt sich häufig die Frage, ob der Arbeitgeber den E-Mail-Account seines früheren Mitarbeiters ohne weiteres löschen darf. Wurde vom Arbeitgeber auch die private Nutzung des E-Mail-Postfachs gestattet, so vertritt die Rechtsprechung hierzu die Ansicht, dass von einer Löschung des E-Mail-Accounts solange Abstand genommen werden sollte, bis hinreichend geklärt ist, ob der Arbeitnehmer an einer Nutzung der Datenbestände seines Accounts kein Interesse mehr hat. Löscht der Arbeitgeber umgehend nach Beendigung des Arbeitsverhältnisses das E-Mail-Postfach des Arbeitnehmers, ohne dass feststeht, dass dieser für die auf dem Account abgelegten Daten keine Verwendung mehr hat, macht er sich diesem gegenüber schadensersatzpflichtig.
Wurde die private Nutzung des E-Mail-Postfachs hingegen ausgeschlossen, so darf der Arbeitgeber alle dienstlichen sowie auch (unbefugten) privaten E-Mails löschen, da der Arbeitnehmer dem Arbeitgeber bei Beendigung des Arbeitsverhältnisses alles herauszugeben hat, was er im Rahmen des Beschäftigungsverhältnisses erlangt hat.

Recht auf Datenübertragbarkeit, Art. 20 DSGVO

Auch neu ist das Recht auf Datenübertragbarkeit, das jetzt in Art. 20 DSGVO geregelt ist. Das neue Recht gibt Betroffenen die Möglichkeit, ihre Daten zu einem anderen Arbeitgeber „mitnehmen“ zu können. Arbeitgeber müssen Datensätze deswegen portabel gestalten können. Die Datenportabilität begründet darüber hinaus den Anspruch betroffener Personen auf eine Kopie verarbeiteter Daten. Die Übergabe muss in einem gängigen, strukturierten und maschinenlesbaren Format erfolgen. Für die Praxis wird die Umsetzung dieser Regelung aufwändig und auch teuer werden.

Weitere Informationen zum Thema Arbeitsrecht Hamburg erhält man auch unter https://scharf-und-wolter.de/fachanwalt-hamburg/fachanwalt-arbeitsrecht/ sowie unter Anwalt Hamburg