Datenschutzgrundverordnung: Haben Ihre Mitarbeiter wirksam in die Verarbeitung personenbezogener Daten eingewilligt? Stichtag: 25.05.2018

Die Datenschutzgrundverordnung (DSGVO) ist bereits am 24.06.2016 in Kraft getreten, aber erst ab dem 25.05.2018 wird sie ihre unmittelbare Wirkung entfalten. Den in Artikel (Art.) 88 DSGVO eröffneten Spielraum für Regelungen zur Datenverarbeitung im Beschäftigungsverhältnis hat die Bundesregierung durch die Neuregelung des Bundesdatenschutzgesetzes (BDSG 2018) genutzt und zusätzliche Regelungen geschaffen. Für ein Arbeitsverhältnis bedeutet dies konkret:

1) Anwendungsbereich

Geschützt wird die Verarbeitung personenbezogener Daten. Laut Definition des Art. 4 Nr. 1 DSGVO handelt es sich hierbei um alle Informationen, die sich auf eine entweder identifizierte oder identifizierbare Person beziehen. Es handelt sich hierbei um Daten, die entweder ganz oder teilweise automatisiert verarbeitet oder in einem Dateisystem gespeichert werden. Jeder Eintrag in eine Personalverwaltungssoftware ist vom Schutz des Gesetzes erfasst. Geben Sie die Daten einem Steuerbüro zur Abrechnung, muss auch dies dokumentiert sein.

2) Einwilligung in die Datenverarbeitung

Eine wirksame Einwilligung Ihrer Mitarbeiter setzt voraus, dass diese in voller Kenntnis des Umfangs der Datenverarbeitung freiwillig ihr Einverständnis erklären. Dies kann bereits im Arbeitsvertrag niedergelegt sein. Neu ist allerdings, dass bei Erteilung der Einwilligung die betroffenen Mitarbeiter über ihr Widerrufsrecht informiert werden müssen, Art. 7 DSGVO. Im Zweifel sollten Sie eine neue Einwilligung einholen.

Denken Sie daran, dass diese leicht verständlich sein muss! Diese Einwilligung muss nicht unbedingt schriftlich erfolgen, aufgrund Ihrer Rechenschaftspflicht empfiehlt sich aber die Schriftform. Nach § 26 Abs. 2 BDSG 2018 kann von einer freiwilligen Einwilligung ausgegangen werden, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder der Arbeitgeber und die beschäftigte Person gleichgelagerte Interessen verfolgen. Dies kann die Aufnahme des Geburtsdatums in eine Geburtstagsliste umfassen, aber auch die Nutzung von Fotos für das Intranet.

3) Rechenschaftspflicht

Nach Art. 5 Abs. 2 DSGVO muss der Arbeitgeber als Verantwortlicher für die Einhaltung der DSGVO Rechenschaft darüber ablegen können, dass die Grundsätze der DSGVO eingehalten werden. Können Sie das nicht, drohen empfindliche Bußgelder.

Folgende Grundsätze der DSGVO sind einzuhalten:

• Rechtmäßigkeit
• Verarbeitung nach Treu und Glauben
• Transparenz
• Zweckbindung
• Datenminimierung
• Richtigkeit
• Löschung der Daten nach Zweckereichung (laut DSGVO: "Recht auf Vergessenwerden")
• Integrität und Vertraulichkeit

4) Nicht erhoben werden dürfen personenbezogene Daten "besonderer Kategorien"

Besondere Kategorien personenbezogener Daten dürfen nicht erhoben werden, es sei denn, dies ist nach Art. 9 Abs. 2 DSGVO ausnahmsweise erlaubt.

Als besondere Kategorien personenbezogener Daten definiert die DSGVO die ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben bzw. der sexuellen Orientierung.

Im Arbeitsverhältnis dürfen aber besondere Kategorien personenbezogener Daten aus Gründen der Abrechnung verarbeitet werden, etwa die Konfession (steuerliche Gründe) oder die Erfassung von Arbeitsunfähigkeitszeiten (Entgeltfortzahlung).

5) Dokumentationspflichten

Nach Art. 30 Abs. 1 DSGVO muss ein Arbeitgeber stets ein aktuelles Verzeichnis darüber führen, welche Verarbeitungstätigkeiten durchgeführt werden. Das Verzeichnis muss die folgenden Angaben enthalten:

• Name und Kontaktdaten des Verantwortlichen
• Name und Kontaktdaten des Datenschutzbeauftragten
• Zweck der Verarbeitung
• Beschreibung der Kategorien der Arbeitnehmer
• Aufzählung der Empfänger personenbezogener Daten
• Fristen für die Löschung der personenbezogenen Daten
• Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen

Konkret bedeutet dies im Arbeitsverhältnis, dass die Verwaltung der Personalakten, die Arbeitszeiterfassung, die Lohn- und Gehaltsabrechnung sowie der Umgang mit Bewerbungen dokumentiert werden muss.

6) Arbeitnehmer hat Recht auf Datenübertragung

Neu ist, dass nach Art. 20 DSGVO Arbeitnehmer das Recht haben, die bereitgestellten personenbezogenen Daten auf sich oder einen Dritten zu übermitteln. Die Übermittlung muss in einem strukturierten, gängigen und maschinenlesbaren Format erfolgen. Hierbei kommen marktübliche Formate in Betracht, die möglichst keine hohen Lizenzgebühren auslösen.

7) Meldepflicht bei Datenpannen

Den nach Landesrecht zuständigen Aufsichtsbehörden muss innerhalb von 72 Stunden jede Verletzung des Schutzes personenbezogener Daten (Datenpannen) gemeldet werden.

Fazit: Durch diese Neuregelungen ist es unumgänglich die Einwilligungen der Mitarbeiter zu überarbeiten und neu einzuholen. Denken Sie in diesem Zusammenhang daran, dass ein Mitarbeiter seiner Abbildung im Internet ebenfalls ausdrücklich zustimmen muss und er auch diesbezüglich ein jederzeitiges Widerrufsrecht hat.

©Kirsten Weigmann