Der Arbeitgeber und der neue Datenschutz

Arbeitsrecht

Der Arbeitgeber und der neue Datenschutz der DS-GVO

Teil I: Der neue Datenschutz gilt für alle Arbeitgeber. Was müssen diese beachten? Grundlegende Einführung:

 

• Jeder Arbeitgeber muss für jeden seiner Arbeitnehmer je eine Personalakte führen, in der er den Arbeitsvertrag, Lohnabrechnungen, Atteste u.a. sammelt und aufbewahrt. D.h. es werden für den Arbeitnehmer Daten erhoben, verwaltet, bestimmte Daten werden auch wieder gelöscht oder es kommen neue hinzu und damit werden Daten des Arbeitnehmers insgesamt durch den Arbeitgeber verarbeitet. Wer als Arbeitgeber Daten verarbeitet, fällt ausnahmslos unter das neue DS-GVO und muss u.a. eine Liste im Betrieb führen dort muss er genau schildern, welche verschiedenen Arten von Datenverarbeitung er betreibt. Diese Liste muss jederzeit vorzeigbar für die Aufsichtsbehörde ausliegen.

 

• Selbst Kleinbetriebe, die weniger als 250 Arbeitnehmer haben, müssen ein solches Verzeichnis über Ihre Datenverarbeitungstätigkeiten führen, weil die Datenverarbeitung immer ein Risiko für die Rechte der Arbeitnehmer bietet. Die Datenverarbeitung läuft regelmäßig fort. Die Arbeitnehmerdaten sind durchweg sehr sensible Daten. Es sind Daten wie z.B. Alter, Adresse, Personenstand, Religionszugehörigkeit, Kinder u.a..

 

• Art. 6 Abs. 1 Buchstabe b DSGVO regelt zur Datenverarbeitung was folgt: „Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:……………….. die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;

 

• Das ist z.B. der Fall, wenn ein Arbeitsvertrag abgeschlossen werden muss. Wer einen Mitarbeiter beschäftigen will, ist verpflichtet, einen schriftlichen Arbeitsvertrag abzuschließen. Das ist z.B. Datenverarbeitung. Ein Arbeitsvertrag umfasst viele persönliche Daten aber auch die Lohnabrechnung und viele andere Dinge, die den Arbeitnehmer in Bezug auf den Arbeitgeber betreffen.

 

• § 26 Abs. 1 BDSG:

^„Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. ²Zur Aufdeckung von Straftaten dürfen personenbezogene Daten von Beschäftigten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.“

• Wann muss ein Arbeitgeber einen Datenschutzbeauftragten gemäß § 37 DSGVO benennen? Ob ein betrieblicher Datenschutzbeauftragter bestellt werden muss, richtet sich nach Art. 37 Abs. 1 DS-GVO iVm. § 38 BDSG (neu):

Er beschäftigt in der Regel mindestens 10 Personen mit der automatisierten Verarbeitung personenbezogener Daten zu tun haben. Das genügt, wenn 10 Mitarbeiter mit Personalakten in Berührung kommen;

Die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters liegt in der umfangreichen Verarbeitung von Kategorien von Daten gemäß Art. 9 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DS-GVO;

– Gesundheitsdaten
– Daten mit rassischer und ethnischer Herkunft
– Daten über Straftaten oder strafrechtliche Verurteilungen
– Daten zum Sexualleben oder sexuellen Orientierung
– politische, religiöse oder weltanschauliche Überzeugungen
– Gewerkschaftszugehörigkeit
– genetische und biometrische Daten

 

• Möglicher Inhalt eines Verzeichnisses von Verarbeitungstätigkeiten eines gewerblichen Arbeitgebers in einem möglichen Formular:

 

Verzeichnis von Verarbeitungstätigkeiten eines Verantwortlichen i.S. von Art. 30 Abs. 1 DSGVO

 

Formularmuster:

 

Angaben zum Verantwortlichen:

Name, Kontaktdaten, natürliche Person, juristische Person, Behörde, Einrichtung etc.

Name

Straße

Postleitzahl

Ort

Telefon

E-Mail-Adresse

Internet-Adresse

 

 

 

Angaben zum ggf. gemeinsam mit diesem Verantwortlichen

Name, Kontaktdaten, natürliche Person, juristische Person, Behörde, Einrichtung etc.

Name

Straße

Postleitzahl

Ort

Telefon

E-Mail-Adresse

Internet-Adresse

 

 

 

 

Angaben zum Vertreter des Verantwortlichen

Name, Kontaktdaten, natürliche Person, juristische Person, Behörde, Einrichtung etc.

Name

Straße

Postleitzahl

Ort

Telefon

E-Mail-Adresse

Internet-Adresse

 

  

Angaben zur Person des Datenschutzbeauftragten

(extern mit eigener Anschrift)

 

Anrede

Name

Straße

Postleitzahl

Ort

Telefon

E-Mail-Adresse

Internet-Adresse

 

 

Verarbeitungstätigkeit:

 

Benennung

Datum der Einführung:                                      Datum der letzten Äderung:

 

Verantwortliche

Fachabteilung

Ansprechpartner

Telefon

E-Mail-Adresse

Zwecke der Verarbeitung

 

Name des eingesetzten Verfahrens (optional)

 

Beschreibung der Kategorien betroffener Personen

-Beschäftigte

-Interessenten

-Lieferanten

-Kunden

-Patienten

-

-

-

 

 

Beschreibung der Kategorien von personenbezogenen

Daten

 

 

Besondere Kategorien personenbezogener Daten gemäß § 9 DSGVO

 

 

 

Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offen

gelegt worden sind oder noch werden

• Intern (Zugriffsberechtigte)
• Extern (Empfängerkategorie)
• Drittland oder internationale Organisation

 

Ggf. Übermittlungen von personenbezogenen Daten an ein Drittland oder an eine

internationale Organisation                                                    -Datenübermittlung findet nicht

                                                                                                   statt und ist auch nicht geplant

                                                                                                  -Datenübermittlung findet wie

                                                                                                   folgt statt:

Nennung der konkreten Datenempfänger

-Drittland oder internationale Organisation;

 

 

 

 

 

 

Sofern es sich um eine in Art. 49 Abs. 1 Untersatz 2 DS GVO genannte

Datenübermittlung handelt                                                  Dokumentation geeigneter

                                                                                               Garantien;

 

Fristen zur Löschung verschiedener

Datenkategorien

 

Ende Formularmuster

 

• Neue Verpflichtungen nach dem DSGVO:

-Recht auf Vergessen werden, Recht auf Löschung der einmal gespeicherten Daten: Ein potentieller Arbeitnehmer stellt sich vor bei dem Arbeitgeber. Wenn der Arbeitgeber dessen Daten nun für die weitere Verwendung speichern möchte, weil er u.U. einmal auf den Arbeitnehmer im Bedarfsfalle zukommen möchte, so geht das nicht ohne den Arbeitnehmer davon in Kenntnis zu setzen und seine ausdrückliche möglichst schriftliche Erlaubnis einzuholen.

• Kann der Arbeitnehmer Auskunft über die Verarbeitung seiner personenbezogenen Daten verlangen:

-Zu welchen Zwecken er die Daten des Arbeitnehmers verarbeitet

-welche Arten von Daten werden verarbeitet

-wer Einsicht in die Daten erhält

-wie lange die Daten voraussichtlich gespeichert werden

-welche Rechte der Arbeitnehmer in Bezug auf die Daten hat

-wie der Arbeitgeber an die Daten gelangt ist, falls er sich direkt von Arbeitnehmer mitgeteilt worden ist;

-ob eine automatische Entscheidungsfindung stattfindet;

 

 

 

• Weitere Ansprüche

-Recht auf Datenübertragbarkeit: Der Arbeitnehmer kann gemäß § 20 DS-GVO erwarten, dass seine Daten nach dem geltenden Stand der Technik verarbeitet werden und auch bei einem Wechsel des Arbeitgebers auf den Nachfolger im Bedarfsfall unproblematisch und zeitnah übertragen werden können;

-Widerspruchsrecht gem. § 21 DS-GVO der Arbeitnehmer kann gegen die Verarbeitung seiner Daten auch Widerspruch erheben und das unter bestimmten Voraussetzungen dann verhindern:

1. Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die aufgrund von Artikel 6 Absatz 1 Buchstaben e oder f erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. ²Der Verantwortliche verarbeitet die personenbezogenen Daten nicht mehr, es sei denn, er kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
2. Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben, so hat die betroffene Person das Recht, jederzeit Widerspruch gegen die Verarbeitung sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.
3. Widerspricht die betroffene Person der Verarbeitung für Zwecke der Direktwerbung, so werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet.
4. Die betroffene Person muss spätestens zum Zeitpunkt der ersten Kommunikation mit ihr ausdrücklich auf das in den Absätzen 1 und 2 genannte Recht hingewiesen werden; dieser Hinweis hat in einer verständlichen und von anderen Informationen getrennten Form zu erfolgen.
5. Im Zusammenhang mit der Nutzung von Diensten der Informationsgesellschaft kann die betroffene Person ungeachtet der Richtlinie 2002/58/EG ihr Widerspruchsrecht mittels automatisierter Verfahren ausüben, bei denen technische Spezifikationen verwendet werden.
6. Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die sie betreffende Verarbeitung sie betreffender personenbezogener Daten, die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken gemäß 89 Absatz 1 erfolgt, Widerspruch einzulegen, es sei denn, die Verarbeitung ist zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich.

 

Fazit:  

 

Der neue Datenschutz ist gewöhnungsbedürftig durch seine sehr juristisch gehaltene Sprache.

 

Einen Zugang findet man durch regelmäßige Schuldung.

 

 

 

 

 

Wichtig!!!!!!!

 

Dieser Beitrag ersetzt keine eingehende Prüfung und rechtliche Beratung im Einzelfall. Eine Haftung hierfür kann daher nicht übernommen werden.

 

Sollten Sie Interesse haben an einer Rechtsberatung oder Vertretung haben, bitte melden Sie sich jederzeit.

 

 

Sollten Sie Fehler finden oder Anmerkungen haben, sind wir für einen Hinweis immer dankbar.

 

Elisabeth Aleiter

Rechtsanwältin

Schubertstraße 6

80336 München

Tel.:089/29161423

Fax:089/29161437

Mail: info@kanzlei-aleiter.de

www.kanzlei-aleiter.de