Neue Datenschutzgrundverordnung: Unternehmen in der Pflicht Daten der Mitarbeitenden zu schützen

Hamburg: Wann, wie und unter welchen Umständen dürfen Unternehmen die Daten ihrer Mitarbeiterinnen und Mitarbeiter speichern, verwenden oder an Dritte weitergeben? Ab 25. Mai 2018 regelt die neue EU-Datenschutzgrundverordnung (DSGVO) genau diese Fragen. Arbeitgeberinnen und Arbeitgeber sind datenschutzrechtlich verantwortlich und müssen die Daten ihrer Mitarbeitenden entsprechend schützen. Mithilfe von Datenschutzbeauftragten kann das gelingen. Prof. Dr. Ralf Imhof, Of Counsel der Kanzlei Schulz Noack Bärwinkel in Hamburg und Referent der TÜV NORD Akademie, erläutert die wichtigsten Änderungen und ihre Auswirkungen.

Personenbezogene Daten sind im Arbeitsleben allgegenwärtig: Diensthandys, E-Mails, Surfen im Netz, private Geräte, die dienstlich genutzt werden, oder Dienstwagen mit GPS-Tracking. In Zeiten der Digitalisierung fallen mehr Daten an als je zuvor – und das ständig und überall. Potenziell vereinfachen es die erhobenen Daten Führungskräften, ihre Mitarbeitenden zu überwachen. Ab Mai dieses Jahres regelt die DSGVO diese datenschutzrechtliche Herausforderung neu.

Mit Ablauf der Frist ändern sich vor allem zwei wesentliche Punkte, die besonders für Unternehmen relevant sind: Zum einen erhalten Beschäftigte das Recht auf vollständige Transparenz ihrer Daten. „Die Geschäftsführung ist verpflichtet die Angestellten zu informieren, welche Daten gesammelt werden, zu welchem Zweck das geschieht, wer Zugriff darauf hat, ob die Daten an Dritte weitergereicht werden und wer diese Dritten gegebenenfalls sind“, erklärt Imhof. Zum anderen besteht gegenüber den Mitarbeiterinnen und Mitarbeitern ab Mai eine Rechenschaftspflicht bezüglich der gesammelten Daten. Konkret bedeutet das: Auf direkte Nachfrage muss das Unternehmen Auskunft darüber geben, weshalb es dazu befugt ist, die betroffenen Daten zu sammeln und zu verarbeiten. Um diese und alle anderen Datenschutzrechte korrekt einzuhalten, müssen die Verantwortlichen eine Person zur Datenschutzbeauftragten oder zum Datenschutzbeauftragten weiterbilden lassen oder aber einen externen Dienstleister beauftragen.

Ein Verstoß gegen die datenschutzrechtlichen Auflagen wird mit hohen Bußgeldern geahndet. Bislang liegt die Höchstgrenze bei 300.000 Euro. Nach Ablauf der Frist werden es 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes eines Unternehmens sein – abhängig davon, welcher Betrag höher ist. Gerade in Deutschland droht Unternehmen zudem ein enormer Imageschaden bei Verletzung des Datenschutzes, was wiederum deren Wirtschaftlichkeit nachhaltig schaden kann.

Datenschutzbeauftragte gewährleisten Einhaltung

Um den datenschutzrechtlichen Anforderungen gerecht zu werden, sind Unternehmen mit mindestens zehn Bildschirmarbeitsplätzen grundsätzlich dazu verpflichtet, einen betrieblichen Datenschutzbeauftragten oder eine Datenschutzbeauftragte zu beschäftigen. Sie unterstützen die Geschäftsleitung bei Fragen rund um den Datenschutz. „Datenschutzbeauftragte kontrollieren die Einhaltung der Datenschutzrechte und weisen bei Bedarf auf Verstöße hin. Wichtig dabei ist, dass sie wirklich nur eine unterstützende Funktion haben und nicht zuständig sind, den betrieblichen Datenschutz zu organisieren“, so Imhof. Außerdem haben Datenschutzbeauftragte ein Recht auf thematische Fortbildungen und Seminare, wie sie beispielsweise die TÜV NORD Akademie anbietet. Bei Bedarf können sich Datenschutzbeauftragte auch Unterstützung von den Landesdatenschutzbeauftragten ihres jeweiligen Bundeslandes holen. Neben der Beratung überprüfen sie hauptsächlich die Einhaltung der Verordnung und verhängen gegebenenfalls entsprechende Bußgelder. Dabei können die Landesdatenschutzbeauftragten entweder proaktiv stichprobenartige Untersuchungen durchführen oder auf einen Hinweis aus der Belegschaft hin tätig werden.

Sonderfall Betriebsrat

„Der Betriebsrat kümmert sich in Unternehmen um die Wahrung der Arbeitnehmerrechte. Dazu gehören auch die Datenschutzrechte. Mit diesem Verständnis ist der Betriebsrat quasi eine Art zweiter Datenschutzbeauftragter. Er überprüft im Interesse der Mitarbeiter, ob das Unternehmen korrekt mit den Daten umgeht“, erklärt Imhof. Probleme gibt es vor allem bei der erlaubten privaten Nutzung von Computern. Private Informationen dürfen Arbeitgeberinnen und Arbeitgeber nur einsehen, wenn das datenschutzrechtlich zulässig ist. Sie könnten laut DSGVO von jedem Mitarbeitenden die Einwilligung einholen, beispielsweise das Postfach bei Abwesenheiten einsehen zu dürfen. Das ist aufwendig und wenig praktikabel. Wenn es einen Betriebsrat gibt, darf dieser stellvertretend für die Mitarbeiterinnen und Mitarbeiter im Rahmen einer Betriebsvereinbarung eine Einwilligung aussprechen. So hat die Geschäftsführung die Möglichkeit mit dem Betriebsrat eine einheitliche Regelung für solche Situationen zu finden – sofern dieser kooperiert.

Weiterführende Informationen über Schulungen für Datenschutzbeauftragte und entsprechende Betriebsvereinbarungen gibt es unter www.tuev-nord.de/ds-termine. Hintergrundinformationen zur DSGVO sind unter www.tuev-nord.de/ds-seminare verfügbar.