Datenschutz am Arbeitsplatz

Grundwissen personenbezogene Daten

Personenbezogene Daten sind Angaben, die zu einer bestimmten oder bestimmbaren Person (Betroffener) gehören. Sie erlauben Rückschlüsse auf deren persönliches Umfeld, Vorlieben und Präferenzen. Der Umgang mit diesen Daten unterliegt gemäß der DSGVO spezifischen Regeln. Bei der Verarbeitung besonders sensibler Daten (bspw. Gesundheitsdaten oder biometrische Daten) gelten darüber hinaus noch restriktivere Vorgaben.

Merksatz: Die Erhebung und weitere Verarbeitung ist grundsätzlich verboten - es sei denn, man hat die Erlaubnis der betroffenen Person, oder eine andere Rechtsgrundlage der DSGVO gestattet es.

 

Wer ist verantwortlich? Wer ist zuständig?

Im Außenverhältnis ist stets die oberste Führungsebene (also die Geschäftsführung, der Vorstand etc.) für die Einhaltung der Vorgaben des Datenschutzes verantwortlich und rechenschaftspflichtig. Personenbezogene Daten werden jedoch an vielen Stellen verarbeitet, ein Mindestmaß an Sicherheit ist deshalb auch von jedem Einzelnen gefordert.

• Jede / jeder Beschäftigte ist für die Einhaltung des Datenschutzes an seinem Arbeitsplatz und in seinem Aufgabengebiet zuständig
• Jede / jeder Beschäftigte sollte dazu beitragen das Unternehmen vor Schäden (Bußgeldern, Imageschäden etc.) zu bewahren
• Bei Änderung oder Einführung neuer Systeme und Verfahren ist am besten frühzeitig Rücksprache mit dem Datenschutzbeauftragten zu halten

 

Ziele des Datenschutzes

• Vertraulichkeit: Die Systeme und Prozesse müssen so aufgebaut sein, dass Zugriffe auf Informationen nur für befugte Personen möglich sind.
• Integrität: Daten und Informationen sind vor ungewollten und unerlaubten Veränderungen zu schützen. Änderungen müssen erkannt werden können.
• Verfügbarkeit: Informationen und Daten müssen verfügbar sein, wenn sie benötigt werden und sind vor Verlust und zufälliger Zerstörung zu schützen.
• Wirksamkeit und Stabilität: Das Datenschutzmanagement muss nachvollziehbar effektiv und über die Zeit hinweg zuverlässig wirksam funktionieren.

Grundsätze des Datenschutzes

Rechtmäßigkeit

Für die Datenverarbeitung muss eine Einwilligung des Betroffenen oder eine andere valide Rechtsgrundlage vorliegen. Eine mögliche Rechtsgrundlage besteht zum Beispiel darin, wenn die Daten des Betroffenen für die Abwicklung eines Vertrages oder vorvertraglicher Maßnahmen mit ihm verarbeitet werden müssen.

Zweckbindung
Werden Daten für einen bestimmten Zweck erhoben bzw. gespeichert, dann dürfen diese auch nur für diesen Zweck weiter verarbeitet werden.

Datenminimierung

Es dürfen nur die Daten verarbeitet werden, die für den angegebenen Zweck erforderlich sind. Zusätzliche Datenbestände mit „Nice-To-Have-Charakter“ sind tunlichst zu vermeiden bzw. im Normalfall sogar unzulässig.

Transparenz

Die betroffene Person darf jederzeit wissen, wer welche Daten über sie speichert. Daten dürfen nicht ohne weiteres weitergegeben werden. Über eine Weitergabe (bspw. an Dienstleister oder Behörden) ist die betroffene Person im Vorfeld der geplanten Verarbeitung zu unterrichten.

Rechte des Betroffenen

Die betroffene Person hat diverse Rechte bezogen auf ihre personenbezogenen Daten. Dazu gehört bspw. ein Auskunftsrecht über die verarbeiteten Daten ebenso wie etwa das Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung.

Sicherheit in der Verarbeitung

Technische und organisatorische Maßnahmen (TOMs) sollen dabei helfen, die Sicherheit der Verarbeitung personenbezogener Daten sicherzustellen und ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

 

Achten Sie auf Zusatzvereinbarungen zum Datenschutz

Es gibt zahlreiche Gründe, warum ein Unternehmen Zusatzvereinbarungen mit seinen Mitarbeitern den Datenschutz betreffend eingehen sollte: Nutzung von Firmen-Smartphones, bei Homeoffice-Verträgen, bei Einbringung eigener Infrastruktur (auch „Bring Your Own Device“ genannt) – bei all diesen Prozessen sind datenschutzrechtliche Aspekte zu beachten und möglichst eindeutig zu regeln.

Auch in der Zusammenarbeit mit externen Dienstleistern können Datenschutzvereinbarungen zusätzlich zum Leistungsvertrag nötig sein: Je nach Tätigkeit können Auftragsverarbeitungsverträge, spezifische Geheimhaltungsverpflichtungen oder Sonderformen wie etwa sog. „Joint-Control-Agreements“ erforderlich werden. Ziehen Sie hier in jedem Fall den Datenschutzbeauftragten zur richtigen Einordnung zurate.