Datenschutz

Es gibt seit Mai 2018 eine neue Datenschutzgrundverordnung, die europaweit gilt. Außerdem gibt es ein neues Bundesdatenschutzgesetz. Beides einigermaßen komplizierte Gesetzestexte. Und natürlich gibt es viele, viele Anwenderfragen seither. Die 5 wichtigsten, aus meiner Sicht, darf ich Ihnen einmal vorstellen und, wenn ich denn kann, beantworten.

**Die erste Frage lautet:**

Der Arbeitgeber, jedenfalls die meisten Arbeitgeber, die müssen doch seit neuestem ein sogenanntes Verarbeitungsverzeichnis erstellen. Das ist eine aufwendige Angelegenheit. Da müssen alle Datenverarbeitungsvorgänge erst einmal gesammelt und sortiert werden. Der Arbeitgeber muss sich einig werden mit dem Datenschutzbeauftragten, was hier überhaupt zulässig ist und was nicht. Und es müssen viele Zwecke festgelegt werden, zu denen der Arbeitgeber diese Daten sammeln kann. Das nennt man ein Verarbeitungsverzeichnis.

Ist das eigentlich öffentlich? Muss ich das den Behörden vorlegen auf Zuruf? Oder ist das so etwas wie ein Betriebsgeheimnis?

Schlechte Nachricht für Ihren Arbeitgeber:

Die sogenannten Verarbeitungsverzeichnisse sind auf Verlangen vorzulegen. Den Behörden nämlich vorzulegen.

Und ein Tipp noch an Sie:  
Dem Betriebsrat sollte nicht egal sein, ob es ein solches Verarbeitungsverzeichnis gibt oder nicht, ob es noch aktuell ist oder nicht.

Deswegen mein Rat:

Fragen Sie Ihren Arbeitgeber nach dem Verarbeitungsverzeichnis. Ich bin gespannt, was er Ihnen antworten wird.

**Zweite Frage eines W.A.F. Teilnehmers, beantworte ich gern:**

„Habe ich das richtig verstanden“, schreibt der Teilnehmer, „wenn es keine gesetzliche Erlaubnis gibt für meinen Arbeitgeber und keine wirksame Einwilligung zur Datenverarbeitung? Ist das dann richtig, dass die Datenverarbeitung rechtswidrig ist nach neuem Recht?“

Hier kann ich nur gratulieren! Sie haben das neue Datenschutzrecht perfekt verstanden. Ihnen kann ich nichts mehr beibringen.

Der Arbeitgeber ist grundsätzlich daran gehindert, Daten zu verarbeiten. Der darf das also nicht. Er darf es nur ausnahmsweise, wenn ein Gesetz ihm das gestattet, wenn der Arbeitnehmer einwilligt und diese Einwilligung, wie Sie richtig sagen, muss überhaupt wirksam sein, oder wenn es sonstige Rechtsfertigungsgrundlagen gibt, etwa eine Betriebsvereinbarung. Gibt es all das aber nicht, darf der Arbeitgeber keine Daten erheben. Tut er es doch, dann ist das eine Bußgeldpflichtige Angelegenheit.

**Dritte Frage:**

Wie ist das? Mein Arbeitgeber, steht hier, übermittelt Daten, und zwar offenbar viele, in eine Cloud.

Oder ganz ähnliche Frage lese ich hier:

Daten werden übermittelt an ein Lohnbüro, ganz häufig in der Praxis, das eingeschaltet wurde vom Arbeitgeber oder in ein Callcenter. Ist denn der Arbeitgeber, der diese Daten selbst erhoben hat und dann abgibt an einen Dritten, zum Beispiel an ein Lohnbüro, bleibt der weiter verantwortlich für die dann erfolgende Datenverarbeitung? Oder ist er raus aus der Sache, in dem er sozusagen seine Befugnisse delegiert?

Auch hierzu gibt es nach neuester Rechtslage eine klare Antwort.

Welche das ist, erfahren Sie im Video!

DSGVO: Die 5 wichtigsten Anwenderfragen zur Datenschutz Grundverordnung

In fast allen Unternehmen muss es einen Datenschutzbeauftragten geben. Einen internen, der wird benannt durch den Arbeitgeber oder einen externen Datenschutzbeauftragten, der natürlich auch vom Arbeitgeber benannt und, Sie ahnen es, auch bezahlt wird. Der hat gegenüber dem Betriebsrat nichts zu melden, also darum geht es nicht, aber der berät und er kontrolliert auch den Arbeitgeber in datenschutzrechtlichen Fragen.

Wie sieht es denn jetzt aus in einem Betrieb mit weniger als 10 Mitarbeitern, die automatisiert personenbezogene Daten verarbeiten?

Das ist nämlich immer die Schwelle, die man erwähnt, wenn in meinem Betrieb mindestens zehn Mitarbeiter arbeiten, egal wie lange, egal mit welchen Verträgen, die personenbezogene Daten verarbeiten. Dann muss es einen Datenschutzbeauftragten geben.

Aber was jetzt in einem kleinen Betrieb? Wir sind insgesamt nur sagen wir neun Leute oder acht. Muss es da auch einen Datenschutzbeauftragten geben?

Ja, in sehr vielen Fällen. Die Praxis leider weiß davon oft noch fast nichts. Überprüfen Sie das mal. Schauen Sie mal rein in den wichtigen Artikel 37 DSGVO und wenn Sie schon im Gesetzestext unterwegs sind, schauen Sie auch in den § 38 Bundesdatenschutzgesetz.

Was steht da drin?

Drei Dinge sollte jeder Betriebsrat wissen. In einem Unternehmen, in dem nach dem Gesetz eine Datenschutz folgenabschätzung notwendig ist, da muss es auch immer einen Datenschutzbeauftragten geben. Diese Datenschutzfolgeabschätzung, das ist eine Abwägung, eine Risikoprognose, die dokumentiert werden muss. Also wenn das notwendig ist, dann brauche ich den, den Datenschutzbeauftragten. Sagen Sie das Ihrem Arbeitgeber.

Wichtiger ist noch ein anderer Fall:

Dass mein Arbeitgeber geschäftsmäßig, und das machen nun wirklich viele, personenbedingte Daten verarbeitet. Etwa ein Auskunftsdienst. Da werden irgendwelche Kundenprofile erstellt für andere. Da werden Bonitätsprüfungen durch meinen Arbeitgeber vorgenommen für Dritte. Das wäre ein geschäftsmäßiger Umgang mit personenbezogenen Daten. Und auch wenn da ein sehr kleiner Betrieb ist, der das macht, dieser Betrieb braucht auch dann einen Datenschutzbeauftragten.

Gibt's da Ausnahmen?

Nein, sonst würde ich Ihnen die mitteilen.

Und letzter Anwendungsfall, in der Praxis auch relativ häufig:

Mein Arbeitgeber, der ein kleiner Arbeitgeber ist, der hantiert mit sehr besonderen Daten. Besondere Kategorien personenbezogener Daten. Gesundheitsdaten zum Beispiel. Also denken Sie an die Arztpraxis. Drei, vier Ärzte, zwei davon angestellt und da werden Gesundheitsdaten dann notwendigerweise verarbeitet. Hier könnte auch ein Datenschutzbeauftragter benannt werden müssen.

Geht all das jetzt den Betriebsrat etwas an?

Na, ich finde schon! Wir müssen dem Arbeitgeber ja auf die Finger schauen, dass der auch die Gesetze einhält und ein wichtiges Gesetz ist eben das Bundesdatenschutzgesetz und die Datenschutzgrundverordnung. Deswegen müssen wir den Arbeitgeber insoweit kontrollieren, ein bisschen freundlicher gesagt insoweit beraten dürfen.

EU-DSGVO 2018 einfach erklärt: Datenschutzbeauftragter im Kleinbetrieb?

Nach Artikel 15 DSGVO darf der Arbeitnehmer von seinem Arbeitgeber verlangen, alle Daten offen zu legen, die er über ihn gespeichert hat. Was wirklich jeder zum Artikel 15 der Datenschutzgrundverordnung wissen sollte, erklärt Rechtsanwalt Niklas Pastille im Video!

Artikel 15 DSGVO? Den sollten Sie kennen!

Wenn Ihr Internetzugang nur geschäftlich genutzt werden darf, dann darf er den Browserverlauf auch kontrollieren, denn dann ist ja auch nicht damit zu rechnen, dass er private Dinge zu sehen bekommt, und damit wäre auch keine Verletzung des Persönlichkeitsrechts gegeben. Wenn allerdings Ihr Internet sowohl geschäftlich, als auch privat genutzt werden darf, dann war es bislang so, dass er den Browserverlauf nicht kontrollieren durfte. Nun hat aber kürzlich das LAG Berlin-Brandenburg anders dazu entschieden. Da hat ein Arbeitnehmer nachweislich an 30 Tagen im Internet gesurft. Er kam insgesamt auf über 16.300 Seitenaufrufe.

Das ergab, wenn man jetzt errechnete, dass selbst jeder Seitenaufruf nur ein paar Sekunden dauerte, insgesamt fünf volle Arbeitstage von diesen 30 Tagen, an denen er nur privat im Internet gesurft hat. Daraufhin kündigte der Arbeitgeber und legte auch den Browserverlauf als Beweismittel beim Landesarbeitsgericht vor. Und das LAG Berlin-Brandenburg entschied, dass er das auch durfte in dem Fall, weil es zu einer solchen massiven Verletzung gekommen ist. Das Urteil ist allerdings mit Vorsicht zu genießen, denn höchstrichterliche Rechtsprechung des BAG dazu steht noch aus, beziehungsweise gibt es noch nicht.

Es darf vermutet werden, dass das BAG das möglicherweise etwas anders sieht. Zumindest sind Arbeitgeber gut beraten, wenn sie im Falle, dass der Internetzugang auch privat genutzt werden darf, nur den Browserverlauf überprüfen, wenn sie das dem Mitarbeiter auch im Vorfeld des Arbeitsverhältnisses mitteilen.

Darf der Arbeitgeber den Browserverlauf der Mitarbeiter kontrollieren?

Für Arbeitnehmer ist die Personalakte oft ein Buch mit sieben Siegeln. Jeder Arbeitnehmer hat eine, die meisten wissen nicht, was drinsteht, und noch weniger wissen was drinstehen darf. Grundsätzlich gehört in die Personalakte nur, was irgendwie mit dem Arbeitsverhältnis auch zu tun hat. Also was für das Arbeitsverhältnis von Bedeutung ist.   
Und Krankheiten sind nicht von Bedeutung für das Arbeitsverhältnis, jedenfalls nicht für deren Inhalt. Deswegen darf in der Personalakte auch nichts über die Krankheit drinstehen. Weder wie lang man krank war, noch weswegen man krank war.

Sie können sich als Faustformel merken:

Alles, was auch im Vorstellungsgespräch gefragt werden darf, das darf auch in der Personalakte stehen.   
Alles, was nicht gefragt werden darf, beziehungsweise alles, bei dem Sie lügen dürfen im Personalgespräch, das hat auch nichts in der Personalakte verloren.

Übrigens:

Als Arbeitnehmer haben Sie ein Recht darauf, Ihre Personalakte auch einzusehen, und zwar jederzeit und auch ohne besonderen Anlass.

Krankheiten: Was darf in der Personalakte stehen und was nicht?

Liebe Betriebsratsmitglieder, schon das alte Bundesdatenschutzgesetz war einigermaßen streng. Das sagen jedenfalls die meisten Rechtsanwälte. Auch wenn die Kontrolle dieses Bundesdatenschutzgesetzes durch die Aufsichtsbehörden manchmal vielleicht etwas lax gewesen ist. Aber diese Zeiten sind vorbei, endgültig.

Warum?

Es gibt eine neue Datenschutzgrundverordnung und ein neues Bundesdatenschutzgesetz. Wenn Ihr Arbeitgeber seine Mitarbeiter auf der Unternehmenswebsite veröffentlichen möchte, mit Fotos, dann geht das nicht automatisch. Er braucht dafür eine Einwilligung. Und das ist nicht so einfach eingeholt diese Einwilligung, wie es sich anhört. Einwilligung bedeutet, dass der Arbeitnehmer über den Zweck, über die Dauer und über den Umfang dieser Veröffentlichung seines Fotos vorab informiert werden muss. Er muss dem zugestimmt haben, wohlgemerkt schriftlich. Also durch eigene Unterschrift. Es gibt ein paar Arbeitgeber, die sagen, das stimmt doch gar nicht. Einwilligungen sind nach der neuen Datenschutzgrundverordnung nicht notwendig, schriftlich. Das stimmt zwar in dieser Allgemeinheit, aber ausgerechnet im Beschäftigungsverhältnis, also im Arbeitsrecht, untechnisch gesprochen, da müssen Einwilligungen eben doch schriftlich sein, wie bisher auch. Also schriftliche Einwilligung, die Einwilligung muss eindeutig sein, der Arbeitnehmer muss wissen, was er da unterschreibt, er weiß das nur, wenn ihm der Zweck der Veröffentlichung, die Dauer und der Umfang überhaupt klar ist.

Und ganz wichtig:

Der Arbeitnehmer muss diese Einwilligung sozusagen isoliert, also für sich betrachtet abgegeben haben. Jedwede Bündelung dieser Einwilligung mit irgendwelchen anderen Einwilligungen, jede Art von Koppelung würde die Einwilligung nach richtiger Auffassung, nach strenger Auffassung unwirksam machen.

Und noch ein wichtiger Hinweis für Betriebsräte:

Ihre Kollegen, Ihre Arbeitnehmer, die dürfen ihre Einwilligung, auch eine Einwilligung zur Veröffentlichung von Mitarbeiterfotos jederzeit und ohne Grund zurückziehen, also widerrufen. Und der Arbeitgeber darf den Arbeitnehmer dafür nicht etwa sanktionieren durch Abmahnung, Kündigung, Anschreien, ... Das geht nicht. Eine Einwilligung muss ich nicht abgeben. Tue ich es freiwillig doch, dann kann ich die Einwilligung auch wieder widerrufen und da darf dann kein Nachteil drohen.

Ich meine, das sind wichtige Informationen, denn wer schützt den Arbeitnehmer, der Einwilligungen abgibt, wenn nicht Sie, wenn nicht der Betriebsrat?

EU-DSGVO 2018 einfach erklärt: Mitarbeiterfotos auf der Firmenwebsite

Liebe Kolleginnen und Kollegen, es gibt eine neue Datenschutzgrundverordnung. Und wenn wir schon dabei sind, es gibt auch ein neues Bundesdatenschutzgesetz.

Falls Sie das mal nachlesen wollen: Beide Gesetzestexte befinden sich in Ihrer Gesetzessammlung. Also in den ganz normalen DTV-Taschenbüchern, jedenfalls, wenn Sie eine aktuelle Gesetzessammlung haben. Aus dem Jahr 2018 müsste sie schon sein. Und wenn Sie da nachlesen, dann, interessanterweise, werden Sie feststellen, das Gesetz schreibt gar keine Form vor, wie Ihr Arbeitgeber den Datenschutzbeauftragten bekannt machen soll.

Sie wissen das vielleicht: Datenschutzbeauftragte muss es in praktisch jedem Betrieb geben.

Es gibt ganz wenige Ausnahmen. Gibt es einen Datenschutzbeauftragten, einen internen oder einen externen, benannt immer vom Arbeitgeber dann sollte der Arbeitgeber klugerweise die Kontaktdaten auf der Unternehmenswebsite veröffentlichen und auch, so meine ich jedenfalls, betriebsintern.

Warum?

Jeder betroffene, also jeder Arbeitnehmer, aber auch Kunden, Geschäftspartner, sonstige Personen, die in einem Kontakt zu Ihrem Arbeitgeber stehen, die müssen sich an diesen Datenschutzbeauftragten wenden können. Der Betriebsrat übrigens auch. Deswegen müssen die Kontaktdaten veröffentlicht werden, so wie das eben betriebsüblich ist, allerdings Name und Anschrift, wie man das manchmal lesen kann auf den Websites, das muss Ihr Arbeitgeber nicht veröffentlichen und das sollte er auch nicht tun. Es reicht wohl, eine Funktions E-Mail Adresse, die allerdings dann vom Datenschutzbeauftragten, der ja sehr weitreichende Pflichten hat, auch regelmäßig abgerufen werden muss. Der muss seine Post schon öffnen, natürlich.

Ganz wichtig noch:

Was den Datenschutzbeauftragten angeht, das ist ein Freund des Betriebsrats, sozusagen, und kein Feind. Ich rate Ihnen zu einer engen Zusammenarbeit und vielleicht wird die Zusammenarbeit ja erleichtert durch die Information, dass Ihnen als Betriebsrat dieser Datenschutzbeauftragte nicht etwa übergeordnet ist. Sie sind kein gesetzliches Team, so kann man das wohl nicht sagen, eine Zusammenarbeit ist wünschenswert, sie ist aber nicht vorgeschrieben. Sie sind aber auch wirklich keine Gegner und Sie müssen vom Datenschutzbeauftragten auch keine Weisungen entgegennehmen. Der umgekehrt allerdings auch nicht.

Ein wichtiger Hinweis noch:

Die Arbeitgeber vergessen manchmal den Datenschutzbeauftragten nicht nur unternehmensintern bekannt zu machen, sondern die Person des Datenschutzbeauftragten auch der Datenschutzaufsichtsbehörde mitzuteilen. Das muss Ihr Arbeitgeber tun, schnell. Wenn er das nicht gemacht hat, sollte er das schnellstmöglich nachholen. Das dürfen Sie ihm ruhig sagen.

Und eine gute Nachricht habe ich noch:

Sämtliche Beteiligungsrechte des Betriebsrats, also alle Mitwirkungs- und alle Mitbestimmungsrechte, bleiben erhalten. Die sind ungeschmälert durch die neue Datenschutzgrundverordnung (DSGVO) und durch das Bundesdatenschutzgesetz. Lassen Sie sich von niemandem erzählen, dass der Betriebsrat in Sachen Datenschutz jetzt nach der neueren Rechtslage weniger zu melden.

EU-DSGVO 2018 einfach erklärt: Datenschutzbeauftragten NICHT verstecken?

Wann muss der Arbeitgeber dem Betroffenen mitteilen, dass er dessen Daten verschlampt hat?

Liebe Kolleginnen und Kollegen, die neue Datenschutzgrundverordnung und das neue Bundesdatenschutzgesetz, die stellen die Praxis vor einige Herausforderungen.

Manche Arbeitgeber gehen ausgesprochen schlampig mit den personenbezogenen Daten ihrer Arbeitnehmer um.

Manche Betriebsräte allerdings auch, aber das ist eine andere Geschichte.

Wann nun muss nach der neuen Rechtslage der Arbeitgeber einem Betroffenen mitteilen, dass eine Schutzverletzung stattgefunden hat, dass also etwas schief gelaufen ist?

Zum Beispiel, dass der ITler im Betrieb seinen Laptop, ich denken mir gerade etwas aus, in der U-Bahn vergessen hat.

Mit natürlich allen wichtigen Gesundheitsdaten der Arbeitnehmer auf diesem Laptop.

Und natürlich keineswegs verschlüsselt.

Müsste der Arbeitgeber hier die Betroffenen anschreiben?

Sie ahnen es:

Der Arbeitgeber wird das ungern tun.

Tut er das, muss er ja ein eigenes Versäumnis, ein Fehlverhalten einräumen, dann droht die Klage.

Muss er es nun?

Nicht in jedem Fall.

Vielleicht wollen Sie das mal nachlesen.

In Artikel 34 der DSGVO, der neuen Datenschutzgrundverordnung, da steht, ich fasse das mal mit meinen Worten zusammen, dass der Arbeitgeber in solchen Fällen, in katastrophalen Fällen, wenn etwas schief gelaufen ist, eine Risikoprognose anstellen muss.

Er muss sich also konkret überlegen:

Ist durch die Schutzverletzung, die hier eingetreten ist, möglicherweise das Persönlichkeitsrecht des Betroffenen, hier des betroffenen Arbeitnehmers, im besonderen Maße gefährdet?

Also droht dem einzelnen großer Schaden?

Ja oder Nein?

Wenn der Arbeitgeber mit Hilfe seines Datenschutzbeauftragten und vielleicht auch mit Hilfe des Betriebsrats zu dem Ergebnis gelangt:

Ja, ein Schaden droht!

Dann beißt die Maus keinen Faden ab, dann muss der Arbeitgeber den Betroffenen informieren, und zwar in klarem Deutsch, also bitte kein IT-Kauderwelsch, und unverzüglich.

Und ja, dann wird er wohl zu rechnen haben mit einer Klage.

Übrigens nochmal ein Hinweis:

Je sorgfältiger der Arbeitgeber sich auf solche Ernstfälle vorbereitet, zum Beispiel durch das Anlegen eines ordentlichen, gut gepflegten Verarbeitungsverzeichnisses, je besser er vorbereitet ist, desto eher wird er den Erfolg einer solchen Klage dann abwenden können.

Einer aber es ist wichtig, dass Sie sich das merken, ist immer zu informieren nach der neuen Rechtslage, das ist die jeweilige Datenschutzaufsichtsbehörde.

Und dazu bitte gestatten Sie mir noch einen Hinweis:

Wenn in der Literatur, in der wissenschaftlichen Literatur, in der Ratgeberliteratur, in den Datenschutzbüchern, wenn da die Rede ist von der Aufsichtsbehörde, dann hat das immer so den Klang eines Peitschenknalls.

Weil es immer um Bußgelder geht.

Hohe Bußgelder, die ausgereicht werden.

Was dabei ein bisschen, nach meinem Geschmack, übersehen wird:

Die Datenschutzaufsichtsbehörden, die sind auch auf Posten gestellt, um den Arbeitgebern zu helfen.

Das heißt, die beraten auch.

Artikel 15 DSGVO? Den sollten Sie kennen!

Datenschutz

DSGVO: Die 5 wichtigsten Anwenderfragen zur Datenschutz Grundverordnung

EU-DSGVO 2018 einfach erklärt: Datenschutzbeauftragter im Kleinbetrieb?

Artikel 15 DSGVO? Den sollten Sie kennen!

Darf der Arbeitgeber den Browserverlauf der Mitarbeiter kontrollieren?

Krankheiten: Was darf in der Personalakte stehen und was nicht?

EU-DSGVO 2018 einfach erklärt: Mitarbeiterfotos auf der Firmenwebsite

EU-DSGVO 2018 einfach erklärt: Datenschutzbeauftragten NICHT verstecken?

EU-DSGVO 2018 einfach erklärt: Wenn der Chef die Daten verschlampt...

Fortbildung
Für Betriebsräte

Artikel 15 DSGVO? Den sollten Sie kennen!

Datenschutz

DSGVO: Die 5 wichtigsten Anwenderfragen zur Datenschutz Grundverordnung

EU-DSGVO 2018 einfach erklärt: Datenschutzbeauftragter im Kleinbetrieb?

Artikel 15 DSGVO? Den sollten Sie kennen!

Darf der Arbeitgeber den Browserverlauf der Mitarbeiter kontrollieren?

Krankheiten: Was darf in der Personalakte stehen und was nicht?

EU-DSGVO 2018 einfach erklärt: Mitarbeiterfotos auf der Firmenwebsite

EU-DSGVO 2018 einfach erklärt: Datenschutzbeauftragten NICHT verstecken?

EU-DSGVO 2018 einfach erklärt: Wenn der Chef die Daten verschlampt...

FortbildungFür Betriebsräte

Fortbildung
Für Betriebsräte