DSGVO_SFH_2018

10 | DOSSIER | DSGVO Juni 2018
Die DSGVO vereinheitlicht die
Datenschutzbestimmungen
innerhalb der EU. Eine Übermittlung
personenbezogener Daten in ein
Drittland erfordern jedoch weitere
Maßnahmen zur Rechtfertigung.
An der Transparenzvorgabe müssen sich insbesondere
die Betriebsvereinbarungen mit den Arbeitnehmern
messen lassen und für den Angestellten
klar zu erkennen geben, welche ihn betreffenden
personenbezogenen Daten erhoben, verwendet,
eingesehen oder anderweitig verarbeitet werden
sollen.
Die Rechtsgrundlage zur Datenverarbeitung für
Zwecke des Beschäftigungsverhältnisses ergibt
sich künftig aus dem BDSG 2018. Danach dürfen
personenbezogene Daten des Beschäftigten für die
Zwecke des Beschäftigungsverhältnisses verarbeitet
werden, wenn dies, kurz gesagt, für dieses
Verhältnis erforderlich ist. Neben diesem Erlaubnistatbestand
kann der Arbeitgeber die Datenverarbeitung
auch auf die in der DSGVO benannten
Verarbeitungserlaubnisse, wie z.B. die Einwilligung,
stützen.
Auch wenn das BDSG 2018 den Beschäftigtendatenschutz
regelt, hat ein Unternehmen hinsichtlich
der Daten seiner Arbeitnehmer – bei den
Themen GPS-Tracking oder Videoüberwachung
– die allgemeingültigen Vorgaben der DSGVO, insbesondere
die Informations- und Betroffenenrechte
der Arbeitnehmer, zu beachten.
Eine besondere Neuerung liegt im Wegfall der
Verpflichtung auf das Datengeheimnis, wie sie
bislang nach § 5 BDSG vorzunehmen war. Weder
die DSGVO, noch das BDSG 2018 enthalten eine
mit § 5 BDSG – aus dem sich bislang die Pflicht
aber auch der Inhalt des Datengeheimnisses ergab
– vergleichbare Regelung. Dennoch ergibt sich die
Verpflichtung der Arbeitgeber, ihre Arbeitnehmer
über eine rechtskonforme Datenverarbeitung zu
unterrichten, unmittelbar aus der DSGVO. Die
bislang in den Arbeitsverträgen verwendeten
Klauseln samt Verweis auf § 5 BDSG bedürfen
daher einer entsprechenden Anpassung.
Hinzu kommt, dass der Arbeitgeber nunmehr
verpflichtet ist, seine Mitarbeiter regelmäßig zum
Datenschutz und vertrauensvollen Umgang mit
personenbezogenen Daten im Unternehmen, etwa
von Kunden, zu schulen. Diesbezüglich gilt es zu
prüfen, inwieweit neben den Arbeitsverträgen
abgeschlossene Verpflichtungen auf das Datengeheimnis
nebst dazugehöriger Merkblätter
anzupassen sind und welche geeigneten Schulungsmaßnahmen
der Arbeitgeber zu ergreifen und
deren Durchführung zu dokumentieren hat.
Was tun bei einer Datenpanne?
Die Pflichten des Unternehmens
Von besonderer Relevanz sind die in der DSGVO
festgeschriebenen Meldepflichten bei Datenpannen.
Bislang bestand eine Meldepflicht nach dem
alten BDSG nur in Fällen, in denen besondere Arten
personenbezogener Daten (z.B. Daten über die
Gesundheit oder die ethnische Herkunft einer
Person) durch eine Datenpanne betroffen waren
und diese Panne eine Bedrohung für die Rechte
oder die schutzwürdigen Interessen der Betroffenen
darstellte. Dann erst hatte der Verantwortliche
die Pflicht, dies unverzüglich der zuständigen Aufsichtsbehörde
sowie den Betroffenen mitzuteilen.
Diese Meldepflicht wird durch die DSGVO deutlich
verschärft. Nunmehr genügt es, wenn jede Art
eines personenbezogenen Datenelements von einer
Datenpanne betroffen ist. Dabei ist es irrelevant,
ob die Datenpanne in Form eines rechtswidrigen
Zugriffs, etwa durch einen Dritten, vorliegt oder
aber versehentlich, durch eine unbeabsichtigte
Löschung, erfolgte. Dann muss der Verantwortliche
binnen 72 Stunden nach Bekanntwerden dieser
Panne eine Meldung an die zuständige Aufsichtsbehörde
machen, wenn es durch die Verletzung der
Datensicherheit voraussichtlich zu einem Risiko
für die Rechte und Freiheiten der betroffenen
Person führt. Hinsichtlich der Frage, ob ein solches
Risiko vorliegt, hat der Datenverantwortliche eine
Prognose zu treffen. Eine Prognostizierung und gegebenenfalls
daran anschließende Reaktion binnen
72 Stunden nach Bekanntwerden der Datenpanne
machen ein Daten-Managementsystem erforderlich,
das es ermöglicht, innerhalb dieser kurzen
Frist eine belastbare Prognose unter Einbeziehung
aller relevanten Umstände zu treffen und zu dokumentieren
sowie gegebenenfalls Informationen im
erforderlichen Umfang an die Aufsichtsbehörde zu
übermitteln.
Eine Meldepflicht tritt nur dann nicht ein, wenn
eine durch den Verantwortlichen zu stellende
Prognose ergibt, dass die Verletzung einer Datenschutzvorrichtung
voraussichtlich kein Risiko für
die geschützten Daten bedeutet. Das Risiko einer
unzutreffenden Prognose sowie die entsprechende
Beweislast treffen den Verantwortlichen und sind
bußgeldbewehrt.