Beschäftigtendatenschutz nach der DS-GVO

Die neuen Anforderungen sind komplex. Angesichts eines Bußgeldrahmens von bis zu 2 % bzw. 4 % des weltweiten Jahresumsatzes des Konzerns besteht dringender Handlungsbedarf. Unternehmen, die mindestens 10 Personen mit EDV-bezogenen Arbeiten beschäftigen, müssen künftig einen Datenschutzbeauftragten bestellen. Auf Webseiten müssen bestimmte Informationen z.B. zu Tracking-Daten oder Cookies, bereitgehalten werden. Außerdem sollten die Arbeitsverträge an die neue DS-GVO angepasst werden.

Zunächst muss jedoch das Unternehmen angemessene Datenschutzstrukturen schaffen. Einzelnen Datenverarbeitungen müssen hinreichend klare Zweckbestimmungen zugeordnet werden. Bei Erhebung und Nutzung personenbezogener Daten muss Transparenz herrschen, da beispielsweise die Rechte auf Auskunft, Berichtigung, Löschung oder bei der Datenübertragung möglichst durch Betriebsvereinbarungen konkretisiert und festgelegt werden sollten.

Gerade in mitbestimmten Unternehmen können Betriebsvereinbarungen das Bußgeld- und Schadensersatz-Risiko vermindern. Die Betriebsparteien müssen als Vorbereitung von Betriebsvereinbarungen zunächst einmal die im Betrieb durchgeführten Datenverarbeitungen auf nachvollziehbare Weise beschreiben und ein sog. Verarbeitungsverzeichnis erstellen, das den Anforderungen von Artikel 30 DS-GVO entspricht. Typische Themen wären auch Regeln zu Kontrollen des Verhaltens oder der Leistung von Mitarbeitern sowie Konzepte zur Zugriffsberechtigung oder Löschkonzepte. Die im Rahmen des Artikels 88 Abs. 2 DS-GVO abzuschließenden Betriebsvereinbarungen müssen „angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person“ vorsehen. Zentrales Kriterium wird sein, dass die Bestimmungen zur Datenverarbeitung klar und verständ lich formuliert und anhand festgelegter Kriterien überprüfbar sind.

Bremen im März 2018

Rechtsanwältin Christiane Ordemann