Neue Regeln für Datenschutz

Die neue EU-Datenschutz-Grundverordnung (DSGVO) wird nach einer Übergangsphase von zwei Jahren am 25. Mai 2018 wirksam. Sie bildet künftig den maßgeblichen datenschutzrechtlichen Rahmen in allen Mitgliedstaaten der Europäischen Union (EU). Das heißt, diese können von den meisten Vorschriften nicht mehr durch nationale Gesetze abweichen - sogenannte Öffnungsklauseln lassen lediglich hier und da einen gewissen Interpretationsspielraum. In Deutschland wird die DSGVO ab dem besagten Stichtag durch das neue Bundesdatenschutzgesetz (BDSG) ergänzt. Nach Meinung einiger Kritiker steht dieses teilweise nicht in Einklang mit der EU-Richtlinie, sondern geht deutlich darüber hinaus. Das Problem: Viele allgemeine Regeln der DSGVO gelten neben dem neuen BDSG. Für die Anwender bedeutet das, sie müssen beide Regelwerke kennen und befolgen, um auf der sicheren Seite zu sein. Der räumliche Anwendungsbereich des europäischen Datenschutzrechts wird durch die DSGVO erheblich erweitert. Aufgrund des Marktortprinzips findet sie nicht nur auf in der EU niedergelassene Unternehmen Anwendung - unabhängig davon, wo die Datenverarbeitung stattfindet -, sondern auch auf außereuropäische Unternehmen, die auf dem europäischen Markt tätig sind. Grundlegende Regeln bleiben erhalten Der Gesetzgeber hat versucht, möglichst große Teile des bisherigen deutschen Datenschutzes zu übernehmen. Prinzipien wie "Zweckbindung", "Datenminimierung" und "Transparenz" bleiben gleich. Fortgeführt wird auch der Grundsatz des bewährten Verbots mit Erlaubnisvorbehalt. Demnach ist die Verarbeitung personenbezogener Daten generell verboten, es sei denn, es liegt ein sogenannter gesetzlicher Erlaubnistatbestand - also ein festgeschriebener Rechtfertigungsgrund - oder eine Einwilligung der betroffenen Person vor. Künftig sei die Verarbeitung personenbezogener Daten von Arbeitnehmern unter anderem zulässig, sagt Experte Tim Wybitul, wenn sie für die Begründung, Durchführung und Beendigung des Beschäftigungsverhältnisses erforderlich sei. Oder zur Ausübung oder Erfüllung eines Gesetzzes, eines Tarifvertrags oder einer Betriebsvereinbarung. Wybitul ist Rechtsanwalt in der internationalen Wirtschaftskanzlei Hogan Lovells. Nach wie vor müsse ein Unternehmen einen Datenschutzbeauftragten bestellen, erklärt er, wenn dort mindestens zehn Personen mit der automatisierten Verarbeitung von personenbezogenen Daten von Arbeitnehmern oder Kunden etwa per Computer beschäftigt sind oder Zugriff darauf haben. Möglich ist neben einer internen auch eine externe Lösung. Zum Datenschutzbeauftragten darf nur bestellt werden, wer die notwendige Fachkunde und Zuverlässigkeit besitzt. Verantwortlich für die Einhaltung der neuen Vorschriften letztlich aber immer die Geschäftsführung. Mitarbeiterdatenschutz ändert sich Die wichtigste Änderung bringt für die Praxis der Beschäftigtendatenschutz. Der Paragraf 26 des neuen BDSG ist laut Rechtsanwalt Wybitul umfangreicher und ausführlicher als die bisherige Regelung zum Datenschutz am Arbeitsplatz. Inhaltlich findet man in der Neuregelung viele der von der Rechtsprechung zu seiner Vorgängervorschrift entwickelten Grundsätze wieder. So müssen etwa die Interessen zwischen den vom Arbeitgeber verfolgten Zwecken und den Belangen der Arbeitnehmers gründlich abgewägt werden. Im Rahmen des Beschäftigungsverhältnisses dürfen Arbeitgeber künftig unter bestimmten Voraussetzungen auch besondere Kategorien personenbezogener Daten von Beschäftigten verarbeiten. Dies seien Daten, so Wybitul, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen. Ferner betreffe dies auch die Verarbeitung genetischer oder biometrischer Daten, um Arbeitnehmer eindeutig zu identifizieren. Möglich ist dies zudem bei Gesundheitsdaten oder Daten zu Sexualleben sowie zur sexuellen Orientierung eines Arbeitnehmers. Die Verarbeitung solcher sensiblen Daten für Zwecke des Beschäftigungsverhältnisses ist gemäß Paragraf 26 des neuen BDSG zulässig, soweit sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist. Dabei darf kein Grund zu der Annahme bestehen, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Soweit die Verarbeitung solcher sensiblen Daten darauf basiert, dass der Mitarbeiter eingewilligt hat, ist zusätzlich zu beachten, dass sich die Einwilligung des Arbeitnehmers ausdrücklich darauf beziehen muss. Strengere Vorschriften für Betriebsräte Unternehmen müssen künftig sicherstellen, dass personenbezogene Daten ausschließlich für den ursprünglichen Verwendungszweck genutzt und danach fristgemäß gelöscht werden. Die Nutzung von zu einem bestimmten Zweck erhobenen Daten in einem anderen Zusammenhang ist nicht zulässig. Für eine solche Zweckänderung müssen die Daten auf rechtmäßigem Weg erneut erhoben werden. Auch die Datenverarbeitung durch Betriebsräte muss sich ab dem 25. Mai 2018 an den Maßstäben des neuen BDSG und der DSGVO messen lassen. Bislang konnten sie viele Personaldaten einsehen . Etwa Gehaltslisten oder Listen mit krankheitsbedingten Fehlzeiten. Künftig dürfen Betriebsräte laut Wybitul personenbezogene Daten nur noch dann vom Arbeitgeber verlangen oder verarbeiten, wenn eine entsprechende Betriebsvereinbarung das erlaubt. Auch hier bedarf es einer umfassenden Interessenabwägung. Wybitul rät, geltende Betriebsvereinbarungen einzeln oder durch Abschluss entsprechender Rahmenbetriebsvereinbarungen zeitnah an das neue Recht anzupassen. Um Straftaten aufzudecken, dürfen personenbezogene Daten von Beschäftigten künftig nur dann verarbeitet werden, wenn tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Job eine Straftat begangen hat. Außerdem muss die Verarbeitung zur Aufdeckung erforderlich sein und das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegen. Vor allem geht es darum, dass Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind. Unternehmen müssen Nachweis führen Um den neuen Datenschutzanforderungen nachzukommen, müssen Unternehmen alle davon betroffenen Verträge, Erklärungen, Einwilligungen und Informationstexte prüfen und auf den neuesten Stand bringen, falls dies notwendig ist. Sie haben zudem die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um bei der Verarbeitung personenbezogener Daten ein angemessenes Schutzniveau zu gewährleisten. Sie sollten deshalb auf Basis einer umfassenden Risikoanalyse wie bisher wirksame Datenschutzrichtlinien einführen und ihre Mitarbeiter schulen. Neu ist nämlich, dass sie die Einhaltung des neuen Datenschutzrechts jederzeit und genau nachweisen können müssen. Andernfalls drohen künftig höhere Bußgelder und schneller als bisher Schadenersatzansprüche. Der Aufwand steigt dadurch deutlich und die Zeit zur Einführung beziehungsweise zur Anpassung der notwendigen Prozesse ist knapp. Je nach Unternehmensgröße kann die Umstellung mehrere Monate dauern. Geldstrafen gehen deutlich nach oben Die maximale Geldbuße bei Verstößen beträgt laut Wybitul künftig bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweit erzielten Umsatzes im vorangegangenen Geschäftsjahr. Für leichtere Verstöße gegen Pflichten aus der DSGVO ist ein Bußgeld von maximal zehn Millionen Euro oder von zwei Prozent des weltweiten letztjährigen Jahresumsatzes vorgesehen. Es gelte dabei der Jahresumsatz des gesamten Konzerns, nicht der einer einzelnen juristischen Person, so der Experte für Datenschutz und Arbeitsrecht von Hogan Lovells. Zusätzlich sieht Paragraf 42 des neuen BDSG für bestimmte Verstöße eine Freiheitsstrafe von bis zu drei Jahren vor. Derzeit sind im BDSG-alt nur Bußgelder von bis zu 300.000 Euro vorgesehen. Ab 25. Mai 2018 können Arbeitnehmer auch den Ersatz immaterieller Schäden verlangen, also die Kompensation von Nichtvermögensschäden, wenn Arbeitgeber unrechtmäßig ihre Daten verarbeiten. Bisher haben deutsche Gerichte Unternehmen wegen Datenschutzverstößen beziehungsweise Verletzung von Persönlichkeitsrechten zu geringen Schmerzensgeldern verurteilt. Ein Fehler könne für sie bald erhebliche finanzielle Folgen haben, so Wybitul. Er empfiehlt Unternehmern, das gestiegene Haftungsrisiko nicht auf die leichte Schulter zu nehmen. Bei Streitfällen gilt künftig die Beweislastumkehr: Das heißt, die Unternehmen müssen in Schadensersatzprozessen oder bei Untersuchungen der Aufsichtsbehörden beweisen, dass datenschutzrechtliche Vorgaben eingehalten wurden. "Hierfür muss das Unternehmen auch die umfassenden Dokumentationspflichten der DSGVO umsetzen", sagt Wybitul. Könne es nicht beweisen, dass es die Vorgaben des neuen Datenschutzes eingehalten habe, müsse es neben den bereits genannten Risiken auch mit Beweisverwertungsverboten in Kündigungsschutzprozessen rechnen. Mehr zum Thema finden Sie im Dossier Arbeitsrecht www.verkehrsrundschau.de/dossiers Es wird bürokratischer Umfangreichere Pflichten für jeden, der Daten erfasst Durch das neue Datenschutzrecht kommen auf Unternehmen umfangreiche Dokumentationspflichten zu: etwa das Führen eines Verzeichnisses aller Verarbeitungstätigkeiten. Darin sind für jedes Verfahren der Datenverarbeitung Informationen beispielsweise darüber zu erfassen, welche Daten zu welchen Zwecken verarbeitet werden und auf welcher Rechtsgrundlage. Daraus muss auch hervorgehen, an wen die Daten übermittelt werden, welche technischen und organisatorischen Maßnahmen ergriffen wurden und welche Löschfristen jeweils bestehen. Jede Veränderung muss dabei protokolliert werden.Im Fall einer Verletzung des Schutzes personenbezogener Daten muss ein Unternehmen sie unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt geworden ist, der oder dem Bundesbeauftragten ausführlich melden. Von einer solchen Meldung kann lediglich abgesehen werden, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten von natürlichen Personen führt. Wenn eine erhebliche Gefahr für Rechtsgüter der betroffenen Personen droht, müssen auch diese vom Verantwortlichen unverzüglich über den Vorfall informiert werden. Werden besonders umfangreich personenbezogene Daten verarbeitet oder werden hierfür besondere Techniken eingesetzt, die die Rechte der Betroffenen besonders gefährden, ist eine Risikobewertung im Rahmen einer Datenschutz-Folgenabschätzung notwendig.Hinzu kommen künftig erweiterte Informations- und Auskunftspflichten gegenüber den Betroffenen zur Datenverarbeitung und das neue Recht auf Löschung. ag

Mercedes-Benz Trucks übergibt erste eActros 600 aus Serienproduktion

Branchenkrise in Polen zieht Wielton herunter

Infrastruktur: Nächstes Teilstück der A44 freigegeben

H2-Lkw: Keyou übergibt ersten 18-Tonner

Riedbahn: Güterzüge vorerst nur nachts unterwegs

Alle Schlagzeilen

Neue Regeln für Datenschutz

HASHTAG

#Arbeitsrecht

Mehr Arbeitsausfälle durch psychische Krankheiten

Urteil: Griff in den Genitalbereich rechtfertigt Kündigung

Luxemburgs Handelskammer informiert über Entsendung

MEISTGELESEN

Verdi ruft zu Streiks bei Paketdiensten und Speditionen auf

MTTE: Vollelektrische TEF 1500-Kühlanlage für Sattelauflieger

50 Schmitz Cargobull-Auflieger aus Produktionswerk Manchester für die Lockwood Group

STELLENANGEBOTE

Teamleiter Lager / Logistik (m/w/d)

Abteilungsleitung (m/w/d) für den Bereich Fachsortimente

Teamleitung im Einsatzführungsdienst der Bundeswehr (m/w/d)

Eisenbahnbetriebsleiter / Ingenieur für Schienenfahrzeuge (m/w/d)

Zollbeauftragter (m/w/d) mit Teamleitung im Vertriebsinnendienst

WEITERLESEN

NEWSLETTER