E-Book, Deutsch, 404 Seiten, E-Book
Reihe: Haufe Fachbuch
ISBN: 978-3-648-11139-0
Verlag: Haufe
Format: EPUB
Kopierschutz: Wasserzeichen (»Systemvoraussetzungen)
Dieses Buch ist ein Praxisleitfaden zur Umsetzung der Anforderungen der DS-GVO, insbesondere in der Personalarbeit im Betrieb, und zum korrekten Umgang mit personenbezogenen Daten im Unternehmen nach dem reformierten Recht.
Inhalte:
- Beschäftigtendatenschutz rechtssicher umsetzen
- Dokumentations- und Informationspflichten
- Betriebliches Datenschutzmanagement: Konzernprivileg, Arbeitsverträge, Betriebsvereinbarungen
- Minderung von Haftungsrisiken: Sanktionen, Bußgelder und strafrechtliche Konsequenzen
Autoren/Hrsg.
Fachgebiete
Weitere Infos & Material
Einleitung
Neue Aufgaben für HR-Fach- und Führungskräfte
- Besonders betroffen von den neuen Regelungen: das Personalwesen
- Sensibilität im Umgang mit Bewerberdaten
- Aufgaben im laufenden Beschäftigungsverhältnis
- Aufgaben nach Beendigung des Beschäftigungsverhältnisses
- Zur Rolle des Betriebsrats
- Instruktion von Mitarbeitern
Der Datenschutzbeauftragte
- Die Pflicht zur Benennung eines Datenschutzbeauftragten
- Benennung und Abberufung eines Datenschutzbeauftragten
- Anforderungen an den Datenschutzbeauftragten
- Die Stellung des Datenschutzbeauftragten im Unternehmen
- Aufgaben und Pflichten des Datenschutzbeauftragten
- Alternative Rollen im Unternehmen neben oder statt dem Datenschutzbeauftragten
- Musterschreiben: Benennung eines Datenschutzbeauftragten
Dokumentationspflichten und das Verarbeitungsverzeichnis
- Die Nachweis- und Dokumentationspflichten in der DS-GVO
- Das Verarbeitungsverzeichnis
- Erstellung und Pflege des Verarbeitungsverzeichnisses
Die Rechte der betroffenen Personen
- Informationspflichten
- Individualrechte des Betroffenen zur Sicherung der informationellen Selbstbestimmung
- Das Vorgehen bei Betroffenen-Anfragen
- Musterschreiben und Formulare
Beschäftigtendatenschutz
- Begriff und Zweck des Beschäftigtendatenschutzes
- Rechtliche Grundlagen des Beschäftigtendatenschutzes
- Beschäftigtenbegriff
- Begriff der personenbezogenen Daten
- Begriff der Verarbeitung
- Erlaubnistatbestande zur Verarbeitung von Beschäftigtendaten
- Beschäftigtendatenschutz im Bewerbungsverfahren
- Beschäftigtendatenschutz im Arbeitsverhältnis
- Einhaltung der Grundsatze der DS-GVO
- Rechtsfolgen bei Verstosen gegen den Beschäftigtendatenschutz
Einwilligung im Beschäftigungsverhältnis
- Rechtliche Grundlagen der Einwilligung im Beschäftigtenverhältnis
- Freiwilligkeit der Einwilligung im Beschäftigtenverhältnis
- Schriftform der Einwilligung
- Pflicht zur Aufklarung über den Zweck der Datenverarbeitung
- Widerrufsrecht
- Alternativen zur Einwilligung im Beschäftigungsverhältnis
Die Betriebsvereinbarung und andere Kollektivvereinbarungen
- Betriebsvereinbarungen und Tarifvertrage als datenschutzrechtliche Erlaubnisgrundlage nach der DS-GVO
- Kann durch eine Kollektivvereinbarung das Schutzniveau der DS-GVO abgesenkt werden?
- Doppelfunktion von Betriebsvereinbarungen in der Praxis
- Inhaltliche Anforderungen der DS-GVO an Betriebsvereinbarungen
- Handlungsempfehlungen für die Formulierung einer Betriebsvereinbarung nach der DS-GVO
- Verhandlungstaktik bei der Anpassung von Betriebsvereinbarungen
Arbeitnehmerüberlassung
Digitale Personalakte
- Personalakte - eine Begriffsdefinition
- Grundsatze bei der Führung von Personalakten
- Schritt für Schritt zur digitalen Personalakte
Datenschutz und elektronische Kommunikation
- Die Verwendung von E-Mail und Internet am Arbeitsplatz
- Regelungsmöglichkeiten für den Arbeitnehmer
- Kontrollmöglichkeiten
- Handlungsempfehlungen und Checkliste
Interne Untersuchungen und Aufdeckung von Pflichtverletzungen
- Einleitung
- Insbesondere: Videoüberwachung
- Aktuelle Entscheidungen
Auftragsverarbeitung
- Einführung
- Der Auftragsverarbeiter
- Auswahl des Auftragsverarbeiters
- Vertrag zwischen Verantwortlichem und Auftragsverarbeiter
- Unterauftragnehmer
- Form
- Internationale Auftragsverarbeitung
- Einstandspflichten, Haftung und Sanktionen
- Fortgeltung bestehender Vertrage
- Checkliste: ADV-Vertrag
Konzerndatenschutz
- Grundlagen
- Rechtsgrundlage für die konzerninterne Übermittlung und weitere Verarbeitung von personenbezogenen Daten
- Gemeinsame Verantwortlichkeit gem. Art. 26 DS-GVO
- Fallgruppen
- Datenübermittlung an Konzernunternehmen in Drittländern
- Checkliste
Outsourcing
- Generelle Voraussetzungen
- Übermittlung an Outsourcing-Unternehmen in Drittländer
- Auswahl des Outsourcing-Anbieters
- Fragenkatalog für Outsourcing-Projekte
Internationaler Datenverkehr
- Die „Zwei Stufen"-Prüfung bei internationalen Datentransfers
- Datentransfer in Drittländer auf Grundlage eines Angemessenheitsbeschlusses
- EU-US Privacy Shield
- Datenübermittlung auf Grundlage von Standarddatenschutzklauseln gem. Art. 46 Abs. 2c und d DS-GVO
- Verbindliche interne Datenschutzvorschriften gem. Art. 47 DS-GVO
- Genehmigte Verhaltensregeln und Zertifizierungsmechanismen
- Genehmigungsbedürftige vertragliche Regelungen
- Gesetzliche Erlaubnistatbestände
Löschkonzept
- Im Fokus: Löschverpflichtung
- Das Prinzip der Speicherbegrenzung und die Löschverpflichtung
- Technische und organisatorische Maßnahmen zur Speicherbegrenzung
- Das Löschkonzept
- Beispiel: Löschregeln im Personalbereich
Direktmarketing
- Bestehende Kundenbeziehung
- Einwilligung
- Rechtfertigung durch gesetzlichen Erlaubnistatbestand
- Keine Sonderregelungen bei Geschäftskontakten
Industrie 4.0 im Kontext des Datenschutzes
- Beschäftigtendatenschutz
- Datentransfers in Drittstaaten
- Datensicherheit
- Exkurs: Data Ownership
Verarbeitung personenbezogener Daten Minderjähriger im Internet
- Strengere Schutzanforderungen bei Kindern
- Allgemeine Anforderungen an die Einwilligung
- Wirksamkeit von alten Einwilligungserklärungen
- Besondere Anforderungen an die Einwilligung bei Kindern
- Entbehrlichkeit der Einwilligung bei notwendiger Datenverarbeitung
IT-Sicherheit im Unternehmen
- Ausgangslage
- Typisches Angriffsszenario
- Datenverarbeitung als wesentlicher Teil der IT-Sicherheit
- Rechtlicher Rahmen
- Praktische Umsetzung/Checkliste
Datenschutz-Folgenabschätzung
- Zielsetzung
- Erforderlichkeit der Datenschutz-Folgenabschätzung
- Durchführung der Datenschutz-Folgenabschätzung
- Einbeziehung des Datenschutzbeauftragten
- Einbeziehung der Betroffenen
- Konsultation der Aufsichtsbehörde
- Altfalle: Bewertung von vorhandenen Verarbeitungsprozessen
- Überprüfung und Wiederholung der Datenschutz-Folgenabschätzung
- Sanktionen
Datenschutzrisikomanagement
- Einführung
- Rahmenbedingungen eines Compliance- und Datenschutz- Management-Systems
- Bestandsaufnahme als Vorbereitungsmaßnahme
- Umsetzung
Datenschutzaudit und Zertifizierung
- Das Datenschutz-Management-System
- Audit, Übung, Wartung
- Strategie definieren, Maßnahmen planen
- Strategien und Maßnahmen implementieren
- Umsetzung kontrollieren
- Etablierung von Datenschutzorganisation und Datenschutz-Kultur
- Projektmanagement
- Datenschutzsiegel
Datenschutzschulung und Sensibilisierung
- Relevante Schulungsinhalte
- Durchführung der Schulungsmaßnamen und Sensibilisierung der Mitarbeiter
Die Autoren
Abkürzungsverzeichnis
Literaturverzeichnis
Stichwortverzeichnis
1 Einleitung
Am 25.05.2018 begann für den Datenschutz in Europa ein neues Zeitalter. Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung)1 bildet seitdem den Europäischen Rechtsrahmen und den Maßstab für den Datenschutz in Europa. Auch wenn es weiterhin zahlreiche nationale oder europarechtliche Spezialvorschriften zum Schutz personenbezogener Daten geben wird, ist jetzt die Datenschutz-Grundverordnung (DS-GVO) der Fixstern und stellt für die Grundprinzipien des Datenschutzes einen einheitlichen Standard auf. Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht, das sich aus Art. 8 Abs. 1 der Charta der Grundrechte der Europäischen Union (EU-Grundrechtecharta)2 sowie Art. 16 Abs. 1 des Vertrages über die Arbeitsweise der Europäischen Union (AEUV)3 ergibt. Auch wenn die grundrechtliche Verankerung auf europäischer Ebene noch sehr jung ist, kennen wir das Grundrecht auf informationelle Selbstbestimmung in Deutschland spätestens seit der wichtigen Entscheidung des Bundesverfassungsgerichts aus dem Jahr 1983, die als sogenanntes Volkszählungsurteil bekannt wurde.4 Darin erkennt das Bundesverfassungsgericht das Grundrecht auf informationelle Selbstbestimmung an. Es soll die Befugnis des Einzelnen gewährleisten, grundsätzlich selbst über die Preisgabe und die Verwendung seiner persönlichen Daten zu bestimmen. In diesem Urteil, das fern des heutigen Digitalzeitalters gefällt wurde, hat das Bundesverfassungsgericht bereits den sich aus dem technischen Fortschritt ergebenden Schutzbedarf für die Persönlichkeit des Einzelnen erkannt und deswegen die informationelle Selbstbestimmung als Abwehrrecht des Einzelnen gegen den Daten sammelnden Staat etabliert. Es hat ausdrücklich darauf hingewiesen, dass die Befugnis, selbst zu entscheiden, wann und innerhalb welcher Grenzen persönliche Lebenssachverhalte offenbart werden, unter den Bedingungen der automatischen Datenverarbeitung in besonderem Maße des Schutzes bedürfe. Diese Selbstbestimmung sei vor allem deshalb gefährdet, weil bei Entscheidungsprozessen nicht mehr auf manuell zusammengetragene Karteien und Akten zurückgegriffen werden müsse, sondern vielmehr mithilfe der automatischen Datenverarbeitung personenbezogene Daten technisch gesehen unbegrenzt speicherbar und jederzeit ohne Rücksicht auf Entfernungen in Sekundenschnelle abrufbar seien.5 Diese Daten können darüber hinaus - vor allem beim Aufbau integrierter Informationssysteme - mit anderen Datensammlungen zu einem teilweise oder weitgehend vollständigen Persönlichkeitsbild zusammengefügt werden, ohne dass der Betroffene dessen Richtigkeit und Verwendung zureichend kontrollieren könne.6 Die wesentliche Passage in dem Volkszählungsurteil bringt das Ziel und den Zweck des Datenschutzes als Freiheitsschutz auf den Punkt:7 „Wer nicht mit hinreichender Sicherheit überschauen kann, welche ihn betreffende Informationen in bestimmten Bereichen seiner sozialen Umwelt bekannt sind, und wer das Wissen möglicher Kommunikationspartner nicht einigermaßen abzuschätzen vermag, kann in seiner Freiheit wesentlich gehemmt werden, aus eigener Selbstbestimmung zu planen oder zu entscheiden. Mit dem Recht auf informationelle Selbstbestimmung wären eine Gesellschaftsordnung und eine diese ermöglichende Rechtsordnung nicht vereinbar, in der Bürger nicht mehr wissen können, wer was wann und bei welcher Gelegenheit über sie weiß. Wer unsicher ist, ob abweichende Verhaltensweisen jederzeit notiert und als Information dauerhaft gespeichert, verwendet oder weitergegeben werden, wird versuchen, nicht durch solche Verhaltensweisen aufzufallen. […] Hieraus folgt: Freie Entfaltung der Persönlichkeit setzt unter den modernen Bedingungen der Datenverarbeitung den Schutz des Einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten voraus.“ Die in dem Volkszählungsurteil zum Ausdruck gebrachten Grundsätze helfen auch heute noch, die Leitlinien des Datenschutzrechts zu verstehen und zu interpretieren. Für die Freiheitsrechte des Einzelnen sind die uns aus dem Datenschutzrecht vertrauten Grundsätze, beispielsweise Transparenz, Richtigkeit, Zweckbindung, essenziell. Auch in der betrieblichen Praxis hilft es immer wieder, sich diese Grundsätze zu vergegenwärtigen. Es wird dann klar, dass es beim Datenschutzrecht nicht um Kontrollrechte im Sinne eines erweiterten Eigentumsrechts geht. Vielmehr schützt die informationelle Selbstbestimmung die Freiheit des Einzelnen. Diese Freiheit des Einzelnen ist nicht unbeschränkt und steht selbstverständlich im Spannungsverhältnis zu den Freiheitsrechten anderer, z. B. des Arbeitgebers. Der Einzelne ist eine sich innerhalb der sozialen Gemeinschaft entfaltende, auf Kommunikation angewiesene Persönlichkeit und hat deswegen kein Recht im Sinne einer absoluten Herrschaft über „seine“ Daten. Information, auch soweit sie personenbezogen ist, stellt ein Abbild sozialer Realität dar, das nicht ausschließlich dem Betroffenen allein zugeordnet werden kann.8 Das Recht auf Schutz der personenbezogenen Daten muss im Hinblick auf diese gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden9. Die DS-GVO baut auf dem Ansatz der von ihr abgelösten Datenschutzrichtlinie 95/46/EG auf. Sie hat den Anspruch, diesen Ansatz aus den Erfahrungen und der einschlägigen Rechtsprechung der letzten 20 Jahre heraus zu modernisieren. Die DS-GVO enthält eine Reihe neuer Elemente, die einerseits den Schutz der Rechte des Einzelnen stärken sollen, andererseits Unternehmen den Datentransfer im digitalen Binnenmarkt erleichtern werden. Durch die DS-GVO werden die Grundsätze des Datenschutzes durch Technik und durch datenschutzfreundliche Voreinstellungen („Privacy by Design“ und „Privacy by Default“) eingeführt, um Datenschutzinteressen von Anfang an in Geschäftsprozessen und Produkten, wie z. B. bei datenschützenden Voreinstellungen bei Smartphones, zu berücksichtigen. Die Rechte des Einzelnen werden gestärkt, indem neue Transparenzanforderungen eingeführt werden. Außerdem werden die Rechte auf Information, Zugang und Löschung ausgebaut. Einzelpersonen erhalten auch deswegen mehr Kontrolle über die sie betreffenden Daten. Zusätzlich wird das Recht auf Datenübertragbarkeit eingeführt, welches es den Betroffenen ermöglichen soll, von einem Unternehmen die Rück- oder Weiterübertragung personenbezogener Daten zu verlangen, die der Betroffene dem Unternehmen auf Grundlage einer Einwilligung oder eines Vertrages zur Verfügung gestellt hat. Mit der Verordnung erhalten alle Datenschutzaufsichtsbehörden die Befugnis, Geldbußen gegen Verantwortliche und Auftragsverarbeiter zu verhängen, wobei die Geldbußen bis zu 20 Millionen EUR oder bis zu 4 Prozent des weltweiten Jahresumsatzes betragen können. Zusätzlich können Betroffene bei Datenschutzverletzungen Schadenersatz auch für immateriellen Schaden einklagen. Die bislang bestehenden Vorabkontrollpflichten und Meldepflichten werden abgeschafft. Stattdessen gibt es ein für uns in Deutschland neues Instrument, das Risiko vor dem Beginn der Datenverarbeitung zu bewerten. Die Verordnung schreibt eine Datenschutz-Folgenabschätzung vor, wenn die Verarbeitung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten des Einzelnen führen kann. Unternehmen müssen in diesem Fall vorab die Risiken identifizieren und Abhilfemaßnahmen zur Vermeidung der Risiken implementieren. Die Verordnung gilt unmittelbar in allen Mitgliedsstaaten, die jedoch die Grundsätze und Bestimmungen der Verordnung in bestimmten Bereichen konkretisieren können. Für die betriebliche Datenschutzpraxis sind insbesondere die Fragen des Datenschutzes bei Beschäftigung und soziale Sicherheit praktisch relevant. Deutschland hat von diesen Konkretisierungsmöglichkeiten bereits Gebrauch gemacht und mit dem ebenfalls am 25.05.2018 in Kraft getretenen BDSG n. F. nationale Regelungen u. a. im Bereich des Beschäftigten-Datenschutzes geschaffen.10 Auch wenn deutschen Unternehmen viele Prinzipien und Regelungen aus der Datenschutz-Grundverordnung bereits aus der alten Rechtslage - basierend auf der Datenschutzrichtlinie - bekannt sein dürften, begann mit dem 25.05.2018 ein neues Zeitalter. Die bisherige Rechtsprechung der nationalen Gerichte sowie die Verwaltungspraxis der Aufsichtsbehörden der Länder in Deutschland können nicht einfach auf die Datenschutz-Grundverordnung angewendet werden. Da die Verordnung unmittelbar geltendes Europarecht ist, kann es nicht mit rangniederem nationalem Recht ausgelegt werden. Nach der Übergangsphase, die am 25.05.2018 endete, beginnt nun eine Phase der praktischen und europaweiten Findung im europäischen Datenschutzrecht. Denn mit dem Bestreben, europaweit ein möglichst einheitliches Datenschutzregime zu schaffen, ist die Herausforderung verbunden, auch europaweit einheitliche Anwendungs- und Verwaltungspraktiken der Aufsichtsbehörden sicherzustellen. Die Verordnung sieht dazu förmliche Abstimmungsprozesse vor. Das wird seine Zeit benötigen. Deswegen kommen den Leitlinien und Arbeitsunterlagen der bisherigen...
