Datenschutz am Arbeitsplatz: Grundlagen & Beispiele
Ein (absichtlicher) Verstoß gegen den Datenschutz kann nicht nur einen guten Ruf des Unternehmens ruinieren, sondern auch strafrechtliche Konsequenzen nach sich ziehen. Aus diesem Grund ist es wichtig, sich intensiv mit dem Thema auseinanderzusetzen. Im Folgenden soll ein kurzer Überblick über die wichtigsten Aspekte von Datenschutz am Arbeitsplatz gegeben werden.
Das Wichtigste in Kürze
- Personenbezogene Daten ermöglichen die Identifizierung einer natürlichen Person.
- Arbeitgeber dürfen personenbezogene und sensible Daten nur zur Durchführung des Arbeitsverhältnisses sammeln und verarbeiten.
- Informationspflicht: Mitarbeitende müssen über Zweck, Umfang und Dauer der Datenerhebung informiert werden.
- Mitarbeitende sind verpflichtet, personenbezogene Daten zu schützen.
Was fällt alles unter den Begriff Datenschutz?
Datenschutz bezeichnet den Schutz personenbezogener Daten natürlicher Personen vor missbräuchlicher Verwendung. Dazu zählen alle Informationen, die eine Person direkt oder indirekt identifizieren können.
Die rechtlichen Grundlagen in Deutschland bilden:
- die Datenschutz-Grundverordnung (DSGVO) der EU
- das Bundesdatenschutzgesetz (BDSG-neu)
Was besagt die Datenschutz-Grundverordnung?
Einfach erklärt regelt die DSGVO europaweit den Umgang mit personenbezogenen Daten. Sie gilt für alle Unternehmen, die Daten von EU-Bürgern verarbeiten, unabhängig vom Standort.
Kernpunkte der DSGVO:
- Einholung klarer Einwilligung zur Datenverarbeitung
- Sicherstellung der Datensicherheit
- Transparente Informationspflichten gegenüber Betroffenen
Das BDSG ergänzt die DSGVO auf nationaler Ebene, insbesondere in Bezug auf Arbeitsverhältnisse, Auftragsverarbeitung und besondere Kategorien personenbezogener Daten.
Was sind personenbezogene Daten?
Die Definition von Daten, die sich auf eine natürliche Person beziehen, findet sich in der europäischen Datenschutzgrundverordnung (DSGVO) wieder. Im Sinne des Artikels 4 Absatz 1 sind personenbezogene Daten jene Informationen, die direkt oder indirekt die Identifizierung einer natürlichen Person ermöglichen.
Personenbezogene Daten am Arbeitsplatz umfassen unter anderem:
- Vor- und Nachname
- Geburtsdatum
- Adresse und Kontaktdaten
- Sozialversicherungsnummer, Matrikelnummer
- Online-Kennungen wie IP-Adresse
- Sensible Daten betreffen z. B. Gesundheit, ethnische Herkunft oder politische Meinungen.
Dabei unterscheidet die DSGVO sensible Daten, die eine genetische, physiologische, physische, psychische, soziale, kulturelle und wirtschaftliche Identität einer natürlichen Person ausmachen.
Einzelangaben zu juristischen Personen, darunter eingetragenen Vereinen und Kapitalgesellschaften, sind von der Definition ausgenommen. Es sei denn, sie beziehen sich auf einen hinter der juristischen Person lebenden Menschen.
Pflichten und Rechte für Arbeitgeber
Grundsätzlich gilt: Der Arbeitgeber darf personenbezogene und sensible Daten von Mitarbeitenden ausschließlich zum Zwecke eines Arbeitsverhältnisses sammeln und verarbeiten. Dies findet vor allem bei der Begründung, Durchführung und Beendigung eines Arbeitsverhältnisses statt. Wichtige Pflichten:
- Informationspflicht: Mitarbeitende müssen über Zweck, Umfang und Dauer der Datenerhebung informiert werden.
- Datenminimierung: Nur notwendige Daten dürfen verarbeitet werden.
- Löschung: Nach Kündigung des Arbeitsverhältnisses müssen personenbezogene Daten gelöscht werden, soweit keine gesetzliche Aufbewahrungsfrist besteht.
- Einwilligung: Freiwillige Zustimmung und jederzeitiger Widerruf der Mitarbeitenden sind Voraussetzung für rechtmäßige Verarbeitung.
Datenschutz am Arbeitsplatz: Rechte & Pflichten für Arbeitnehmer
Im Rahmen der Informationspflicht seitens des Arbeitgebers ist es wichtig, Kontaktinformationen von verantwortlichen Personen für die Datenverarbeitung mitzuteilen. Nicht zuletzt müssen Mitarbeitende über folgende Rechte informiert werden:
Recht auf:
- Auskunft
- Berichtigung
- fristgemäße Löschung von verarbeiteten Daten
- Einschränkung der Datenverarbeitung
- Datenübertragbarkeit
- Beschwerde bei der Aufsichtsbehörde
Pflichten für Arbeitnehmer
Mitarbeitende tragen aktiv Verantwortung für den Schutz personenbezogener Daten am Arbeitsplatz. Sie sind verpflichtet, vertrauliche Informationen sicher zu behandeln, sensible Daten nicht unbefugt weiterzugeben und die unternehmensinternen Datenschutzrichtlinien einzuhalten.
Sinnvolle Maßnahmen für Datenschutz am Arbeitsplatz
- Sichere Passwörter verwenden
- PC sperren, wenn der Arbeitsplatz verlassen wird
- Akte und Dokumente sicher aufbewahren
- Fehldrucke schreddern
- Privatnutzung von Unternehmens-Email und Internet vermeiden
- Regelmäßige Schulungen für Mitarbeitende durchführen
Datenschutz am Arbeitsplatz: Funktioniert das im Homeoffice?
Bei der Einrichtung und Nutzung vom Arbeiten aus dem Zuhause kann es zu unterschiedlichen Herausforderungen im Datenschutz kommen, wie zum Beispiel:
- Spionage bzw. Hacking
- Offenlegung schützenswerter Informationen
- Datenverlust und Zerstörung von Geräten oder Datenträgern
Deshalb ist es wichtig, bestimmte Sicherheitsmaßnahmen vorzunehmen. Hierzu gehören die begrenzte Autorisierung von Personen, Zugriff auf autorisierte Funktionen, Ablegung personenbezogener und sensibler Daten im Unternehmensserver sowie die technische Konfiguration des Rechners, um diverse Manipulationen zu vermeiden.
Beispiele für Datenschutz am Arbeitsplatz
Mitarbeiterüberwachung
Misstrauen am Arbeitsplatz könnten den Arbeitgeber dazu verleiten das Team in seiner Arbeit zu überwachen. Typische Maßnahmen sind dabei Videoüberwachung, Zeiterfassung, E-Mail- oder Internetprotokolle und GPS-Tracking von Firmenfahrzeugen.
Aber Vorsicht: Mitarbeitende müssen über Art, Umfang und Zweck der Überwachung informiert werden. Gesammelte Daten dürfen nur für den vorgesehenen Zweck genutzt und sicher gespeichert werden. Heimliche Kontrollen, dauerhafte E-Mail-Überwachung oder die Speicherung sensibler privater Informationen stellen DSGVO-Verstöße dar und können rechtliche Konsequenzen nach sich ziehen.
Whatsapp Gruppe Arbeit Datenschutz
Messenger-Dienste wie WhatsApp werden häufig zur internen Kommunikation oder für den Kontakt mit Kunden genutzt. Doch auch hier ist der Einsatz nur DSGVO-konform, wenn Datenschutzrisiken berücksichtigt werden. Häufig wird im Eifer des Gefechts das Thema Datenschutz vernachlässigt, problematisch sind z. B.:
- Upload der Kontakte aus dem Adressbuch
- Nutzung von Metadaten
- Unverschlüsselte Backups
Aus datenschutzrechtlicher Sicht sollte WhatsApp daher nicht für sensible Unternehmenskommunikation oder interne Geschäftsprozesse verwendet werden. Dagegen sind alternative verschlüsselte Kommunikationslösungen empfehlenswert.
Verstoß gegen Datenschutz Beispiele
Oft nutzen Mitarbeitende während der Arbeitszeit private E-Mails oder surfen im Internet. Das ist nur rechtlich unbedenklich, wenn es eine klare Vereinbarung mit dem Arbeitgeber zur privaten Internetnutzung gibt. Ohne solche Regelung handelt es sich um einen Verstoß gegen den Datenschutz am Arbeitsplatz, der eine Abmahnung oder sogar eine fristlose Kündigung nach sich ziehen kann.
Erlaubt der Arbeitgeber die private Nutzung, darf er die Internetaktivitäten der Mitarbeitenden nicht überwachen, protokollieren oder private Daten löschen bzw. verändern. Verstöße gegen diese Regeln können Geldstrafen oder Freiheitsstrafen nach sich ziehen.
Ein anderes Beispiel ist die Videoüberwachung in Unternehmen: Ein Unternehmen installiert beispielsweise Kameras in Büroräumen, um Diebstähle zu verhindern. Die Mitarbeitenden werden jedoch nicht über den Zweck oder den Überwachungsbereich informiert. Dies stellt einen klaren Verstoß gegen die DSGVO dar, da weder Transparenz noch Verhältnismäßigkeit gewahrt wurden.
Auch der Umgang mit Bewerbungsunterlagen und Personalakten unterliegt strengen datenschutzrechtlichen Vorgaben. Denn: Bewerberdaten dürfen nur so lange gespeichert werden, wie es für den Bewerbungsprozess oder gesetzliche Aufbewahrungsfristen notwendig ist. Eine längere Speicherung ohne rechtliche Grundlage stellt einen Verstoß gegen die DSGVO dar.
Auch innerhalb des Unternehmens gilt: Einsicht oder Weitergabe von Personalakten darf nur autorisierten Personen erfolgen. Unbefugte Mitarbeitende dürfen weder auf sensible Mitarbeiterinformationen zugreifen noch diese weitergeben. Verstöße können arbeitsrechtliche Konsequenzen nach sich ziehen und den Schutz personenbezogener Daten gefährden.
Expertentipp: Datenschutzkonformes Offboarding
-
Sicherstellen, dass ehemalige Mitarbeitende im Nachgang nicht noch Kunden- oder auch Buchhaltungsdaten zugreifen oder diese sogar noch verändern oder weitergeben können.
-
Sicherstellen, dass Admin-Informationen nicht mit dem Mitarbeitenden das Unternehmen verlassen und so im Zweifel gewisse Lizenzen nicht mehr für aktuelle Mitarbeitende nutzbar sind.
Was passiert bei einem Verstoß gegen den Datenschutz?
Bei einem Datenschutzverstoß haftet zunächst der Arbeitgeber als Verantwortlicher. Mitarbeitende können nur dann rechtlich belangt werden, wenn sie grob fahrlässig oder vorsätzlich gegen klare Anweisungen gehandelt haben.
Ein weiterer wichtiger Punkt: Datenschutzverletzungen müssen unverzüglich, spätestens innerhalb von 72 Stunden, an die zuständige Aufsichtsbehörde gemeldet werden. Dadurch soll ein schneller Schutz der betroffenen personenbezogenen Daten gewährleistet werden.
FAQ - Die wichtigsten Fragen auf einen Blick
Nach dem Dsgvo beträgt der Bußgeldrahmen bis zu 20 Millionen Euro oder im Fall eines Unternehmens bis zu 4% des gesamten weltweit erzielten Jahresumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Wert der höhere ist.
Datenschutz konzentriert sich darauf wie Daten erfasst, geteilt, verwaltet und gelöscht werden. Datensicherheit sind die darauf folgenden Maßnahmen die ergriffen werden, um diese Daten zu schützen.
Die DSGVO ist ein Gesetz der Europäischen Union welches den Umgang mit personenbezogenen Daten bestimmt.
Disclaimer
Wir möchten an dieser Stelle darauf hinweisen, dass die Inhalte unser Internetseite einem unverbindlichen Informationszweck dient und entsprechend keiner offiziellen Rechtsberatung gleichkommt. Das beinhaltet auch Beiträge zu rechtlichen HR-Themen, deren Inhalt eine individuelle und verbindliche Rechtsberatung nicht ersetzt. Aus diesem Grund sind alle angebotenen Informationen ohne Gewähr auf Richtigkeit und Vollständigkeit. Die Inhalte unserer Internetseite werden allerdings mit größter Sorgfalt recherchiert.