Datenschutz in der Personalarbeit und anderen Bereichen

Präsentation zum Thema: "Datenschutz in der Personalarbeit und anderen Bereichen"—  Präsentation transkript:

1 Datenschutz in der Personalarbeit und anderen Bereichen
Hamburg – 6. November 2013

2 Eingangsfall 1: Arbeitgeber A führt mit länger als 6 Wochen erkrankten Mitarbeitern grundsätzlich ein sog. Krankenrückkehrgespräch. Die Erkenntnisse aus den jeweiligen Gesprächen legt er in handschriftlichen Notizen nieder. Die nach Krankheit zurückkehrende Mitarbeiterin K gibt Auskunft, beschwert sich aber sodann beim Landesdatenschutzbeauftragten. Was hat A zu befürchten?

3 Eingangsfall 2: Arbeitgeber A hat sich eine Excel-Tabelle mit besonders förderungswürdigen Mitarbeitern angelegt. Mitarbeiter M ist dort mit verschiedenen Leistungseinschätzungen verzeichnet. Als M davon erfährt, verlangt er von A a) Auskunft über alle erfassten Daten b) Berichtigung der Eintragung bei „Zuverlässigkeit“ und c) Löschung aller übrigen Daten mangels Erforderlichkeit Hat M dahingehende Ansprüche?

4 Eingangsfall 3: Arbeitgeber A beauftragt den leitenden Angestellten L damit, die Kundendienstfahrzeuge heimlich mit GPS-Sendern auszustatten, um die Einhaltung von Pausenzeiten der Monteure überwachen zu können. L gibt den „Auftrag“ an Mitarbeiter M weiter, der ihn ausführt. Die Sache fliegt auf. Was haben A, L und M zu befürchten?

5 I. Datenschutzrechtliche Grundlagen
Neufassung des § 32 BDSG Besondere Probleme in der Personalarbeit Folgen von Datenschutzverstößen Beteiligung des Betriebsrats Datenschutzrelevante Phasen im Arbeitsverhältnis Aktuelle Fälle

6 I. Datenschutzrechtliche Grundlagen

7 Datenschutz Datensicherheit geschützt: natürliche Person durch Gesetze geschützt: Hard- und Software, Daten durch Verfahren, technische Vorrichtungen, Gesetze

8 BDSG LDSGe Abgrenzung zwischen BDSG und Landes-DS-Gesetzen: Landesdatenschutzgesetze betreffen öffentliche Dienststellen der Länder Bundesdatenschutzgesetz betrifft - öffentliche Dienststellen des Bundes - private Unternehmen

9 Europarecht Europarechtliche Grundlagen des Datenschutzes: Richtlinie 95/46/EG vom (DSRL) derzeit verhandelt: Entwurf DatenschutzgrundVO

10 Zentrales Gesetz: BDSG
Neuregelung betreffend Beschäftigungsverhältnisse zum (§ 32 BDSG) Schutzbereich: personenbezogene Daten natürlicher Personen Datenschutz ist Querschnittsmaterie weitere datenschutzrelevante Gesetze: SGB, BGB, StGB, Telekommunikationsgesetze, HGB, AO, BetrVG

11 BDSG §§ : Datenverarbeitung der nichtöffentlichen Stellen = Unternehmen der Privatwirtschaft Subsidiarität BDSG nur einschlägig, wenn kein bereichsspezifisches Gesetz einschlägig ist (z.B. TKG)

12 Datenschutzrechtliche Regelungen außerhalb des BDSG:
Telemedien (Internet) § 12 TMG – Grundsätze: (1) Der Dienstanbieter darf personenbezogene Daten zur Bereitstellung von Telemedien nur erheben und verwenden, soweit dieses Gesetz oder eine andere Rechtsvorschrift, die sich ausdrücklich auf Telemedien bezieht, es erlaubt oder der Nutzer eingewilligt hat. …

13 BDSG Grundbegriffe: personenbezogene Daten / Betroffene Umgang mit personenbezogenen Daten verantwortliche Stelle Zulässigkeit der Datenverarbeitung

14 BDSG personenbezogene Daten: § 3 BDSG: Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener)

15 BDSG Anonymisierte und pseudonymisierte Daten: absolut anonym: kein Personenbezug faktisch anonym: Personenbezug nur mit unverhältnismäßigem Aufwand herstellbar pseudonym: Personenbezug wegen Zuordnungsregel besteht

16 BDSG Besondere Arten personenbezogener Daten: § 4 a Abs. 3 BDSG (Rasse, politische Meinung, Gesundheit, Sexualleben pp.) besondere Anforderungen, ausdrückliche Einwilligung

17 BDSG Grundbegriffe: personenbezogene Daten / Betroffene Umgang mit personenbezogenen Daten verantwortliche Stelle Zulässigkeit der Datenverarbeitung

18 BDSG Erhebung Verarbeitung Speichern Verändern Übermitteln Sperren und Löschen Nutzen

19 BDSG Grundbegriffe: personenbezogene Daten / Betroffene Umgang mit personenbezogenen Daten verantwortliche Stelle Zulässigkeit der Datenverarbeitung

20 BDSG Verantwortliche Stelle: funktionale Betrachtung Entscheidungsverantwortlichkeit und Verantwortungsstruktur aktueller Fall: ULD Schleswig-Holstein ./. private Unternehmen Facebook-Fanpages

21 BDSG Verantwortliche Stelle: „für sich“ –Verarbeitung In-House-Verarbeitung Auftragsverarbeitung, wenn Auftragnehmer weisungsgebunden (§ 11 BDSG)

22 BDSG Grundbegriffe: personenbezogene Daten / Betroffene Umgang mit personenbezogenen Daten verantwortliche Stelle Zulässigkeit der Datenverarbeitung

23 BDSG Zulässigkeit – „Goldene Regeln“: Zulässigkeit / Rechtmäßigkeit Einwilligung Erforderlichkeit Zweckbindung Transparenz Datensicherheit und Kontrolle

24 BDSG Rechtmäßigkeit nach dem BDSG: Verbot mit Erlaubnisvorbehalt § 4 BDSG: nur zulässig, soweit BDSG selbst oder andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat Erlaubnis im BDSG: § 28

25 Prüfung der Rechtsmäßigkeit nach dem BDSG:
Ist eine bereichsspezifische Sonderregelung einschlägig? Erfolgt die Datenverarbeitung im Rahmen eines Vertragsverhältnisses? Vertragszweck? Wille des Vertragspartners? DV vom Vertragszweck gedeckt? Besteht ein berechtigtes Interesse? Schutzwürdige Belange? Sind die Daten allgemein zugänglich? Liegt eine Einwilligung vor?

26 BDSG Zulässigkeit – „Goldene Regeln“: Zulässigkeit / Rechtmäßigkeit Einwilligung Erforderlichkeit Zweckbindung Transparenz Datensicherheit und Kontrolle

27 BDSG Einwilligung: Hervorhebung der Einwilligungserklärung i.d.R. Schriftlichkeit Ausnahmen: elektronischer Rechtsverkehr, Telefonbanking pp.

28 § 13 TMG: (2) Die Einwilligung kann elektronisch erklärt werden, wenn der Diensteanbieter sicherstellt, dass […] der Nutzer seine Einwilligung bewusst und eindeutig erteilt hat, die Einwilligung protokolliert wird, der Nutzer den Inhalt der Einwilligung jederzeit anrufen kann und der Nutzer die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen kann. (3) Der Diensteanbieter hat den Nutzer vor der Erklärung der Einwilligung auf das Recht nach Abs. 2 Nr. 4 hinzuweisen.

29 BDSG Zulässigkeit – „Goldene Regeln“: Zulässigkeit / Rechtmäßigkeit Einwilligung Erforderlichkeit Zweckbindung Transparenz Datensicherheit und Kontrolle

30 BDSG Grundsätze: Datenvermeidung und Datensparsamkeit offene Erhebung und direkte Erhebung zivilrechtliche Schadensersatzpflicht

31 Rechte der Betroffenen
Benachrichtigung (§ 33 BDSG) Auskunft (§ 34 BDSG) Berichtigung (§ 35 BDSG) Sperrung (§ 35 BDSG) Löschung (§ 35 BDSG) Anrufung der Aufsichtsbehörden (§ 38 BDSG)

32 Verpflichtung auf das Datengeheimnis (§ 5 BDSG)
für Mitarbeiter, die mit personenbezogenen Daten umgehen gilt auch für das Fernmeldegeheimnis Schriftform gilt auch für leitende Angestellte Auswahlrecht des Arbeitgebers

33 Datenschutzbeauftragter
Bestellungspflicht (§§ 4 f, g BDSG): für jede verantwortliche Stelle, die personenbezogene Daten automatisiert erhebt und in der Regel mindestens 10 Personen ständig in der automatisierten DV oder in der Regel mindestens 20 Personen ständig in der konventionellen DV beschäftigt

34 Datenschutzbeauftragter
Aufgabe: Überwachung der Einhaltung von Datenschutzvorschriften kann Angestellter oder Externer sein keine Selbstkontrolle (z.B. IT-Leiter) neu: erweiterter Sonderkündigungsschutz

35 II. Neufassung des § 32 BDSG

36 § 32 BDSG – Datenerhebung, -verarbeitung und -nutzung für Zweckes des Beschäftigungsverhältnisses
Neuregelung zum „Beschäftigte“ zentrales Merkmal: Erforderlichkeit (vorher § 28 BDSG: „dienen“) besondere Regelung bei Straftaten

37 § 32 BDSG betrifft Erhebung, Verarbeitung und Nutzung personenbezogener Daten anlässlich Entscheidung über Begründung, für die Durchführung oder die Beendigung von Beschäftigungsverhältnissen

38 BDSG nur automatisierte DV § 32 BDSG auch manuelle DV

39 Merkmal der Erforderlichkeit:
Müssen für diesen Zweck überhaupt Daten erhoben werden? Müssen gerade diese Daten erhoben werden? Mindestergebnis oder bestes Ergebnis? objektiver oder individueller Maßstab?

40 Erforderlichkeit immer gegeben bei gesetzlichen Vorgaben oder Folgen gesetzlicher Vorgaben, z.B. :
Betriebliches Eingliederungsmanagement Allgemeines Gleichbehandlungsgesetz Unfallverhütungsvorschriften Arbeits- und Gesundheitsschutz Pflegedokumentationen

41 Fazit: Erforderlichkeitsfeststellung am vom Arbeitgeber verfolgten Zweck breiter Einschätzungsspielraum Ausscheiden nur von schlicht überflüssigen Erhebungen faktisch eine Änderung gegenüber § 28 BDSG

42 Missglückte Regelung bei Straftaten
Vorliegen tatsächlicher Anhaltspunkte diese sind zu dokumentieren kein überwiegend schutzwürdiges Interesse des Beschäftigten am Ausschluss der Datennutzung Verhältnismäßigkeitsprüfung

43 Konkrete Anhaltspunkte
Stichproben (z.B. Arbeitszeitkontrollen)? überflüssige Innenrevision? problematisch insbesondere wegen der Ausdehnung auch auf manuelle DV-Vorgänge Dokumentationspflicht ewige Aufbewahrungspflicht ./. Löschungpflicht

44 Besondere Probleme des § 32 BDSG
keine Regelungen für ausgeschiedene Mitarbeiter ungeklärte Frage der geschäftlichen -Überwachung bei gestatteter Privatnutzung Übermittlung von Daten im Konzern

45 Eingangsfall 1: Arbeitgeber A führt mit länger als 6 Wochen erkrankten Mitarbeitern grundsätzlich ein sog. Krankenrückkehrgespräch. Die Erkenntnisse aus den jeweiligen Gesprächen legt er in handschriftlichen Notizen nieder. Die nach Krankheit zurückkehrende Mitarbeiterin K gibt Auskunft, beschwert sich aber sodann beim Landesdatenschutzbeauftragten. Was hat A zu befürchten?

46 Eingangsfall 2: Arbeitgeber A hat sich eine Excel-Tabelle mit besonders förderungswürdigen Mitarbeitern angelegt. Mitarbeiter M ist dort mit verschiedenen Leistungseinschätzungen verzeichnet. Als M davon erfährt, verlangt er von A a) Auskunft über alle erfassten Daten b) Berichtigung der Eintragung bei „Zuverlässigkeit“ und c) Löschung aller übrigen Daten mangels Erforderlichkeit Hat M dahingehende Ansprüche?

47 III. Besondere Probleme in der Personalarbeit

48 Nutzung von öffentlich zugänglichen Daten
Erfassung von Krankheitsdaten elektronische Personalakte Erfassen von Positionsdaten (GPS)

49 Nutzung von öffentlich zugänglichen Daten
insbesondere im Zuge von Bewerbungsverfahren eher irrelevant für laufendes Arbeitsverhältnis grundsätzlich verwendbar (§ 28 Abs. 1 Nr. 3 BDSG) Löschungspflicht nach Einstellungsentscheidung AGG-veranlasste Aufbewahrung bei Ablehnung

50 Erfassung von Krankheitsdaten
im Rahmen BEM (§ 84 Abs. 2 SGB IX) zulässig weitergehend zulässig mit Einwilligung (§ 4 a BDSG) erforderlich insbesondere bei - Fragen der Eignung für den Arbeitsplatz - Fragen des Gesundheits- und Arbeitsschutzes - Fragen etwaiger krankheitsbedingter Kündigung keine Auskunftspflicht bei Krankenrückkehr und BEM

51 Elektronische Personalakte
jetzt einheitlicher Maßstab wie Papierakte (§ 32 Abs. 2 BDSG) Einwilligung (§ 4 a BDSG) weitergehend möglich Mitbestimmungsfragen insbesondere bei Beurteilungsgrundsätzen (§ 94 BetrVG)

52 Erfassen von Positionsdaten (GPS)
Sonderregelung in § 6 c BDSG Informationspflicht, auch über Funktionsweise Kommunikationswege mit Datenverarbeitung müssen auf dem Gerät erkennbar sein anderenfalls: Verwertungsverbot

53 IV. Folgen von Datenschutzverstößen

54 Folgen für den Arbeitgeber
Bußgeld- und Strafvorschriften §§ 43, 44 BDSG Untersagungsanordnung evtl. Strafvorschriften nach StGB Haftung auf Schadensersatz und Schmerzensgeld? Presse-Echo

55 Folgen für den Arbeitnehmer
Bußgeld- und Strafvorschriften §§ 43, 44 BDSG Untersagungsanordnung evtl. Strafvorschriften nach StGB Haftung auf Schadensersatz und Schmerzensgeld? Kündigung des Arbeitsverhältnisses

56 Eingangsfall 3: Arbeitgeber A beauftragt den leitenden Angestellten L damit, die Kundendienstfahrzeuge heimlich mit GPS-Sendern auszustatten, um die Einhaltung von Pausenzeiten der Monteure überwachen zu können. L gibt den „Auftrag“ an Mitarbeiter M weiter, der ihn ausführt. Die Sache fliegt auf. Was haben A, L und M zu befürchten?

57 V. Beteiligung des Betriebsrats

58 Überwachungsanspruch § 80 Abs. 1 S. 1 BetrVG
Auskunftsanspruch § 80 Abs. 2 BetrVG Fragen betrieblicher Ordnung und Arbeitnehmerverhalten § 87 Abs. 1 Nr. 1 BetrVG Technische Überwachungseinrichtungen § 87 Abs. 1 Nr. 6 BetrVG

59 VI. Datenschutzrelevante Phasen im Arbeitsverhältnis

60 Laufendes Arbeitsverhältnis
Bewerbungsverfahren Laufendes Arbeitsverhältnis Kündigung „Nachlauf“

61 Bewerbungsverfahren öffentlich zugängliche Informationen Fragerecht und Fragebögen Löschungspflichten AGG und Aufbewahrung

62 Laufendes Arbeitsverhältnis
Mitarbeiterkontrolle Erfassung von Krankheitsdaten Dokumentation von Arbeitsvorgängen individuelle Löschungsbeurteilung

63 Kündigung

64 „Nachlauf“ Aufbewahrungsfristen laufende Altersteilzeit betriebliche Altersversorgung