Seit dem 25.05.2018 gelten auch in Deutschland die Vorschriften der Europäischen Datenschutz-Grundverordnung. Das Bundesdatenschutzgesetz wurde entsprechend der Datenschutz-Grundverordnung angepasst.
Mit der neuen Verordnung wurde europaweit eine Datenschutzregelungen getroffen, die der fortschreitenden Entwicklung der digitalen Informationstechnik Rechnung tragen soll.
Die Datenschutz-Grundverordnung gilt für jeden, der als „Verantwortlicher“ personenbezogene Daten nicht ausschließlich zu personenbezogenen oder familiären Zwecken verarbeitet (Art. 2 Datenschutz-Grundverordnung).
Dabei sind personenbezogene Daten, alle Informationen einer Person, die diese identifizieren oder identifizierbar machen (Art. 4 Abs. 1 Nr. 1 Datenschutz-Grundverordnung).
Die Verarbeitung von Daten liegt beispielsweise dann vor, wenn sie erfasst, gesichert oder verändert werden (§ 4 Abs. 1 Nr. 2 Datenschutz-Grundverordnung).
Deshalb muss jeder Betrieb, der in der Europäischen Union niedergelassen ist oder der Daten von Personen verarbeitet, die sich in der europäischen EU oder im EWR (Europäischer Wirtschaftsraum) aufhalten, die Datenschutz-Grundverordnung beachten.
Unter Zugrundelegung dieser Voraussetzungen gilt die Datenschutz-Grundverordnung auch im Rahmen von Arbeitsverhältnissen.
Sie gilt in der Regel auch für Kleinbetriebe.
Die Datenschutz-Grundverordnung sieht zwar eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern vor. Diese Ausnahme greift jedoch bereits dann nicht, wenn der Arbeitgeber nicht nur „gelegentlich“ personenbezogene Daten seiner Mitarbeiter verarbeitet. Da Kleinbetriebe die Daten ihrer Mitarbeiter regelmäßig und nicht nur gelegentlich speichern, geht der Ausnahmetatbestand der Datenschutz-Grundverordnung im Arbeitsrecht ins Leere.
Nach der Datenschutz-Grundverordnung ist die Verarbeitung von personenbezogenen Daten ohne Rechtsgrundlage ausgeschlossen.
Allerdings sieht die Datenschutz-Grundverordnung Ausnahmen vor, die auch für Arbeitgeber gelten. So dürfen nach Art. 6 Abs. 1b Datenschutz-Grundverordnung personenbezogene Daten verarbeitet werden, wenn diese zur Erfüllung eines Vertrages oder zur Durchführung vorvertraglicher Maßnahmen erforderlich sind, die auf Anfrage der betroffenen Person erfolgen.
Das Bundesdatenschutzgesetz hat diese Problematik in § 26 aufgegriffen und festgestellt, dass personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden dürfen.
Aus der Anwendbarkeit der Datenschutz-Grundverordnung ergeben sich für den Arbeitgeber neue Pflichten und für den Arbeitnehmer neue Rechte.
So hat ein Arbeitnehmer nach Art. 15 Datenschutz-Grundverordnung gegenüber dem Arbeitgeber ein weitgehendes Auskunftsrecht über seine Daten. Macht ein Arbeitnehmer davon Gebrauch, so muss der Arbeitgeber folgende Umstände offenlegen:
– zu welchem Zweck er die Daten des Arbeitnehmers verwendet,
– welche Art von Daten verarbeitet werden,
– wer Einsicht in die Daten erhält,
– wie lange die Daten voraussichtlich gespeichert werden,
– welche Rechte der Arbeitnehmer in Bezug auf die Daten hat,
– wie der Arbeitgeber an die Daten gelangt ist, falls der Arbeitnehmer sie nicht direkt mitgeteilt hat,
– ob eine automatisierte Entscheidungsfindung stattfindet.
Art. 13 Datenschutz-Grundverordnung sieht vor, dass bereits zu dem Zeitpunkt, wenn der Arbeitgeber die Daten des Arbeitnehmers erhebt, er dem Arbeitnehmer bestimmte Pflichtinformationen geben muss.
Nach Art. 37 Datenschutz-Grundverordnung i.V.m. § 38 Bundesdatenschutzgesetz müssen Unternehmen, die regelmäßig mehr als 20 Mitarbeiter ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, einen Datenschutzbeauftragten haben, der auf Verlangen des Arbeitnehmers diesem benannt werden muss.
Nach Art. 30 der Datenschutz-Grundverordnung muss jeder, der personenbezogene Daten verarbeitet, ein sogenanntes Verzeichnis anlegen, in dem die Verarbeitungstätigkeiten genannt sind. Dieses Verzeichnis soll sämtliche Verarbeitungsverfahren mit den jeweiligen Pflichtangaben enthalten.
Die Einhaltung der Datenschutz-Grundverordnung wird von einer Landesbehörde überwacht. Diese hat zahlreiche Befugnisse, dafür zu sorgen, dass die Datenschutz-Grundverordnung eingehalten wird. Diese reichen von einer Beratung über den Verstoß, über Verwarnungen bis zu unter Umständen hohen Geldbußen.
Abschließend kann festgestellt werden, dass die Datenschutz-Grundverordnung den Arbeitgebern einige Pflichten auferlegt hat, die bei Verstößen zu gravierenden Folgen führen können.
Den Arbeitnehmern dagegen ist ein Instrument in die Hand gegeben worden, dafür zu sorgen, dass die im Unternehmen von ihnen gespeicherten Daten transparent bleiben und vom Arbeitgeber nicht für sonstige Zwecke missbraucht werden.
