Datenschutz im Betrieb - Die DS-GVO in der Personalarbeit

Cover

Urheberrechtsinfo

Titel

Impressum

Inhaltsverzeichnis

1 Einleitung

2 Neue Aufgaben für HR-Fach- und Führungskräfte

2.1 Besonders betroffen von den neuen Regelungen: das Personalwesen

2.2 Sensibilität im Umgang mit Bewerberdaten

2.3 Aufgaben im laufenden Beschäftigungsverhältnis

2.4 Aufgaben nach Beendigung des Beschäftigungsverhältnisses

2.5 Zur Rolle des Betriebsrats

2.6 Instruktion von Mitarbeitern

3 Der Datenschutzbeauftragte

3.1 Die Pflicht zur Benennung eines Datenschutzbeauftragten

3.2 Benennung und Abberufung eines Datenschutzbeauftragten

3.2.1 Die Formalien der Benennung

3.2.2 Benennung für mehrere Organisationen

3.2.3 Abberufung

3.3 Anforderungen an den Datenschutzbeauftragten

3.4 Die Stellung des Datenschutzbeauftragten im Unternehmen

3.5 Aufgaben und Pflichten des Datenschutzbeauftragten

3.6 Alternative Rollen im Unternehmen neben oder statt dem Datenschutzbeauftragten

3.7 Musterschreiben: Benennung eines Datenschutzbeauftragten

4 Dokumentationspflichten und das Verarbeitungsverzeichnis

4.1 Die Nachweis- und Dokumentationspflichten in der DS-GVO

4.2 Das Verarbeitungsverzeichnis

4.2.1 Form des Verzeichnisses

4.2.2 Inhalt des Verzeichnisses

4.3 Erstellung und Pflege des Verarbeitungsverzeichnisses

5 Die Rechte der betroffenen Personen

5.1 Informationspflichten

5.1.1 Informationspflichten bei Direkterhebung

5.1.2 Informationspflichten bei Dritterhebung

5.1.3 Überblick über die mitzuteilenden und bereitzustellenden Informationen

5.1.4 Informationspflichten bei Zweckänderung und Übermittlung

5.1.5 Form der Informationspflicht

5.1.6 Ausnahmen

5.2 Individualrechte des Betroffenen zur Sicherung der informationellen Selbstbestimmung

5.2.1 Auskunftsersuchen, Art. 15 DS-GVO

5.2.2 Das Recht auf Berichtigung, Art. 16 DS-GVO

5.2.3 Das Recht auf Löschung, Art. 17 DS-GVO

5.2.4 Das Recht auf Einschränkung der Verarbeitung, Art. 18 DS- GVO

5.2.5 Anfragen auf Datenübertragung (Art. 20 DS-GVO)

5.2.6 Das Widerspruchsrecht, Art. 21 DS-GVO

5.3 Das Vorgehen bei Betroffenen-Anfragen

5.3.1 Vorüberlegungen

5.3.2 Eingang der Anfrage des Betroffenen

5.3.3 Prüfung der Anfrage

5.3.4 Information an die Betroffenen und Speicherung der Anfrage

5.4 Musterschreiben und Formulare

5.4.1 Formular für die interne Vorbereitung der Auskunftserteilung

5.4.2 Muster für Antwortschreiben

6 Beschäftigtendatenschutz

6.1 Begriff und Zweck des Beschäftigtendatenschutzes

6.2 Rechtliche Grundlagen des Beschäftigtendatenschutzes

6.3 Beschäftigtenbegriff

6.4 Begriff der personenbezogenen Daten

6.5 Begriff der Verarbeitung

6.6 Erlaubnistatbestände zur Verarbeitung von Beschäftigtendaten

6.7 Beschäftigtendatenschutz im Bewerbungsverfahren

6.7.1 Welche Daten darf der Arbeitgeber erheben?

6.7.2 Was muss der Arbeitgeber wann löschen?

6.8 Beschäftigtendatenschutz im Arbeitsverhältnis

6.8.1 Welche Daten darf der Arbeitnehmer verarbeiten?

6.8.2 Besonderheiten der Videoüberwachung

6.8.3 Compliance-Maßnahmen

6.8.4 Was muss der Arbeitgeber wann löschen?

6.9 Einhaltung der Grundsätze der DS-GVO

6.10 Rechtsfolgen bei Verstößen gegen den Beschäftigtendatenschutz

7 Einwilligung im Beschäftigungsverhältnis

7.1 Rechtliche Grundlagen der Einwilligung im Beschäftigtenverhältnis

7.2 Freiwilligkeit der Einwilligung im Beschäftigtenverhältnis

7.3 Schriftform der Einwilligung

7.4 Pflicht zur Aufklärung über den Zweck der Datenverarbeitung

7.5 Widerrufsrecht

7.6 Alternativen zur Einwilligung im Beschäftigungsverhältnis

8 Die Betriebsvereinbarung und andere Kollektivvereinbarungen

8.1 Betriebsvereinbarungen und Tarifverträge als datenschutzrechtliche Erlaubnisgrundlage nach der DS-GVO

8.1.1 Datenschutzrechtliche Erlaubnisgrundlage nach BDSG a.?F.

8.1.2 Auch datenschutzrechtliche Erlaubnisgrundlage nach der DS-GVO

8.2 Kann durch eine Kollektivvereinbarung das Schutzniveau der DS-GVO abgesenkt werden?

8.2.1 Abweichung vom datenschutzrechtlichen Schutzniveau nach BDSG a.?F.

8.2.2 Keine wesentliche Unterschreitung des Schutzniveaus der DS-GVO

8.2.3 Handlungsspielräume der DS-GVO durch Kollektivvereinbarungen gestalten

8.3 Doppelfunktion von Betriebsvereinbarungen in der Praxis

8.3.1 Mitbestimmungstatbestand des §?87 Abs. 1 Nr. 6 BetrVG

8.3.2 Gleichzeitig datenschutzrechtliche Erlaubnisgrundlage nach der DS-GVO

8.4 Inhaltliche Anforderungen der DS-GVO an Betriebsvereinbarungen

8.4.1 Transparenz und Prinzipien des Art. 5 DS-GVO

8.4.2 Rechenschaftspflicht

8.4.3 Übermittlung personenbezogener Daten innerhalb der Unternehmensgruppe

8.4.4 Überwachungssysteme am Arbeitsplatz

8.5 Handlungsempfehlungen für die Formulierung einer Betriebsvereinbarung nach der DS-GVO

8.5.1 Allgemein zwingend notwendige Regeln

8.5.2 Im besonderen Fall notwendige bzw. mögliche Regelungstatbestände

8.6 Verhandlungstaktik bei der Anpassung von Betriebsvereinbarungen

9 Arbeitnehmerüberlassung

10 Digitale Personalakte

10.1 Personalakte ? eine Begriffsdefinition

10.2 Grundsätze bei der Führung von Personalakten

10.2.1 Grundsatz der Vollständigkeit vs. Grundsatz der Datenminimierung und Speicherbegrenzung

10.2.2 Grundsatz der Richtigkeit

10.2.3 Grundsatz der Transparenz

10.2.4 Grundsatz der Integrität und Vertraulichkeit

10.3 Schritt für Schritt zur digitalen Personalakte

10.3.1 Schritt 1: Bestandsaufnahme

10.3.2 Schritt 2: Auswahl des Dienstleisters bzw. Systems

10.3.3 Schritt 3: Frühzeitige Beteiligung des Datenschutzbeauftragten

10.3.4 Schritt 4: Beteiligung des Betriebsrats

10.3.5 Schritt 5: Privacy by Design und Privacy by Default

10.3.6 Schritt 6: Einführung eines Löschkonzepts

10.3.7 Schritt 7: Prüfen, ob Erfordernis einer Datenschutz-Folgenabschätzung besteht, und ggf. Durchführung der Datenschutz-Folgenabschätzung

10.3.8 Schritt 8: Entscheidung über das Führen einer Rumpfakte

10.3.9 Schritt 9: Organisation der digitalen Personalakte ? konzernweite Datenverarbeitung

10.3.10 Schritt 10: Sicheres Vernichten aller (irrelevanten) Dokumente

11 Datenschutz und elektronische Kommunikation

11.1 Die Verwendung von E-Mail und Internet am Arbeitsplatz

11.2 Regelungsmöglichkeiten für den Arbeitnehmer

11.2.1 Keine Regelung zur Privatnutzung

11.2.2 Sonderfall betriebliche Übung

11.2.3 Ausdrückliche Regelung zur Privatnutzung

11.3 Kontrollmöglichkeiten

11.3.1 Kontrollen bei Verbot der privaten Nutzung

11.3.2 Kontrollen bei Erlaubnis der privaten Nutzung

11.4 Handlungsempfehlungen und Checkliste

11.4.1 Die einfachste Lösung: Verbot der privaten Nutzung

11.4.2 Klare Regelung notwendig: Erlaubnis der privaten Nutzung

12 Interne Untersuchungen und Aufdeckung von Pflichtverletzungen

12.1 Einleitung

12.2 Insbesondere: Videoüberwachung

12.3 Aktuelle Entscheidungen

12.3.1 Unzulässigkeit von Keylogger-Software

12.3.2 Überwachungsmaßnahmen durch Detektive

12.3.3 Mitbestimmung des Betriebsrats bei Einrichtung einer Facebook-Seite

13 Auftragsverarbeitung

13.1 Einführung

13.2 Der Auftragsverarbeiter

13.2.1 Stellung des Auftragsverarbeiters

13.2.2 Neue Pflichten des Auftragsverarbeiters

13.3 Auswahl des Auftragsverarbeiters

13.4 Vertrag zwischen Verantwortlichem und Auftragsverarbeiter

13.4.1 Erforderlichkeit eines Vertrags

13.4.2 Notwendige Vertragsinhalte

13.4.3 Umsetzung dieser Vertragsinhalte

13.5 Unterauftragnehmer

13.5.1 Genehmigung

13.5.2 Anforderungen an den Unterauftrag

13.5.3 Haftung für den Unterauftragsverarbeiter

13.6 Form

13.7 Internationale Auftragsverarbeitung

13.8 Einstandspflichten, Haftung und Sanktionen

13.8.1 Einstandspflichten des Auftragsverarbeiters

13.8.2 Haftung

13.8.3 Sanktionsmöglichkeiten der Aufsichtsbehörde

13.9 Fortgeltung bestehender Verträge

13.10 Checkliste: ADV-Vertrag

14 Konzerndatenschutz

14.1 Grundlagen

14.1.1 Begriff des Konzerns

14.1.2 Fehlendes »Konzernprivileg« im Datenschutzrecht

14.2 Rechtsgrundlage für die konzerninterne Übermittlung und weitere Verarbeitung von personenbezogenen Daten

14.2.1 Auftragsverarbeitung

14.2.2 Konzerninterne Übermittlung

14.3 Gemeinsame Verantwortlichkeit gem. Art. 26 DS- GVO

14.4 Fallgruppen

14.4.1 Konzernweites Kontakt-Verzeichnis

14.4.2 Zentralisierung der Personalverwaltung

14.4.3 Matrix-Strukturen

14.4.4 Skill-Datenbanken

14.4.5 Konzernweites Recruiting

14.5 Datenübermittlung an Konzernunternehmen in Drittländern

14.6 Checkliste

15 Outsourcing

15.1 Generelle Voraussetzungen

15.1.1 Auftragsdatenverarbeitung

15.1.2 Funktionsübertragung

15.1.3 Berufsgeheimnisträger

15.1.4 Einbeziehung des Datenschutzbeauftragten und des Betriebsrates

15.2 Übermittlung an Outsourcing-Unternehmen in Drittländer

15.3 Auswahl des Outsourcing-Anbieters

15.4 Fragenkatalog für Outsourcing-Projekte

16 Internationaler Datenverkehr

16.1 Die »Zwei Stufen«-Prüfung bei internationalen Datentransfers

16.2 Datentransfer in Drittländer auf Grundlage eines Angemessenheitsbeschlusses

16.3 EU-US Privacy Shield

16.4 Datenübermittlung auf Grundlage von Standard­datenschutzklauseln gem. Art. 46 Abs. 2c und d DS-GVO

16.5 Verbindliche interne Datenschutzvorschriften gem. Art. 47 DS-GVO

16.6 Genehmigte Verhaltensregeln und Zertifizierungsmechanismen

16.7 Genehmigungsbedürftige vertragliche Regelungen

16.8 Gesetzliche Erlaubnistatbestände

17 Löschkonzept

17.1 Im Fokus: Löschverpflichtung

17.2 Das Prinzip der Speicherbegrenzung und die Löschverpflichtung

17.3 Technische und organisatorische Maßnahmen zur Speicherbegrenzung

17.4 Das Löschkonzept

17.5 Beispiel: Löschregeln im Personalbereich

18 Direktmarketing

18.1 Bestehende Kundenbeziehung

18.1.1 Überblick

18.1.2 Details

18.2 Einwilligung

18.2.1 Gültigkeit von Alt-Einwilligungen ? Übergangsregelungen

18.2.2 Anforderungen nach der DS-GVO

18.3 Rechtfertigung durch gesetzlichen Erlaubnistatbestand

18.4 Keine Sonderregelungen bei Geschäftskontakten

19 Industrie 4.0 im Kontext des Datenschutzes

19.1 Beschäftigtendatenschutz

19.2 Datentransfers in Drittstaaten

19.3 Datensicherheit

19.4 Exkurs: Data Ownership

20 Verarbeitung personenbezogener Daten Minderjähriger im Internet

20.1 Strengere Schutzanforderungen bei Kindern

20.2 Allgemeine Anforderungen an die Einwilligung

20.3 Wirksamkeit von alten Einwilligungserklärungen

20.4 Besondere Anforderungen an die Einwilligung bei Kindern

20.5 Entbehrlichkeit der Einwilligung bei notwendiger Datenverarbeitung

20.5.1 Berechtigte Interessen

20.5.2 Erfüllung eines Vertrags

21 IT-Sicherheit im Unternehmen

21.1 Ausgangslage

21.2 Typisches Angriffsszenario

21.3 Datenverarbeitung als wesentlicher Teil der IT-Sicherheit

21.4 Rechtlicher Rahmen

21.4.1 Anwendbarkeit des Datenschutzrechts

21.4.2 Gesetzliche Anforderungen an die IT-Sicherheit

21.4.3 Zulässige Verarbeitung und Speicherdauer von Daten

21.5 Praktische Umsetzung/Checkliste

22 Datenschutz-Folgenabschätzung

22.1 Zielsetzung

22.2 Erforderlichkeit der Datenschutz-Folgenabschätzung

22.2.1 Grundsatz

22.2.2 Konkretisierung durch Regelbeispiele

22.2.3 Kriterien für ein »hohes Risiko« nach der Artikel-29-Daten­schutzgruppe

22.2.4 Orientierung an Listen der Aufsichtsbehörden

22.2.5 Zwischenergebnis

22.3 Durchführung der Datenschutz-Folgenabschätzung

22.3.1 Die Vorbereitungsphase

22.3.2 Die Bewertungsphase

22.3.3 Die Maßnahmenphase

22.4 Einbeziehung des Datenschutzbeauftragten

22.5 Einbeziehung der Betroffenen

22.6 Konsultation der Aufsichtsbehörde

22.7 Altfälle: Bewertung von vorhandenen Verarbeitungsprozessen

22.8 Überprüfung und Wiederholung der Datenschutz-Folgenabschätzung

22.9 Sanktionen

23 Datenschutzrisikomanagement

23.1 Einführung

23.2 Rahmenbedingungen eines Compliance- und Datenschutz-Management-Systems

23.3 Bestandsaufnahme als Vorbereitungsmaßnahme

23.4 Umsetzung

23.4.1 Beschreibung der Datenverarbeitungsprozesse

23.4.2 Im Fokus: Beschäftigtendatenschutz

23.4.3 Stärkung der Rolle des Datenschutzbeauftragten

23.4.4 Anpassung der IT-Struktur

23.4.5 Implementierung eines Löschmanagements

23.4.6 Kollektivrechtliche Aspekte

23.4.7 Kommunikation und Training

24 Datenschutzaudit und Zertifizierung

24.1 Das Datenschutz-Management-System

24.2 Audit, Übung, Wartung

24.3 Strategie definieren, Maßnahmen planen

24.4 Strategien und Maßnahmen implementieren

24.5 Umsetzung kontrollieren

24.6 Etablierung von Datenschutzorganisation und Datenschutz-Kultur

24.7 Projektmanagement

24.8 Datenschutzsiegel

25 Datenschutzschulung und Sensibilisierung

25.1 Relevante Schulungsinhalte

25.1.1 Besondere Arten personenbezogener Daten

25.1.2 Einwilligung des Betroffenen

25.1.3 Neue Rechte des Betroffenen

25.1.4 Verzeichnis für Verarbeitungstätigkeiten

25.1.5 Benachrichtigungspflicht bei Sicherheitspannen

25.2 Durchführung der Schulungsmaßnamen und Sensibilisierung der Mitarbeiter

Die Autoren

Abkürzungsverzeichnis

Literaturverzeichnis

Stichwortverzeichnis