Show
Fragen Sie noch heute ein unverbindliches Beratungsgespräch an
Die Datenschutzgrundverordnung (DSGVO) hat die Betroffenenrechte im Datenschutz umfassend gestärkt. So sieht die DSGVO nun umfangreiche Informationspflichten für Unternehmen vor. Das bedeutet, dass Unternehmen grundsätzlich in der Pflicht sind, betroffene Personen umfassend darüber zu informieren, wenn das Unternehmen personenbezogene Daten wie etwa Namen oder Mail-Adressen von dem Betroffenen verarbeitet. Im Besonderen zählen zu den betroffenen Personen Bewerber, Mitarbeiter, Geschäftspartner, Kunden und Interessenten. Reicht also beispielsweise ein Bewerber seine Bewerbungsunterlagen ein, so ist dieser Bewerber über die wesentlichen Rahmenbedingungen, wie seine Daten im Unternehmen verarbeitet werden, zu informieren.
Informationspflichten & DatenschutzAuch als kleiner und mittelständischer Unternehmer sollte ein Datenschutzbeauftragter jetzt zu Ihrem wichtigsten Ansprechpartner gehören, da die Umsetzung der Informationspflichten zu einer Ihrer wichtigsten datenschutzrechtlichen Pflichten gehört und eine vergleichsweise hohe Außenwirkung besitzt. Zudem stellen nicht beziehungsweise nicht korrekt umgesetzte Informationspflichten einen Datenschutzverstoß dar, die mit einem Bußgeld geahndet werden. Umso wichtiger ist es, dass die Betroffeneninformationen rechtlich korrekt umgesetzt werden – hierfür ist der Datenschutzbeauftragte die ideale Unterstützung!
Rechtliche Grundlagen der InformationspflichtenUnternehmen, die personenbezogenen Daten als Verantwortliche verarbeiten, müssen die betroffenen Personen über wesentliche Rahmenbedingungen der Verarbeitung informieren. Die gesetzliche Grundlage hierfür bilden die Art. 13, 14 DSGVO. Wesentliche Bestandteile der Informationen bilden etwa die Angabe des Zwecks zur Datenverarbeitung („Wofür werden die Daten verarbeitet?“), die Empfänger der personenbezogenen Daten („An wen werden die Daten noch weitergegeben?“) und regelmäßig die Dauer der Speicherung der personenbezogenen Daten („Wie lange werden personenbezogene Daten gespeichert?“). Doch ist zu beachten, dass sich die Pflicht zu Informationen nicht bereits in der bloßen Angabe der Rahmenbedingungen der Verarbeitung erschöpft: Die betroffene Person soll auch in die Lage versetzt werden, seine – durch die DSGVO umfangreich erweiterten – Betroffenenrechte ausüben zu können. Deswegen besteht für die Unternehmen im Rahmen der Informationspflichten auch die Pflicht, die betroffenen Personen über ihre Betroffenenrechte – also etwa das Recht auf Auskunft oder das Recht auf Löschung („Right to be forgotten“) – zu informieren. Damit ein Betroffener diese Rechte auch wirksam ausüben kann, müssen zudem Namen und Kontaktdaten des Verantwortlichen (das heißt also, des Unternehmens) sowie gegebenenfalls des Datenschutzbeauftragten in der Betroffeneninformation aufgeführt werden. Weitergehend muss das Unternehmen unter anderem sicherstellen, dass die betroffenen Personen die Betroffeneninformationen in einer leicht wahrnehmbaren, verständlichen und klar nachvollziehbaren Form erhalten. Ergänzend muss das Unternehmen sicherstellen, dass – sofern die Daten bei der betroffenen Person selbst erhoben werden – die Betroffenen zum Zeitpunkt der Erhebung auch korrekte Betroffeneninformationen erhalten. Sofern die Daten nicht bei dem Betroffenen selbst erhoben werden, so muss der betroffenen Person spätestens innerhalb eines Monats die Betroffeneninformationen zugehen. Anhand dieses umfangreichen Anforderungskataloges wird deutlich: Die Umsetzung der Informationspflichten ist für Unternehmen eine große Herausforderung sowohl in der rechtlichen Ausgestaltung wie in der praktischen Implementierung. Ein Datenschutzbeauftragter kann Ihnen hierbei genauso wie die untenstehenden Muster, eine wertvolle Hilfe sein. Muster zum DownloadDie obenstehenden Muster sind auf drei klassische Anwendungsbereiche, in denen Unternehmen regelmäßig informationspflichtig werden, zugeschnitten – Bewerber, Mitarbeiter und Interessenten/Kunden. Von all diesen Personenkreisen werden üblicherweise personenbezogene Daten verarbeitet. Zum Beispiel: ein Bewerber übersendet etwa ein Lebenslauf und ein Anschreiben, Ihre Personalabteilung verarbeitet die Steuer- und Versicherungsdaten von Mitarbeitern und bei Kunden verfügt das Unternehmen über die Anschriften, um ihnen Lieferungen zuzuschicken. All dies macht die Umsetzung der Informationspflicht diesen Betroffenen gegenüber zur datenschutzrechtlichen Pflicht. Die Betroffeneninformation am Beispiel des Bewerbungsverfahrens:Um die tatsächliche Umsetzung der Betroffeneninformation für Sie handhabbar zu machen, wird die Vorgehensweise anhand eines Bewerbers nachfolgend konkretisiert. Es handelt sich hierbei um ein grobes Beispiel, die Betroffeneninformationen sind stets auf die individuellen Gegebenheiten Ihres Unternehmens anzupassen. Bei entsprechenden Fragen können Sie sich gerne an uns wenden. Ihr Unternehmen schreibt eine offene Stelle aus, wie gewünscht erhalten Sie daraufhin Bewerbungen via E-Mail. Diese Bewerbungen enthalten eine Vielzahl von personenbezogenen Daten, zum Beispiel:
Es handelt sich hier um eine Direkterhebung personenbezogener Daten von Betroffenen. Der Anwendungsbereich der DSGVO (und des BDSG) ist somit eröffnet und Sie als Verantwortlicher müssen dem Bewerber eine Betroffeneninformation zukommen lassen. Das passende Muster hierfür ist freilich „Datenschutzinformation Muster – Bewerber“. Auch der Zweck der Datenverarbeitung ist eindeutig: Sie benötigen die Daten um eine Auswahl von geeigneten Beschäftigten treffen zu können – Ihr Zweck ist daher in erster Linie die Begründung eines Beschäftigungsverhältnisses. Selbstredend ist eine Datenverarbeitung hierfür datenschutzrechtlich auch zulässig – die entsprechende Rechtsgrundlage ist dabei Art. 88 DSGVO i. V. m. § 26 BDSG. Die personenbezogenen Daten dürfen also zu diesem Zweck verarbeitet werden. Gleichsam definiert der Zweck grundsätzlich auch den Aufbewahrungszeitraum dieser Daten. Sobald der Auswahlprozess abgeschlossen ist und Sie sich gegen einen Bewerber entschieden haben, besteht auch kein Zweck mehr für die weitere Datenverarbeitung, weswegen die Daten grundsätzlich auch zu vernichten wären. Da sich aber möglicherweise aus dem Allgemeinen Gleichbehandlungsgesetz (AGG) Ansprüche gegen Sie ergeben können, haben Sie ein berechtigtes Interesse daran, die Bewerberunterlagen über die Absage hinaus aufzubewahren, da die Bewerberunterlagen wichtig sein können, um sich gegen etwaige Klagen zur Wehr setzen zu können. Deswegen ist es datenschutzrechtlich regelmäßig zulässig, die Bewerberunterlagen über den Auswahlprozess hinaus noch für sechs Monate aufzubewahren. Über diesen Zeitpunkt hinaus besteht regelmäßig kein Zweck für die weitere Datenspeicherung, weswegen die Daten zu löschen sind. Die entsprechende Dauer der Aufbewahrung ist in der Betroffeneninformation – wie Sie auch unserem Muster entnehmen können – aufzunehmen. Sofern Sie die Daten längerfristig speichern wollen, etwa weil Sie den Bewerber bei zukünftigen Stellenausschreibungen berücksichtigen wollen, benötigen Sie die aktive Einwilligung der betroffenen Person zur Speicherung in Ihrem Talentpool. Auch hierzu finden Sie einen passenden Textbaustein in unserem Muster. Haben Sie sodann unser Muster entsprechend den Gegebenheiten Ihres Unternehmens angepasst, müssen Sie diese dem Bewerber zusenden. Bei einer Direkterhebung wie im genannten Beispielfall müssen Sie die Betroffeneninformation der betroffenen Person zum Zeitpunkt der Erhebung (Art, 13 DSGVO, Erwägungsgrund 61), also spätestens ab Erhalt der Bewerbung mitteilen – eine praktikable Lösung wäre hierbei etwa der Einsatz einer Auto-Response-E-Mail. Die Folgen der NichteinhaltungDie korrekte Zusendung der Betroffeneninformation ist und bleibt eine datenschutzrechtliche Pflicht. Bleibt die Information aus, so kann es sich um einen Datenschutzverstoß handeln. Dieser Datenschutzverstoß ist grundsätzlich auch bußgeldbewährt. Die korrekte Einhaltung der Informationspflichten ist daher eine elementare datenschutzrechtliche Anforderung, deren Erfüllung auch im Interesse Ihres Unternehmens ist. Weitere Muster & Vorlagen, die Sie interessieren könntenIn einem Verarbeitungsverzeichnis (VVT) müssen alle Verarbeitungstätigkeiten von personenbezogenen Daten dokumentiert werden. Im Folgenden finden Sie… Mehr erfahren Ein Auftragsverarbeitungsvertrag (kurz AV-Vertrag) ist laut DSGVO dann nötig, wenn ein Unternehmen personenbezogene Daten an Dritte zur Verarbeitung… Mehr erfahren 
Unser TeamWir stehen Ihnen zur Seite
Dominik Fünkner (zertifizierter Datenschutzbeauftragter & Geschäftsführer) Aktuelle Beiträge zum Thema DatenschutzWelche Informationen müssen dem Betroffenen bei der Erhebung seiner Daten offengelegt werden?Werden bei der betroffenen Person Daten erhoben, ist der Verantwortliche verpflichtet, die folgenden Informationen dem Betroffenen offenzulegen: Namen und Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters; Kontaktdaten des Datenschutzbeauftragten (sofern vorhanden);
Wie müssen datenschutzinformationen Betroffene über die jeweilige Datenverarbeitung informieren?In welcher Form müssen die Informationen bereitgestellt werden? Nach Art. 12 DSGVO sind die oben dargestellten Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form zu erteilen. Dabei können sie schriftlich oder in elektronischer Form an den Betroffenen übermittelt werden.
Was muss den Betroffenen bei der Verarbeitung ihrer Daten mitgeteilt werden?Nach Art. 13 Abs. 1 und Abs. 2 DSGVO muss die betroffene Person zudem über alle Betroffenenrechte informiert werden, also über das Bestehen eines Rechts auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und auf Datenübertragbarkeit.
Wann müssen die Betroffenen der Erhebung informiert werden?Denn: Jede Stelle, die personenbezogene Daten verarbeitet, muss Sie als betroffene Person grundsätzlich hierüber zum Zeitpunkt der Erhebung informieren. Dadurch erfahren Sie, wer welche Daten zu welchem Zweck über Sie erhebt, weiterverarbeitet oder an wen die Daten gegebenenfalls weitergegeben werden.
|
Welche Informationen muss die Benachrichtigung des Betroffenen über die Datenerhebung enthalten?
Urheberrechte © © 2024 ketiadaan Inc.
