DSGVO in HR: Das müssen Personaler bei Mitarbeiterdaten beachten
Die Umsetzung des umfangreichen DSGVO-Regelwerks scheint vor allem in Personalabteilungen omnipräsent zu sein. Mit der seit Mai 2018 in Kraft getretenen Reform soll eine EU-weite Vereinheitlichung der Verarbeitung von personenbezogenen Daten durch private Unternehmen und öffentliche Stellen erfolgen. Damit gehen gesteigerte Anforderungen an die Personaler einher, die die erhöhten Transparenz-, Dokumentations- und Informationspflichten im Umgang mit der Verarbeitung von Mitarbeiter- und Bewerberdaten zu beachten haben.
Ziel der DSGVO ist, die Persönlichkeitsrechte der Arbeitnehmer und Bewerber in vollem Umfang zu schützen. Die Grundprinzipien der damit korrelierenden Verpflichtungen der Personalabteilungen erfahren Sie in nachfolgender Auflistung.
Art. 6 DSGVO – Verbot mit Erlaubnisvorbehalt
Der Erlaubnisvorbehalt findet in Art. 6 DSGVO Ausdruck. Demnach sind die Erhebung, Verarbeitung und letztendliche Nutzung personenbezogener Daten nur dann rechtmäßig, sofern eine ausdrücklich oder konkludent erteilte Einwilligung der betroffenen Person erteilt wurde. Zur Verarbeitung von personenbezogenen Daten muss nach Art. 6 DSGVO mindestens eine der in Absatz 1 abschließend aufgelisteten Bedingungen nachweislich erfüllt sein.
Art. 15 DSGVO – Auskunftsrechte der Mitarbeiter und Bewerber
Die in der DSGVO enthaltenden Bestimmungen zum Arbeitnehmerschutz, gehen im Art. 15 der DSGVO auf das Auskunftsrecht der Betroffenen (Arbeitnehmer und Bewerber) ein. Die Informationspflichten, die somit auf Unternehmensseite resultieren, stecken folgenden Rahmen ab:
- Zweck der Datenverarbeitung
- Kategorisierung der personenbezogenen Daten
- Angaben zum Empfänger, gegenüber dem die Daten offengelegt worden sind bzw. noch offengelegt werden
- Die geplante Dauer der Datenverarbeitung
- Herkunft der Daten
Art. 24 DSGVO – Beweislast liegt beim Arbeitgeber
Die DSGVO enthält erhöhte Anforderungen an die Personaler, die ebenfalls eine erschwerende Rechenschaftspflicht des Unternehmens impliziert. Diese sogenannte Beweislastumkehr wird in Art. 24 Absatz 1 DSGVO normiert. Im Streitfall liegt die Beweislast bei objektiven Datenschutzverstößen demnach auf Seite des Arbeitgebers, der rechtzeitig den Nachweis erbringen muss, dass die Anforderungen des DSGVO eingehalten wurden. Entsprechend finden sich im Gesetz verschärfte Anforderungen an eine präzise Dokumentation der Datenerhebung und -verarbeitung: Der Arbeitgeber muss nachweisen, dass eine Einwilligungserklärung des Betroffenen vorliegt und er Datenschutzvorkehrungen getroffen hat, die der DSGVO genügt.
Zuwiderhandlungen werden mit Sanktionen und hohen Bußgeldern belegt. Um dieses Risiko zu vermeiden und den Arbeitnehmerschutz in Ihrem Unternehmen weithin zu stärken, sind Personaler zu einer DSGVO-konformen Behandlung von Mitarbeiter- und Bewerberdaten verpflichtet.
Quelle Titelbild: iStock / mixmagic
