Datenschutz: Bedeutung der DSGVO für das Arbeitsverhältnis / 4.1 Informationspflichten

Sofern die betroffenen Personen nicht bereits Kenntnis über die folgenden Informationen haben, müssen Unternehmen sie künftig zum Zeitpunkt der Datenerhebung über folgende Punkte informieren^[1]:

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten
• Zwecke der Datenverarbeitung
• Berechtigte Interessen, falls die Verarbeitung aufgrund eines berechtigten Interesses durchgeführt wird
• Empfänger der Daten
• Ggf. die Absicht zur Übermittlung in ein Drittland
• Dauer der Speicherung
• Hinweis auf Betroffenenrechte (insbesondere das Beschwerderecht bei einer Aufsichtsbehörde)
• Widerrufsrecht, falls die Verarbeitung auf einer Einwilligung basiert

Der Detailgrad der Informationspflichten stellt Unternehmen vor erhebliche Herausforderungen in der Praxis. Jedenfalls müssen Unternehmen bereits beim Onboarding ihre Beschäftigten darüber informieren, wie die personenbezogenen Daten verarbeitet werden ("Beschäftigten-Datenschutzerklärung").

In diesem Zusammenhang stellt Erwägungsgrund 62 der DSGVO klar, dass die Informationspflichten jedenfalls dann nicht bestehen, wenn die Speicherung der Daten ausdrücklich aufgrund einer Rechtsvorschrift erfolgt, wenn die betroffene Person die Information bereits hat oder wenn sich die Unterrichtung der betroffenen Person als unmöglich erweist oder mit unverhältnismäßig hohem Aufwand verbunden ist.

Neben den Informationspflichten hat jede betroffene Person auch weiterhin ein Recht auf Auskunft. Dieses Recht ist in Art. 15 DSGVO geregelt und entspricht im Wesentlichen dem bisherigen Recht auf Auskunft.^[2]

Praxis-Tipp

Aufklärung im Arbeitsvertrag

Die Informationspflichten können bei Beschäftigten z. B. als gesonderter Anhang zum Arbeitsvertrag erfüllt werden. Sofern neue Verarbeitungsprozesse eingeführt werden, bietet sich zudem ein gestufter Prozess an, sodass auf der ersten Stufe "nur" über die Zwecke der Verarbeitung und die Empfänger der Daten informiert wird und i. Ü. (z. B. im Hinblick auf die Belehrung über die Betroffenenrechte) auf die Beschäftigten-Datenschutzerklärung verwiesen wird. Dieser 2-stufige Prozess wird auch von den Aufsichtsbehörden anerkannt, z. B. bei Videoüberwachungen: Zunächst kann mit einem vorgelagerten Hinweisschild den Betroffenen ein schneller, wahrnehmbarer Überblick über die wichtigsten Informationen verschafft werden. In einem zweiten Schritt kann sodann eine vollständige Information erfolgen. Diese kann an geeigneter Stelle ausgelegt oder ausgehängt und zusätzlich auf einer Webseite vorgehalten werden.

[1] Art. 13 DSGVO.

[2] Weitere Infos können Arbeitgeber dem DSK-Kurzpapier Nr. 6 zum Auskunftsrecht der betroffenen Person nach Art. 15 DSGVO entnehmen.