Dokumentationspflichten (DSGVO) / 4 Verpflichtung der Mitarbeiter auf das Datengeheimnis

4.1 Grundsätze

Der Verantwortliche hat nach Art. 24 Abs. 1 DSGVO und der Auftragsverarbeiter nach Art. 28 Abs. 1 DSGVO geeignete technische und organisatorische Maßnahmen zu treffen und auch nachzuweisen, dass die Verarbeitung gemäß der DSGVO erfolgt. Zur Erfüllung der Nachweispflichten ist es deshalb zu empfehlen, die Mitarbeiter schriftlich auf das Datengeheimnis zu verpflichten. Mitarbeiter sind aus vertraglichen und gesetzlichen Bestimmungen heraus ohnehin zur Verschwiegenheit verpflichtet: vertraglich entweder durch Arbeitsvertrag oder durch Übernahme einer konkreten Arbeitsverpflichtung – gesetzlich aufgrund ihrer Treuepflicht dem Arbeitgeber gegenüber. In der Praxis erfolgt die Verpflichtung und damit die Dokumentation i. d. R. durch eine Zusatzregelung bzw. Anlage zum Arbeitsvertrag.

Es ist nach der DSGVO – sofern man kein Auftragsverarbeiter ist – nicht zwingend, die Mitarbeiter auf das Datengeheimnis zu verpflichten. Damit der Verantwortliche aber nachweisen kann, dass er die entsprechenden organisatorischen Maßnahmen zur Einhaltung des Datenschutzes getroffen hat, und die Mitarbeiter für die Belange des Datenschutzes sensibilisiert werden, empfiehlt es sich, die Mitarbeiter zu Beginn ihrer Tätigkeit auf das Datengeheimnis zu verpflichten.

Achtung

Verpflichtung aller Mitarbeiter

Jeder Mitarbeiter, der in irgendeiner Weise mit personenbezogenen Daten in Berührung kommt, sollte auf das Datengeheimnis verpflichtet werden. Es sind alle Mitarbeiter zu verpflichten, auch wenn sie nur aushilfsweise oder im Rahmen eines Praktikums beschäftigt werden. Im Zweifelsfall ist es besser, zu viele Personen zu verpflichten als zu wenige.

4.2 Muster: Verpflichtungserklärung

Verpflichtungserklärung zur Wahrung des Datengeheimnisses

Verpflichtungserklärung zur Wahrung des Datengeheimnisses

Sehr geehrter Herr ________ / Sehr geehrte Frau ________,

aufgrund Ihrer Aufgabenstellung in unserem Unternehmen sind Sie mit der Verarbeitung personenbezogener Daten befasst.

Wir weisen Sie hiermit darauf hin, dass es Ihnen untersagt ist, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen. Es ist ihnen deshalb nur gestattet, personenbezogene Daten in dem Umfang und der Weise zu verarbeiten, wie es zur Erfüllung der Ihnen übertragenen Aufgabe notwendig ist. Personenbezogene Daten dürfen Sie auch nur dann an andere Personen oder Stellen weitergeben, wenn dies gesetzlich zulässig ist.

Sie werden hiermit verpflichtet, das Datengeheimnis zu wahren. Diese Verpflichtung besteht auch nach Beendigung der Tätigkeit in unserem Unternehmen fort.

Wir weisen Sie darauf hin, dass Verstöße gegen das Datengeheimnis nach Art. 83 Abs. 4 bis 6 DSGVO mit Bußgeldern und nach § 42 BDSG und anderen Strafvorschriften mit Freiheits- oder Geldstrafe geahndet werden können. Abschriften dieser Vorschriften sind beigefügt.

Die sich aus dem Arbeitsvertrag und der Arbeitsordnung ergebende Geheimhaltungsverpflichtung wird durch diese Verpflichtung nicht berührt. Verstöße gegen diese Verpflichtung können arbeitsrechtliche Konsequenzen (Abmahnung, Kündigung) zur Folge haben.

Mit Ihrer Unterschrift bestätigen Sie, dass Sie in Bezug auf die Vertraulichkeit und Integrität personenbezogener Daten die Vorgaben der einschlägigen Datenschutzvorschriften einhalten werden. Bitte geben Sie die beigefügte Zweitschrift dieses Schreibens unterschrieben an die Personalabteilung zurück.

______________________	______________________
Ort, Datum	Mitarbeiter(in)

4.3 Muster: Merkblatt zur Verpflichtungserklärung

Merkblatt zur Verpflichtungserklärung

Merkblatt zur Verpflichtungserklärung

Dieses Merkblatt soll Ihnen einen Überblick über die einzuhaltenden datenschutzrechtlichen Vorschriften geben. Die Darstellung ist nicht vollständig. Sollten Sie sich in Bezug auf die Einhaltung datenschutzrechtlicher Vorschriften nicht sicher sein, wenden Sie sich bitte an Ihren Vorgesetzten. Weiter enthält dieses Merkblatt Auszüge aus den einschlägigen Bußgeld- und Strafvorschriften.

EINZUHALTENDE DATENSCHUTZRECHTLICHE VORSCHRIFTEN:

Personenbezogene Daten (Art. 4 Nr. 1 DSGVO)

Dabei handelt es sich um alle Informationen, die sich auf eine identifizierte oder dadurch identifizierbare natürliche Person (Betroffener) beziehen. Identifizierbar ist eine natürliche Person, die direkt oder indirekt mittels Zuordnung zu einer Kennung, wie z. B. dem Namen identifiziert werden kann. Die personenbezogenen Informationen beziehen sich auf physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Merkmale einer natürlichen Person.

Damit sind personenbezogene Daten alle Informationen, über die ein Personenbezug hergestellt werden kann. Beispiele hierfür sind: Name, Anschrift, IP-Adresse, Telefonnummer, Kreditkarten- oder Personalnummern, Kontodaten, Kfz-Kennzeichen, Aussehen, Kundennummer oder Arbeitszeiten.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Zu den besonderen Kategorien personenbezogener Daten gehören Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftsz...