Fachbeiträge & Kommentare zu Datenschutz-Grundverordnung

Seit dem 25.5.2018 gilt die EU-Datenschutz-Grundverordnung (DS-GVO). Jeder Betrieb, der Daten erfasst und speichert, muss seine komplette Datenverwaltung danach ausrichten. Wesentliche Inhalte Nach Art. 88 DS-GVO kann jeder Mitgliedstaat im Bereich der Verarbeitung personenbezogener Beschäftigtendaten eigene, spezielle Vorgaben aufstellen (Öffnungsklausel im Arbeitnehmerdatens...mehr

Der Testpflicht auf Anordnung des Arbeitgebers steht Art. 9 DSGVO nicht entgegen, auch wenn es sich bei den Daten bez. der Tests um sensible Daten i. S. d. Art. 9 Abs. 1 DSGVO handelt. Dies macht die Durchführung der Tests aber nicht unzulässig. Art. 9 Abs. 2 DSGVO gestattet die Erhebung und Verarbeitung von Daten i. S. d. Art. 9 Abs. 1 DSGVO durch den Arbeitgeber, um Pflich...mehr

Die arbeitsrechtliche Implementierung von Compliance-Regeln ist nicht ausreichend, um eine funktionierende effektive Compliance-Struktur im Unternehmen zu etablieren. Die implementierten Regeln müssen vielmehr auch effektiv durchgesetzt werden. Dazu bedarf es einer weitläufigen Überwachung der Einhaltung der Compliance-Regelungen im Unternehmen sowohl gegenüber den Arbeitneh...mehr

Private Daten der Arbeitnehmer sind grundsätzlich dem Zugriffsrecht des Arbeitgebers entzogen. Hier überwiegt regelmäßig das Recht des Arbeitnehmers, seine Privatsphäre zu schützen, gegenüber dem Recht des Arbeitgebers, etwaige Compliance-Verstöße aufzudecken. Praxisrelevant ist hier vor allem die Frage, ob und inwieweit Dokumente, Dateien und Mails eingesehen werden können,...mehr

Der Geltungsbereich für Schutzmaßnahmen sollte definiert werden, indem festgelegt wird, welche smarten Geräte hinsichtlich des Umgangs mit Daten überprüft werden müssen. Damit verbunden ist auch zu definieren, welche spezifischen Sicherheitsanforderungen die Geräte, z. B. auch eine Cloud und die über die Cloud geregelten Prozesse, erfüllen müssen. Die Sifa kann den Unternehm...mehr

Streit um speicherbare Daten Die Parteien streiten über die Erteilung einer Datenkopie. Der Kläger war bei der Beklagten im Januar 2019 als Wirtschaftsjurist beschäftigt. Mit seiner Klage hat er u.a. Auskunft über seine von der Beklagten verarbeiteten personenbezogenen Daten sowie die Überlassung einer Kopie dieser Daten gem. Art. 15 Abs. 3 der Verordnung (EU) 2016/679 (Daten...mehr

Kläger erstrebt Herausgabe der personenbezogenen Daten und des E-Mail-Verkehrs Das LAG hat das vom Kläger mit dem Antrag auf Überlassung einer Datenkopie verfolgte Begehren dahin ausgelegt, dass es zum einen auf die Erteilung einer Kopie der personenbezogenen Daten gerichtet war, die Gegenstand der von der Beklagten am 21.5.2019 erteilten Auskunft waren, zum anderen auf die E...mehr

Digitalisierung im Rechtsverkehr und in der Vollstreckung Die Entscheidung betrifft einen inzwischen alltäglichen Vorgang: den Umgang mit personenbezogenen Daten und die Dokumentation des Umganges, um den verschiedenen Rechten nach der DSGVO Rechnung tragen zu können. Er zeigt aber auch, dass die Wahrnehmung der Rechte so erfolgen muss, dass damit in der Vollstreckungspraxis ...mehr

Zitat … II. Die zulässige Beschwerde bleibt in der Sache ohne Erfolg. … 1. … Soweit ihre Argumentation dahin zu verstehen sein sollte, das VG habe einen falschen Entscheidungsmaßstab zugrunde gelegt, trifft dies nicht zu: Im Rahmen eines auf die Anordnung der aufschiebenden Wirkung eines erhobenen Widerspruchs gerichteten vorläufigen Rechtsschutzverfahrens nach § 80 Abs. 5 S. ...mehr

Rz. 2 [Autor/Stand] Festzuhalten ist, dass der Gesetzgeber darauf verzichtet hat, in die AO ein eigenständiges Verfahren zur Verfolgung und Ahndung von Steuerordnungswidrigkeiten einzufügen. Die einschlägigen §§ 409–412 AO enthalten nur wenige Sonderregelungen für das Bußgeldverfahren bei Steuerordnungswidrigkeiten, im Übrigen die Generalverweisungsnorm des § 410 AO. Nach di...mehr

Anzinger/Koberski, Kommentar ArbZG, 5. Auflage 2021 Bader/Fischermeier/Gallner/Klose/Kreft/Kreutzberg-Kowalczyk, Gemeinschaftskommentar zum ­Kündigungsschutzgesetz, 12. Auflage 2019 (zitiert: KR/Bearbeiter) Baeck/Deutsch, Arbeitszeitgesetz, Kommentar, 4. Auflage 2021 Barlage-Melber u.a., Beschäftigtendatenschutz und Datenschutzgrundverordnung in der Praxis, 1. Auflage 2018 Blank...mehr

Rz. 77 Muster der Standarddatenschutzklauseln abgedruckt nach Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4.6.2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates: Muster 1: Muster Standarddatenschutzklauseln Muster "Standarddatenschutzklauseln" AB...mehr

Rz. 32 Die nachfolgend wiedergegebenen Formulierungsvorschläge verstehen sich in erster Linie als Anregung. Sie können Grundlage einer Betriebsvereinbarung sein. Allerdings müssen dort, wo eine Betriebsvereinbarung abgeschlossen werden soll, die jeweiligen betrieblichen Besonderheiten Beachtung finden. Auch ist die Sensibilität für den Datenschutz höchst unterschiedlich ausg...mehr

Rz. 2 Seit dem 25.5.2018 ist die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung/DSGVO) anzuwenden. Die DSGVO ist bereits am 24.5.2016 in Kraft getreten und hat die bis dahin geltende R...mehr

Rz. 2 Art. 3 DSGVO regelt den räumlichen Anwendungsbereich der DSGVO. Dabei besteht das rechtspolitische Ziel darin, alle Sachverhalte mit EU-Bezug einem einheitlichen Datenschutzniveau zu unterwerfen.[1] I. Niederlassungsprinzip (Art. 3 Abs. 1 DSGVO) Rz. 3 Die DSGVO findet auf die Verarbeitung personenbezogener Daten Anwendung, soweit diese im Rahmen der Tätigkeit einer EU-Ni...mehr

Rz. 3 Die DSGVO findet auf die Verarbeitung personenbezogener Daten Anwendung, soweit diese im Rahmen der Tätigkeit einer EU-Niederlassung stattfindet (Art. 3 Abs. 1 Hs. 1 DSGVO). Jene setzt eine feste Einrichtung in der EU voraus, von der eine tatsächliche Tätigkeit ausgeht.[2] Sobald Personen dauerhaft an einem festen Arbeitsort in der EU arbeiten, wird regelmäßig von eine...mehr

Rz. 5 Art. 3 Abs. 2 DSGVO erstreckt den räumlichen Anwendungsbereich der DSGVO auf das sog. "Targeting" von Personen, die sich innerhalb der EU befinden. Danach findet die DSGVO auf zwei Fälle Anwendung, in denen ein außereuropäisches Unternehmen[10] personenbezogene Daten verarbeitet: 1. Anbieten von Waren und Dienstleistungen Rz. 6 Einerseits genügt für die Anwendbarkeit der...mehr

Rz. 8 Außerdem findet die DSGVO auf die Verarbeitung personenbezogener Daten an jedem Ort Anwendung, der "aufgrund Völkerrechts dem Recht eines Mitgliedsstaats unterliegt". Damit zielt Art. 3 Abs. 3 DSGVO auf "diplomatische und konsularische Vertretungen eines Mitgliedsstaates" ab.[16]mehr

Rz. 50 Die Aufzählung in Art. 46 Abs. 3 DSGVO ist nicht abschließend (Wortlaut: "insbesondere"). Daher sind auch weitere genehmigungsbedürftige Garantieinstrumente zur Legitimierung von grenzüberschreitendem Datenverkehr denkbar. Als sonstiges Garantieinstrument i.S.v. Art. 46 Abs. 3 DSGVO kommt insbesondere die Betriebsvereinbarung (bzw. die Gesamt- oder Konzernbetriebsverei...mehr

Rz. 71 Die grenzüberschreitende Übermittlung von Daten ist nach Art. 49 Abs. 1 lit. b und lit. c DSGVO auch dann zulässig, wenn sie zum Abschluss oder für die Erfüllung eines Vertrags mit dem Betroffenen oder einem Dritten tatsächlich erforderlich ist. Das Kriterium der "Erforderlichkeit" ist wegen des (in der Norm-Überschrift betonten) Ausnahmecharakters von Art. 49 DSGVO b...mehr

Rz. 49 Neben den vorstehenden, besonders risikobehafteten Rechten der Beschäftigten bestehen verschiedene weitere Ansprüche. Art. 16 DSGVO gibt den Beschäftigten ein Recht auf Berichtigung und Ergänzung sie betreffender, z.B. fehlerhafter oder unvollständiger Daten. Wenn ein Betroffener eine Berichtigung oder Ergänzung verlangt, muss diesem Verlangen binnen vier Wochen nachg...mehr

Rz. 63 Wenn weder ein Angemessenheitsbeschluss nach Art. 45 DSGVO noch geeignete Garantien nach Art. 46 DSGVO gegeben sind, kann die grenzüberschreitende Übermittlung personenbezogener Daten ausschließlich[58] dann zulässig sein, wenn ein Ausnahmefall des Art. 49 DSGVO vorliegt. Besonders im Kontext mit den USA gewinnt Art. 49 DSGVO derzeit an Bedeutung, da kein Angemessenhe...mehr

Rz. 10 Der globale Transfer personenbezogener Daten findet in einem Spannungsfeld statt.[17] Einerseits ist er für die Wertschöpfung einer digital vernetzen Welt unerlässlich. Andererseits droht er das hohe EU-Datenschutzniveau zu untergraben, da sich eine DSGVO-widrige Datenverarbeitung schlichtweg auf ein Drittland auslagern ließe.[18] Um solch eine Umgehung zu verhindern,...mehr

Rz. 73 Die letzte in Betracht kommende Grundlage für die grenzüberschreitende Übermittlung von personenbezogenen Beschäftigtendaten ist Art. 49 Abs. 1 S. 2 DSGVO. Dieser verlangt zwingende berechtigte Interessen, stellt dafür jedoch sehr hohe Anforderungen auf:mehr

Rz. 64 Damit eine Einwilligung des Beschäftigten die Übermittlung seiner Daten in ein Drittland rechtfertigt, müssen die strengen Voraussetzungen der Art. 4 Nr. 11, 7, 49 Abs. 1 lit. a DSGVO erfüllt sein – was das übermittelnde Unternehmen (etwa der Arbeitgeber) rechtssicher nachweisen können muss (zu dieser Rechenschaftspflicht Art. 5 Abs. 2, 7 Abs. 1 und 24 Abs. 1 DSGVO). a...mehr

Rz. 41 Grenzüberschreitende Übermittlung ist auch dann zulässig, wenn sie an einen zertifizierten Datenempfänger erfolgt, Art. 46 Abs. 2 lit. f DSGVO. aa) Zertifizierungsverfahren Rz. 42 Zunächst muss sich der im Drittland ansässige Datenempfänger mittels vertraglicher oder sonstiger rechtlich bindender Instrumente dazu verpflichten, die Rechte betroffener Dritter rechtsverbin...mehr

Rz. 26 Die grenzüberschreitende Übermittlung von Beschäftigtendaten findet häufig dauerhaft innerhalb von komplexen Unternehmensverbünden statt. Zwar sieht die DSGVO kein Konzernprivileg vor,[33] erkennt aber in den Art. 46 Abs. 2 lit. b, 47 DSGVO das Interesse an, Beschäftigtendaten gruppenweit verfügbar zu machen. Demnach kann eine geeignete Garantie i.S.v. Art. 46 Abs. 1 ...mehr

Rz. 36 Die grenzüberschreitende Datenübermittlung ist auch dann möglich, wenn ihr sog. genehmigte Verhaltensregeln (engl. Codes of Conduct, im Folgenden: "CoC") mit verbindlichen und durchsetzbaren Verpflichtungen des Verantwortlichen (bzw. des Auftragsverarbeiters) im Drittland zugrunde liegen, Art. 46 Abs. 2 lit. e DSGVO. aa) Zustandekommen und Umsetzung von CoC Rz. 37 Verbä...mehr

Rz. 45 Ein weiteres Mittel zu Legitimierung von grenzüberschreitendem Datenverkehr sind zwischen Datenübermittler und -empfänger vereinbarte Vertragsklauseln, soweit sie von der nationalen Aufsichtsbehörde als geeignete Garantie zur Datenübermittlung genehmigt wurden, Art. 46 Abs. 3 lit. a DSGVO. aa) Genehmigungsverfahren Rz. 46 Die zu prüfenden, selbstgestalteten Vertragsklau...mehr

Rz. 17 Im zweiten Schritt, wenn im ersten Schritt der Personenbezug bejaht wurde, stellt sich die Frage, welche Folgen sich aus der Anwendbarkeit der DSGVO ergeben. Die DSGVO geht als EU-Verordnung gem. Art. 288 Abs. 2 des Vertrages über die Arbeitsweise der Europäischen Union (AEUV) nationalen Regelungen der Mitgliedsstaaten grundsätzlich vor. Sie ist unmittelbar und direkt...mehr

Rz. 31 Standarddatenschutzklauseln kommen auf zwei Arten zustande: Einerseits können sie von der EU-Kommission direkt erlassen werden (Art. 46 Abs. 2 lit. c DSGVO). Andererseits können sie von nationalen Aufsichtsbehörden festgelegt und anschließend von der EU-Kommission genehmigt werden (Art. 46 Abs. 2 lit. d DSGVO). In beiden Fällen wendet die EU-Kommission das Prüfverfahr...mehr

Rz. 21 § 26 BDSG füllt die Abwägung der Interessen der Rechte der Beschäftigten und Verantwortlichen aus und stellt die maßgebliche Norm zum Beschäftigtendatenschutz im deutschen Recht dar. Die Norm gibt die Grundsätze wieder, die die arbeitsgerichtliche Rechtsprechung in den letzten Jahren entwickelt hatte, zuvor kodifiziert in § 32 BDSG a.F. Das Erforderlichkeitsmerkmal de...mehr

Rz. 30 Eine geeignete Garantiemaßnahme kann auch darin liegen, dass Datenempfänger und -übermittler sog. Standarddatenschutzklauseln in ihren Vertrag einbeziehen. Letztlich unterwirft sich der Datenempfänger hierdurch zentralen Vorgaben der DSGVO. Für die Annahme eines angemessenen Datenschutzniveaus i.S.v. Art. 46 Abs. 1 DSGVO kommt es maßgeblich auf die tatsächliche Umsetz...mehr

Rz. 32 Eines der Kernstücke der DSGVO bilden die Art. 12–23 DSGVO, in denen die Rechte der betroffenen Personen konstituiert und gegenüber der bisherigen Rechtslage erweitert werden. Der Gesetzgeber ging davon aus, dass ein Bürger nur frei und umfassend über die Verarbeitung seiner Daten bestimmen könne, wenn ihm vollständige Informationen über die Datenverarbeitung vorliege...mehr

Rz. 18 Eine grenzüberschreitende Übermittlung von Beschäftigtendaten ist zulässig, wenn die EU-Kommission beschlossen hat, dass der Empfangsort über ein angemessenes Schutzniveau verfügt, Art. 45 Abs. 1 S. 1 DSGVO. Ein solcher Angemessenheitsbeschluss kann ein gesamtes Drittland, ein Gebiet oder einen spezifischen Sektor im Drittland umfassen. a) Fortlaufende Prüfung Rz. 19 Ei...mehr

Rz. 8 Als Ermächtigungsgrundlage kommt eine Einwilligung nach Art. 7 DSGVO in Verbindung mit § 26 Abs. 2 BDSG in Betracht. Die Einwilligung hat nach § 26 Abs. 2 S. 3 BDSG grundsätzlich schriftlich oder elektronisch zu erfolgen, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Die ausdrückliche Aufnahme der elektronischen Form in § 26 Abs. 2 S. 3 BDSG e...mehr

Rz. 37 Beschäftigte haben diverse Rechte hinsichtlich der Verarbeitung ihrer personenbezogenen Daten gegen ihren Arbeitgeber, die zu einer stärkeren Verfügungsmöglichkeit über die individuellen Daten führen sollen. Neu eingeführt wurde das Recht auf Datenübertragbarkeit, deutlich gestärkt wurde ein "Recht auf Vergessenwerden", denen in der Praxis aber nur eine eingeschränkte...mehr

Rz. 38 Beschäftigte haben ein Recht auf Auskunft über die Verarbeitung ihrer Daten in dem gleichen Umfang wie jede andere betroffene Person: sie können jederzeit Auskunft über ihn beim Arbeitgeber gespeicherte personenbezogene Daten verlangen. Der sorgfältigen Umsetzung des Auskunftsrechts und entsprechender Organisation der Personalabteilung kommt für Arbeitgeber eine beson...mehr

Rz. 43 Das Recht auf Datenportabilität verlangt vom Verantwortlichen die Bereitstellung der von der betroffenen Person bereitgestellten personenbezogenen Daten in einem maschinenlesbaren und allgemein gebräuchlichen Format. Dadurch müssen insbesondere die Stammdaten der Beschäftigten (Name, Adresse, Bankdaten, Steuerdaten) auf Anfrage an den Beschäftigten herausgegeben werde...mehr

Rz. 25 Sollte kein Angemessenheitsbeschluss vorliegen, dürfen Beschäftigtendaten gemäß Art. 46 Abs. 1 DSGVO in ein Drittland übermittelt werden, sofern geeignete Garantien mit durchsetzbaren Rechten und Rechtsbehelfen für die betroffenen Personen vorgesehen wurden. Die im Folgenden beschriebenen Garantien sollen in erster Linie sicherstellen, dass das hohe EU-Datenschutznive...mehr

Rz. 7 Die DSGVO enthält Regelungen zur Verarbeitung personenbezogener Daten von Beschäftigten, Kunden oder anderen natürlichen Personen durch automatisierte Datenverarbeitungsvorgänge innerhalb der EU. Voraussetzung für die Frage der Anwendbarkeit des Datenschutzrechts ist also, dass ein gespeichertes Datum Personenbezug aufweist (I., Rdn 8 ff.). Wurde der Personenbezug beja...mehr

Rz. 46 Das Recht auf Löschung personenbezogener Daten ist nicht neu: Wenn der Zweck einer Datenverarbeitung erreicht ist, müssen die Daten gelöscht werden. Soweit Archivierungs- und Aufbewahrungspflichten bestehen,[80] kann jedoch eine sog. Einschränkung der Verarbeitung (bislang als "Sperrung" bezeichnet) erfolgen, bei der die einschlägigen Daten entsprechend gekennzeichnet...mehr

Rz. 1 Arbeitsverhältnisse sind, insbesondere bei Durchführung der betrieblichen Tätigkeiten durch Beschäftigte sowie Einsatz digitaler Mittel für die Steuerung des Einsatzes der Beschäftigten, undenkbar ohne das Entstehen und die Verarbeitung einer Vielzahl personenbezogener Daten der Beschäftigten. Viele Systeme werden erst effektiv, wenn eine Vielzahl personenbezogener Dat...mehr

Rz. 21 Weitere Schranken der Mitbestimmung des Betriebsrats können sich unmittelbar aus datenschutzrechtlichen Vorschriften ergeben. Vor Einführung der DSGVO galt gemäß § 4 BDSG a.F., dass die Schutzbestimmungen des BDSG von Betriebsvereinbarungen (und Tarifverträgen) überlagert werden können, in denen die Verarbeitung personenbezogener Daten der Arbeitnehmer geregelt sind. ...mehr

Rz. 37 Verbände und andere Vereinigungen, die datenübermittelnde Unternehmen kleiner und mittlerer Größe repräsentieren, können CoC ausarbeiten und damit die abstrakten Bestimmungen der DSGVO praxisnah präzisieren (Art. 40 Abs. 2 DSGVO). Es handelt sich dabei also um branchen-, sektor- oder verbandsspezifische Leitlinien für die grenzüberschreitende Datenübermittlung inklusi...mehr

Rz. 51 Betriebsvereinbarungen können Bestimmungen zur Verarbeitung personenbezogener Daten enthalten und so die Datenverarbeitung im Betrieb bei einzelnen Datenverarbeitungsverfahren beschreiben.[85] Art. 88 Abs. 1 DSGVO bestimmt in der weitreichenden Spezifizierungsklausel, dass der nationale Gesetzgeber entsprechende Möglichkeiten vorsehen kann. Das ist durch § 26 Abs. 1 B...mehr

mehr

Rz. 7 Andererseits kommt die DSGVO zu Anwendung, wenn im Zusammenhang mit der Datenverarbeitung Personen beobachtet werden, deren Verhalten in der EU erfolgt.[13] An die Annahme einer solchen Verhaltensbeobachtung sind hohe Anforderungen zu stellen. Einmalige und punktuelle Maßnahmen reichen nicht aus.[14] Vielmehr muss die Internetaktivität einer Person nachvollzogen und hi...mehr

Rz. 16 Art. 44 Abs. 1 S. 1 Hs. 2 DSGVO erstreckt das präventive Verbot auch auf "die etwaige Weiterübermittlung personenbezogener Daten durch das betreffende Drittland […] in ein anderes Drittland". Weiterleitung meint also jede Übermittlung von solchen Daten, die Gegenstand einer bereits nach Art. 44 ff. DSGVO vollzogenen Übermittlung waren.[24] Erwägungsgrund 104 S. 4 DSGV...mehr

Rz. 42 Zunächst muss sich der im Drittland ansässige Datenempfänger mittels vertraglicher oder sonstiger rechtlich bindender Instrumente dazu verpflichten, die Rechte betroffener Dritter rechtsverbindlich und durchsetzbar zu wahren (Art. 42 Abs. 2 S. 2, 46 Abs. 2 lit. f DSGVO). Das eigentliche Zertifizierungsverfahren wird dadurch eingeleitet, dass der Antragsteller der Zert...mehr