Fachbeiträge & Kommentare zu Datenschutz-Grundverordnung

Rz. 67 Ein generelles Ungleichgewicht i.S.v. Erwägungsgrund 43 S. 1 DSGVO besteht zwischen Arbeitgebern und Arbeitnehmern richtigerweise nicht, sodass Arbeitnehmer im Grundsatz freiwillig einwilligen können.[64] Ob die Einwilligung tatsächlich freiwillig erfolgt, dürfte in der Praxis von den Gesamtumständen des konkreten Beschäftigungsverhältnisses abhängig sein. Auch bei de...mehr

Rz. 33 Maßgebliche Bedeutung, auch für die Zulässigkeit der Verarbeitung von Beschäftigtendaten, kommt der Information der Beschäftigten über die Verarbeitung ihrer Daten zu. Art. 13 DSGVO sieht hierzu in Absätzen 1 und 2 umfangreiche Informationspflichten gegenüber Betroffenen vor, die nur über eine ausführliche Datenschutzerklärung (wie sie bislang z.B. auf Websites und in...mehr

Rz. 46 Die zu prüfenden, selbstgestalteten Vertragsklauseln müssen im konkreten Anwendungsfall ein ausreichendes Datenschutzniveau im Drittland gewährleisten und für die Betroffenen (etwa für die Beschäftigten, deren Daten grenzüberschreitend übermittelt werden) durchsetzbare Rechte und wirksame Rechtsbehelfe i.S.v. Art. 46 Abs. 1 DSGVO vorsehen. Bei der Prüfung muss die zust...mehr

Rz. 54 In der immer arbeitsteiligeren Welt wird es stetig wichtiger, Beschäftigtendaten zwischen Konzerngesellschaften zu übermitteln. So werden in den flexibleren Wertschöpfungsketten der Industrie 4.0 oft kurzfristig neue organisatorische Einheiten gebildet oder aufgelöst und Entscheidungsprozesse aus dem "klassischen Betrieb" heraus verlagert.[89] Die DSGVO kennt – ebenso...mehr

Rz. 66 Die wirksame Einwilligung bedarf einer informierten Entscheidungsgrundlage, welche wiederum an hohe Anforderungen geknüpft ist. Der Beschäftigte muss darüber unterrichtet werden, welche Risiken mit der grenzüberschreitenden Übermittlung seiner Daten ohne Angemessenheitsbeschluss und ohne geeignete Garantien einhergehen, Art. 49 Abs. 1 lit. a DSGVO. Dies umfasst konkre...mehr

Rz. 6 Einerseits genügt für die Anwendbarkeit der DSGVO, "Personen in der Union Waren oder Dienstleistungen anzubieten" und in diesem Zusammenhang personenbezogene Daten zu verarbeiten.[11] Der Waren- und Dienstleistungsbegriff ist hierbei im Sinne der Art. 28 f., 56 ff. AEUV weit zu verstehen. Entscheidend ist, dass die Nicht-EU-Niederlassung über die bloße Zugänglichkeit e...mehr

Rz. 17 Verstöße gegen das präventive Verbot des Art. 44 S. 1 DSGVO sind bußgeldbewehrt. Wer Daten ohne Erlaubnistatbestand in ein Drittland übermittelt, riskiert eine Geldbuße von bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorausgegangenen Geschäftsjahrs, mindestens jedoch bis zu 20.000.000 EUR (Art. 83 Abs. 5 lit. c DSGVO). Diese Geldbuße wird von der nat...mehr

Rz. 13 Art. 44 S. 1 DSGVO verbietet "Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland […] verarbeitet werden sollen", ohne aber den Begriff der Übermittlung zu definieren. Richtigerweise ist unter Übermittlung jeder analoge oder digitale Vorgang zu verstehen, bei dem personenbezogene Daten zu einem Emp...mehr

Rz. 27 Um grenzüberschreitenden Verkehr von Beschäftigtendaten legitimieren zu können, müssen BCR von der zuständigen nationalen Aufsichtsbehörde genehmigt werden. Jene prüft nach Art. 47 Abs. 1 DSGVO drei Voraussetzungen:mehr

Rz. 1 EDV lässt sich aus dem Arbeitsalltag kaum mehr wegdenken. Spätestens ihr Ausfall zeigt uns, in welchem Umfang wir auf Computer und moderne Technologien angewiesen sind. Denn die Nutzung wird als zwingend erforderlich angesehen; ihre Vorteile stehen im Mittelpunkt der Betrachtung. Die gleichzeitig bestehenden Gefahren dringen hingegen selten in das Bewusstsein. Das gilt...mehr

mehr

mehr

mehr

Rz. 1 In einer global vernetzten Arbeitswelt spielt der grenzüberschreitende Verkehr von Beschäftigtendaten eine bedeutende Rolle. Verbesserte Transport- und Kommunikationsmöglichkeiten erleichtern mobiles, länderübergreifendes Arbeiten. Vor allem während und seit der Corona-Pandemie werden Aufgaben zunehmend grenzüberschreitend aus dem "Home-Office" erledigt. Zudem geht die...mehr

Rz. 65 Zunächst muss die Einwilligung ausdrücklich erfolgen, also zumindest in unmissverständlicher Weise durch eine eindeutig bestätigende Handlung. Dem kann das aktive Anklicken eines Kästchens beim Besuch einer Internetseite ("Opt-On") genügen, nicht aber das bloße Stillschweigen oder das Dulden eines bereits angekreuzten Kästchens ("Opt-Out").[60] Zudem verlangt Ausdrück...mehr

Rz. 27 Beschäftigte können sich – nach wie vor – entscheiden, gegenüber ihrem Arbeitgeber in die Verarbeitung ihrer personenbezogenen Daten einzuwilligen (Art. 6 Abs. 1 S. 1 Buchst. a, Art. 7 DSGVO i.V.m. § 26 Abs. 2 BDSG). Die frühere Mindermeinung, wonach eine freiwillige Einwilligung der Beschäftigten im Arbeitsverhältnis regelmäßig ausgeschlossen sein sollte, kann nicht ...mehr

Rz. 43 Vorteil: Rz. 44 Nachteil: Für manche Anwendungsfälle steht in der Praxis kein Zertifizierungsverfahren zur Verfügung.mehr

Rz. 68 Der Beschäftigte hat das Recht, seine Einwilligung jederzeit (auch im laufenden Beschäftigungsverhältnis) zu widerrufen (Art. 7 Abs. 3 DSGVO) ohne dabei Nachteile[71] befürchten zu müssen – wie z.B. eine Kündigung oder schwerwiegend schlechtere Arbeitsbedingungen. Stützt eine Arbeitsorganisation ihren grenzüberschreitenden Datenverkehr allein auf Einwilligungen der Be...mehr

Rz. 56 Der Homeoffice-Beschäftigte ist auf die Einhaltung einschlägiger Datenschutzvorschriften zu verpflichten sowie auf die notwendigen Maßnahmen bei der Bearbeitung von personenbezogenen Daten am häuslichen Arbeitsplatz hinzuweisen. Jede Bearbeitung personenbezogener Daten zwingt zur Beachtung der einschlägigen datenschutzrechtlichen Vorschriften. Insofern muss der Arbeit...mehr

Rz. 12 Drittländer (nicht legaldefiniert) sind alle Länder, in denen die DSGVO aufgrund eines fehlenden unionsrechtlichen Rechtsanwendungsbefehls nicht gilt.[20] Im Grundsatz sind damit alle Staaten gemeint, die außerhalb der EU (bzw. des EWR)[21] liegen.mehr

Rz. 12 Die Frage der Abgrenzung von personenbezogenen Daten einerseits und reinen Maschinendaten ohne Personenbezug andererseits stellt sich gerade in dem Bereich der "Industrie 4.0", also der effizienten Vernetzung der herkömmlichen Erstellung von Produkten und Dienstleistungen mit neusten Informationstechniken mit ubiquitärer Datenverarbeitung.[31] Dabei werden regelmäßig ...mehr

Rz. 19 Ein bestehender Angemessenheitsbeschluss begründet stets eine momentane Übermittlungsgrundlage, aber keine dauerhafte Übermittlungsgarantie. Ob im Drittland tatsächlich ein angemessenes Schutzniveau gemäß Art. 45 Abs. 2 DSGVO vorliegt, muss die EU-Kommission fortlaufend – mindestens alle vier Jahre – überprüfen, Art. 45 Abs. 2 S. 2, Abs. 3 DSGVO. Die EU-Kommission änd...mehr

Rz. 59 Die DSGVO stellt Unternehmen vor eine Vielzahl von Herausforderungen. Insbesondere müssen Datenflüsse und Datenverarbeitungen deutlich weitergehender als bislang dokumentiert werden. Beschäftigte müssen zudem ausführlich über die Verarbeitung ihrer personenbezogenen Daten informiert und ihre Rechte sichergestellt werden. Ansonsten drohen hohe Strafen, nicht nur in Ges...mehr

Rz. 9 Der Begriff des Personenbezuges ist – sowohl nach der DSRL als auch der DSGVO – sehr weitgehend. Zunächst ist eindeutig, dass Informationen wie der Name von Arbeitnehmern oder ihnen zugeordneten Bruttoentgelte personenbezogene Daten sind.[24] So entschied der Europäische Gerichtshof zu IP-Adressen, dass solche pseudonymen Zuordnungsziffern dann als personenbezogen gelt...mehr

Rz. 56 Der österreichische Staatsbürger und Facebook-Nutzer Maximilian Schrems erhob Beschwerde bei der irischen Datenschutzbehörde vor dem Hintergrund, dass Facebook auf Grundlage des Privacy Shields (teilweiser Angemessenheitsbeschluss nach Art. 45 DSGVO) und darauf basierenden Garantien (Art. 46 DSGVO) seine persönlichen Daten in die USA transferierte. Herr Schrems bemäng...mehr

Rz. 42 Die Überwachung der Nutzung von ausschließlich zu dienstlichen Zwecken bereitgestellten Kommunikationseinrichtungen durch den Arbeitgeber ist grundsätzlich zulässig, soweit es die Verbindungsdaten, -zeiten und -umstände angeht.[24] Der Arbeitgeber hat das Recht, die Telefon- und Internetnutzung seiner Arbeitnehmer daraufhin zu überprüfen, ob diese alleine dienstlichen...mehr

mehr

Rz. 6 Früher erhielten Arbeitgeber die wesentlichen Informationen über ihre Bewerber im Rahmen der Bewerbungsunterlagen und des Einstellungsgespräches. 63 % der Unternehmen verwendeten nach einer Studie von BITKOM aus dem Jahr 2018 Informationen aus sozialen Medien bei der Bewertung von Bewerbern zurück, jeder vierte Personaler hat deswegen bereits einen Bewerber ausgeschlos...mehr

mehr

Rz. 232 Muster 6.6: Betriebsvereinbarung: Bring Your Own Device (BYOD) Muster 6.6: Betriebsvereinbarung: Bring Your Own Device (BYOD) [Rubrum wie Muster 6.4.] Betriebsvereinbarung zwischen der XY-GmbH und dem Betriebsrat der XY-GmbH zum Thema BYOD, also der dienstlichen Nutzung privater Endgeräte § 1 Persönlicher und sachlicher Geltungsbereich Diese Betriebsvereinbarung gilt für...mehr

Rz. 119 Muster 4.1: Überlassungsvereinbarung nur zu dienstlichen Zwecken Muster 4.1: Überlassungsvereinbarung nur zu dienstlichen Zwecken Vereinbarung zwischen _________________________ – im Weiteren: Arbeitgeber – und _________________________ – im Weiteren: Arbeitnehmer – Präambel Zwischen den Parteien besteht seit dem _________________________ ein Arbeitsvertrag. Im Zusammenhan...mehr

Rz. 8 Personenbezogen ist grundsätzlich jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht (Art. 4 Nr. 1 DSGVO). Der Personenbezug ist stets dann eindeutig zu bejahen, wenn direkte Rückschlüsse auf natürliche Personen, insbesondere namentlich benennbare Beschäftigte möglich sind. Die gesetzliche Definition und die Auslegung dur...mehr

Rz. 20 Die Ausgestaltung des Beschäftigtendatenschutzes kann durch die Mitgliedsstaaten durch "spezifischere Vorschriften" (im Sinne von "sektorspezifisch")[48] gesondert geregelt werden, Art. 88 Abs. 1 DSGVO. Das kann zum einen durch Rechtsvorschriften der nationalen Gesetzgeber geschehen, zum anderen kann in den Mitgliedsstaaten vorgesehen werden, dass die Betriebsparteien...mehr

Rz. 69 Nachteile: Rz. 70 Praxistipp Im Beschäftigtenkon...mehr

Rz. 57 Der EuGH betrachtete den Fall insbesondere im Lichte der EU-Grundrechte-Charta. Das angemessene Schutzniveau prüfte der EuGH anhand der folgenden drei Kriterien: Rz. 58 In seiner Entscheidung stellte der EuGH fest, dass das Grundrechtsniveau insbesondere auf der Ebene des zuverlässigen Rechtsschutzes in de...mehr

Rz. 65 Verstößt der Arbeitgeber bei seiner Recherche gegen die Vorschriften der DSGVO oder des Bundesdatenschutzgesetzes, stellt sich die Frage, ob er die erhobenen Daten in einem späteren Rechtsstreit verwenden darf. Grundsätzlich kennt das deutsche Zivilprozessrecht kein Sachvortrags- oder Beweisverwertungsverbot.[96] Das Gericht entscheidet auf der Grundlage von § 286 ZPO ...mehr

Rz. 11 Art. 4 Nr. 26 DSGVO definiert die internationale Organisation als "eine völkerrechtliche Organisation und ihre nachgeordneten Stellen oder jede sonstige Einrichtung, die durch eine zwischen zwei oder mehr Ländern geschlossene Übereinkunft oder auf der Grundlage einer solchen Übereinkunft geschaffen wurde". Ein Beispiel hierfür ist die Organisation für wirtschaftliche ...mehr

Rz. 21 Bislang (Stand: September 2021) wurde ein angemessenes Schutzniveau lediglich für folgende Drittländer bzw. bestimmte Gebiete folgender Drittländer festgestellt:[28] Ein Angemessenheitsbeschluss für...mehr

Rz. 55 Aufgrund der extremen Auswirkungen des Schrems II-Urteils des EuGH[51] wird dieses im Folgenden vorgestellt und seine Folgen erläutert. aa) Hintergrund zum Schrems II-Urteil des EuGH Rz. 56 Der österreichische Staatsbürger und Facebook-Nutzer Maximilian Schrems erhob Beschwerde bei der irischen Datenschutzbehörde vor dem Hintergrund, dass Facebook auf Grundlage des Priv...mehr

Rz. 61 Besonders seit der Schrems II-Entscheidung des EuGH herrscht in der Praxis große Unsicherheit über die Rechtmäßigkeit von internationalen Datentransfers, insb. in die USA. Große Auswirkungen entfaltet das Schrems II-Urteil des EuGH auch für geeigneten Garantien, da der EuGH in seinem Urteil für einen rechtskonformen Datentransfer auf Basis von geeigneten Garantien ve...mehr

Rz. 9 Schema: Regelung Art. 44 ff. DSGVO I. Präventives Verbot (Art. 44 DSGVO) Rz. 10 Der globale Transfer personenbezogener Daten findet in einem Spannungsfeld statt.[17] Einerseits ist er für die Wertschöpfung einer digital vernetzen Welt unerlässlich. Andererseits droht er das hohe EU-Datenschutzniveau zu untergraben, da sich eine DSGVO-widrige Datenverarbeitung schlichtweg...mehr

Rz. 130 Diese Grundsätze lassen sich grundsätzlich auf die Nutzung moderner Kommunikationseinrichtungen übertragen. Das schließt den Versand von Gewerkschaftswerbung an betriebliche E-Mail-Adressen nicht aus. Das BAG hat erneut festgehalten, dass die Entscheidung der Koalition, in welcher Art und Weise sie Werbung betreiben und Dritte über ihre Aktivitäten informieren will, z...mehr

a) Internationale Organisation Rz. 11 Art. 4 Nr. 26 DSGVO definiert die internationale Organisation als "eine völkerrechtliche Organisation und ihre nachgeordneten Stellen oder jede sonstige Einrichtung, die durch eine zwischen zwei oder mehr Ländern geschlossene Übereinkunft oder auf der Grundlage einer solchen Übereinkunft geschaffen wurde". Ein Beispiel hierfür ist die Org...mehr

Rz. 24 Die Bewertung der Zulässigkeit der Datenverarbeitung war bislang und ist seit 25.5.2018 auf Basis einer Interessenabwägung, die die Interessen von Arbeitgeber und Beschäftigten in Einklang bringen muss, zu treffen (§ 32 Abs. 1 BDSG a.F. und § 26 Abs. 1 BDSG). Die Bewertung ist daher oft vom jeweiligen Einzelfall abhängig. Rz. 25 Für die Verarbeitung der Beschäftigtenda...mehr

Rz. 27 Die Betriebspartner müssen für die Wahrung der Mitbestimmung nicht zwingend eine Betriebsvereinbarung abschließen. Ausreichend ist vielmehr auch eine formlose Betriebsabsprache.[49] Allerdings ist dieses Vorgehen in der Praxis eher unüblich. Regelmäßig wird insbesondere bei technischen Einrichtungen i.S.v. § 87 Abs. 1 Nr. 6 BetrVG eine Betriebsvereinbarung abgeschloss...mehr

Rz. 33 Umgekehrt ist natürlich auch zu beachten, dass das Arbeitsverhältnis durch gegenseitige Rechte und Pflichten geprägt ist. So muss auch der Arbeitgeber bei der Nutzung von Social Media nach § 241 Abs. 2 BGB das Persönlichkeitsrecht seiner Mitarbeiter beachten. Hieraus können sich z.B. Beseitigungs- und Löschansprüche der – insbesondere ehemaligen – Arbeitnehmer im Hinb...mehr

Rz. 75 Das Recht des grenzüberschreitenden Verkehrs von Beschäftigtendaten befindet sich derzeit im Wandel und wird seit 25.5.2018 primär von den Art. 44 ff. DSGVO geregelt. Viele Auslegungsfragen zu einzelnen Anforderungen an die grenzüberschreitende Datenübermittlung sind momentan noch offen und ungelöst. Seit dem Urteil des EuGH in Sachen Schrems II bestehen große Unsiche...mehr

Rz. 21 Die Weisung, einen Firmenaccount zu erstellen und zu pflegen, dürfte regelmäßig vom Direktionsrecht gedeckt sein.[32] Allerdings stellt sich in diesem Zusammenhang die Frage, ob der Arbeitnehmer in einem solchen Firmenaccount als Ansprechpartner genannt werden kann. Nach geltender Rechtslage ist auf § 26 Abs. 1 BDSG abzustellen. Gemäß § 26 BDSG dürfen personenbezogene...mehr

Rz. 19 Nach Abschluss eines Bewerbungsverfahrens muss sich der Arbeitgeber überlegen, was mit den Bewerberinformationen passiert. Nach Art. 17 Abs. 1a) DSGVO müssen die Daten dann gelöscht werden, wenn sie für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind. § 75 Abs. 2 BDSG stellt auf die fehlende Erforderlichkeit ab. Bei abgelehnten Bewerbern beträgt dies...mehr

Rz. 61 Nach § 26 Abs. 1 S. 1 BDSG dürfen personenbezogene Daten verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvere...mehr