Fachbeiträge & Kommentare zu Datenschutz

Rz. 23 Ergänzend zu den sozialrechtlichen Datenschutzregelungen, wie sie in Satz 1 in Bezug genommen werden, kann dort ergänzend auf das Bundesdatenschutzgesetz bzw. die Landesdatenschutzgesetze zurückgegriffen werden, wo §§ 67 bis 85a SGB X unmittelbar solche Regelungen in Bezug nehmen. Als Beispiel ist hier die Bestellung eines Bundes- oder Landesdatenschutzbeauftragten zu...mehr

Rz. 2 Abs. 1 regelt einen Anspruch auf Beratung, wobei der Gesetzgeber den Kreis der Anspruchsberechtigten wohl bewusst weit gefasst und grob umrissen hat. Personen, die beruflich in Kontakt mit Kindern und Jugendlichen stehen, sind in den unterschiedlichsten Bereichen tätig. Gemeint sind nach der Gesetzesbegründung (BT-Drs. 17/6256 S. 39) auch die außerhalb des Systems der ...mehr

Rz. 1 Mit Erlass der – in den EU-Mitgliedstaaten ab dem 25.5.2018 unmittelbar geltenden (Art. 288 Abs. 2 AEUV) – DSGVO [1] finden sich die – früher in §§ 4f, 4g BDSG a. F. enthaltenen – Regelungen zum Datenschutzbeauftragten in Art. 37 bis 39 DSGVO . Sie werden durch die – auf Grundlage des Art. 37 Abs. 4 Satz 1 Halbsatz 2, 38 Abs. 5 DSGVO erlassenen – Regelungen für nicht öff...mehr

Rz. 15 Das Arbeitgeberunternehmen kann die Bestellung des Datenschutzbeauftragten analog § 626 BGB widerrufen, wenn ein wichtiger Grund vorliegt (§ 6 Abs. 4 Satz 1 BDSG); dies gilt nach § 38 Abs. 2 BDSG bei nicht öffentlichen Stellen (wie Privatunternehmen) aber nur, wenn die Benennung eines Datenschutzbeauftragten verpflichtend ist (nach Art. 37 Abs. 1 DSGVO bzw. Art. 37 Ab...mehr

Rz. 26 Bereits aus dem Wortlaut ("Kündigung des Arbeitsverhältnisses") folgt, dass der besondere Kündigungsschutz nach § 38 Abs. 2 i. V. m. § 6 Abs. 4 Sätze 2 und 3 BDSG nur für den internen und nicht den externen Datenschutzbeauftragten gilt.[1] Die Regelungen finden auch Anwendung, wenn der Datenschutzbeauftragte zunächst als Externer bestellt wird und dann ein Arbeitsverh...mehr

Die dem Betriebsrat obliegende Pflicht, die für den Arbeitsschutz zuständigen Behörden zu unterstützen, berechtigt ihn nicht stets und einschränkungslos, den Aufsichtsbehörden die z. B. vom Arbeitgeber elektronisch erfassten tatsächlich geleisteten Arbeitszeiten der Arbeitnehmer namensbezogen mitzuteilen. Aus Gründen des Datenschutzes muss er vielmehr im Einzelfall die Erfor...mehr

Rz. 33 Für die zu erteilende Auskunft gilt grds. Formfreiheit, Abs. 4 S. 1. Sie kann danach – vorbehaltlich anderweitiger behördlicher Anordnung, Abs. 4 S. 2, Abs. 5 S. 1 – schriftlich, mündlich oder fernmündlich erteilt werden. Rz. 34 Mündlichkeit erleichtert vor allem schriftungewandten Personen die Auskunftserteilung und minimiert damit die Belastungswirkung der Verpflicht...mehr

Rz. 1 Stand: EL 137 – ET: 03/2024 Grundsatz: Alle Amtsträger oder ihnen gleichgestellte Personen haben das Steuergeheimnis zu wahren: Alles, was dienstlich bekannt wird, darf grundsätzlich nicht unbefugt offenbart oder verwertet werden. Amtsträger sind in erster Linie Beamte und Richter, Notare, Minister und Staatssekretäre, aber auch Angestellte, die Aufgaben der öffentliche...mehr

Rz. 68 Die im steuerlichen Bereich bestehenden Probleme bei der vollständigen Ermittlung der Einkünfte stellen sich gleichermaßen in Verfahren, die auf eine Inanspruchnahme sozialer Transferleistungen, der Bekämpfung von Straftaten oder der Vollstreckung sonstiger öffentlicher Forderungen abzielen. Auch in diesem Bereich bietet das Kontenabrufverfahren ein präventiv wirkende...mehr

Rz. 1 §§ 85, 88, 92 S. 2 Nr. 1 AO normieren die Befugnis der Finanzbehörden, zur Erfüllung ihres Besteuerungsauftrags Auskünfte jeder Art von den Beteiligten und anderen Personen einzuholen. § 93 AO ist hierzu Ausführungsnorm und gilt als allgemeine Beweismittelvorschrift gleichermaßen im Festsetzungs-, Erhebungs- und Vollstreckungsverfahren.[1] Im Rahmen ihrer Verpflichtung,...mehr

Rz. 184 [Autor/Stand] Auch datenschutzrechtliche Bestimmungen haben inzwischen Einfluss auf den kritischen Zeitpunkt des Übergangs vom Besteuerungs- in das Strafverfahren i.S.v. § 393 AO [2]. Relevant ist hier vor allem § 29c AO [3], der im Zuge der Anpassung der AO an die ab 25.5.2018 geltende EU-Datenschutzgrundverordnung ( DSGVO) [4] geändert wurde. Danach ist die Weiterverarb...mehr

Für die Kontrolle von Dienstgesprächen findet das Bundesdatenschutzgesetz Anwendung.[1] Nach der ursprünglichen Konzeption des BDSG bedurfte die Überwachung stets einer Einwilligung oder eines sonstigen Erlaubnistatbestands. In der seit dem 25.5.2018 geltenden Fassung hat sich der Gesetzgeber entschlossen, die Frage der "Einwilligung" jeweils in den dazugehörigen Bereichen z...mehr

Nützlich erscheint eine Nutzung von KI beispielsweise für die automatisierte Auswertung von Videoaufnahmen. Rechtsgrundlage hierfür sind entweder eine Einwilligung des Arbeitnehmers oder, wie bei den anderen Technologien auch, § 26 Abs. 1 Satz 1 DSGVO, Art. 6, 9 DSGVO oder eine Betriebsvereinbarung.[1] Indes ist eine erteilte Einwilligung die "unsicherste" Ermächtigungsgrund...mehr

Bei der Zulässigkeit von Maßnahmen zur Kontrolle der Nutzung betrieblicher Kommunikations- und Informationssysteme (insbesondere Telefon, E-Mail und Internet) durch Arbeitnehmer ist einerseits zwischen dienstlicher und privater Nutzung, andererseits auch zwischen der Überwachung des Kommunikationsvorgangs (insbesondere der Erfassung der sogenannten Verbindungsdaten wie Datum...mehr

Wichtig Klassische Mitarbeiterkontrollen Wichtig für Arbeitgeber ist, dass die besondere Arbeitnehmerdatenschutzregel des § 26 Abs. 1 BDSG aufgrund ausdrücklicher Anordnung in § 26 Abs. 7 BDSG nicht (wie das BDSG im Übrigen) nur bei automatisierter Verarbeitung[1] der Daten gilt, sondern für überhaupt jede, auch nicht automatisierte Datenverarbeitung.[2] Somit sind auch klass...mehr

Nach § 26 Abs. 1 BDSG dürfen personenbezogene Daten von Arbeitnehmern für die Zwecke des Beschäftigungsverhältnisses dann erhoben, verarbeitet oder genutzt werden, wenn dies erforderlich ist für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung eines Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung. Dies galt bereits ...mehr

Soweit eine Risikoanalyse einer Datenverarbeitung zum Ergebnis hat, dass die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen bedeutet, ist eine Datenschutz-Folgenabschätzung[1] durchzuführen und zu dokumentieren. Die Folgenabschätzung muss dabei Folgendes beinhalten: Systematische Beschreibung der Verarbeitungsvorgänge Zweck der...mehr

1.1 Unmittelbare Geltung und Öffnungsklauseln Die Datenschutz-Grundverordnung entfaltet seit dem 25.5.2018 unmittelbare Wirkung und bildet neben dem Bundesdatenschutzgesetz den Rahmen für die Verarbeitung personenbezogener (Beschäftigten-)Daten. Die DSGVO umfasst insgesamt 99 Artikel und ist als "Prinzipiengesetz" gestaltet, d. h. die Verarbeitung personenbezogener Daten hat ...mehr

Die Datenschutz-Grundverordnung bringt zwar einige Neuerungen mit sich, behält aber die bisherigen bekannten Datenschutzgrundsätze im Wesentlichen bei. Neu hinzu kam die in Art. 5 Abs. 2 DSGVO normierte Rechenschaftspflicht. Die Unternehmen sind daher nicht nur zur Einhaltung der nachfolgenden Grundsätze verpflichtet, sondern müssen die Einhaltung der Grundsätze auch nachwei...mehr

Die DSGVO regelt und "privilegiert" die Verarbeitung im Auftrag. Die Auftragsverarbeitung ist in Art. 28 DSGVO geregelt.[1] Wie die frühere Norm § 11 BDSG a. F., stellt auch Art. 28 DSGVO eine Vielzahl von Anforderungen für eine wirksame Vereinbarung zur Auftragsverarbeitung. Im Gegensatz zur alten Rechtslage bedarf die Vereinbarung zur Auftragsverarbeitung nicht mehr zwingen...mehr

Zusammenfassung Überblick Seit dem 25.5.2018 entfaltet die "Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG," kurz Datenschutz-Grundverordnung (DSGVO) ihre unmittelbare Wirkung. Durch die DSGVO wurden die Regelungen zur Verarbeit...mehr

Wie die bisherigen Regelungen zum Datenschutz, umfasst der Anwendungsbereich der DSGVO die Verarbeitung von personenbezogenen Daten.[1] Der Begriff "personenbezogene Daten" ist in Art. 4 Nr. 1 DSGVO legaldefiniert und entspricht der bisher gültigen Definition. Als personenbezogene Daten gelten damit weiterhin alle Informationen, die sich auf eine entweder identifizierte oder...mehr

Jeder Verantwortliche (früher "Verantwortliche Stelle") ist gemäß Art. 30 Abs. 1 DSGVO zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten verpflichtet. Dieses Verzeichnis ist der zentrale Bestandteil der Datenschutzdokumentation und listet alle Verarbeitungen von personenbezogenen Daten im Unternehmen auf. Das Verzeichnis muss dabei die folgenden Angaben enthalten...mehr

Um der in Art. 5 Abs. 2 DSGVO genannten Rechenschaftspflicht nachkommen zu können, bedarf es eines umfangreichen Datenschutzkonzeptes bzw. einer unternehmensweiten Datenschutz-Policy. Darin sollte grundsätzlich geregelt werden, wie die Datenschutzorganisation im Unternehmen aufgebaut ist, welche Personen für welche Bereiche verantwortlich sind, welche Schutzmaßnahmen bei der...mehr

Überblick Seit dem 25.5.2018 entfaltet die "Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG," kurz Datenschutz-Grundverordnung (DSGVO) ihre unmittelbare Wirkung. Durch die DSGVO wurden die Regelungen zur Verarbeitung von persone...mehr

Mit Inkrafttreten der DSGVO wurde der Rahmen für Bußgelder drastisch erhöht. Die Obergrenzen für Bußgelder betragen 10 bzw. 20 Mio. EUR.[1] Soll ein Unternehmen mit einem Bußgeld bestraft werden, können gar bis zu 4 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres als Bußgeld fällig werden. Die bislang höchsten verhängten Bußgelder in Deutschland be...mehr

Eine wichtige Rechtsgrundlage für die Verarbeitung personenbezogener Daten stellt die Einwilligung dar. In Art. 7 DSGVO sind die Anforderungen an eine wirksame datenschutzrechtliche Einwilligung festgehalten. Eine Einwilligung kann nur dann wirksam erteilt werden, wenn der Betroffene in voller Kenntnis des Umfangs der geplanten Verarbeitung und freiwillig sein Einverständnis...mehr

3.1 Verzeichnis von Verarbeitungstätigkeiten Jeder Verantwortliche (früher "Verantwortliche Stelle") ist gemäß Art. 30 Abs. 1 DSGVO zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten verpflichtet. Dieses Verzeichnis ist der zentrale Bestandteil der Datenschutzdokumentation und listet alle Verarbeitungen von personenbezogenen Daten im Unternehmen auf. Das Verzeichni...mehr

Die Datenschutz-Grundverordnung entfaltet seit dem 25.5.2018 unmittelbare Wirkung und bildet neben dem Bundesdatenschutzgesetz den Rahmen für die Verarbeitung personenbezogener (Beschäftigten-)Daten. Die DSGVO umfasst insgesamt 99 Artikel und ist als "Prinzipiengesetz" gestaltet, d. h. die Verarbeitung personenbezogener Daten hat sich stets an denen in der DSGVO aufgeführten...mehr

Bei jeder Verarbeitung von personenbezogenen Daten sollte eine Bewertung hinsichtlich des Risikos für die Rechte und Freiheiten natürlicher Personen durchgeführt und dokumentiert werden. In Anbetracht der Pflicht zum Führen eines Verzeichnisses von Verarbeitungstätigkeiten lässt sich die Risikoanalyse hier in der Praxis gut integrieren. Für die Risikobewertung kann in einem e...mehr

Die Verpflichtung zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten trifft nicht nur jeden Verantwortlichen, sondern auch alle Auftragsverarbeiter gemäß Art. 28 DSGVO (früher "Auftragsdatenverarbeiter"). Jeder Auftragsverarbeiter muss gemäß Art. 30 Abs. 2 DSGVO ein Verzeichnis der von ihm durchgeführten Verarbeitung führen, das mindestens die folgenden Angaben en...mehr

Im Folgenden werden die Rechte der Betroffenen dargestellt. "Betroffene" im Sinne der DSGVO können Kunden, weitere externe Dritte, aber auch Beschäftigte sein. Die Betroffenenrechte sind in den Art. 12–23 DSGVO abschließend geregelt. 4.1 Informationspflichten Sofern die betroffenen Personen nicht bereits Kenntnis über die folgenden Informationen haben, müssen Unternehmen sie k...mehr

Das Widerspruchsrecht ist ausdrücklich in Art. 21 DSGVO geregelt. Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten, die durch die Wahrung der überwiegenden Interessen der verantwortlichen Stelle gerechtfertigt ist, Widerspruch einzulegen. Wenn Datenvera...mehr

Damit die im vorstehenden Kapitel genannten neuen Bußgelder nicht von den Aufsichtsbehörden verhängt werden, sollten die Unternehmen sich auf folgende Bereiche besonders fokussieren. Zunächst sollten alle Verantwortlichen im Unternehmen, insbesondere die Geschäftsführung, für die Wichtigkeit des Schutzes personenbezogener Daten sensibilisiert werden. Aufgrund der mit der Rech...mehr

Die Verarbeitung sog. "besondere Kategorien personenbezogener Daten" ist grundsätzlich untersagt[1], sofern nicht ein in Art. 9 Abs. 2 DSGVO aufgezählter Tatbestand die Verarbeitung ausnahmsweise erlaubt. Die "besonderen Kategorien personenbezogener Daten" (oder oft als "sensible Daten" beschrieben) umfassen personenbezogene Daten, aus denen die rassische und ethnische Herkun...mehr

Die Grundsätze der DSGVO sind im Einzelnen: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz Personenbezogene Daten dürfen auch nur dann verarbeitet werden, wenn die Verarbeitung durch eine Rechtsgrundlage gedeckt ist (Verbot mit Erlaubnisvorbehalt). Der Grundsatz von Treu und Glauben lässt sich als Rücksichtnahmepflicht und damit als Ausprägung des bisher bekan...mehr

Neu im Vergleich zur bisherigen Rechtslage ist das sog. Recht auf Datenübertragbarkeit (häufig auch als "Recht auf Datenportabilität") bezeichnet.[1] Betroffene Personen haben das Recht, dass die bereitgestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder diese einem Dritten zu übermitteln. Als gängiges, maschinenl...mehr

Im Fall einer Verletzung des Schutzes personenbezogener Daten (umgangssprachlich häufig als "Datenpanne") bezeichnet, ist häufig eine unverzügliche Meldung an die zuständige Aufsichtsbehörde erforderlich. Die Meldung hat möglichst binnen 72 Stunden zu erfolgen und zwar dann, wenn die Datenpanne zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.[1] Dies...mehr

In Art. 17 DSGVO ist das sog. "Recht auf Vergessenwerden", also das Recht, Löschung seiner personenbezogenen Daten zu verlangen, geregelt.[1] Im Zuge der Umsetzung der DSGVO wurde das "Recht auf Vergessenwerden" breit diskutiert und befürchtet. In der Praxis zeigt sich, dass es zumindest im Beschäftigtenverhältnis keine neuen Herausforderungen an die Unternehmen stellt. Unte...mehr

Ein Unternehmen hat gemäß Art. 15 DSGVO auf Anfrage umfassend Auskunft über die gespeicherten Daten zu erteilen. Betroffene Personen müssen dieses Verlangen nicht begründen und das Verlangen kann grundsätzlich in jeder denkbaren Form geltend gemacht werden, wobei für den Verantwortlichen jedoch eine Identitätsprüfung der auskunftbegehrenden Person möglich sein muss Geht ein A...mehr

Die Regelungen der DSGVO haben grundsätzlich Vorrang vor dem BDSG. Aufgrund der Öffnungs- und Spezialklauseln der DSGVO müssen die ergänzenden Vorschriften des BDSG aber ebenfalls beachtet werden. Es ist daher ratsam, vor der Beurteilung eines datenschutzrechtlichen Sachverhaltes zunächst zu prüfen, ob die DSGVO für den zu betrachtenden Vorgang eine Öffnungs- oder Spezialkla...mehr

Sofern die betroffenen Personen nicht bereits Kenntnis über die folgenden Informationen haben, müssen Unternehmen sie künftig zum Zeitpunkt der Datenerhebung über folgende Punkte informieren[1]: Name und Kontaktdaten des Verantwortlichen Kontaktdaten des Datenschutzbeauftragten Zwecke der Datenverarbeitung Berechtigte Interessen, falls die Verarbeitung aufgrund eines berechtigte...mehr

In der heutigen Arbeitswelt gibt es eine Vielzahl von Begriffen, die sich auf flexible Arbeitsmodelle beziehen. Hierzu gehören Telearbeit, mobile Arbeit und Homeoffice. Oftmals werden diese Begriffe synonym verwendet, obwohl es feine Unterschiede gibt, die es zu beachten gilt. Für das Arbeiten von zu Hause hat sich umgangssprachlich der Begriff "Homeoffice" eingebürgert. Hom...mehr

Eine Mitarbeiterbefragung ist eine anonyme und überwiegend strukturierte Befragung aller Mitarbeiter mit Blick auf ihre Verbundenheit zum Unternehmen, sowie zur Wichtigkeit und Zufriedenheit mit relevanten Themen rund um Kultur, Führung und Atmosphäre im Unternehmen, das Arbeitsverhältnis und die Arbeitsbedingungen. Es geht also um eine Gesamtsicht und nicht um den einzelnen...mehr

Beziehen Sie unbedingt den Datenschutzbeauftragten Ihres Unternehmens in die Projektplanung mit ein, damit dieser den Prozess auf den Datenschutz hin überprüfen kann. Insbesondere bei nicht komplett anonym durchgeführten Befragungen sind die Regelungen der DSGVO zu beachten. Wenn Sie die Befragung extern vergeben, muss hierzu ein Vertrag zur Auftragsdatenverarbeitung mit dem ...mehr

Nicht in jedem Unternehmen bietet sich eine komplette Online-Befragung an. Eine rein schriftliche Befragung ist allerdings nur noch in Ausnahmefällen angezeigt (Beispiel: mittelständischer Handwerksbetrieb). Wenn nicht bei allen ein Online-Zugang vorausgesetzt werden kann, dann sollte neben der schriftlichen dennoch immer die Online-Option mitangeboten werden. Dies vereinfac...mehr

Rz. 1 Die Vorschrift erlaubt den Finanzbehörden, zur Bekämpfung der illegalen Beschäftigung einschließlich der Schwarzarbeit sowie des Leistungsmissbrauchs durch das Steuergeheimnis nach § 30 AO geschützte Daten von betroffenen Personen zu offenbaren. Seit dem 1.8.2002 besteht unter bestimmten Voraussetzungen und für bestimmte Tatsachen eine entsprechende Pflicht. Die Regelun...mehr

Nicht immer ist allen Akteuren im Unternehmen klar, was genau der Sinn einer Gefährdungsbeurteilung psychischer Belastung ist. Ein häufiges Missverständnis ist, dass hier die Mitarbeiter auf Stresssymptome sowie psychische Störungen und Erkrankungen untersucht werden sollen. Dies ist nicht Aufgabe der Arbeitgeber und wäre auch nicht mit dem Datenschutz vereinbar. Psychische ...mehr

Wenn die Tätigkeiten und Arbeitsbereiche, die gemeinsam untersucht werden sollen, festgelegt sind, beginnt die eigentliche Untersuchung der Arbeitsbedingungen auf psychische Belastungsfaktoren hin. Wichtig Privatleben spielt keine Rolle Die Zuständigkeit der Arbeitgeber erstreckt sich nur auf arbeitsbezogene Belastungsfaktoren. Belastungen aus dem Privatleben der Beschäftigten...mehr

Ein BEM-Verfahren kann nur stattfinden, wenn der Betroffene einwilligt. Diese Einwilligung wird zu Beginn durch den Arbeitgeber abgefragt. Sie kann jederzeit im Verlauf des Verfahrens widerrufen und das Verfahren damit beendet werden. Entscheidet sich der Betroffene für das BEM-Verfahren, ist er aber zur Mitwirkung verpflichtet. Schließlich kann der Arbeitgeber nur dann sinnv...mehr