Archiv der Kategorie: Compliance

Stirbt Active Sourcing unter der ePrivacy Verordnung? – Active Sourcing und Talent Relationship Management (TRM) unter der Datenschutzgrundverordnung II – Teil 10 zur EU-DSGVO

Fast zwei Monate ist es her, dass hier der Artikel Active Sourcing und Talent Relationship Management (TRM) unter der DSGVO I erschien. Dort erläuterten wir, wie sich die Rechtslage hinsichtlich der Kandidatensuche und der Anlage eines Kandidatenpools ab 2018 gestaltet und welchen (erweiterten) Dokumentations- und Informationspflichten Unternehmen spätestens dann nachkommen müssen.

Nun, ein paar sehr arbeitsintensive Wochen und einen phantastischen – natürlich 😉 viel zu kurzen – Urlaub später geht es heute um die rechtlichen Fragen der Kandidatenansprache im Hinblick auf die Änderungen, die uns 2018 erwarten. Das sind – leider – weder kleine Änderungen noch sehr angenehme und das hat vor allem mit der schon im Titel genannten ePrivacyVO zu tun. Man könnte sagen, es wird eher dunkel.

Doch der Reihe nach.

Weiterlesen

Wenig überraschend: Einsatz von „Keyloggern“ zur Mitarbeiterüberwachung grundsätzlich unzulässig (BAG, Az. 2 AZR 681/16)

Das Bundesarbeitsgericht (BAG) hatte im Verfahren 2 AZR 681/16 am gestrigen Tag, den 27. Juli 2017, über die Zulässigkeit einer Kündigung wegen privater Internetnutzung zu befinden. Soweit so vorerst wenig spannend. Dem Ganzen lag jedoch ein – gerade aus Perspektive diesen Blogs und damit vermutlich der unserer Leserschaft – spannender Sachverhalt zu Grunde:

Der Arbeitgeber kündigte dem Arbeitnehmer außerordentlich fristlos, hilfsweise ordentlich. Als Kündigungsgrund wurde angegeben, dass der Arbeitnehmer seinen Dienst-PC privat in einem erheblichen Umfang genutzt habe.

Diese Feststellung hatte der Arbeitgeber deswegen treffen können, da seit April 2015 der gesamte Internet-Traffic und die Benutzung sämtlicher Systeme im Unternehmen mittels eines sogenannten  Keyloggers protokolliert wurde. Ein Keylogger ist eine Software, die sämtliche Tastatureingaben speichert („loggt“) und teilweise – so hier – regelmäßig Screenshots fertigt. Diese Protokollierung war den Arbeitnehmern aufgrund einer Mitteilung bekannt.

Auf den Vorhalt der Privatnutzung hatte der Arbeitnehmer schriftlich eingeräumt, er habe den PC nur in geringem Umfang und vorwiegend in seinen Pausen genutzt.

Der Arbeitnehmer wehrte sich gegen die vom Arbeitgeber ausgesprochene Kündigung mit einer Kündigungsschutzklage – und zwar mit Erfolg. Das BAG entschied (wie zuvor das Landesarbeitsgericht Hamm, Az. 16 Sa 1711/15) , dass die Kündigung unzulässig gewesen sei. Es hätte im Vorwege bezüglich der privaten Nutzung der IT-Infrastruktur einer Abmahnung bedurft.

Warum ist die Kündigungsschutzklage erfolgreich, wenn die erhebliche Privatnutzung doch feststand? 

Wer diesen Blog schon länger liest, der weiß zum einen, dass das Thema private Internet-/IT-Nutzung am Arbeitsplatz hier regelmäßig Gegenstand der Beiträge ist. Zum anderen ist durch die Lektüre bekannt, dass eine private Nutzung der IT-Infrastruktur des Arbeitgebers durchaus zu einer (außerordentlichen) Kündigung führen kann. Voraussetzung hierfür ist, dass gegen eine Verpflichtung aus dem Arbeitsvertrag verstoßen wurde. Dies ist bei einem Verbot der privaten Nutzung immer, bei einer Duldung oder Erlaubnis dann der Fall, wenn die private Nutzung in einem unangemessenen und erheblichen Umfang erfolgte.

Auf den ersten Blick liegt auch in unserem Fall eine erhebliche Privatnutzung vor, die demgemäß zur (fristlosen) Kündigung berechtigen würde. Doch die große Frage war, ob die durch den Keylogger gewonnenen Erkenntnisse zum Nachweis der erheblichen Nutzung und damit zur Begründung der Kündigung herangezogen werden konnte. Die Antwort lautet: Nein, die Keylogger-Daten durften hier nicht zum Beweis der erheblichen Privatnutzung herangezogen werden.

Wie wir an anderer Stelle schon einmal schrieben, existiert im deutschen Zivil- und Arbeitsrecht kein allgemeines Verwertungsverbot. Demnach müssen die Gerichte grundsätzlich alle angebotenen Beweismittel berücksichtigen. Dabei bilden jedoch die Beweismittel, die rechtswidrig erlangt worden, eine Ausnahme. Denn bei Ihnen ist zu prüfen, ob die Verwertung des Beweismittels den Betroffenen (hier den Arbeitnehmer) in seinen Rechten verletzt. Ist dies der Fall, kommt ein Verwertungsverbot in Betracht. (Ausführlich dazu: („Private Internetnutzung am Arbeitsplatz“ – Artikel v. 12. Februar 2016)

Und so verhielt es sich hier. Die durch den Keylogger gewonnenen Erkenntnisse hinsichtlich der privaten Tätigkeiten des Arbeitnehmers durften nicht im Verfahren verwertet werden. Der Einsatz des Keyloggers verletzte den Arbeitnehmer in seinen allgemeinen Persönlichkeitsrechten, genau genommen in seinem Recht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 iVm. Art. 1 Abs. 1 GG). Dieser Eingriff in das Recht auf informationelle Selbstbestimmung konnte auch nicht über § 32 BDSG gerechtfertigt werden. § 32 Abs. 1 BDSG lautet:

Personenbezogene Daten eines Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist. Zur Aufdeckung von Straftaten dürfen personenbezogene Daten eines Beschäftigten nur dann erhoben, verarbeitet oder genutzt werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass der Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat, die Erhebung, Verarbeitung oder Nutzung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.

Der Einsatz eines Keyloggers ist nicht erforderlich im Sinne von § 32 Abs. 1 S. 1 BDSG. Und es gab auch keine Anhaltspunkte für den Verdacht einer Straftat im Sinne von § 32 Abs. 1 S. 2. In Folge dessen lag hier ein schlicht unverhältnismäßiger Eingriff in das Recht auf informationelle Selbstbestimmung des Arbeitnehmers durch das Installieren des Keyloggers seitens Arbeitgeber vor.

Damit blieb im Verfahren nur die vom Arbeitnehmer eingeräumte Nutzung im geringen Umfang „übrig“. Und eine solche reicht nicht für eine Kündigung. Hier bedarf es der vorgehenden Abmahnung.

Warum landete der Fall vor dem BAG?

Erstaunlich, dass dieser Fall überhaupt vor das BAG getrieben wurde. Denn auf den ersten Blick scheint der Fall sonnenklar. Für den Einsatz des Keyloggers gab es keine rechtfertigende Grundlage, folglich konnte die private Nutzung im erheblichen Umfang nicht nachgewiesen werden und damit war die Kündigung unzulässig.

Allerdings liegt uns bislang nur die Pressemitteilung des BAG und nicht das Urteil mit seinen Entscheidungsgründen vor. Und in der Pressemitteilung lässt ein Satz aufhorchen, nämlich: „Im Zusammenhang mit der Freigabe eines Netzwerks teilte die Beklagte ihren Arbeitnehmern im April 2015 mit, dass der gesamte „Internet-Traffic“ und die Benutzung ihrer Systeme „mitgeloggt“ werde.“ Ich könnte mir vorstellen, dass um die juristische Tragweite der Kenntnis der Arbeitnehmer davon, dass ein Keylogger eingesetzt wurde, gestritten wurde. Dies lässt sich jedenfalls auch schon aus dem Urteil des LG Hamm herauslesen. Der dahinterstehenden Idee, dass die Arbeitnehmer mit einem Keylogging „rechnen“ mussten und deswegen dessen Ergebnisse auch verwertet werden können mussten, wurde aber offensichtlich vom Bundesarbeitsgericht eine Absage erteilt. Verständlich. Aber ich bin dennoch schon jetzt auf die Entscheidungsgründe gespannt.

Okay, Sie interessiert das wahrscheinlich gar nicht so sehr. 😉 Aber das ist in Ordnung. Hiermit wissen Sie jedenfalls, dass der Einsatz von Keyloggern zur Kontrolle von Mitarbeitern nur in Ausnahmefällen zulässig ist und dass Sie grundsätzlich die Finger davon lassen. Das hätte ich Ihnen allerdings auch ohne das vorliegende BAG-Urteil geraten.

In diesem Sinne,

haben Sie vorerst einen schönen, nicht ganz so verregneten, Sommer.

PS: Hurra! Ich fahre nächste Woche in den Urlaub. Wir lesen uns danach! 🙂

Das könnte Sie in diesem Zusammenhang auch noch interessieren:

Active Sourcing und Talent Relationship Management (TRM) unter der Datenschutzgrundverordnung

Einsatz von Skype und zeitversetzten Video-Interviews in Personalauswahlverfahren unzulässig?

Kündigung wegen Beleidigung von Vorgesetzten mittels Emoticons (LAG BaWü, Az. 4 Sa 5/16)

Was tun bei geschäftsschädigenden Äußerungen von Mitarbeitern in Social Media?

Kündigung wegen Äußerungen in Social Media – Teil 2 (ArbG Herne, Az. 5 Ca 2806/15)

Kündigung wegen Äußerungen in Social Media – Teil 1 (ArbG Mannheim, Az. 6 Ca 190/15)

Fristlose Kündigung und Schadensersatz wegen privater Internetnutzung am Arbeitsplatz (LAG Rheinland-Pfalz, Az. 5 Sa 10/15)

Erlaubte private Internetnutzung am Arbeitsplatz macht Arbeitgeber zu Telekommunikationsanbietern – Oder doch nicht?

Erlaubt der EGMR das Lesen privater Nachrichten von Arbeitnehmern durch Arbeitgeber?

“Silo-Denken“ in Unternehmen ist auch ein Compliance-Problem“ – Interview mit Rechtsanwältin Nina Diercks zum Thema Datenschutz und Compliance veröffentlicht in dem Blog von Jeanette Wygoda

Silo-Denken? Compliance-Probleme? Hat Nina Diercks die Branche gewechselt und macht jetzt Unternehmenskommunikation? – Nein, natürlich nicht! Die Expertin für interne Unternehmenskommunikation ist immer noch Jeanette Wygoda. Mit eben dieser hat die Rechtsanwältin zum Thema Compliance, Recht und ja, auch dem Silo-Denken ein Interview geführt.

Das Thema Compliance ist im Blog natürlich immer wieder ein Thema. Bedeutet Compliance doch nichts anderes als Rechtskonformität. (Während ersteres aber eher zum Wegdösen der Geschäftsführung führt, bedeutet letzteres regelmäßig sofort einen hellwachen Vorstand).

In letzter Zeit ist das Wort „Compliance“ hier sehr häufig im Zusammenhang mit der DSGVO (EU-Datenschutzgrundverordnung) gefallen, die ab Mai 2018 dafür sorgt, dass ein datenschutzrechtlicher Compliance-Verstoß wahrlich kein Kavaliersdelikt mehr ist.

[Wenn Sie mehr zur DSGVO und den Folgen für Unternehmen wissen möchten, dann werfen Sie doch einen Blick in unsere 9-teilige Serie dazu, die von einem Blick auf die grundlegenden datenschutzrechtlichen Rechten und Pflichten der Unternehmen bis hin zu konkreten Themen wie  Actice Sourcing und das Talent Relationship Management reicht].

Jeanette Wygoda und Rechtanwältin Nina Diercks beleuchten in dem Interview unter dem Titel „“Silo-Denken“ in Unternehmen ist auch ein Compliance-Problem“ einen weiteren Aspekt, nämlich den der internen Kommunikation. Dabei geht es vor allem darum, wie das klassische „Silo-Denken“ (also das Denken in rein bereichs- bzw. abteilungsbezogenen Verantwortlichkeiten) insbesondere in Bezug auf die Datenschutz-Compliance zu einer äußerst unangenehmen Falle werden kann.

Hier geht es zum vollständigen Artikel

“Silo-Denken“ in Unternehmen ist auch ein Compliance-Problem

Wir wünschen viel Spaß beim Lesen!

Ihre Kathrin Meyer

Active Sourcing und Talent Relationship Management (TRM) unter der Datenschutzgrundverordnung I – Teil 9 zur EU-DSGVO

Mitarbeit: Christian Frerix*

Wie auch hier in diesem Blog schon des öfteren beschrieben, gestaltet sich die Besetzung freier Stellen für Unternehmen zunehmend schwieriger. Abhängig von Region und/oder Branche bewerben sich auf offene Stellen entweder keine oder keine im Ansatz geeigneten Kandidaten. Von daher gehen viele Unternehmen (zwangsweise) inzwischen andere Wege. Sie machen sich auf und suchen selbst aktiv nach neuem Personal oder lassen suchen („sourcen“).

Ob mit der Aufgabe des „Active Sourcing“, der nachfolgenden Kandidatenansprache oder des Talent Relationship Managements nun Recruiter, Personalberater oder Headhunter betraut sind, ist in einer Hinsicht gleichgültig:  Es gilt, aus rechtlicher Sicht einige Spielregeln einzuhalten, wie ich bereits vor geraumer Zeit hier im Blog ausführlich dargelegt habe.

Warum nun dieser Artikel? Nun der Titel lässt es ahnen: Die Geltung der EU-Datenschutzgrundverordnung (DSGVO) ab Mai 2018, eine bevorstehende Neufassung des Bundesdatenschutzgesetzes (BDSG-E) durch den deutschen Gesetzgeber sowie der geplante Erlass einer E-Privacy-Verordnung durch den EU-Verordnungsgeber sind Grund genug, sich erneut mit der Regulierung des Active Sourcing zu beschäftigen und einen Ausblick auf die ab 2018 geltenden Vorgaben zu wagen.

Sie sind Personaler? Sie langweilt der Datenschutz? Vielleicht langweilt es Sie nicht mehr so sehr, wenn Sie wissen, dass jeder Verstoß gegen die Regelungen der DSGVO mit Bußgeldern von bis zu 10 Millionen EUR oder 2% des weltweiten Jahresumsatzes oder 20 Millionen EUR oder 4% des weltweiten Jahresumsatz – je nach Art des Verstoßes – bedroht ist.

Sie sind Geschäftsführer oder Vorstand und wollen, dass die Personalleitung einfach mal Personal ranschafft ohne „kompliziert“ zu sein? (Also, dass diese Sie bitte nicht zu sehr mit diesem Compliance-Tinnef nervt?) Nun, dann interessiert Sie als geschäftsführendes Organ vielleicht, dass die für die Datenverarbeitung Verantwortlichen (ja, das sind Sie als Geschäftsführer oder Vorstand) für Schäden haften, die durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurden. (Sic! Siehe dazu Artikel 82 DSGVO).

Nach dem ich nun ihr Interesse geweckt habe, wie immer, der Reihe nach:

Weiterlesen

Datenschutzbehörden bewerten Einsatz von Skype und zeitversetzten Video-Interviews in Personalauswahlverfahren grundsätzlich als unzulässig

Ja, Sie haben leider richtig gelesen. Doch bei allem Schrecken, ich verspreche Ihnen, am Ende des Tunnels ist noch Licht. Oder vielmehr leuchtet in diesem Artikel zuweilen (etwas mehr als) der Silberstreif am Horizont.

Nun aber von vorne und der Reihe nach:

Die Datenschutzbehörden NRW und die Datenschutzbehörde Berlin haben ihre sogenannten „Tätigkeitsberichte“ für 2016 veröffentlicht. In diesen Tätigkeitsberichten berichten die Behörden, nicht sehr überraschend, über ihre Tätigkeit im vergangenen Jahr. Etwa wie sie bestimmte Verhaltensweisen, Arbeitsprozesse oder eingesetzte Tools im öffentlichen Bereich (Behörden) oder nicht-öffentlichen Bereich (Unternehmen) geprüft und beurteilt haben.

In beiden Tätigkeitsberichten wird auch zum Thema Beschäftigtendatenschutz Stellung genommen, dabei unter anderem zu den Themen „Bewerbungsgespräche über Skype“ und „videobasierte zeitversetzte Interviews„. Darum soll es dann auch hier im Folgenden gehen. Weiterlesen

Der Datenschutzbeauftragte, insbesondere im Hinblick auf die EU-Datenschutzgrundverordnung (DSGVO) – Teil 8 zur EU-DSGVO

Mitautor: Christian Frerix

Viele Unternehmensverantwortliche wissen um die Pflicht zur Bestellung einer/s Datenschutzbeauftragten (DSB; die im Folgenden verwendete männliche Form gilt für Personen beiderlei Geschlechts gleichermaßen). Dennoch führt die „Spezies“ der Datenschutzbeauftragten in der unternehmerischen Wahrnehmung oftmals noch ein Schattendasein. Und ebenso so oft scheint es so zu sein, als habe derjenige den Hut des internen DSB auf, der schlicht den Kopf nicht schnell genug weggezogen hat. Ein Grund dafür mag darin liegen, dass die Beschäftigung mit diesem Thema häufig mehr Fragen aufwirft, als sie beantwortet. Brauche ich einen DSB? Was macht dieser überhaupt? Wer darf es überhaupt sein sein? Und ist dieser dann echt unkündbar? Und überhaupt, was muss denn noch alles beachtet werden?

Sollten auch Sie zu denjenigen gehören, die sich Tag und Nacht  (okay, okay, hin und wieder, eben wenn Sie denken „Da war doch noch was….?“) mit diesen Fragen beschäftigen, dann sollten Sie mit den folgenden Zeilen Ihre Antworten finden.

Und auch wenn Sie bereits einen DSB beschäftigen oder selbst einer sind,  lohnt sich das Weiterlesen. Als datenverarbeitende Stelle kommen Sie nämlich gerade in Zeiten der Anpassung interner Betriebsabläufe an die Vorgaben der EU-Datenschutzgrundverordnung (DSGVO) bis 2018 nicht um dieses Thema herum. Weiterlesen

Kündigung wegen Beleidigung von Vorgesetzten mittels Emoticons – Das Urteil des LAG Baden-Württemberg (Az. 4 Sa 5/16)

Mitautor: Christian Frerix*

Seit einiger Zeit gehören unternehmensschädigende Äußerungen von Mitarbeitern via soziale Netzwerke in gewisser Weise zum Alltag. Das zeigen Gerichtsentscheidungen, mit denen wir uns auch hier Blog bereits beschäftigt haben, sowie die Mandatsanfragen, die uns zu diesem Themenkomplex erreichen. Die hier nun nachgehend sezierte Entscheidung des LAG Baden-Württemberg vom 22.6.2016 – Az. 4 Sa 5/16 reiht sich dabei in die vornehmlich im letzten Jahr durch die Arbeitsgerichte Herne und Mannheim geprägte Gerichtspraxis zum Ausspruch von Kündigungen auf Grund von Arbeitnehmer-Postings ein.

[Konkret haben wir die Entscheidungen ArbG Herne, Urteil vom 22.3.2016 – Az. 5 Ca 2806/15 und ArbG Mannheim, Urteil vom 19.2.2016 – Az. 6 Ca 190/15 unter den vorstehenden Links im Blog besprochen].

In wie weit nun die Beleidigung von Vorgesetzten in sozialen Netzwerken zu wirksamen Kündigungen führen (können) und welche Rolle Schweine-, Bären- oder Affenköpfe dabei spielen, erfahren Sie im Folgenden.

Weiterlesen

Google Play verlangt jetzt Datenschutzerklärung für Apps bis zum 15.03! (was nach dem Gesetz und den bestehenden Entwicklerrichtlinien an sich keine neue Anforderung ist)

Nach einer Meldung vom gestrigen Tage (09.02.) (u.a. bei Heise, GoogleWatchBlog, ZDNet) verlangt Google Play nun, dass in den Store eingestellte Apps eine Datenschutzerklärung enthalten – und droht mit dem Entfernen der Apps aus dem Store, wenn nicht bis zum 15. März (!) Datenschutzrichtlinien vorliegen. Mhm, dachte ich, okay, der 15.03., das ist mal ein knackiger Zeithorizont für die App-Betreiber und wird bei dem einen oder anderen für Schweiß auf der Stirn sorgen. Aber sonst? Eigentlich ist das alles doch nichts Neues?

Nun aber von vorne und der Reihe nach: Wie ist die Rechtslage, was will Google und was müssen Sie als App-Betreiber tun?

Weiterlesen

Die Datenschutzgrundverordnung macht IT-Richtlinien Feuer unter dem Hintern! (Teil 7) – Oder: Was die DSGVO mit IT-Richtlinien, Arbeitsrecht und Compliance zu tun hat und warum das jetzt für Unternehmen wichtig ist

In diesem Blog haben wir uns in jüngerer Zeit schon viel mit der DSGVO und der Frage, worauf sich Unternehmen jetzt im Hinblick auf Mai 2018 einstellen müssen, befasst. Daneben ist natürlich das Datenschutzrecht in verschiedensten Konstellationen immer wieder Gegenstand unserer Beiträge. Mindestens genaus so häufig sind Social Media bzw. IT-Richtlinien in diesem Blog ein Thema. Von dort ist es dann natürlich nicht weit zu all den arbeitsrechtlichen Aspekten, die sich aus der Nutzung digitaler Arbeitsprozesse ergeben.

Symbolbild für: Orr. Diese DSGVO!

Wer sich nun die Mühe gemacht und vielleicht auf die vorstehenden Links geklickt hat, wird erkennen, dass in den verschiedenen Blogkategorien (EU-DSGVO, Datenschutzrecht, Social Media Guidelines, Arbeitsrecht) durchaus dieselben Artikel auftauchen. Es gibt also Überschneidungen. Das ist zumindest in Teilen schon auf praktischer Ebene logisch. Schließlich drängt es sich auf, dass (verbindliche) IT-Richtlinien einen Einfluss auf das Arbeitsverhältnis haben. Und wenn wir die IT-Sicherheit als die Kehrseite der Medaille zum Datenschutz begreifen, wird auch deutlich, dass es hier eine Verbindung geben muss. Und Compliance… tja, Compliance könnte ich auf jeden meiner Blogposts als Kategorie kleben – schließlich geht es bei dem Thema „Compliance“ um nichts anderes als die Einhaltung von Regeln. An sich eine Selbstverständlichkeit. Aber so ganz eben doch nicht – wie die zunehmende Anzahl an Compliance-Officers und Compliance-Abteilungen in den Unternehmen anzeigt.

Heute will ich einmal erläutern, was schon immer irgendwie an der einen oder anderen Stelle in meinen Artikeln durchschimmerte, ich aber doch noch nicht so klar erklärt habe: Nämlich, dass es zwischen den genannten Bereichen, also vom Datenschutzrecht über die IT-Richtlinien und Compliance bis hin zum Arbeitsrecht nicht nur eine ideelle, sondern auch eine juristische Klammer gibt. Diese juristische Klammer nennt sich „technisch und organisatorische Maßnahmen“, kurz TOM und ist schon lange im Bundesdatenschutzgesetz verankert. Doch wie so vieles, was dort steht und bereits „State of the Art“ im Unternehmen sein sollte, bekommt auch diese Vorschrift und alles, was damit zu tun hat, mit der EU-Datenschutzgrundverordnung „Feuer unter dem Hintern“ – um es mal ganz nonchalant auszudrücken.

Weiterlesen

Wie läuft das jetzt mit dem Datenschutz ab 2018 in Deutschland? – Oder: DSAnpUG-EU (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU)

Das neue Jahr ist da. Hurra! Und wir wenden uns trotzdem gleich wieder einem alten Bekannten zu: dem Datenschutz. Schließlich schreiben wir jetzt 2017 und damit ist es auch auf dem Kalenderblatt nicht mehr weit bis zu 2018. Der geneigte Leser des Blogs weiß, worauf ich hinaus möchte. Ab Mai 2018 wird der Datenschutz in Deutschland und Europa durch die EU-Datenschutzgrundverordnung (DSGVO) geregelt. Mit den Änderungen, die damit und insbesondere für Unternehmen einhergehen, haben wir uns hier schon eingehend mit unserer – inzwischen sechsteiligen! – Blog-Serie zur DSGVO befasst. (Wenn Sie noch nichts von einer ominösen Datenschutzgrundverordnung gehört haben sollten, aber in Ihrem Unternehmen Verantwortung tragen, dann kann ich Ihnen nur dringend raten einmal einen Blick in die Blog-Serie zuwerfen).

Sinn und Zweck oder Idee der DSGVO ist bekanntermaßen eine europaweite, einheitliche und verbindliche Regelung des Datenschutzes zu schaffen, um den momentan bestehenden „datenschutzrechtlichen Flickenteppich“ eben dort zu beseitigen. Das ist gut.

Doch gemeinhin ist nichts so einfach, wie es auf den ersten Blick scheint. Und so dürfen wir uns hier im Zusammenhang mit der DSGVO – als wäre das nicht alles kompliziert genug –  mit dem nationalen Entwurf des Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 beschäftigen. Dieses Gesetz wird auch Datenschutz-Anpassungs- und -Umsetzungsgesetz EU oder DSAnpUG-EU genannt. Ich gestehe, auch mit den Abkürzungen wird es nicht besser, es bleibt ein Wortungeheuer. Doch es nützt nichts, wer DSGVO sagt, der wird auch DSAnpUG-EU sagen müssen. Was es aber mit diesem Entwurf „Datenschutz-Anpassungsgesetz“ auf sich hat und warum es sich auch für Unternehmen lohnt, diese zugegebenermaßen erst ganz am Anfang stehende Gesetzesentwicklung schon jetzt zu verfolgen, zeigen wir nachfolgend auf. Damit Sie aber nach dieser trockenen Einleitung überhaupt einen Grund haben, weiterzulesen, (Ha! Erwischt! Sie wollten gerade wegklicken!), spoiler ich hier ein wenig und verrate Ihnen, dass es um eine neuen Entwurf eines nationalen Bundesdatenschutzgesetz (Hä? Sollte das nicht gerade durch die DSGVO abgelöst werden? – Ja, das erkläre ich Ihnen gleich!) und unter anderem um diese Themen gehen wird:

  • Grundsatz der Zweckbindung, Verarbeitung über die Zweckbindung hinaus, Verarbeitung von allgemein zugänglichen Daten
  • Beschäftigendatenschutz
  • Videoüberwachungen
  • Big Data, Scoring und Verbraucherkredite
  • Die automatisierte Entscheidung im Einzelfall
  • Informationsrechte und Pflichten (Datenschutzerklärungen…)
  • Bestellung eines Datenschutzbeauftragten
  • Besondere personenbezogene Daten (sensible Daten zur Gesundheit, Sexualität oder Gewerkschaftszugehörigkeit).

Weiterlesen