Der Schutz personenbezogener Daten ist ein Grundrecht und muss daher auch im Unternehmen angewendet werden. Tatsächlich ist das Verhältnis zwischen DSGVO (oder GDPR auf Englisch) und Mitarbeitenden so streng, dass Verstöße je nach Schwere mit Bußgeldern von 40.000 bis zu 20 Millionen Euro geahndet werden können.
Bei Kuorum schützen wir täglich die personenbezogenen Daten der Mitarbeitenden all unserer Kunden, weshalb wir diese Vorschriften und ihre Bedeutung sehr gut kennen. Um dir bei der Einhaltung zu helfen, stellen wir dir nicht nur die wichtigsten Aspekte der Gesetzgebung vor, sondern geben auch Tipps, wie du sie in deinem Unternehmen umsetzen kannst. Wir hoffen, dass es für dich nützlich ist.
Schlüsselprinzipien der DSGVO für den Datenschutz am Arbeitsplatz
Um die Bestimmungen der DSGVO zum Schutz personenbezogener Daten von Mitarbeitenden umzusetzen, musst du genau wissen, welche Daten du erheben darfst, warum und wie du damit umgehen wirst.
Diese drei Schlüsselpunkte helfen dir zu verstehen, welche Daten du erheben darfst und wie du die personenbezogenen Daten deiner Mitarbeitenden, Bewerber:innen und ehemaliger Mitarbeitender schützen kannst.
Deshalb musst du genau wissen:
Welche Informationen gelten als personenbezogene Daten von Mitarbeitenden?
Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Welche personenbezogenen Daten von Mitarbeitenden darf ein Unternehmen erheben?
Ein Unternehmen darf bestimmte personenbezogene Daten seiner Mitarbeitenden erheben, andere hingegen nicht - abhängig vom Zweck der Datenerhebung. Das heißt, ob diese Informationen für den Auswahlprozess, den Arbeitsvertrag, die Einhaltung arbeitsrechtlicher Vorschriften, eines Tarifvertrags oder für Gewerkschaftswahlen erforderlich sind.
Beispielsweise darf ein Unternehmen bei der Erhebung personenbezogener Daten für den Arbeitsvertrag - da dieser die rechtliche Grundlage dafür darstellt - Informationen wie die folgenden anfordern:
1. Vollständiger Name
2. Geburtsdatum und Staatsangehörigkeit
3. Ausweisnummer (DNI, NIE) oder Sozialversicherungsnummer
4. Bestätigte Behinderung
5. Bankkonto, falls Überweisungen erfolgen
6. Arbeitszeiterfassung, zur Einhaltung der entsprechenden gesetzlichen Vorgaben
Obwohl all dies personenbezogene Daten deiner Mitarbeitenden sind, gibt es besondere Kategorien wie ethnische oder rassische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit oder sexuelle Orientierung. Da es sich um Daten aus besonderen (sensiblen) Kategorien handelt, darfst du sie nur erheben, wenn eine der Ausnahmen der DSGVO zutrifft.
Wie kann ein Unternehmen den Schutz der personenbezogenen Daten seiner Mitarbeitenden gewährleisten?
Eine der wichtigsten Pflichten eines Unternehmens beim Schutz personenbezogener Daten der Mitarbeitenden gemäß DSGVO besteht darin, diese sicher und vertraulich zu verwahren und die Dokumente, in denen diese Daten enthalten sind - zum Beispiel Lebensläufe - aufzubewahren.
Tatsächlich stellt der Verlust dieser Informationen einen Verstoß gegen die DSGVO dar. Häufige Fehler sind zum Beispiel, Dokumente mit personenbezogenen Daten wegzuwerfen, ohne sie ordnungsgemäß zu vernichten, oder digitale Kopien in vergessenen Ordnern zu speichern.
Darüber hinaus ist das Unternehmen verpflichtet, die Mitarbeitenden über die Verarbeitung ihrer Daten zu informieren. Diese Mitteilung muss in einfacher und verständlicher Sprache verfasst und leicht zugänglich sein. Sie enthält Informationen wie:
- Zu erhebende Daten
- Verantwortliche Stelle für die Datenverarbeitung
- Rechtsgrundlage und Zweck der Datenverarbeitung
- Aufbewahrungsdauer
- Datenweitergabe an Dritte
- Möglichkeiten zur Ausübung der Rechte zur Verwaltung der Daten
Daher gehört die Schulung der Mitarbeitenden im Umgang mit personenbezogenen Daten ebenfalls zu den Pflichten des Unternehmens, um diese korrekt zu erfüllen. Dabei sollte auch die Notwendigkeit eines Datenschutzbeauftragten bewertet werden - pflichtig nur für bestimmte Unternehmen. Unternehmen wie Pridatec unterstützen andere Firmen dabei, die Einhaltung des Datenschutzgesetzes einfach zu prüfen und zu verwalten.
Welche Rechte gewährt die DSGVO den Mitarbeitenden?
Laut DSGVO haben Mitarbeitende das Recht, jederzeit zu wissen, welche Daten verarbeitet werden, mit wem das Unternehmen sie teilt, welche Rechte sie haben und wie sie diese ausüben können. Sie können sogar eine Kopie der Daten anfordern, die das Unternehmen über sie gespeichert hat.
Es gibt heute viele Programme, die diese Daten sicher speichern und den Mitarbeitenden den Zugriff über einen geschützten Zugangsschlüssel ermöglichen. So können sie einfach Änderungen an fehlerhaften oder unvollständigen Informationen anfordern – oder diese in einigen Fällen sogar selbst vornehmen.
Ein weiteres Recht der Arbeitnehmer besteht darin, vom Unternehmen die Löschung oder Einschränkung ihrer personenbezogenen Daten zu verlangen, sofern sie der Ansicht sind, dass:
- Die Daten sind nicht mehr erforderlich, unter Berücksichtigung des Zwecks, zu dem das Unternehmen sie erhoben hat.
- Wenn die Einwilligung die einzige rechtmäßige Grundlage für die Erhebung war und diese widerrufen werden soll.
- Wenn sie der Ansicht sind, dass die Anfrage nach diesen Informationen unrechtmäßig, für die Vertragserfüllung nicht erforderlich ist oder gesetzlich gelöscht werden muss.
In solchen Fällen muss das Unternehmen die Daten für 3 bis 4 Jahre sperren. Das bedeutet, dass niemand darauf zugreifen oder sie bearbeiten darf, außer den Justizbehörden, weshalb sie nicht gelöscht werden können.
Wer darf die Daten der Arbeitnehmer gemäß DSGVO verarbeiten?
Neben dem Datenschutzbeauftragten dürfen auch die Gewerkschaftsvertreter personenbezogene Daten der Mitarbeitenden ohne deren Einwilligung verarbeiten, gemäß der DSGVO. Dabei muss es sich jedoch stets um die streng notwendigen Informationen handeln, um ihre Vertretungsaufgaben auszuüben, wie zum Beispiel Wahlen der Gewerkschaft durchführen.
Denke daran, dass in diesem Fall auch die Personen, die gewerkschaftliche Aufgaben wahrnehmen, besonders darauf achten müssen, die Daten der Mitarbeitenden zu schützen. Daher greifen immer mehr Unternehmen auf Online-Abstimmungssoftware wie Kuorum, zurück, um eine sicherere und vertraulichere Datenverarbeitung in jedem Abstimmungsprozess zu gewährleisten, sei es bei Gewerkschaftswahlen oder einer Abstimmung über Tarifverträge.
Wir hoffen, dass wir dir geholfen haben, die Beziehung zwischen DSGVO und Arbeitnehmern besser zu verstehen und wie ihre personenbezogenen Daten geschützt werden können. Wenn du mehr Informationen über unsere Online-Abstimmungsplattform benötigst, kontaktiere uns oder fordere eine Demo an.
