Unternehmen haften bei Missbrauch personenbezogener Daten

Anbieter zum Thema

Bürklin GmbH & Co. KG

CSA Group Bayern GmbH

MES Electronic Connect GmbH & Co. KG

Der richtige Umgang mit Arbeitnehmerdaten

Eine zunehmende Bedeutung in den Unternehmen spielt die wirksame Kriminalitätsbekämpfung. Es liegt im Interesse jedes Betriebes, etwa Korruption, Veruntreuung oder Diebstahl zu verhindern. Zu diesem Zweck ist eine angemessene und verhältnismäßige Kontrolle unternehmensinterner Kommunikationsmittel unerlässlich. Doch auch hier gibt es Grenzen.

So ist die Erhebung, Verarbeitung und Nutzung von Arbeitnehmerdaten zur Aufdeckung von Straftaten datenschutzrechtlich nur zulässig, wenn es bereits tatsächliche Anhaltspunkte gibt, dass eine Straftat begangen wurde. Zudem muss das Vorgehen zur Aufdeckung der Straftat erforderlich sein, die schutzwürdigen Interessen des Beschäftigten dürfen nicht überwiegen und die Maßnahmen müssen nach Art und Ausmaß verhältnismäßig sein.

Tipp der DHPG: Unternehmen sollten Arbeitsverträge vorsorglich hinsichtlich der dort getroffenen Vereinbarungen bezüglich der Verarbeitung und Nutzung von Arbeitnehmerdaten überprüfen und gegebenenfalls anpassen. Über Monitoring-Maßnahmen – also gezielte Kontrollen des Unternehmens zur Verhinderung und Aufdeckung von Straftaten – sind ggf. Betriebsvereinbarungen abzuschließen bzw. die Zustimmung des Betriebsrates einzuholen.

Besonderheiten bei Auftragsdatenverarbeitung

Erhöhte Vorsicht ist in Unternehmen gefragt, die mit Dritten Verträge zur Auftragsdatenverarbeitung abschließen. Die gesetzlichen Rahmenbedingungen sind für Auftraggeber und Auftragnehmer relevant. Betroffen sind daher nicht nur Outsourcing-Dienstleister und Unternehmen der IT-Branche. Auch Firmen, die Teile ihrer Daten extern verwalten oder verarbeiten lassen, sollten sich unbedingt mit den Regeln befassen.

Hierzu zählen etwa Unternehmen, die ihre Kundenbetreuung auf ein externes Call-Center auslagern oder ein Entsorgungsunternehmen für die Vernichtung von Geschäftsakten beauftragen. So schreibt das BDSG wesentliche Inhalte vor, die in Verträgen zur Auftragsdatenverarbeitung zu regeln sind. Hierzu zählen nicht nur Gegenstand und Dauer des Auftrags, sondern auch die Berichtigung, Löschung und Sperrung von Daten sowie die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags.

Datenschutz als technisch-organisatorisch Herausforderung

Unternehmen müssen organisatorische Vorkehrungen treffen, um den besonderen Anforderungen des Datenschutzes gerecht zu werden. Im Kern geht es darum, den Zugang zu den Daten zu kontrollieren. Alle Maßnahmen sollten transparent und verständlich sein.

Schon einfache Schutzvorkehrungen können eine große Wirkung haben. Nur befugte Mitarbeiter sollten Zutritt zu Büros haben, in denen Daten aufbewahrt und verarbeitet werden. Zunächst geht es um physische Schutzmaßnahmen. Unternehmen sollten dafür sorgen, dass die Räume abschließbar sind. Zudem ist dafür Sorge zu tragen, dass Datenverarbeitungssysteme nicht von Unbefugten genutzt werden können. Konkret heißt das, dass etwa hierfür genutzte Rechner mit Passwörtern abgesichert werden und diese Zugangscodes sicher aufbewahrt werden.

Unternehmen müssen außerdem darauf achten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die für sie bestimmten Daten zugreifen können. Es ist sicherzustellen, dass Personendaten bei der elektronischen Übertragung, während ihres Transports oder ihrer Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Unternehmen müssen die Weitergabe von Daten kontrollieren und nachvollziehbar machen, an welche Stellen personenbezogene Daten übermittelt werden. Damit nicht genug: Wenn personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind, muss erkennbar sein, wer dies wann veranlasst hat. Bei dieser so genannten Eingabekontrolle geht es um die Nachvollziehbarkeit von Datenzugriffen und Änderungen.

Bei der Auftragsdatenverarbeitung sind weitere Punkte zu beachten. Es ist sicherzustellen, dass personenbezogene Daten nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. Die so genannte Verfügbarkeitskontrolle soll dafür sorgen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Konkret bedeutet dies, Maßnahmen zur Datensicherung, zum Virenschutz oder für Notfälle zu ergreifen. Zu unterschiedlichen Zwecken erhobene Daten müssen getrennt verarbeitet werden können.

Die Rolle des Datenschutzbeauftragten

Das BDSG schreibt auch vor, wann Unternehmen einen Datenschutzbeauftragten (DSB) bestellen müssen. Grundsätzlich ist dieser einen Monat nach Aufnahme der Tätigkeit zu bestellen. Ein DSB ist ab einer dauernden Beschäftigung von mehr als neun Personen bei der automatisierten Verarbeitung von personenbezogenen Daten verpflichtend, bei der nicht automatisierten Verarbeitung der entsprechenden Daten ab einer mit der Verarbeitung beschäftigten Personenzahl von 20. Kleinere Unternehmen sind somit nicht verpflichtet, eine Person als DSB einzusetzen. Das entbindet sie jedoch nicht vom Datenschutz. Bei kleineren Betrieben ist der Unternehmer selbst in der Pflicht, die gesetzlichen Vorschriften zu beachten und einzuhalten.

Der DSB kann sowohl extern beauftragt werden, als auch aus dem Unternehmen selber stammen (betrieblicher Datenschutzbeauftragter). Voraussetzung ist, dass die Person über das notwendige Fachwissen und Zuverlässigkeit verfügt und in keinem Interessenkonflikt zu der Tätigkeit steht. Insbesondere muss der DSB das Datenschutzrecht sowie die Grundzüge der automatisierten Datenverarbeitung kennen. Eine Fachausbildung ist vom Gesetzgeber nicht vorgeschrieben, deshalb können nicht nur IT-Mitarbeiter zum DSB ernannt werden. Zu beachten ist bei intern bestellten DSB, dass kein Interessenkonflikt mit den anderen Aufgaben im Unternehmen entstehen darf. Deshalb kann etwa ein Geschäftsführer die Aufgabe nicht selbst übernehmen, da er sich ansonsten selbst kontrollieren müsste. Ähnliches gilt für Leiter der EDV, der Personalabteilung oder den Vertriebsleiter. Hat die Geschäftsleitung einen DSB gefunden, so muss dieser mit einem schriftlichen Bestellungsschreiben ernannt werden.

Wesentliche Aufgaben eines Datenschutzbeauftragten

Die wesentliche Aufgabe des DSB besteht darin, dass das BDSG und andere relevante Datenschutzvorschriften beachtet werden. Er hat insbesondere sicherzustellen, dass die für die Verwaltung personenbezogener Daten genutzten Datenverarbeitungsprogramme ordnungsgemäß angewendet werden. Ferner zählt es zu seinen gesetzlichen Pflichten, die mit der Verarbeitung persönlicher Daten befassten Personen im Unternehmen mit den gesetzlichen Datenschutzvorschriften vertraut zu machen.

*Markus Feinendegen ist Rechtsanwalt der Kanzlei DHPG, Bonn

(ID:34030980)