Datenschutzrecht

„personenbezogene Daten“ [sind] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind […]“

Jeder Verantwortliche, der personenbezogene Daten verarbeitet, unterliegt grundsätzlich einer Dokumentationspflicht seiner Verarbeitungsvorgänge. Problematisch ist hierbei, dass die DSGVO keine konkreten Umsetzungsanweisungen für Unternehmen vorsieht. Aus unserer jahrelangen Projekterfahrung wissen wir sehr exakt, welcher Inhalt für das Verarbeitungsverzeichnis gefordert wird und wie dies praktisch umzusetzen ist. Daraus erarbeiten wir mit Ihnen zusammen die erforderlichen technischen und organisatorischen Maßnahmen („TOMs“).

Die DSGVO hat hinsichtlich der Dokumentationspflichten des Datenschutzes für betroffene Unternehmen weitgehende Anforderungen festgelegt. Wir erstellen und prüfen für Ihr Unternehmen das in Art. 30 DSGVO geforderte Verzeichnis von Verarbeitungstätigkeiten.

Dabei ist es nicht mit der einmaligen Erstellung von Leitdokumenten getan. Die Sorgfaltspflicht gebietet, sich regelmäßig mit den hauseigenen Prozessen auseinanderzusetzen, die Mitarbeiter regelmäßig zu schulen und für eine aktuelle Dokumentation der jeweiligen Prozesse Sorge zu tragen. Das setzt ein hohes Maß an Akzeptanz im Management voraus. Datenschutz ist aufwendig und bei Zeiten kleinteilig.

Die Awareness der eigenen Mitarbeiter ist dabei der Schlüssel zum dauerhaften Erfolg eines Datenschutzkonzeptes. Die Mitarbeiter selbst kennen die Prozesse und mögliche Schwachstellen im täglichen Umgang mit personenbezogenen Daten. Unter fachkundiger Anleitung kann dadurch eine tragfähige Analyse der internen Prozesse erstellt werden.

Diese Analyse erstellen wir für Sie oder wir unterstützen Ihre Mitarbeiterinnen und Mitarbeiter in der täglichen Routine mit den Anforderungen an ein DSGVO-konformes Verarbeitungsverzeichnis.

Gemäß § 9 BDSG sind alle Stellen, welche personenbezogene Daten verarbeiten, erheben oder nutzen, verpflichtet, technische und/oder organisatorische Maßnahmen (kurz: TOMs) zu treffen. Ziel ist die Umsetzung der Sicherheitsanforderungen des Bundesdatenschutzgesetzes. Dabei wird zwischen technischen und organisatorischen Maßnahmen unterschieden.  

Technische Maßnahmen sind eher tatsächlicher Natur, wie beispielsweise die bauliche Anlagensicherung durch Zäune oder Alarmanlagen.

Organisatorische Maßnahmen werden weitestgehend durch Arbeitsanweisungen und Verfahrensregeln abgedeckt. Eine Bearbeitung im 4-Augen-Prinzip stellt eine organisatorische Maßnahme dar.

Wenn Sie Daten von einem Dritten verarbeiten lassen (z.B. externer IT-Dienstleister, (reine) Lohnbuchhaltung), ist der Dritte für Sie im Rahmen einer Auftragsdatenverarbeitung (ADV) tätig. Dieses Vertragsverhältnis beinhaltet eine spezielle Struktur von Rechten und Pflichten der Vertragsparteien.

Gemäß Art. 28 Abs. 3 Satz 1 der DSGVO müssen Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sein.

Es ist in den meisten Fällen jedoch geboten, diese Mindestfestlegungen durch weitere Vertragsbestandteile zu ergänzen.

Gemäß Art. 26 Abs. 1 S. 1 DSGVO handelt es sich um eine gemeinsame Verarbeitung von Daten, wenn zwei oder mehrere Verantwortliche die Zwecke und Mittel der Verarbeitung in einem gemeinsamen Entscheidungsprozess festlegen. Die Verantwortlichen müssen zur Entscheidung oder Festlegung der Zwecke und Mittel der Verarbeitung bestimmte Voraussetzungen erfüllen. Hierzu müssen sie einen tatsächlichen Einfluss auf die Datenverarbeitung nehmen können. Joint Controller liegen also vor, wenn mindestens zwei Personen eine Entscheidung über das „erwartete Ergebnis” treffen und wenn sie außerdem festlegen, mit welcher Art und Weise der Zweck erreicht werden soll. 

Eine weitere Voraussetzung für die gemeinsame Verantwortlichkeit ist die bewusste Beteiligung mehrerer Verantwortlicher. Die Verantwortlichen müssen sich insbesondere darüber bewusst sein, wie und warum die Daten verarbeitet werden und sich aktiv zusammen beteiligen wollen. Eine unbeabsichtigte Zusammenarbeit reicht dementsprechend nicht für eine gemeinsame Verantwortlichkeit aus. Allerdings müssen nicht alle Beteiligten der betroffenen Person gegenübertreten oder eine gleichwertige Verantwortung tragen. Die Handlungsspielräume können und dürfen bei den Verantwortlichen also variieren. 

Sollte bereits eine der genannten Voraussetzungen nicht einschlägig sein, könnte es sich um eine Auftragsverarbeitung handeln. Wenn Sie unsicher bei der Einordung Ihrer Prozesse sind, wenden Sie sich an unsere Kanzlei. Wir erarbeiten die richtige Lösung zusammen mit Ihnen.

Aufgrund der aktuellen Entwicklung der Corona-Pandemie rückt das Arbeiten im Home-Office immer mehr in den Fokus von Arbeitgebern, Arbeitnehmern und Aufsichtsbehörden.

Zu Beginn der Pandemie im März 2020 war die überwiegende Zahl vor allem individueller Home-Office Konzepte noch spontan und es ging zunächst um das Aufrechterhalten des Betriebes. Die datenschutzrechtlichen Risiken traten dahinter zurück. Mit zunehmender Dauer und vor allem der Menge an Nutzern im Home-Office ist es sinnvoll, die datenschutzrechtliche Seite für Arbeitgeber und Arbeitnehmer gemeinsam und sicher zu klären.

Auch wenn der Arbeitnehmer oder die Arbeitnehmerin zu Hause arbeitet, bleibt der Arbeitgeber verantwortliche Stelle im Sinne des Art. 4 Nr. 7 DSGVO. Der Arbeitgeber hat also nach Art. 25 Abs. 2 DSGVO für die geeigneten Maßnahmen des Datenschutzes Sorge zu tragen. Das umfasst sowohl die technischen als auch die organisatorischen Maßnahmen.

Allgemeine Schutzmaßnahmen

Daher sollten die Datenschutzmaßnahmen mit den jeweils Verantwortlichen klar definiert werden. Zugangskontrolle, Datensicherung, Verwendung externer Speichermedien wie USB-Sticks sind einige Beispiele, die Bestandteil des Maßnahmenkataloges sein sollten.

Sind Sie unsicher, ob Ihre Maßnahmen ausreichen, beraten wir Sie gerne bei der Erstellung und Umsetzung Ihres individuellen Maßnahmenkatalogs.

Arbeitsvertragliche Regelungen

Aufgrund der besonderen Anforderungen kann man davon ausgehen, dass Standard-Arbeitsverträge mit den üblichen Klauseln zum Datenschutz nicht geeignet sind, für beide Seiten eine sichere Regelung zu gewährleisten. Regelungen zu Zugangskontrolle, Aufbewahrung von Datenträgern und vor allem dem Zugriff Dritter auf Computer und Netzwerke sind absolut erforderlich. Die Einrichtung von VPN-Verbindungen und Verschlüsselungen ist nicht nur technisch sinnvoll, sondern in den meisten Fällen für die Datensicherheit auch erforderlich.

Besonders sensible Daten

Wenn durch die Arbeit im Home-Office auf besonders sensible Daten zugegriffen werden muss, ist besondere Vorsicht und Sorgfalt geboten. Personaldaten und zum Beispiel biometrische Daten von Personen oder Gesundheitsdaten sind besonders sensibel. Daher muss eine intensive Abwägung erfolgen, ob ein Zugriff im Home-Office unbedingt erfolgen muss. Ist dies nicht zu vermeiden, gilt es besondere Sicherheitsvorkehrungen technischer und organisatorischer Art zu treffen. Verschlüsselung und Schutz vor Zugriffen Dritter sind in dem Bereich sehr genau zu definieren und vor allem auch zu dokumentieren.

Remote Zugriff und Sicherung von Daten bei Einbruch, Diebstahl oder Verlust

Wer im Home-Office arbeitet, wird seine Wohnung sicherheitstechnisch nicht immer darauf vorbereitet haben, dass auf einmal teure Hardware oder sensible Daten zu Hause vorhanden sind. Die Folgen von Datendiebstahl oder Abhandenkommen der kompletten Hardware müssen ebenso berücksichtigt werden wie ein Datenverlust durch die Zerstörung von einzelnen Datenträgern. Wenn Datenträger oder ganze Computer abhandenkommen, muss sichergestellt sein, dass trotzdem kein Dritter auf die Daten zugreifen kann. Die Verwendung von biometrischen Zugangskontrollen und technisch schwer zu knackenden Passwörtern sollten zum Standard gehören.

Zur Sicherung der Daten kann durch den Arbeitgeber per Remote-Zugriff regelmäßig  eine Datensicherung erfolgen. So sind die gesicherten Daten auf den Systemen des Arbeitgebers für andere Kolleginnen und Kollegen verfügbar.

Dokumentation der getroffenen Maßnahmen

Alle getroffenen Maßnahmen sollten für die Beteiligten sorgfältig dokumentiert werden. Bei aufsichtsbehördlichen Ermittlungen ist dann der Nachweis vorhanden, sämtliche datenschutzrechtliche Anforderungen bei der Einrichtung des konkreten Home-Office Arbeitsplatzes umgesetzt zu haben.

Sind Sie unsicher, ob Ihre Dokumentationen ausreichend sind, beraten wir Sie gerne bei der Erstellung der individuellen Dokumentationen.