Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Kategorie: Beschäftigtendatenschutz

  • Arbeitszeiterfassung und Datenschutz: Was Arbeitgeber beachten müssen

    Das Bundesarbeitsgericht hat mit Beschluss vom 13. September 2022 (1 ABR 22/21) entschieden, dass Arbeitgeber nach dem Arbeitsschutzgesetz verpflichtet sind, ein System zur Erfassung der Arbeitszeiten ihrer Beschäftigten einzuführen. Seitdem setzen viele Unternehmen digitale Zeiterfassung ein – per Terminal, Browser oder App. Damit stellt sich die Frage, welche Daten erhoben werden dürfen und wo die Grenzen liegen.

    Rechtsgrundlage: Erfüllung einer rechtlichen Pflicht

    Soweit die Arbeitszeit erfasst wird, um die arbeitsschutzrechtliche Pflicht zu erfüllen, ist die Verarbeitung durch Art. 6 Abs. 1 lit. c DSGVO bzw. § 26 BDSG gedeckt. Eine Einwilligung der Beschäftigten ist dafür nicht erforderlich. Erfasst werden müssen nach der Rechtsprechung Beginn und Ende der täglichen Arbeitszeit einschließlich Überstunden. Wie genau die Zeiterfassung zu erfolgen hat, ist gesetzlich bislang nicht im Detail geregelt; Arbeitgeber haben einen Gestaltungsspielraum.

    Was über die Pflicht hinausgeht

    Moderne Zeiterfassungssysteme können weit mehr als Kommen und Gehen dokumentieren: Standort beim Einstempeln, Projektzeiten, Pausen, Aktivitätsprotokolle am Rechner. Für jede zusätzliche Funktion ist gesondert zu prüfen, ob sie erforderlich und verhältnismäßig ist.

    • Eine GPS-Erfassung beim Einstempeln ist nur zulässig, wenn ein konkreter Grund besteht, etwa der Nachweis von Einsatzorten im Außendienst, und dann nur punktuell, nicht dauerhaft. Vertiefend: GPS-Ortung von Dienstfahrzeugen.
    • Biometrische Daten wie Fingerabdruck oder Gesichtsbild sind besondere Kategorien nach Art. 9 DSGVO. Für eine bloße Zeiterfassung ist ihr Einsatz in aller Regel nicht erforderlich, weil Chipkarten oder PIN genügen.
    • Eine lückenlose Leistungsüberwachung durch Aktivitäts- und Bildschirmprotokolle lässt sich mit der Zeiterfassungspflicht nicht begründen.

    Zugriff, Speicherdauer, Auswertung

    • Zugriff erhalten nur Personalabteilung, Lohnbuchhaltung und direkte Vorgesetzte, und zwar im erforderlichen Umfang.
    • Die Speicherdauer richtet sich nach den gesetzlichen Vorgaben und den Erfordernissen der Lohnabrechnung und gehört ins Löschkonzept.
    • Zeiterfassungsdaten dürfen nicht ohne Weiteres für andere Zwecke, etwa Leistungsrankings, genutzt werden.
    • Beschäftigte haben Anspruch auf Auskunft und Einsicht in ihre Zeitdaten.

    Betriebsrat und Dienstleister

    Zwar besteht kein Mitbestimmungsrecht über das „Ob“ der Zeiterfassung, wohl aber über die Ausgestaltung eines elektronischen Systems, das zur Leistungs- und Verhaltenskontrolle geeignet ist. Eine Betriebsvereinbarung schafft Klarheit für alle Seiten. Cloud-basierte Lösungen erfordern einen Auftragsverarbeitungsvertrag und eine sorgfältige Anbieterauswahl.

    Transparenz

    Informieren Sie die Beschäftigten vor Einführung des Systems, welche Daten erfasst werden, wer Zugriff hat und wie lange gespeichert wird. Das Informationsblatt zur Datenverarbeitung im Beschäftigungsverhältnis ist entsprechend zu ergänzen.

    Erfasst werden sollte, was das Arbeitszeitrecht verlangt, und nicht mehr; Standortdaten oder Biometrie brauchen eine eigene Rechtfertigung und sind meist verzichtbar. Bei Einführung eines Zeiterfassungssystems und bei der Betriebsvereinbarung stehen wir Ihnen zur Seite. Kontakt · Termin buchen

  • KI-Meeting-Assistenten: Transkription und Protokoll datenschutzkonform

    Ein Klick, und die KI schreibt das Meeting mit, erstellt ein Protokoll und eine Aufgabenliste: KI-Meeting-Assistenten sind in vielen Videokonferenzdiensten integriert oder als eigenständige Tools verfügbar. Sie sparen Zeit, verarbeiten aber Stimme, gesprochene Inhalte und oft auch Bilder aller Teilnehmenden. Datenschutzrechtlich ist das ein deutlich stärkerer Eingriff als eine klassische Videokonferenz.

    Was passiert technisch?

    Die Tools zeichnen den Ton (teilweise auch das Bild) auf, wandeln Sprache in Text um, ordnen Redebeiträge Personen zu und erstellen mithilfe von Sprachmodellen Zusammenfassungen. Je nach Anbieter werden die Daten in der Cloud verarbeitet, gespeichert und mitunter zur Verbesserung der Modelle verwendet. Teilweise treten die Assistenten als eigene „Teilnehmer“ einer Konferenz auf, die von einzelnen Nutzern eingeladen werden, auch ohne Wissen der übrigen Teilnehmenden.

    Rechtliche Anforderungen

    • Die Aufzeichnung und Transkription ist eine eigenständige Verarbeitung, die eine Rechtsgrundlage braucht. Berechtigte Interessen an effizienter Dokumentation können sie im Einzelfall tragen; bei externen Teilnehmenden und sensiblen Inhalten wird häufig eine Einwilligung erforderlich sein.
    • Das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes kann nach § 201 StGB strafbar sein. Alle Teilnehmenden müssen daher vorab wissen, dass aufgezeichnet wird, und sollten dem zustimmen.
    • Informiert wird vor Beginn, in der Einladung und zu Beginn des Meetings. Ab dem 2. August 2026 gelten zudem die Transparenzpflichten der KI-Verordnung, etwa für KI-generierte Inhalte.
    • Beim Anbieter sind Auftragsverarbeitungsvertrag, Serverstandort, Ausschluss der Nutzung für Training und Löschfristen zu prüfen. Hinweise in unserem Beitrag zu Videokonferenz-Tools.

    Besonderheiten im Beschäftigungsverhältnis

    Transkripte von Teambesprechungen lassen Rückschlüsse auf Leistung und Verhalten einzelner Beschäftigter zu, etwa über Redeanteile oder Formulierungen. Eine Auswertung zu Kontrollzwecken ist regelmäßig unzulässig. Der Betriebsrat ist bei der Einführung zu beteiligen, weil es sich um eine technische Einrichtung handelt, die zur Leistungs- und Verhaltenskontrolle geeignet ist. Eine Einwilligung von Beschäftigten ist nur wirksam, wenn sie wirklich freiwillig ist. Künftig können zudem die Hochrisiko-Regeln der KI-Verordnung für bestimmte KI-Anwendungen im Beschäftigungsbereich greifen; deren Geltungsbeginn soll nach den laufenden Plänen des EU-Gesetzgebers allerdings verschoben werden.

    Regeln für den Einsatz im Unternehmen

    1. Nur freigegebene Tools nutzen; private Assistenten, die sich selbst in Meetings einwählen, unterbinden.
    2. Aufzeichnung standardmäßig aus, Aktivierung nur nach Ankündigung.
    3. Keine Aufzeichnung bei Personal-, Gesundheits- oder vertraulichen Mandantengesprächen.
    4. Transkripte kurz speichern, Protokoll behalten, Audiodatei löschen.
    5. Ergebnisse prüfen, denn KI-Zusammenfassungen können Aussagen verfälschen.
    6. Die Regeln in die KI-Richtlinie aufnehmen und Beschäftigte schulen; siehe KI-Kompetenz nach Art. 4 AI Act.

    Niemand darf von einer Aufzeichnung überrascht werden: Wer vorab informiert, Zustimmung einholt und sensible Gespräche ausnimmt, hält die Risiken gering. Bei der Einführung von KI-Meeting-Tools und einer Betriebsvereinbarung dazu beraten wir Sie gern. Nehmen Sie Kontakt auf oder buchen Sie einen Termin.

  • Offboarding und Datenschutz: Checkliste beim Ausscheiden

    Wenn Beschäftigte das Unternehmen verlassen, stehen meist organisatorische Fragen im Vordergrund: Übergabe, Resturlaub, Arbeitszeugnis. Datenschutzrechtlich ist das Ausscheiden aber ebenso bedeutsam. Zugänge müssen gesperrt, Postfächer geregelt, Fotos entfernt und Daten nach Fristen gelöscht werden. Wer hier strukturiert vorgeht, verhindert Sicherheitslücken und Konflikte, etwa ein Auskunftsersuchen im Kündigungsstreit.

    1. Zugänge und Geräte

    • Benutzerkonten, VPN- und Cloud-Zugänge zum letzten Arbeitstag sperren,
    • Passwörter für gemeinsam genutzte Konten ändern,
    • Zwei-Faktor-Apps und Token zurückfordern bzw. deaktivieren,
    • Laptop, Smartphone, USB-Sticks und Schlüssel zurücknehmen und dokumentieren,
    • Daten auf zurückgegebenen Geräten sichern oder sicher löschen,
    • Zugriffe auf Kundenportale, Social-Media-Konten und Dienstleisterportale entziehen.

    2. Das E-Mail-Postfach

    Ob und wie der Arbeitgeber auf das Postfach zugreifen darf, hängt maßgeblich davon ab, ob die private Nutzung erlaubt war; Einzelheiten in unserem Beitrag „Private E-Mail-Nutzung am Arbeitsplatz“. Bewährt hat sich: eine Abwesenheitsnachricht mit neuem Ansprechpartner für eine Übergangszeit, Weiterleitung nur dienstlicher Nachrichten in Absprache, und anschließend Deaktivierung und Löschung des Postfachs nach einer festgelegten Frist. Geschäftsbriefe, die aufbewahrt werden müssen, sind vorab zu archivieren.

    3. Website, Social Media und Printmaterial

    Fotos, Namen und Kontaktdaten ausgeschiedener Beschäftigter sollten zeitnah von Team-Seiten, Signaturen, Broschüren und Social-Media-Kanälen entfernt werden. Wurde die Einwilligung in die Veröffentlichung widerrufen, ist das ohnehin Pflicht; siehe „Mitarbeiterfotos auf der Website“.

    4. Personalakte und Fristen

    Die Personalakte darf nach dem Ausscheiden nicht pauschal unbegrenzt aufbewahrt werden. Für die einzelnen Bestandteile gelten unterschiedliche Fristen. Zu beachten ist, dass der Gesetzgeber die Aufbewahrungsfrist für Buchungsbelege zum 1. Januar 2025 von zehn auf acht Jahre verkürzt hat. Einen Überblick über die Behandlung der Personalakte bietet unser Beitrag „Personalakte und Datenschutz“. Legen Sie die Fristen in Ihrem Löschkonzept fest und richten Sie eine Wiedervorlage ein.

    5. Daten im Kopf und auf privaten Geräten

    Ausscheidende Beschäftigte sollten daran erinnert werden, dass die Verpflichtung zur Vertraulichkeit fortgilt. Wurden dienstliche Daten auf privaten Geräten gespeichert oder dienstliche Chats über private Messenger geführt, ist deren Löschung zu verlangen und zu dokumentieren. Werden Kundendaten mitgenommen, kann dies eine Datenpanne sein, die nach Art. 33 DSGVO zu bewerten ist.

    6. Auskunftsersuchen vorbereiten

    Gerade bei konfliktbehafteten Trennungen verlangen Beschäftigte häufig Auskunft nach Art. 15 DSGVO. Wer seine Daten geordnet hat, kann die Monatsfrist leichter einhalten. Hinweise zur Beantwortung enthält unser Leitfaden „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“.

    Die Kurz-Checkliste

    1. Zugänge sperren, Geräte zurücknehmen.
    2. Postfach-Regelung umsetzen.
    3. Fotos und Kontaktdaten aus öffentlichen Kanälen entfernen.
    4. Löschfristen für Personalakte vormerken.
    5. Vertraulichkeitspflicht in Erinnerung rufen, Löschung privater Kopien dokumentieren.
    6. Ansprechpartner für Auskunftsersuchen festlegen.

    Am besten arbeiten Personalabteilung und IT eine gemeinsame, standardisierte Checkliste ab. Wir helfen beim Aufsetzen des Offboarding-Prozesses und ebenso, wenn bereits ein Auskunftsersuchen eines ehemaligen Mitarbeiters vorliegt. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • KI-Kompetenz nach Art. 4 AI Act: Pflicht seit Februar 2025

    Seit dem 2. Februar 2025 gelten die ersten Vorschriften der europäischen KI-Verordnung. Neben den Verboten bestimmter KI-Praktiken ist das vor allem Art. 4 AI Act: die Pflicht, für ausreichende KI-Kompetenz der eigenen Beschäftigten zu sorgen. Sie betrifft praktisch jedes Unternehmen, in dem KI-Tools genutzt werden, vom Chatbot über Übersetzungsdienste bis zur KI-Funktion in der Bürosoftware, und auch kleine Betriebe. Einen Überblick über die KI-Verordnung insgesamt gibt unser Beitrag „KI-Verordnung (AI Act) in Kraft“.

    Was verlangt Art. 4 AI Act?

    Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Dabei sind die technischen Kenntnisse, die Erfahrung, die Ausbildung der Personen und der Einsatzkontext zu berücksichtigen. „Betreiber“ ist bereits, wer ein KI-System in eigener Verantwortung beruflich nutzt, also auch das Handwerksunternehmen, das einen KI-Chatbot für Kundenanfragen einsetzt.

    Was bedeutet „KI-Kompetenz“?

    Gemeint sind Fähigkeiten, Kenntnisse und Verständnis, die einen sachkundigen Einsatz von KI-Systemen ermöglichen und ein Bewusstsein für Chancen, Risiken und mögliche Schäden schaffen. Eine bestimmte Schulungsform oder ein Zertifikat schreibt die Verordnung nicht vor. Die Maßnahmen müssen aber zum Unternehmen und zum Einsatz passen.

    Inhalte einer praxisnahen Schulung

    • wie generative KI-Systeme funktionieren und warum sie falsche Ergebnisse („Halluzinationen“) liefern können,
    • welche Anwendungen im Unternehmen freigegeben sind und welche nicht,
    • keine personenbezogenen Daten in nicht freigegebene Tools; Umgang mit Kunden-, Beschäftigten- und Gesundheitsdaten,
    • Schutz von Geschäfts- und Berufsgeheimnissen,
    • Prüfung von KI-Ergebnissen, bevor sie verwendet oder an Kunden weitergegeben werden,
    • Urheberrecht und Kennzeichnung KI-generierter Inhalte,
    • Meldewege bei Fehlern oder Vorfällen.

    Datenschutz und KI-Kompetenz verbinden

    Viele Unternehmen schulen ihre Beschäftigten ohnehin regelmäßig im Datenschutz. Es bietet sich an, die KI-Kompetenz in diese Schulungen zu integrieren. Grundlage sollte eine KI-Nutzungsrichtlinie sein, wie wir sie in unserer ChatGPT-Checkliste für Arbeitgeber beschrieben haben. Bei KI-Systemen, die personenbezogene Daten in größerem Umfang verarbeiten, sollte zudem geprüft werden, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

    Dokumentation

    Halten Sie fest, welche KI-Systeme im Einsatz sind, welche Beschäftigten damit arbeiten, welche Schulungen wann durchgeführt wurden und welche Richtlinien gelten. Eine solche Dokumentation hilft, gegenüber Behörden und im Haftungsfall nachzuweisen, dass das Unternehmen seiner Pflicht nachgekommen ist.

    Ein KI-Inventar, eine klare Nutzungsrichtlinie und eine kurze Schulung, die Datenschutz und Vertraulichkeit einbezieht, reichen in vielen Unternehmen aus. Richtlinie und Schulungskonzept erarbeiten wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • GPS-Ortung von Dienstfahrzeugen: Was Arbeitgeber dürfen

    Handwerksbetriebe, Pflegedienste und Lieferservices setzen häufig Telematik- und GPS-Systeme in Dienstfahrzeugen ein. Die Technik verspricht effizientere Einsatzplanung, Schutz vor Diebstahl und eine einfachere Fahrtenbuchführung. Da die Fahrzeuge von Beschäftigten gefahren werden, lassen die Standortdaten aber Rückschlüsse auf deren Verhalten zu. Die Ortung ist deshalb datenschutzrechtlich nur in Grenzen zulässig.

    Die Rechtsgrundlage

    Maßgeblich ist § 26 Abs. 1 BDSG bzw. Art. 6 Abs. 1 lit. f DSGVO. Die Ortung muss für einen legitimen Zweck erforderlich und verhältnismäßig sein. Eine Einwilligung der Beschäftigten ist im Arbeitsverhältnis wegen des Abhängigkeitsverhältnisses nur ausnahmsweise eine tragfähige Grundlage. Legitime Zwecke können sein:

    • Schutz der Fahrzeuge und Ladung vor Diebstahl,
    • Einsatz- und Tourenplanung, etwa die Zuweisung des nächstgelegenen Fahrzeugs zu einem Notfall,
    • Abrechnung gegenüber Kunden,
    • Erfüllung gesetzlicher Pflichten, etwa bei Gefahrguttransporten.

    Wo die Grenzen liegen

    Eine permanente, lückenlose Echtzeitüberwachung mit dem Ziel der Leistungs- und Verhaltenskontrolle ist regelmäßig unverhältnismäßig. Die Aufsichtsbehörden haben wiederholt beanstandet, wenn Arbeitgeber jederzeit sehen konnten, wo sich einzelne Beschäftigte aufhalten, und diese Daten über lange Zeiträume speicherten. Besonders kritisch ist die Ortung während Pausen und in der Freizeit.

    Private Nutzung von Dienstwagen

    Dürfen Beschäftigte das Fahrzeug privat nutzen, muss die Ortung während privater Fahrten grundsätzlich deaktiviert werden können, etwa über einen „Privatschalter“. Andernfalls entstünde ein umfassendes Bewegungsprofil des Privatlebens, das sich nicht rechtfertigen lässt. Für ein elektronisches Fahrtenbuch genügen in der Regel weniger detaillierte Daten.

    So führen Sie ein Ortungssystem ein

    1. Den Zweck konkret festlegen und dokumentieren.
    2. Das System datensparsam konfigurieren: Ortung nur während der Arbeitszeit, möglichst nicht in Echtzeit, Standortgenauigkeit nur so hoch wie nötig.
    3. Zugriffe beschränken. Die Disposition sieht den aktuellen Standort, nicht aber historische Bewegungsprofile einzelner Personen.
    4. Kurze Speicherfristen festlegen und eine automatische Löschung einrichten.
    5. Beschäftigte vorab informieren und einen Hinweis im Fahrzeug anbringen.
    6. Den Betriebsrat beteiligen. GPS-Systeme sind technische Einrichtungen zur Leistungs- und Verhaltenskontrolle und damit nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig.
    7. Prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist. Die systematische Ortung von Beschäftigten steht auf der Liste der Aufsichtsbehörden; siehe „Datenschutz-Folgenabschätzung: Wann ist eine DSFA Pflicht?“.
    8. Mit dem Telematik-Anbieter einen Auftragsverarbeitungsvertrag schließen.

    Verwertung im Kündigungsschutzprozess

    Arbeitgeber möchten GPS-Daten mitunter nutzen, um Pflichtverletzungen nachzuweisen, etwa falsche Arbeitszeitangaben. Ob solche Daten vor Gericht verwertet werden dürfen, hängt von den Umständen ab, insbesondere davon, ob die Erhebung transparent und rechtmäßig war. Wer die Ortung von Anfang an sauber gestaltet, steht auch im Streitfall besser da. Vergleichbare Fragen stellen sich bei der Videoüberwachung von Beschäftigten.

    Eine Dauerüberwachung der Beschäftigten ist unzulässig, private Fahrten sind zu schützen. Planen Sie ein Telematiksystem oder verhandeln Sie eine Betriebsvereinbarung dazu, beraten wir Sie gern. Kontaktformular oder Online-Termin.

  • Personalakte und Datenschutz: Inhalt, Zugriff, Aufbewahrung

    Die Personalakte begleitet jedes Arbeitsverhältnis von der Einstellung bis lange nach dem Ausscheiden. In Papierform wie digital enthält sie eine Vielzahl sensibler Daten, von Gehaltsangaben über Krankmeldungen bis zu Abmahnungen. Arbeitgeber müssen deshalb genau regeln, was hineingehört, wer Zugriff hat und wann Unterlagen vernichtet werden.

    Was gehört in die Personalakte?

    Maßstab ist § 26 Abs. 1 BDSG: Erlaubt ist, was für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Typischer Inhalt sind Arbeitsvertrag und Änderungen, Bewerbungsunterlagen des eingestellten Bewerbers, Zeugnisse und Qualifikationsnachweise, Angaben für Lohnabrechnung und Sozialversicherung, Urlaubs- und Fehlzeiten, Abmahnungen, Beurteilungen und Zielvereinbarungen. Nicht hinein gehören private Informationen ohne Bezug zum Arbeitsverhältnis oder bloße Gerüchte.

    Gesundheitsdaten gesondert schützen

    Gesundheitsdaten sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Ärztliche Atteste, Unterlagen aus dem betrieblichen Eingliederungsmanagement oder Angaben zu einer Schwerbehinderung sollten getrennt von der allgemeinen Personalakte aufbewahrt werden, etwa in einem verschlossenen Umschlag oder einem gesondert berechtigten digitalen Bereich. Arbeitsunfähigkeitsbescheinigungen enthalten keine Diagnose, dürfen aber trotzdem nur so lange wie nötig gespeichert werden.

    Wer darf Einsicht nehmen?

    Zugriff dürfen nur Personen haben, die ihn für ihre Aufgaben benötigen, typischerweise die Personalabteilung und, soweit erforderlich, der direkte Vorgesetzte. Ein abgestuftes Berechtigungskonzept ist gerade bei digitalen Personalakten unverzichtbar. Beschäftigte selbst haben nach § 83 BetrVG das Recht, ihre Personalakte einzusehen, und können zusätzlich Auskunft nach Art. 15 DSGVO verlangen. Diesen Anspruch hat der BGH zuletzt weit ausgelegt; siehe unseren Beitrag zum Umfang des Auskunftsanspruchs.

    Digitale Personalakte

    Viele Unternehmen stellen auf digitale Personalakten um. Wichtig sind dabei: verschlüsselte Speicherung, feingranulare Rechte, Protokollierung von Zugriffen und eine automatisierte Löschfunktion. Bei Software-as-a-Service-Lösungen ist ein Auftragsverarbeitungsvertrag nötig. Besteht ein Betriebsrat, ist dieser bei der Einführung zu beteiligen.

    Aufbewahrung nach dem Ausscheiden

    Mit dem Ende des Arbeitsverhältnisses entfällt der Hauptzweck der Personalakte. Eine pauschale Aufbewahrung „für immer“ ist unzulässig. Stattdessen sind die einzelnen Bestandteile nach ihren jeweiligen Fristen zu behandeln:

    • Das Lohnkonto ist nach § 41 Abs. 1 EStG bis zum Ende des sechsten Kalenderjahres nach der letzten Eintragung aufzubewahren; lohnrelevante Buchungsbelege unterliegen den handels- und steuerrechtlichen Fristen.
    • Arbeitsvertrag und Zeugnisse dürfen aufbewahrt werden, solange Ansprüche aus dem Arbeitsverhältnis geltend gemacht werden können. Die Verjährungsfrist von drei Jahren ist in der Regel ein Anhaltspunkt.
    • Abmahnungen und Beurteilungen sind nach dem Ausscheiden regelmäßig nicht mehr erforderlich, sofern kein Rechtsstreit droht.
    • Gesundheitsdaten sind so früh wie möglich zu löschen, soweit keine besonderen Aufbewahrungspflichten bestehen.

    Halten Sie die Fristen in Ihrem Löschkonzept fest und legen Sie einen festen Termin für die Bereinigung der Akten ausgeschiedener Mitarbeitender fest.

    Eine schlanke, gut strukturierte Akte, auf die nur Berechtigte zugreifen, schützt die Beschäftigten und das Unternehmen gleichermaßen. Bei der Überprüfung Ihrer Personalaktenführung oder der Umstellung auf digitale Akten unterstützen wir Sie. Schreiben Sie uns oder buchen Sie einen Termin.

  • Hinweisgeberschutzgesetz: Datenschutz bei der internen Meldestelle

    Am 2. Juli 2023 ist das Hinweisgeberschutzgesetz (HinSchG) in Kraft getreten. Es setzt die EU-Whistleblower-Richtlinie um und verpflichtet Unternehmen mit in der Regel mindestens 50 Beschäftigten, eine interne Meldestelle einzurichten. Für Unternehmen mit 50 bis 249 Beschäftigten gilt diese Pflicht ab dem 17. Dezember 2023. Eine Meldestelle verarbeitet zwangsläufig hochsensible personenbezogene Daten über die hinweisgebende Person, über beschuldigte Personen und über Dritte. Ohne sauberen Datenschutz lässt sie sich deshalb nicht umsetzen.

    Vertraulichkeit als Kernpflicht

    Das HinSchG verpflichtet die Meldestelle, die Identität der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, und sonstiger in der Meldung genannter Personen vertraulich zu behandeln. Die Identität darf grundsätzlich nur den Personen bekannt werden, die für die Entgegennahme und Bearbeitung der Meldungen zuständig sind. Dieses Vertraulichkeitsgebot geht über die allgemeinen Anforderungen der DSGVO hinaus und muss organisatorisch und technisch abgesichert werden.

    Rechtsgrundlage der Datenverarbeitung

    Die Verarbeitung personenbezogener Daten durch die Meldestelle ist zulässig, soweit sie zur Erfüllung der Aufgaben nach dem HinSchG erforderlich ist. Datenschutzrechtlich stützt sie sich auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem HinSchG. Auch besondere Kategorien personenbezogener Daten, die in Meldungen häufig vorkommen, dürfen unter den gesetzlichen Voraussetzungen verarbeitet werden, allerdings nur mit angemessenen Schutzmaßnahmen.

    Praktische Umsetzung

    • Ein spezielles, verschlüsseltes Hinweisgebersystem ist einem allgemeinen E-Mail-Postfach deutlich überlegen. Auf ein Postfach, auf das auch die Geschäftsführung oder die IT-Administration Zugriff haben, sollte verzichtet werden.
    • Nur die benannten Mitarbeitenden der Meldestelle dürfen Zugriff haben. Das muss in einem Berechtigungskonzept festgelegt werden.
    • Wird die Meldestelle an Dritte ausgelagert oder Software eines Anbieters genutzt, ist ein Auftragsverarbeitungsvertrag zu schließen. Bei Servern außerhalb der EU sind die Regeln zum Drittlandtransfer zu beachten.
    • Hinweisgeber und betroffene Personen sind über die Datenverarbeitung zu informieren. Gegenüber beschuldigten Personen kann die Information aufgeschoben werden, solange sie die Aufklärung gefährden würde.
    • Die Dokumentation der Meldungen ist nach dem HinSchG grundsätzlich drei Jahre nach Abschluss des Verfahrens zu löschen. Diese Frist gehört in Ihr Löschkonzept.
    • Wegen der Sensibilität der Daten ist häufig eine Datenschutz-Folgenabschätzung angezeigt.

    Spannungsfeld: Auskunftsanspruch

    Beschuldigte Personen können nach Art. 15 DSGVO Auskunft verlangen, auch darüber, woher die Daten stammen. Das kollidiert mit dem Schutz der hinweisgebenden Person. Die DSGVO und das BDSG lassen Einschränkungen des Auskunftsrechts zu, wenn Rechte Dritter überwiegen. In der Praxis ist eine sorgfältige Abwägung im Einzelfall erforderlich; die Identität der hinweisgebenden Person ist regelmäßig zu schützen.

    Rolle des Datenschutzbeauftragten

    Der Datenschutzbeauftragte sollte bei der Einrichtung der Meldestelle beteiligt werden. Ob er selbst die Meldestelle übernehmen kann, ist im Einzelfall zu prüfen, weil Interessenkonflikte entstehen können. Die Rollen sollten in jedem Fall klar getrennt sein.

    Eine Meldestelle funktioniert nur, wenn Hinweisgeber ihr vertrauen. Unternehmen mit 50 bis 249 Beschäftigten bleibt dafür Zeit bis Mitte Dezember. Wenn Sie den Datenschutz bei der Einrichtung von Anfang an mitdenken wollen, sprechen Sie uns an: Kontakt oder Online-Termin.

  • ChatGPT im Unternehmen: Datenschutz-Checkliste für Arbeitgeber

    Seit Ende 2022 hat ChatGPT einen beispiellosen Boom ausgelöst. Texte entwerfen, E-Mails formulieren, Dokumente zusammenfassen: Viele Beschäftigte nutzen KI-Chatbots bereits im Arbeitsalltag, oft ohne Wissen des Arbeitgebers. Datenschutzrechtlich ist das nicht ohne Risiko. Ende März 2023 hat die italienische Datenschutzbehörde die Verarbeitung von Daten italienischer Nutzer durch ChatGPT vorläufig beschränkt; das Thema steht damit auch bei anderen europäischen Aufsichtsbehörden auf der Agenda. Unternehmen sollten den Umgang mit KI-Chatbots deshalb jetzt aktiv regeln.

    Wo liegen die Risiken?

    • Wer Kundenanfragen, Bewerbungen oder Gesprächsnotizen in einen Chatbot kopiert, übermittelt personenbezogene Daten an den Anbieter. Dafür braucht es eine Rechtsgrundlage, und die fehlt in vielen Fällen.
    • Je nach Einstellungen und Vertragsbedingungen können Eingaben vom Anbieter zur Verbesserung seiner Modelle verwendet werden. Die Kontrolle über die Daten geht dann verloren.
    • Die bekanntesten Anbieter sitzen in den USA. Seit dem Schrems-II-Urteil ist eine Übermittlung dorthin nur mit zusätzlichen Garantien möglich.
    • Neben dem Datenschutz sind Vertraulichkeitspflichten betroffen, also Geschäfts- und Berufsgeheimnisse. Für Ärzte, Anwälte oder Steuerberater ist das sogar strafrechtlich bewehrt.
    • KI-Systeme können falsche Aussagen über Personen erzeugen. Werden diese übernommen, kann das Persönlichkeitsrechte verletzen.

    Checkliste für Unternehmen

    1. Erheben Sie, welche KI-Tools im Unternehmen bereits genutzt werden, von wem und wofür.
    2. Legen Sie in einer Richtlinie fest, welche Tools für welche Aufgaben zugelassen sind. Die Grundregel lautet: keine personenbezogenen Daten und keine vertraulichen Informationen in frei zugängliche Chatbots.
    3. Prüfen Sie Unternehmenslizenzen. Business-Angebote bieten teils vertragliche Zusicherungen, etwa zum Ausschluss der Nutzung für Training, und einen Auftragsverarbeitungsvertrag.
    4. Deaktivieren Sie Chatverlauf und Trainingsnutzung, soweit möglich.
    5. Schulen Sie die Beschäftigten: Sie müssen wissen, was sie eingeben dürfen und dass Ergebnisse geprüft werden müssen.
    6. Sollen personenbezogene Daten in größerem Umfang verarbeitet werden, ist zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
    7. Binden Sie den Betriebsrat ein. Wird die Nutzung technisch gesteuert oder ausgewertet, können Mitbestimmungsrechte bestehen.

    Verbieten oder gestalten?

    Ein pauschales Verbot ist schwer durchzusetzen und verschenkt Potenzial. Erfolgversprechender ist ein kontrollierter Einsatz mit freigegebenen Tools, klaren Regeln und geschulten Beschäftigten. Für viele Aufgaben, etwa das Formulieren allgemeiner Texte ohne Personenbezug, lassen sich KI-Werkzeuge risikoarm nutzen.

    Regulatorischer Ausblick

    Auf europäischer Ebene wird derzeit über eine KI-Verordnung verhandelt, die Pflichten für Anbieter und Nutzer von KI-Systemen festlegen soll. Unabhängig davon gilt schon heute: Sobald personenbezogene Daten verarbeitet werden, ist die DSGVO anwendbar.

    Die wichtigste Regel bleibt einfach: keine personenbezogenen oder vertraulichen Daten in öffentliche KI-Dienste. Für Ihre KI-Richtlinie, die Verträge mit Anbietern und die Risikobewertung stehen wir Ihnen zur Verfügung. Nehmen Sie Kontakt auf oder vereinbaren Sie einen Termin.

  • Private E-Mail-Nutzung am Arbeitsplatz: Regeln für Arbeitgeber

    Eine Mitarbeiterin ist plötzlich längere Zeit krank, ein Kunde wartet auf ein Angebot, das in ihrem Postfach liegt. Darf der Arbeitgeber das E-Mail-Konto öffnen? Oder: Ein Mitarbeiter scheidet aus, und sein Postfach soll ausgewertet werden. Solche Situationen sind Alltag und datenschutzrechtlich heikel. Die Antwort hängt maßgeblich davon ab, ob der Arbeitgeber die private Nutzung des dienstlichen E-Mail-Accounts erlaubt, geduldet oder verboten hat.

    Variante 1: Private Nutzung verboten

    Ist die private Nutzung ausdrücklich untersagt, handelt es sich beim dienstlichen Postfach um ein reines Arbeitsmittel. Der Arbeitgeber darf dann grundsätzlich auf dienstliche E-Mails zugreifen, soweit dies für die Durchführung des Beschäftigungsverhältnisses erforderlich ist (§ 26 Abs. 1 BDSG), etwa zur Vertretung im Urlaub oder bei Krankheit. Auch hier gilt aber der Grundsatz der Verhältnismäßigkeit: Eine anlasslose, flächendeckende Kontrolle aller E-Mails ist nicht zulässig. Erkennbar private E-Mails, die trotz Verbots eingegangen sind, sollten nicht gelesen werden.

    Variante 2: Private Nutzung erlaubt oder geduldet

    Erlaubt der Arbeitgeber die private Nutzung, ausdrücklich oder durch jahrelange Duldung, wird es kompliziert. Lange Zeit vertraten die Aufsichtsbehörden die Auffassung, der Arbeitgeber werde dann zum Anbieter von Telekommunikationsdiensten und sei an das Fernmeldegeheimnis gebunden. Ein Zugriff auf das Postfach wäre dann ohne Einwilligung der Beschäftigten kaum möglich. Seit dem neuen Telekommunikationsrecht ist diese Frage umstrittener denn je; eine höchstrichterliche Klärung steht aus. Fest steht: Bei erlaubter Privatnutzung muss der Arbeitgeber zumindest die privaten Inhalte besonders schützen, was den Zugriff auf dienstliche Mails im Postfach erheblich erschwert.

    Die Empfehlung: Klare Regeln schaffen

    Für die Praxis empfiehlt sich eine schriftliche Nutzungsrichtlinie oder, wenn ein Betriebsrat besteht, eine Betriebsvereinbarung. Bewährt hat sich ein Verbot der Privatnutzung, kombiniert mit einer großzügigen Regel für private Kommunikation über eigene Kanäle und einem transparenten Zugriffsverfahren:

    • Die private Nutzung des dienstlichen E-Mail-Accounts wird untersagt.
    • Beschäftigte dürfen in angemessenem Umfang über private Webmail-Dienste kommunizieren, etwa in der Pause.
    • Abwesenheitsnotizen und Funktionspostfächer für Teams reduzieren die Notwendigkeit, auf persönliche Postfächer zuzugreifen.
    • Für den Zugriff gibt es ein transparentes Verfahren: Wer entscheidet, wer ist dabei (z. B. Betriebsrat oder Datenschutzbeauftragter), wie wird dokumentiert?
    • Für das Offboarding ist geregelt, wann das Postfach eines ausgeschiedenen Mitarbeiters deaktiviert und wann es gelöscht wird.

    Kontrolle der Internetnutzung

    Ähnliche Grundsätze gelten für das Surfen im Internet. Protokolldaten dürfen zur Gewährleistung der IT-Sicherheit verarbeitet werden. Eine personenbezogene Auswertung zur Verhaltenskontrolle ist nur bei konkretem Verdacht und unter Beachtung der Verhältnismäßigkeit denkbar. Technische Überwachungseinrichtungen unterliegen der Mitbestimmung des Betriebsrats.

    Auskunftsansprüche nicht vergessen

    Gerade in Kündigungsstreitigkeiten verlangen Beschäftigte häufig Auskunft über ihre Daten, einschließlich E-Mails. Der BGH hat den Umfang des Auskunftsanspruchs zuletzt weit gezogen, wie wir im Beitrag „Auskunftsanspruch umfasst auch Korrespondenz und Vermerke“ dargestellt haben. Eine geordnete Postfachstruktur und ein Löschkonzept erleichtern die Beantwortung erheblich.

    Eindeutige Regeln ersparen im Ernstfall viel Streit. Für eine IT-Nutzungsrichtlinie oder eine Betriebsvereinbarung zur E-Mail-Nutzung stehen wir Ihnen zur Seite: Nachricht senden oder Termin vereinbaren.

  • Mitarbeiterfotos auf der Website: Was Arbeitgeber beachten müssen

    Freundliche Gesichter auf der Team-Seite schaffen Vertrauen, gerade bei kleineren Unternehmen, Kanzleien und Praxen. Fotos von Beschäftigten sind aber personenbezogene Daten. Wer sie auf der Website, in sozialen Medien oder in Broschüren veröffentlicht, braucht eine tragfähige Rechtsgrundlage. Und spätestens wenn eine Mitarbeiterin das Unternehmen verlässt, stellt sich die Frage, ob das Bild gelöscht werden muss.

    DSGVO, BDSG und Kunsturhebergesetz

    Für die Veröffentlichung von Bildnissen enthält das Kunsturhebergesetz (KUG) in § 22 seit langem ein Einwilligungserfordernis. Wie sich das KUG zur DSGVO verhält, ist im Detail umstritten. In der Praxis kommt man jedoch in beiden Regelwerken regelmäßig zum selben Ergebnis: Für die Veröffentlichung von Mitarbeiterfotos zu Werbe- und Imagezwecken ist eine Einwilligung der abgebildeten Person erforderlich.

    Die Einwilligung im Arbeitsverhältnis

    Im Arbeitsverhältnis besteht ein Machtgefälle. Eine Einwilligung ist deshalb nur wirksam, wenn sie wirklich freiwillig erteilt wird. § 26 Abs. 2 BDSG nennt Kriterien: Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein Vorteil erreicht wird oder Arbeitgeber und Beschäftigte gleichgelagerte Interessen verfolgen. Zudem verlangt die Vorschrift grundsätzlich die Schriftform oder elektronische Form, und der Arbeitgeber muss über den Zweck und das Widerrufsrecht aufklären.

    • Holen Sie die Einwilligung gesondert ein, nicht als Klausel im Arbeitsvertrag.
    • Benennen Sie konkret, wo die Bilder erscheinen (Website, bestimmte Social-Media-Kanäle, Printmaterial).
    • Weisen Sie auf das jederzeitige Widerrufsrecht hin.
    • Machen Sie deutlich, dass eine Ablehnung keine Nachteile hat.

    Ausnahmen ohne Einwilligung?

    Ohne Einwilligung kann eine Veröffentlichung allenfalls in engen Ausnahmefällen zulässig sein, etwa wenn Beschäftigte auf Fotos von Veranstaltungen nur als „Beiwerk“ erscheinen oder als Teil einer Versammlung abgebildet sind. Für gezielte Porträts auf der Team-Seite greifen diese Ausnahmen nicht. Bei Funktionsträgern mit Außenkontakt, etwa einem Vertriebsleiter, wird teilweise diskutiert, ob die Nennung von Name und Funktion ohne Bild erforderlich sein kann. Das Foto selbst ist aber regelmäßig nicht erforderlich.

    Widerruf und Ausscheiden

    Eine datenschutzrechtliche Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO). Widerruft eine Beschäftigte ihre Einwilligung, ist das Foto zeitnah zu entfernen. Scheidet jemand aus dem Unternehmen aus, sollte das Bild ohnehin entfernt werden, da Kunden andernfalls einen falschen Eindruck über die Ansprechpartner gewinnen. Bei Imagefilmen und Druckmaterialien, deren Neuproduktion aufwendig ist, empfiehlt es sich, die Folgen eines Widerrufs vorab transparent zu regeln.

    Dokumentation und Löschung

    Bewahren Sie die Einwilligungserklärungen sorgfältig auf, um sie nach Art. 7 Abs. 1 DSGVO nachweisen zu können. Nehmen Sie Mitarbeiterfotos in Ihr Löschkonzept auf und prüfen Sie beim Offboarding, wo überall Bilder verwendet werden, auch auf Unterseiten, in alten Blogbeiträgen und in sozialen Netzwerken.

    Mit einem sauberen Einwilligungsformular und einer Checkliste für das Offboarding lässt sich das Thema gut beherrschen. Eine Vorlage für Ihr Unternehmen erstellen wir gern; ebenso beraten wir, wenn über die Löschung eines Bildes gestritten wird. Sprechen Sie uns an oder buchen Sie einen Termin.

  • Bewerberdaten: Wie lange speichern, wann löschen?

    Bewerbungen enthalten eine Fülle personenbezogener Daten: Lebenslauf, Zeugnisse, Fotos, mitunter Angaben zu Gesundheit, Familienstand oder Religion. Für Arbeitgeber stellt sich deshalb regelmäßig die Frage, was mit den Unterlagen abgelehnter Bewerberinnen und Bewerber geschehen soll. Einfach aufbewahren „für alle Fälle“ ist keine gute Idee. Gleichzeitig wäre eine sofortige Löschung nach der Absage oft vorschnell.

    Rechtsgrundlage im Bewerbungsverfahren

    Bewerberinnen und Bewerber gelten nach § 26 Abs. 8 BDSG als Beschäftigte. Ihre Daten dürfen verarbeitet werden, soweit dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist (§ 26 Abs. 1 BDSG). Erforderlich sind Angaben, die für die Beurteilung der Eignung relevant sind. Fragen nach Schwangerschaft, Religion oder Gewerkschaftszugehörigkeit sind im Regelfall unzulässig. Werden besondere Kategorien von Daten mitgeteilt, gelten die strengeren Voraussetzungen des § 26 Abs. 3 BDSG.

    Wie lange dürfen Unterlagen nach der Absage gespeichert werden?

    Nach Abschluss des Verfahrens entfällt der ursprüngliche Zweck. Arbeitgeber haben aber ein berechtigtes Interesse, sich gegen mögliche Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) verteidigen zu können. Ansprüche auf Entschädigung oder Schadensersatz müssen nach § 15 Abs. 4 AGG innerhalb von zwei Monaten nach Zugang der Ablehnung schriftlich geltend gemacht werden; für die anschließende Klage gilt eine Frist von drei Monaten (§ 61b ArbGG). Hinzu kommt eine angemessene Zeit für Zustellungen. In der Praxis hat sich daher eine Aufbewahrungsdauer von etwa sechs Monaten nach der Absage etabliert, die auch von Aufsichtsbehörden regelmäßig akzeptiert wird. Danach sind die Daten zu löschen, sofern kein Rechtsstreit anhängig ist.

    Talentpool: nur mit Einwilligung

    Möchten Sie interessante Kandidatinnen und Kandidaten für künftige Stellen vormerken, benötigen Sie dafür grundsätzlich eine Einwilligung. Diese sollte gesondert abgefragt werden und nicht versteckt in der Datenschutzerklärung stehen. Sie sollte eine konkrete Speicherdauer nennen und auf das jederzeitige Widerrufsrecht hinweisen. Ohne Einwilligung ist die Speicherung über die Sechs-Monats-Frist hinaus kaum zu rechtfertigen.

    Recherchen im Internet und in sozialen Netzwerken

    Dürfen Personalverantwortliche Bewerber „googeln“? Die Recherche in beruflich ausgerichteten Netzwerken ist eher vertretbar, weil diese gerade der beruflichen Selbstdarstellung dienen. Private Profile in sozialen Netzwerken sind dagegen in der Regel tabu. Werden Daten bei Dritten erhoben, ist zudem die Informationspflicht nach Art. 14 DSGVO zu beachten.

    Organisation im Bewerbermanagement

    • Informieren Sie Bewerber bei Eingang der Bewerbung über die Datenverarbeitung (Art. 13 DSGVO), etwa mit einer Eingangsbestätigung und einem Link auf Datenschutzhinweise.
    • Beschränken Sie den Zugriff auf die am Auswahlverfahren beteiligten Personen.
    • Nutzen Sie für Bewerbungen per E-Mail ein eigenes Postfach statt persönlicher Postfächer.
    • Wenn Sie ein Online-Bewerbermanagement einsetzen, schließen Sie mit dem Anbieter einen Auftragsverarbeitungsvertrag.
    • Nehmen Sie Bewerberdaten in Ihr Löschkonzept auf und automatisieren Sie die Löschung, wo möglich.

    Auskunftsansprüche von Bewerbern

    Auch abgelehnte Bewerber können Auskunft über die zu ihnen gespeicherten Daten verlangen, einschließlich Notizen aus Vorstellungsgesprächen. Wie solche Anfragen strukturiert beantwortet werden, zeigt unser Leitfaden zu Auskunftsersuchen. Formulieren Sie interne Notizen deshalb stets sachlich.

    Wenn Sie Ihren Bewerbungsprozess datenschutzrechtlich überprüfen lassen möchten, von der Eingangsbestätigung bis zur Löschroutine, sprechen Sie uns an. Zum Kontaktformular oder direkt einen Termin buchen.

  • 10,4 Mio. Euro Bußgeld: Videoüberwachung von Mitarbeitern

    Die Landesbeauftragte für den Datenschutz Niedersachsen hat Anfang Januar 2021 bekanntgegeben, dass sie gegen den Online-Händler notebooksbilliger.de AG ein Bußgeld in Höhe von 10,4 Millionen Euro verhängt hat. Grund ist eine nach Auffassung der Behörde unzulässige Videoüberwachung von Beschäftigten. Es handelt sich um eines der höchsten Bußgelder, die eine deutsche Datenschutzbehörde bislang ausgesprochen hat. Der Bescheid ist nicht rechtskräftig; das Unternehmen hat angekündigt, sich dagegen zu wehren.

    Was wurde dem Unternehmen vorgeworfen?

    Nach den Angaben der Behörde hatte das Unternehmen mindestens zwei Jahre lang Beschäftigte per Video überwacht, ohne dass hierfür eine Rechtsgrundlage bestand. Die Kameras erfassten unter anderem Arbeitsplätze, Verkaufsräume, Lager und Aufenthaltsbereiche. Das Unternehmen begründete die Überwachung mit der Verhinderung und Aufklärung von Straftaten sowie der Nachverfolgung von Warenströmen. Die Aufnahmen wurden nach Angaben der Behörde in vielen Fällen 60 Tage gespeichert und damit deutlich länger als erforderlich.

    Die rechtliche Bewertung

    Die Videoüberwachung von Beschäftigten ist ein erheblicher Eingriff in deren Persönlichkeitsrecht. Sie richtet sich nach § 26 BDSG bzw. Art. 6 Abs. 1 lit. f DSGVO und muss erforderlich und verhältnismäßig sein. Eine Überwachung zur Aufdeckung von Straftaten ist nach § 26 Abs. 1 Satz 2 BDSG nur zulässig, wenn ein begründeter Verdacht gegen konkrete Personen besteht und die Maßnahme zeitlich und räumlich begrenzt ist. Eine allgemeine, anlasslose Dauerüberwachung zur Abschreckung lässt sich darauf regelmäßig nicht stützen. Die Behörde betonte zudem, dass mildere Mittel wie stichprobenartige Taschenkontrollen beim Verlassen der Betriebsräume vorrangig zu prüfen seien.

    Checkliste: Videoüberwachung im Betrieb

    1. Den Zweck konkret festlegen, etwa Schutz vor Einbruch außerhalb der Geschäftszeiten oder Schutz von Kassenbereichen.
    2. Prüfen, ob es mildere Mittel gibt, etwa bessere Schlösser, Zugangskontrollen oder Alarmanlagen.
    3. Keine Kameras in Pausenräumen, Umkleiden oder Sanitärbereichen. Eine dauerhafte Überwachung von Arbeitsplätzen ist nur in absoluten Ausnahmefällen denkbar.
    4. Die Speicherdauer kurz halten. Aufsichtsbehörden halten in der Regel wenige Tage für ausreichend, um festzustellen, ob ein Vorfall vorliegt.
    5. Hinweisschilder an den Zugängen anbringen und ausführlich nach Art. 13 DSGVO informieren.
    6. Den Betriebsrat beteiligen, denn Videoüberwachung ist nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig.
    7. Interessenabwägung, Eintrag im Verzeichnis von Verarbeitungstätigkeiten und gegebenenfalls eine Datenschutz-Folgenabschätzung dokumentieren.

    Der Eintrag in das Verarbeitungsverzeichnis ist Pflicht. Wie Sie es aufbauen, erklären wir in unserer Anleitung zum Verzeichnis von Verarbeitungstätigkeiten.

    Bußgeldhöhe und Rechtsschutz

    Die Höhe des Bußgeldes orientiert sich auch am Umsatz des Unternehmens. Dass Gerichte die Bemessung durchaus kritisch überprüfen, hat zuletzt das Landgericht Bonn gezeigt, das ein Millionenbußgeld deutlich herabgesetzt hat (dazu unser Beitrag „LG Bonn senkt DSGVO-Bußgeld gegen 1&1“). Wie das Verfahren um notebooksbilliger.de ausgeht, bleibt abzuwarten.

    Videoüberwachung „zur Sicherheit“ ist kein Freibrief. Wer Kameras betreibt oder plant, sollte prüfen, ob Arbeitsplätze erfasst werden, wie lange gespeichert wird und ob die Maßnahme dokumentiert begründet ist. Wir sehen uns Ihr Konzept an und begleiten auch die Verhandlungen mit dem Betriebsrat. Kontakt · Termin buchen

  • Homeoffice und Datenschutz: Checkliste für Arbeitgeber

    Innerhalb weniger Tage haben zahlreiche Unternehmen ihre Beschäftigten wegen der Corona-Pandemie ins Homeoffice geschickt. Was organisatorisch oft improvisiert werden musste, wirft datenschutzrechtliche Fragen auf: Darf auf dem privaten Laptop gearbeitet werden? Wie sind Akten zu Hause aufzubewahren? Und wer haftet, wenn etwas schiefgeht? Klar ist: Die DSGVO gilt auch am Küchentisch. Verantwortlich bleibt der Arbeitgeber. Unsere Checkliste hilft, die wichtigsten Punkte zügig umzusetzen.

    Verantwortung bleibt beim Unternehmen

    Auch wenn Beschäftigte von zu Hause aus arbeiten, bleibt das Unternehmen Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Es muss nach Art. 32 DSGVO ein dem Risiko angemessenes Schutzniveau sicherstellen. Das bedeutet nicht, dass jedes Homeoffice wie ein Rechenzentrum ausgestattet sein muss. Es bedeutet aber, dass klare Regeln und geeignete technische Mittel vorhanden sein müssen.

    Technik: Dienstgeräte und sichere Verbindungen

    • Dienstgeräte sind privaten Rechnern vorzuziehen, die sich kaum kontrollieren lassen. Ist die Nutzung privater Geräte unvermeidbar, sollten zumindest Virenschutz, aktuelle Updates und ein separates Benutzerkonto vorausgesetzt werden.
    • Festplatten von Laptops und mobile Datenträger sollten verschlüsselt sein.
    • Der Zugriff auf Unternehmenssysteme sollte über eine gesicherte Verbindung (VPN) erfolgen.
    • Starke Passwörter und eine automatische Bildschirmsperre nach kurzer Inaktivität gehören zur Grundausstattung.
    • Dateien gehören auf die vom Unternehmen freigegebenen Systeme, nicht in private Cloud-Speicher.

    Organisation: Klare Regeln für zu Hause

    Wichtig ist eine kurze, verständliche Homeoffice-Richtlinie. Sie sollte unter anderem festlegen, dass Familienmitglieder und Mitbewohner keinen Einblick in Unterlagen und Bildschirm erhalten, dass Telefonate mit vertraulichem Inhalt nicht in Hörweite Dritter geführt werden und dass Papierunterlagen verschlossen aufbewahrt und nicht im Hausmüll, sondern datenschutzgerecht entsorgt werden. Auch smarte Lautsprecher, die mithören können, sollten während vertraulicher Gespräche ausgeschaltet sein.

    Lassen Sie sich die Kenntnisnahme der Regeln bestätigen. Das dient der Sensibilisierung und hilft, gegenüber einer Aufsichtsbehörde die Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachzuweisen.

    Kommunikation und Videokonferenzen

    Mit dem Homeoffice steigt der Bedarf an Messenger- und Videokonferenzdiensten. Hier sollten nur Dienste eingesetzt werden, die das Unternehmen geprüft und freigegeben hat. Mit dem Anbieter ist in der Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen. Achten Sie auch darauf, wo der Anbieter Daten verarbeitet, und ob Übermittlungen in Drittländer stattfinden.

    Was tun, wenn doch etwas passiert?

    Geht ein Laptop verloren oder werden Unterlagen versehentlich an Dritte weitergegeben, müssen Beschäftigte wissen, wen sie sofort informieren. Die Uhr für die Meldung an die Aufsichtsbehörde läuft auch im Homeoffice. Wie Sie dann vorgehen, beschreiben wir ausführlich in unserem Leitfaden „Datenpanne melden: So reagieren Sie richtig in 72 Stunden“.

    Beschäftigtendaten und Kontrolle

    Homeoffice ist kein Anlass für eine lückenlose Überwachung. Die Verarbeitung von Beschäftigtendaten richtet sich nach § 26 BDSG und muss für das Beschäftigungsverhältnis erforderlich sein. Eine permanente Kontrolle von Tastatureingaben oder Bildschirminhalten ist regelmäßig unzulässig. Besteht ein Betriebsrat, ist dieser bei technischen Einrichtungen, die zur Leistungs- oder Verhaltenskontrolle geeignet sind, zu beteiligen.

    Eine pragmatische Lösung lässt sich später in Ruhe weiterentwickeln, etwa über eine Betriebsvereinbarung. Für Ihre Homeoffice-Richtlinie oder die Prüfung Ihrer bestehenden Regelung stehen wir Ihnen zur Verfügung: Kontakt aufnehmen oder Termin buchen.