Datenschutzinformation für Beschäftigte

Pflicht nach DSGVO

Der Verantwortliche hat die Pflicht die Betroffenen über den Datenschutz zu informieren. Dieser Pflicht unterliegt ein Unternehmen auch gegenüber seinen Beschäftigten. Dabei gibt es verschiedene Möglichkeiten die Datenschutzinformation den Beschäftigten bereitzustellen. So kann ein Informationsblatt als Anhang zu dem Arbeitsvertrag herausgegeben werden. Ebenfalls möglich ist eine Veröffentlichung der Datenschutzinformation im Intranet oder per Aushang. Dabei hat der Verantwortliche zu beachten, dass die Datenschutzinformation zum Zeitpunkt der Datenerhebung zu erfolgen hat. Die personenbezogenen Daten werden durch den Verantwortlichen direkt bei dem jeweiligen Beschäftigten erhoben.

Bei der Bereitstellung der Datenschutzinformation ist seitens des Verantwortlichen stets die Zugänglichkeit für die Beschäftigten sicherzustellen. So macht z.B. die Veröffentlichung im Intranet nur dann Sinn, wenn sämtliche Beschäftigten eine Zugriffsmöglichkeit über einen PC auf das Intranet haben. Des Weiteren ist die Information per Aushang nur dann angebracht, wenn sämtliche Beschäftigten den Ort des Aushangs leicht und direkt erreichen können.

Werden durch den Verantwortlichen Änderungen an dem bestehendem Informationstext vorgenommen, müssen die Beschäftigten darüber per „Folge-Information“ unterrichtet werden. Hierzu bietet sich für den Verantwortlichen als gängigste Variante der Versand einer Rundmail an. Sofern die erstmalige Information des Verantwortlichen an die Beschäftigten über eine Veröffentlichung per Aushang oder per Intranet erfolgte, ist es sinnvoll, sich erneut der zuvor verwendeten Umsetzungsform zu bedienen.

Transparenz

Gemäß Art. 12 Abs. 1 DSGVO hat die Datenschutzinformation nach einem zentralen Grundsatz für die Verarbeitung personenbezogener Daten transparent zu erfolgen:  

„Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 und alle Mitteilungen gemäß den Artikeln 15 bis 22 und Artikel 34, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.“

Der Verantwortliche hat im Hinblick auf das Transparenzgebot stets den Nachweis einer ordnungsgemäßen Erledigung der Informationspflichten zu erbringen (Art. 5 Abs. 1 lit. a und Abs. 2 DSGVO). siehe: Kurzpapier Nr.10 der Datenschutzkonferenz (DSK) zu Informationspflichten

Somit ist bei der Wahl der Art der Bereitstellung der Datenschutzinformation stets zu berücksichtigen, dass das Nachkommen der Informationspflichten gemäß der DSGVO durch den Verantwortlichen nachgewiesen werden kann. Damit erfüllt der Verantwortliche seine Rechenschaftspflicht.

Folge bei Verstoß

Der Verstoß gegen die Informationspflichten kann nach Art. 83 Abs. 5 lit. b DSGVO mit einer Geldbuße bestraft werden.

siehe: Kurzpapier Nr.10 der Datenschutzkonferenz (DSK) zu Informationspflichten

Ausnahmen

Die DSGVO sieht auch Ausnahmen von der Informationspflicht vor. So besteht die Pflicht für den Verantwortlichen nicht, wenn die Betroffenen bereits über die Informationen verfügen.  Im Falle der Dritterhebung bestehen darüber hinaus keine Informationspflichten, wenn die Informationserteilung sich z.B. als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde, die Daten einem Berufsgeheimnis unterliegen oder die Erlangung durch Rechtsvorschrift ausdrücklich geregelt ist. In Bezug auf die Informationspflicht gegenüber den Beschäftigten greifen die vorgenannten Ausnahmen jedoch nicht.

Fazit

Unternehmen sind als Verantwortliche dazu verpflichtet Ihre Beschäftigten über den Datenschutz zu informieren. Bei der Bereitstellung der Datenschutzinformation ist darauf zu achten, dass diese leicht für sämtliche Beschäftigten zugänglich ist. Die Information ist in einer klaren und gut verständlichen Sprache zu formulieren.  

Der datenschutzrechtliche Grundsatz der Transparenz ist stets vom Verantwortlichen zu wahren. Dabei hat der Verantwortliche den Nachweis über die erfolgte Umsetzung der Datenschutzinformation zu gewährleisten. Die Information wird den Betroffenen spätestens zum Zeitpunkt der Datenerhebung übermittelt.

Natürlich muss der Verantwortliche nicht nur seine Beschäftigten über den Datenschutz informieren. Die Informationspflicht und das Transparenzgebot gelten für Unternehmen gegenüber allen Personengruppen von denen regelmäßig personenbezogene Daten verarbeitet werden. So sind z.B. auch Kunden, Lieferanten und Bewerber über den Datenschutz zu informieren. Die Information hat dabei einzeln, also jeweils in Bezug auf die bestimmte Personengruppe, zu erfolgen. Nur so können die Vorgaben des Art. 12 Abs. 1 DSGVO durch den Verantwortlichen erfüllt werden.

Schließlich sind auch die Ausnahmeregelungen zu den Informationspflichten aus den Artikeln 13 (Abs. 4) und 14 (Abs. 5) der DSGVO zu berücksichtigen.

Das Team der dacuro GmbH unterstütz Sie gerne bei der Umsetzung der Informationspflichten.