Fördermitglied des Hotel- und Gaststättenverband Berlin e.V.

Neuregelungen zum Arbeitnehmerdatenschutz

Der Anwendungsbereich des Bundesdatenschutzgesetz (BDSG) wurde auf nicht dateibezogene Informationen erweitert. Zukünftig unterliegen die Personalakte aber auch Gesprächsvermerke, Schriftstücke und Dokumentationen, die im Rahmen des Beschäftigungsverhältnisses erstellt und gepflegte werden, dem BDSG. Hier wurde dem Tatbestand Rechnung getragen, dass schriftliche Aufzeichnungen, z.B. über Gesundheitsdaten von Mitarbeitern, genauso den strengen Normen des BDSG unterliegen, wie auch bei der elektronischen Erfassung dieser Informationen.

Die Datenerhebung zur Aufdeckung von Straftaten, wie z.B. das Auslesen von Protokollen elektronischer Türschlösser und deren Auswertung und Weitergabe, wurden konkretisiert. Dem Arbeitgeber wird ermöglicht, unter definierten Umständen elektronische Protokolle auszuwerten, wenn sie der Strafverfolgung dienlich sind und die schutzwürdigen Interessen des Beschäftigten nicht überwiegen. Es empfiehlt sich, über Betriebsvereinbarungen, Richtlinien und Zusatzvereinbarungen die Nutzung entsprechender Daten zu klären.

Zulässigkeit der personalisierten Werbung

Neu geregelt wurde die Zulässigkeit der Nutzung von Daten für Werbezwecke. Das Listenprivileg wurde stark eingeschränkt. So bedarf es bspw. der formgerechten Einwilligung des Betroffenen, wenn seine Adressdaten zu Werbezwecken oder zum Adresshandel genutzt werden sollen. Als Ausnahme ist die Nutzung von Adressdaten nur dann zum Zwecke der Werbung für eigene Angebote gestattet, wenn sie im Zusammenhang mit einem Rechtsgeschäft oder rechtsgeschäftlichen Verhältnis erhoben wurden (Eigenwerbung mit eigenen Kundendaten) oder die Werbung unter Geschäftsadressen bzw. zu Spendenzwecken erfolgt.

Der Gesetzgeber räumt eine Übergangsfrist bis zum 31. August 2012 ein. Unberührt bleiben das Widerspruchsrecht und die gesetzlichen Regelungen zur Nutzung von E-Mail-Adressen und Faxnummern zu Werbezwecken.

Erweiterte Anforderungen an die Auftragsdatenverarbeitung

Die Anforderungen an die Vertragsgestaltung (Datenschutzvereinbarung) mit Dienstleistern, die personenbezogene Daten im Auftrag erheben, verarbeiten, nutzen oder löschen (z.B. Online-Reservierungssysteme, Fernwartung Software, PR-Agenturen oder auch Lohnabrechnungen) wurden konkretisiert. Die Kontrollpflichten im Rahmen der Auftragsvergabe wurden neu gestaltet. So hat sich der Auftraggeber vor der Vergabe des Auftrages von der Einhaltung der technischen und organisatorischen Anforderung bei dem Auftragnehmer zu überzeugen und dieses zu dokumentieren.

Informationspflichten bei Datenschutzpannen

Im BDSG zusätzlich aufgenommen wurde die Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten. Das betrifft insbesondere alle Daten der besonderen Art im Sinne § 3 Abs. 9 BDSG; personenbezogene Daten, die einem Berufsgeheimnis unterliegen, wie Gesundheitsdaten; personenbezogene Daten, die sich auf eine strafbare Handlung oder Ordnungswidrigkeit beziehen und personenbezogene Daten zu Bank- und Kreditkonten.

Die Informationspflicht besteht, wenn unbefugte Dritte Kenntnis über diese Daten bei Verlust oder einer unrechtmäßigen Datenübermittlung erlangen können. Bspw. bei dem Verlust eines Laptops, auf dem Kundendaten mit Kontodaten gespeichert und nicht verschlüsselt waren, besteht die Informationspflicht. Verschlüsselungstechnologien erhalten einen höheren Stellenwert im BDSG.

Die Informationspflicht besteht gegenüber der zuständigen Aufsichtsbehörde für Datenschutz und den Betroffenen. Bei grob fahrlässigem Handeln muss das Unternehmen sowohl mit Bußgeldern als auch mit Schadensersatzforderungen rechnen. Insbesondere die Schadensersatzanforderungen können in die Millionen gehen.

Stärkung der Rechtsstellung des betrieblichen Datenschutzbeauftragten

Die Stellung des betrieblichen Datenschutzbeauftragten wird insbesondere durch den Kündigungsschutz gestärkt. "…, so ist die Kündigung des Arbeitsverhältnisses unzulässig, es sei denn, dass Tatsachen vorliegen, welche die verantwortliche Stelle zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigen. Nach der Abberufung als Beauftragter für den Datenschutz ist die Kündigung innerhalb eines Jahres nach der Beendigung der Bestellung unzulässig, es sei denn, dass die verantwortliche Stelle zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist berechtigt ist. …"

Zusätzlich hat jedes Unternehmen dem betrieblichen Datenschutzbeauftragten Fort- und Weiterbildungsmaßnahmen zu ermöglichen und zu bezahlen, damit dieser die erforderliche Fachkunde erhalten und ausbauen kann. Der Datenschutzbeauftragte ist für diese Zeit freizustellen.

Erweiterte Kompetenzen der Aufsichtsbehörden

Zur Gewährleistung der Einhaltung des Datenschutzgesetzes und anderer Vorschriften sind die Aufsichtsbehörden zukünftig mit weiterreichenden Kompetenzen ausgestattet. So können sie bei schwerwiegenden Verstößen oder Mängeln anordnen, dass einzelne Verfahren nicht mehr benutzt werden dürfen, wenn innerhalb einer angemessenen Zeit Mängel nicht beseitigt wurden.

Erweiterte Bußgeldtatbestände

Für Ordnungsverstöße kann die zuständige Aufsichtsbehörde zukünftig Bußgelder in Höhe von 50.000 € bis 300.000 € erheben. Die Geldbuße soll aber den wirtschaftlichen Vorteil, den der Täter aus der Ordnungswidrigkeit gezogen hat, übersteigen. Sollten die Bußgeldbeträge hierfür nicht ausreichen, können diese auch überschritten werden.