Datenschutz bei der Arbeit

• Was muss ich beachten, bevor ich neue Softwaresysteme einführe?

  Bevor neue Software eingeführt wird, muss der Verantwortliche umfassend prüfen, ob sie sich datenschutzrechtskonform einsetzen lässt und welche Vereinbarungen mit deren Anbieter getroffen werden müssen. Dies stößt vor allem bei den US-amerikanischen Anbietern wie Microsoft oder Google auf große Schwierigkeiten, insbesondere soweit es um die Datenübermittlung in die USA geht, und erfordert entsprechenden Nachdruck. Sollte die Prüfung ergeben, dass sich die Software datenschutzkonform einsetzten lässt, müssen die Datenverarbeitung im Zusammenhang mit deren Einsatz im Verarbeitungsverzeichnis dokumentiert, Mitarbeiter im datenschutzkonformen Umgang mit der Software geschult und gegebenenfalls Vorgaben zu deren Einsatz in internen Regularien aufgenommen werden. Nähere Informationen finden Sie in den Orientierungshilfen zum Einsatz webbasierter Videokonferenzsysteme, zum Einsatz cloudbasierter Office-Systeme und zum Einsatz von Kollaborationssystemen sowie in den Empfehlungen der RDSK zur Datenübermittlung in die USA.

• Darf ich als Arbeitgeber Gesundheitsdaten wie z. B. Angaben zum Impf-, Genesenen- oder Teststatus abfragen?

  Nur unter engen Voraussetzungen und strengen Auflagen, die sich insbesondere aus dem Infektionsschutzgesetz (InfSG) ergeben. Individuelle Nachragen, die keinem klar definierten und das schutzwürdige Interesse der betroffenen Personen überwiegenden Zweck dienen, sind dagegen unzulässig (siehe dazu auch Tätigkeitsbericht 2021, Rn. 139ff.). In jedem Fall ist zu beachten, dass Gesundheitsdaten gemäß § 22 Abs. 2 BDSG besonders zu schützen sind.

• Ist der Personal- bzw. Betriebsrat Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO?

  Nein. Die Beschäftigtenvertretung nimmt ihre Aufgaben zwar völlig eigenständig und unabhängig wahr, aber ausschließlich nach Maßgabe des jeweils einschlägigen Personalvertretungsrechts und deshalb nicht nach freier eigener Entscheidung. Dabei greift sie in vollem Umfang auf die technische und sonstige Infrastruktur des Betriebs zurück. Verantwortlich für die Datenverarbeitung des Personal- bzw. Bertriebsrats ist daher die Rundfunkanstalt bzw. das Unternehmen. Für die Überwachung und Beratung in Datenschutzfragen ist die/der interne Datenschutzbeauftragte zuständig (siehe dazu auch Tätigkeitsbericht 2019, Rn. 202ff.).

• Muss ich im Fall einer Arbeitnehmerüberlassung einen Vertrag nach Art. 26 DSGVO schließen?

  In der Regel reicht ein Überlassungsvertrag zwischen Ver- und Entleiher aus, in dem sich der Verleiher gegenüber dem Entleiher verpflichtet, diesem zur Förderung von dessen Betriebszwecken Arbeitnehmer zur Verfügung zu stellen. Bei der Erfüllung dieses Vertrags verarbeiten beide Parteien die anfallenden personenbezogenen Daten gewöhnlich nur zu eigenen Zwecken und sind für daher allein für die jeweilige Datenverarbeitung verantwortlich. Ein Vertrag über die gemeinsame Verantwortung ist nach Art. 26 DSGVO dann erforderlich, wenn Ver- und Entleiher neben der Überlassung von Personal hinaus gemeinsame (wirtschaftliche oder sonstige) Interessen verfolgen, die sich auch auf die Datenverarbeitung auswirken (siehe dazu auch Tätigkeitsbericht 2021, Rn. 110ff.).