Beschäftigtendatenschutz in der Praxis

Der Umgang mit Beschäftigtendaten ist ein Thema, das in Unternehmen nahezu überall eine Rolle spielt und trotzdem häufig unterschätzt wird. Denn die datenschutzrechtlichen Fragen beginnen nicht erst dann, wenn ein Problem auftritt oder eine Beschwerde eingeht. Sie stellen sich vielmehr entlang des gesamten Beschäftigungsverhältnisses, beim Eintritt ins Unternehmen, im laufenden Arbeitsalltag, bei der Nutzung von Fotos und Videos, beim Ausscheiden und nicht zuletzt bei Auskunftsanfragen ehemaliger oder aktueller Beschäftigter. Unternehmen haben in all diesen Phasen sicherzustellen, dass die Verarbeitung der Beschäftigtendaten rechtmäßig erfolgt.

Für Unternehmen ist daher entscheidend, dass Beschäftigtendatenschutz im Unternehmensalltag funktioniert. Gute Lösungen entstehen dabei nicht durch möglichst umfangreiche Unterlagen, sondern durch klare Zuständigkeiten, praktikable Prozesse und eine Dokumentation, die tatsächlich Orientierung gibt.

Datenschutz im Onboarding

Das Onboarding ist aus Datenschutzsicht ein zentraler Dreh- und Angelpunkt. Denn an dieser Stelle entscheidet sich, ob neue Beschäftigte die datenschutzrechtlichen Spielregeln von Beginn an kennen, ob notwendige Dokumente bereitgestellt werden und ob Rechte, Zugänge und Pflichten sauber dokumentiert sind.

Unternehmen sollten insbesondere sicherstellen, dass Datenschutzinformationen bereitgestellt, Vertraulichkeitsverpflichtungen eingeholt, Einwilligungen (z.B. zur Verwendung von Fotos und Videos) dokumentiert und Berechtigungen nachvollziehbar vergeben werden. Hinzu kommen Schulungen, die Erklärung interner Datenschutzprozesse sowie die Bereitstellung relevanter Richtlinien. Weitere Details zu den einzelnen Punkten im Onboarding haben wir in einem separaten Blog-Beitrag zusammengefasst.

Steuerung durch interne Richtlinien und Schulungen

Beschäftigte müssen wissen, auf welche konkreten Dinge sie im Unternehmensalltag achten müssen und wie sie mit personenbezogenen Daten umgehen dürfen. Genau dafür braucht es interne Richtlinien. Sie übersetzen allgemeine Anforderungen in verständliche Handlungsanweisungen und konkretisieren damit zugleich die internen Weisungen des Unternehmens.

Typische sinnvolle Richtlinien betreffen etwa die IT-Nutzung, den Einsatz von KI-Systemen oder das mobile Arbeiten. Wichtig ist dabei nicht nur der Inhalt, sondern auch die Art der Bereitstellung. Richtlinien müssen auffindbar, verständlich und aktuell sein. Unternehmen sollten vorhandene Regelungen im Rahmen eines festgelegten Revisionszyklus regelmäßig auf Aktualität und Vollständigkeit prüfen.

Eng damit verbunden ist das Thema Schulungen. Auch hier entstehen in der Praxis oft wiederkehrende Probleme. So gibt es etwa eine Schulung zum Arbeitsantritt, danach aber keine Wiederholung. Häufig fehlen zudem Schulungsnachweise oder ein konsistentes Schulungskonzept. Gerade deshalb sollten Unternehmen Schulungen nicht als einmalige Formalie behandeln. Sinnvoll sind regelmäßige Auffrischungen, zielgruppengerechte Inhalte und eine belastbare Dokumentation. Aus dieser sollte sich nachvollziehen lassen, wer wann zu welchen Themen geschult wurde.

Fotos und Videos von Beschäftigten

Ein Thema, das in Unternehmen immer wieder für Unsicherheit sorgt, ist der Umgang mit Fotos und Videos von Beschäftigten. Das gilt für klassische Teamfotos und Portraits ebenso wie für Aufnahmen auf Veranstaltungen, für Karriereseiten, interne Kommunikationskanäle oder Social-Media-Beiträge. Gerade weil solche Inhalte oft mit überschaubarem Aufwand erstellt, weitergegeben und wiederverwendet werden, passieren hier schnell Fehler.

Im Standardfall wird für Fotos und Videos von Beschäftigten mit Einwilligungen gearbeitet, etwa bei Teamfotos oder Portraits. Die Einwilligung hat jedoch den Nachteil, dass sie jederzeit ohne Angabe von Gründen widerrufen werden kann. In anderen Konstellationen können daher auch vertragliche Regelungen eine Rolle spielen, etwa bei aufwändigeren Produktionen oder wenn die beschäftigte Person eine besondere Funktion im Unternehmen übernimmt (z.B. Beschäftigte in der Content Creation).

In der Praxis treten häufig folgende Probleme auf:

• Es werden unpassende Rechtsgrundlagen verwendet (z.B. eine Einwilligung bei aufwändigen Werbevideos).
• Einwilligungserklärungen bleiben zu generisch und benennen die Zwecke der Verarbeitung oder die Medien, in denen die Veröffentlichung stattfinden soll, nicht konkret genug.
• Fotos werden verwendet, obwohl keine wirksame Rechtsgrundlage vorliegt.
• Die Zuständigkeiten zwischen HR, Marketing und Fachabteilungen sind unklar.
• Es gibt keine Prozesse für den Fall des Widerrufs von Einwilligungen oder des Ausscheidens von Beschäftigten.

Gerade der letzte Punkt wird oft übersehen. Beschäftigtendatenschutz bei Fotos und Videos endet nicht mit der Einholung einer Einwilligung. Unternehmen brauchen vielmehr einen durchdachten Gesamtprozess, der die relevanten Aspekte regelt. Dazu gehören die Erfassung der Zwecke, die Erstellung passender Dokumente, die Festlegung von Verantwortlichkeiten sowie die Sensibilisierung der beteiligten Abteilungen. Ebenso muss geklärt sein, wie mit Widerrufen oder dem Ausscheiden von Beschäftigten umzugehen ist.

Externer Datenschutzbeauftragter // Newsletter abonnieren // Hinweisgebersystem

Offboarding und Löschung

Auch beim Ausscheiden von Beschäftigten zeigt sich, wie belastbar die internen Datenschutzprozesse tatsächlich sind. Ein funktionierendes Offboarding umfasst nicht nur die Rückgabe von Arbeitsmitteln. Es beinhaltet auch die Entziehung von Zutrittsrechten und die Deaktivierung von Accounts. Zudem müssen offene Zuständigkeiten geklärt und der Umgang mit weiterhin vorhandenen Datenbeständen geregelt werden. Das gilt insbesondere auch für die E-Mail-Postfächer und Dateiablagen der ausscheidenden Beschäftigten.

Besondere Aufmerksamkeit verdient außerdem die Löschung von Personaldaten. In der Praxis ist dieses Thema selten mit einer einheitlichen Frist zu lösen. Stattdessen müssen Unternehmen prüfen, ob gesetzliche Aufbewahrungspflichten bestehen, ob der ursprüngliche Zweck noch fortbesteht oder ob Daten etwa zur Rechtsverfolgung bzw. Rechtsverteidigung noch vorgehalten werden müssen. Daraus folgt in der Regel, dass unterschiedliche Datenkategorien auch unterschiedliche Löschfristen benötigen.

Ein belastbares Löschkonzept für Beschäftigtendaten ist deshalb kein „Nice-to-have“, sondern ein wesentlicher Bestandteil eines funktionierenden Datenschutz-Managements.

Auskunftsanfragen von (ehemaligen) Beschäftigten

Unternehmen sehen sich zunehmend mit Auskunftsanfragen von aktuellen oder ehemaligen Beschäftigten konfrontiert. Besonders relevant werden sie in Trennungssituationen oder sonstigen Konfliktlagen. Dann zeigt sich schnell, ob Dokumentation, Zuständigkeiten und interne Abläufe tragfähig aufgestellt sind.

Wir empfehlen deshalb, Auskunftsanfragen nicht erst dann zu durchdenken, wenn die Anfrage bereits vorliegt. Organisationen sollten vielmehr frühzeitig Prozesse festlegen und Zuständigkeiten definieren. Zudem sollten die relevanten Abteilungen sensibilisiert werden, um Auskunftsanfragen rechtzeitig zu erkennen und die erforderlichen Kopien erstellen zu können. Außerdem ist sicherzustellen, dass eine saubere Datenschutzdokumentation vorhanden ist. Sobald eine Anfrage eingeht, sollte klar sein, wer die Anfrage prüft und welche Schritte eingeleitet werden müssen, um die Auskunft fristgerecht erteilen zu können. Wichtig ist dabei vor allem eine nachvollziehbare Zusammenstellung der Datenkopie und die sichere Bereitstellung der Unterlagen.

Sie fragen sich, ob Ihre Datenschutzprozesse rund um das Beschäftigungsverhältnis den Anforderungen standhalten und wo noch Handlungsbedarf besteht?  Melden Sie sich gerne hier.

Fazit und Checkliste

Beschäftigtendatenschutz lässt sich in der Praxis gut beherrschen, wenn Unternehmen die relevanten Situationen entlang des Beschäftigungsverhältnisses strukturiert in den Blick nehmen und proaktiv Prozesse schaffen, die im Unternehmen praktikabel umgesetzt werden können.

Wer den eigenen Status überprüfen möchte, sollte mit einigen einfachen Leitfragen beginnen:

• Gibt es einen funktionierenden Onboarding-Prozess?
• Werden Datenschutzhinweise für Beschäftigte ausgehändigt?
• Gibt es eine aktuelle Vertraulichkeitsverpflichtung und wurde diese von allen Beschäftigten bestätigt?
• Sind verständliche interne Richtlinien vorhanden, aktuell und für alle abrufbar?
• Werden regelmäßige Datenschutz-Schulungen durchgeführt und dokumentiert?
• Ist der Umgang mit Fotos und Videos organisatorisch geregelt?
• Gibt es einen funktionierenden Prozess für das Offboarding?
• Gibt es ein Löschkonzept für Beschäftigtendaten in Personalsystemen?
• Gibt es einen praktikablen Prozess zur Beantwortung von Auskunftsanfragen?