Datenschutz-Checkliste für neue Beschäftigte

Bewerbungsphase

Auch wenn diese Checkliste vor allem den Zeitraum rund um den Arbeitsantritt betrifft, beginnt ein datenschutzkonformes Beschäftigungsverhältnis nicht erst am ersten Arbeitstag. Bereits im Bewerbungsverfahren und bei der Vorbereitung der Einstellung dürfen nur solche personenbezogenen Daten erhoben werden, die für die Entscheidung über die Einstellung und für die anschließende Durchführung des Arbeitsverhältnisses erforderlich sind. Personalfragebögen sollten daher regelmäßig daraufhin überprüft werden, ob alle abgefragten Angaben tatsächlich benötigt werden. Bewerber:innen sind außerdem transparent über die Verarbeitung ihrer Daten zu informieren.

Datenschutzhinweise für Beschäftigte

Sie alle kennen Datenschutzhinweise auf Websites. Informationspflichten müssen Unternehmen aber nicht nur gegenüber Websitebesuchenden, sondern auch gegenüber allen weiteren Betroffenengruppen erfüllen. Da Arbeitgeber jedenfalls Namen, Kontaktdaten und Kontodaten ihrer Beschäftigten verarbeiten, müssen sie auch gegenüber Beschäftigten die Informationspflichten der DSGVO beachten.

Nutzen Sie für die Datenschutzhinweisen am besten ein separates Dokument, welches den Beschäftigten bei Erhebung, also idealerweise gemeinsam mit dem Personalfragebogen oder den übrigen Onboarding-Unterlagen, zur Verfügung gestellt wird. Eine Unterschrift der Beschäftigten ist bei einseitigen Informationspflichten nicht notwendig. Eine dokumentierte Bestätigung der Kenntnisnahme kann aus Nachweisgründen jedoch sinnvoll sein.

Die Hinweise sollten regelmäßig aktualisiert werden. Dies gilt insbesondere, wenn sich Zwecke, Empfänger oder die Speicherdauer der Datenverarbeitung ändern.

Verpflichtung auf Vertraulichkeit

Personen, die im Rahmen ihrer Tätigkeit mit personenbezogenen Daten in Berührung kommen können, dürfen diese nach Art. 29 DSGVO ausschließlich auf Weisung des Verantwortlichen (also des Unternehmens) verarbeiten. Der Verantwortliche muss dies nach Art. 32 Abs. 4 DSGVO durch geeignete Maßnahmen sicherstellen. Aus Nachweisgründen sollten die Beschäftigten deshalb schriftlich über die Weisungsgebundenheit belehrt und auf die Vertraulichkeit verpflichtet werden.

Da es sich dabei um eine Belehrung zu einer im Gesetz verankerten Pflicht handelt, ist der Arbeitsvertrag nicht der richtige Ort für diese Verpflichtung. Stattdessen sollten Sie über ein gesondertes Dokument verfügen, welches nach Gegenzeichnung des Beschäftigten in der Personalakte abgelegt wird.

Innerhalb dieser „Verpflichtung auf die Vertraulichkeit“ können zusätzlich weitere wichtige Themen, wie z.B. das Verbot der privaten E-Mail-Nutzung integriert werden.

Einwilligung bei Fotonutzung

Wenn Sie Ihre Neueinsteiger:innen auf der Unternehmenswebsite, den Social-Media-Kanälen, im Intranet oder in sonstigen Kommunikationsmitteln mit einem Foto vorstellen möchten, denken Sie daran, dass Sie hierfür die Einwilligung des Beschäftigten benötigen. Aus Nachweisgründen sollte diese schriftlich eingeholt werden. Weitere Informationen dazu haben wir Ihnen hier zusammengestellt.

Vereinbarung zur Nutzung von IT-Systemen, Kommunikationsmitteln und zum mobilen Arbeiten

Vereinbarungen mit Beschäftigten zum Umgang mit IT-Systemen, digitalen Kommunikationsmitteln und zum mobilen Arbeiten können als organisatorische Maßnahme das Datenschutzniveau und die IT-Sicherheit erhöhen. Dazu gehören typischerweise Regelungen zum Verhalten am Arbeitsplatz sowie zum Umgang mit Passwörtern, mobilen Datenträgern, E-Mail, Internet, Cloud-Diensten und betrieblichen Endgeräten. Auch Vorgaben zur privaten Nutzung dienstlicher Kommunikationsmittel sowie zum Arbeiten im Home-Office sollten klar geregelt werden.

Vereinbarungen dieser Art sollten gesondert erstellt und den Beschäftigten zu Beginn des Anstellungsverhältnisses ausgehändigt werden. Zu Nachweiszwecken kann es sinnvoll sein, die Kenntnisnahme der Richtlinien von den Beschäftigten bestätigen zu lassen, zum Beispiel durch Unterzeichnung oder durch aktive Bestätigung in der Personalmanagement-Softwaren.

Einrichtung der Zutrittsrechte

Typischerweise benötigt der neue Mitarbeiter oder die neue Mitarbeiterin einen Schlüssel oder eine Chipkarte, um ihre tägliche Arbeit an ihrem Arbeitsplatz antreten zu können. Denken Sie daran, die Ausgabe entsprechend zu dokumentieren und Zutritt nur zu den Räumlichkeiten zu gewähren, die für die Erledigung der Aufgaben notwendig sind. Die vergebenen Zutrittsrechte sollten nicht nur zu Beginn, sondern auch bei internen Wechseln, längeren Abwesenheiten und spätestens beim Ausscheiden des Beschäftigten überprüft werden.

Einrichtung der Zugangsrechte zu IT-Systemen

Hierbei handelt es sich klassischerweise um ein Thema der IT. Denken Sie bei der Einrichtung der Zugänge zu den IT-Systemen daran, dass Beschäftigte nur auf solche personenbezogenen Daten Zugriff haben dürfen, die zur Erfüllung der Aufgaben benötigt werden. Maßgeblich ist insoweit das Need-to-Know-Prinzip. In der Praxis kann dies durch rollenbasierte Berechtigungskonzepte sichergestellt werden.

Wichtig ist außerdem, die vergebenen Zugangsrechte von Beginn an nachvollziehbar zu dokumentieren. So lässt sich später leichter prüfen, ob Berechtigungen noch erforderlich sind oder angepasst werden müssen.

Schulung der Beschäftigten

Beschäftigte müssen regelmäßig zum Datenschutz geschult werden. Es handelt sich dabei um eine Pflicht des Unternehmens, deren Einhaltung vom Datenschutzbeauftragten überwacht werden soll. Regelmäßig wird diese Schulung auch vom Datenschutzbeauftragten übernommen. Konkrete Schulungsinhalte werden durch die DSGVO nicht vorgegeben. Ihre Beschäftigten sollten aber einen Überblick zu den gesetzlichen Vorgaben, die internen Datenschutzprozesse und die unternehmensweiten Vorgaben zur IT-Sicherheit erhalten.

In der Praxis empfiehlt es sich zudem, typische Risiken aus dem Arbeitsalltag aufzugreifen. Dazu gehören der sichere Umgang mit personenbezogenen Daten im Home-Office, Sensibilisierung zu Phishing-Attacken, der Umgang mit Datenpannen und die sichere Nutzung von Kollaborationstools.

Die Schulung sollte unmittelbar nach Arbeitsantritt erfolgen und anschließend in regelmäßigen Abständen wiederholt werden. In der Praxis hat sich ein Rhythmus von ein bis zwei Jahren bewährt, ergänzt durch anlassbezogene Unterweisungen bei neuen Systemen, geänderten Prozessen oder relevanten Sicherheitsvorfällen.

Einführung in das Datenschutz-Management

Sofern Ihr Unternehmen bereits über ein dokumentiertes Datenschutzmanagement verfügt, sind alle Beschäftigten mit den relevanten Inhalten vertraut zu machen. Das kann im Zuge einer Schulung oder einer sonstigen Unterweisung stattfinden. Nur wenn die Beschäftigten die Prozesse zur Einhaltung datenschutzrechtlicher Vorgaben kennen, können sie diese auch befolgen. Dazu gehört insbesondere, dass neue Beschäftigte wissen, an wen sie sich bei Auskunftsersuchen, Löschanfragen, Datenschutzvorfällen oder Anfragen von Aufsichtsbehörden wenden müssen.

Beteiligung des Betriebsrats

Besteht im Unternehmen ein Betriebsrat, kann dieser bei Neueinstellungen zu beteiligen sein. Datenschutzrechtlich ist dabei darauf zu achten, dass dem Betriebsrat nur die Informationen und Unterlagen zur Verfügung gestellt werden, die er zur Wahrnehmung seiner Beteiligungsrechte im konkreten Einstellungsverfahren benötigt. Zusätzliche personenbezogene Daten, die hierfür nicht erforderlich sind, sollten nicht übermittelt werden.

Bewerbungs- und Einstellungsunterlagen können dem Betriebsrat auch digital zur Verfügung gestellt werden. Hierfür kann ein zeitlich begrenztes Einsichts- oder Leserecht ausreichend sein. Nach Abschluss des Beteiligungsverfahrens sollten Unterlagen, die für die Wahrnehmung der Beteiligungsrechte nicht mehr erforderlich sind, zurückgegeben oder gelöscht werden. Bei digital bereitgestellten Unterlagen sollte der Zugriff entsprechend beendet werden. Eine dauerhafte Aufbewahrung vollständiger Bewerbungsunterlagen durch den Betriebsrat ist regelmäßig nicht erforderlich.

Fazit

Alle der aufgelisteten Themen müssen bei jeder Neueinstellung beachtet werden. Eine Onboarding-Checkliste kann Ihnen dabei helfen, den Überblick nicht zu verlieren und sicherzustellen, dass datenschutzrechtliche Anforderungen nicht erst nachträglich berücksichtigt werden. Eine solche Liste eignet sich außerdem dazu weitere administrative und organisatorische Angelegenheiten außerhalb des Datenschutzes strukturiert zu erfassen.