Schlagwort: Datenschutzbeauftragter

EuGH urteilt zum Kündigungsschutz der Datenschutzbeauftragten

5. Juli 2022

Mit Urteil vom 22.06.2022 (C‑534/20) hat der Europäische Gerichtshof (EuGH) entschieden, dass der deutsche Sonderkündigungsschutz von Datenschutzbeauftragten aus § 38 Abs. 1 und 2 in Verbindung mit § 6 Abs. 4 Satz 2 Bundesdatenschutzgesetz (BDSG) europarechtskonform ist.

Der Sachverhalt

Eine Gesellschaft hatte ihrer internen Datenschutzbeauftragten ordentlich und aus betriebsbedingten Gründen gekündigt. Die Position der Datenschutzbeauftragten sollte zukünftig extern besetzt werden. Die Datenschutzbeauftragte wehrte sich gegen ihre Kündigung. Nach § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 Satz 2 BDSG könne sie als Datenschutzbeauftragte nur außerordentlich aus wichtigem Grund gekündigt werden. Eine ordentliche, betriebsbedingte Kündigung sei ausgeschlossen. Die deutschen Arbeitsgerichte gaben ihr Recht, die Kündigung sei nach § 134 BGB nichtig. Da die Gesellschaft stets Rechtsmittel einlegte, wurde die Streitigkeit letztlich dem Bundesarbeitsgericht (BAG) zur Entscheidung vorgelegt.

Das BAG war sich mit der Europarechtskonformität der in Frage stehenden Normen unsicher, konkret bezüglich der Vereinbarkeit mit Art. 38 DSGVO. Denn nach nationalem Recht in § 38 Abs. 2 in Verbindung mit § 6 Abs. 4 Satz 2 BDSG ist die Kündigung einer Datenschutzbeauftragten unzulässig, es sei denn Tatsachen lägen vor, die zur Kündigung aus wichtigem Grund ohne Einhaltung einer Kündigungsfrist, also zur außerordentlichen Kündigung, berechtigten. Eine ordentliche Kündigung ist damit ausgeschlossen. Im europäischen Recht in Art. 38 DSGVO hingegen, ist kein besonderer Kündigungsschutz für Datenschutzbeauftragte vorgesehen. Dort ist nur geregelt, dass die Datenschutzbeauftragte nicht wegen der Erfüllung ihrer Aufgaben abberufen werden kann. Somit gewähren die deutschen Normen des BDSG einen höheren Kündigungsschutz als die europäische DSGVO.

Deshalb legte das BAG das Verfahren dem EuGH vor, u.a. mit der Frage, ob das europäische Recht den strengeren deutschen Normen entgegensteht.

Die Entscheidung

Der EuGH entschied, dass die strengeren, deutschen Normen zum Kündigungsschutz mit dem europäischen Recht vereinbar sind. Art. 38 DSGVO steht den Regelungen des BDSG nicht entgegen.

Für seine Begründung verwies der EuGH auf den Wortlaut von Art. 38 DSGVO, das mit Art. 38 DSGVO verfolgte Ziel, eine Unabhängigkeit der Datenschutzbeauftragten zu gewährleisten, sowie den Zweck der DSGVO selbst. Diese solle nämlich nicht den Kündigungsschutz generell regeln.

Der EuGH führt dazu aus, dass: „es jedem Mitgliedstaat freisteht, in Ausübung seiner vorbehaltenen Zuständigkeit besondere, strengere Vorschriften für die arbeitgeberseitige Kündigung eines Datenschutzbeauftragten vorzusehen, sofern diese mit dem Unionsrecht und insbesondere mit den Bestimmungen der DSGVO, vor allem Art. 38 Abs. 3 Satz 2 DSGVO, vereinbar sind.“ Insbesondere dürfe „ein strengerer Schutz die Verwirklichung der Ziele der DSGVO nicht beeinträchtigen. Dies wäre aber der Fall, wenn dieser Schutz jede durch einen Verantwortlichen oder einen Auftragsverarbeiter ausgesprochene Kündigung eines Datenschutzbeauftragten verböte, der nicht mehr die für die Erfüllung seiner Aufgaben erforderlichen beruflichen Eigenschaften besitzt oder seine Aufgaben nicht im Einklang mit der DSGVO erfüllt.“ Die Verwirklichung der Ziele der DSGVO sah der EuGH hier nicht gefährdet, denn eine Kündigung der Datenschutzbeauftragten ist im deutschen Recht grundsätzlich möglich.

3G- Nachweispflicht entfällt – Was passiert mit den Gesundheitsdaten?

24. März 2022

In ihrer Stellungnahme vom 23.März 2022 äußert sich die Datenschutzbeauftragte des Landes NRW zu den datenschutzrechtlichen Folgen des ab dem 20. März 2022 entfallenen 3G- Nachweises am Arbeitsplatz.

Zuvor galt nach § 28 b Abs. 3 S. 1 IfSG a.F. die Pflicht des Arbeitsgebers, den sog. 3G-Nachweis über eine bestehende Impfung, Genesung oder Negativtestung zu überwachen und zu dokumentieren. Den Arbeitgebern wurde es nach § 28 b Abs. 3 IfSG a.F. ausdrücklich gestattet personenbezogene Daten zu verarbeiten, um sicherzustellen, dass, wie in § 28 b Abs. 1 S. 1 IfSG a.F. vorgesehen, nur Personen mit 3G-Nachweis die Arbeitsstätte betreten. Die Änderung des Infektionsschutzgesetzes  mit Wirkung zum 20. März 2022 hat zur Folge, dass § 28 b IfSG keinen 3G-Nachweis am Arbeitsplatz mehr verlangt.

Demnach entfällt auch die Rechtsgrundlage zur Verarbeitung von Gesundheitsdaten, die besondere personenbezogene Daten iSd Art. 9 Abs. 1 DSGVO darstellen. Vor diesem Hintergrund weist die Datenschutzbeauftragte des Landes NRW darauf hin, dass gesammelte Daten 6 Monaten nach Erhebung zu löschen seien. Außerdem geht sie davon aus, dass bereits jetzt Gesundheitsdaten zu löschen sein könnten, weil die entsprechende Rechtsgrundlage aufgehoben wurde.

In der Praxis sind beispielsweise Vermerke des Arbeitsgebers über den Impfstatus seiner Angestellten umgehend bzw. spätestens in sechs Monaten zu löschen. Die Datenschutzbeauftragte des Landes NRW weist insbesondere darauf hin, dass ein Arbeitsgeber, der den Impfausweis der Angestellten kopiert oder gescannt hat, diesen Nachweis spätestens jetzt löschen sollte. Dies gelte umso mehr, als das diese Vorgehensweise bereits nach alter Rechtslage untersagt war.

Zur Löschung der Gesundheitsdaten müssen diese „ ‚(…) vollständig und unwiderruflich vernichtet werden.‘ “ Laut der Datenschutzbeauftragten des Landes NRW soll bei der Löschung von Daten in Papierform ein geeigneter Aktenvernichter verwendet werden. Es reiche nicht aus, diese einfach zu zerreißen. 

OLG München urteilt, dass externer Datenschutzbeauftragter nicht als Verantwortlicher haftet

8. November 2021

Mit Urteil vom 27.10.2021 hat das Oberlandesgericht München (20 U 7051/20) u.a. entschieden, dass ein externer Datenschutzbeauftragter nicht als Verantwortlicher für DSGVO-Verstöße haftet.

Sachverhalt

Die Hausverwaltung einer Wohnanlage hatte an alle 97 Wohnungseigentümer Einladungen zur Eigentümerversammlung geschickt. Grund für die Versammlung war ein Legionellen-Befall im Trinkwasser. In der Tagesordnung für die Versammlung wurden die Eigentümer, in deren Wohnungen Legionellen-Befunde vorlagen, namentlich genannt. Einer dieser Eigentümer forderte die Hausverwaltung zunächst auf, seinen Namen zu schwärzen bzw. zu entfernen. Als dies nicht geschah, verklagte er die Hausverwaltung, sowie deren externen Datenschutzbeauftragten (DSB). Der Kläger sah seinen Ruf geschädigt und führte an, ein potentieller Käufer der Wohnung habe aufgrund der Informationen über den Legionellen-Befall den Kauf abgesagt. Der Kläger verlangt aufgrund der namentlichen Nennung in der Tagesordnung Schadensersatz nach Art. 82 Abs. 1 DSGVO von der Hauverwaltung und dem externen Datenschutzbeauftragten. Der Kläger führt an, der Datenschutzbeauftragte habe den Verstoß gegen die DSGVO auch in einer E-Mail eingeräumt.

Entscheidung

Das OLG München schloss sich der Vorinstanz, dem LG Landshut, an und verneinte einen DSGVO-Verstoß. So sei die namentliche Nennung im konkreten Fall rechtmäßig nach Art. 6 Abs. 1 lit c), lit f) DSGVO gewesen. Sie sei erforderlich gewesen, um die übrigen Eigentümer mit allen notwendigen Informationen zu versorgen. Sie sollten bei der Versammlung selbst in der Lage sein, u.a. gezielt Rückfragen an die Betroffenen zu stellen und Redebeiträge einordnen zu können. Eine Wohnungseigentümergemeinschaft sei außerdem keine anonyme Gemeinschaft.

Gegen den externen Datenschutzbeauftragten könne der Anspruch außerdem schon deswegen nicht greifen, weil dieser nicht Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO sei. In der vom Kläger benannten E-Mail, in der der Datenschutzbeauftragte einen DSGVO-Verstoß eingeräumt haben sollte, konnte das OLG keinen Rechtsbindungswillen entdecken, sodass auch kein Schuldanerkenntnis vorliege.

Grundsätzliches

Datenschutzbeauftragte beraten und unterstützen zwar den Verantwortlichen, sie sind aber selbst keiner. Deswegen können gegen sie keine Schadensersatzansprüche aus Art. 82 DSGVO geltend gemacht werden. Diese richten sich nämlich dem Wortlaut der Norm nach nur gegen den Verantwortlichen oder den Auftragsverarbeiter.

Personalunion von Betriebsratsvorsitzenden und Datenschutzbeauftragten

5. Mai 2021

Das Bundesarbeitsgericht musste sich mit der Frage befassen, ob das Amt des Vorsitzenden eines Betriebsrats in Personalunion mit dem Amt des Datenschutzbeauftragten ausgeübt werden darf. Dafür soll nun per Vorabentscheidungsersuchen geklärt werden, ob die hohen Anforderungen, die das deutsche Recht an die Abberufung eines betrieblichen Datenschützers stellt, mit der europäischen Datenschutzgrundverordnung im Einklang stehen.

Vorausgegangen war eine Klage eines Betriebsratsvorsitzenden eines Unternehmens, welcher zusätzlich zum betrieblichen Datenschutzbeauftragten bestellt wurde. Nach Inkrafttreten der DSGVO im Jahr 2018 wurde der Kläger jedoch von dem beklagten Unternehmen in seiner Funktion als Datenschutzbeauftragter abberufen. Gründe dafür seien mögliche Interessenskollisionen zwischen der beiden von ihm ausgeübten Positionen, welche einen wichtigen Grund für die Abbestellung im Sinne des §§ 38 Abs. 2, 6 Abs. 4 BDSG i.V.m. § 626 BGB darstellen.

In einem Vorabentscheid soll der EuGH nun ergründen, ob diese hohen Anforderungen des deutschen Rechts mit dem Unionsrecht im Einklang stehen. Dieses schreibt in Art. 38 der DSGVO lediglich vor, dass eine Abbestellung nur dann nicht erfolgen darf, wenn sie wegen der Aufgabenerfüllung des Datenschutzbeauftragten vorgenommen wird.

Sollte der Gerichtshof die Anforderungen des BDSG an eine Abberufung für unionsrechtskonform erachten, ergibt sich die Folgefrage, ob die Ämter des Betriebsratsvorsitzenden und des Datenschutzbeauftragten in einem Betrieb in Personalunion ausgeübt werden dürfen oder ob dies zu einem Interessenkonflikt iSv Art. 38 Abs. 6 Satz 2 DSGVO führt. In einem früheren Urteil wurde vom BAG in Erfurt eine solche Personalunion als vereinbar erklärt. Das Urteil wurde jedoch im Jahr 2011 – und damit vor dem Inkrafttreten der DSGVO – verkündet.

Unverzichtbarkeit betrieblicher Datenschutzbeauftragter während Kurzarbeit

5. Juni 2020

Mit einer Stellungnahme vom 27.05.2020 erklärte der Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, dass betriebliche Datenschutzbeauftragte auch während einer (Corona-bedingten) Kurzarbeit im Unternehmen unverzichtbar sind.

Denn auch für den Fall, dass ein Verantwortlicher in seinem Unternehmen Kurzarbeit einführt – dass also entweder in geringerem Umfang weitergearbeitet oder vorübergehend die gesamte Tätigkeit eingestellt wird – bleibt das Unternehmen an sich bestehen. Betriebliche Dateschutzbeauftragte sind insbesondere deswegen weiterhin von Bedarf, da Kunden- und Geschäftsbeziehungen auch während einer Kurzarbeit bestehen bleiben. Somit werden auch weiterhin personenbezogene Daten verarbeitet. Auch bringt die Corona-Pandemie neue datenschutzrechtliche Herausforderungen mit sich. So wurden durch Betriebe vermehrt Home-Office angeordnet oder Konferenzen und Besprechungen per Videosysteme abgehalten. Ebenso mussten teilweise die innerbetrieblichen Kommunikationswege mit neuen elektronischen Systemen und Anbietern sichergestellt werden.
Es obliegt weiterhin dem Verantwortlichen gemäß Art. 38 Abs. 2 der Datenschutz-Grundverordnung (DSGVO), dem Datenschutzbeauftragten zu ermöglichen, Kontroll- und Beratungsaufgaben wahrzunehmen.

Auch die Pflicht, einen Datenschutzbeauftragten nach Bundesdatenschutzgesetz (BDSG) zu benennen, besteht weiter. Dass in § 38 Abs. 1 S. 1 BDSG festgelegt ist, dass Verantwortliche dann einen Datenschutzbeauftragten zu benennen haben, „…soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“, soll nicht heißen, dass damit jegliche kurzzeitige Veränderung in Betriebsabläufen gemeint ist. Vielmehr muss hier eine langfristige Betrachtung der Verarbeitungsvorgänge vorgenommen werden. Solange auch im Anschluss an die Kurzarbeit mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, ist die Pflicht zur Bennenung eines Datenschutzbeauftragten nach Bundesdatenschutzgesetz gegeben.

Möglich ist, den Arbeitszeitumfang eines betrieblichen Datenschutzbeauftragten, der vor der Kurzarbeit in Vollzeit tätig war, zu verringern. Es muss jedoch stets gewährleistet sein, dass er seinen datenschutzrechtlichen Pflichten uneingeschränkt nachkommen kann.
Um dies zu gewährleisten, muss dem Datenschutzbeauftragten des Weiteren mit geeigneten Maßnahmen durch den Verantwortlichen ermöglicht werden, telefonisch und/oder per E-Mail erreichbar zu sein und ihre Posteingänge prüfen zu können.

Kategorien: Allgemein · DSGVO
Schlagwörter: , , ,

Bundesrats-Ausschüsse empfehlen die Befreiung von der Benennungspflicht von Datenschutzbeauftragten

9. Oktober 2018

Mit dem Ziel Vereine, Freiberufler und kleine oder mittelständische Unternehmen (kurz KMU) hinsichtlich der Pflichten zur Einhaltung datenschutzrechtlicher Anforderungen zu entlasten, haben zwei Bundesratsausschüsse, namentlich der Ausschuss für Innere Angelegenheiten und der Wirtschaftsausschuss, nach einer Bekanntgabe auf Twitter durch Prof. Jürgen Taeger empfohlen, die in § 38 BDSG geregelte Pflicht zur Benennung eines Datenschutzbeauftragten ab einer Mitarbeiteranzahl von zehn Personen abzuschaffen oder zumindest zu Gunsten der Verantwortlichen aufzulockern.

Vorgeschlagen wurde, die Pflicht gänzlich abzuschaffen oder die Pflicht auf Unternehmen zu begrenzen, die entweder personenbezogene Daten „zu gewerblichen Zwecken“ verarbeiten oder zumindest 50 Mitarbeiter beschäftigen, die mit der Verarbeitung personenbezogener Daten beauftragt sind.

Fraglich ist jedoch, wie die empfohlenen Änderungen im Rahmen der Benennungspflicht die genannten Arten der verschiedenen verantwortlichen Stellen tatsächlich entlasten würden. Denn die Auflockerung der bloßen Benennungspflicht bedeutet nicht, dass dies auch positive Auswirkungen im Hinblick auf die weiteren datenschutzrechtlichen Pflichten, insbesondere aus der DSGVO haben würde. Weiterhin müssten die Verantwortlichen den großen Pflichtenkatalog aus der DSGVO genauso erfüllen wie bisher, nur, dass sie im Zweifel dann keinen Datenschutzbeauftragten mehr benennen müssten, der eine besondere Fachkenntnis vorweisen muss. Es ist daher anzunehmen, dass das Abmahn- und Bußgeldrisiko daher sogar im Vergleich zur derzeitigen Lage steigen könnte.

Im Ergebnis ist die Entwicklung hinsichtlich der Empfehlungen der beiden Bundesratsausschüsse mit Spannung zu verfolgen – sinnvoll erscheinen diese bis dato allerdings wenig.

Umgang mit der DSGVO in Vereinen

27. Juni 2018

Die EU-Datenschutzgrundverordnung beschäftigt derzeit auch die vielen Vereine. Um den Anforderungen der Verordnung gerecht zu werden, sollten einige Umsetzungsmaßnahmen auch in den einzelnen Vereinen erfolgen.

Neben der Erstellung eines Verarbeitungsverzeichnisses nach Art. 30 DSGVO, sollten neben einer möglichen Einwilligung,  personenbezogene Daten nur verarbeitet werden, wenn eine Rechtsgrundlage hierfür gegeben ist. Bei Vereinen dürfte der Vertrag über die Mitgliedschaft in Verbindung mit der Vereinssatzung in den meisten Fällen als Rechtsgrundlage i.S.d. Art 6 DSGVO dienen. Für einen Newsletterversand u.Ä. wäre darüber hinaus jedoch eine datenschutzkonforme Einwilligungserklärung nötig.

Die Mitglieder müssen zudem über die Datenverarbeitungsvorgänge informiert werden. Um möglichen Abmahnungen zu entgehen, sollten Vereine die Vereinswebsite prüfen und eine Datenschutzerklärung einfügen.

Es empfiehlt sich, ob rechtlich verpflichtet oder nicht, einen Datenschutzbeauftragten zu benennen, um im Verein einen Anpsprechpartner zu etablieren, der einen Überblick über die Datenschutzthemen behält.

Anordnung des Hamburger Datenschutzbeauftragten gegen Google hat Bestand

26. Januar 2018

Ein von Google angestrengtes Verfahren vor dem VG Hamburg bleibt ohne Erfolg. Die beanstandete Anordnung des Hamburger Datenschutzbeauftragten Johannes Caspar hat Bestand.

Der Konzern hatte sich gegen eine Anordnung des Hamburger Datenschutzbeauftragten gewendet, die Googles Verhalten bei der Sammlung von Nutzerdaten betraf. Sie sollte gewährleisten, dass der Datenschutz, bei der Verarbeitung personenbezogener Daten von Nutzern, beachtet wird. Kritisiert wurde insbesondere, dass Google seine Nutzer nicht über die Zwecke der Verwendung informierte. Zusätzlich wurde kritisiert, dass umfassende Profile der Nutzer erstellt wurden, ohne eine ausreichende Rechtsgrundlage für die Zusammenführung der Daten aufzuweisen. Schließlich bemängelte er, dass eine Speicherdauer der Daten nicht geregelt sei. Insgesamt sah der Hamburger Datenschutzbeauftragte in diesen Maßnahmen von Google tiefgreifende Eingriffe in die schutzwürdigen Interessen betroffener Nutzer.

Der Datenschutzbeauftrage Caspar kam dabei zum selben Ergebnis wie die Artikel-29-Gruppe der europäischen Datenschutzbeauftragten. Anlass der Untersuchung durch die Artikel-29-Gruppe war die Änderung der Datenschutzerklärung von Google im Jahr 2012.

Zwar nutzte Google die möglichen Rechtsmittel gegen die Anordnung, jedoch suchte der Konzern gleichzeitig mit den beteiligten Aufsichtsbehörden einen Konsens, um die bemängelten Punkte zu beheben. Mittlerweile erfolgte laut Johannes Caspar eine Abstimmung mit den Aufsichtsbehörden, sodass das Verfahren vor dem VG Hamburg nun eingestellt werden konnte. Damit hat die Anordnung nun rechtskräftig Bestand.

Laut Caspar wurde ein Zeichen gesetzt, für die Stärkung von Transparenz und informationeller Selbstbestimmung. Zudem merkte er an, dass zukünftig durch die DSGVO ein strikteres Koppelungsverbot gelten werde und so die Marktmacht globaler Anbieter noch stärker begrenzt werde.

 

Umfrage: Defizite beim Datenschutz in kleinen und mittleren Unternehmen

2. Juli 2015

Viele deutsche Unternehmen mit weniger als 100 Mitarbeitern haben in Sachen Datenschutz deutlichen Nachholbedarf, wie eine Umfrage des Aktenvernichtungsunternehmens Shred-it jüngst ergab.

Fast drei Viertel der Unternehmen sollen beispielsweise keine Regelungen aufgestellt haben, die die datenschutzkonforme Aufbewahrung und insbesondere auch Vernichtung von vertraulichen Daten thematisieren. Unsicherheit bestehe bereits im Vorfeld bei der Frage, welche Daten tatsächlich als vertraulich einzustufen und damit sicher aufzubewahren und zu vernichten sind. So gaben 35 Prozent der Befragten an, dass ihre Unternehmen über keine Dokumente verfügen, deren Verlust sich geschäftsschädigend auswirken würde. Bei dieser Angabe wird außer Acht gelassen, dass fast ausnahmslos jedes Unternehmen personenbezogene Daten – etwa von Mitarbeitern, Kunden, externen Dienstleistern – erhebt und verarbeitet. Personenbezogene Daten fallen unter das Bundesdatenschutzgesetz und sind insoweit auch stets vertrauliche Informationen. Der Verlust von personenbezogenen Daten kann zum einen zu Imageschäden führen,  zum anderen auch als Ordnungswidrigkeit oder Strafbarkeit einzustufen sein. Auch besteht u.U. eine Verpflichtung zur Information, wenn besondere Datenkategorien betroffen sind und der Verlust der Daten zu einer unrechtmäßigen Kenntniserlangung durch Dritte geführt hat.

Ein interner oder auch externer Datenschutzbeauftragter gibt die erforderliche Hilfestellung bei Fragen der Klassifizierung, der Aufbewahrung und der rechtskonformen Löschung von Daten und natürlich auch der Einhaltung des Datenschutzes insgesamt. Allerdings haben lediglich ein Fünftel der befragten kleinen und mittelständischen Unternehmen einen solchen bestellt – anders als bei Unternehmen mit mehr als 250 Mitarbeitern, wo immerhin 92 Prozent einen Datenschutzbeauftragten bestellt haben.

 

Erneute Kritik an Unister: Verstoß gegen Datenschutz?

17. Dezember 2012

Nachdem am Freitag der dritte Manager der Leipziger Internetfirma Unister, der zu den Führungskräften gehört, gegen die wegen Steuerhinterziehung ermittelt wird, verhaftet worden sein soll, soll der Konzern Medienberichten zu folge auch gegen Datenschutzrecht verstoßen haben.

Einer der Geschäftsführer der Internetfirma fungiere zugleich als betrieblicher Datenschutzbeauftragter. Dies verstoße jedoch gegen § 4f BDSG, da er als Mitgesellschafter wirtschaftliche Eigeninteressen besäße, somit einer Interessenkollision unterliege und damit den Schutz sensibler Kundendaten nicht gewährleisten könne.

Zudem soll Unister Anfang Dezember laut Bericht des mdr vor dem Verwaltungsgericht Leipzig ein Verfahren gegen den Sächsischen Datenschutzbeauftragten verloren haben, das Unister nun zu einer Offenlegung seiner Datenverarbeitungsprozesse verpflichte. Die Entscheidung sei jedoch noch nicht rechtskräftig.

1 2