§ 12 Datenschutzrecht / 3. Muster: Verpflichtung zur Vertraulichkeit für Mitarbeiter

Rz. 25

Muster 12.2: Verpflichtung zur Vertraulichkeit für Mitarbeiter

Muster 12.2: Verpflichtung zur Vertraulichkeit für Mitarbeiter

Verpflichtung zur Wahrung der Vertraulichkeit und zur Beachtung des Datenschutzes

Sehr geehrte/r Frau/Herr _____,

da Sie im Rahmen Ihrer Tätigkeit voraussichtlich mit personenbezogenen Daten in Kontakt kommen, sind Sie zur Beachtung des Datenschutzes, insbesondere zur Wahrung der Vertraulichkeit bei Verarbeitung personenbezogener Daten verpflichtet.

Ihre Verpflichtung besteht umfassend. Sie dürfen personenbezogene Daten ausschließlich nach Weisung verarbeiten. Weisungen zur Verarbeitung von personenbezogenen Daten können konkret (also zu einzelnen Vorgängen durch Ihre Vorgesetzten) oder abstrakt (z.B. durch unsere Datenschutzrichtlinie und Organisationsanweisung(en) zum Datenschutz) erteilt werden. Soweit wir personenbezogene Daten im Auftrag eines Dritten (Auftraggebers) verarbeiten, können auch Weisungen des Auftraggebers, insbesondere aufgrund der Verträge zur Auftragsverarbeitung, zu befolgen sein. Zudem dürfen Sie anderen Personen die ihnen zugänglichen Daten nicht unbefugt mitteilen oder zugänglich machen.

Ihre Verpflichtung besteht ohne zeitliche Begrenzung und auch nach Beendigung Ihrer Tätigkeit fort.

Unter Geltung der DSGVO können Verstöße gegen Datenschutzbestimmungen nach § 42 BDSG (Bundesdatenschutzgesetz) sowie nach anderen Strafvorschriften mit Freiheits- oder Geldstrafe geahndet werden. Datenschutzverstöße können zugleich eine Verletzung arbeits- oder dienstrechtlicher Pflichten bedeuten und entsprechende Konsequenzen bis hin zur fristlosen Kündigung haben.

Datenschutzverstöße sind ebenfalls mit möglicherweise sehr hohen Bußgeldern – im Einzelfall bis zu 20 Mio. EUR (und mehr) – für unser Unternehmen bedroht, die gegebenenfalls zu Ersatzansprüchen Ihnen gegenüber führen können.

Die nachfolgend angeführte Verpflichtungserklärung reichen Sie bitte unterschrieben an die Personalabteilung zurück.

_____ [Unterschrift]

Auszug aus relevanten Gesetzesbestimmungen:

Art. 4 DSGVO Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

1.	"personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden "betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind;
2.	"Verarbeitung" jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung;
7.	"Verantwortlicher" die natürliche oder juristische Person, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet;

Art. 29 DSGVO Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeiters

Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, dass sie nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung verpflichtet sind.

Strafvorschriften des § 42 BDSG

(1)

Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen, ohne hierzu berechtigt zu sein,

1.	einem Dritten übermittelt oder
2.	auf andere Art und Weise zugänglich macht

und hierbei gewerbsmäßig handelt.

(2)

Mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe wird bestraft, wer personenbezogene Daten, die nicht allgemein zugänglich sind,

1.	ohne hierzu berechtigt zu sein, verarbeitet oder
2.	durch unrichtige Angaben erschleicht

und hierbei gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen.

Die Tat wird nur auf Antrag verfolgt. Antragsberechtigt sind die betroffene Person, der Verantwortliche, die oder der Bundesbeauftragte und die Aufsichtsbehörde.

Herr/Frau _____

erkennt die Verpflichtung an, bei einer Verarbeitung personenbezogener Daten die Vertraulichkeit und Integrität der zu verarbeitenden Daten zu beachten, personenbezogene Daten ausschließlich nach Weisung zu verarbeiten und die Vorgaben...