Fachbeiträge & Kommentare zu Datenschutz-Grundverordnung

Überblick Der Beitrag liefert einen Überblick zum Mitarbeiterdatenschutz im Zusammenhang mit Übermittlungen personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums ("EWR"). Hierbei werden die Vorgaben der Europäischen Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) berücksichtigt sowie die Regelungen des Bundesdatenschutzgesetzes. Eingegangen wir...mehr

Seit dem 25.5.2018 gilt für die Verarbeitung von personenbezogenen Daten und somit auch für die Verarbeitung von Mitarbeiterdaten die Europäische Datenschutz-Grundverordnung ("DSGVO"). Die DSGVO wird durch die Vorschriften des Bundesdatenschutzgesetzes vom 30.6.2017 ( "BDSG") ergänzt. Die DSGVO und das BDSG 2018 lösen damit die Vorschriften des Bundesdatenschutzgesetzes in de...mehr

Die Ausnahmen des Art. 49 DSGVO haben für Arbeitgeber eine eher untergeordnete Rolle. Denn selbst wenn diese Spezialfälle zutreffen, sind die Ausnahmen eng auszulegen und dürfen entsprechend den Vorgaben des EDSA nicht als Rechtsgrundlage für regelmäßige Drittstaatentransfers von Daten einer Vielzahl von Personen herangezogen werden.[1]mehr

Derzeit hat die Europäische Kommission Angemessenheitsbeschlüsse nach Art. 45 DSGVO für folgende Drittländer veröffentlicht: Andorra, Argentinien, Färöer-Inseln, Guernsey, Isle of Man, Israel (eingeschränkt), Japan, Jersey, Kanada (eingeschränkt), Neuseeland, Schweiz, Südkorea, Uruguay, Vereinigtes Königreich (eingeschränkt) und Vereinigte Staaten von Amerika (eingeschränkt)...mehr

Neben den Standardvertragsklauseln können sich Verantwortliche auch auf andere geeignete Garantien berufen, um Datenübermittlungen in Drittländer zu legitimieren. Einzeln ausgehandelte Vertragsklauseln Vertragsparteien können die Vertragsklauseln einzeln aushandeln, um sie als geeignete Garantie zu nutzen. Allerdings müssen diese Klauseln einen Genehmigungsprozess durch die zu...mehr

Nach § 26 BDSG ist der Arbeitgeber berechtigt, personenbezogene Daten des einzelnen Beschäftigten nur zu bestimmten Zwecken zu erheben, zu verarbeiten oder zu nutzen. Allerdings ist die Norm nach der neuesten Rechtsprechung des EuGH[1] nicht mehr anwendbar, weil sie gegenüber der DSGVO keinen weitergehenden, eigenständigen Regelungsgehalt besitzt. Somit muss auch für die dat...mehr

Gemäß der DSGVO dürfen personenbezogene Daten von Mitarbeitern grundsätzlich nur dann an Drittländer übermittelt werden, wenn das durch die DSGVO gewährleistete Schutzniveau nicht untergraben wird. So sind Datenübermittlungen nur dann zulässig, wenn ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO vorliegt, der ein angemessenes Schutzniveau im Drit...mehr

Begriff Unter Personalakte ist jede Sammlung von Urkunden und Vorgängen durch den Arbeitgeber zu verstehen, die Angaben zu den persönlichen und dienstlichen Verhältnissen des Arbeitnehmers enthalten und in einem inneren Zusammenhang mit dem Arbeitsverhältnis stehen. Eine Personalakte liegt unabhängig davon vor, an welcher Stelle die Sammlung geführt wird und welche Form (nor...mehr

Bezüglich der Standardvertragsklauseln hat der EuGH entschieden[1], dass diese grundsätzlich weiterhin genutzt werden können. Allerdings muss ergänzend sichergestellt sein, dass auch tatsächlich ein Schutzniveau für die personenbezogenen Daten vorliegt, das dem in der Europäischen Union entspricht. Insbesondere bei extensiven Zugriffsbefugnissen staatlicher Behörden im Dritt...mehr

Sowohl die Führung als auch die Aufbewahrung der Personalakte muss dem Grundsatz der Vertraulichkeit genügen. Der Grundsatz der Vertraulichkeit wird u. a. in Art. 5 Abs. 2f DSGVO konkretisiert. Der Arbeitgeber ist verpflichtet, die Personalakten sorgfältig zu verwahren, bestimmte Informationen (insbesondere über den Gesundheitszustand und allgemeine Aussagen über die Persönl...mehr

Auf der Grundlage der Privacy-Shield-Übereinkunft zwischen der EU und den USA hatte die EU-Kommission 2016 in einem Durchführungsbeschluss festgestellt, dass die USA ein angemessenes Schutzniveau für personenbezogene Daten gewährleisten und eine Datenübermittlung demnach nach Art. 45 DSGVO zulässig ist. Der EuGH[1] hat diesen Durchführungsbeschluss zum Privacy Shield für unw...mehr

Die Neuen Standardvertragsklauseln sind für Arbeitgeber dann relevant, wenn der Arbeitgeber (entweder direkt oder indirekt) der DSGVO unterliegt; und der Arbeitgeber personenbezogene Daten in Länder übermittelt oder übermitteln wird, die keine EU-Länder sind oder nicht über einen Angemessenheitsbeschluss der Europäischen Kommission verfügen. Die Neuen Standardvertragsklauseln s...mehr

Die Neuen Standardvertragsklauseln decken einen breiteren Bereich ab. Sie sind modular aufgebaut, sodass Importeur und Exporteuer diejenigen Klauseln auswählen können, die im Hinblick auf die für sie relevante(n) Art(en) der Datenübermittlung einschlägig sind. Während zuvor nur Übermittlungen von Verantwortlichen an Verantwortliche und Übermittlungen von Verantwortlichen an D...mehr

Jeder Arbeitnehmer hat das Recht, in die über ihn geführten vollständigen Personalakten Einsicht zu nehmen. Das Einsichtsrecht folgt im laufenden Arbeitsverhältnis aus § 83 Abs. 1 Satz 1 BetrVG für alle betriebsangehörigen Beschäftigten, die dem Anwendungsbereich des Betriebsverfassungsgesetzes unterfallen. Die Norm ist als individualrechtlicher Anspruch konzipiert, auf das ...mehr

Eine Übermittlung personenbezogener Daten in das Vereinigte Königreich ist trotz des Brexits weiterhin ungehindert möglich, da die Europäische Kommission in Form eines Angemessenheitsbeschlusses im Juni 2021 festgestellt hat, dass das Datenschutzniveau im Vereinigten Königreich dem in der EU entspricht und aus diesem Grund keine Standardvertragsklauseln oder zusätzliche Date...mehr

Einfluss nationaler Rechtsvorschriften Sowohl Exporteure als auch Importeure müssen zukünftig versichern, dass sie keinen Grund zu der Annahme haben, dass die Rechtsvorschriften und Gepflogenheiten im Bestimmungsland, einschließlich Offenlegungs- und Überwachungsvorschriften, den Datenimporteur an der Erfüllung seiner Pflichten gemäß den Neuen Standardvertragsklauseln hindern...mehr

Ausgangsfall Anwendbarkeit bei Exporteuren mit Sitz außerhalb der EU und für Rückübermittlungen (Datenverarbeiter an Verantwortliche) Datenexporteure müssen nicht mehr in der EU ansässig sein, um die Neuen Standardvertragsklauseln anwenden zu können. Die Neuen Standardvertragsklauseln decken auch ein Szenario ab, in dem personenbezogene Daten von einem Exporteur mit Sitz auße...mehr

Der Bayerische Landesbeauftragte für den Datenschutz hat eine Orientierungshilfe für internationale Datentransfers veröffentlicht, die ein mehrstufiges Prüfungsschema vorsieht, anhand dessen verantwortliche Arbeitgeber die Zulässigkeit ihrer Übermittlung von Mitarbeiterdaten in ein Drittland beurteilen können.[1] Hierbei wird zunächst gefragt, ob für das entsprechende Drittla...mehr

Arbeitgeber sollten zunächst die Gelegenheit nutzen und internationale Datenübermittlungen ihrer Organisation in weiterem Sinne unter die Lupe nehmen. Ein korrektes und aktuelles Verzeichnis aller Verarbeitungstätigkeiten gemäß Art. 30 DSGVO ist bei dieser Betrachtung von großer Wichtigkeit. Anschließend sollte ermittelt werden, welche Rechtsgrundlagen für die Datenübermittl...mehr

Verantwortliche müssen angesichts des Schrems II-Urteils anschließend prüfen, ob die gewählte Übermittlungsmethode ein wirksames Mittel darstellt, um ein "der Sache nach gleichwertiges" Schutzniveau für die personenbezogenen Daten im Bestimmungsland zu gewährleisten. So können die implementierten Klauseln und damit ein angemessenes Datenschutzniveau insbesondere dann untermi...mehr

Die Parteien können die Neuen Standardvertragsklauseln durch zusätzliche Pflichten ergänzen, wenn dies für die jeweilige Datenübermittlungsvereinbarung erforderlich ist. Bei Widersprüchen zwischen den Neuen Standardvertragsklauseln und anderen Bestimmungen, die zwischen den Parteien vereinbart wurden, haben die Neuen Standardvertragsklauseln jedoch Vorrang. Die Neuen Standar...mehr

Der Arbeitgeber ist arbeitsrechtlich gegenüber dem Arbeitnehmer nicht zur Führung einer Personalakte verpflichtet. Er wird jedoch kaum anders als durch Führung von Personalakten den arbeits-, handels-, gesellschafts- und steuerrechtlich gebotenen Pflichten nachkommen und z. B. die für Krankheitsfälle notwendige Abrechnung der Entgeltfortzahlung gegenüber den gesetzlichen Kra...mehr

Eine Legaldefinition des Begriffs der Personalakte besteht nicht. Gesetzliche, aber auch tarifvertragliche Normen setzen den Begriff regelmäßig voraus (vgl. § 83 BetrVG, § 3 Abs. 5 TVöD-AT). Das BAG unterscheidet zwischen dem formellen und dem materiellen Personalaktenbegriff.[1] Personalakten im formellen Sinn sind danach die Schriftstücke, die der Arbeitgeber als "Personal...mehr

Für die Bestimmung von Reichweite und Grenzen des Inhalts der Personalakte sind die divergierenden Interessen von Arbeitnehmer und Arbeitgeber zu berücksichtigen und gegeneinander abwägen.[1] Die Personalakte soll ein möglichst vollständiges, wahrheitsgemäßes und sorgfältiges Bild über die persönlichen und dienstlichen Verhältnisse des Arbeitnehmers geben.[2] Deshalb gehören...mehr

Die digitale Aufzeichnung, Speicherung und Verwertung von Gesundheitsdaten und -aktivitäten bringt auch Hürden und Herausforderungen mit sich. So führt die zunehmende Digitalisierung zu einer erhöhten Datensammlung mit der Gefahr, dass die Daten nicht im Sinne der Person, von der sie stammen, verwendet werden. In diesem Zusammenhang rücken insbesondere die Themen Akzeptanz u...mehr

Rz. 64 Der durch das AReG neu eingefügte Abs. 5 dient der Umsetzung von Art. 23 Abs. 5 Unterabs. 1 und 3 der überarbeiteten Abschlussprüferrichtlinie. Die Regelung normiert eine Übermittlungsbefugnis (keine Übermittlungspflicht) des Abschlussprüfers an den Konzernabschlussprüfer des in einem Drittland ansässigen MU und entspricht somit den Regelungen des Abs. 4. Rz. 65 Besond...mehr

Rz. 193 Abbruchkosten: Für vertragliche Verpflichtungen zum Abbruch von Gebäuden auf fremdem Grund und Boden besteht Rückstellungspflicht.[1] Die Rückstellungsbildung erfolgt als sog. unechte Ansammlungsrückstellung bzw. Verteilungsrückstellung.[2] Für öffentlich-rechtliche Verpflichtungen ist analog zu verfahren, soweit mit einer hinreichenden Wahrscheinlichkeit der Inanspr...mehr

Rz. 11 Die Regelung gilt unmittelbar für KapG und infolge von § 264a HGB auch für KapCoGes. Hierbei ist zu beachten, dass die Einbeziehung Letzterer auf die Rechtsprechung des EuGH zurückzuführen ist.[1] Im Schrifttum wird diskutiert, inwieweit die Vorschrift gegen das Grundrecht des Datenschutzes verstößt.[2] Dies gilt speziell für den Fall, dass eine Ges. nur einen oder we...mehr

Rz. 12 Widerruft der Versicherte seine Einwilligung, werden die entsprechenden Daten im Forschungsdatenzentrum gelöscht (Satz 1). Der Versicherte kann seine Einwilligung nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen. Die entsprechenden Daten sind zu löschen (Art. 17 Abs. 1 Buchst. b DSGVO). Das Löschverfahren folgt dem Verfahren nach Abs. 3 (Satz ...mehr

Rz. 4 Die freigegebenen Daten werden an das Forschungsdatenzentrum (§ 303d) übermittelt (Satz 1). Dazu ist eine informierte Einwilligung des Versicherten erforderlich (Abs. 5). Bevor der Versicherte die Datenfreigabe ausspricht, ist er umfassend über Art und Weise der weiteren Datenverarbeitung zu informieren. Es handelt sich um eine Verarbeitungsbefugnis i. S. d. Art. 6 Abs...mehr

Rz. 16 Neben der Weitergabe von Daten im Datentransparenzverfahren kann der Versicherte seine Daten für ein bestimmtes Forschungsvorhaben oder bestimmte Bereiche der wissenschaftlichen Forschung freigeben. Die Freigabe fällt nicht unter das Diskriminierungsverbot (§ 335 Abs. 2). Eine informierte Einwilligung ist erforderlich. Die technischen Festlegungen trifft die gematik. ...mehr

Rz. 6 Die für die Datenverarbeitung in der elektronischen Patientenakte verantwortlichen Krankenkassen (§ 341 Abs. 4) pseudonymisieren und verschlüsseln die mit der informierten Einwilligung freigegebenen Daten und versehen sie mit einer Arbeitsnummer (Satz 1). Das Forschungsdatenzentrum erhält die pseudonymisierten und verschlüsselten Daten und die Arbeitsnummer. Die Vertra...mehr

Rz. 11 Die informierte Einwilligung setzt voraus, dass der Versicherte umfassend über die Freiwilligkeit der Datenfreigabe, die pseudonymisierte Datenübermittlung an das Forschungsdatenzentrum, die möglichen Nutzungsberechtigten, die Zwecke und Aufgaben des Forschungsdatenzentrums, die Arten der Datenbereitstellung an Nutzungsberechtigte, das Verbot der Re-Identifizierung von Vers...mehr

Wichtigste Vorfrage und erste Weichenstellung im Datenschutz ist die Frage, ob überhaupt personenbezogene Daten verarbeitet werden. Auf die Verarbeitung (tatsächlich) anonymisierter Arbeitnehmerdaten ist das Datenschutzrecht von vornherein nicht anwendbar. Personenbezogene Daten sind z. B. dann nicht zwingend erforderlich, wenn Bewertungen von Informationen auf Unternehmens-...mehr

Überblick Hinter dem Begriff "künstliche Intelligenz" (KI oder Englisch: AI – "Artificial Intelligence") verbergen sich zumeist besondere, selbstlernende Algorithmen, bzw. Modelle, die mit vorzugsweise großen Datenmengen trainiert wurden. KI-basierte Software kann u. a. selbstständig unbekannte Sachverhalte bewerten, Prognosen und Empfehlungen abgeben oder auch Entscheidunge...mehr

Sollen Computersysteme Mitarbeitern direkt und verbindlich Anweisungen erteilen (vgl. Beispiele unter Abschn. 2.5), stellen sich aus rechtlicher Sicht zwei Fragen: Verbietet Art. 22 DSGVO eine (rein) maschinelle Entscheidung von vornherein? (meistens Nein) Welche speziellen Anforderungen stellt § 106 GewO an die Übertragung des Weisungsrechts auf Computersysteme? Art. 22 Abs. 1...mehr

Der ZVL führt Zertifizierungen nach DIN 77700 weitgehend unter Einsatz der gängigen elektronischen Medien durch. Er hat dazu ein Online-Zertifizierungssystem eingerichtet, bei dem sich zunächst der Lohnsteuerhilfeverein, für den ein Anwärter auf Zertifizierung tätig ist, beim ZVL schriftlich anmeldet. Der ZVL trägt die Vereinsdaten unter Vergabe eines Benutzernamens und Kennw...mehr

Werbung mittels Telefon und E-Mail ist grundsätzlich nur zulässig, wenn eine vorherige Einwilligung des Adressaten vorliegt.[1] Art. 6 Abs. 1 Satz 1 Buchst. f DSGVO erlaubt die Verarbeitung personenbezogener Daten, wenn sie "zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich" sind, "sofern nicht die Interessen oder Grundrechte und Gr...mehr

Es ist zulässig, dass sich Lohnsteuerhilfevereine im Internet präsentieren.[1] Neben der eigenen Homepage gewinnen soziale Netzwerke [2] zunehmend an Bedeutung. In ihnen präsentieren sich auch häufig auch die Mitarbeiter von Lohnsteuerhilfevereinen. Diese übernehmen eine (wettbewerbs)rechtliche Verantwortung, wenn sie z. B. auf ihrer Facebook-Seite, auf X (vormals Twitter) ode...mehr

§ 31 BDSG [1] regelt, unter welchen Voraussetzungen Auskunfteien Daten über säumige Zahler erhalten dürfen. Unzulässige Schufa-Einträge schaden dem Image des Gläubigers und verursachen weitere Kosten.[2] Bei fehlerhafter Einmeldung an die Schufa hat der Betroffene einen Anspruch auf Widerruf gegen den Datenübermittler aus §§ 1004 Abs. 1, 823 BGB analog i. V. m. Art. 6 Abs. DSGV...mehr

Im Folgenden wird ein grüner Mietvertrag mit verpflichtenden Bestandteilen sowie Bemühungsklauseln für Wohnraummietverträge vorgeschlagen. Diese orientieren sich an den in den Kap. 2 bis 17 präsentierten Vorschlägen zur Umsetzung einer Green-Lease-Strategie. Die hier aufgeführten Formulierungsbeispiele müssen vor Anwendung individuell auf die Vermieter- und Mieterbedürfnisse...mehr

Im Folgenden wird ein grüner Mietvertrag mit verpflichtenden Bestandteilen sowie Bemühungsklauseln für Gewerbemietverträge präsentiert. Diese orientieren sich an den in Kap. 2 bis 17 präsentierten Vorschlägen zur Umsetzung einer Green-Lease-Strategie. Die hier aufgeführten Formulierungsbeispiele müssen vor Anwendung individuell hinsichtlich der Vermieter- und Mieterbedürfnis...mehr

Formulierungsvorschlag – Nachweisführung Um die Vollständigkeit und Qualitätsprüfung der bei Berichterstattungen einzureichenden Unterlagen[1] zu gewährleisten, verpflichten [bemühen] sich die Parteien, auf Anfrage gleichermaßen einen Austausch der für die Berichterstattung erforderlichen Nachweise sicherzustellen. Die Unterlagen sind in geeigneter Form und innerhalb einer a...mehr

Formulierungsvorschlag – Abfall und Recycling [Reduktionziele] Zur Reduktion und Vermeidung des Abfallverbrauchs sowie zur Erhöhung der Recyclingquote vereinbaren [streben] die Parteien [an], folgende Maßnahmen umzusetzen [zu berücksichtigen]: Var. 1: Keine Abfall- und Recyclingmanagementstrategie vorgesehen Im Gebäude anfallender Abfall wird gemäß geltendem Abfallrecht (unter ...mehr

Formulierungsvorschlag – Wasser [Reduktionziele] Die Parteien verpflichten [bemühen] sich, angemessene Anstrengungen zu unternehmen, um den Wasserverbrauch, insbesondere den Trinkwasserverbrauch, in den Allgemeinflächen, Mietflächen und Außenflächen zu reduzieren und treffen [berücksichtigen] hierfür folgende Maßnahmen: [Wasserverbrauch reduzieren] Var. 1: Keine Wassermanagemen...mehr

Formulierungsvorschlag – Energie [Verbrauchsreduktion] Basierend auf der [den] im Eingangsstatement (§ 1) benannten Zielsetzung[en], verpflichten [bemühen] sich die Parteien gleichermaßen, den Energieverbrauch sowie die CO2-Emissionen im Gebäude im jeweiligen Verantwortungsbereich zu reduzieren. Hierzu vereinbaren [streben] die Parteien folgende Maßnahmen [an]: [Technische Aus...mehr

Im Gegensatz zu anderen Ländern gibt es in Deutschland aktuell keine gesetzlich verpflichtenden Regelungen, Green Leases in Gewerbe- oder Wohnmietverträge zu implementieren. Im Jahr 2012 gab es in Deutschland eine erste Arbeitsgruppe, bestehend aus 10 Teilnehmern aus Wirtschaft und Wissenschaft, die einen Leitfaden mit 50 Green-Lease-Empfehlungen veröffentlicht haben.[1] Die...mehr

Zur Analyse des energetischen Zustands eines Gebäudes, zur Identifizierung präziser Investitionsentscheidungen für nachhaltige Optimierungsmaßnahmen sowie für diverse Berichtszwecke werden Verbrauchsdaten benötigt (Kap. 3.4 Green Leases: Anwendungsbereiche und Beispiele). Da Immobilieneigentümer einen Großteil der im Gebäude verwendeten Energie bereitstellen, verfügen sie in...mehr

Um zielgenaue Optimierungsmaßnahmen für die energetische Verbesserung des Gebäudes identifizieren zu können, bedarf es Mieterverbrauchsdaten. Diese sind besonders für die energetische Zustandsermittlung des Gebäudes (beispielsweise CRREM), weiterführende energetische Gutachten, aber auch für die Einschätzung der CO2- Steuer sowie die Sicherstellung von Bewertungspunkten bei ...mehr

Soweit vor dem Abschlussstichtag begangene Verstöße gegen die EU-Datenschutzgrundverordnung oder andere Rechtsgrundlagen, die Ansprüche Dritter begründen, bei Bilanzaufstellung bekannt sind, sind für die daraus entstehenden Aufwendungen (z. B. zur Berichtigung oder Löschung von Daten) Rückstellungen zu bilden. Ggf. ist darüber hinaus auf Basis von Erfahrungswerten eine Pausc...mehr