Änderung beim Personaldatenschutz in Kraft getreten

von

Lange hat es gedauert, aber nun wurde das Zweite Datenschutzanpassungsgesetz im Bundesgesetzblatt verkündet. Damit verbunden ist eine wichtige Änderung beim Personaldatenschutz und eine Änderung für die Notwendigkeit der Bestellung eines Datenschutzbeauftragten.

Für Versandhändler enthält das neue Gesetz, welches heute, am 26. November 2019 in Kraft tritt, letztlich zwei wesentliche Änderungen:

Ist der Datenschutzbeauftragte noch notwendig?

Bisher galt (grundsätzlich) für Unternehmen die Pflicht, einen Datenschutzbeauftragten zu benennen, wenn in dem Unternehmen in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt waren.

Seit heute ist die Grenze auf „mindestens zwanzig“ Personen angehoben.

Diese Änderung dürfte in der Praxis aber eher geringe Auswirkungen haben. Statistiken zeigen, dass es nur wenige Unternehmen geben wird, die von dieser Änderung betroffen sind.

Einwilligung von Mitarbeitern

Anders dürfte dies bei der Änderung der zentralen Vorschrift zum Personaldatenschutz aussehen.

§ 26 Abs. 2 Satz 3 BDSG schrieb bisher vor, dass Einwilligungen von Mitarbeitern ausschließlich in Schriftform eingeholt werden können.

Schriftform bedeutet, dass der Mitarbeiter seine Einwilligung eigenhändig durch Namensunterschrift unterzeichnen musste. Die Einwilligung mittels E-Mail oder durch „Klick“ im Intranet war ausgeschlossen.

Seit heute gilt aber eine etwas lockere Formvorschrift in dieser Beziehung. Der neue § 26 Abs. 2 Satz 3 BDSG lautet:

„Die Einwilligung hat schriftlich oder elektronisch zu erfolgen.“

Jetzt reicht also auch eine E-Mail der Mitarbeiter oder das Anklicken einer Checkbox auf einer (internen) Website – genau so wie es auch für Einwilligungen von Kunden genügt.

Achtung: Strenge Informationsanforderungen

Allerdings bleibt im Personalbereich weiterhin eine sehr strenge Anforderung bestehen:

Beschäftigte sind über den Zweck der Datenverarbeitung und über das Widerrufsrecht nach Art. 7 Abs. 3 der DSGVO in Textform aufzuklären.

Hier reicht also keine Datenschutzerklärung auf einer Website. § 126b BGB definiert die Textform:

Ist durch Gesetz Textform vorgeschrieben, so muss eine lesbare Erklärung, in der die Person des Erklärenden genannt ist, auf einem dauerhaften Datenträger abgegeben werden. Ein dauerhafter Datenträger ist jedes Medium, das

1. es dem Empfänger ermöglicht, eine auf dem Datenträger befindliche, an ihn persönlich gerichtete Erklärung so aufzubewahren oder zu speichern, dass sie ihm während eines für ihren Zweck angemessenen Zeitraums zugänglich ist, und

2. geeignet ist, die Erklärung unverändert wiederzugeben.

Die Erklärung über die Zwecke und den Hinweis auf die Möglichkeit, erteilte Einwilligungen zu widerrufen muss also zumindest per Mail an die Beschäftigten versendet werden.

Übrigens: Als Beschäftigte gelten nicht nur Mitarbeiter. Das Datenschutzrecht hat ein sehr weites Verständnis von dem Begriff der Mitarbeiter. So zählen unter anderem auch Bewerber, (unbezahlte) Praktikanten und Zeitarbeiter zu dem Adressatenkreis. (mr)

Martin Rätze
Letzte Artikel von Martin Rätze (Alle anzeigen)