Arbeitsrecht für Arbeitgeber: Teil 7 – Datenschutz im Unternehmen

Teil 7 der Arbeitsrechtsreihe beschäftigt sich mit dem einheitlichen Datenschutzrecht der EU-Datenschutz-Grundverordnung. Daneben gilt in Österreich das österreichische Datenschutzgesetz (DSG).

Welche Unternehmen sind hiervon betroffen?

Alle Unternehmen, unabhängig von ihrer Größe, die personenbezogene Daten (z.B. Name, Geburtsdatum) verarbeiten oder über die Zwecke und Mittel der Verarbeitung solcher Daten entscheiden, sind von der DSGVO bzw. dem DSG betroffen.

Personenbezogene Daten dürfen nur verarbeitet werden, wenn es dafür eine Rechtsgrundlage gibt. Diese kann sein:

• die Einwilligung – Die Person hat der Verarbeitung ihrer Daten zugestimmt,
• die Erfüllung eines (vorvertraglichen) Vertrages – Die Datenverarbeitung ist für die Erfüllung des Vertrages erforderlich,
• die Erfüllung einer rechtlichen Verpflichtung – z.B. arbeitsrechtliche Pflichten des Arbeitgebers,
• Berechtigte Interessen des Verantwortlichen oder eines Dritten – z.B. Einholung einer Bonitätsauskunft durch eine Bank.

Welche Pflichten für Unternehmen gelten

Die DSGVO schreibt den Unternehmen gewisse Verpflichtungen vor, wie z.B.

• die Führung eines Datenverarbeitungsverzeichnisses,
• Informationspflichten gegenüber der Person, von der Daten erhoben werden (z.B. Speicherdauer, Zweck der Datenverarbeitung),
• die Einführung von Maßnahmen, um personenbezogene Daten zu schützen (z.B. Verschlüsselung der Daten),
• die Meldung von Datenschutzverletzungen bei der Datenschutzbehörde und der betroffenen Person,
• die Bestellung einer/eines Datenschutzbeauftragten unter gewissen Voraussetzungen (z.B.  bei Unternehmen, die sensible Daten als Kernbereich ihres Unternehmens verarbeiten),
• Datenschutz-Folgenabschätzung, vor einer Datenverarbeitung mit voraussichtlich hohem Risiko für die Rechte und Freiheiten der natürlichen Person.