DSGVO im Arbeitsrecht
Regelt, wie Arbeitgeber Mitarbeiterdaten verarbeiten: Rechtsgrundlagen über die Einwilligung hinaus (Vertrag, gesetzliche Verpflichtung, berechtigtes Interesse), Transparenzhinweise, Datenminimierung, Sicherheit und strenge Beschränkungen bei der Überwachung. Für den Datenfluss von der Personalabteilung an Anbieter von Lohn- und Gehaltsabrechnungs- sowie „ EOR “-Diensten sind Auftragsverarbeitungsverträge und Maßnahmen zum Schutz bei der Datenübermittlung erforderlich.
Die maßgeblichen arbeitsrechtlichen Vorschriften
- Die Einwilligung funktioniert selten: Das Machtungleichgewicht macht die Einwilligung der meisten Mitarbeiter ungültig – die Datenverarbeitung muss auf der Grundlage von Verträgen, gesetzlichen Verpflichtungen und berechtigten Interessen erfolgen, wobei eine Abwägung dokumentiert werden muss.
- Die Überwachung unterliegt bestimmten Grenzen: Verdeckte oder flächendeckende Überwachung scheitert; in Deutschland haben Betriebsräte ein Mitspracherecht bei der Festlegung der Überwachungsinstrumente; Verhältnismäßigkeit und Vorankündigung sind die Maßstäbe.
- Dienstleister gelten als Auftragsverarbeiter: Anbieter von Lohn- und Gehaltsabrechnung, EOR sowie von Sozialleistungen unterzeichnen Vereinbarungen gemäß Artikel 28; für grenzüberschreitende Datenübermittlungen sind Standardvertragsklauseln (SCCs) oder eine Angemessenheitsentscheidung erforderlich.
- Anfragen bezüglich Auskunftsrechten gehen bei der Personalabteilung ein: Die Auskunftsersuchen beziehen sich auf E-Mails und Dateien über die betreffende Person – die Aufbewahrungsfristen und die Struktur der Daten entscheiden darüber, ob eine Beantwortung möglich ist.
- Die Aufbewahrungsfristen richten sich nach dem jeweiligen Zweck: Lohnunterlagen werden für die gesetzlich vorgeschriebenen Zeiträume aufbewahrt, Bewerberdaten hingegen nicht.
Häufig gestellte Fragen
Dürfen wir Mitarbeiterdaten an Konzernunternehmen im Ausland übermitteln?
Mit Schutzvorkehrungen: Angemessenheitsbeschlüsse, sofern vorhanden, andernfalls Standardvertragsklauseln sowie Übertragungsprüfungen und verbindliche Unternehmensregeln für etablierte Konzerne. Konzerninterne Übertragungen sind Übertragungen – „gehörigkeit zur selben Unternehmensfamilie“ ist keine Rechtsgrundlage.
Welche Daten darf ein Anbieter von „ EOR “ oder eines Lohnbuchhaltungsdienstes speichern?
Was der Dienst benötigt: Identitäts-, Vertrags-, Bank-, Steuer- und Sozialversicherungsdaten – im Rahmen einer Auftragsverarbeitungsvereinbarung gemäß Artikel 28, mit Transparenz hinsichtlich Unterauftragsvergabe und Löschung bei Beendigung des Vertrags. Die Personalabteilung des Kunden sollte die vollständige Gehaltsabrechnungsdatei nicht ohne triftigen Grund zurückspiegeln; die Datenminimierung gilt in beide Richtungen.