In meinem letzten Beitrag habe ich gezeigt, dass der Gesetzgeber von uns in den absurdesten Verarbeitungssituationen umfangreichste Datenschutzinformationen verlangt. Der heutige Beitrag widmet sich der Frage, wie die betriebliche Praxis damit umgehen kann. Denn inner- und außerbetrieblich werden diverse Datenmengen verarbeitet. Beispielsweise werden Kontaktinformationen auf Internetseiten bereitgestellt, elektronische Signaturen erstellt, Kalender, Allergielisten und Fahrtenbücher geführt und wir bestellen neue Büroklammern bei Amazon. Aufgrund der Vielzahl von Verarbeitungstätigkeiten bilden Betriebe, die den vollständigen Überblick über all ihre Tätigkeiten haben, die absolute Ausnahme. Dementsprechend groß ist die Herausforderung, über alle Datenverarbeitungen transparent und nachvollziehbar zu informieren.

Eine allgemeine Datenschutzinformation

Einen guten Lösungsansatz bildet eine allgemeine Datenschutzinformation, die über die alltäglichen Verarbeitungen informiert, aber schnell in dem Transparenzgrundsatz ihre Grenzen finden kann. Schließlich werden nicht alle Beschäftigten mit denselben Verarbeitungssituationen konfrontiert, sodass es kaum möglich sein wird, alle Beschäftigten gemeinsam und umfassend über alle Verarbeitungssituationen zu informieren. Dennoch empfiehlt sich eine allgemeine Information beispielsweise bezüglich alltäglicher Büroanwendungen und Rechnungsdaten zu erteilen.

Dabei wird die Herausforderung zum einen darin liegen, ausreichend transparente Informationen zur Verfügung zu stellen, die aber zum anderen so generell gehalten sind, dass ausreichend Verarbeitungsvorgänge abgebildet werden. Darüber hinaus gilt es einen Prozess zu gestalten, der alle Beschäftigten – auch jene die bereits seit 30 Jahren im Betrieb arbeiten – erreicht und Veränderungen der Information zulässt. Beispielsweise könnten die allgemeinen Informationen im Rahmen einer jährlichen Datenschutzschulung besprochen werden.

Die spezielle Datenschutzinformation

Neben der allgemeinen Information wird man es nicht vermeiden können, über einige Prozesse einzeln zu informieren. Wenn beispielweise eine Beschäftigte auf der Internetseite abgebildet werden soll, wäre es wohl stets intransparent auf diese Information zu verzichten. In diesen Fällen sollte man sich von Verarbeitungstätigkeit zu Verarbeitungstätigkeit überlegen, wie eine transparente und sinnvolle Information gestaltet werden kann. Die Überlegungen könnten sich dabei gut entlang des Verzeichnisses für Verarbeitungstätigkeiten orientieren.

Die Ausnahme des Art. 13 Abs. 4 DS-GVO

Grundsätzlich kann auch überlegt werden, ob von einer Information gänzlich abgesehen werden kann. Die Rechtsgrundlage hierfür bildet Art. 13 Abs. 4 DS-GVO, welche besagt, dass wer bereits Kenntnis vom Informationsinhalt hat, hierüber nicht informiert werden muss. Exemplarisch soll das Fahrtenbuch in einer Steuerkanzlei herhalten, um zu zeigen, auf wie viele Informationen verzichtet werden könnten. Denn in einer Steuerkanzlei wissen die Beschäftigen, dass das Führen eines Fahrtenbuchs steuerliche Gründe hat, kennen somit sowohl den Verarbeitungszweck, als auch das Finanzamt als Datenempfänger. Außerdem kann man einem Steuerberater zumuten, dass er weiß, dass sein Arbeitsvertrag (und die Pflicht gegenüber dem Finanzamt) die Rechtsgrundlage für die Verarbeitung bildet. Somit ließe sich wohl durchaus vertreten, von einer Information nach Art. 13 Abs. 1 DS-GVO abzusehen.

Allerdings müsste wohl dennoch nach Art. 13 Abs. 2 über die Löschfristen und die Betroffenenrechte (dazu gleich) informiert werden. Hier liegt ein Problem, welches auch im Rahmen der allgemeinen Datenschutzinformation schnell auftreten kann. Wer also den rechtssicheren Weg gehen will, wird wohl nie gänzlich auf eine Information verzichten können.

Betroffenenrechte

An dieser Stelle sei wieder einmal die Absurdität der Informationspflicht über Betroffenenrechte aufgezeigt, Art. 13 Abs. 2 lit. b), d) DS-GVO. Sollte keine allgemeine Datenschutzinformation bestehen und über jede Verarbeitungstätigkeit einzeln informiert werden, könnte man sich fragen, wann der Zeitpunkt eintritt, ab dem die Beschäftigen ihre Betroffenenrechte kennen und dementsprechend auf die Information verzichtet werden kann. Wer vertritt, es gebe diesen Zeitpunkt, könnte allerdings mit ähnlichem Argument vertreten, dass ein Beschäftigter seine Betroffenenrechte kenne, weil er sich bei Facebook angemeldet hat (und hierbei nachweislich informiert worden ist). Die allgemeine Datenschutzinformation vermag die Frage, ob in spezielleren Datenschutzinformationen auf die Informationen über Betroffenenrechte verzichtet werden kann, auch nicht abschließend beantworten, da hiergegen dieselben Argumente wie oben anzuführen wären.

Das Problem lässt sich am sinnvollsten lösen, indem man die Betroffenenrechte bei Beschäftigtenschulungen bespricht. Denn gut geschulte Beschäftigte kennen die Betroffenenrechte und müssen hierüber nicht mehr darüber informiert werden. Dasselbe gilt für Vertiefungswissen zur allgemeinen Information.

Praktische Empfehlungen

Wie genau eine allgemeine Information aussehen sollte, unterscheidet sich bezüglich der betrieblichen Anforderungen und der Adressaten. Allerdings ist zu empfehlen, diese zu erstellen und regelmäßig zu überprüfen. Zudem sollte sie allen Beschäftigen bereits bei Dienstantritt vorgelegt werden und ein Prozess eingeführt werden, der die Information aktuell hält. Außerdem sollte gewährleistet werden, dass stets alle Beschäftigten korrekt informiert sind. Hierfür können sich Schulungen gut anbieten.

Daneben sollte die Informationspflicht beim Führen des Verzeichnisses für Verarbeitungstätigkeiten direkt mitgedacht werden. Gemäß Art. 24 Abs. 1 DS-GVO gilt es hierbei (auch) bezüglich des Nachweises über die Information einen risikobasierten Ansatz zu fahren. Dementsprechend gilt es, sich mehr Gedanken über die Informationspflicht (und dessen Nachweis) zu machen, je größer die Risiken für die Rechte und Freiheiten der Beschäftigen sind.

Über den Autor: Felix Lückert ist Volljurist (Ass. Jur.) und beim Dresdener Institut für Datenschutz als externer Datenschutzbeauftragter tätig. Der Fokus seiner Tätigkeiten liegt in der Beratung von Hochschulen und Gemeinden. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Das neue Hinweisgeberschutzgesetz (HinSchG) ist im Juli 2023 in Kraft getreten. Es sieht vor, dass Unternehmen mit mindestens 50 Beschäftigten ein internes Hinweisgebersystem einzurichten haben. Ziel des Gesetzes, welches zur Umsetzung einer entsprechenden europäischen Richtlinie verabschiedet wurde, ist einerseits eine bessere Durchsetzung rechtlicher Bestimmungen und andererseits zugleich der besondere Schutz meldender, gemeldeter sowie von einer Meldung betroffener Personen. Doch für einige Unternehmen hält das Hinweisgeberschutzgesetz auch eine datenschutzrechtliche Überraschung parat.

Datenschutzrechtliche Anforderungen bei Hinweisgebersystemen

Es dürfte nicht überraschen, dass mit der Einführung eines Hinweisgebersystems und der damit verbundenen Verarbeitung personenbezogener Daten auch die gängigen datenschutzrechtlichen Pflichten gelten. So muss der Verantwortliche die von der Verarbeitung personenbezogener Daten betroffenen Personen hinsichtlich der Datenverarbeitungen i.S.d. Artikel 13 und 14 DS-GVO transparent informieren. Weiterhin obliegt ihm die Pflicht, die Verarbeitungstätigkeit im Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 1 DS-GVO korrekt und vollständig abzubilden.

Wird für die Einrichtung einer internen Meldestelle auf einen externen Dienstleister zurückgegriffen oder wird ein cloudbasiertes System zur Bearbeitung und Verwaltung etwaiger Hinweise genutzt, wird in der Regel der Abschluss eines Vertrages zur Auftragsverarbeitung erforderlich sein. Ist eine Person des Verantwortlichen mit der Funktion als interne Meldestelle betraut, ist es sinnvoll diese Person entsprechend des § 8 HinSchG speziell für die Wahrnehmung dieser Tätigkeit zur Vertraulichkeit zur verpflichten. So weit, so gut.

Erforderlichkeit zur Durchführung einer Datenschutz-Folgenabschätzung

Gemäß Art. 35 Abs. 1 DS-GVO hat eine Datenschutz-Folgenabschätzung vor Beginn einer jeden Verarbeitung zu erfolgen, die voraussichtlich hohe Risiken für die Rechte und Freiheiten natürlicher Personen aufweist. Liegt im Rahmen der Einführung und des Betriebs eines Hinweisgebersystems ein solches hohes Risiko vor? Folgt man den Kriterien der Veröffentlichung der Artikel-29-Gruppe (Vorgänger des Europäischen Datenschutzausschusses) mit dem prägnanten Namen Leitlinie zur Datenschutz-Folgenabschätzung (DFSA) und Beantwortung der Frage, ob eine Verarbeitung im Sinne der Verordnung 2016/679 „wahrscheinlich ein hohes Risiko mit sich bringt“ aus dem Jahr 2017, wird man diese Frage bejahen müssen.

Auch die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder sehen die Erforderlichkeit zur Durchführung einer Datenschutz-Folgenabschätzung. So heißt es in der Orientierungshilfe der Datenschutzaufsichtsbehörden zu Whistleblowing-Hotlines: Firmeninterne Warnsysteme und Beschäftigtendatenschutz aus dem Jahr 2018 ganz kurz: „Ein Verfahren zur Meldung von Missständen unterliegt wegen des besonders hohen Risikos für die Rechte und Freiheiten natürlicher Personen einer Datenschutz-Folgenabschätzung.“ Und auch unter Würdigung der einzelnen Normen des Hinweisgeberschutzgesetzes wird man zu dem Ergebnis kommen, dass bereits der Gesetzgeber im Rahmen des Gesetzgebungsverfahrens ein erhöhtes Risiko erkannt hat (vgl. §§ 8, 37 – 39 HinSchG).

Die Datenschutz-Folgenabschätzung ist vom Verantwortlichen selbst durchzuführen. Dabei ist der Rat des Datenschutzbeauftragten (Art. 35 Abs. 2 DS-GVO) einzuholen, sofern ein solcher benannt ist. Doch das Bundesdatenschutzgesetz (BDSG) setzt da noch einen drauf…

Pflicht zur Benennung eines Datenschutzbeauftragten

Eine besondere Anforderung hält § 38 Abs. 1 Satz 2 BDSG vor: „Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen […] haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.“ Das bedeutet im Umkehrschluss, dass jedes Unternehmen mit mindestens 50 Beschäftigten verpflichtend einen Datenschutzbeauftragten zu benennen hat.

Die Regelung des § 38 Abs. 1 Satz 1 BDSG setzt zwar bereits voraus, dass Verantwortliche oder Auftragsverarbeiter, die in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, verpflichtend einen Datenschutzbeauftragten zu benennen haben. Jedoch kann sich bei Unternehmen mit einer kleinen Verwaltung (z.B. Handwerksbetriebe, Fuhrunternehmen) mit der Pflicht zur Einführung eines Hinweisgebersystems ein neues Kriterium der Benennungspflicht ergeben.

Es wäre auch ein anderer Weg möglich gewesen…

Muss es immer so kompliziert sein? Mit einem Blick in die DS-GVO lautet die Antwort: Eigentlich nicht. Art. 35 Abs. 10 DS-GVO zeigt auf: Sofern ein Verantwortlicher rechtlich zu einer Datenverarbeitung verpflichtet ist, die Verarbeitungsvorgänge durch das jeweilige Recht vorgegeben sind sowie im Rahmen des Gesetzgebungsverfahrens durch den Gesetzgeber bereits eine allgemeine Datenschutz-Folgenabschätzung durchgeführt wurde, können Verantwortliche von der Rechtspflicht zur Durchführung einer eigenen Datenschutz-Folgenabschätzung entbunden werden. Dementsprechend entfiele somit auch das weitere Kriterium zur verpflichtenden Benennung eines Datenschutzbeauftragten.

Kann so etwas funktionieren? Und ob! Ein Blick in das Nachbarland Österreich zeigt, dass bereits im Rahmen eines Gesetzgebungsverfahrens eine Datenschutz-Folgenabschätzung mitgedacht werden kann.

Interne Meldestelle gleich Datenschutzbeauftragter?

Aus der Not eine Tugend machen und der internen Meldestelle die Aufgaben eines Datenschutzbeauftragten überhelfen? Das ist wohl keine gute Idee – auch wenn dies durch Dienstleister angeboten wird! Gemäß Art. 38 Abs. 6 Satz 2 DS-GVO haben Verantwortliche sicherzustellen, dass (weitere) Aufgaben und Pflichten des Datenschutzbeauftragten nicht zu einem Interessenkonflikt führen. Ein solcher ist jedoch stets anzunehmen, wenn ein- und dieselbe Person zum Teil umfangreiche Datenverarbeitungen durchführt und zugleich die datenschutzrechtliche Kontrolle dieser Datenverarbeitung übernehmen muss.

Fazit

Im Rahmen der Einführung eines Hinweisgebersystems sind einige datenschutzrechtliche Anforderungen zu beachten. Den größten Aufwand wird hierbei wohl die Datenschutz-Folgenabschätzung verursachen, die aufgrund des hohen Risikos der Datenverarbeitung durchzuführen ist. Soweit bislang kein Datenschutzbeauftragter benannt wurde, gilt die Pflicht zur Benennung nun auf jeden Fall. Unternehmen mit weniger als 250 Beschäftigten, jedoch mehr als 50 Beschäftigten haben nun noch bis Dezember 2023 Zeit, alle aus dem Hinweisgeberschutzgesetz resultierenden Pflichten umzusetzen.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

IM ALLGEMEINEN

Lassen Sie sich nicht abschrecken – das gilt übrigens für diese gesamte Umsetzungsaufgabe der DS-GVO im Unternehmen. Der Datenschutzbeauftragte sollte Ihnen diese Aufgabe nochmals als vereinzeltes Thema nahebringen. Zum Beispiel in Form einer Schulung, an welcher auch die verschiedenen Fachbereichsleitungen teilnehmen können.

ZUALLERERST

Zunächst steht das Ausfüllen des Vorblattes bevor, welches Aufschluss das zu vervollständigende Verzeichnis der Verarbeitungstätigkeiten in seiner Gesamtheit gibt: An erster Stelle die Angaben zum Verantwortlichen. Das meint an dieser Stelle Ihr Unternehmen oder Ihre Behörden. Sodann Angaben zum Datenschutzbeauftragten, sofern Sie überhaupt einen Datenschutzbeauftragten benannt haben. Vielleicht haben Sie auch eine sogenannte gemeinsame Verantwortlichkeit mit einem anderen Verantwortlichen, zum Beispiel: zwei Unternehmen stellen sich über eine gemeinsame Internetseite dar oder nutzen gemeinsam denselben Telefon-/Internetanschluss. Wenn Ihr Unternehmen außerhalb der Europäischen Union (EU) oder des Euopäischen Wirtschaftsraums (EWR) sitzt, haben Sie unter Umständen zudem einen Vertreter des Verantwortlichen innerhalb der EU / des EWR benannt. Diese Daten wären hier einzutragen. Jetzt nicht gleich hinwerfen – sollten Sie Fragen zu den genannten Feldern haben, fragen Sie Ihren Datenschutzbeauftragten.

IM DETAIL

Nun nehmen wir uns die Erstellung des eigentlichen Verzeichnisses der Verarbeitungstätigkeiten vor. Zum besseren Verständnis sind die einzutragenden Inhalte im Folgenden als Hinweise und Hürden gekennzeichnet. Dies zeigt Ihnen, an welchen Stellen es unter Umständen sinnvoll sein kann, auf Ihren Datenschutzbeauftragten zurückzugreifen.

Erster Hinweis: Wie heißt die Verarbeitungstätigkeit? Das bekommen Sie locker hin! Laufende Nummer? Das kann sich auch erst zu einem späteren Zeitpunkt aus der Übersicht ergeben.

Zweiter Hinweis: Einführungsdatum und letzte Änderung der Verarbeitungstätigkeit? Das kann unter Umständen lange zurückliegen, fragen Sie im Zweifelsfall in der jeweiligen Fachabteilung nach. In diesem Zug können Sie auch die Angaben zur verantwortlichen Fachabteilung eintragen. Auch das ist kein Problem, oder?

Dritter Hinweis: Zweck der Verarbeitung? Wofür werden die personenbezogenen Daten verarbeitet, welchen Zweck verfolgt Ihr Unternehmen oder Ihre Behörde damit? Und an dieser Stelle kommen wir auch zur ersten Hürde: Im Zusammenhang mit dem Zweck der Verarbeitung ist es sinnvoll die Rechtsgrundlage der Verarbeitung mit anzugeben. Dies wird durch die DS-GVO an dieser Stelle zwar nicht zwingen vorgeschrieben, aber in Zukunft macht es Ihnen unter Umständen die Arbeit leichter: Sollte eine Person Auskunft über ihre Daten verlangen, haben Sie es in der Bearbeitung leichter. Fragen Sie zur Rechtsgrundlage Ihren Datenschutzbeauftragten. Sollten Sie bereits vorab eine Idee dazu haben, können Sie diese gerne eintragen.

Vierter Hinweis: Beschreibung des Verfahrens? Ebenfalls eine optionale Angabe. Aber auch diese kann lebenserleichternd sein, wenn Sie Auskunft geben müssen. Bitte beschreiben Sie in eigenen Worten, was Sie beziehungsweise die Fachabteilung tun. Manchmal existieren bereits Leistungs- oder ähnliche Beschreibungen.

Fünfter Hinweis: Beschreibung der Kategorien betroffener Personen und personenbezogener Daten? Ganz einfach: Wessen und welche Daten verarbeiten Sie im Rahmen der Tätigkeit? An dieser Stelle sehen wir uns auch mit der zweiten Hürde konfrontiert: Besondere Kategorien personenbezogener Daten? Klingt schwieriger, als es ist. Hierbei sind besonders schützenswerte Daten gemeint. Dies können Gesundheitsdaten (z.B. Krankschreibungen), religiöse oder andere weltanschauliche Überzeugungen (z.B. Konfessionszugehörigkeit), Hinweise auf ethnische Herkunft, politische Meinungen, Gewerkschaftszugehörigkeit, genetische und / oder biometrische Daten, Daten zu Sexualleben oder sexueller Orientierung sein.

Sechster Hinweis: Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder werden? Dies betrifft Stellen, die sich bei Ihnen intern im Haus befinden oder externe Stellen, außerhalb Ihres Unternehmens oder Ihrer Behörde. Hier ist jeweils anzugeben, an welche Stellen wessen Daten für welchen Zweck übermittelt werden.

Jetzt wird es speziell:

Siebter Hinweis oder auch dritte Hürde: Übermittlung von personenbezogenen Daten an ein Drittland oder an eine internationale Organisation? Arbeiten Sie mit Dienstleistern im Ausland (außerhalb der EU / des EWR) zusammen? Setzen Sie für die Verarbeitungstätigkeit unter Umständen Dienstleister aus einem Drittland ein? Ja, das betrifft auch Microsoft. Der oder die Datenempfänger sind zu benennen und auch, ob es eine Dokumentation der geeigneten Garantien gibt. An dieser Stelle fragen Sie sich: Was ist das nun wieder? Das hat ebenfalls mit einem Drittstaatentransfer zu tun und ist liebevoll zu erlesen in einem separaten Blogbeitrag. Wenn Sie sich dieses Thema nicht erlesen möchten, dürfen Sie hier ebenfalls wieder Ihren Datenschutzbeauftragten dazu befragen und diese Thema mit ihm gemeinsam klären.

Achter Hinweis und vierte Hürde: Fristen für die Löschung der Datenkategorien? Löschen – da ist es – das ganz große Thema. Wenn Sie möchten, begeben Sie sich im Unternehmen oder der Behörde auf die Suche und beginnen Sie (sofern vorhanden) in der IT-Abteilung. Unter Umständen haben Sie es aber auch mit rechtlichen Vorgaben zu tun und hierbei kann Sie die entsprechende Fachabteilung und/oder wieder Ihr Datenschutzbeauftragter unterstützen.

Neunter Hinweis: Technische und organisatorische Maßnahmen? Diese sollten für Ihr Unternehmen definiert sein und können bei Ihrem Datenschutzkoordinator oder in der IT-Abteilung erfragt werden. Dieses Dokument gehört genauso zu dem Verzeichnis der Verarbeitungstätigkeiten wie das eingangs beschriebene Vorblatt. Wenn Sie das Verzeichnis der Verarbeitungstätigkeiten digital organisieren, dürfen Sie das Vorblatt und die Darstellung der technischen und organisatorischen Maßnahmen jeweils als Datei mit ablegen.

FAZIT

Ungemütlich ja, aber kein Hexenwerk! Fokussieren Sie sich auf die Felder, welche Sie gut ausfüllen können. Kommen Sie an verschiedenen Stellen nicht weiter, lassen Sie diese offen und besprechen sich hier mit Ihrerm Datenschutzbeauftragen. Einfach anfangen, Mut zur Lücke und dann durchfragen, nachfragen, ausfragen.

Über den Autor: Das DID Dresdner Institut für Datenschutz unterstützt Unternehmen und Behörden bei allen Fragen rund um die Themen Datenschutz und Informationssicherheit. Regelmäßig erscheinen an dieser Stelle Beiträge zu praxisrelevanten Themen und Entwicklungen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie das DID Dresdner Institut für Datenschutz gern per E-Mail kontaktieren.