open search
close
Compliance Neueste Beiträge

Wenn die Datenschutzbehörde beim Arbeitgeber anklopft …

Print Friendly, PDF & Email

Bußgelder für Datenschutzverstöße im Zusammenhang mit Mitarbeiter- und Bewerberdaten haben zugenommen. Jüngst erreichte ein Bußgeld Millionenhöhe, weil ein Unternehmen Informationen aus dem Privatleben von Mitarbeitern speicherte und auswertete. Vor diesem Hintergrund bleibt nicht jeder Unternehmensverantwortliche cool, wenn ein Schreiben der Datenschutzbehörde ins Haus flattert. Dabei muss ein Tätigwerden der Datenschutzbehörde nicht zwingend zu einem (hohen) Bußgeld führen. Wie sollten Unternehmen reagieren?

Wann und wie wird die Datenschutzbehörde tätig?

Um ein Verfahren einleiten zu können, muss die Datenschutzbehörde zunächst Kenntnis von einem möglichen Datenschutzvorfall erlangen. Sie wird entweder eigene Vermutungen angestellt haben oder durch eine Beschwerde, zum Beispiel eines aktuellen oder ehemaligen Mitarbeiters, auf den Datenschutzvorfall aufmerksam gemacht worden sein. Die Datenschutzbehörde wird daraufhin ein erstes Schreiben an das Unternehmen schicken. Wenn Unternehmen nicht gerade Personalakten im Internet veröffentlicht haben, ist ein Erstkontakt durch unangekündigtes Erscheinen der Datenschutzbehörde eher unwahrscheinlich.

Kooperatives Verhalten meist empfehlenswert …

Oft gibt es gute Gründe dafür, dass Unternehmen auf ein solches Schreiben in besonderem Maße kooperativ reagieren. Denn die Datenschutzbehörde hat nach der DS-GVO kooperatives Verhalten bei der Bemessung der Höhe des Bußgeldes mildernd zu berücksichtigen. Ein Bußgeldbescheid verstößt sogar gegen den Grundsatz der Verhältnismäßigkeit, wenn die Datenschutzbehörde die Kooperationsbereitschaft des Unternehmens bei der Bemessung der Bußgeldhöhe nicht ausreichend würdigt. Darüber hinaus können Datenschutzverstöße zu einem nicht unerheblichen Imageschaden für das betroffene Unternehmen führen. Durch einen offensiven Umgang mit dem Datenschutzverstoß, als Teil des kooperativen Ansatzes, besteht die Möglichkeit, die negativen Auswirkungen in der Außenwahrnehmung gering zu halten.

… soweit es hilft

Allerdings kann allzu kooperatives Verhalten auch Risiken mit sich bringen. Zum einen kann eine zu umfangreiche Auskunft gegenüber der Datenschutzbehörde ungewollte Folgefragen provozieren und die Datenschutzbehörde so möglicherweise auf Verletzungen von Datenschutzrecht stoßen, die ihr sonst nicht bekannt geworden wären. Die Wahrscheinlichkeit der Aufdeckung ist daher ein wichtiges Kriterium bei der Entscheidung, wie weit die Kooperation des Unternehmens gehen sollte. Zum anderen besteht bei einem zu offensiven Umgang mit dem Datenschutzverstoß die Gefahr, dass dieser dadurch erst der breiten Öffentlichkeit bekannt wird. Das kann wiederum zu Imageverlust statt Imageerhalt führen. Mitarbeiter könnten Schadensersatzansprüche geltend machen.

Datenschutzverstoß sofort abstellen

Neben der Wahl der richtigen Mischung aus Kooperation und gebotener Zurückhaltung ist wichtig, dass Unternehmen den Datenschutzverstoß umgehend und noch vor entsprechender Anordnung durch die Datenschutzbehörde abstellen. Im besten Fall können Unternehmen schon in ihrer ersten Stellungnahme darauf hinweisen, dass sie Sofortmaßnahmen getroffen haben, die weitere Verstöße dieser Art verhindern. Das kann z. B. in Fällen unzureichender Sicherung von Mitarbeiterdaten durch Maßnahmen zur Verbesserung der IT-Sicherheit gelingen. Da die Dauer des Datenschutzverstoßes und positives Nachtatverhalten bei der Bemessung der Höhe des Bußgeldes zu berücksichtigen sind, können Unternehmen hier an Stellschrauben drehen, die die Höhe des drohenden Bußgeldes reduzieren.

Gespräch mit der Behörde suchen

Selbstverständlich sollte die von der Datenschutzbehörde gesetzte Frist für eine Stellungnahme eingehalten werden. Bei Bedarf kann eine Fristverlängerung beantragt werden. Zusätzlich zur schriftlichen Stellungnahme hilft es meist, wenn Unternehmen das persönliche Gespräch mit den Sachbearbeitern der Datenschutzbehörde suchen. Das hat den Vorteil, dass ein direkter Austausch stattfinden kann, in dem das Unternehmen mögliche Bedenken der Datenschutzbehörde besser einordnen und seine eigene Position besser erläutern kann. Es kommt auf den Einzelfall an, ob dieser Austausch mit der Datenschutzbehörde lieber mit oder ohne Anwalt stattfinden sollte.

Fazit: Mit der richtigen Strategie geht noch was

Wenn die Datenschutzbehörde anklopft, können Unternehmen ihr datenschutzrechtliches „Bußgeld-Schicksal“ zum großen Teil noch immer selbst beeinflussen. Die Devise sollte lauten: Ruhe bewahren und Strategie ausarbeiten mit der richtigen Mischung zwischen Kooperation und gebotener Zurückhaltung.

15 beiträge

Dr. Jan Heuer




Jan Heuer berät deutsche und internationale Unternehmen sowie öffentlich-rechtliche Institutionen umfassend in allen Fragen des Arbeitsrechts. Einen Schwerpunkt bilden die Begleitung von Reorganisationen und Restrukturierungen sowie die Vertretung in Arbeitsgerichtsprozessen. Besondere Expertise hat er außerdem im Datenschutzrecht (z. B. DS-GVO-Checks, Abschluss von IT-Betriebsvereinbarungen) und im Bereich arbeitsrechtlicher Compliance (z. B. interne Untersuchungen bei Fehlverhalten von Mitarbeitern, Vermeidung von Scheinselbständigkeit und illegaler Arbeitnehmerüberlassung, Einhaltung Betriebsverfassungsrecht).
Verwandte Beiträge
Arbeitsrecht 4.0 Arbeitsrecht in der Pandemie Compliance Individualarbeitsrecht Kollektivarbeitsrecht Neueste BeiträgeRestrukturierungen Vergütung

Die fünf wichtigsten arbeitsrechtlichen Urteile des Jahres 2021

Das Jahr 2021 ist fast vorbei. Zur Anheizung der weihnachtlichen Vorfreude kommt hier wieder unser Jahresrückblick auf eine Reihe beachtenswerter arbeitsrechtlicher Urteile. Von Krank(feiern), über Urlaub bei Kurzarbeit, bis hin zu Compliance-Ermittlungen und Betriebsübergängen ist alles dabei. Auch im Jahr 2021 gab es wieder eine Reihe beachtenswerter Gerichtsentscheidungen, die in einem arbeitsrechtlichen Jahresrückblick nicht fehlen dürfen. Unsere diesjährige Top 5 möchten wir Ihnen gerne auch…
Betriebsratswahl 2022 Neueste Beiträge

Betriebsratswahl: Welche Vorgaben macht eigentlich der Datenschutz?

Für die Durchführung der Betriebsratswahl ist der Betriebsrat, genauer der Wahlvorstand, verantwortlich. Unterstützung erfährt er hierbei durch den Arbeitgeber. Um die Wählerliste und Vorschlaglisten zu erstellen, sind verschiedene Personaldaten nötig. Doch welche Informationen muss der Arbeitgeber eigentlich herausgeben? Was für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Betriebsratswahl gilt und welche Vorgaben aus der DS-GVO und dem BDSG darüber hinaus zu berücksichtigen sind, lesen…
Compliance Neueste Beiträge

Interne Verhaltensrichtlinien und Whistleblowing-Meldesystem – wie sich beides vereinbaren lässt

Ende des Jahres läuft die Frist zur Umsetzung der Whistleblower-Richtlinie (EU) 2019/1937 ab: Sie sieht vor, dass bestimmte Unternehmen nach näherer Ausgestaltung durch ein nationales Gesetz dazu verpflichtet sind, ein Meldesystem einzuführen, mit dem Verstöße gegen EU-Recht vertraulich gemeldet werden können – doch ein solches nationales Gesetz gibt es noch nicht. In diesem Beitrag zeigen wir, wie Unternehmen Verhaltensrichtlinien und Meldesysteme schon jetzt so gestalten…
Abonnieren Sie den KLIEMT-Newsletter.
Jetzt anmelden und informiert bleiben.

Die Abmeldung ist jederzeit möglich.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.