open search
close betriebswahl 2022
Datenschutz Neueste Beiträge

Datenschutzverstoß – was ist jetzt zu tun?

Längst sind in zahlreichen Unternehmen Datenschutzbeauftragte tätig und erleichtern vielen Unternehmen das (datenschutzkonforme) Leben. Aber wie gestalten sich interne Ermittlungen, wenn es dann doch einmal zu einem Verstoß gegen Datenschutzvorschriften kommt? Ein Überblick zur möglichst zügigen und effizienten Aufklärung von Datenschutzverstößen.

Unabhängig von der Informationsquelle, eines steht fest: Bekommt man als Arbeitgeber Wind von einem Datenschutzverstoß im eigenen Unternehmen, besteht unbedingt Handlungsbedarf. Derzeit nehmen Schadensersatzklagen nach Art. 82 DSGVO vor deutschen Gerichten wegen DSGVO-Verstößen zu. Die Unternehmen werden dabei regelmäßig verurteilt, immaterielle Schäden bis zu einer Höhe von 5.000 EUR je Verstoß zu ersetzen.

Melde- und Benachrichtigungspflichten

Erlangt man Kenntnis von einem möglichen Verstoß gegen datenschutzrechtliche Vorgaben, sind im Rahmen der internen Sachverhaltsaufklärung die Melde- und Benachrichtigungspflichten der Art. 33 und 34 DSGVO zu beachten. Grundsätzlich muss das verantwortliche Unternehmen die Aufsichtsbehörde möglichst innerhalb von 72 Stunden nach ihrem Bekanntwerden über eine Datenschutzverletzung informieren. Dies gilt jedenfalls, wenn sich durch den Verstoß ein Risiko für die persönlichen Rechte der von dem Verstoß betroffenen Person abzeichnet. Neben dieser für Arbeitgeber schwer zu treffenden Einschätzung obliegt es ihnen auch, zu prüfen, ob eine Benachrichtigung der betroffenen Person erforderlich ist. Daher sollte in vielen Fällen auch in Betracht gezogen werden, die Presse- bzw. Kommunikationsabteilung frühzeitig einzubinden, da „Datenpannen“ Magneten medialer Aufmerksamkeit sind. Die Datenpanne sollte nicht nur juristisch aufgearbeitet werden, sondern auch die interne und externe Kommunikation kann entscheidend sein.

Notwendigkeit interner Untersuchungen

Nicht jeder Verstoß gegen Datenschutzvorschriften ist jedoch auch gleich ein Fall für interne Untersuchungen. Grundsätzlich ist es Aufgabe des Datenschutzbeauftragten oder der für die datenschutzrechtliche Beratung zuständigen Abteilung, datenschutzrechtlich bedenkliche Vorgänge zu erkennen und zu beheben, auch unter Hinzuziehung externer Expertise. Sofern folgende Kriterien erfüllt sind, empfiehlt es sich in der Regel, interne Untersuchungen einzuleiten:

  • Vorliegen von abstrakt wiederkehrenden Verletzungen der Grundsätze der DSGVO im Sinne des Art. 5 Abs. 1 DSGVO
  • Vorsätzliche Datenschutzverstöße (z. B. wissentlich unbefugte Weitergabe von personenbezogenen Daten an Dritte etwa mit Schädigungsabsicht)
  • Vehement mangelnde Bereitschaft zur Kooperation mit Datenschutzbehörden oder wiederholte Verweigerung der Abstimmung mit dem Datenschutzbeauftragen oder verantwortlichen Abteilungen
  • Interessenkonflikt des Datenschutzbeauftragten (z.B. wegen Verschwiegenheitspflichten)
  • Wiederholte Verstöße gegen intern geltende Vorschriften oder Vereinbarungen

Eine interne Untersuchung muss also nicht wegen jeder versehentlich versäumten Einwilligung in die Veröffentlichung von Fotos des letzten Betriebsausflugs erfolgen, obwohl auch hier Achtsamkeit geboten ist. Damit wird nicht gleich der Zero-Tolerance-Grundsatz umgangen, der bei Datenschutzverstößen aber durchaus groß geschrieben werden sollte. Im Sinne der Effizienz sollte zwischen dem Bereich Optimierung von Vorgängen durch die Datenschutzabteilung selbst, weil etwa die Einwilligung zum Bild auf der Homepage fehlt, und internen Ermittlungen wegen Datenschutzverstößen, die Auswirkungen auf die Unternehmensstruktur haben, differenziert werden. Nicht jeder Verstoß muss mithin umfassende Ermittlungen auslösen, es sollte vielmehr jeweils eine Abwägung anhand der Schwere des Verstoßes und seiner Auswirkungen für das Unternehmen erfolgen.

Expertise im eigenen Unternehmen nutzen

Müssen interne Ermittlungen durchgeführt werden, sind zunächst die bedenklichen Sachverhalte zu ermitteln und zu analysieren. Dabei ist in Fällen von Datendiebstahl, Datenmanipulation oder Datenverlust meist die IT-Abteilung gefragt, um Mängel in Vertraulichkeit, Speicherung, Verarbeitung und Übermittlung von Daten zu erkennen, zu bewerten und Vorschläge zu Gegenmaßnahmen zu erarbeiten. Das Know-how der IT-Abteilung kann die internen Ermittlungen oftmals in technischer Hinsicht bereichern. Unter Umständen kann es auch geboten sein, den Datenschutzbeauftragten hinzuziehen. Es ist jedoch die besondere Stellung des Datenschutzbeauftragten im Unternehmen zu beachten sowie der Umstand, dass er häufig im Vorfeld die Abläufe selbst eingeführt hat. Hilfestellung bei den internen Ermittlungen kann unter Umständen auch die interne Revision und die Compliance-Abteilung geben. Stets sind die Grenze des Könnens und des Dürfens zu beachten.

Umgang mit Untersuchungsergebnissen

Die juristische Einordnung und Analyse der Untersuchungsergebnisse obliegt dem internen Ermittlerteam in Form eines Abschlussberichts. Im Anschluss ist es ratsam, die nötigen Maßnahmen umzusetzen und zu überwachen. Konsequenz erkannter Datenschutzverstöße ist regelmäßig eine technische Überarbeitung von organisatorischen Abläufen gem. Art. 32 DSGVO, z. B. Löschkonzepte, Zugriffskonzepte und Protokolloptimierung. Nicht selten folgen aber auch individualarbeitsrechtliche Schritte: Je nach Maß der Verantwortlichkeit und Ausmaß des Verstoßes kann es für einzelne Arbeitnehmer zu Abmahnungen, Kündigungen oder Schadensersatzforderungen kommen.

Praxishinweise

Datenschutzverstöße im Unternehmen sollten keinesfalls „links liegen gelassen“ werden. Es drohen Schadensersatzklagen und negative mediale Aufmerksamkeit. Ratsam ist daher, das mit der DSGVO verbundene Reputations- und Haftungsrisiko bereits durch ein im Vorhinein durchdachtes Konzept im Umgang mit Datenschutz(-verstößen) zu minimieren. Denn das Thema Datenschutz rückt immer weiter in das Blickfeld der Gesellschaft.

In Zusammenarbeit mit Jana Schön, Wiss. Mit. im Berliner Büro.

24 beiträge

Jakob Friedrich Krüger




Jakob F. Krüger berät nationale und internationale Unternehmen mit einem Schwerpunkt seiner Tätigkeit in der Vorbereitung von Kündigungen und anschließender Prozessführung. Zudem berät er Mandanten in der Gestaltung von Anstellungs-, Aufhebungs- und Abwicklungsverträgen sowie zu Fragen des Betriebsverfassungsrechts.
Verwandte Beiträge
Betriebsrat Kollektivarbeitsrecht Neueste Beiträge

Datenschutzverstoß des Betriebsrats – Wer haftet?

Die Streitfrage der datenschutzrechtlichen Verantwortlichkeit für die Verarbeitung personenbezogener Daten durch den Betriebsrat ist entschieden. Der Gesetzgeber hat diese Verantwortung mit der neuen Vorschrift des § 79a BetrVG dem Arbeitgeber zugewiesen. Damit sind die Probleme aber nicht gelöst. Im Gegenteil:  Neue Streifragen und Konfliktfelder werden sogleich erkennbar und erfordern sorgfältiges Vorgehen des Arbeitgebers in der Zusammenarbeit mit Betriebsräten in dessen datenschutzrechtlichen Angelegenheiten.  Die neue Vorschrift…
Arbeitsrecht in der Pandemie Neueste Beiträge

Impfen im Mittelpunkt durch die neue Corona-Arbeitsschutzverordnung

Arbeitgeber müssen Arbeitnehmer zum Impfen freistellen, aber dürfen nicht ohne Weiteres nach dem Impfstatus fragen. Dieser Beitrag zeigt Möglichkeiten auf, wie ein Arbeitgeber arbeits- und datenschutzkonform die Impfquote erfahren und diese für einen besseren Infektionsschutz im Betrieb nutzen kann.   Die am Mittwoch, den 1.9.2021, vom Bundeskabinett beschlossene Änderung der SARS-CoV-2-Arbeitsschutzverordnung rückt das Impfen weiter in den Fokus der Bekämpfung der Corona-Pandemie. Außerdem bleiben die…
Neueste Beiträge

Herausgabe einer Kopie personenbezogener Daten … Was jetzt genau?

Ein Antrag auf Zurverfügungstellung einer Kopie personenbezogener Daten ist im arbeitsgerichtlichen Verfahren nur berücksichtigungsfähig, wenn dieser hinreichend bestimmt ist. Dies hat das Bundesarbeitsgericht in einer aktuellen Entscheidung herausgestellt. Der Umfang des datenschutzrechtlichen Auskunftsrechts nach Art. 15 DSGVO gerät zunehmend in den Blickpunkt der Arbeitsgerichte. Dies ist nicht verwunderlich. So nutzen etliche Arbeitnehmer den Anspruch – insbesondere auf Zurverfügungstellung einer Kopie der von ihnen verarbeiteten personenbezogenen…
Abonnieren Sie den KLIEMT-Newsletter.
Jetzt anmelden und informiert bleiben.

Die Abmeldung ist jederzeit möglich.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.