MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Die Erstellung einer internen Datenschutzerklärung für Mitarbeiter umfasst die Dokumentation, welche Daten Sie für jede Art der Datenverarbeitung zu welchem Zweck und auf welcher Rechtsgrundlage verarbeiten und wie lange Sie diese speichern. Dieses Dokument erfüllt die Informationspflicht gegenüber Ihren Mitarbeitern gemäß DSGVO. Der größte Nutzen liegt in Vollständigkeit und Genauigkeit: Eine Erklärung, die Rechtsgrundlagen vermischt oder Aufbewahrungsfristen auslässt, vermittelt ein trügerisches Sicherheitsgefühl. Nachfolgend finden Sie eine Liste der erforderlichen Inhalte und Hinweise, worauf Sie achten sollten.
Die kurze Antwort
- Verantwortlicher: Wer ist zuständig und wie kann man ihn kontaktieren?
- Welche Daten: nach Kategorie, von Name und Adresse bis hin zu Abwesenheitszeiten.
- Zweck und Rechtsgrundlage: Warum und auf welcher Grundlage gemäß Artikel 6 der DSGVO Ihre Daten verarbeitet werden.
- Aufbewahrungsfristen: Wie lange Sie die einzelnen Kategorien aufbewahren.
- Weitergabe und Rechte: Mit wem Sie Ihre Daten teilen und welche Rechte der Mitarbeiter hat.
- Spezielle Daten- und Überwachungssysteme: Gesundheit, Kameras und Monitoring, unter der Rolle des Betriebsrats.
Die Erstellung einer internen Datenschutzerklärung für Mitarbeiter beginnt mit einer Bestandsaufnahme
Bevor Sie mit dem Schreiben beginnen, erstellen Sie eine Übersicht darüber, welche personenbezogenen Daten Sie von Mitarbeitern und Bewerbern verarbeiten. Berücksichtigen Sie dabei Lohn- und Gehaltsabrechnung, Personalakten, Abwesenheitserfassung, Leistungsbeurteilungen, Zutrittsberechtigungen und gegebenenfalls Videoüberwachung. Diese Übersicht bildet die Grundlage: Nur was Sie genau kennen, können Sie in der Erklärung korrekt beschreiben. Stimmen Sie die Erklärung außerdem mit Ihrem Verarbeitungsverzeichnis ab, falls Sie bereits eines führen, da Erklärung und Verzeichnis übereinstimmen müssen.
Zweck und Rechtsgrundlage der Verarbeitung
Geben Sie für jede Datenkategorie den Zweck und die Rechtsgrundlage an. Die Rechtsgrundlage ergibt sich aus Artikel 6 der DSGVO. Im Arbeitsverhältnis sind dies die häufigsten Rechtsgrundlagen:
- Erfüllung des Arbeitsvertrags (Artikel 6 Absatz 1 Buchstabe b DSGVO): Gehalt, Arbeitszeiten, Leistung.
- Gesetzliche Verpflichtung (Artikel 6 Absatz 1 Buchstabe c DSGVO): Aufbewahrungspflicht für Lohn- und Gehaltsabrechnungen sowie Steuerunterlagen.
- Berechtigtes Interesse (Artikel 6 Absatz 1 Buchstabe f DSGVO): Sicherheits- und Geschäftsinteressen unter Abwägung der Interessen.
Vorsicht bei der Einholung einer Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO). Aufgrund des hierarchischen Verhältnisses zwischen Arbeitgeber und Arbeitnehmer stellt die Einwilligung häufig keine ausreichende Rechtsgrundlage dar. Daher sollte die Verarbeitung vorzugsweise auf einer der anderen Rechtsgrundlagen beruhen und die Einwilligung nur dann eingeholt werden, wenn dies wirklich angebracht ist, beispielsweise für ein Foto auf der Website.
Besondere Informationen und der Betriebsarzt
Gesundheitsdaten sind besondere personenbezogene Daten und fallen unter Artikel 9 der DSGVO, der deren Verarbeitung grundsätzlich untersagt. Für die Abwesenheitserfassung bedeutet dies, dass Sie als Arbeitgeber nur bestimmte Daten erfassen dürfen: die Krankheit, die voraussichtliche Dauer und Vereinbarungen zur Rückkehr an den Arbeitsplatz, jedoch nicht die Art der Beschwerden oder die Diagnose. Die medizinische Beurteilung obliegt dem Betriebsarzt oder dem betriebsärztlichen Dienst. Beschreiben Sie in Ihrer Erklärung genau, wie Sie mit Abwesenheits- und Gesundheitsdaten umgehen, damit Ihre Mitarbeitenden wissen, welche Daten Sie erfassen und welche nicht.
Konkretisierung der Aufbewahrungsfristen
Die DSGVO schreibt vor, dass Daten nicht länger als nötig aufbewahrt werden dürfen. Legen Sie daher für jede Datenkategorie spezifische Aufbewahrungsfristen fest. Übliche Aufbewahrungsfristen:
- Antragsdaten: vier Wochen nach Ablehnung oder bis zu maximal einem Jahr mit Zustimmung des Antragstellers.
- Lohnsteuerdaten: sieben Jahre gemäß der steuerlichen Einbehaltungspflicht (Artikel 52 AWR).
- Kopie des Identitätsnachweises: bis zu fünf Jahre nach Beendigung des Arbeitsverhältnisses.
- Sonstige Personalakte: in der Regel bis zu zwei Jahre nach Beendigung des Arbeitsverhältnisses, länger nur, wenn ein Grund dafür vorliegt.
Geben Sie außerdem an, wie Sie die Daten nach Ablauf der Vertragslaufzeit löschen oder vernichten werden. Eine Vertragslaufzeit ohne einen entsprechenden Löschvorgang bleibt ein leeres Versprechen.
Mitarbeiter-Tracking-Systeme und der Betriebsrat
Wenn Sie Videoüberwachung, Zugangskontrollsysteme oder die Überwachung der Internet- und E-Mail-Nutzung einsetzen, handelt es sich um ein System zur Mitarbeiterüberwachung. Neben einer rechtlichen Grundlage und ordnungsgemäßer Informationsbereitstellung ist die Mitwirkung der Beschäftigten hierbei wichtig. Die Einführung oder Änderung eines solchen Systems sowie Regelungen zur Verarbeitung und zum Schutz personenbezogener Daten bedürfen gemäß Artikel 27 des Betriebsratsgesetzes (BGR) der Einwilligung der Beschäftigten. Falls Sie einen Betriebsrat haben, holen Sie die Einwilligung rechtzeitig ein. Ohne Einwilligung kann der Beschluss unwirksam sein. Beschreiben Sie in Ihrer Erklärung, welche Überwachungssysteme Sie einsetzen und zu welchem Zweck.
Ein kurzes Beispiel: Ein mittelständisches Transportunternehmen führte die Fahrtenerfassung per Sendungsverfolgung in seinen Lieferwagen ein. Der Arbeitgeber legte in der internen Datenschutzerklärung fest, welche Daten zu welchem Zweck (Planung und Sicherheit) verarbeitet werden, begründete dies mit berechtigtem Interesse und holte die Zustimmung des Betriebsrats ein. Somit basierte die Erfassung auf einer rechtlich einwandfreien Grundlage.
Ehrliche Empfehlung
Für einen kleinen Arbeitgeber mit üblicher Lohnbuchhaltung und ohne Kameras, Überwachung oder sensible Daten lässt sich eine interne Datenschutzerklärung problemlos selbst erstellen. In diesem Fall ist kein Anwalt nötig. Sobald jedoch sensible Daten verarbeitet, ein Mitarbeiter-Tracking-System eingeführt oder ein Betriebsrat eingerichtet wird, gestaltet sich die Erstellung aufwändig: Die rechtlichen Grundlagen müssen korrekt sein, Aufbewahrungsfristen angemessen festgelegt und die Zustimmung des Betriebsrats eingeholt werden. Daher empfiehlt es sich, die Erklärung von einem Experten erstellen oder prüfen zu lassen. Eine falsche Rechtsgrundlage oder ein versäumtes Zustimmungsverfahren können zu Bußgeldern oder ungültigen Entscheidungen führen.
Möchten Sie mehr erfahren? Sehen Sie sich die interne Datenschutzerklärung für Mitarbeiter auf unserer Vertragsseite an, lesen Sie zunächst, was eine interne Datenschutzerklärung für Mitarbeiter ist, oder erfahren Sie, was die Erstellung einer internen Datenschutzerklärung für Mitarbeiter .
Häufig gestellte Fragen
Der Verantwortliche für die Datenverarbeitung, welche Daten Sie pro Kategorie verarbeiten, der Zweck und die Rechtsgrundlage (Artikel 6 DSGVO), die Aufbewahrungsfristen, an wen Sie Daten weitergeben, die Rechte der Mitarbeiter und wie Sie mit besonderen Kategorien von Daten und Mitarbeiter-Tracking-Systemen umgehen.
Üblicherweise ist die Erfüllung des Arbeitsvertrags (Art. 6 Abs. 1 Buchst. b DSGVO), eine gesetzliche Verpflichtung (Art. c) DSGVO) oder ein berechtigtes Interesse (Art. f) DSGVO die Grundlage für eine Rechtsgrundlage, die eine Abwägung der Interessen erfordert. Die Einwilligung (Art. a) DSGVO ist aufgrund des hierarchischen Verhältnisses häufig keine gültige Rechtsgrundlage.
Sie dürfen dokumentieren, dass jemand krank ist, die voraussichtliche Dauer und Vereinbarungen zur Rückkehr an den Arbeitsplatz, jedoch nicht die Art der Beschwerden oder die Diagnose. Gesundheitsdaten fallen unter besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO). Die arbeitsmedizinische Untersuchung wird vom Betriebsarzt oder dem betriebsärztlichen Dienst durchgeführt.
Bewerbungsdaten für vier Wochen (oder ein Jahr mit Einwilligung), Lohnsteuerdaten für sieben Jahre (Artikel 52 AWR), eine Kopie des Identitätsnachweises für bis zu fünf Jahre nach Beendigung des Arbeitsverhältnisses und weitere Aktendaten oft für bis zu zwei Jahre nach Beendigung des Arbeitsverhältnisses. Beschreiben Sie außerdem, wie Sie die Datensätze bereinigen.
Für ein System zur Mitarbeiterüberwachung, wie z. B. Videoüberwachung, Fahrtenerfassung oder Monitoring, sowie für eine Regelung zur Verarbeitung personenbezogener Daten ist gemäß Artikel 27 des Betriebsratsgesetzes (BGR) die Zustimmung des Betriebsrats erforderlich. Ohne diese Zustimmung kann die Entscheidung unwirksam sein.
Ja. Die interne Datenschutzerklärung und das Verarbeitungsverzeichnis beschreiben dieselben Verarbeitungsvorgänge. Sie müssen hinsichtlich Datenkategorien, Zwecken, Rechtsgrundlagen und Aufbewahrungsfristen übereinstimmen; andernfalls entstehen Inkonsistenzen.
Für einen kleinen Arbeitgeber mit Standardprozessen und ohne Trackingsysteme oder spezielle Daten ist eine solide Grundlage völlig ausreichend. Sobald jedoch spezielle Daten, ein Mitarbeiter-Trackingsystem oder ein Betriebsrat ins Spiel kommen, lohnt es sich, die Erklärung überprüfen zu lassen.
