Datenschutzerklärung für Mitarbeiter: Was Arbeitgeber beachten müssen
Arbeitgeber verarbeiten im Laufe eines Beschäftigungsverhältnisses zahlreiche personenbezogene Daten – vom Namen und der Anschrift bis hin zu Arbeitszeit-, Abrechnungs- und Bewerbungsdaten. Beschäftigte müssen verständlich darüber informiert werden, welche Daten verarbeitet werden, zu welchem Zweck dies geschieht und welche Rechte ihnen zustehen. Eine Datenschutzerklärung für Mitarbeiter schafft dafür Transparenz und unterstützt Unternehmen dabei, ihre datenschutzrechtlichen Pflichten zu erfüllen.
Was ist eine Datenschutzerklärung für Mitarbeiter?
Eine Datenschutzerklärung für Mitarbeiter, häufig auch Datenschutzinformation für Beschäftigte genannt, beschreibt die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Arbeitsverhältnis. Sie informiert Beschäftigte darüber, welche Daten der Arbeitgeber erhebt oder erhält, wie lange diese gespeichert werden und an wen sie gegebenenfalls übermittelt werden.
Die Information ist nicht mit einer Einwilligung gleichzusetzen. Sie soll in erster Linie transparent erklären, was mit den Daten geschieht. Eine Unterschrift der Beschäftigten kann den Erhalt der Information dokumentieren, ersetzt aber keine erforderliche Rechtsgrundlage für die Verarbeitung.
Welche Angaben sollte die Information enthalten?
Nach der Datenschutz-Grundverordnung (DSGVO) müssen betroffene Personen unter anderem über folgende Punkte informiert werden:
- Verantwortlicher: Name und Kontaktdaten des Unternehmens oder der zuständigen Stelle.
- Datenschutzbeauftragter: Kontaktdaten, sofern ein Datenschutzbeauftragter benannt wurde.
- Verarbeitungszwecke: Zum Beispiel Personalverwaltung, Entgeltabrechnung, Einsatzplanung oder Erfüllung gesetzlicher Pflichten.
- Rechtsgrundlagen: Die rechtliche Grundlage für die jeweiligen Verarbeitungsvorgänge.
- Datenempfänger: Interne Stellen und externe Empfänger, etwa Abrechnungsdienstleister oder Behörden.
- Speicherdauer: Die vorgesehene Dauer der Speicherung oder die Kriterien, nach denen sie bestimmt wird.
- Rechte der Beschäftigten: Informationen zu Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und weiteren Rechten.
- Beschwerderecht: Hinweis auf die Möglichkeit, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.
Welche Mitarbeiterdaten können verarbeitet werden?
Der konkrete Umfang hängt von der Tätigkeit und den Abläufen des Unternehmens ab. Typische Kategorien sind:
- Stammdaten wie Name, Anschrift und Geburtsdatum
- Kontakt- und Notfallkontaktdaten
- Angaben zu Beschäftigung, Qualifikation und beruflichem Werdegang
- Arbeitszeit-, Abwesenheits- und Urlaubsinformationen
- Bank- und Steuerdaten für die Entgeltabrechnung
- Kommunikations- und IT-Nutzungsdaten, soweit dies erforderlich und zulässig ist
- Gesundheitsdaten, etwa im Zusammenhang mit Arbeitsunfähigkeit oder besonderen Schutzpflichten
Besondere Kategorien personenbezogener Daten, darunter Gesundheitsdaten, unterliegen einem erhöhten Schutz. Ihre Verarbeitung ist nur unter den dafür geltenden gesetzlichen Voraussetzungen zulässig.
Rechtsgrundlagen im Beschäftigungsverhältnis
Die Verarbeitung von Beschäftigtendaten kann je nach Zweck auf unterschiedlichen Rechtsgrundlagen beruhen. Häufig relevant sind die Erforderlichkeit für die Durchführung des Arbeitsverhältnisses, gesetzliche Pflichten des Arbeitgebers und berechtigte Interessen. Für Datenverarbeitungen im Beschäftigungskontext ist außerdem § 26 des Bundesdatenschutzgesetzes (BDSG) zu beachten. Welche Grundlage greift, muss für den jeweiligen Zweck geprüft und nachvollziehbar dokumentiert werden.
Eine Einwilligung sollte nicht pauschal als Grundlage für sämtliche Verarbeitungen verwendet werden. Im Arbeitsverhältnis kann die Freiwilligkeit einer Einwilligung wegen des Abhängigkeitsverhältnisses besonders sorgfältig zu beurteilen sein.
Transparenz bei IT-Systemen und Überwachung
Nutzen Beschäftigte E-Mail, Internet, Zeiterfassung, Zutrittskontrollen oder andere digitale Systeme, sollte die Datenschutzinformation die damit verbundenen Verarbeitungen verständlich erklären. Dazu gehören die Zwecke, der Umfang der erfassten Daten, Zugriffsberechtigungen und gegebenenfalls Speicherdauern.
Eine Überwachung von Beschäftigten ist nicht allein deshalb zulässig, weil technische Möglichkeiten dafür vorhanden sind. Sie muss einen legitimen Zweck verfolgen, erforderlich und verhältnismäßig sein sowie den geltenden gesetzlichen Anforderungen entsprechen. Besteht ein Betriebsrat, können außerdem Mitbestimmungsrechte zu beachten sein.
Speicherung und Löschung
Personenbezogene Daten dürfen grundsätzlich nicht länger gespeichert werden, als es für den jeweiligen Zweck erforderlich ist. Zugleich können gesetzliche Aufbewahrungs- und Nachweispflichten eine längere Speicherung bestimmter Unterlagen verlangen. Eine gute Datenschutzinformation nennt deshalb entweder konkrete Fristen oder erläutert verständlich, nach welchen Kriterien die Speicherdauer festgelegt wird.
Rechte der Beschäftigten
Beschäftigte können – abhängig von den gesetzlichen Voraussetzungen – unter anderem Auskunft über ihre personenbezogenen Daten verlangen, unrichtige Angaben berichtigen lassen oder die Einschränkung beziehungsweise Löschung bestimmter Daten beantragen. Außerdem können sie sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren. Die Information sollte erklären, an wen solche Anliegen im Unternehmen gerichtet werden können.
So bleibt die Datenschutzerklärung aktuell
Eine Datenschutzinformation sollte die tatsächlichen Abläufe im Unternehmen widerspiegeln. Ändern sich eingesetzte Systeme, Dienstleister, Zwecke oder Aufbewahrungsfristen, sollte geprüft werden, ob die Information angepasst werden muss. Wichtig sind außerdem eine verständliche Sprache, eine leicht zugängliche Bereitstellung und klare Zuständigkeiten für Rückfragen.
Fazit
Eine sorgfältig erstellte Datenschutzerklärung für Mitarbeiter macht die Verarbeitung von Beschäftigtendaten nachvollziehbar und stärkt das Vertrauen im Unternehmen. Sie sollte nicht als allgemeines Muster verstanden werden, sondern die konkreten Prozesse, Datenkategorien und Rechtsgrundlagen des jeweiligen Arbeitgebers abbilden. Da die Anforderungen vom Einzelfall abhängen, empfiehlt sich bei Unsicherheiten eine Prüfung durch eine qualifizierte Datenschutz- oder Rechtsberatung.
6 Wichtige Tipps zur Erstellung einer Datenschutzerklärung für Mitarbeiter
- Erklären Sie, welche Mitarbeiterdaten erhoben werden.
- Nennen Sie Zweck und Rechtsgrundlage der Verarbeitung.
- Informieren Sie über Empfänger und mögliche Datenübermittlungen.
- Geben Sie Speicherfristen oder deren Kriterien an.
- Weisen Sie auf Rechte der Beschäftigten und Kontaktstellen hin.
- Halten Sie die Erklärung aktuell und leicht zugänglich.
Erklären Sie, welche Mitarbeiterdaten erhoben werden.
Erklären Sie transparent, welche personenbezogenen Mitarbeiterdaten Ihr Unternehmen erhebt – zum Beispiel Kontaktdaten, Angaben zur Beschäftigung, Arbeitszeiten, Abwesenheiten oder Informationen für die Lohnabrechnung. Beschreiben Sie außerdem, zu welchen Zwecken die jeweiligen Daten benötigt werden und ob besondere Daten, etwa Gesundheitsdaten, verarbeitet werden. Eine klare und verständliche Auflistung hilft Beschäftigten nachzuvollziehen, welche Informationen verwendet werden und warum.
Nennen Sie Zweck und Rechtsgrundlage der Verarbeitung.
Nennen Sie für jede Verarbeitung von Mitarbeiterdaten klar und verständlich den konkreten Zweck und die passende Rechtsgrundlage. Erläutern Sie zum Beispiel, ob die Daten für die Durchführung des Arbeitsverhältnisses, die Entgeltabrechnung oder die Erfüllung gesetzlicher Pflichten benötigt werden. So können Beschäftigte nachvollziehen, warum ihre Daten verarbeitet werden und worauf sich diese Verarbeitung rechtlich stützt.
Informieren Sie über Empfänger und mögliche Datenübermittlungen.
Informieren Sie Ihre Mitarbeiter transparent darüber, wer ihre personenbezogenen Daten erhält und ob diese an externe Stellen weitergegeben werden. Nennen Sie beispielsweise Lohnabrechnungsdienstleister, Versicherungen, Behörden oder IT-Dienstleister und erläutern Sie jeweils den Zweck der Übermittlung. Werden Daten in Länder außerhalb des Europäischen Wirtschaftsraums übertragen, weisen Sie auch darauf hin und informieren Sie über die geltenden Schutzmaßnahmen. Verwenden Sie dabei klare, verständliche Angaben, damit Beschäftigte nachvollziehen können, wohin ihre Daten gelangen.
Geben Sie Speicherfristen oder deren Kriterien an.
Geben Sie in der Datenschutzerklärung an, wie lange Mitarbeiterdaten gespeichert werden oder nach welchen Kriterien sich die Speicherdauer richtet. Nennen Sie, wenn möglich, konkrete Fristen für unterschiedliche Datenarten und erläutern Sie, ob gesetzliche Aufbewahrungspflichten oder betriebliche Erfordernisse eine längere Speicherung notwendig machen. So können Beschäftigte nachvollziehen, wann ihre Daten gelöscht werden und weshalb sie gegebenenfalls länger aufbewahrt bleiben.
Weisen Sie auf Rechte der Beschäftigten und Kontaktstellen hin.
Informieren Sie Beschäftigte klar und verständlich über ihre Datenschutzrechte. Dazu gehören – je nach Einzelfall – das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung sowie das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Nennen Sie außerdem eine konkrete Kontaktstelle im Unternehmen, etwa die Personalabteilung oder den Datenschutzbeauftragten, und geben Sie an, wie Beschäftigte ihre Anliegen einreichen können.
Halten Sie die Erklärung aktuell und leicht zugänglich.
Halten Sie die Datenschutzerklärung für Mitarbeiter stets aktuell und leicht zugänglich. Prüfen Sie sie regelmäßig und passen Sie sie an, wenn sich etwa Verarbeitungszwecke, eingesetzte Systeme, Dienstleister oder Speicherfristen ändern. Stellen Sie sicher, dass alle Beschäftigten die Information unkompliziert finden können – zum Beispiel im Intranet, im Personalportal oder in den Einstellungsunterlagen.