Die Hamburger Datenschutzbehörde hat heute morgen mittels einer Pressemitteilung bekannt gegeben, dass gegenüber der Modekette H&M ein Bußgeldbescheid in Höhe von 35,3 Millionen erlassen wurde.

Ruuuummmsss!

Die Gesellschaft H&M Hennes & Mauritz Online Shop A.B. & Co. KG hat ihren Sitz in Hamburg, so dass der Hamburger Beauftragte für Datenschutz und Informationssicherheit (HmbBfDI) für Datenschutzverstöße dieses Unternehmens zuständig ist. Konkret ging es um ein Servicecenter des Unternehmens in Nürnberg. Dort fand eine „Mitarbeiterbetreuung“ statt, wie man sie bis dato wohl nur aus Schleckerfilialen kannte. Seit dem Jahr 2014 wurden von Beschäftigten in großem Umfang private Lebensumstände dokumentiert. Dies meint, dass nicht nur Urlaubs- oder Krankentage erfasst wurden (soweit normal wie zur Abrechnung notwendig), sondern freundliche „Welcome Back Talks“ geführt wurden. Dabei wurden dann sowohl Urlaubserlebnisse wie auch Krankheitssymptome und Diagnosen dokumentiert. Ebenso fanden sich Aufzeichnungen zum Privatleben der Mitarbeiter, die die Führungskräfte wohl dem Flurfunk entnahmen, wie religöse Bekenntnisse oder familiäre Probleme. Damit das ganze seine Ordnung hat, wurden diese Erkenntnisse digital gespeichert und waren einem Kreis von bis zu 50 Führungskräften zugänglich. Schließlich wurden diese Erkenntnisse auch zu Auswertungen von individuellen Arbeitsleistungen sowie zur Erstellung von Profilen der Beschäftigten genutzt, um daraus Maßnahmen und Entscheidungen das Arbeitsverhältnis betreffend zu ergreifen.

Den ganzen Artikel lesen.

Es gibt viele Gründe, weshalb ein Unternehmen über den Wechsel des Datenschutzbeauftragten (DSB) nachdenken kann. Etwa weil er oder sie früher engagierter oder nicht so kritisch war. Möglicherweise geht der oder die DSB bald in Rente und man möchte die Übergabe frühzeitig einleiten. Vielleicht sind Sie auch schlicht über die Sichtweise des DSB nicht froh, der Ihrer Ansicht nach zu wenig pragmatisch und zu sehr als Projektverhinderer auftritt? Oder aber der externe DSB hat zu wenig Zeit für Sie und Sie möchten deshalb wechseln.

Sicherlich gibt es noch viel mehr Erwägungen, die Unternehmen zu dem Schritt bringen, den Datenschutzbeauftragten zu wechseln. Neben der Überlegung, wer die Aufgabe als nächstes übernehmen soll, steht natürlich die große Frage: Kann man eine(n) Datenschutzbeauftragte(n) kündigen und unter welchen Voraussetzungen? Die typische Juristinnen-Antwort lautet bekanntlich: Es kommt darauf an. Zum einen darauf, ob der Datenschutzbeauftragte extern oder intern ist. Ein interner DSB ist im Unternehmen beschäftigt und hat meistens zusätzlich zu den im Arbeitsvertrag vereinbarten Tätigkeiten die Aufgabe übernommen, als Datenschutzbeauftragte(r) aktiv zu sein. Ein externer DSB dagegen ist bei einem Dienstleister beschäftigt und zumeist von mehreren Unternehmen als ihr DSB benannt worden. Zum anderen kommt es darauf an, ob die Benennung zum Datenschutzbeauftragten befristet erfolgt ist.

Wir schauen uns also vier Konstellationen für die Frage der Kündigung und/oder Abberufung an:

• Interne(r) Datenschutzbeauftragte(r) ohne Befristung
• Interne(r) Datenschutzbeauftragte(r) mit Befristung
• Externe(r) Datenschutzbeauftragte(r) mit Dienstleistungsvertrag ohne feste Laufzeit
• Externe(r) Datenschutzbeauftragte(r) mit Dienstleistungsvertrag mit fester Laufzeit

Zudem wird erörtert, ob Covid19 ein Grund sein kann, die Zusammenarbeit mit dem Datenschutzbeauftragten zu beenden.

Noch ein kleiner Exkurs zur Ausräumung eines häufigen Missverständnisses, dann geht es los:

Ein Datenschutzbeauftragter hat nicht die Aufgabe, das gesamte Unternehmen – quasi im Alleingang – datenschutzkonform aufzustellen. Er kontrolliert und unterstützt das Unternehmen dabei, dass sich das Unternehmen um den Datenschutz kümmert. Verantwortlich für die Einhaltung der Vorgaben des Datenschutzes ist nach wie vor das Unternehmen selbst.

Den ganzen Artikel lesen.

Mitautor: Tobias Pollmann*

Während es in den letzten Beiträgen wieder vermehrt um Datenschutz im engeren Sinne und dabei vor allem ein datenschutzgerechtes sowie datensicheres Homeoffice ging (Teil 1 und Teil 2!), wenden wir uns heute maßgeblich dem Arbeitsschutz zu. Allerdings nicht ohne doch noch auch in diesem Zusammenhang auf den Datenschutz zurückzukommen.

Am Mittwoch, den 15.04.2020 verkündete die Bundesregierung gemeinsam mit den Ministerpräsident*innen die ersten Lockerungen der strengen Maßnahmen zur Eindämmung der Coronakrise. Damit jedoch das langsame „Hochfahren“ der Wirtschaft nicht schiefgeht und in kürzester Zeit die Lockerungen uns erneut an den Rand des Zusammenbruchs führen, bedarf es – nicht nur, aber auch – einiger einheitlicher Regeln zum Schutz der Arbeitnehmer*innen vor dem Coronavirus in den Betrieben. Diesem Thema hat sich das zuständige Bundesministerium für Arbeit und Soziales (BMAS) angenommen und am Donnerstag, den 16.04.2020 ein Papier mit dem Titel „SARS-CoV-2-Arbeitsschutzstandard“ vorgestellt.

Welche rechtlichen und tatsächlichen Implikationen dieses Papier hat, haben wir uns für Sie angeschaut.

Den ganzen Artikel lesen.

Aus Sicht der Datenschutz- und Arbeitsrechtlerin wahrlich nichts Neues: Bewerbungsmanagement- und Personalmanagement- sowie Personalentwicklungssoftware sind vor der Implementierung und dem Einsatz im Unternehmen nicht nur von der Fachabteilung auf Anwenderfreundlichkeit und Effektivität zu bewerten, sondern auch von der IT-Abteilung auf Datensicherheit sowie wie dem Legal Department oder den entsprechend spezialisierten Anwälten auf datenschutz- und arbeitsrechtliche Fallstricke zu prüfen. Hierauf weise ich nicht nur im Rahmen meiner Beratungen stets hin, sondern schrieb dazu bereits unter anderem hier (DSGVO-Praxisleitfaden für KMU: In acht Schritten zur Compliance) und hier (Recruiting- und Personalauswahlverfahren unter DSGVO und BDSG) sowie hier (Datenschutz im Beschäftigtenverhältnis–Teil 2).

Und doch, oh weh, oh ach, dieser Datenschutz. Da wird doch der Anbieter des Systems schon drauf geachtet haben. Und überhaupt, es passiert ja doch nichts.

Tja. In diesem Glauben kann man bleiben, sollte man jedoch aus purem Eigeninteresse im Hinblick auf die Firmenbilanz wie auch die Integrität vielleicht besser doch nicht.

Nicht nur, dass die recht langsamen Mühlen der Behörden inzwischen mit all ihrer Gründlichkeit den einen oder anderen Sack Mehl fertig gemahlen, vielmehr Bußgeldbescheide versendet haben. So wie beispielsweise

• die Berliner Beauftragte für Datenschutz und Informationssicherheit mit dem Bußgeldbescheid über 14,5 Millionen Euro gegenüber der Deutschen Wohnen SE
• der Bundesdatenschutzbeauftragte mit dem Bußgeldbescheid über 9,5 Millionen Euro gegenüber der 1&1 GmbH
• der Landesbeauftragte Rheinland-Pfalz mit dem Bußgeldbescheid über 105.000 EUR gegenüber der Universitätsklinik Mainz
• der Bundesdatenschutzbeauftragte mit einem Bußgeld in Höhe von 10.000 EUR gegenüber der Rapidate GmbH.

Die Verhängung von Bußgeldern durch eine Behörde bedeutet dabei selbstverständlich nicht, dass diese Bescheide rechtskräftig sind. Gegen diese kann Einspruch erhoben werden. Und sowohl von der Deutsche Wohnen SE als auch der 1&1 GmbH heißt es, dass diese Einsprüche getätigt haben oder tätigen wollen. Die Frage, ob man aber überhaupt erst einmal auf diese Art und Weise mit einer Datenschutzbehörde in Kontakt kommen möchte und dann vor einem Amtsrichter am Strafgericht (bei Geldbußen bis zu 100.000 EUR) oder vor der Kammer am Landgericht für Strafsachen (bei Geldbußen ab 100.000 EUR) Fragen der DSGVO erörtern möchte, wenn doch die Richter sich bisher mit Verkehrsordnungswidrigkeiten bzw. Raub und Totschlag befassten, das würde ich als Geschäftsführer wohl mit „Nein“ beantworten. (Also als Anwältin mit jubelndem Herzen mit „JA!“… aber das ist wohl eine andere Perspektive 😉 ).

Sondern inzwischen ist auch die erste Personalsoftware fest im Blick einer Behörde. Genau genommen steht die die von Zalando zur Mitarbeiterbewertung eingesetzte Software Zonar im Blick der Berliner Beauftragten für Datenschutz und Informationssicherheit.

Grund genug einmal einen Blick auf den Fall Zonar sowie  auf die grundsätzlichen datenschutz- und arbeitsrechtlichen Anforderungen an Personalsoftware zu werfen.

Den ganzen Artikel lesen.

Gestern gab die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Maja Smoltczy, per Pressemitteilung bekannt, dass am 30. Oktober gegen die Deutsche Wohnen SE ein Bußgeldbescheid in Höhe von 14,5 Millionen Euro aufgrund von Verstößen gegen die DSGVO erlassen worden sei. Dabei handelt es sich um das fünfthöchste Bußgeld, dass bislang EU-weit und um das höchste Bußgeld, dass bislang in Deutschland erlassen wurde.

Naturgemäß eilt nun diese Meldung durch die Presselandschaft und wird auf Twitter kommentiert. Dazu hat der geschätzte Kollege Niko Haerting bereits die erste juristische Kritik geäußert, seiner Auffassung nach steht der Bußgeldbescheid auf dünnem Eis.

Doch worum geht es eigentlich? Wie ist der Bußgeldbescheid rechtlich einzuordnen? Und ist das Eis tatsächlich so dünn wie vom Kollegen Haerting beschrieben?

Den ganzen Artikel lesen.