Lang, lang, ist´s her, dass ich hier auf einen Fachaufsatz hinwies. Drum wird es Zeit, dies endlich wieder einmal zu tun. Dafür gibt es nun auch gleich zwei gute Gründe. Der Aufsatz Organisatorische Maßnahmen i.S.v. Art. 32 DSGVO – Das unterschätze „Must-Have“ eines jeden Unternehmens, der in der ZdiW bereits in der Ausgabe 01/2021 erschien, hat zum einen nichts an Aktualität eingebüßt und zum anderen ist er nun auch öffentlich auf der Seite des Wolters Kluwer Verlags, d.h. ohne Bezahlschranke, abrufbar. Und schließlich gilt besser spät als nie, oder? 😉

Zum Inhalt:

In dem Aufsatz geht es darum, wie wichtig organisatorische Maßnahmen im Sinne des Art. 32 DSGVO wie etwa Schulungen, aber vor allem auch Richtlinien und Betriebsvereinbarungen, sind, um (Haftungs-)Risiken für das verantwortliche Unternehmen im Zusammenhang mit Datenschutz-Compliance beträchtlich zu minimieren.

Was damit gemeint ist und wie genau das funktioniert, das können Sie hier nachlesen:

Ich kann nur dringend empfehlen, sich mit diesem Thema – wenn es immer noch nicht geschehen ist – zu befassen und auseinanderzusetzen. Denn: Organisatorische Maßnahmen im Sinne des Art. 32 DSGVO sind ein „Must-Have“ eines jeden verantwortlichen Unternehmerns

In diesem Sinne,

Nina Diercks

Dieser Beitrag der Rechtsanwältin Nina Diercks erschien zuerst (und leicht gekürzt) in der Zeitschrift Arbeit und Arbeitsrecht (AuA) in Heft 12/18.

Vielen Dank an die Redaktion und damit natürlich an Volker Hassel!

Recruiting- und Personalauswahlverfahren unter DSGVO und BDSG

Datenschutz ist naturgemäß ein Thema für die Personalabteilung. Schließlich arbeitet man dort mit nichts anderem als personenbezogenen Daten. Dennoch sahen lange recht wenige Personalabteilungen eine primäre Zuständigkeit für dieses Thema. Es hieß vielmehr, der Datenschutz liege in den Händen der Compliance-Abteilung. Dass sich diese zumeist mit den Spezifika der Datenverarbeitung im Bereich Personal nicht auskennen (nicht auskennen können), wurde sanft ignoriert. Auch von beratenden Arbeitsrechtskanzleien war oft kaum etwas zu vernehmen. Wenig verwunderlich, galt Datenschutz unter Fachanwälten für Arbeitsrecht doch als das „Orchideenfach“, das „einem als Arbeitsrechtler einfach nicht liege“ (so noch Dozenten beim Fachanwaltslehrgang Ende 2016). Dazu verstehen zu viele Arbeitsrechtler unter Personalauswahlverfahren immer noch ausschließlich das Lesen von Bewerbungsunterlagen nebst Interview. Die Folge? Vielmehr, als dass Fristen zur Aufbewahrung von Bewerber- wie auch Personalakten existieren, war nicht bekannt. Und selbst hier herrschte große Unsicherheit darüber, wie lang diese tatsächlich sind. Drei Monate für Bewerber? Oder doch sechs? Daneben tauchten zwar Fragen auf wie „Wie ist das eigentlich beim Sourcing?“, „Was ist mit Daten im Talent-Pool?“ „Video-Interviews dürfen wir doch nicht führen oder?“, jedoch wandte man sich diesen Themen nicht zu tief zu, das Tagesgeschäft rief schließlich.

Diese fürsorglich ignorierte Unsicherheit schlug mit der Datenschutzgrundverordnung (DSGVO), die am 25. Mai 2018 Geltung erlangte, vielerorts in Panik um. Mit einmal war Datenschutz keine jämmerliche Büropflanze mehr, der man einen Blick zuwerfen und sie wieder vergessen konnte, sondern wurde aufgrund der in Rede stehenden Sanktionsmöglichkeiten von bis zu 20 Millionen EUR bzw. bis zu 4% des weltweiten Jahresumsatzes und der Schadensersatzansprüche von Betroffenen als wesentlicher Teil der Unternehmensprozesse erkannt.

Die Panik flüsterte, man brauche für alles Rechtsgrundlagen und vor allem Einwilligungen, denn mit Einwilligungen sei wirklich immer alles sicher. Vor allem, wenn eine Einwilligung vom Bewerber zur Datenverarbeitung oder zum Einsatz von Online-Assessments vorliege. Der erleichterte Ausruf vieler Orten: „Ach, wie toll, das Bewerbermanagement-System bietet die Einwilligungsabfrage direkt an!“

Die Wahrheit ist, mit der DSGVO und dem angepassten Bundesdatenschutzgesetz (BDSG) hat sich die Rechtslage im Hinblick auf Recruiting- und Personalauswahlverfahren nur verhältnismäßig wenig geändert. Um der dennoch aufkeimenden Panik entgegenzutreten, werfen nun einen unaufgeregten Blick auf die Verfahren unter DSGVO und BDSG.

1. Der Anfang jeder Einstellung – Die Bewerbungsphase

Am Anfang jeder Einstellung steht entweder die klassische Bewerbung oder – o tempora, o mores! – die Suche nach geeigneten Kandidaten, die Identifikation und Ansprache derer (sog. Sourcing.)

Den ganzen Artikel lesen.

Das Upload Magazin Nr. 64 trägt den Schwerpunkt Datenschutz. Zu dieser Ausgabe durfte ich zum einen mit einem Bericht zum Status Quo nach sechs Monaten DSGVO beitragen und zum anderen durfte ich einen Praxisleitfaden für KMU (kleine und mittelständische Unternehmen) zur Erreichung der DSGVO Compliance verfassen. Dabei erläutere ich nicht nur, was es mit

• dem Verzeichnis von Verarbeitungstätigkeiten
• den Informationen zur Datenverarbeitung
• den Vertraulichkeitsverpflichtungen
• den Technischen und organisatorischen Maßnahmen
• Auftragsverarbeitungsverträgen
• Privacy by Design & Default
• Datenschutzfolgeabschätzungen
• Meldepflichten und
• dem Datenschutzmanagement-Handbuch

jeweils auf sich hat, sondern vor allem, wie diese in Bezug zueinander stehen. Eine  eine systematische Herangehensweise an das Thema DSGVO-Compliance ist nämlich nicht nur sinnvoll, sondern spart am Ende Zeit und damit natürlich auch Geld.

Mitgeben möchte ich Ihnen als Geschäftsführer/in eines KMU vor allem, dass die Umsetzung der DSGVO  im Ergebnis natürlich machbar und gar nicht solch ein großer Schrecken ist. Sozusagen ein Scheinriese, der den Vorteil mit sich bringt, dass die Unternehmensprozesse einmal durchleuchtet werden – was man zumeist ohnehin schon lange vorhat, aber nun einen guten Grund hat, dies wirklich einmal zu tun.

Doch nun genug der Vorrede, hier können Sie den ganzen Artikel lesen (einfach auf den Screenshot klicken):

In diesem Sinne,

wir lesen uns drüben.

Gastbeiträge oder Interviews finden sich in diesem Blog äußerst selten. Doch wenn es passt, dann lasse ich natürlich gerne auch einmal andere zu Wort kommen. So wie zum Beispiel den Strafverteidiger Christoph Nebgen, der sich der Strafbarkeit des Cybermobbings annahm. Heute passt es wieder einmal. Und zwar in Sachen Compliance. Zu Compliance unter strafrechtlichen Gesichtspunkten ließe sich natürlich auch eine Menge schreiben. Doch wer mich kennt, der weiß, dass ich doch viel lieber präventiv berate und gestalte als gefallene Kinder aus dem Brunnen zu holen. Darum soll es heute um den – wie ich finde – unglaublich spannenden Aspekt der Compliance-Kommunikation innerhalb des Unternehmens gehen.

Den ganzen Artikel lesen.

Silo-Denken? Compliance-Probleme? Hat Nina Diercks die Branche gewechselt und macht jetzt Unternehmenskommunikation? – Nein, natürlich nicht! Die Expertin für interne Unternehmenskommunikation ist immer noch Jeanette Wygoda. Mit eben dieser hat die Rechtsanwältin zum Thema Compliance, Recht und ja, auch dem Silo-Denken ein Interview geführt.

Das Thema Compliance ist im Blog natürlich immer wieder ein Thema. Bedeutet Compliance doch nichts anderes als Rechtskonformität. (Während ersteres aber eher zum Wegdösen der Geschäftsführung führt, bedeutet letzteres regelmäßig sofort einen hellwachen Vorstand).

In letzter Zeit ist das Wort „Compliance“ hier sehr häufig im Zusammenhang mit der DSGVO (EU-Datenschutzgrundverordnung) gefallen, die ab Mai 2018 dafür sorgt, dass ein datenschutzrechtlicher Compliance-Verstoß wahrlich kein Kavaliersdelikt mehr ist.

[Wenn Sie mehr zur DSGVO und den Folgen für Unternehmen wissen möchten, dann werfen Sie doch einen Blick in unsere 9-teilige Serie dazu, die von einem Blick auf die grundlegenden datenschutzrechtlichen Rechten und Pflichten der Unternehmen bis hin zu konkreten Themen wie  Actice Sourcing und das Talent Relationship Management reicht].

Jeanette Wygoda und Rechtanwältin Nina Diercks beleuchten in dem Interview unter dem Titel „“Silo-Denken“ in Unternehmen ist auch ein Compliance-Problem“ einen weiteren Aspekt, nämlich den der internen Kommunikation. Dabei geht es vor allem darum, wie das klassische „Silo-Denken“ (also das Denken in rein bereichs- bzw. abteilungsbezogenen Verantwortlichkeiten) insbesondere in Bezug auf die Datenschutz-Compliance zu einer äußerst unangenehmen Falle werden kann.

Hier geht es zum vollständigen Artikel

“Silo-Denken“ in Unternehmen ist auch ein Compliance-Problem

Wir wünschen viel Spaß beim Lesen!

Ihre Kathrin Meyer