Seit dem 25. Mai 2018 ist die EU-DSGVO zwingend anzuwenden, nachdem die zweijährige Übergangsfrist am 24. Mai 2018 abgelaufen ist. Die EU-DSGVO betrifft Unternehmen in allen Bereichen und insbesondere auch beim Umgang mit Arbeitnehmerdaten.

1. Die auch für Arbeitgeber sicherlich bedeutsamste Neuerung der EU-DSGVO liegt in einer erheblichen Anhebung der Bußgeldrahmen, wie es im vor-angegangenen Artikel bereits verlautet wurde. Die im Anwendungsbereich des BDSG a.F. bislang geltenden Buß-geldrahmen sahen lediglich Bußgelder von bis zu EUR 300.000 vor. Diese konnten zwar im Einzelfall erhöht werden. Gleichwohl sind derart hohe Bußgelder in der Vergangenheit jedenfalls nicht an die Öffentlichkeit gedrungen.
2. Von zentraler Bedeutung ist, dass die EU-DSGVO die Betroffenenrechte stärkt und weitergehende Informations- und Meldepflichten, etwa für den Fall von Datenschutzverletzungen, vorsieht. Ab sofort ist im Falle einer Prüfung durch die Aufsichtsbehörde oder einer Beschwer-de eines Betroffenen der Arbeitgeber dafür verantwortlich, anhand von Dokumentationen (Verfahrensverzeichnis, Datenschutzfolgenabschätzung usw.) nachzuweisen, dass datenschutzrechtliche Vorgaben eingehalten worden sind. Diese in Art. 5 Abs. 2 EU-DSGVO geregelte Rechenschaftspflicht hat erhebliche Auswirkungen auf die Gestaltung von Prozessen und deren Dokumentation auch im Hinblick auf Arbeitnehmerdaten.
3. Zum Beschäftigtendatenschutz enthält die EU-DSGVO in Art. 88 eine Spezifizierungsklausel, nach der die nationalen Gesetzgeber Regelungen zum Beschäftigtendatenschutz treffen können. Mit dem neuen BDSG in seiner ebenfalls seit dem 25. Mai 2018 geltenden Fassung hat der deutsche Gesetzgeber diese Spezifizierung vorgenommen. Regelungen zum Beschäftigtendatenschutz finden sich in § 26 BDSG n.F. Diese entsprechen zwar in Teilen dem § 32 BDSG a.F., gehen jedoch z. B. im Hinblick auf Einwilligungen darüber hinaus. Daneben sind die allgemeinen Regelungen der EU-DSGVO, etwa zu den Betroffenen-, Auskunfts- und Informationsrechten, anwendbar und sind nach § 26 Abs. 5 BDSG n.F. neben den Regelungen des § 26 BDGS n.F. zu beachten.
   
   Im Einzelnen:

• Wie zuvor dürfen personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung, Durchführung oder Beendigung eines Beschäftigtenverhältnisses erforderlich ist (§ 26 Abs. 1 Satz 1 BDSG n.F.).
• Die Voraussetzungen für die Verarbeitung von personenbezogenen Daten zur Aufdeckung von Straf-taten von Beschäftigten sind zwar nun an anderer Stelle geregelt, entsprechen jedoch denen in der Vorgängerregelung (§ 26 Abs. 1 Satz 2 BDSG n.F.).
• Die Regelungen des Beschäftigtendatenschutzes gelten weiterhin auch dann, wenn personenbezogene Daten von Beschäftigten verarbeitet werden, ohne dass sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen (§ 26 Abs. 7 BDSG n.F.).
• Neu sind Regelungen zu den konkreten Anforderungen an die Freiwilligkeit einer Einwilligung. Diese ist zwar grundsätzlich auch im Beschäftigungsverhältnis möglich, jedoch nur, wenn eine Freiwilligkeit in Anbetracht der Abhängigkeit des Arbeitnehmers im Einzelfall anzunehmen ist. Zudem bedarf die Einwilligung im Beschäftigungsverhältnis nach wie vor grundsätzlich der Schriftform, sofern nicht wegen besonderer Umstände eine andere Form angemessen ist. Außerhalb des Beschäftigungsverhältnisses sieht die EU-DSGVO nunmehr jedoch keine Form für die Erklärung einer Einwilligung mehr vor. Die bisherige Regelung in § 4a BDSG a.F. zur Schriftform der Einwilligung hat der Gesetzgeber in der Nachfolge-regelung des § 51 BDSG n.F. nicht weiter aufrechterhalten, sodass Einwilligungen außerhalb des Beschäftigungsverhältnisses keiner besonderen Form mehr bedürfen.
• Neu ist eine ausführliche Regelung, nach der die Verarbeitung von Beschäftigtendaten zulässig ist, wenn dies zur Ausübung oder Erfüllung der sich aus einem Gesetz, einem Tarifvertrag oder einer Betriebsvereinbarung ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist (§ 26 Abs. 1 Satz 1 n.F.). Ebenfalls neu ist die ausdrückliche Anerkennung von Kollektivvereinbarungen (Tarifvertrag, Betriebsvereinbarung) als Grundlage für eine Verarbeitung von Beschäftigtendaten (§ 26 Abs. 4 BDSG n.F.). Damit ist es Arbeitgebern etwa möglich, die Datenverarbeitungsvorgänge, etwa bei der Einführung einer technischen Einrichtung zur Zeiterfassung, einmalig und für alle Mitarbeiter mit dem Betriebsrat zu regeln.
• Geregelt ist nunmehr auch, dass die Verarbeitung besonderer Kategorien personenbezogener Daten i.S.v. Art. 9 EU-DSGVO, also etwa Gesundheitsdaten, für Zwecke des Beschäftigungsverhältnisses zulässig ist, wenn dies zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt (§ 26 Abs. 3 BDSG n.F.). Für eine Einwilligung gilt insoweit die Regelung des § 26 Abs. 2 BDSG n.F. entsprechend.

Die innerbetriebliche Umsetzung der Regelungen der Datenschutzgrundverordnung ist für Unternehmen insbesondere in Anbetracht der drohenden Bußgelder wichtig. Dabei sind betroffene Unternehmensbereiche und Prozesse zu identifizieren und diese im Hinblick auf ihre datenschutzrechtliche Bedeutung zu priorisieren.

So sind etwa Einwilligungen und Betriebsvereinbarungen darauf hin zu überprüfen, ob sie den Anforderungen der EU-DSGVO entsprechen, indem sie etwa die Auskunfts- und Betroffenenrechte umsetzen und die Arten der Datenverarbeitung und deren Systeme hinreichend und vollständig darstellen.