Datenschutz in HR – warum das Thema so wichtig ist

Umfangreich, komplex und ständig im Wandel: Das Thema Datenschutz stellt hohe Anforderungen an Verantwortliche in Unternehmen. Das gilt in besonderem Maße für Datenschutz im HR-Bereich. Schließlich gehört die Arbeit mit personenbezogenen Daten im Personalwesen zum täglichen Brot.

Fehler bei dieser Arbeit aber ziehen seit Inkrafttreten der europäischen Datenschutz-Grundverordnung (DSGVO) immer öfter schwerwiegende Folgen nach sich. Umso wichtiger ist es, Mitarbeiterinnen und Mitarbeiter für das Thema zu sensibilisieren und den richtigen Umgang mit Daten sicherzustellen.
 

Für Frank Henkel, auf Datenschutzrecht spezialisierter Rechtsanwalt aus Hamburg, haben vor allem zwei Entwicklungen in den letzten Jahren dafür gesorgt, dass Datenschutz im HR-Bereich an Bedeutung gewinnt – und für beide Entwicklungen ist die Digitalisierung maßgeblich:

• Der Umfang von Daten steigt.
• Gleichzeitig nimmt die Komplexität der Datenverarbeitung zu.

In HR gehören heute vielfach moderne Bewerbermanagementsysteme, die Machine Learning einsetzen, zum Standard. Das unterstützt Personalverantwortliche zwar dabei, geeignete Mitarbeiterinnen und Mitarbeiter für offene Stellen zu finden. Es wirft aber auch neue Datenschutzfragen auf – angefangen damit, wie Unternehmen, die mit einer solchen Software arbeiten, die notwendige Transparenz bei der Verarbeitung von Daten herstellen.

Zentrale Rechtsgrundlagen für Datenschutz in HR sind die folgenden:

• Das Bundesdatenschutzgesetz und hier speziell der § 26 sind ausschlaggebend dafür, welche Daten in deutschen Unternehmen verarbeitet werden dürfen.
• Die DSGVO spielt dagegen eine zentrale Rolle in Bezug auf formelle Rechte wie das Recht auf Auskunft oder Löschung von Daten.
• Ist in der Betriebsvereinbarung der Umgang mit Daten geregelt, handelt es sich dabei ebenfalls um Rechtsvorschriften.

Gerade Letzteres sei nicht zu unterschätzen, so Frank Henkel. Ambitionierte Betriebsräte bestehen häufig auf den Abschluss einer Betriebsvereinbarung bei Einführung und Anwendung von Software.

Wichtig: Zu den Pflichten von Betriebsräten gehört es, die Umsetzung von Datenschutzgesetzen im Unternehmen zu prüfen. Damit sie dies können, müssen ihnen Arbeitgeber Zugang zu erforderlichen Beschäftigtendaten und Dokumenten geben.​​​​​​

Datenschutz im HR-Bereich ernst zu nehmen, ist für Frank Henkel schon aus einem Grund extrem wichtig: „Seit es die DSGVO gibt, haben wir ein ganz anderes Risikopotenzial. Fehler im Datenschutz können deutlich teurer werden als früher.“ Bereits der „preiswerte Katalog“ in Artikel 83 DSGVO sehe Geldbußen bis zu einer Höhe von 10 Millionen oder 2 % des weltweiten Konzernumsatzes vor. Theoretisch seien sogar Strafen in Milliardenhöhe möglich.

Hinzu komme ein weiteres Risiko bei Datenschutzverstößen. „Heute hat man leichter die Möglichkeit, Schmerzensgeld oder immaterielle Entschädigung geltend zu machen. Die Anforderungen sind nicht mehr so hoch.“ Das spreche sich zunehmend herum und führe zu einer wachsenden Zahl von Prozessen. Gerade enttäuschte Mitarbeiter nutzen, weiß der Rechtsanwalt aus eigener Erfahrung, diese Möglichkeit häufig.

Dabei summieren sich Ansprüche schnell. Hat ein Unternehmen 3.000 Mitarbeiter und löscht Daten zu diesen Mitarbeitern nicht rechtzeitig, gibt es 3.000 Personen, die Ansprüche geltend machen können.

Die Konsequenz dieses Risikopotenzials ist für Frank Henkel klar: „Wir müssen Datenschutz wichtiger nehmen.“ Er rät zu folgenden Maßnahmen:
 

Letztendlich müssen Unternehmen Mitarbeiterinnen und Mitarbeiter dafür sensibilisieren, wie wichtig Datenschutz in HR ist und wie folgenreich Fehler sein können. Dabei genügt es nicht, dies einmal zu tun.

Genauso wie die Digitalisierung voranschreitet, verändern sich das Umfeld von und die Anforderungen an Datenschutz im Personalwesen. Für Frank Henkel machen diese Tatsache und die Wechselwirkung zwischen Datenschutz und Arbeitsrecht das Thema spannend, aber anspruchsvoll.

Für Verantwortliche sowie Mitarbeiterinnen und Mitarbeiter in HR heißt das einmal, dass sie ihr Wissen regelmäßig auffrischen und auf den aktuellen Stand bringen müssen, unter anderem indem sie Datenschutzrichtlinien aktualisieren. Es bedeutet auch, im Zweifelsfall noch einmal nachzufragen. Denn im Datenschutz geht Sicherheit vor.