Datenschutz ist Stolperfalle für Zeitarbeitsbranche

„Analog ist nicht das neue Bio, Analog ist neue Einsamkeit“, erklärte Prof. Dr. Volker Lüdemann, Professor für Wirtschafts- und Wettbewerbsrecht an der Hochschule Osnabrück und wissenschaftlicher Leiter des Niedersächsischen Datenschutzzentrums (NDZ), in seinem Vortrag „Datenschutz ist Chefsache – Was kommt auf Unternehmen zu?“ beim 7. Potsdamer Rechtsforum des Interessenverbandes Deutscher Zeitarbeitsunternehmen (iGZ).

Insbesondere für Personaldienstleistungsunternehmen sei die am 25. Mai in Kraft getretene Datenschutzgrundverordnung (DSGVO) von besonderer Bedeutung „Zeitarbeitsunternehmen müssen vor allem für ihre externen Mitarbeiter eine vollumfängliche datenschutzrechtliche Verantwortung tragen“, betonte Lüdemann. Das gelte auch für die Kundenunternehmen, an die der Zeitarbeitnehmer überlassen wird. Auch hier müssen die Zeitarbeitnehmer aus datenschutzrechtlichen Gründen als Vollbeschäftigte geführt werden.

Informationspflichten der Unternehmen

Laut Lüdemann sind die Informationspflichten von Zeitarbeitsunternehmen und Kundenunternehmen als kritisch zu betrachten. „Personaldienstleister dürfen personenbezogenen Daten übermitteln, müssen die betroffene Person aber darüber informieren, dass die Daten weitergeben werden.“ Wenn das nicht geschehe, sei es ein nachweisbarer Informationsverstoß des Unternehmens. Ebenso müsse das Einsatzunternehmen den Zeitarbeitnehmer informieren, was dieser mit den erhaltenen Daten mache und welche zusätzlichen Daten das Unternehmen erhebe.

Automatische Löschung der Daten

Daher sei es notwendig robuste Prozesse zu installieren, um der Nachweispflicht lückenlos nachkommen zu können. Zeitarbeitsunternehmen dürfen nur Daten erheben und verarbeiten, die für spezielle Beschäftigungsverhältnisse erforderlich seien. „Alle Daten müssen automatisch gelöscht werden, sobald ein Einsatz eines Zeitarbeitnehmers beendet ist“, betonte Lüdemann. Es sei denn, es gebe gesetzliche Vorschriften, die eine längere Speicherung legitimieren. „Wegen Diskriminierungsvorwürfen dürfen Daten zum Beispiel zwei Monate länger gespeichert werden. Spätestens aber nach sechs Monaten müssen die Daten vollständig gelöscht werden.“

Bewerbermanagement

Ebenso müssen die Prozesse im Bewerbermanagement sehr sauber aufgebaut sein. „Nur diejenigen, die mit der Personalauswahl beschäftigt sind, sollten auch Zugriff auf die Daten der Bewerber haben“, mahnte Lüdemann. Bei Online-Bewerbungen solle bereits bei der Eingabemaske der Daten auf den Datenschutz hingewiesen werden. Bei Bewerbungen per E-Mail solle eine automatische Rückantwort auf den Datenschutz aufmerksam machen. Eine gesonderte Einwilligung müsse ebenso eingeholt werden, wenn das Unternehmen Bewerbungen für einen Talentpool speichern möchte.

Leitungsebene haftet auch

Laut DSGVO hafte nicht mehr nur das Unternehmen, sondern auch die Geschäftsleitung oder der Vorstand. „Für den Fall, dass die Geschäftsleitung oder der Vorstand den Datenschutz nicht hinreichend implementiert hat, drohen rechtliche Sanktionen gegen die Personen“, erläuterte Lüdemann. Geschädigte können Unternehmen nicht nur auf Schadenersatz, sondern auch auf Schmerzensgeld verklagen. Hier drohe Gefahr durch die Beweislastumkehr. Denn nicht der Betroffene müsse beweisen, dass ein Datenschutzverstoß vorliege, sondern das Unternehmen müsse beweisen, dass es die DSGVO ordnungsgemäß umgesetzt habe.

Datenschutzmanagement unabdingbar

Internes Datenschutzmanagement sei für Unternehmen ein weiterer wichtiger Aspekt. „Die Leitungsebene muss nachweisen können, dass sie sich mit der DSGVO und den Datenschutzregeln beschäftigt hat“, betonte Lüdemann. Daher sei die Benennung eines Datenschutzbeauftragten sowie der Einsatz einer Datenschutzrichtlinie unabdingbar.

Datenschutz auch online wichtig

„Wichtig ist auch, die Webseite Datenschutzkonform zu machen. Das heißt: Erstellen Sie ein Impressum auf der Homepage und eine Datenschutzerklärung“, riet der Datenschutzexperte den Teilnehmern. Ebenso müssen Apps und Facebook-Seiten rechtssicher gemacht werden. „Das ist alle kein Hexenwerk, aber ungeheuer wichtig.“ (SB)