Die Personalabteilung unseres Hauses plant die Digitalisierung der Personalakten. Grundsätzlich begrüße ich diesen technischen Fortschritt. Die Daten sollen jedoch nicht lokal im Haus gespeichert werden, sondern bei einem externen Dienstleister in einer Cloud-Lösung.
Mit dem Dienstleister wird ein Auftragsverarbeitungsvertrag geschlossen. Zudem liegen technische und organisatorische Maßnahmen sowie IT- und Datenschutzkonzepte vor.
Aktuell wird diskutiert, ob die Mitarbeitenden vor der Verarbeitung ihrer personenbezogenen Daten durch den Auftragsverarbeiter ausdrücklich einwilligen müssen. Dies betrifft teilweise auch besonders schützenswerte personenbezogene Daten.
Meines Erachtens ist fraglich, ob eine Einwilligung überhaupt die richtige Rechtsgrundlage ist oder ob die Verarbeitung im Rahmen des Beschäftigungsverhältnisses und der Auftragsverarbeitung ohne gesonderte Einwilligung zulässig ist.
Mich würden hierzu die Einschätzungen und Erfahrungen anderer Datenschutzbeauftragter interessieren. Wie handhaben Sie solche Fälle in Ihrer Organisation?
Die datenschutzrechtliche Einwilligung bezieht sich als “Rechtsgrundlage” immer auf die Datenverarbeitung an sich, nicht auf eine spezielle technische Umsetzung dieser Datenverarbeitung. Die Führung von Personalakten ist als Datenverarbeitung erforderlich für die Erfüllung des Arbeitsvertrages. Eine Auftragsverarbeitung ist keine “eigene” Datenverarbeitung des Auftragsverarbeiters und bedarf daher auch keiner extra Einwilligung oder anderen Rechtsgrundlage.
Ein Auftragsverarbeiter verarbeitet die Daten weiter in Verantwortung der entsprechenden “verantwortlichen Stelle”, so als gehöre er zum Unternehmen/zur Organisation selbst.
Einwilligungen sind grundsätzlich im Arbeitsverhältnis keine geeignete Rechtsgrundlage wegen des unterschiedlichen Machtverhältnises zwischen den Beteiligten und daher Zweifel an der Freiwilligkeit. Ausnahmen laut § 26 (2) BDSG nur bei gleichgelagerten Interessen oder Vorteilen für die Beschäftigten.
Mit genau dieser Thematik sind wir aktuell auch befasst gewesen - an Rechtsgrundlagen und Daten(kategorien) ändert sich durch die Umsetzung über Clouddienst nicht. Nach Abklärung der Vertraglichkeiten sind noch Anpassungen im VVT und eine ergänzende/erneuerte Mitarbeiterinfo zu erledigen. Und künftig natürlich die Prüfung des Dienstleisters mit beachten.
Die Personalaktenverwaltung ist insgesamt schon zulässig, wegen der Erforderlichkeit zum Erfüllen des Arbeitsvertrags.
Auftragsverarbeitung benötigt prinzipiell keine eigene Zulässigkeit. Die Aktenhaltung in einer Cloud ist eine Variante eigener Systeme “im Keller”. (Wegen der Redundanz /Datensicherung hoffentlich in mehreren Kellern in unterschiedlichen Gebäuden /Orten.)
Ich hätte mehr Bedenken, dass mit der Cloudnutzung weitere Verarbeitungen einher gehen, die man bisher nicht hatte, und deren abweichende /zusätzliche Zwecke zulässig hinzukriegen wären. Oder weg zu konfigurieren.
D., der beim Recherchieren, was wegen der Cloud alles noch passiert ein Abenteuer erwartet.