Verpflichtung auf das Datengeheimnis – was ist das eigentlich?

Häufig gelesen und doch selten richtig umgesetzt – die Verpflichtung auf das Datengeheimnis. 

Viele Unternehmen und Arbeitgeber haben zwar Kenntnis von der „Verpflichtung auf das Datengeheimnis“, verwechseln dies jedoch mit Verschwiegenheitsverpflichtungen des Mitarbeiters gegenüber dem Unternehmen. 

Klauseln in Arbeitsverträgen zu Verschwiegenheitsverpflichtungen, Vertraulichkeiten etc. erfüllen das Erfordernis der Verpflichtung auf das Datengeheimnis ausdrücklich nicht, da sie einen anderen Zweck verfolgen. So sind Vertraulichkeitserklärungen notwendig um Firmeninterna zu schützen. Die Verpflichtung auf das Datengeheimnis hingegen soll die rechtskonforme Verarbeitung von personenbezogenen Daten durch Mitarbeiter oder Beschäftigte sicherstellen. 

1. Rechtsgrundlage

Rechtsgrundlage für die Verpflichtung ist derzeit noch § 5 Bundesdatenschutzgesetz. Nach § 5 BDSG ist es „den bei der Datenverarbeitung beschäftigten Personen untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis). Diese Personen sind, soweit sie bei nicht-öffentlichen Stellen beschäftigt werden, bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten.“ 

2. Wer ist zu verpflichten? 

Grundsätzlich sind Beschäftigte (auch Teilzeit, freie Mitarbeiter, Praktikanten, etc.) zu verpflichten, die regelmäßig an Datenverarbeitungsprozessen beteiligt sind. Der klassische Anwendungsfall ist folglich der Mitarbeiter der Personalabteilung, der Lohnbuchhaltung etc. Da im Zuge der Digitalisierung allerdings kaum noch Prozesse zu finden sind, bei denen keinerlei personenbezogene Daten erhoben werden, empfiehlt sich die Verpflichtung aller Mitarbeiter. So genügt im Grunde die Kommunikation per E-Mail, um die Verpflichtung auf das Datengeheimnis zu begründen. 

3. Umfang der Verpflichtung

Was ist konkret zu tun? Die verantwortliche Stelle (in der Regel also der Arbeitgeber / Unternehmer) hat den jeweiligen Mitarbeiter vor Aufnahme seiner Tätigkeit über das Datengeheimnis zu belehren. Der Mitarbeiter sollte allgemein im Hinblick auf den Umgang mit personenbezogenen Daten sensibilisiert werden. Daneben empfiehlt sich eine Belehrung, die konkret auf seinen Aufgabenbereich zugeschnitten ist. Dem Mitarbeiter sollte klar sein, wann er welche Daten wie und in welcher Form verwenden darf. Zugriffsberechtigungen und Weitergabeberechtigungen sollten definiert werden. Grundsätzlich darf der Mitarbeiter personenbezogene Daten nur zur Erfüllung seiner ihm obliegenden Aufgaben verwenden. Die Weitergabe – auch an andere Fachabteilungen – ist nicht ohne weiteres erlaubt. 

Aus Beweisgründen sollte der Arbeitgeber die Verpflichtung verschriftlichen und den Mitarbeiter unterzeichnen lassen. Die Verpflichtungserklärung selbst muss die Aufforderung enthalten, das Datengeheimnis zu wahren. Darüber hinaus sind die Sanktionen und möglichen Konsequenzen eines Verstoßes darzustellen. Diese können sowohl arbeitsrechtlicher- als auch ordnungswidrigkeits- oder strafrechtlicher Natur sein. Organisatorisch empfiehlt es sich das Original der Verpflichtung in der Personalakte zu verwahren und dem Mitarbeiter eine Kopie auszuhändigen. 

4. Gilt dies auch in Zukunft? 

Ab dem 25.05.2018 gilt die EU-Datenschutzgrundverordnung, die der Vereinheitlichung des Datenschutzrechts in der EU dient. Diese erwähnt die Verpflichtung auf das Datengeheimnis nicht mehr explizit. Dennoch empfiehlt es sich diese Praxis auch in Zukunft aufrecht zu erhalten, denn die Pflicht zur Sensibilisierung von Mitarbeitern bleibt erhalten. 

Haben Sie Fragen zu diesem Thema oder benötigen Sie eine Verpflichtungserklärung auf das Datengeheimnis? Dann sprechen Sie mich als Fachanwältin für IT-Recht und zertifizierte Datenschutzbeauftragte (TÜV) unverbindlich an. Gerne stehe ich Ihnen bei Beratungsbedarf im Bereich des Datenschutzrechts zur Verfügung.