Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat gegen ein Unternehmen Bußgelder in Höhe von insgesamt 215.000 Euro verhängt. Der Vorfall betrifft unzulässige Datenerhebungen, bei denen sensible Informationen über Beschäftigte in der Probezeit widerrechtlich dokumentiert wurden.

Welche personenbezogenen Daten wurden von den Betroffenen dokumentiert?

Eine Mitarbeitende erstellte nach dem Ermittlungsstand auf Anweisung der Geschäftsführung zwischen März und Juli 2021 eine tabellarische Übersicht über Beschäftigte in der Probezeit. In dieser Übersicht wurden nicht nur die Namen der Mitarbeitenden aufgeführt, sondern auch eine Bewertung der Beschäftigungssituation und sensible Informationen. Unter anderem wurden Gesundheitsdaten und persönliche Äußerungen zum Interesse einer Betriebsratsgründung gespeichert, ohne die notwendige Rechtsgrundlage zu haben. Der Bußgeldbescheid befindet sich derzeit noch im Prüfungsprozess.

Die detaillierte Übersicht enthielt Informationen zur weiteren Beschäftigung von elf Personen in der Probezeit, die als „kritisch“ oder „sehr kritisch“ bewertet wurden.

Gründe für diese Einstufungen waren persönliche Äußerungen, gesundheitliche Aspekte, außerbetriebliche Faktoren und das Interesse an der Gründung eines Betriebsrates. Diese sensiblen Informationen wurden ohne Zustimmung der Betroffenen erfasst, obwohl einige der Mitarbeitenden die Daten für die Dienstplanung mitgeteilt hatten. Hier gilt es den Grundsatz der Zweckbindung in der DSGVO zu beachten und einzuhalten.

 

Wie erfuhr die Berliner Behörde von der Datenschutzverletzung?

Die Berliner Datenschutzbeauftragte wurde durch Medienberichte und eine persönliche Beschwerde auf den Vorfall aufmerksam und leitete eine Untersuchung ein. Sie kam zu dem Schluss, dass die Verarbeitung der erhobenen Daten in diesen Fällen rechtswidrig war.

Neben der Sanktionierung dieses strukturellen Verstoßes wurden zusätzlich drei Bußgelder in Höhe von insgesamt etwa 40.000 Euro verhängt. Diese betreffen die fehlende Einbindung der betrieblichen Datenschutzbeauftragten bei der Erstellung der Liste, verspätete Meldung einer Datenschutzverletzung und fehlende Dokumentation der Liste im Verarbeitungsverzeichnis.

 

Meike Kamp, Berliner Beauftragte für Datenschutz und Informationsfreiheit:

„Die Erhebung, Speicherung und Verwendung von Beschäftigtendaten muss stets im rechtmäßigen Kontext des Beschäftigungsverhältnisses erfolgen. Im vorliegenden Fall wurde diese Voraussetzung nicht erfüllt. Insbesondere Gesundheitsdaten sind hoch sensible Informationen, die nur in engen Grenzen verarbeitet werden dürfen.“

 

Die Bemessung der Bußgelder berücksichtigte den Behördenangabe zufolge den Umsatz des Unternehmens sowie die Anzahl der betroffenen Beschäftigten. Dabei wurde berücksichtigt, dass die Verarbeitung von Gesundheitsdaten ohne angemessene Rechtsgrundlage einen besonders schweren Verstoß darstellt. Das Unternehmen wurde jedoch dafür gelobt, dass es umfassend mit der Behörde kooperierte und den Verstoß nach dessen öffentlicher Bekanntmachung von sich aus beendete.

 

Vorbeugung und Prävention: So verhindern Sie Datenschutzverletzungen

Die Verhängung eines Bußgeldes in Höhe von 215.000 Euro zeigt deutlich, wie wichtig es ist, datenschutzrechtliche Verstöße von vornherein zu verhindern. Um solche Situationen zu vermeiden und sicherzustellen, dass Ihre Organisation datenschutzkonform handelt, können folgende Maßnahmen ergriffen werden:

 

1. Bestellung einer externen Datenschutzbeauftragten: Die Einrichtung einer unabhängigen Stelle für Datenschutz stellt sicher, dass interne Prozesse stets objektiv geprüft werden und die notwendigen Maßnahmen durchgeführt werden.
2. Umfassende Prüfung der Datenerhebung und -verarbeitung: Eine regelmäßige Überprüfung der erfassten Daten und der damit verbundenen Prozesse hilft, mögliche Verstöße frühzeitig zu erkennen und zu beheben.
3. Transparentes Vorgehen: Gewährleisten Sie, dass alle Mitarbeiterinnen und Mitarbeiter über die Datenerfassung und -verarbeitung informiert sind. Transparenz schafft Vertrauen und minimiert das Risiko von Fehlverhalten.
4. Einbinden eines bestehenden Betriebsrates: Der Betriebsrat kann als Kontrollinstanz fungieren und die Einhaltung datenschutzrechtlicher Richtlinien aktiv begleiten.
5. Mitarbeiterschulungen: Sensibilisieren Sie Ihre Belegschaft für den Datenschutz und vermitteln Sie das Verständnis für die Bedeutung von Datenschutzrichtlinien und -verfahren.

 

Die Verhinderung von Datenschutzverstößen erfordert eine proaktive Herangehensweise, die auf Prävention und Schulung basiert. Wenn Sie sicherstellen möchten, dass Ihre Organisation stets datenschutzkonform agiert und sich vor Bußgeldern und Reputationsverlusten schützt, stehen wir von SCALELINE Datenschutz Ihnen gerne zur Seite.

Bereit, Ihre Datenschutzstrategie zu optimieren? Vereinbaren Sie jetzt einen Termin mit SCALELINE Datenschutz.