Kategorie: Datenschutz

BEM und Datenschutz: Fehler durch den Dienstleister können teuer werden

Warum immer mehr Unternehmen das BEM auslagern

Das Betriebliche Eingliederungsmanagement (BEM) ist heute ein zentrales Instrument, um Mitarbeitenden nach längerer Krankheit die Rückkehr zu erleichtern. Gerade größere Unternehmen stehen jedoch vor dem Problem, diesen Prozess rechtssicher und sensibel umsetzen zu müssen – ein deutlicher Mehraufwand, der häufig an externe Dienstleister ausgelagert wird. In der Praxis profitieren Unternehmen von einer solchen Auslagerung, da spezialisierte Fachkräfte den Prozess strukturiert begleiten. Mitarbeitenden fällt es zudem oft leichter, gesundheitliche Themen mit neutralem Fachpersonal zu besprechen.

Doch was passiert, wenn im ausgelagerten BEM-Verfahren Fehler passieren? Wer trägt die Verantwortung und mit welchen Risiken ist zu rechnen? Diese Fragen gewinnen immer mehr an Bedeutung, wie ein aktuelles Urteil zeigt.

Rechtliche Konsequenzen bei Fehlern im BEM-Prozess

Ein aktuelles Beispiel verdeutlicht die Brisanz: Im Fall eines Unternehmens, das das BEM an einen externen Dienstleister vergab, wurde dieser Prozess fehlerhaft durchgeführt. Das Landesarbeitsgericht Baden-Württemberg entschied, dass die anschließende krankheitsbedingte Kündigung aufgrund der Verfahrensmängel unwirksam war. Der Grund: Die Fehler des Dienstleisters wurden rechtlich dem Arbeitgeber zugerechnet. Auch wer das BEM auslagert, bleibt also für eine korrekte und datenschutzkonforme Durchführung verantwortlich – mit allen Konsequenzen bei Verstößen.

Eine zentrale Rolle spielt dabei der Datenschutz. Die Gerichte prüfen inzwischen genau, ob Arbeitgeber und beauftragte Dienstleister die betroffenen Beschäftigten umfassend und transparent über die Datenverarbeitung informiert haben. Fehler kosten nicht nur Zeit und Geld, sondern können auch zu deutlichen Reputationsschäden führen.

BEM und Datenschutz: Worauf Unternehmen jetzt achten müssen

Transparenz und Information als Pflicht – was das Gesetz verlangt

Gerade im BEM werden äußerst sensible Gesundheitsdaten verarbeitet. Arbeitgeber und Dienstleister müssen Mitarbeitenden daher präzise erläutern, welche Daten erhoben werden, mit welchem Ziel dies geschieht und wie umfassend der Umgang mit ihren Informationen ist. Dies ist nicht nur eine moralische Verpflichtung, sondern wird ausdrücklich von der Datenschutz-Grundverordnung (DSGVO) gefordert.

Im Kern müssen Unternehmen klarstellen, dass Gesundheitsdaten ausschließlich zur Planung und Durchführung des BEM verwendet werden dürfen. Eine pauschale oder unvollständige Information reicht nicht aus. Fehlt die klare Trennung zwischen Information und eigentlicher Durchführung des BEM – etwa wenn bereits im Vorfeld Daten fließen, bevor die Einwilligung eingeholt wurde –, fehlt die juristische Grundlage für die Verarbeitung. Das Ergebnis: Der gesamte BEM-Prozess ist rechtlich angreifbar.

Verantwortung zwischen Arbeitgeber und Dienstleister – Risiken erkennen und steuern

Ein häufiges Missverständnis ist die Überzeugung, mit der Beauftragung eines Dienstleisters auch die Haftung abzugeben. Das Gegenteil ist der Fall: Rechtlich bleibt der Arbeitgeber für die ordnungsgemäße Durchführung des BEM-Prozesses verantwortlich. In arbeitsrechtlicher Hinsicht werden Fehler des Dienstleisters dem Unternehmen zugeschrieben, bei Datenschutzverstößen hängt das Haftungsrisiko von der konkreten Ausgestaltung und der vertraglichen Regelung ab.

Ob Arbeitgeber und externer Dienstleister als eigenständige Verantwortliche, gemeinsam Verantwortliche oder im Auftragsverhältnis handeln, sollte eindeutig geregelt und dokumentiert sein. Unklare Zuständigkeiten können im Falle eines Verstoßes schnell teuer werden, sowohl in Bezug auf mögliche Bußgelder als auch auf den Ausgang etwaiger arbeitsrechtlicher Streitigkeiten.

Klare Prozesse und Verantwortlichkeiten sind daher essentiell. Unternehmen sollten gemeinsam mit ihren Dienstleistern die Abläufe dokumentieren, datenschutzkonforme Informationspflichten einhalten und die Mitarbeitenden sowohl transparent als auch umfassend informieren.

Fazit: Fehler im BEM-Prozess können gravierende rechtliche und wirtschaftliche Folgen haben – insbesondere, wenn sie mit Datenschutzverstößen einhergehen. Unternehmen tun gut daran, ihre Prozesse und Vertragsbeziehungen im Bereich des BEM regelmäßig auf den Prüfstand zu stellen und Mitarbeitende wie auch Dienstleister zu schulen.

Sie möchten Ihre BEM-Prozesse rechtssicher und datenschutzkonform gestalten? Wenn Sie Unterstützung benötigen oder Fragen haben, nehmen Sie gerne Kontakt mit uns auf. Wir beraten Sie umfassend und individuell!

Interessenkonflikte beim Datenschutzbeauftragten vermeiden: Fehler und Folgen

Warum die Unabhängigkeit des Datenschutzbeauftragten so wichtig ist

In einer zunehmend digitalisierten Arbeitswelt gewinnt der Datenschutz stetig an Bedeutung. Unternehmen sind gesetzlich verpflichtet, unter bestimmten Voraussetzungen einen Datenschutzbeauftragten (DSB) zu benennen – eine verantwortungsvolle Position, die weit mehr erfordert als nur formales Wissen. Entscheidend ist, dass der oder die Benannte unabhängig agieren kann und keine Interessenkonflikte bestehen. Schließlich prüft der Datenschutzbeauftragte die innerbetriebliche Einhaltung gesetzlicher Datenschutzvorgaben und soll so das Unternehmen und die Betroffenen schützen.

Der Gesetzgeber schreibt vor, dass der DSB frei von Konflikten agieren muss. Es kommt immer wieder vor, dass Unternehmen auf auf den ersten Blick naheliegende Lösungen setzen, etwa indem sie eine Führungskraft, etwa die Geschäftsführung selbst, zum Datenschutzbeauftragten ernennen. Gerade in kleineren Betrieben scheint dies praktisch – aber die Risiken und Risiken dieser „Doppelrolle“ sind nicht zu unterschätzen: Wer als Geschäftsführer gleichzeitig Datenschutzbeauftragter ist, muss das eigene Handeln kontrollieren – ein klassischer Fall von Interessenkonflikt, der schwerwiegende Folgen haben kann.

Reale Konsequenzen: Wie schnell es teuer werden kann

Ein aktueller Vorfall aus Österreich zeigt, wie brisant das Thema ist: Dort verhängte die Datenschutzaufsichtsbehörde gegen ein Unternehmen eine Geldstrafe von 5.500 Euro, weil ein Geschäftsführer, der zugleich Anteilseigner war, auch als Datenschutzbeauftragter agierte. Auch andernorts warnen Aufsichtsbehörden davor, Personen in Führungspositionen mit dieser Aufgabe zu betrauen, da dies einen klaren Interessenkonflikt darstellt – unabhängig davon, ob tatsächlich ein Verstoß gegen Datenschutzregeln vorliegt.

Spätestens wenn Beschwerden eingehen oder eine Auftragsverarbeitung geprüft wird, kann die fehlende Trennung der Rollen auffallen. Schnell geraten dann geplante Projekte ins Stocken oder – noch gravierender – Aufträge gehen verloren, weil Auftraggeber auf Datenschutz-Mängel aufmerksam werden. Nicht umsonst betonen Datenschutzaufsichtsbehörden, dass der oder die Verantwortliche aktiv Vorsorge gegen Interessenkonflikte treffen muss, bevor es zu Problemen kommt.

So erkennen und vermeiden Unternehmen Interessenkonflikte beim DSB

Maßnahmen zur sicheren Benennung des Datenschutzbeauftragten

Es ist nicht ausreichend, einen Datenschutzbeauftragten nach dem Motto „Hauptsache, jemand steht auf dem Papier“ zu benennen. Unternehmen sollten die Eignung der infrage kommenden Person sorgfältig prüfen. Besonders zu beachten ist: Leitungspersonal, das operative Entscheidungen im Unternehmen trifft, sollte nicht mit der Kontrollfunktion betraut werden. Der Europäische Datenschutzausschuss (EDSA) unterstreicht in seinen Leitlinien, dass die Unabhängigkeit des DSB oberstes Gebot ist.

Wer als Unternehmen kein geeignetes internes Personal findet, sollte erwägen, einen externen Datenschutzbeauftragten zu bestellen. Externe Profis bringen oft nicht nur das nötige Fachwissen mit, sondern auch die notwendige Neutralität mit, um die Aufgaben gewissenhaft und unabhängig auszuführen. Für kleine und mittlere Unternehmen gibt es spezielle Leitfäden und Empfehlungen, um geeignete Lösungen zu finden und rechtlichen Anforderungen sicher nachzukommen.

Praktische Tipps zur Risikoreduzierung und rechtssicheren Organisation

Unternehmen wird geraten, interne Richtlinien zu erstellen, um Interessenkonflikte zu vermeiden. Prüfen Sie regelmäßig, ob die aktuelle Besetzung der DSB-Position noch den gesetzlichen Anforderungen entspricht, insbesondere bei Umstrukturierungen oder Personalwechsel. Die klare Dokumentation der Entscheidungswege und der Aufgabenverteilung ist unerlässlich, um im Ernstfall nachweisen zu können, dass Sie Ihrer Verpflichtung zur Vermeidung von Interessenkonflikten nachgekommen sind.

Ein proaktiver Umgang mit dem Thema erspart unangenehme Auseinandersetzungen mit Aufsichtsbehörden und schützt nicht nur vor Bußgeldern, sondern auch vor Reputationsschäden. Unabhängig von der gewählten Lösung empfiehlt es sich, die Entwicklung der Datenschutzanforderungen aufmerksam zu verfolgen und im Zweifel rechtzeitig fachliche Beratung einzuholen.

Fazit: Datenschutz ernst nehmen, Risiken vorbeugen und Bußgelder vermeiden

Die Benennung eines Datenschutzbeauftragten ist keine reine Formsache. Wer bei der Besetzung auf Nummer Sicher gehen möchte, muss sicherstellen, dass die Person völlig unabhängig ist und keine Interessenkonflikte bestehen. Führungskräfte sowie Entscheidungs- und Kontrollinstanz in Personalunion schließen sich in dieser Rolle aufgrund gesetzlicher Vorgaben aus. Die Folgen von Fehlern reichen von Auftragsverlusten bis zu erheblichen Geldbußen. Sensibilisieren Sie Ihr Unternehmen für dieses Thema, klären Sie Verantwortlichkeiten und setzen Sie auf kompetente, unabhängige Ansprechpartner.

Sie sind unsicher, ob Ihre Organisation in Sachen Datenschutz auf der sicheren Seite ist oder benötigen Unterstützung bei der Auswahl und Stellung eines Datenschutzbeauftragten? Zögern Sie nicht – wir stehen Ihnen gerne beratend zur Seite und helfen, Ihr Datenschutz-Management rechtssicher zu gestalten. Kontaktieren Sie uns für ein unverbindliches Gespräch!

Künstliche Intelligenz und neue Regulierungen: Was Unternehmen jetzt wissen müssen

Die zweite Phase der EU-KI-Verordnung: Wichtige Änderungen ab August 2025

Die Entwicklungen rund um Künstliche Intelligenz schreiten in der EU weiter voran: Am 2. August 2025 startet die zweite Umsetzungsphase der europäischen KI-Verordnung. Viele Unternehmen setzen schon heute auf KI-Anwendungen und müssen sich nun auf zusätzliche rechtliche Vorgaben einstellen, die in mehreren Stufen bis 2027 verbindlich werden.

Schon jetzt ist klar: Die KI-Verordnung beeinflusst nicht nur große Konzerne, sondern insbesondere auch Anbieter und Betreiber von KI-Systemen jeder Art, darunter Sprachmodelle, Bild- und Audio-Generatoren und viele mehr. Wer in diesem Bereich agiert, sollte sich rechtzeitig mit den anstehenden Pflichten befassen.

Welche Regelungen treten in Kraft?

Die europäische KI-Verordnung (kurz: KI-VO) sieht ein gestaffeltes Inkrafttreten ihrer Regelungen vor. Bereits ab August 2025 gelten unter anderem folgende wichtige Bestimmungen:

• Notifizierende Behörden und Konformitätsbewertung: Die EU-Mitgliedstaaten müssen spezielle Behörden benennen, die als Überwachungsstellen für Hochrisiko-KI-Systeme dienen. Diese Behörden sind dafür verantwortlich, Konformitätsbewertungsstellen zu benennen und zu überwachen.
• Regelungen für KI-Modelle mit allgemeinem Verwendungszweck: Die Verordnung legt spezielle Anforderungen für sogenannte „General Purpose AI Models“ fest. Dazu gehören Transparenzpflichten, Risikomanagement und zusätzliche Vorgaben für Modelle, die ein besonders hohes systemisches Risiko aufweisen.
• Governance auf EU- und nationaler Ebene: Es werden neue Gremien eingerichtet, darunter ein zentrales KI-Büro bei der Europäischen Kommission. In jedem Mitgliedstaat muss eine zentrale Marktaufsichtsbehörde festgelegt werden, die die Umsetzung und Einhaltung der KI-VO überwacht.
• Sanktionsmechanismen: Mit der Benennung entsprechender Behörden werden auch die Vorgaben zur Verhängung von Sanktionen wirksam. Möglich sind Bußgelder, Verwarnungen sowie nichtmonetäre Maßnahmen – speziell unter der Maßgabe, dass auch KMU und Start-ups nicht unverhältnismäßig belastet werden sollen.
• Vertraulichkeit: Daten, die im Rahmen der KI-VO verarbeitet werden, sind besonders geschützt. Firmengeheimnisse und sicherheitsrelevante Informationen sollen weiterhin unter hohen Schutzauflagen stehen.

Relevanz und Handlungsbedarf für Unternehmen

Wer ist besonders betroffen?

Insbesondere Unternehmen, die KI-Modelle mit allgemeinem Verwendungszweck bereitstellen oder solche Systeme integrieren, sollten jetzt aktiv werden. Damit sind Anbieter von großen Sprachmodellen sowie Anwendungsentwickler im Bereich Text, Bild, Audio oder Video gemeint. Diese Unternehmen treffen ab August 2025 neue Pflichten, die im Detail in der KI-VO geregelt sind – darunter Informationen zur Offenlegung, Transparenz gegenüber Nutzern, Risikobewertungen und Dokumentationspflichten.

Seitens der Europäischen Kommission gibt es bereits unverbindliche Leitlinien und einen Verhaltenskodex, wie diese Anforderungen praktisch umzusetzen sind. Auch wenn diese nicht rechtsverbindlich sind, gelten sie als wichtige Orientierung für die betroffenen Unternehmen.

Für die meisten Betriebe dürfte aber vor allem die Frage relevant sein, wer in Deutschland als zuständige Aufsichtsbehörde fungiert. Aktuell zeichnen sich Debatten zwischen der Bundesnetzagentur und den Datenschutzbehörden ab. Ziel ist es, eine klare und einheitliche Regelung zur Marktüberwachung zu schaffen und Doppelstrukturen zu vermeiden. Die abschließende Entscheidung der Bundesregierung zu diesem Thema steht jedoch noch aus – ein formales Gesetzgebungsverfahren verzögert sich durch den Regierungswechsel bis mindestens Herbst 2025.

Worauf sollten Unternehmen jetzt achten?

Unternehmen, die KI-Technologien einsetzen oder anbieten, stehen vor neuen Herausforderungen. Sie sollten umgehend prüfen, welche Vorschriften einzuhalten sind, und die innerbetrieblichen Prozesse anpassen. Dies betrifft nicht nur die technische Ausgestaltung von KI-Systemen, sondern auch Schulungen, Dokumentation, Datenschutz sowie das Risikomanagement im Unternehmen.

Folgende Maßnahmen empfehlen sich:

• Analyse, ob die eingesetzte KI als Hochrisikosystem oder als Modell mit allgemeinem Verwendungszweck eingestuft wird
• Prüfung und Anpassung der internen Compliance-Strukturen
• Aufbau eines systematischen Monitorings für Rechtsänderungen in Bezug auf die KI-VO
• Schulungen der Mitarbeitenden zum regelkonformen Einsatz von KI-Lösungen
• Aufbau von Dokumentations- und Transparenzmechanismen im Sinne der gesetzlichen Anforderungen

Insbesondere weil in Zukunft Aufsichtsbehörden Sanktionen erlassen können, ist es ratsam, sämtliche KI-bezogenen Prozesse so zu gestalten, dass sie den gesetzlichen Anforderungen standhalten. Unternehmen, die frühzeitig handeln, minimieren nicht nur rechtliche Risiken, sondern stärken auch das Vertrauen bei Kunden und Geschäftspartnern.

Fazit: Jetzt aktiv werden und die Weichen stellen

Die Umsetzung der KI-Verordnung als Chancen- und Risikofaktor

Das Inkrafttreten der zweiten Phase der KI-VO markiert einen wichtigen Meilenstein für den regulierten Umgang mit künstlicher Intelligenz in der EU. Unternehmen sind nun gefordert, die neuen Pflichten ernst zu nehmen und sich rechtzeitig auf Änderungen vorzubereiten. Wer zögert, riskiert nicht nur Sanktionen, sondern läuft Gefahr, den technologischen Anschluss zu verlieren. Gleichzeitig bietet die strukturierte Auseinandersetzung mit Regulierungsvorgaben die Möglichkeit, ein zukunftsfähiges, vertrauenswürdiges KI-Geschäftsmodell zu etablieren.

Sie benötigen Unterstützung? Wir helfen Ihnen weiter!

Die Anforderungen durch die KI-Verordnung sind komplex und können je nach Branche und Geschäftsmodell unterschiedlich ausfallen. Sie haben Fragen zur konkreten Umsetzung in Ihrem Unternehmen oder wissen nicht, ob Sie betroffen sind? Unser Expertenteam unterstützt Sie gerne beim rechtssicheren Einsatz von KI und beim Aufbau einer nachhaltigen Compliance-Struktur. Nehmen Sie Kontakt zu uns auf – gemeinsam sorgen wir dafür, dass Ihr Unternehmen bestens für die Zukunft aufgestellt ist!

Warum die Erreichbarkeit Ihres Datenschutzbeauftragten essenziell ist

Rechtliche Anforderungen und Pflichten nach der DSGVO

Die Datenschutz-Grundverordnung (DSGVO) schreibt klare Vorgaben vor: Werden personenbezogene Daten durch ein Unternehmen erhoben, müssen die Kontaktdaten des Datenschutzbeauftragten angegeben werden. Damit sollen betroffene Personen unkompliziert ihre Rechte ausüben können, etwa Auskunft oder Löschung ihrer Daten verlangen. Doch wie detailliert müssen diese Kontaktdaten ausfallen? Während über Umfang und Form Uneinigkeit herrscht, ist eines unstrittig: Eine tatsächliche Kontaktmöglichkeit muss gegeben sein. Veraltete, fehlerhafte oder nicht funktionierende Kommunikationskanäle können schnell zum rechtlichen und finanziellen Risiko werden.

Gravierende Konsequenzen bei Nichterreichbarkeit

Der Fall eines österreichischen Unternehmens zeigt die Folgen eindrucksvoll auf: Obwohl auf der Website eine eigene E-Mail-Adresse für Datenschutzanfragen angegeben wurde, war diese technisch nicht erreichbar. Eine betroffene Person wartete vergeblich auf die Löschung ihrer Daten – und wandte sich schließlich an die Datenschutzbehörde. Die Folge: Ein Bußgeld von 15.000 Euro, zusätzlich verschärft durch die mangelnde Kooperation des Unternehmens. Auch vor Gericht konnte sich das Unternehmen nicht durchsetzen.

So bleibt Ihr Unternehmen datenschutzkonform und handlungsfähig

Kontinuierliche Überprüfung der Kommunikationswege

Datenschutz lebt von Transparenz – und von verlässlicher Kommunikation. Es reicht nicht aus, einmalig Kontaktdaten des Datenschutzbeauftragten zu veröffentlichen. Vielmehr sollten alle angegebenen Wege (E-Mail, Telefon, Postanschrift) regelmäßig auf ihre Funktion geprüft werden. Nur so kann sichergestellt werden, dass Anfragen tatsächlich zugestellt und bearbeitet werden – und Fristen eingehalten werden können. Denken Sie auch an Urlaubs- oder Krankheitsvertretungen: Eine längere Nicht-Erreichbarkeit führt unter Umständen dazu, dass gesetzliche Fristen versäumt werden, was wiederum Bußgelder nach sich ziehen kann.

Vertretungsregelung: So vermeiden Sie Engpässe

Auch der beste Datenschutzbeauftragte kann krank werden oder Urlaub machen. Deswegen sollte von Anfang an eine klare Stellvertretung gewährleistet sein. So wird sichergestellt, dass Anfragen betroffener Personen unverzüglich, spätestens aber innerhalb eines Monats bearbeitet werden. Das ist essenziell, da Fristen bereits mit dem Eingang der Anfrage beginnen – nicht erst dann, wenn der Datenschutzbeauftragte darüber informiert wurde. Eine vorausschauende Personalplanung schützt Ihr Unternehmen daher vor unangenehmen Überraschungen.

Fazit: Vermeiden Sie Datenschutz-Fallen durch gute Erreichbarkeit

Verantwortung ernst nehmen und Risiken minimieren

Wer sensible personenbezogene Daten verarbeitet, trägt auch die Verantwortung für einen reibungslosen Kommunikationsweg zu seinem Datenschutzbeauftragten. Prüfen Sie daher regelmäßig, ob die angegebenen Kontaktdaten aktuell und funktionsfähig sind. Eine fehlerhafte Angabe wird von den Datenschutzbehörden nicht als geringfügiges Versehen gewertet, sondern als klare Pflichtverletzung geahndet. Wer hier sorgfältig arbeitet, erspart sich Ärger, Verzögerungen und Bußgelder.

Unterstützung von Experten: Ihr Schlüssel zu mehr Sicherheit

Datenschutz hat eine hohe Komplexität und entwickelt sich beständig weiter. Es ist daher ratsam, auf professionelle Unterstützung und Beratung zu setzen. Ein erfahrener Partner hilft nicht nur beim korrekten Veröffentlichen und Prüfen der Kontaktdaten, sondern auch im Umgang mit Betroffenenanfragen, Fristberechnungen und Vertretungsregelungen. So erhöhen Sie die Rechtssicherheit und stärken das Vertrauen Ihrer Kunden und Mitarbeiter in Ihr Unternehmen.

Sie sind unsicher, ob die Erreichbarkeit Ihres Datenschutzbeauftragten optimal geregelt ist? Oder möchten Sie Ihre Datenschutzprozesse insgesamt auf den Prüfstand stellen? Dann nehmen Sie gerne Kontakt zu uns auf – wir unterstützen Sie kompetent und praxisnah!

Einwilligungen bei der Datenverarbeitung: Was Unternehmen wirklich wissen müssen

Die Vielfalt der Rechtsgrundlagen nach DSGVO

Die Datenschutz-Grundverordnung (DSGVO) stellt häufig klar, dass für jede Verarbeitung personenbezogener Daten eine passende Rechtsgrundlage erforderlich ist. Ein häufiger Trugschluss im Alltag besteht jedoch darin, Einwilligungen als „Allzwecklösung“ zu sehen. Tatsächlich ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO lediglich eine von sechs möglichen Rechtsgrundlagen für die Datenverarbeitung. Dazu gehören unter anderem auch die Erfüllung eines Vertrags, rechtliche Verpflichtungen, lebenswichtige Interessen, öffentliche Aufgaben und berechtigte Interessen.

Die Praxis zeigt: Verantwortliche geben oft nur eine einzige Rechtsgrundlage in Datenschutzhinweisen an, meist, weil diese am offensichtlichsten erscheint. Allerdings ist es durchaus zulässig und manchmal auch sinnvoll, mehrere mögliche Rechtsgrundlagen anzuführen oder zu prüfen, bevor die Verarbeitung startet.

Überblick über die wichtigsten Rechtsgrundlagen

Je nach Zweck der Datenverarbeitung kommen unterschiedliche Rechtsgrundlagen in Betracht. Für Unternehmen besonders relevant sind:

• Vertragserfüllung und Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO): Werden personenbezogene Daten verarbeitet, um einen Vertrag zu erfüllen oder anzubahnen – etwa beim Anlegen eines Kundenkontos, bei Bestellungen oder der Kontaktaufnahme – ist diese Rechtsgrundlage einschlägig.
• Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO): Müssen Organisationen Gesetze, etwa steuerliche oder arbeitsrechtliche Vorschriften einhalten, rechtfertigt dies die Verarbeitung personenbezogener Daten.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Viele alltägliche Prozesse im Unternehmen lassen sich auf diese Rechtsgrundlage stützen, sofern die Interessen der betroffenen Personen nicht überwiegen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Diese Grundlage ist nur dann zulässig, wenn die betroffene Person frei und informiert zustimmt – und diese Zustimmung jeder Zeit widerrufen kann.

Eine transparente Information der Betroffenen ist Pflicht: Welche Rechtsgrundlage angewendet wird, muss stets nachvollziehbar in den Datenschutzhinweisen auftauchen.

Typische Fehler bei der Einholung von Einwilligungen

Wann die Einwilligung überflüssig oder sogar unzulässig ist

Nicht in jedem Fall ist eine explizite Einwilligung die beste Wahl – im Gegenteil: Sie kann sogar rechtlich problematisch sein, wenn tatsächlich eine andere Rechtsgrundlage einschlägig ist. Ein häufiges Beispiel: Ein Kunde registriert sich auf einer Website oder bestellt ein Produkt. Unternehmen fordern hier oft eine Einwilligung zur Datenverarbeitung ein, obwohl die eigentliche Grundlage die Vertragserfüllung ist. Wird dann die Einwilligung widerrufen, droht der Wegfall der Rechtsgrundlage und die Geschäftsbeziehung gerät in Gefahr.

Gleiches gilt für Kontaktformulare im Internet: Hier erlaubt das berechtigte Interesse den Dialog. Eine Einwilligung ist in diesem Zusammenhang überflüssig und häufig unzulässig, es sei denn, die Daten werden zusätzlich zu Werbezwecken oder anderen darüber hinausgehenden Zwecken genutzt.

Formulare, Checkboxen und das Missverständnis mit Datenschutzhinweisen

Oft werden Checkboxen eingesetzt, die Nutzer dazu auffordern, „Datenschutzhinweise gelesen und akzeptiert“ zu bestätigen. Diese Praxis wird von Aufsichtsbehörden regelmäßig kritisiert. Warum? Weil es genügt, dass Nutzer die Datenschutzhinweise zur Kenntnis nehmen können – sie müssen diese nicht förmlich akzeptieren oder ihre Zustimmung geben. Gerade das führt zu Problemen mit der sogenannten „Freiwilligkeit“ der Einwilligung, denn diese ist vorausgesetzt, wenn Daten auf Basis einer Einwilligung verarbeitet werden sollen.

Darüber hinaus dürfen verpflichtende Informationen gemäß Art. 13 DSGVO nicht mit Einwilligungen vermischt oder gar „versteckt“ werden. Die Einwilligung muss stets klar als solche erkennbar und von anderen Sachverhalten abgrenzbar sein.

Praxisempfehlungen: So handeln Unternehmen DSGVO-konform

Schrittweise Prüfung der passenden Rechtsgrundlage

Unternehmen sollten sich vor jeder Datenverarbeitung gründlich überlegen, auf welcher Rechtsgrundlage sie die Verarbeitung stützen. Die Entscheidung für die Einwilligung ist nur dann richtig, wenn tatsächlich Alternativen ausscheiden. Prüfen Sie daher im ersten Schritt, ob nicht ein berechtigtes Interesse, die Erfüllung eines Vertrags oder eine gesetzliche Verpflichtung die bessere Grundlage bieten.

Insbesondere bei Prozessen wie Mitarbeiterverwaltung, Kundenbetreuung oder Anfragebearbeitung ist meist keine Einwilligung erforderlich. Erst wenn besondere Nutzungen geplant sind – etwa Newsletterversand oder Marketingaktionen – wird die explizite Zustimmung der Betroffenen relevant.

Transparenz und klare Kommunikation als Erfolgsfaktoren

Transparenz schafft Vertrauen: Betroffene müssen jederzeit nachvollziehen können, auf welcher Grundlage ihre Daten verarbeitet werden und zu welchem Zweck. Eine korrekte und verständlich formulierte Datenschutzerklärung ist hierbei das A und O.

Wird tatsächlich eine Einwilligung eingeholt, sollten Sie die Betroffenen umfassend informieren – inklusive der Möglichkeit, ihre Zustimmung jederzeit ohne Nachteile zu widerrufen. Stellen Sie sicher, dass Einwilligungen nicht vorformuliert oder automatisch vorausgewählt sind. Einwilligungsformulare gehören immer getrennt von anderen Informationen gestaltet, sodass sie für die Nutzer klar erkennbar und freiwillig sind.

Fazit: Einwilligungen richtig einsetzen und Fehler vermeiden

Die Auswahl der Rechtsgrundlage ist entscheidend

Die DSGVO bietet verschiedene Wege, personenbezogene Daten rechtmäßig zu verarbeiten. Nicht immer ist die Einwilligung der beste und rechtssichere Weg – häufig gibt es passendere Alternativen. Unternehmen müssen die Abwägung und Entscheidungsfindung dokumentieren und in ihrer Kommunikation offenlegen.

Vor Einführung neuer Prozesse oder Tools sollte geprüft werden, welche Rechtsgrundlage jeweils anwendbar ist. Eine überflüssige Einwilligungsabfrage schafft nicht nur einen höheren Arbeitsaufwand, sondern kann auch die Rechtmäßigkeit der Datenverarbeitung untergraben.

Ihr Weg zu rechtssicherem Datenschutz

Datenschutzkonforme Praxis bedeutet vor allem, den richtigen – und nachvollziehbar dokumentierten – Umgang mit personenbezogenen Daten zu wählen. Eine individuelle Prüfung der konkreten Abläufe und ein Perspektivwechsel hin zu den betroffenen Personen helfen, geeignete Maßnahmen zu ergreifen. Nur so lassen sich Risiken minimieren und das Vertrauen von Kunden, Mitarbeitern und Partnern sichern.

Sie sind unsicher, welche Rechtsgrundlage für Ihre Datenverarbeitung gilt oder möchten Ihre Prozesse auf den Prüfstand stellen? Wir unterstützen Sie gerne dabei, datenschutzkonforme Lösungen zu entwickeln und Ihre Organisation optimal aufzustellen. Nehmen Sie Kontakt zu uns auf – gemeinsam finden wir den besten Weg für einen sicheren und effizienten Umgang mit personenbezogenen Daten!

Das Recht auf Auskunft: Wie weit reichen die Grenzen nach DSGVO?

Grundlagen des Auskunftsrechts nach DSGVO

Transparenz über gespeicherte personenbezogene Daten ist ein zentrales Element der Datenschutz-Grundverordnung (DSGVO). Das Auskunftsrecht nach Art. 15 DSGVO gibt betroffenen Personen die Möglichkeit, direkt bei Unternehmen oder Behörden abzufragen, welche Daten über sie erfasst, gespeichert und verarbeitet werden. Damit soll gewährleistet werden, dass jeder nachvollziehen kann, wie und wofür seine persönlichen Informationen verwendet werden.

Unternehmen sind verpflichtet, bei einer Auskunftsanfrage die verarbeiteten Daten offenzulegen und zu erklären, zu welchem Zweck die Speicherung erfolgt. Für Betroffene ist dieses Recht essenziell, um ihre Datenschutzrechte einzufordern oder gegebenenfalls Korrekturen oder Löschungen zu beantragen.

Kollision mit Geschäftsgeheimnissen: Die rechtliche Herausforderung

Allerdings stehen dem umfassenden Auskunftsanspruch Grenzen entgegen, sobald vertrauliche Unternehmensinformationen – sogenannte Geschäftsgeheimnisse – betroffen sind. Unternehmen müssen einerseits die Transparenz gewährleisten, andererseits ihre internen Betriebs- und Geschäftsgeheimnisse schützen.

Das seit 2019 geltende Geschäftsgeheimnisgesetz schützt besonders sensible interne Informationen vor unbefugtem Zugang und Offenlegung. Im Konfliktfall sind Unternehmen jedoch verpflichtet, konkret zu begründen und nachzuweisen, warum die Herausgabe bestimmter Daten das Geschäftsgeheimnis gefährden würde. Datenschutzaufsichtsbehörden oder Gerichte prüfen dann den Einzelfall und wägen ab, ob das Geheimhaltungsinteresse des Unternehmens oder das Transparenzinteresse des Betroffenen überwiegt.

Weitere Grenzen und Praxistipps rund um die Auskunftspflicht

Schutz der Rechte Dritter und missbräuchliche Anfragen

Die Auskunftspflicht kann nicht nur gegenüber Geschäftsgeheimnissen begrenzt sein. Auch der Schutz von Rechten Dritter spielt eine Rolle. Sobald eine Auskunftsanfrage Informationen betrifft, die auch Dritte, beispielsweise andere Personen in E-Mails, betreffen, kann das Unternehmen die Offenlegung eingeschränkt oder sogar verweigert vornehmen.

Ebenso sieht die DSGVO eine Beschränkung bei exzessiven oder offensichtlich missbräuchlichen Auskunftsanfragen vor. Unternehmen können in diesen Fällen die Herausgabe der Informationen ablehnen, müssen allerdings im Zweifel genau erklären, warum die konkrete Anfrage als missbräuchlich oder nicht verhältnismäßig betrachtet wird.

Pragmatische Empfehlungen für Unternehmen im Umgang mit Auskunftsanfragen

Ein bewährter Tipp für Unternehmen ist es, bereits bei der Dokumentenerstellung darauf zu achten, personenbezogene Daten möglichst außen vor zu lassen, sofern dies organisatorisch umsetzbar ist. So lassen sich Konfliktfälle im Vorhinein reduzieren.

Wo sich personenbezogene Daten und geschützte interne Informationen nicht trennen lassen, bleibt nur eine sorgfältige Prüfung jeder einzelnen Auskunftsanfrage. Betriebe sollten im Zweifel eine Risikoabwägung vornehmen und sich bei Unsicherheiten rechtlich beraten lassen, um die Anforderungen der DSGVO mit dem Schutz der Unternehmensinteressen in Einklang zu bringen.

Fazit: Auskunftsrecht zwischen Transparenz und Geheimnisschutz

Zwischen Datenschutz und Unternehmensschutz den Ausgleich finden

Das Auskunftsrecht spielt eine Schlüsselfunktion im modernen Datenschutz. Es ist mehr als ein bloßer Informationsanspruch – es steht für das berechtigte Interesse auf Transparenz und Kontrolle über die eigenen Daten. Gleichzeitig können Unternehmen nicht gezwungen werden, sensible Betriebsgeheimnisse leichtfertig preiszugeben. Jede Anfrage erfordert daher eine ausgewogene Betrachtung der betroffenen Interessen.

Am Ende kommt es auf einen sorgfältig austarierten Ausgleich an: Die Rechte der Betroffenen dürfen nicht ausgehöhlt werden, gleichzeitig ist die Wahrung von Geschäftsgeheimnissen und der Schutz Dritter zu gewährleisten. Ohne juristische Expertise und klare Strukturen im Unternehmen lässt sich dieser Spagat oft kaum meistern.

Unterstützung bei komplexen Auskunftsanfragen

Ob Sie als Unternehmer konkrete Anfragen erhalten haben oder als Betroffener mehr über Ihre gespeicherten Daten wissen möchten – die Grenzen und Möglichkeiten des Auskunftsrechts sind nicht immer intuitiv zu erkennen. Eine gründliche Analyse des Einzelfalls ist daher unerlässlich.

Brauchen Sie professionelle Unterstützung bei der Bewertung oder Umsetzung von Auskunftsanfragen nach DSGVO? Oder möchten Sie Ihre internen Prozesse datenschutzkonform gestalten und Konflikte von vornherein vermeiden? Dann zögern Sie nicht, uns zu kontaktieren! Wir stehen Ihnen kompetent zur Seite und beraten Sie individuell und praxisnah.