EU-Datenschutz-Grundverordnung (DSGVO 2018): Ein Datenschutz-Guide für Personalverantwortliche

Für wen gelten die Richtlinien?

• Für Verantwortliche und Auftragsverarbeiter innerhalb der EU (z.B. Unternehmen in Deutschland, das Daten jeglicher Personen bearbeitet)
• Für Verantwortliche und Auftragsverarbeiter außerhalb der EU, wenn Sie Daten von Personen aus der EU verarbeiten (z.B. Unternehmen in der Schweiz, das Daten eines EU-Bürgers verarbeitet)

Checkliste für die EU-Datenschutz-Grundverordnung

1. Analyse & Klassifizierung

• Welche personenbezogenen Daten sind im Unternehmen vorhanden?
• Wo liegen diese?

2. Regulierung

• Wie werden personenbezogene Daten genutzt?
• Wer greift auf diese zu?

3. Schutz und Audit der Datensicherheit

• In Technischer und Organisatorischer Sichtweise

4. Berichten

• Anfragen betroffener Personen dokumentieren und beantworten

5. Überprüfen

• Analyse & Monitoring von Daten und Systemen
• Laufende Kontrolle über Einhaltung der Vorgaben
• Alarmierung bei Nichteinhaltungen

Artikel 25 und 32 in der EU-Datenschutz-Grundverordnung

Art. 25: “Konzept des Datenschutzes nach Design und nach Standard“

Datenschutz nach Design
= Das Unternehmen muss den Datenschutz während des gesamten Arbeitszyklus sicherstellen, von der Erstverarbeitung und dem Systemkonzept bis zum Ende der Nutzungsdauer und der Datenlöschung.

Datenschutz nach Standard
= Das Unternehmen muss standardmäßig sicherstellen, dass nur die benötigten personenbezogenen Daten erfasst und verarbeitet werden. Der Benutzer soll die Abfrage zusätzlicher Informationen nicht erst verweigern müssen. Das Unternehmen darf keine weiteren Informationen sammeln, nur weil es sie später benötigen könnte.

Art. 32 der EU-Datenschutz-Grundverordnung unterstreicht die Bedeutung der Verwendung der aktuellen, jeweils besten Technologien zur Unterstützung der Information Governance

Einfluss der EU-Datenschutz-Grundverordnung auf das Recruiting

Grundsatz= Datenminimierung

Welche Daten benötige ich als Recruiter wirklich und auf welche kann ich verzichten? (Stichwort: Religion, Alter, Zeugnisse, etc.)

Active Sourcing bleibt mit der DGSVO eine Grauzone!

→ Kandidaten dürfen grundsätzlich nur dann kontaktiert werden, wenn Sie der Datenerhebung zugestimmt haben

→ Neue Informationspflichten: Bei der ersten Mitteilung an einen Kandidaten müssen einige Informationen mitgeliefert werden: Grund, Speicherdauer, Bestehen eines Auskunfs- und Beschwerderechts, Quelle woher die Daten stammen, Empfänger im Falle einer Weitergabe.

Wichtige Voraussetzungen für HR Software

• Sorgfältige Auswahl unter Berücksichtigung der Technischen und Organisatorischen Maßnahmen
• Datenverarbeitung durch einen Dienstleister benötigt weiterhin einer schriftlichen Weisung
• ADV nach DSGVO 2018 abschließen (Auftragsdatenverarbeitungsvereinbarung)
• Sauber dokumentierte Verarbeitungsübersicht
• Dokumentation der Datenschutzprozesse (Nachweispflicht)
• Vorsicht bei Anbietern mit Serverstandort ausserhalb der EU

Du hast weitere Fragen zum Thema EU-Datenschutz-Grundverordnung für Personalverantwortliche? Dann schreibe uns einfach an hello@firstbird.com!