Ziel der DSGVO
Die Datenschutzgrundverordnung macht dem – bis jetzt oft gehandhabten – „großzügigen“ Speichern von Daten ein Ende. Denn billige Speichermedien und leistungsfähige Algorithmen haben dazu geführt, dass viele Unternehmen immer mehr Daten gesammelt und ausgewertet haben – ohne dass die betroffenen Personen davon wussten. Mit der DSGVO haben alle Personen seit 25. Mai 2018 mehr Rechte zu wissen und zu entscheiden, was mit ihren persönlichen Daten passiert, die sie an Unternehmen weitergeben. Aus Sicht der Personalabteilung betrifft dies speziell Mitarbeiter und Bewerber.
Die wichtigsten Begriffe in Kürze
Recht auf Zustimmung: Personenbezogene Daten wie Name, Adresse, SV-Nummer, Geschlecht oder Familienstand dürfen Sie nur nach Zustimmung speichern.
Recht auf Auskunft: Ihr Unternehmen muss jederzeit innerhalb eines Monats Auskunft geben können, welche Daten Sie besitzen.
Recht auf Vergessen: Auf Verlangen müssen Sie Daten korrigieren oder löschen – ebenfalls innerhalb der Frist von einem Monat. Diese Pflicht betrifft auch Dritte, etwa wenn Sie Daten an einen Dienstleister, z.B. einen Cloud Provider oder Lohnverrechner, weitergeleitet haben.
Datensparsamkeit: Sie dürfen nur Daten verarbeiten, die für den jeweiligen Zweck erforderlich sind. Und der Zugriff darf nur jenen Mitarbeitern möglich sein, die damit zu tun haben – so müssen auch Personalakten von der Lohnverrechnung getrennt werden.
Daten richtig löschen in 2 Schritten
- Zuerst ist eine vollständige Datenbankanalyse auf Tabellen/Feld-Ebene notwendig. Erst danach wissen Sie, welche personenbezogenen Daten zu löschen sind. Dabei ist sowohl eine fachliche, als auch eine rechtliche Beurteilung notwendig.
- Laufender Betrieb: In der Folge gilt es sicherzustellen, dass im betrieblichen Alltag alle Daten gelöscht werden, die Ihr Unternehmen aus gesetzlichen Gründen nicht mehr aufbewahren darf. Ebenso muss es einen Prozess geben, wenn der Dateninhaber eine Auskunft und in der Folge das Löschen verlangt.
Checkliste für das richtige Löschen
Mit folgenden Fragen überprüfen Sie als Personalabteilung, ob Ihr Software Anbieter – oder Ihr Dienstleister – DSGVO konform arbeitet:
Schritt 1: Datenbankanalyse auf Feldebene und physisches Löschen
Bei Datenbanken, welche über viele Jahre in Betrieb sind, ist es ohne viel Aufwand nicht möglich, vollständig zu dokumentieren, welche Daten gespeichert sind.
- Gibt es für Sie Unterstützung in Form einer technischen Analyse aller Daten?
- Gibt es in Folge Unterstützung, diese Analyse rechtlich und fachlich zu interpretieren und daraus einen „einmaligen“ Löschprozess zu definieren?
- Gibt es Unterstützung beim Löschen von Daten, z.B. Entwicklung eines Löschprogramms, Support beim Löschen und Erstellen einer Dokumentation für eine mögliche Überprüfung durch die Datenschutzbehörde?
Schritt 2: Löschkonzept für den laufenden Betrieb
Wenn Schritte 1 erledigt ist, haben Sie eine DSGVO-kompatible Datenbank. In Folge muss ein Löschkonzept erstellt werden, um das Datenlöschen als regelmäßigen Prozess zu implementieren.
- Welche Möglichkeiten bietet Ihre Software zum Thema Löschen von personenbezogenen Daten (Mitarbeiter/Bewerber)?
- Gibt es Standardprogramme für das Löschen von „Austritten“ nach einer bestimmten Frist?
- Können gesamte Firmen gelöscht werden?
- Werden die Löschvorgänge in der Datenbank so dokumentiert, dass der Vorgang gegenüber der Datenschutzbehörde nachvollziehbar ist?
- Kann daraus eine Löschbestätigung erstellt werden?
- Kann daraus für das letzte Beschäftigungsverhältnis ein „einfaches Dienstzeugnis“ erstellt werden?
- Gibt es für HR in der Bewerberverwaltung eine Funktion „Einwilligungserklärung für zeitlich unbegrenzte Datenspeicherung“?
- Wird das geplante Löschdatum automatisch gespeichert?
Bedarf an Beratung steigt
Dass bei der generellen Umsetzung der DSGVO noch Nachholbedarf besteht, zeigt die aktuelle Studie von Talend, einem Anbieter für Cloud-Lösungen: Im Zeitraum Juni bis September wurden an globale Unternehmen Anträge versendet und u.a. das Recht auf Auskunft eingefordert. 70% konnten innerhalb der DSGVO-Frist von 1 Monat nicht antworten. Aufgeteilt nach Branchen waren Finanzdienstleister und Technologieunternehmen die schnellsten, während der Handel am schlechtesten abschnitt. (Quelle: talend.com)
Blickt man auf Österreich, so ist mit der Einführung der DSGVO das Bewusstsein für den verantwortungsvollen Umgang mit Daten enorm gestiegen. In der aktuellen KMU Digitalisierungsstudie 2018 der Wirtschaftskammer bestätigen 83% der Unternehmen, dass sie von der Datenschutzgrundverordnung betroffen seien; im Jahr 2017 sagten das nur 32%. Es besteht größere Unsicherheit als im Vorjahr, fast die Hälfte meint, Beratung zu brauchen und erwartet sich eine Verbesserung des rechtlichen Rahmens. (Quelle: wko.at)
Neuer Service Datenschutz Consulting
Die DSGVO ist zweifellos ein enormer Aufwand. Auch die Experten von Sage DPW haben in Workshops mit kleinen und mittleren Unternehmen festgestellt, dass der Bedarf an fachlicher Unterstützung groß ist, speziell was das heikle Thema Löschen von Daten betrifft.
Das neue Sage Service Datenschutz-Consulting unterstützt generell die Umsetzung der DSGVO in Ihrer HR-Abteilung. Ein Teilbereich beschäftigt sich mit dem Thema Löschen von Daten. Dies umfasst die Analyse Ihrer Daten sowie die Erstellung eines individuellen Löschkonzepts. Auf Wunsch unterstützen wir Sie beim Löschen oder führen das Löschen komplett für Sie durch.
