Datenschutz-Grundverordnung (DSGVO) – einfach erklärt

Die Datenschutz-Grundverordnung (DSGVO) ist eine seit dem 25. Mai 2018 unmittelbar geltende Verordnung der Europäischen Union, die festlegt, wie personenbezogene Daten verarbeitet werden dürfen. Personenbezogene Daten sind dabei alle Angaben, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Anders als eine Richtlinie wirkt die Datenschutz-Grundverordnung (DSGVO) direkt in allen Mitgliedstaaten und muss nicht erst in nationales Recht überführt werden; an bestimmten Stellen lässt sie jedoch ergänzende nationale Regelungen zu, etwa im Beschäftigtendatenschutz.

Die DSGVO löste die ältere europäische Datenschutzrichtlinie ab und schuf damit einen weitgehend einheitlichen Rechtsrahmen für die gesamte EU. Sie verfolgt zwei Ziele zugleich: den Schutz der Grundrechte natürlicher Personen beim Umgang mit ihren Daten und den freien Datenverkehr innerhalb des europäischen Binnenmarkts. Diese Doppelfunktion erklärt, warum die Verordnung einerseits strenge Vorgaben macht und andererseits den wirtschaftlichen Datenaustausch ausdrücklich ermöglichen will.

Den fachlichen Kern bilden mehrere Grundsätze, an denen sich jede Verarbeitung messen lassen muss. Dazu zählen Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz, die Zweckbindung, die Datenminimierung, die Richtigkeit der Daten, die Speicherbegrenzung sowie Integrität und Vertraulichkeit. Hinzu kommt die Rechenschaftspflicht: Verantwortliche müssen die Einhaltung dieser Grundsätze nicht nur sicherstellen, sondern auch nachweisen können. Damit verschiebt sich der Massstab von der bloßen Absicht hin zur dokumentierten Umsetzung im Betrieb.

Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage. Nach Artikel 6 kommen dafür insbesondere die Einwilligung der betroffenen Person, die Erfüllung eines Vertrags, eine rechtliche Verpflichtung des Verantwortlichen oder berechtigte Interessen nach einer Interessenabwägung in Betracht. Im Beschäftigungskontext spielt die Einwilligung eine eher untergeordnete Rolle, weil sie im Verhältnis zwischen Arbeitgeber und Arbeitnehmer nicht immer als freiwillig gilt; häufig stützt sich die Verarbeitung daher auf die Durchführung des Arbeitsvertrags oder auf gesetzliche Pflichten.

Betroffene Personen erhalten umfangreiche Rechte. Dazu gehören das Recht auf Auskunft über die gespeicherten Daten, auf Berichtigung unrichtiger Angaben, auf Löschung, auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit und auf Widerspruch gegen bestimmte Verarbeitungen. Werden diese Vorgaben missachtet, sieht die Datenschutz-Grundverordnung (DSGVO) erhebliche Bussgelder vor – bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweiten Jahresumsatzes eines Unternehmens, je nachdem, welcher Betrag höher ist. Über das Marktortprinzip kann die Verordnung zudem Unternehmen außerhalb der EU erfassen, sofern sie Daten von Personen in der EU verarbeiten.

Für die DACH-Region ist eine Differenzierung wichtig. In Deutschland und Österreich gilt die DSGVO als EU-Recht unmittelbar, jeweils flankiert durch nationale Datenschutzgesetze, die die zulässigen Öffnungsklauseln ausfüllen. Die Schweiz ist kein EU-Mitglied und wendet die DSGVO nicht direkt an; maßgeblich ist dort das revidierte Datenschutzgesetz (DSG). Wer grenzüberschreitend tätig ist oder Daten von Personen in der EU verarbeitet, sollte die jeweiligen Regelwerke daher nicht unbesehen gleichsetzen, sondern getrennt prüfen.

Praktische Bedeutung gewinnt die Datenschutz-Grundverordnung (DSGVO) überall dort, wo Unternehmen routinemässig mit Daten ihrer Beschäftigten, Kunden oder Geschäftspartner umgehen. Ein Beispiel: Führt ein Betrieb eine elektronische Zeiterfassung ein, entstehen laufend Datensätze über Arbeitsbeginn, Pausen und Arbeitsende einzelner Mitarbeiterinnen und Mitarbeiter. Diese Informationen sind personenbezogen und dürfen nur für klar festgelegte Zwecke verarbeitet werden, etwa zur Lohnabrechnung, zur Einhaltung von Arbeitszeitvorgaben oder zur Einsatzplanung. Eine darüber hinausgehende Auswertung, beispielsweise eine umfassende Verhaltens- oder Leistungskontrolle, bedarf einer eigenen rechtlichen Grundlage und ist nicht automatisch zulässig.

Für die Arbeitszeiterfassung folgen daraus konkrete Anforderungen. Erfasst werden sollte nur, was für den jeweiligen Zweck erforderlich ist (Datenminimierung), und die Daten sollten nicht länger aufbewahrt werden, als es betriebliche oder gesetzliche Gründe verlangen (Speicherbegrenzung). Der Zugriff ist auf befugte Personen zu beschränken, und die Verarbeitung sollte für die Beschäftigten transparent sein. Beschäftigte können zudem Auskunft über die zu ihrer Person gespeicherten Zeitdaten verlangen und unrichtige Einträge berichtigen lassen.

Häufig gestellte Fragen lassen sich entlang dieser Linien beantworten. Sind Arbeitszeitdaten überhaupt von der DSGVO erfasst? Ja, denn sie beziehen sich auf identifizierbare Personen und sind damit personenbezogene Daten. Braucht es für die Zeiterfassung stets eine Einwilligung der Beschäftigten? Nicht zwingend; oft genügt eine andere Rechtsgrundlage wie die Erfüllung des Arbeitsvertrags oder eine gesetzliche Pflicht, weshalb die Einwilligung im Beschäftigungsverhältnis eher die Ausnahme bleibt. Und dürfen Zeitdaten frei für jede Auswertung genutzt werden? Nein, es gilt die Zweckbindung – die Daten dürfen grundsätzlich nur für die Zwecke verwendet werden, für die sie erhoben wurden. Die vorstehenden Ausführungen sind allgemeine Informationen und ersetzen keine Rechtsberatung im Einzelfall.