Der Auskunftspflicht nachkommen

Ein Mitarbeiter hat gekündigt zum 30.01.2022. Er will jetzt Auskunft über seine noch gespeicherten Daten. Darüber hinaus verlangt er Auskunft, welche der von ihm erstellten Mails gespeichert sind.

1. Klärung, ob der ehemalige Mitarbeiter ein Recht hat auf seine Daten zuzugreifen, bzw. informiert werden muss (Auskunftsrecht) Art. 15 DSGVO und §34 BDSG
2. Welche Daten hat das Unternehmen gespeichert (was darf gespeichert werden)

  • personenbezogene Daten
      ◦ Name
      ◦ Adresse
      ◦ Telefonnummer privat (optional)
      ◦ Personalnummer
      ◦ E-Mail (privat und geschäftlich)
      ◦ Geburtsdatum
      ◦ Familienstand
      ◦ fachliche Qualifikationen und Zertifikate
      ◦ genommene Urlaubstage
      ◦ Lohnunterlagen, inklusive Bankdaten
      ◦ Behinderungen
      ◦ Beschäftigungsstatus bis zum 01.2.22 (auch aus Lebenslauf)
      ◦ Abmahnungen und Beurteilungen
      ◦ Arbeitszeitdokumentation (inkl., Urlaub, Krank, Sabbaticals)
      ◦ Reisekostenabrechnungen
      ◦ Fahrtenbücher
      ◦ Betriebsrente
      ◦ Steuernummer
      ◦ Datev Personalbogen
      ◦ polizeiliches Führungszeugnis
      ◦ Mitglied im Personalrat…

3. Was muss ich löschen / nicht speichern

  • private Emails (im Unternehmen sind priv Mails strikt untersagt)
  • private Dokumentationen (alle privaten Daten wurden vom Mitarbeiter bei seiner Kündigung mitgenommen. Alle weiteren wurden datenschutzkonform vernichtet)
  • eindeutige geschäftliche Mailadresse (nicht die darin enthaltenen Mails)
  • Kommentare und private Anmerkungen

4. Welche Daten dürfen dem Mitarbeiter ausgegeben werden
Alle Daten mit personenbezogenem Inhalt. Das schließt aus:

  • Fahrtenbücher (weil kein Name genannt)
  • Firmeninternas
  • Daten anderer Mitarbeiter

5. wirtschaftliche Aufwands-Abschätzung
ist nicht relevant, da Einzelabfrage und alle Daten in der Datenbank einfach abrufbar

6. Informieren

  • Verantwortlicher (eigentlich reicht das, da er weiter informieren muss)
  • Fachabteilung (hier Personalabteilung, ggf Buchhaltung)
  • Betroffener

7. Beraten
Der DSB rät dem Verantwortlichen, die gespeicherten personenbezogenen Daten laut erstellter Liste dem Betroffenen zu übermitteln.

8. Überprüfen
Vor Ablauf der Meldefrist muss der DSB nachfragen, ob der Auskunftspflicht vollständig nachgekommen wurde

Allgemeine Vorgehensweise:
    1. ist die Person berechtigt (Identitätskontrolle)
        1. Jede natürliche Person ist berechtigt (Art 15 DSGVO Auskunftsrecht)
    2. haben wir Daten?
        1. Wir müssen immer melden, auch wenn keine Daten gespeichert (Art 13 DSGVO Informationspflicht)
        2. Wir müssen fristgerecht informieren (4 Wochen)
            1. oder Grund zur Verlängerung angeben
    3. sind die Daten eindeutig zuweisbar
        1. anonymisiert → Informationen geschwärzt oder gelöscht
        2. pseudonymisiert → Informationen durch neutrale Information ersetzt
        3. ja → dann muss informiert werden
    4. Abschätzung des Aufwandes
        1. ist es wirtschaftlich vertretbar zu melden
            1. nein → anderen Weg finden. 
            2. Ja → melden
    5. Verantwortlichen beraten/informieren/unterstützen
        1. nie voreilig selbst tätig werden
    6. Nachbearbeitung
        1. sind alle Prozesse in Ordnung
        2. sind alle Dokumente richtig und vollständig
        3. ist der Pflicht Genüge getan (mit Nachweis → Rechenschaftspflicht)