Datenschutz (DSGVO) für Personalberater – Die neue EU-Datenschutz-Grundverordnung

Erfahren Sie was sich durch die neue Grundverordnung beim Thema Datenschutz für Personalberater ändert und welche Vorgehen und Tools Unternehmen, denen der Schutz personenbezogener Daten wichtig ist, unterstützen können.

Einheitlicher Umgang mit Daten in der gesamten EU

Das Datenschutzrecht der EU-Länder war bislang nicht einheitlich geregelt. Besonders für den grenzüberschreitenden Handel haben sich daraus Hindernisse ergeben. Am 25. Mai 2016 trat deshalb eine für alle Mitgliedstaaten verbindliche EU-Datenschutz-Grundverordnung (EU-DSGVO) in Kraft – ab 25. Mai 2018 ist sie anzuwenden. Viele der Richtlinien in dem neuen Datenschutzrecht wurden in der Vergangenheit auch von den deutschen Gesetzen abgedeckt. Es gibt aber Neuregelungen, die sich Unternehmen genau anschauen und deren Umsetzung sie gründlich planen sollten, wenn sie nicht empfindliche Strafen riskieren möchten. Dies gilt insbesondere auch für nichteuropäische Firmen, die in der Eurozone Handel treiben und damit deren Gesetzen unterworfen sind. Denn die EU-DSGVO richtet sich an in der EU ansässige Unternehmen, aber auch an solche, die im EU-Raum personenbezogene Daten über in der EU ansässige Personen erheben, diese verarbeiten und für ihre geschäftlichen Zwecke innerhalb der EU nutzen. Damit ist die neue Datenschutzverordnung auch für Personalberater relevant, die Bewerberdaten erheben, speichern und bearbeiten.

Bußgelder bis zu 20 Mio. Euro

Das Marktforschungsinstitut Gartner schätzt, dass nur wenige Wochen vor dem Stichtag mehr als 50 Prozent der Unternehmen weltweit noch nicht in der Lage sind, die in der neuen EU-Datenschutz-Grundverordnung geforderten Bestimmungen einzuhalten. Und laut einer Studie von IDC haben 44 Prozent der befragten Organisationen noch keine konkreten Maßnahmen getroffen, um für den 25. Mai gerüstet zu sein. Auch deutsche Unternehmen sollten sich gründlich vorbereiten. Denn verstoßen sie gegen die neuen Anforderungen, müssen sie mit Strafzahlungen – je nach vorliegendem Fall – von bis zu 20 Mio. € oder von bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs rechnen. Der höhere Wert gibt dabei den Ausschlag. Solche Dimensionen waren in Deutschland bislang unbekannt. Es macht also Sinn, sich mit dieser Thematik eingehend zu befassen. Eine wertvolle Unterstützung im Thema Datenschutz für Personalberater liefert dabei STARHUNTER als erprobtes Tool für den Headhunter, der auf Nummer sicher gehen will.

Worauf es jetzt ankommt

Nicht nur die horrenden Geldbußen machen das EU-DSGVO zu einem Streitfall unter Unternehmern und Juristen. Auf der anderen Seite gibt es zahlreiche Befürworter, die unter anderem die Anlehnung vieler Paragrafen an das deutsche Recht loben. Um gar nicht erst in Konflikt zu kommen, sollten Unternehmen der Personalberatung ihre Datenschutzprozesse rechtzeitig an die neuen Anforderungen anpassen. Deutsche Firmen werden der neuen EU Datenschutz-Grundverordnung zumeist entspannter entgegenschauen als mancher Wettbewerber jenseits der Grenzen. Aber auch sie werden sich mit einigen Punkten der EU-DSGVO befassen müssen, die in Deutschland mit seinen strengen Datenschutzrichtlinien bislang keine Rolle spielten. Als Personaler tut man gut daran, eine Checkliste aufzustellen, die keine Eventualität offen lässt. Für Personalberater stellt sich ohnehin die Frage: Wer ist für die Umsetzung der Datenschutzverordnung verantwortlich? Besteht nach den neuen Vorschriften die Notwendigkeit, einen Datenschutzbeauftragten einzusetzen? Und ist dies der Fall: Welche konkreten Datenschutzprozesse obliegen seiner Verantwortung? Gibt es darüber hinaus Vorkehrungen, die zur Sicherung besonders sensibler oder geheimer Daten getroffen wurden und stehen diese im Einklang mit der EU-DSGVO? Aber gehen wir ein Stück ins Detail:

Wer ist verantwortlich und haftet bei Verstößen?

Die EU-Datenschutz-Grundverordnung regelt, wer für die Erfassung, Speicherung und Übermittlung relevanter Daten verantwortlich ist und wie mit diesen Daten umgegangen wird. „Verantwortlicher“ ist eine natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten Entscheidungen trifft. Diese Person haftet dafür, dass die in der EU-DSGVO niedergelegten Verordnungen bei der Datenverarbeitung eingehalten werden. Dies hat mit der Wahl geeigneter Maßnahmen zu geschehen. Hier sieht das Gesetz unter Umständen die Erbringung eines Nachweises vor. Sind mehrere Personen involviert, gelten sie als „gemeinsame Verantwortliche“. Einschränkung: Diese Bestimmung gilt nicht für natürliche Personen, die aus persönlichem oder familiärem Interesse Daten verarbeiten.

Auftragsverteilung und Datenschutzbeauftragter

Aufträge über die Verarbeitung von Daten sind in Zukunft nur noch mit Vertrag erlaubt, in dem Rechte, Pflichten und weitere Belange geregelt sind, die der „Auftragsverarbeiter“ zu befolgen hat. Handelt es sich um sensible Daten oder sind betroffene Personen regelmäßig zu überwachen, ernennen Verantwortlicher und Auftragsverarbeiter einen Datenschutzbeauftragten. Dieser Passus wird deutsche Organisationen zumeist nicht vor völlig neue Tatsachen stellen – allerdings bietet die EU-DSGVO einen wichtigen Anlass, diese Problematik neu zu durchdenken und womöglich Entscheidungsträger zu ernennen, wo man dies früher für nicht notwendig hielt, weil unter anderem auch weniger auf dem Spiel stand.

Das ist neu: Recht auf Vergessenwerden

Selbst für bisher im Datenschutz vorbildliche Unternehmen stellt die gesetzliche Neuerung des „Rechts auf Vergessenwerden“ (Art. 17 DS-GVO) eine Herausforderung dar. Sie sieht vor, dass eine betroffene Person vom datensammelnden Unternehmen künftig verlangen kann, ihre personenbezogenen Daten unverzüglich zu löschen – z.B. wenn sie eine Einwilligung widerruft oder das Widerspruchsrecht ausgeübt hat. Damit verbunden ist ein Recht auf Einschränkung der Datenverarbeitung (Art. 18 DS-GVO). Wurden die Daten bereits veröffentlicht, muss der Verantwortliche alle anderen Verantwortlichen informieren und angemessene Maßnahmen einleiten. Gleichzeitig müssen personenbezogene Daten nun nicht mehr aufbewahrt werden, wenn dafür keine Notwendigkeit besteht. Hieran knüpfen sich spezifische technische Voraussetzungen, weswegen dieses Recht schon seit 2012 umstritten ist. Diese gesetzliche Verschärfung betrifft nicht zuletzt die Personalberatung, die naturgemäß täglichen Umgang mit sensiblen personenbezogenen Daten haben. Ihnen stellt unsere Lösung STARHUNTER alle erforderlichen Funktionalitäten bereit und entlastet sie maßgeblich bei der korrekten Einhaltung der neuen EU-Gesetze.

Mit STARHUNTER sind Personalberater bestens gewappnet

Als Personalberater können Sie mit STARHUNTER Ihre sensiblen Daten optimal verwalten, löschen und überdies mit Ihren Kandidaten kommunizieren. Das bietet Ihnen STARHUNTER:

• Double Opt-In
• Lösch-Liste, die im Fall einer Daten-Wiederherstellung ein Verzeichnis der gelöschten Positionen bereithält
• Primary/Replica-Systeme für Standorte mit getrennten Datenbanken
• Templates für Ihre Anschreiben (z.B. mit Opt-In-Wunsch)
• Leichte Verfügbarkeit der eigenen Daten für Kandidaten
• Checkfunktion, um zu ermitteln, wer keinen gültigen Opt-In bzw. keinen Grund hat, in Ihrer Datenbank gespeichert zu sein

Die EU-Datenschutz-Grundverordnung im vollen Wortlaut finden Sie hier: www.datenschutz-grundverordnung.eu/