Zunächst einmal: Gesetzlich geregelt ist das Eigentum an Daten im Allgemeinen bislang nicht. Denn Daten sind im juristischen Sinne keine Sache, da sie kein greifbarer, verfestigter Gegenstand sind. Rechtlich geschützt ist daher nur das Eigentum an dem Speichermedium, auf dem die Daten liegen. Und das kann ein firmeneigener Server, das Rechenzentrum des HR-Dienstleisters oder dessen Cloud sein.
Auch Schutzrechte wie das Urheberrecht oder der Patentschutz greifen hier nicht, da Daten kein geistiges Eigentum darstellen.
Was ist Datenschutz?
Datenschutz bezieht sich auf den Schutz persönlicher Informationen von Einzelpersonen. Dies umfasst Regeln und Vorschriften, wie solche Daten verwendet, aufgenommen und gespeichert werden dürfen. Der Datenschutz beinhaltet Aspekte wie den Schutz der Privatsphäre, die Verhinderung missbräuchlicher Datenverarbeitung und die Kontrolle darüber, wer und wann auf persönliche Daten zugreifen kann. Aus der rechtlichen Perspektive betrifft Datenschutz insbesondere die Sicherung des verfassungsmäßig geschützten Rechts auf „informationelle Selbstbestimmung“ oder das „Recht auf Schutz personenbezogener Daten“ gemäß Artikel 8 Absatz 1 der Grundrechtecharta der EU. Sensible Daten unterliegen der DSGVO
Dafür ist aber der Umgang mit personenbezogenen Informationen geregelt: Sie unterliegen der Datenschutz-Grundverordnung (DSGVO). Daten dürfen nur für den Zweck verwendet werden, für den die betroffene Person ihr Einverständnis gegeben hat. Zusätzlich muss die Verarbeitung transparent und vor unbefugtem Zugriff geschützt erfolgen. Verantwortlich für den Umgang mit solchen Daten ist im Sinne der DSGVO derjenige, der die Daten vermittelt – das Unternehmen bzw. der Auftraggeber also, dass die personenbezogenen Daten an einen HR-Dienstleister weitergibt. Doch selbst wenn Sie Verantwortlicher sind, sind Sie eben nicht automatisch auch der Eigentümer der Daten.
Auch wenn Daten nicht greifbar sind, so sind sie als immaterielle Wirtschaftsgüter taugliche Gegenstände für Verträge. Da der Gesetzgeber bislang keine Regelung vorgibt, müssen dies die beiden Parteien tun. Sie und Ihr HR-Dienstleister sollten also eine Vereinbarung in Form eines Datenverarbeitungsvertrages aufstellen, in der das Eigentum und die Verantwortlichkeit eindeutig formuliert sind. Die rechtliche Zuordnung der Daten zum Beispiel sollte in der Regel beim Vermittler bzw. Auftraggeber bleiben. Die Auftragsdatenverarbeitung sollte auch nicht ohne dessen Weisung erfolgen.
Was fällt unter Datenschutz?
- Informationen über die genetische Veranlagung
- Messbare biologische Merkmale
- Gesundheitsbezogene Informationen
- Daten, die Rückschlüsse auf Rasse und Ethnizität zulassen
- Daten, die politische Standpunkte offenbaren
- Informationen zu religiösen oder weltanschaulichen Überzeugungen
- Daten, die die Mitgliedschaft in Gewerkschaften preisgeben
Datenschutz und HR
Personalabteilungen stehen vor der Herausforderung, den Schutz von Mitarbeiter- und Bewerberdaten sicherzustellen, während sie sich mit der fortschreitenden Digitalisierung und den komplexen Anforderungen der Datenverarbeitung auseinandersetzen. Im HR-Bereich ist es wichtig, dass personenbezogene Daten nur so lange gespeichert werden, wie sie für den festgelegten Zweck benötigt werden, entsprechend dem Prinzip der Datenminimierung gemäß § 5 DSGVO. Es ist notwendig, dass HR-Software sicher gestaltet ist, um die Rechte der Beschäftigten zu schützen.
Es ist von großer Bedeutung, dass Unternehmen das Thema Datenschutz und HR ernst nehmen, indem sie regelmäßig Schulungen zur Sensibilisierung der Mitarbeiter im korrekten Umgang mit Daten anbieten. Dies umfasst auch die Prüfung von Dienstleistern und Software auf ihre Übereinstimmung mit den DSGVO-Vorschriften sowie die Gewährleistung, dass Informations- und Auskunftspflichten gegenüber den Mitarbeitern eingehalten werden.
Bedeutung der DSGVO für die Lohn- und Gehaltsabrechnung
Überarbeitung von Service-Verträgen: Die DSGVO beeinflusst auch die vertraglichen Beziehungen zwischen Ihrem Unternehmen und Ihrem Lohnabrechnungsanbieter oder der Software. Vertragsklauseln müssen angepasst werden, um die Anforderungen zu erfüllen.
Die Beendigung des Vertrages sollte in der Vereinbarung ebenfalls geregelt sein – und was dann mit den gespeicherten Daten passiert. Werden sie umgehend gelöscht? Stellt der HR-Dienstleister die gesammelten Daten vorab zur Verfügung? IT-Fachwissen garantiert technische Sicherheit und Datenschutz
Sind die Formalitäten geklärt, steht einer guten und vor allem sicheren Zusammenarbeit nichts mehr im Wege. Mit dem richtigen Partner an Ihrer Seite ist die Sicherheit Ihrer sensiblen Personal-Daten gewährleistet. Ein verlässlicher Dienstleister ist nicht nur in Sachen HR-Outsourcing ein Experte, sondern verfügt auch im Bereich IT-Sicherheit über fundiertes und aktuelles Know-how zu Outsourcing, Datenschutz und HR. Wie wichtig dies ist, unterschätzen Unternehmen manchmal. Dabei stellt die Verantwortung für die technische Sicherheit eine erhebliche Herausforderung dar.
Der HR-Dienstleister ist zwar verantwortlich dafür, dass das System immer erreichbar und sicher ist, Unternehmen sind aber ebenfalls in der Haftung. Denn für die Einhaltung der DSGVO bei den Datentransfers gilt das Prinzip der Shared Responsibility. Das heißt, dass sowohl der Dienstleister als Anbieter als auch Sie als Nutzer stets einen Teil der Verantwortung tragen. Sichern Sie sich deshalb bei der Wahl Ihres HR-Dienstleisters ab und wählen Sie diesen sorgfältig aus.
Beachten Sie einige Punkte, sind Ihre Daten in guten Händen:
- Seriöser HR-Dienstleister: Ein zuverlässiger Dienstleister ist erfahren in Rechenzentrumstechnologien und gewährleistet den Schutz Ihrer Daten.
- Rechenzentren und Backup-Server: Daten sind vor unbefugtem Zugriff geschützt, selbst bei Ereignissen wie Stromausfällen, dank Backup-Servern in den Rechenzentren.
- Passwortschutz und Kriterien: Daten werden durch Passwortschutz gesichert, wobei Kennwörter bestimmte Kriterien erfüllen müssen und regelmäßig geändert werden sollen, um sicherzustellen, dass nur autorisierte Personen Zugriff haben.
- Regelmäßige Zugriffsüberprüfung: Empfehlung, mindestens jährlich zu prüfen, wer Zugriff hat, und gegebenenfalls Zugriffsrechte anzupassen.
- Verschlüsselung von Daten: Daten sollten bei jedem Zugriff und Versand verschlüsselt sein, um die Sicherheit zu gewährleisten.
- Zertifizierung ISAE 3402: Diese Zertifizierung zeigt, dass der HR-Dienstleister umfassende Prozesse dokumentiert, klar darstellt und alle rechtlichen Dokumentationsvorschriften erfüllt.
Fazit
Gesetzlich geregelt ist das Eigentum an Daten zwar nicht, der Umgang mit personenbezogen Daten, wie sie im HR-Bereich erhoben und verarbeitet werden, aber schon. Hierfür gibt es strenge Richtlinien, an die Sie sich als Unternehmer aber auch der HR-Dienstleister halten muss. Beachten Sie die genannten Hinweise bei der Wahl Ihres HR-Outsourcing-Partners sind Ihre Personal-Daten sicher aufgehoben.