Datenschutz wirkt im Unternehmensalltag manchmal wie ein Thema für ruhige Wochen. Doch gerade dann, wenn Urlaubsvertretungen organisiert, saisonale Auftragsspitzen bewältigt oder neue Arbeitsplätze kurzfristig eingerichtet werden müssen, zeigt sich seine praktische Bedeutung. Zusätzliche Beschäftigte erhalten Zugriff auf Bewerbungsunterlagen, Kundendaten, interne Systeme und mobile Endgeräte. Gleichzeitig werden ältere Laptops ausgetauscht, Benutzerkonten neu angelegt oder nicht mehr benötigte Hardware ausgesondert. An jeder dieser Stellen können personenbezogene Daten betroffen sein. Wer verstehen möchte, was Unternehmen über das Bundesdatenschutzgesetz wissen müssen, sollte deshalb nicht nur auf Einwilligungsformulare und Datenschutzerklärungen schauen. Entscheidend ist der vollständige Weg einer Information: von ihrer Erhebung über die tägliche Nutzung bis zur sicheren Löschung. Bei HolidayBreak Jobs erleben wir, wie wichtig klar geregelte Zuständigkeiten besonders in dynamischen Personalsituationen sind. Datenschutz muss dann funktionieren, wenn es schnell gehen soll. Gute Prozesse bremsen dabei nicht. Im Gegenteil: Sie schaffen Orientierung und verhindern, dass aus einer spontanen Übergangslösung ein vermeidbares Sicherheitsproblem wird.
Bundesdatenschutzgesetz und DSGVO gehören zusammen
Das Bundesdatenschutzgesetz, kurz BDSG, steht nicht isoliert neben der Datenschutz-Grundverordnung. Beide Regelwerke greifen ineinander. Die DSGVO bildet den europäischen Rahmen für die Verarbeitung personenbezogener Daten, während das BDSG bestimmte Bereiche für Deutschland konkretisiert. Besonders relevant sind beispielsweise Vorschriften zum Beschäftigtendatenschutz, zur Benennung eines Datenschutzbeauftragten und zu einzelnen Befugnissen der Aufsichtsbehörden. Unternehmen sollten deshalb vermeiden, Datenschutzfragen ausschließlich unter der Überschrift „DSGVO“ abzulegen. Für die Praxis zählt das Zusammenspiel beider Regelwerke. Zunächst braucht jede Verarbeitung personenbezogener Daten eine tragfähige Rechtsgrundlage. Darüber hinaus gelten Grundsätze wie Zweckbindung, Datenminimierung, Transparenz, Richtigkeit, Speicherbegrenzung und angemessene Sicherheit. Eine einmal rechtmäßig erhobene Information darf also nicht automatisch für jeden späteren Zweck verwendet werden. Ebenso wenig dürfen Unterlagen unbegrenzt gespeichert bleiben, nur weil genügend digitaler Speicherplatz vorhanden ist. Datenschutz verlangt nachvollziehbare Entscheidungen. Unternehmen müssen im Zweifel darlegen können, warum Daten erhoben wurden, wer darauf zugreifen durfte und wann ihre Löschung vorgesehen war.
Beschäftigtendaten verdienen besondere Aufmerksamkeit
Personaldaten gehören zu den sensibelsten Informationen, mit denen ein Unternehmen regelmäßig arbeitet. Schon eine gewöhnliche Personalakte kann Adressdaten, Bankverbindungen, Steuermerkmale, Arbeitszeiten, Fehlzeiten und Leistungsinformationen enthalten. Hinzu kommen möglicherweise Gesundheitsangaben oder weitere Daten, die einen besonders hohen Schutz erfordern. § 26 BDSG spielt für die Verarbeitung von Beschäftigtendaten eine zentrale Rolle. Vereinfacht gesagt dürfen solche Daten verarbeitet werden, wenn dies für die Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses erforderlich ist. Das ist allerdings kein Freibrief für eine möglichst umfassende Datensammlung. Personalabteilungen sollten für jede Information prüfen, ob sie tatsächlich gebraucht wird. Gerade bei befristeten Einsätzen und kurzfristig vermittelten Arbeitskräften entstehen schnell doppelte Datensätze, weitergeleitete Lebensläufe und lokale Kopien von Vertragsunterlagen. Diese Nebenbestände geraten später leicht in Vergessenheit. Sinnvoll sind daher einheitliche Ablageorte, klar begrenzte Zugriffsrechte und verbindliche Löschfristen. Auch die freiwillige Einwilligung von Beschäftigten sollte nicht vorschnell als Universallösung betrachtet werden, da im Arbeitsverhältnis ein Abhängigkeitsverhältnis besteht und echte Freiwilligkeit sorgfältig geprüft werden muss.
Temporäre Verstärkung braucht feste Datenschutzregeln
Saisonkräfte, Urlaubsvertretungen und kurzfristig eingesetzte Fachkräfte müssen häufig vom ersten Arbeitstag an produktiv sein. Genau darin liegt eine organisatorische Herausforderung. Wer unter Zeitdruck handelt, vergibt mitunter großzügigere Zugriffsrechte als nötig, teilt bestehende Benutzerkonten oder übergibt Geräte, auf denen noch Dateien vorheriger Nutzer gespeichert sind. Ein datenschutzgerechtes Onboarding beginnt deshalb vor dem eigentlichen Einsatz. Für jede Rolle sollte festgelegt sein, welche Anwendungen, Ordner und Kundendaten benötigt werden. Nach dem Prinzip der minimalen Berechtigung erhält eine Person nur den Zugriff, den sie für ihre konkrete Aufgabe braucht. Gemeinsame Konten sind möglichst zu vermeiden, weil Handlungen später kaum eindeutig zugeordnet werden können. Ebenso wichtig ist eine verständliche Unterweisung. Ein langer Richtlinientext, der ungelesen bestätigt wird, schützt in der Praxis wenig. Besser sind klare Hinweise zu Passwörtern, mobilen Geräten, E-Mail-Anhängen, Ausdrucken und verdächtigen Nachrichten. Am Ende des Einsatzes folgt ein ebenso konsequentes Offboarding: Konten werden deaktiviert, Ausweise und Hardware zurückgegeben, Weiterleitungen geprüft und lokal gespeicherte Daten kontrolliert gelöscht.
Datenschutz beginnt bereits bei der Auswahl der Informationen
Viele Datenschutzprobleme entstehen nicht durch spektakuläre Cyberangriffe, sondern durch alltägliche Gewohnheiten. Eine Tabelle wird „vorsichtshalber“ um private Telefonnummern ergänzt, ein kompletter E-Mail-Verlauf an eine neue Vertretung geschickt oder eine Bewerbungsmappe auf einem allgemein zugänglichen Laufwerk abgelegt. Solche Vorgänge wirken zunächst praktisch, widersprechen aber häufig dem Grundsatz der Datenminimierung. Unternehmen sollten daher regelmäßig fragen: Welche Information ist für den vorgesehenen Zweck wirklich notwendig? Wer muss sie sehen? Wie lange wird sie gebraucht? Diese Fragen lassen sich besonders gut beantworten, wenn Geschäftsprozesse nicht nur aus fachlicher, sondern auch aus datenschutzrechtlicher Sicht dokumentiert werden. Ein Verzeichnis von Verarbeitungstätigkeiten hilft dabei, Datenarten, betroffene Personengruppen, Empfänger, Zwecke und Löschfristen strukturiert festzuhalten. Es sollte jedoch kein Dokument sein, das einmal erstellt und anschließend vergessen wird. Neue Software, veränderte Zuständigkeiten oder zusätzliche Dienstleister können eine Aktualisierung erforderlich machen. Wer Prozesse verständlich erfasst, gewinnt außerdem einen praktischen Überblick über unnötige Datenbestände. Das verbessert nicht nur den Datenschutz, sondern reduziert häufig auch Suchaufwand, Doppelarbeit und Fehlerquellen.
Technische und organisatorische Maßnahmen müssen zum Risiko passen
Das Datenschutzrecht schreibt Unternehmen nicht für jeden Fall dieselbe technische Lösung vor. Gefordert ist vielmehr ein Sicherheitsniveau, das zum jeweiligen Risiko passt. Bei der Bewertung spielen unter anderem Art und Umfang der Daten, die Zahl der betroffenen Personen, mögliche Schäden und der aktuelle Stand der Technik eine Rolle. Zu den typischen Maßnahmen gehören rollenbasierte Zugriffsrechte, Mehrfaktor-Authentifizierung, Verschlüsselung, regelmäßige Sicherheitsupdates, Backups und die Protokollierung sicherheitsrelevanter Vorgänge. Organisatorische Regeln sind mindestens ebenso wichtig. Dazu zählen Freigabeprozesse, Vertretungsregelungen, Schulungen, Meldewege und Kontrollen beim Ein- und Austritt von Beschäftigten. Ein technisch gut geschütztes System verliert viel von seinem Wert, wenn Kennwörter offen weitergegeben oder vertrauliche Ausdrucke liegen gelassen werden. Andersherum kann auch eine sorgfältige Belegschaft veraltete, ungeschützte Systeme nicht vollständig ausgleichen. Datenschutz und IT-Sicherheit sollten deshalb gemeinsam geplant werden. Vor allem in arbeitsreichen Saisonphasen empfiehlt es sich, Standardabläufe vorzubereiten, statt jede Berechtigung und jede Geräteübergabe spontan zu improvisieren. Ein wenig Vorbereitung erspart später oft eine Menge hektischer Ursachenforschung.
Ausgemusterte Hardware bleibt ein Datenschutzthema
Ein Laptop verschwindet nicht aus dem datenschutzrechtlichen Blickfeld, nur weil er nicht mehr auf einem Schreibtisch steht. Auf Festplatten, SSDs, Servern, Speichersystemen, Smartphones und einzelnen Komponenten können weiterhin personenbezogene Daten vorhanden sein. Selbst Geräte, die defekt wirken, enthalten unter Umständen noch lesbare Informationen. Einfaches Löschen, das Zurücksetzen eines Benutzerkontos oder das Verschieben von Dateien in den Papierkorb reicht regelmäßig nicht aus. Vor Verkauf, Spende, Rückgabe, Wiederverwendung oder Recycling muss daher geklärt werden, wie Daten nachweisbar und dem Schutzbedarf entsprechend entfernt werden. An dieser Stelle verbindet sich Datenschutz sinnvoll mit nachhaltigem IT-Management. Funktionsfähige Geräte müssen nicht vorschnell vernichtet werden, wenn eine professionelle Datenlöschung und anschließende Wiedervermarktung möglich ist. KONSER OHG setzt genau an dieser Schnittstelle an und verbindet IT-Refurbishing sowie Remarketing mit datenschutzorientierten Prozessen. Für Unternehmen ist dabei nicht nur das Ergebnis wichtig. Auch Transportwege, Erfassung, Zwischenlagerung, Verantwortlichkeiten und Dokumentation sollten nachvollziehbar geregelt sein. Eine sichere Löschung ist schließlich nur so belastbar wie die gesamte Prozesskette, in die sie eingebettet wurde.
Löschkonzepte müssen digitale und physische Bestände erfassen
Die Forderung nach Löschung klingt einfach, wird im Unternehmensalltag aber schnell komplex. Daten können sich im führenden System, in exportierten Tabellen, E-Mail-Postfächern, Dateiablagen, Backups und auf lokalen Geräten befinden. Hinzu kommen Papierakten, Notizen und Ausdrucke. Ein belastbares Löschkonzept ordnet deshalb nicht nur abstrakte Fristen zu, sondern berücksichtigt die tatsächlichen Speicherorte. Dabei sind gesetzliche Aufbewahrungspflichten ebenso zu beachten wie der ursprüngliche Verarbeitungszweck. Manche geschäftlichen Unterlagen dürfen nicht sofort gelöscht werden, obwohl sie personenbezogene Angaben enthalten. In solchen Fällen kann es erforderlich sein, den Zugriff einzuschränken und die Daten nur noch für den Aufbewahrungszweck vorzuhalten. Nach Ablauf der maßgeblichen Frist muss der Löschprozess tatsächlich angestoßen werden. Für ausgemusterte IT-Geräte empfiehlt sich eine dokumentierte Entscheidung, ob sie intern weiterverwendet, professionell gelöscht und verkauft oder physisch zerstört werden. Eine pauschale Lösung für jede Hardware gibt es nicht. Der passende Weg hängt vom Zustand des Geräts, vom Schutzbedarf der gespeicherten Informationen und von der vorgesehenen weiteren Nutzung ab. Entscheidend bleibt, dass die gewählte Maßnahme überprüfbar ist.
Externe Dienstleister benötigen klare vertragliche Leitplanken
Kaum ein Unternehmen verarbeitet sämtliche Daten ohne externe Unterstützung. Lohnabrechnung, Cloud-Dienste, Bewerbermanagement, Support, Aktenvernichtung und IT-Verwertung werden häufig ganz oder teilweise ausgelagert. Vor Beginn der Zusammenarbeit muss geklärt werden, welche datenschutzrechtliche Rolle der jeweilige Anbieter übernimmt. Verarbeitet ein Dienstleister personenbezogene Daten ausschließlich nach Weisung des Unternehmens, kann eine Auftragsverarbeitung vorliegen. Dann sind insbesondere die Anforderungen an einen Vertrag zur Auftragsverarbeitung zu beachten. Darin sollten Gegenstand, Dauer, Art und Zweck der Verarbeitung, Sicherheitsmaßnahmen, Kontrollrechte, Meldepflichten und der Umgang mit Unterauftragnehmern geregelt sein. Bei IT-Remarketing und Datenlöschung hängt die rechtliche Einordnung vom konkreten Ablauf ab. Deshalb sollte sie nicht allein anhand der Bezeichnung des Dienstes vorgenommen werden. Ebenso wichtig ist die praktische Auswahl des Partners. Zertifizierte oder nachvollziehbar dokumentierte Prozesse, geschützte Logistik, transparente Zuständigkeiten und geeignete Nachweise können entscheidend sein. Ein Vertrag allein beseitigt schließlich kein Risiko. Er sollte eine realistisch umgesetzte Zusammenarbeit beschreiben und nicht bloß ordentlich im digitalen Vertragsordner aussehen.
Datenschutzvorfälle brauchen einen vorbereiteten Meldeweg
Eine fehlgeleitete E-Mail, ein verlorener Laptop, ein kompromittiertes Benutzerkonto oder eine offen zugängliche Personaldatei kann einen Datenschutzvorfall darstellen. Unternehmen sollten in einer solchen Situation weder vorschnell beschwichtigen noch in blinden Aktionismus verfallen. Zunächst gilt es, den Vorgang zu sichern, die weitere Offenlegung zu stoppen und die möglichen Folgen für betroffene Personen einzuschätzen. Bestimmte Verletzungen des Schutzes personenbezogener Daten müssen nach der DSGVO grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden. Ob eine Meldepflicht besteht, hängt vom Risiko ab. Bei einem hohen Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen notwendig sein. Damit diese Prüfung rechtzeitig gelingt, braucht es einen bekannten internen Meldeweg. Beschäftigte und Vertretungskräfte müssen wissen, wen sie informieren sollen, ohne aus Sorge vor Schuldzuweisungen wertvolle Zeit zu verlieren. Auch Vorfälle, die am Ende nicht gemeldet werden müssen, sollten angemessen dokumentiert werden. Die Dokumentation zeigt, welche Bewertung vorgenommen wurde, und hilft dabei, technische oder organisatorische Schwachstellen dauerhaft zu beseitigen.
Die Rolle des Datenschutzbeauftragten sollte früh geprüft werden
Nicht jedes Unternehmen ist automatisch zur Benennung eines Datenschutzbeauftragten verpflichtet. Nach dem BDSG kann eine Benennung insbesondere dann erforderlich sein, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Daneben können sich unabhängig von dieser Personenzahl weitere Benennungspflichten aus der Art der Verarbeitung ergeben, etwa bei bestimmten besonders risikoreichen Tätigkeiten. Maßgeblich ist daher nicht nur die Größe des Unternehmens, sondern auch das konkrete Geschäftsmodell. Bei der Zählung sollten nicht allein Vollzeitstellen betrachtet werden. Entscheidend ist, wer regelmäßig mit automatisierter Datenverarbeitung befasst ist. Dazu können je nach Tätigkeit auch Teilzeitkräfte, Aushilfen und andere Beschäftigte gehören. Ein Datenschutzbeauftragter berät, überwacht die Einhaltung datenschutzrechtlicher Vorgaben, unterstützt bei Folgenabschätzungen und dient als Kontaktstelle für Aufsichtsbehörden. Die operative Verantwortung bleibt jedoch beim Unternehmen. Datenschutz lässt sich nicht vollständig an eine einzelne Person delegieren. Selbst wenn keine gesetzliche Benennungspflicht besteht, kann eine fachkundige interne oder externe Beratung sinnvoll sein, insbesondere bei komplexen Personal- und IT-Prozessen.
Transparenz schafft Vertrauen bei Beschäftigten und Bewerbern
Personenbezogene Daten dürfen nicht im Verborgenen verarbeitet werden. Bewerber, Beschäftigte und andere Betroffene müssen grundsätzlich nachvollziehen können, wer ihre Daten zu welchem Zweck nutzt, auf welcher Rechtsgrundlage dies geschieht, wie lange die Informationen gespeichert werden und welche Rechte bestehen. Datenschutzhinweise sollten deshalb verständlich, vollständig und für die jeweilige Situation passend sein. Ein allgemeines Dokument für sämtliche Unternehmensprozesse wird diesem Anspruch oft nicht gerecht. Bewerbungsverfahren, Personalverwaltung, Zeiterfassung und betriebliche Kommunikation können unterschiedliche Informationen erfordern. Besonders bei kurzfristigen Einstellungen besteht die Gefahr, Hinweise erst nachträglich auszuhändigen. Besser ist es, Datenschutzinformationen fest in den Einstellungsprozess einzubauen. Betroffene Personen haben unter bestimmten Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Unternehmen sollten Anfragen eindeutig erkennen, intern weiterleiten und innerhalb der geltenden Fristen bearbeiten können. Transparenz ist dabei mehr als eine juristische Pflicht. Wer offen erklärt, wie mit persönlichen Informationen umgegangen wird, stärkt das Vertrauen neuer Beschäftigter und erleichtert die Zusammenarbeit vom ersten Tag an.
Nachhaltigkeit und Datenschutz können gemeinsam gedacht werden
Der Schutz personenbezogener Daten und der verantwortungsvolle Umgang mit Ressourcen werden manchmal als getrennte Aufgaben behandelt. Bei Unternehmenshardware treffen sie jedoch unmittelbar aufeinander. Geräte enthalten wertvolle Rohstoffe, verursachen bei ihrer Herstellung erhebliche Umweltwirkungen und können häufig länger genutzt werden, als es der erste Einsatzzyklus vermuten lässt. Gleichzeitig dürfen auf ihnen gespeicherte Informationen nicht in falsche Hände geraten. Professionelles Refurbishing schafft hier einen praktikablen Mittelweg: Daten werden sicher entfernt, Geräte geprüft, aufbereitet und erneut eingesetzt oder vermarktet. Dadurch kann funktionsfähige Technik im Kreislauf bleiben, ohne dass Datenschutz zum Glücksspiel wird. Anbieter wie KONSER unterstützen Unternehmen dabei, Sicherheit, Compliance und IT-Remarketing miteinander zu verbinden. Wichtig ist eine individuelle Betrachtung des Gerätebestands. Ein aktuelles Business-Notebook verlangt möglicherweise einen anderen Prozess als ein beschädigtes Speichersystem mit besonders sensiblen Daten. Unternehmen profitieren, wenn sie bereits bei der Beschaffung festlegen, wie Hardware später inventarisiert, zurückgenommen und ausgesondert wird. Nachhaltigkeit beginnt dann nicht erst am Ende, sondern wird Teil eines kontrollierten Lebenszyklus.
Häufige Fragen zum Bundesdatenschutzgesetz
Für welche Unternehmen gilt das Bundesdatenschutzgesetz?
Das Bundesdatenschutzgesetz betrifft grundsätzlich Unternehmen, die in Deutschland personenbezogene Daten verarbeiten und in den Anwendungsbereich der entsprechenden Vorschriften fallen. Das gilt nicht erst ab einer bestimmten Unternehmensgröße. Auch kleine Betriebe, Einzelunternehmen und junge Start-ups müssen datenschutzrechtliche Anforderungen beachten, sobald sie beispielsweise Kunden-, Bewerber- oder Beschäftigtendaten verarbeiten. Die Größe spielt eher bei einzelnen Pflichten eine Rolle, etwa bei der Frage, ob ein Datenschutzbeauftragter benannt werden muss. Neben dem BDSG ist stets die DSGVO zu berücksichtigen. Hinzu können bereichsspezifische Vorschriften treten, beispielsweise für Telekommunikation, Gesundheit, Sozialdaten oder steuerlich relevante Unterlagen. Wichtig ist außerdem, zwischen privater und geschäftlicher Datenverarbeitung zu unterscheiden. Wer Daten ausschließlich für persönliche oder familiäre Tätigkeiten verwendet, fällt regelmäßig nicht unter die unternehmerischen Datenschutzpflichten. Sobald Daten jedoch für geschäftliche Zwecke genutzt werden, sollten Rechtsgrundlage, Informationspflichten, Sicherheit, Speicherdauer und Betroffenenrechte systematisch geprüft werden.
Was ist der wichtigste Unterschied zwischen BDSG und DSGVO?
Die DSGVO gilt unmittelbar in allen Mitgliedstaaten der Europäischen Union und enthält die zentralen Grundsätze für den Umgang mit personenbezogenen Daten. Das BDSG ergänzt und konkretisiert diese Vorgaben für Deutschland dort, wo die DSGVO den nationalen Gesetzgebern Gestaltungsspielräume lässt. Unternehmen können sich deshalb nicht aussuchen, welches der beiden Regelwerke sie anwenden möchten. In der Praxis beginnt die Prüfung meist bei der DSGVO. Anschließend ist festzustellen, ob das BDSG für den konkreten Vorgang ergänzende Bestimmungen enthält. Besonders sichtbar wird das beim Beschäftigtendatenschutz und bei den Voraussetzungen für die Benennung eines Datenschutzbeauftragten. Die DSGVO regelt dagegen unter anderem Rechtsgrundlagen, Informationspflichten, Betroffenenrechte, Datensicherheit und die Meldung bestimmter Datenschutzverletzungen. Die verbreitete Formulierung „nach dem BDSG“ greift daher oft zu kurz. Eine verlässliche Datenschutzbewertung betrachtet das Zusammenspiel beider Regelwerke und berücksichtigt bei Bedarf zusätzlich weitere nationale Gesetze.
Wann benötigt ein Unternehmen einen Datenschutzbeauftragten?
Nach dem Bundesdatenschutzgesetz muss ein Unternehmen in der Regel einen Datenschutzbeauftragten benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dabei kommt es nicht ausschließlich auf die Anzahl der Vollzeitkräfte an. Auch Teilzeitkräfte, Auszubildende, Aushilfen und unter Umständen kurzfristig eingesetzte Beschäftigte können mitzählen, sofern sie im Rahmen ihrer Tätigkeit regelmäßig mit entsprechenden Daten arbeiten. Unabhängig von dieser Schwelle kann eine Benennung erforderlich sein, wenn besonders riskante Verarbeitungen stattfinden, eine Datenschutz-Folgenabschätzung vorgeschrieben ist oder personenbezogene Daten geschäftsmäßig zu bestimmten Zwecken verarbeitet werden. Die jeweilige Situation sollte daher individuell geprüft werden. Unternehmen dürfen einen internen oder externen Datenschutzbeauftragten einsetzen. Diese Person muss fachkundig, zuverlässig und in ihrer Tätigkeit ausreichend unabhängig sein. Mögliche Interessenkonflikte sind zu vermeiden. Die Benennung entbindet Geschäftsführung und Verantwortliche außerdem nicht von ihrer eigenen Verantwortung für die Einhaltung des Datenschutzrechts.
Wie lange dürfen Bewerberdaten gespeichert werden?
Für Bewerbungsunterlagen gibt es keine pauschale Aufbewahrungsfrist, die ausnahmslos für jeden Fall gilt. Sobald eine Stelle besetzt und das Bewerbungsverfahren beendet wurde, entfällt grundsätzlich der ursprüngliche Zweck der Verarbeitung. Dennoch kann eine vorübergehende weitere Speicherung zulässig sein, um mögliche Ansprüche aus dem Bewerbungsverfahren prüfen und abwehren zu können. In der Praxis wird dafür häufig ein Zeitraum von bis zu sechs Monaten nach Abschluss des Verfahrens angesetzt. Ob diese Dauer im Einzelfall angemessen ist, hängt jedoch vom konkreten Zweck, den möglichen Fristen und der rechtlichen Bewertung ab. Soll eine Bewerbung länger in einem Talentpool verbleiben, benötigt das Unternehmen dafür regelmäßig eine gesonderte Rechtsgrundlage, häufig eine freiwillige Einwilligung. Diese muss transparent sein und widerrufen werden können. Nach einem Widerruf oder dem Ablauf des festgelegten Zeitraums sind die Daten zu löschen, sofern keine andere rechtliche Pflicht ihrer Löschung entgegensteht.
Muss jeder Datenschutzvorfall innerhalb von 72 Stunden gemeldet werden?
Nicht jeder Vorfall muss automatisch an eine Datenschutzaufsichtsbehörde gemeldet werden. Die 72-Stunden-Frist ist relevant, wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Entscheidend ist also eine dokumentierte Risikobewertung. Ein verlorenes, stark verschlüsseltes Gerät kann anders zu beurteilen sein als ein ungeschützter Datenträger mit Gesundheits- oder Personaldaten. Besteht eine Meldepflicht, soll die Meldung möglichst innerhalb von 72 Stunden erfolgen, nachdem das Unternehmen von der Verletzung Kenntnis erlangt hat. Fehlen zu diesem Zeitpunkt noch Einzelheiten, können Informationen gegebenenfalls schrittweise nachgereicht werden. Bei einem voraussichtlich hohen Risiko müssen unter Umständen zusätzlich die betroffenen Personen verständlich informiert werden. Auch nicht meldepflichtige Vorfälle sollten intern dokumentiert werden. Beschäftigte sollten verdächtige Ereignisse daher sofort an eine festgelegte Stelle weitergeben und nicht selbst entscheiden müssen, ob eine Behördenmeldung erforderlich ist.
Reicht das Formatieren eines Datenträgers für eine sichere Löschung aus?
Eine einfache Formatierung oder das Zurücksetzen eines Geräts genügt nicht in jedem Fall, um gespeicherte Informationen sicher und endgültig zu entfernen. Häufig werden dabei lediglich Dateiverweise gelöscht oder Speicherbereiche zur erneuten Nutzung freigegeben. Mit geeigneten technischen Mitteln können Daten unter Umständen ganz oder teilweise rekonstruiert werden. Welches Löschverfahren erforderlich ist, richtet sich nach dem Datenträgertyp, dem Schutzbedarf der Informationen, dem Gerätezustand und der geplanten Weiterverwendung. Moderne SSDs verhalten sich dabei anders als klassische magnetische Festplatten. Auch defekte Datenträger können noch auslesbare Speicherbereiche enthalten. Für eine Weitergabe oder Wiedervermarktung von Unternehmenshardware empfiehlt sich deshalb ein kontrollierter Prozess mit geeigneten technischen Löschverfahren und nachvollziehbarer Dokumentation. Ist eine sichere Löschung technisch nicht möglich oder angesichts besonders sensibler Daten nicht vertretbar, kann eine fachgerechte physische Vernichtung notwendig sein. Das Verfahren sollte stets so gewählt werden, dass eine Wiederherstellung mit verhältnismäßigem Aufwand ausgeschlossen wird.
Welche Rechte haben Beschäftigte und Bewerber gegenüber einem Unternehmen?
Beschäftigte und Bewerber können als betroffene Personen verschiedene Datenschutzrechte geltend machen. Dazu gehört insbesondere das Recht auf Auskunft darüber, welche personenbezogenen Daten verarbeitet werden, woher sie stammen, zu welchen Zwecken sie genutzt werden und an welche Empfänger sie gelangen. Unrichtige Daten können berichtigt werden. Unter bestimmten Voraussetzungen kommen außerdem eine Löschung, die Einschränkung der Verarbeitung, ein Widerspruch oder die Herausgabe bestimmter Daten in einem übertragbaren Format in Betracht. Diese Rechte gelten allerdings nicht grenzenlos. Gesetzliche Aufbewahrungspflichten, berechtigte Interessen oder die Notwendigkeit von Daten zur Geltendmachung und Verteidigung rechtlicher Ansprüche können einer sofortigen Löschung entgegenstehen. Unternehmen sollten für entsprechende Anfragen einen festen Ablauf vorsehen. Dazu gehören die sichere Identifizierung der anfragenden Person, eine fristgerechte Bearbeitung und eine sorgfältige Dokumentation. Grundsätzlich ist eine Anfrage innerhalb eines Monats zu beantworten, wobei eine Verlängerung in komplexen Fällen unter bestimmten Voraussetzungen möglich ist.
Welche Strafen drohen Unternehmen bei Datenschutzverstößen?
Datenschutzverstöße können erhebliche rechtliche und wirtschaftliche Folgen haben. Die DSGVO sieht je nach Art des Verstoßes Geldbußen von bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, wobei der jeweils höhere Betrag maßgeblich sein kann. Diese Höchstgrenzen bedeuten allerdings nicht, dass jeder Fehler automatisch mit einer extremen Geldbuße endet. Aufsichtsbehörden berücksichtigen unter anderem Schwere, Dauer, Vorsatz oder Fahrlässigkeit, getroffene Schutzmaßnahmen, Zusammenarbeit und frühere Verstöße. Zusätzlich können betroffene Personen Schadensersatz verlangen. Auch Anordnungen der Aufsichtsbehörde, Betriebsunterbrechungen, Kosten für technische Nachbesserungen und Reputationsschäden sind möglich. Das BDSG enthält darüber hinaus ergänzende Bußgeld- und Strafvorschriften für bestimmte Konstellationen. Prävention sollte deshalb nicht allein auf die Vermeidung von Geldbußen zielen. Klare Prozesse, nachvollziehbare Entscheidungen und regelmäßige Kontrollen schützen ebenso vor Vertrauensverlust und unnötigen Folgekosten.
Ein praxistauglicher Datenschutzprozess entlastet das Tagesgeschäft
Guter Datenschutz besteht nicht aus möglichst vielen Formularen. Er zeigt sich darin, dass wiederkehrende Abläufe auch unter Zeitdruck sicher funktionieren. Dazu gehören definierte Rollen, sparsam vergebene Berechtigungen, verständliche Unterweisungen, aktuelle Verzeichnisse, geregelte Aufbewahrungsfristen und ein verlässlicher Umgang mit ausgemusterter Hardware. Gerade bei saisonalen Spitzen und Urlaubsvertretungen lohnt es sich, standardisierte Checklisten für Onboarding und Offboarding einzusetzen. Sie können festhalten, welche Konten anzulegen sind, welche Geräte ausgegeben wurden, wann Zugriffsrechte enden und wer die Rückgabe kontrolliert. Ergänzend sollte regelmäßig geprüft werden, ob die dokumentierten Prozesse noch zur tatsächlichen Arbeitsweise passen. Eine Richtlinie, die niemand kennt oder technisch nicht umsetzen kann, bietet nur Scheinsicherheit. Unternehmen, die Datenschutz als Bestandteil ihrer Personal- und IT-Organisation verstehen, sind im Ernstfall schneller handlungsfähig. Sie reduzieren unnötige Datenbestände, vermeiden unkontrollierte Zugriffe und schaffen bessere Voraussetzungen für eine sichere Wiederverwendung von Technik. Das Ergebnis ist kein perfekter, aber ein belastbarer Alltag – und genau darauf kommt es an.