Verpflichtung auf das Datengeheimnis
Auch: Verpflichtung auf Vertraulichkeit · Datenschutzverpflichtung von Mitarbeitern
Die Verpflichtung auf das Datengeheimnis ist eine dokumentierte Erklärung, mit der Beschäftigte eines Unternehmens – etwa eines Maklerbüros – zur Wahrung der Vertraulichkeit personenbezogener Daten und zur ausschließlich weisungsgebundenen Datenverarbeitung angehalten werden.
Ausführliche Erklärung
Unter der Datenschutz-Grundverordnung gibt es keine dem früheren § 5 BDSG (alte Fassung) entsprechende ausdrückliche Pflicht mehr, Beschäftigte förmlich "auf das Datengeheimnis" zu verpflichten. Die inhaltliche Verpflichtung ergibt sich jedoch weiterhin aus Art. 29 DSGVO, wonach Personen, die dem Verantwortlichen unterstellt sind und Zugang zu personenbezogenen Daten haben, diese nur auf Weisung verarbeiten dürfen, sowie aus Art. 32 Abs. 4 DSGVO, der den Verantwortlichen verpflichtet, durch geeignete Maßnahmen sicherzustellen, dass diesem unterstellte Personen die Daten nur weisungsgemäß verarbeiten.
Aus der Rechenschaftspflicht nach Art. 5 Abs. 2 und Art. 24 DSGVO folgt zudem, dass der Verantwortliche die Erfüllung dieser Anforderungen nachweisen können muss. Die deutschen Datenschutzaufsichtsbehörden empfehlen daher weiterhin dringend, Mitarbeiter schriftlich auf Vertraulichkeit und Datenschutz zu verpflichten und diese Verpflichtung zu dokumentieren – idealerweise vor Aufnahme der Tätigkeit und vor erstem Kontakt mit personenbezogenen Daten. Empfohlen wird die Einbeziehung nicht nur fest angestellter Mitarbeiter, sondern auch von Auszubildenden, Praktikanten, Aushilfen und ehrenamtlich Tätigen.
Für Maklerbüros ist dies besonders relevant, da im Tagesgeschäft in erheblichem Umfang sensible Daten von Kunden verarbeitet werden – etwa Bonitätsauskünfte, Ausweiskopien im Rahmen der Geldwäscheprüfung oder Angaben zu Vermögensverhältnissen.
Beispiel aus der Praxis
Ein Maklerbüro lässt jede neu eingestellte Mitarbeiterin vor ihrem ersten Arbeitstag eine schriftliche Erklärung unterzeichnen, in der sie sich zur vertraulichen Behandlung von Kundendaten verpflichtet und über die datenschutzrechtlichen Grundpflichten informiert wird. Die unterschriebene Erklärung wird in der Personalakte dokumentiert.
Rechtsgrundlage
- Art. 29 DSGVO – Weisungsgebundene Verarbeitung durch Personen, die dem Verantwortlichen unterstellt sind.
- Art. 32 Abs. 4 DSGVO – Pflicht des Verantwortlichen, sicherzustellen, dass unterstellte Personen Daten nur weisungsgemäß verarbeiten.