Bei jeder Verarbeitung von personenbezogenen Daten und so auch im Rahmen der Vorgesetztenbewertungen durch Besch\u00e4ftigte m\u00fcssen die Vorgaben des Art. 5 DS-GVO eingehalten werden. Dies sind die Rechtm\u00e4\u00dfigkeit, Verarbeitung nach Treu und Glauben, Transparenz, die Zweckbindung, die Datenminimierung, die Richtigkeit, die Speicherbegrenzung sowie die Integrit\u00e4t und Vertraulichkeit sowie die Rechenschaftspflicht, die verlangt, dass nicht nur datenschutzkonform agiert wird, sondern dies dokumentiert nachgewiesen werden muss.<\/p>\n
Diese Grunds\u00e4tze bilden das Rahmenprogramm auf dem Weg zum datenschutzkonformen Einsatz von unternehmensinternen Bewertungen.<\/p>\n
Unternehmen ben\u00f6tigen also wie dargestellt f\u00fcr jede Verarbeitung von personenbezogenen Daten eine Rechtsgrundlage. Bei der Verarbeitung von personenbezogenen Daten im Rahmen der Vorgesetztenbewertung durch Besch\u00e4ftigte sind aus Sicht des Datenschutzes regelm\u00e4\u00dfig zwei Gruppen von Betroffenen vorhanden. Auf der einen Seite die Gruppe der Vorgesetzten, die bewertet werden sollen, und auf der anderen Seite die Gruppe der Besch\u00e4ftigten, welche die Bewertungen vornehmen.<\/p>\n
F\u00fcr die Verarbeitung der personenbezogenen Daten kann als Rechtsgrundlage die Einwilligung (Art. 6 Abs. 1 lit. a DS-GVO) in Betracht kommen. Das bedeutet, dass die Teilnahme an einer Vorgesetztenbewertung stets freiwillig sein muss.<\/p>\n
Vertragserf\u00fcllung (Art. 6 Abs. 1 lit. b DS-GVO) kann regelm\u00e4\u00dfig nicht als Rechtsgrundlage herangezogen werden, da eine Vorgesetztenbewertung durch die Besch\u00e4ftigten regelm\u00e4\u00dfig nicht f\u00fcr die Durchf\u00fchrung des Arbeitsverh\u00e4ltnisses objektiv gesehen erforderlich ist.<\/p>\n
Das berechtigte Interesse (Art. 6 Abs. 1 lit. f DS-GVO) kann ggfs. als Rechtsgrundlage herangezogen werden, wobei eine Interessensabw\u00e4gung durchzuf\u00fchren ist. Diese wird allerdings aus der Perspektive des Unternehmens bei der Verarbeitung der Besch\u00e4ftigtendaten meist negativ ausfallen, da die Schutzrechte der Mitarbeiter \u00fcberwiegen.<\/p>\n
Wenn es jedoch um die Verarbeitung der Vorgesetztendaten geht, sollte eine Abw\u00e4gung im Regelfall positiv ausfallen, sofern die Schutzrechte des betroffenen Vorgesetzten ausreichend gewahrt werden k\u00f6nnen.<\/p>\n
Zusammengefasst sollte die Teilnahme der Besch\u00e4ftigten auf der Freiwilligkeit beruhen, also der datenschutzrechtlichen Einwilligung, w\u00e4hrend man sich bei der Verarbeitung der Daten von Vorgesetzten auf \u00fcberwiegende Unternehmensinteressen st\u00fctzen kann.<\/p>\n
Sofern im Zusammenhang mit der Vorgesetztenbewertungen ein Dienstleister oder ein z.B. cloudbasiertes Datenverarbeitungssystem eingesetzt werden soll, muss das Unternehmen im Vorfeld pr\u00fcfen, inwieweit die Vorgaben des Artikel 28 DS-GVO (Auftragsverarbeitung) relevant sind. Gerade der Einsatz eines Dienstleisters f\u00fcr ein cloudbasiertes Datenverarbeitungssystem zur Vorgesetztenbewertung erfordert besondere Sorgfalt und bringt damit einhergehend eine besondere Pr\u00fcf- und \u00dcberwachungsplicht mit sich. Das Unternehmen bleibt Verantwortlicher gem\u00e4\u00df Art. 4 Nr. 7 DS-GVO und ist somit auch f\u00fcr die Einhaltung des Datenschutzes beim Dienstleister verantwortlich. Das bedeutet, dass das Unternehmen sicherstellen muss, dass der als Auftragsverarbeiter klassifizierte Dienstleister geeignete technische und organisatorische Ma\u00dfnahmen zum Schutz der personenbezogenen Daten (so genannte \u201eTOM\u201c) implementiert hat und vertraglich an deren Einhaltung gebunden ist (vgl. Art. 28 DS-GVO). \u00a0<\/sup>Eine unterlassene oder auch unzureichende Pr\u00fcfung des Dienstleisters kann ein erhebliches Compliance-Risiko f\u00fcr das Unternehmen darstellen, da dies regelm\u00e4\u00dfig zu einem Versto\u00df gegen die Rechenschaftspflicht gem\u00e4\u00df Art. 5 Abs. 2 DS-GVO f\u00fchrt und erhebliche Bu\u00dfgelder nach sich ziehen kann, selbst wenn der Datenschutzversto\u00df auf Seiten des Dienstleisters passiert.<\/p>\n Informationspflicht<\/em><\/strong><\/p>\n Das Unternehmen muss gem\u00e4\u00df Artt. 13 und 14 DS-GVO die von der Verarbeitung personenbezogener Daten Betroffenen (sowohl die Vorgesetzten als auch die bewertenden Besch\u00e4ftigten) umfassend \u00fcber die Verarbeitung ihrer personenbezogenen Daten informieren und die nachfolgenden Informationen bereitstellen:<\/p>\n Wichtig ist hierbei, dass die vollst\u00e4ndige Information vor der Teilnahme an der Befragung bereitgestellt wird, da die nachtr\u00e4gliche Information ggfs. die Freiwilligkeit der Teilnahme und damit einhergehend die Rechtm\u00e4\u00dfigkeit der Datenverarbeitung (insbesondere bei Einwilligung als Rechtsgrundlage) in Frage stellen k\u00f6nnte.<\/p>\n Auskunftsanspruch<\/em><\/strong><\/p>\n Ein Vorgesetzter hat im Rahmen der Bewertung durch Besch\u00e4ftigten das Recht auf Auskunft dar\u00fcber, welche personenbezogenen Daten \u00fcber ihn durch das Unternehmen verarbeitet werden. Dies umfasst nicht nur Stammdaten, sondern auch interne Vermerke, Korrespondenzen und Ergebnisse im Kontext mit dem Bewertungsverfahren. Der Auskunftsanspruch beinhaltet auch das Recht, Informationen dar\u00fcber zu erhalten, ob \u00fcberhaupt personenbezogenen Daten des Vorgesetzten verarbeitet werden, sowie Auskunft \u00fcber die Verarbeitungszwecke, die Datenkategorien, die Empf\u00e4nger und die Speicherdauer. Auch hier hat der Vorgesetzte das Recht auf eine Kopie der verarbeiteten Daten.<\/p>\n Zu beachten ist, dass der Auskunftsanspruch eines Vorgesetzten gem\u00e4\u00df Art. 15 DS-GVO in einem direkten Konflikt mit dem Schutz der Anonymit\u00e4t eines bewertenden Besch\u00e4ftigten stehen kann. Das Unternehmen wird hier eine sorgf\u00e4ltige Abw\u00e4gung der Interessen vornehmen und zudem technische und organisatorische Ma\u00dfnahmen implementieren m\u00fcssen, um dem Auskunftsanspruch des Vorgesetzten nachzukommen, ohne die Identit\u00e4t der bewertenden Besch\u00e4ftigten offenzulegen. Dies ist besonders relevant f\u00fcr die Anonymit\u00e4t der bewertenden Besch\u00e4ftigten (Art. 15 Abs. 4 DS-GVO).<\/p>\n Widerspruchsrecht<\/em><\/strong><\/p>\n Das Widerspruchsrecht gem\u00e4\u00df Art. 21 DS-GVO erm\u00f6glicht einen von der Bewertung betroffenen Vorgesetzten, gegen die Verarbeitung seiner personenbezogenen Daten im Rahmen der Bewertung durch Besch\u00e4ftigte zu widersprechen, sofern die Verarbeitung seiner personenbezogenen Daten auf der Rechtsgrundlage der Einwilligung (Art. 6 Abs. 1 lit. a DS-GVO) oder des berechtigten Interesses (Art. 6 Abs. 1 lit. f DS-GVO) beruht. Vor allem bei der Verarbeitung auf Basis des berechtigten Interesses wird das Unternehmen eine erneute einzelfallbezogene Interessensabw\u00e4gung vornehmen m\u00fcssen.<\/p>\n Das Unternehmen sowie ggfs. ein beauftragter Dienstleister m\u00fcssen geeignete technische und organisatorische Ma\u00dfnahmen (TOM) treffen, um ein dem Risiko angemessenes Schutzniveau zu gew\u00e4hrleisten. Dabei richtet sich die Angemessenheit der TOM regelm\u00e4\u00dfig nach den Schutzbedarf der verarbeiteten personenbezogenen Daten. Der Schutzbedarf ist somit dynamisch und risikobasiert zu beurteilen. Bei der Vorgesetztenbewertung ist regelm\u00e4\u00dfig von einem hohen Schutzbedarf auszugehen. Daher sind neben einer strukturierten und dokumentierten Bewertung eine kontinuierliche \u00dcberpr\u00fcfung und Anpassung der erforderlichen Ma\u00dfnahmen unausweichlich, um der Forderung nach dem \u201eStand der Technik\u201c gerecht zu werden.<\/p>\n Die TOM m\u00fcssen die Schutzziele Vertraulichkeit, Integrit\u00e4t, Verf\u00fcgbarkeit und Belastbarkeit der Systeme und Dienste sicherstellen.<\/p>\n Die Sicherstellung des Datenschutzes bei der Vorgesetztenbewertungen ist wichtig und von strategischer Bedeutung. Eine datenschutzkonforme Verarbeitung von personenbezogenen Daten der Besch\u00e4ftigten f\u00f6rdert deren Vertrauen in das Unternehmen und erh\u00f6ht die Akzeptanz von derartigen Bewertungsinstrumenten. Denn nur dann, wenn sich Besch\u00e4ftigte auf die Wahrung ihrer Anonymit\u00e4t verlassen k\u00f6nnen und ihre personenbezogenen Daten angemessen gesch\u00fctzt sind, werden sie bereit sein, freiwillig Feedback zu geben, das auch negative Punkte beinhaltet. In der Praxis sind genau diese negativen R\u00fcckmeldungen elementar, wenn ein Unternehmen ernsthaft und nachhaltig an einer Verbesserung seiner Unternehmenskultur arbeiten m\u00f6chte.<\/p>\n Ein fehlender oder unvollst\u00e4ndiger Datenschutz kann schnell zu einem Misstrauen bei den Besch\u00e4ftigten f\u00fchren und unaufrichtige bzw. gesch\u00f6nte R\u00fcckmeldungen zur Folge haben. Das Unternehmen wird dann keine Verbesserung erleben, im Gegenteil, die Besch\u00e4ftigten werden demotiviert und werden sich nicht mehr aktiv im Unternehmen einbringen. Damit ist die Gew\u00e4hrleistung des Datenschutzes nicht nur eine l\u00e4stige Pflicht, sondern entscheidender Erfolgsfaktor.<\/p>\n Unternehmen sind gut beraten, wenn sie<\/p>\nWahrung der Betroffenenrechte<\/strong><\/h2>\n
\n
Sicherheit der Verarbeitung<\/strong><\/h2>\n
Vertrauen ist gut, Kontrolle ist besser<\/strong><\/h2>\n
Fazit<\/strong><\/h2>\n