Datengeheimnis: Verpflichtung gemäß § 53 BDSG (§ 5 BDSG a. F.)

In welchem Gesetz findet sich das Datengeheimnis?

Alles zum Datenschutz ist in Deutschland im Bundesdatenschutzgesetz geregelt. Hieraus geht beispielsweise hervor, dass personenbezogene Daten besonders schützenswert sind. Als solche werden alle Angaben eingestuft, die sich eindeutig einer natürlichen Person zuordnen lassen.

Dazu zählen nicht nur der Name, sondern beispielsweise auch das Geburtsdatum und der –ort. Überall dort, wo solche Daten verarbeitet werden, greift das BDSG. Wozu Beschäftigte, die mit solchen Angaben in Berührung kommen, verpflichtet sind, ergibt sich aus § 53 BDSG.

Was besagt dieser Paragraph? Müssen Mitarbeiter, die sich nicht an § 53 BDSG halten, mit Strafen rechnen? Wozu das Datengeheimnis dient und ob sich Mitarbeiter diesem verweigern können, lesen Sie in folgendem Ratgeber.

Wichtig! Die gesetzlichen Vorgaben zum Datenschutz wurde in Deutschland bereits mehrfach überarbeitet. Daher gibt es vom Bundesdatenschutzgesetz eine aktuelle und eine alte Fassung (BDSG a. F.). Die Regelungen zum Datengeheimnis finden sich aktuell unter § 53 BDSG und waren früher unter § 5 BDSG a. F. verortet.

Bußgeldkatalog zum Datengeheimnis

Verstoß	Bußgeld
Verstoß gegen die Grund­sätze für die Ver­ar­bei­tung personen­be­zogener Daten (Art. 5 DSGVO)	bis zu 20.000.000 €
Verstoß gegen die Pflich­ten bei Ver­ar­beitung von beson­deren personen­bezogenen Daten (Art. 9 DSGVO)	bis zu 20.000.000 €
Verstoß gegen die Bestim­mungen für Auftrags­ver­arbeiter (Art. 28 DSGVO)	bis zu 10.000.000 €
Verstoß gegen die Bestim­mungen zur Sicherheit der personen­bezogenen Daten­ver­arbeitung (Art. 32 DSGVO)	bis zu 10.000.000 €

Was besagt § 53 BDSG?

Das BDSG thematisiert unter § 53 die Verpflichtung zur Wahrung des Datengeheimnisses. In dem Paragraphen heißt es dazu:

Mit Datenverarbeitung befasste Personen dürfen personenbezogene Daten nicht unbefugt verarbeiten (Datengeheimnis). (§ 53 Satz 1 BDSG)

Beim Datengeheimnis handelt es sich demnach um ein Grundprinzip im Datenschutz, dass dem Missbrauch personenbezogener Daten vorbeugen soll. Beschäftigte Personen sind also dazu angehalten, mit den personenbezogenen Daten sensibel umzugehen. Es geht dabei nicht um die Firmengeheimnisse, sondern um die Informationen über Mitarbeiter, Kunden o. Ä..

Der § 53 BDSG ist als gesetzliche Ergänzung zu den herkömmlichen Vertraulichkeitsklauseln im Arbeitsvertrag zu sehen und soll ein Mindestmaß hinsichtlich des Datenschutzes schaffen.

In der alten Fassung des Gesetzestextes würde die Vorschrift zum Datengeheimnis wie folgt definiert:

Den bei der Datenverarbeitung beschäftigten Personen ist untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen (Datengeheimnis). (§ 5 Satz 1 BDSG a. F.)

Verpflichtung auf das Datengeheimnis nach § 53 BDSG bzw. § 5 BDSG a. F.: Wer muss es einhalten?

Nach § 53 BDSG sind die „beschäftigten Personen“ dazu verpflichtet, das Geheimnis über die Daten einzuhalten. In der Praxis sind dies Personen, die im Rahmen ihrer Tätigkeitsgebiete mit personenbezogenen Daten arbeiten. Dies können z. B. Personalreferenten, aber auch Notargehilfinnen sein, die mit Kundendaten arbeiten.

Das Gesetz schützt nicht nur die Erhebung personenbezogener Daten, sondern auch deren Verarbeitung und Nutzung. Es richtet sich dabei nicht nur an das Unternehmen, sondern auch den einzelnen Mitarbeiter, welcher für die Einhaltung selbst verantwortlich ist.

Um den Schutz der Informationen sicherzustellen, sind alle Beschäftigten, die in irgendeiner Weise mit den Daten in Berührung kommen, an das Datengeheimnis gebunden. Dies gilt also auch für Auszubildende, Praktikanten oder freie Mitarbeiter.

Was sind Beschäftigte nach BDSG?

Was Beschäftigte sind, regelt § 26 Abs. 8 BDSG. Demnach sind alle Arbeitnehmer als solche zu kategorisieren. Aber auch Bewerber für eine Tätigkeit in einem Unternehmen gelten als solche und unterliegen damit dem Datengeheimnis gemäß § 53 BDSG.

Datengeheimnis nach § 53 BDSG: Wer ist verantwortlich für die Einhaltung?

Es fällt grundsätzlich in den Verantwortungsbereich der Leitung des Unternehmens, das Datengeheimnis durchzusetzen, dies geht aus Art. 4 Nr. 7 DSGVO hervor. Dafür ist also nicht der Datenschutzbeauftragte zuständig. Er ist hingegen dafür verantwortlich, die Einhaltung zu überprüfen. Allerdings kann dieser die Mitarbeiter hinsichtlich des Datengeheimnisses unterrichten.

Weiter geht aus § 53 BDSG folgendes hervor:

Sie sind bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten. (§ 53 Satz 2 BDSG)

In der alten Fassung lautete Wortlaut hingegen wie folgt:

Diese Personen sind, soweit sie bei nicht-öffentlichen Stellen beschäftigt werden, bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten. (§ 5 Satz 2 BDSG a. F.)

Sobald also ein neuer Mitarbeiter die Tätigkeit aufnimmt, ist bzw. war dieser nach § 53 BDSG bzw. § 5 BDSG a. F. über das Datengeheimnis aufzuklären. Aus dem Gesetz geht aber nicht hervor, wie die Verpflichtung aussehen soll. Allerdings empfiehlt es sich, diese schriftlich zu erteilen, um im Streitfall einen Nachweis zu haben.

Weiter geht aus § 53 BDSG bzw. § 5 BDSG a. F. hervor, wie lange das es Anwendung findet:

Das Datengeheimnis besteht auch nach der Beendigung ihrer Tätigkeit fort. (§ 53 Satz 3 BDSG)

Und zum Vergleich:

Das Datengeheimnis besteht auch nach der Beendigung ihrer Tätigkeit fort. (§ 5 Satz 3 BDSG a. F.)

Damit besteht es nicht nur während der Ausübung der Tätigkeit, sondern unbegrenzt.

Unter Umständen gilt je nach Tätigkeitsprofil nicht nur das Datengeheimnis gemäß § 53 BDSG, sondern auch das Fernmeldegeheimnis. Dies müssen beispielsweise Systemadministratoren beachten.

In der Praxis werden die Beschäftigten über das Datengeheimnis in einer Verpflichtungserklärung aufgeklärt. Diese händigen die Unternehmen zusammen mit dem Arbeitsvertrag aus. Das Original sollte in der Personalakte aufgehoben werden, dem Angestellten ist eine Kopie auszuhändigen. Verpasst es die Leitung des Unternehmens, ihre Mitarbeiter aufzuklären, ist dies umgehend nachzuholen.

Unterweisung zum Datengeheimnis: So sollte sie aussehen

Die Verpflichtung auf das Datengeheimnis sollte möglichst umfassend und individuell erfolgen. Dabei ist auf die besondere Tätigkeit des Mitarbeiters einzugehen. So sollten beispielsweise Mitarbeiter der Personalabteilung nicht nur auf § 53 BDSG hingewiesen werden, sondern auch auf weitere Regelungen, wie § 26 BDSG.

Außerdem sind die Mitarbeiter über mögliche Konsequenzen bei Missachtung aufzuklären. Allgemeine Aushänge an Informationstafeln, die über das Datengeheimnis aufklären, sollten nicht das alleinige Mittel der Wahl sein.

Der Betriebsrat hat bei der Einholung der Verpflichtungserklärung über das Datengeheimnis kein Mitspracherecht, da es sich um eine gesetzliche Verpflichtung handelt.

Datengeheimnis missachtet: Diese Konsequenzen drohen

Kann das Unternehmen nicht nachweisen, dass die Mitarbeiter über das Datengeheimnis durch eine Verpflichtungserklärung aufgeklärt wurden, hat die Datenschutzbehörde die Option, dies zu rügen. Darüber hinaus kann sie eine Verpflichtung anfordern. Die Verpflichtungserklärungen sind dann umgehend einzuholen.

Liegt ein Verstoß gegen die Verpflichtung auf das Datengeheimnis vor, ist dies nach § 43 BDSG eine Ordnungswidrigkeit. Demnach drohen beispielsweise Konsequenzen, wenn unbefugt personenbezogene Daten, die eigentlich nicht allgemein zugänglich sind, verarbeitet oder z. B. übermittelt werden.

Es ist dabei irrelevant, ob die Ordnungswidrigkeit fahrlässig oder vorsätzlich begangen wurde. Die Bußgelder belaufen sich auf bis zu 50.000 Euro und richten sich entweder gegen das Unternehmen oder den Beschäftigten selbst. Erfolgt die Ahndung gemäß DSGVO, kann sich das Bußgeld auf bis zu 20 Millionen Euro bzw. bei Unternehmen auf bis zu 4 Prozent des weltweiten Vorjahresumsatzes belaufen.

Letzterer muss mit weiteren Konsequenzen rechnen, da ein Verstoß gegen § 53 BDSG gleichzeitig meist auch eine Missachtung der Pflichten des Arbeitsvertrages darstellt.

Können Sie sich weigern, die Verpflichtung zu unterschreiben?

Da das Datengeheimnis eine gesetzliche Verpflichtung ist, ist es irrelevant, ob die Mitarbeiter eine Verpflichtungserklärung unterschreiben oder nicht. Im letzteren Fall kann das Unternehmen dann allerdings nicht nachweisen, über § 53 BDSG aufgeklärt zu haben.

Der Mitarbeiter unterliegt – auch ohne Unterschrift – dem Gesetz und darf demnach nicht unbefugt Daten ermitteln, verarbeiten oder weitergeben. Möchte sich ein Beschäftigter nicht schriftlich verpflichten, so sollte dennoch ein Aufklärungsgespräch stattfinden und dieses protokolliert werden.

Bildnachweise

Konnten wir Ihnen weiterhelfen? Dann bewerten Sie uns bitte: