Im neuen DSG gilt der Grundsatz der Transparenz. Die betroffene Person soll demnach darüber informiert werden, wie der jeweilige Verantwortliche ihre Personendaten beschafft und bearbeitet. Für betroffene Personen müssen insbesondere die Zwecke der Bearbeitung von Personendaten erkennbar sein.

Bisher mussten Verantwortliche die betroffene Person nur informieren, wenn sie besonders schützenswerte Personendaten und Persönlichkeitsprofile beschafften und bearbeiteten. Das revidierte Datenschutzgesetz baut die Informationspflichten aus und fordert bei jeder Beschaffung von Personendaten die Bereitstellung von Informationen. Somit ist die Pflicht zur Erstellung eines Informationsschreibens für Mitarbeiter bzw. Bewerber eine neue Anforderung, die jeden Arbeitgeber in der Eidgenossenschaft betrifft.

Um eine faire und transparente Verarbeitung zu gewährleisten, muss nicht nur über die eigene Bearbeitung der Daten (z.B. Personalakte) informiert werden, sondern auch über die Bearbeitung von Daten, die durch Dritte veranlasst wird, d.h. die Bearbeitung von Personendaten durch Systeme und Applikationen, die der Arbeitnehmer im Rahmen seiner Beschäftigung nutzt (z.B. CRM-System, Microsoft Office). Details zur Bearbeitung in datenschutzkritischen Staaten (z.B. den USA) dürfen dabei ebenso wenig fehlen.

Welche Unternehmen benötigen ein Informationsschreiben für Mitarbeiter bzw. Bewerber?

Jegliche Datenbeschaffung obliegt nach Art. 19 DSG der Informationsplicht. Die Transparenzpflicht besagt, dass Mitarbeiter und Bewerber immer nachvollziehen können müssen, welche Daten weshalb und wozu genutzt werden und wohin diese Daten übermittelt werden.

Demnach besteht für alle Arbeitgeber mit Einführung des neuen DSG die Pflicht zum Informationsschreiben für Mitarbeiter bzw. Bewerber.

Die betroffenen Personen müssen „angemessen“ informiert werden. Dies bedeutet, dass die Informationen in präziser, verständlicher und leicht zugänglicher Form sowie in klarer und einfacher Sprache zu erteilen sind. Ein einfaches Abschreiben des Gesetzes ist also nicht möglich.

Damit das Informationsschreiben für Bewerber leicht auffindbar ist, sollte dies von jeder Stellenanzeige aus und auch von jeder Unterseite eines Bewerberportals mit höchstens zwei Klicks abrufbar sein.

Ähnliches gilt im Falle von Beschäftigten: Damit das Informationsschreiben für Mitarbeiter leicht auffindbar ist, sollte dies jedem neuen Mitarbeiter als Teil des Onboarding-Prozesses zur Verfügung gestellt werden und auch von jeder Unterseite des Intranets mit höchstens zwei Klicks unter einem Link beispielsweise namens „Informationsschreiben für Mitarbeiter“ oder „Datenschutzhinweise für Mitarbeiter“ abrufbar sein.

Da es sich bei einem Informationsschreiben, wie ja auch aus dem Begriff deutlich wird, um eine Information handelt, müssen Arbeitgeber sich das Informationsschreiben von Bewerbern oder Mitarbeitern nicht bestätigen lassen. Oftmals sieht man Checkboxen, mit denen man sich die „Einwilligung“ in einen Datenschutzhinweis bestätigen lässt. Ein typischer Fehler.

Damit betroffene Personen ihre Rechte in Anspruch nehmen können, muss der Arbeitgeber die dafür erforderlichen Kontaktadressen veröffentlichen. Auch über die Rechte der betroffenen Personen muss informiert werden.

Zudem müssen betroffene Personen darüber informiert werden, welche Personendaten beschafft werden, wie, wofür und wo diese bearbeitet werden und wohin diese übermittelt werden. Hierunter fallen z.B. Informationen über die Verwendung der Personalakte oder Bewerbungsunterlagen. Aber auch über Dienste von Dritten bei einem Bewerbungsportal oder Bewerbungen, welche über soziale Medien eingereicht werden, ist zu informieren. Gleiches gilt für ein Mitarbeiterportal oder die Veröffentlichung von Mitarbeiterfotos auf der Unternehmenswebsite oder in sozialen Medien.

Im neuen DSG wurden in den Art. 60-66 die Strafbestimmungen verschärft. Fehlt das Informationsschreiben, wird die Informationspflicht gemäss Art. 19 und 21 DSG verletzt. Art. 60 DSG sieht dafür eine Busse von bis zu 250.000 CHF vor.