Ihre Kontakte
Polia Rusca
Michael Reinle
David Peter
Am 1. September 2023 wird in der Schweiz das revidierte Datenschutzgesetz (DSG) in Kraft treten. Dieses regelt diverse neue Pflichten für Unternehmen in Bezug auf die Datenbearbeitung und sieht zudem verschärfte Sanktionen im Falle von Pflichtverletzungen vor. Inwiefern das revidierte DSG auch Auswirkungen auf den Umgang mit Daten von Stellenbewerbern und Arbeitnehmern hat, erfahren Sie nachfolgend in der Form eines Kurzüberblicks (ohne Anspruch auf Vollständigkeit). Für generelle Ausführungen zur DSG-Revision wird auf die weiteren, von MLL Legal publizierten Beiträge (insbesondere DSG-Revision: FAQ Teil 1 und DSG-Revision: FAQ Teil 2) verwiesen.
1. Welche datenschutzrechtlichen Änderungen haben auch einen Einfluss auf das Arbeitsrecht?
Per 1. September 2023 wird eine formelle Informationspflicht für jede Datenbearbeitung eingeführt. Unternehmen, die Personendaten bearbeiten, müssen die betroffenen Personen angemessen über die Beschaffung und Bearbeitung der entsprechenden Personendaten informieren (vgl. Art. 19 DSG). Diese Informationspflicht umfasst mitunter die Bekanntgabe der Identität und der Kontaktdaten des Verantwortlichen (das heisst des Arbeitgebers), den Bearbeitungszweck und die Empfänger*innen oder Kategorien von Empfänger*innen, denen Personendaten bekannt gegeben werden. Zudem schreibt das revidierte DSG vor, welche Informationspflichten seitens Unternehmen im Falle von grenzüberschreitendem Datentransfer und bei der Beschaffung von Personendaten, welche nicht bei der betroffenen Person beschafft werden, bestehen.
Weiter sind Unternehmen ab dem 1. September 2023 verpflichtet, ein Verzeichnis ihrer Bearbeitungstätigkeiten zu führen (vgl. Art. 12 DSG). Dieses Verzeichnis muss sämtliche Datenbearbeitungen des Unternehmens erfassen, wobei mitunter genaue Angaben zum Bearbeitungszweck, zu den Kategorien der bearbeitenden Personendaten und betroffenen Personen sowie zur Aufbewahrungsdauer der Personendaten gemacht werden müssen. Von der Pflicht, ein entsprechendes Verzeichnis zu führen, sind Unternehmen nur dann befreit, wenn sie per 1. Januar des betreffenden Jahres weniger als 250 Arbeitnehmer*innen beschäftigen und zudem weder «besonders schützenswerte Personendaten in grossem Umfang bearbeiten» noch «ein Profiling mit hohem Risiko durchführen» (vgl. Art. 24 der neuen Verordnung zum Datenschutz, DSV). Ob im Einzelfall die Voraussetzungen zur Befreiung von der Pflicht, ein entsprechendes Verzeichnis zu führen, gegeben sind, ist im Rahmen einer sorgfältigen Prüfung der tatsächlichen Gegebenheiten abzuklären.
Sowohl die Einführung der formellen Informationspflicht als auch die neu geltende Pflicht, ein Bearbeitungsverzeichnis zu führen, hat für Arbeitgeber*innen zur Folge, dass sie sich erstens bewusstwerden müssen, welche Personendaten sie im Zusammenhang mit Stellenausschreibungen und Arbeitsverhältnissen überhaupt bearbeiten, so dass sie zweitens den ihnen obliegenden Informationspflichten im gesetzlich vorgesehenen Umfang gegenüber den betroffenen Personen nachkommen können.
2. Wie können diese neuen datenschutzrechtlichen Pflichten aus Sicht des HR in die Praxis umgesetzt werden?
Bevor ein Unternehmen seiner gesetzlichen Informationspflicht gegenüber (ehemaligen) Arbeitnehmer*innen und Stellenbewerber*innen nachkommen kann, muss es in einem ersten Schritt feststellen, welche Personendaten von Arbeitnehmer*innen und Stellenbewerber*innen in welchem Umfang bearbeitet werden. Dies erfolgt mittels Erstellen eines Bearbeitungsverzeichnisses. Selbst wenn ein Unternehmen hierzu gesetzlich nicht verpflichtet sein sollte, empfiehlt es sich dennoch, ein solches Verzeichnis zu erstellen. Diesfalls kann sich das entsprechende Verzeichnis im Sinne eines Mindestumfangs auf die Informationen konzentrieren, über welche im Sinne der formellen Informationspflicht (Art. 19 DSG) ohnehin informiert werden muss. Denn nur wenn ein Unternehmen weiss, welche Personendaten überhaupt bearbeitet werden, ist es in der Lage, betreffend Beschaffung und Bearbeitung von Personendaten im gesetzlich vorgeschriebenen Umfang zu informieren.
Sollte in einem Unternehmen bereits ein Projekt zwecks Erstellen eines Bearbeitungsverzeichnis initiiert worden sein, ist es empfehlenswert, auch das HR zu involvieren. Seitens HR ist diesfalls zu prüfen, welche Personendaten im Zusammenhang mit Stellenausschreibungen und bestehenden sowie ehemaligen Arbeitsverhältnissen in welchem Umfang bearbeitet werden. In der Folge sind die entsprechenden Datenbearbeitungsvorgänge gemäss den gesetzlichen Vorgaben im Bearbeitungsverzeichnis zu erfassen.
Ausgehend vom Bearbeitungsverzeichnis ist seitens HR in einem zweiten Schritt sodann eine Datenschutzerklärung für Mitarbeitende zu verfassen, mit welcher der formellen Informationspflicht des Unternehmens gegenüber den Arbeitnehmer*innen nachgekommen wird. Im Rahmen der Datenschutzerklärung für Mitarbeitende informiert das Unternehmen Arbeitnehmer*innen (sowie ggf. Stellenbewerber*innen) u.a. darüber, (i) welche Personendaten zu welchem Zweck bearbeitet werden, (ii) an wen Personendaten bekannt gegeben werden und (iii) inwiefern eine Bekanntgabe von Personendaten auch grenzüberschreitend erfolgt. Bei der Erstellung der Datenschutzerklärung für Mitarbeitende ist jeweils zu prüfen, ob für einzelne Datenbearbeitungen oder Informationen im Einzelfall eine Ausnahme von der Informationspflicht nach Art. 20 DSG (u.a. wenn die Datenbearbeitung gesetzlich vorgesehen ist) vorliegt. Gemäss Willen des Gesetzgebers sind Ausnahmen aber restriktiv zu handhaben, d.h. im Zweifelsfall ist zu informieren.
Oftmals macht es Sinn, die Informationspflicht gegenüber Stellenbewerber*innen direkt in die allgemeine Datenschutzerklärung des Unternehmens zu integrieren. Je nach konkreter Umsetzung ist eine Information an die Stellenbewerber*innen in der Datenschutzerklärung für Mitarbeitende dann nicht mehr erforderlich, da diese unmittelbar im Rahmen der allgemeinen Datenschutzerklärung, bspw. auf der Website des Unternehmens, erfolgt.
3. Welcher Form bedarf die Datenschutzerklärung für Mitarbeitende und worauf ist seitens HR zu achten?
Die Datenschutzerklärung für Mitarbeitende sollte aus Beweisgründen schriftlich abgefasst und den Arbeitnehmer*innen vor zu erfolgender Datenbearbeitung zugänglich gemacht werden. Zugänglich machen bedeutet, dass seitens Unternehmen sicherzustellen ist, dass die betreffenden Personen die Möglichkeit haben, von der entsprechenden Datenschutzerklärung für Mitarbeitende Kenntnis zu nehmen. Die tatsächliche Kenntnisnahme durch die von der Datenbearbeitung betroffenen Personen ist somit nicht erforderlich.
Da sich der individuelle Umfang der formellen Informationspflicht seitens Unternehmen stets ändern kann, ist es empfehlenswert, die Datenschutzerklärung für Mitarbeitende in einem separaten Dokument und somit losgelöst von arbeitsvertraglichen Abreden zu erlassen. So stellt das Unternehmen die grösstmögliche Flexibilität in Bezug auf die inhaltliche Gestaltung der Datenschutzerklärung für Mitarbeitende sicher und kann diese, sofern notwendig, jederzeit einseitig anpassen. Dies bedingt natürlich auch, dass seitens HR stets und wiederkehrend geprüft wird, inwiefern sich die Datenbearbeitung in Bezug auf Arbeitnehmer*innen (und ggf. Stellenbewerber*innen) unternehmensintern geändert hat, so dass die tatsächlichen Gegebenheiten in der Datenschutzerklärung für Mitarbeitende auch wiedergegebenen werden können.
4. Was ist aufgrund des revidierten DSG in Bezug auf bestehende Arbeitsverträge und Reglemente zu beachten?
In bestehenden Arbeitsvertragsvorlagen, Personalreglementen sowie Arbeitgeberweisungen sollte seitens der Unternehmen geprüft werden, ob die darin enthaltenen datenschutzrechtlichen Bestimmungen mit dem revidierten DSG «compliant» sind oder ob die vorerwähnten Dokumente allenfalls angepasst werden müssen.
