Wer Daten verarbeitet,
schuldet Rechenschaft.

Mitarbeiterdatenschutz und Beschäftigtenüberwachung

Der Datenschutz im Beschäftigungskontext gehört zu den konfliktreichsten Anwendungsfeldern der DSGVO. Wir beraten Unternehmen bei Mitarbeiterüberwachung, bei der Einführung technischer Systeme mit Beobachtungswirkung und bei der rechtssicheren Gestaltung von Bewerbungs-, Personal- und Performance-Prozessen.

Die Spannung zwischen § 26 BDSG, DSGVO und § 87 Abs. 1 Nr. 6 BetrVG ist ein eigenes Beratungsthema — und es wird mit jedem neuen KI-Tool im HR-Bereich größer.

Betriebsräte: Datenschutz-Schulung und Mitbestimmungs-Beratung

Betriebsräte tragen bei der Einführung neuer IT- und KI-Systeme eine besondere Verantwortung — Mitbestimmung nach BetrVG trifft auf Datenschutz nach DSGVO. Beide Regelwerke verlangen vom Gremium einen aktuellen Wissensstand, den die Gesetzgebung mit den vergangenen Reformen erheblich ausgeweitet hat.

Wir bieten Schulungen für Betriebsratsgremien zu Datenschutz und Mitarbeiterüberwachung — auch im Verbund mit unseren KI-Schulungen für Betriebsräte, wenn das Gremium zugleich neue KI-Systeme im Betrieb bewerten muss. Daneben übernehmen wir die Beratung bei laufenden Mitbestimmungsverfahren und die Hinzuziehung als externe Sachverständige.

Wenn mehrere Meldeketten zugleich laufen

Die 72-Stunden-Frist des Art. 33 DSGVO läuft ab Kenntnis, ohne Rücksicht auf Wochenenden und Feiertage. Wer sie hält, hat vorher geklärt, wer bewertet, wer meldet und wer gegenüber der Aufsicht spricht. Auch die Entscheidung gegen eine Meldung gehört dokumentiert; sie ist das Erste, wonach eine Aufsichtsbehörde später fragt.

Trifft derselbe Vorfall zugleich ein vernetztes Produkt oder eine Einrichtung nach dem BSI-Gesetz, laufen weitere Meldeketten mit eigenen Auslösern, Fristen und Empfängern daneben. Wir halten sie in einem Vorgang zusammen, gemeinsam mit unserem Kompetenzbereich Cybersicherheit & Datenwirtschaft.

Tracking, Cookies und Einwilligung

Das Speichern von Informationen auf dem Endgerät und der Zugriff darauf setzen nach § 25 TDDDG grundsätzlich eine Einwilligung voraus — unabhängig davon, ob dabei personenbezogene Daten verarbeitet werden. Erst auf der zweiten Stufe stellt sich die Frage nach der Rechtsgrundlage der anschließenden Verarbeitung.

Wir prüfen Consent-Banner und ihre Gestaltung, die Einbindung von Analyse- und Marketing-Diensten, Schriftarten und Karten von Drittanbietern sowie die daraus folgenden Vertrags- und Informationspflichten. Fehler an dieser Stelle sind von außen sichtbar und leicht nachweisbar — und deshalb der häufigste Anlass für Beschwerden und Abmahnungen.

Aufsichts- und Bußgeldverfahren

Vertretung gegenüber den Datenschutzaufsichtsbehörden — von der Beantwortung eines Auskunftsersuchens über die Anhörung bis zum Bußgeldbescheid und dem Einspruch. Dazu die Begleitung anlassbezogener Prüfungen und die Aufarbeitung nach einem Vorfall.

Der Rahmen des Art. 83 DSGVO reicht bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes; maßgeblich ist der höhere Wert. Wichtiger als der Rahmen ist in der Praxis, was ein Unternehmen im Verfahren belegen kann. Wer seine Verarbeitungen dokumentiert hat, verhandelt aus einer anderen Lage.

Auskunft, Löschung, Schadensersatz

Wir machen Betroffenenrechte aus der DSGVO geltend — Auskunft (Art. 15) sowie Löschung und Auslistung (Art. 17), auch gegenüber Suchmaschinen. Das „Recht auf Vergessenwerden“ und das Vorgehen gegen unzutreffende Suchergebnisse behandeln wir vertieft unter Social Media Recht.

Daneben steht der immaterielle Schadensersatz nach Art. 82 DSGVO. Der Bundesgerichtshof hat im Facebook-Scraping-Komplex entschieden, dass bereits der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten ein immaterieller Schaden sein kann; eine missbräuchliche Verwendung oder eine darüber hinausgehende Beeinträchtigung muss nicht hinzutreten (Urteil vom 18. November 2024, VI ZR 10/24). Die Beträge im Einzelfall bleiben niedrig, die Zahl der Verfahren nicht. Wir beraten sowohl bei der Durchsetzung solcher Ansprüche als auch bei der Abwehr serieller Inanspruchnahme nach einem Datenabfluss.

Schulungen für Unternehmen und Rechtsabteilungen

Maßgeschneiderte Formate zu DSGVO, Mitarbeiterdatenschutz, Datenschutz-Folgenabschätzung und Datenrecht — vom Grundlagen-Modul für gemischte Mitarbeiterkreise bis zur Vertiefung für Datenschutzbeauftragte und Rechtsabteilungen. Termine auf Anfrage über das Sekretariat.