Daten der Beschäftigten schützen

Beim Thema Datenschutz in der Praxis gilt der erste Gedanke den Patientinnen und Patienten. Sie kommen in die Praxis, um sich behandeln zu lassen und geben dafür ganz persönliche Informationen zu ihrer Gesundheit preis. Aber das sind natürlich nicht die einzigen Daten in der Praxis. Auch von Euren Mitarbeiterinnen und Mitarbeitern ist so einiges an besonders schützenswerten Informationen auf dem Praxisrechner oder vielleicht sogar noch in Papierakten hinterlegt. Auch diese Daten fallen natürlich unter den Datenschutz. Mit der Bewerbung hat die Mitarbeiterin ihr Abschlusszeugnis abgegeben, vielleicht auch Arbeitszeugnisse aus anderen Beschäftigungsverhältnissen und weitere vertrauliche Unterlagen. Ihre Gehaltsabrechnungen liegen auf dem Praxisrechner und natürlich geht sie davon aus, dass diese persönlichen Daten in der Praxis gut geschützt werden. Zu den Beschäftigtendaten, die typischerweise in der Praxis vorliegen, zählen: - Kontaktdaten - Bankverbindung - Sozialversicherungsnummer - Angaben zur Religionszugehörigkeit Sind die Daten für die Durchführung des Arbeitsverhältnisses notwendig, müssen die Mitarbeiter:innen der Verarbeitung und Weitergabe, etwa an die Krankenkasse oder die Rentenversicherung, nicht extra zustimmen. Unabhängig davon besteht eine Informationspflicht. Ihr müsst Beschäftigten spätestens bei der Vertragsunterzeichnung ein entsprechendes Infoblatt aushändigen. Tipp: Ein Muster für ein solches Merkblatt findet Ihr im Datenschutzhandbuch für Heilmittelpraxen (Seite 216). Diese Rechte haben Beschäftigte Personen, die derzeit in der Praxis arbeiten, aber auch ehemalige Beschäftigte und sogar Bewerber:innen gelten im Sinne des Datenschutzes als Betroffene, für die bestimmte Rechte gelten. Dazu gehört Transparenz im Umgang mit ihren Daten. Ihr müsst sie in einer Datenschutzerklärung darüber informieren, was mit ihren Daten passiert. Außerdem gelten datenschutzrechtliche Grundsätze wie Zweckbindung, Datensparsamkeit und Vertraulichkeit. Wenn eine Mitarbeiterin es verlangt, müsst Ihr zudem Auskunft darüber geben, welche Daten zu ihrer Person vorhanden sind, und Ihr müsst diese Daten auf ihr Verlangen jederzeit an sie selbst oder Dritte herausgeben. Außerdem müsst Ihr die Beschäftigtendaten löschen, sobald sie nicht mehr benötigt werden und keine gesetzliche Aufbewahrungspflicht besteht. Nicht vergessen: Auch alle Vorgänge zur Verarbeitung von Beschäftigtendaten müsst Ihr im Datenverarbeitungsverzeichnis gem. Art. 30 DSGVO dokumentieren. Dazu zählen: - Verarbeitungszweck, z.B. Personalmanagement, Lohnbuchhaltung - Betroffene Personen, z. B. Beschäftigte, ehemalige Beschäftigte, Bewerber:innen - Kategorie der verarbeiteten Daten, z.B. Bankverbindung, Religionszugehörigkeit - Empfänger von Daten, z.B. Finanzamt, Sozialversicherungsträger Einwilligung zur Datenverarbeitung einholen, wenn … Immer dann, wenn die Datenverarbeitung nicht für die Durchführung des Arbeitsverhältnisses notwendig ist, müsst Ihr dafür die explizite Einwilligung Eurer Mitarbeiter:innen einholen. Ein gutes Beispiel dafür sind Fotos. Druckt Ihr eine neue Praxisbroschüre oder stellt Bilder auf die Praxiswebsite, auf denen Eure Mitarbeiterinnen und Mitarbeiter zu sehen sind, müsst Ihr deren Einverständnis dafür einholen. Im Falle von Beschäftigten sieht die DSGVO sogar vor, dass diese Einwilligung schriftlich oder in elektronischer Form erfolgen muss. Das ist aber ohnehin immer ratsam, sodass Ihr im Zweifelsfall belegen könnt, dass die Person der Veröffentlichung ihrer Bilder zugestimmt hat. Datenschutz unter Kollegen Nicht immer sind es nur die Praxisinhaberin oder der Praxisinhaber, die Zugriff auf personenbezogene Daten der Mitarbeiter:innen haben. Natürlich gilt der Datenschutz auch unter Kolleginnen und Kollegen. Habt Ihr also Mitarbeitende, die im Zuge ihres Arbeitsverhältnisses Zugang zu entsprechenden Daten der anderen Beschäftigten haben, müsst Ihr sicherstellen, dass diese vertraulich damit umgehen. Das heißt, Ihr müsst sie zum Thema Datenschutz aufklären und zur Verschwiegenheit verpflichten. Wie immer: Dokumentiert dies schriftlich, damit Ihr im Bedarfsfall nachweisen könnt, dass Ihr die notwendigen Maßnahmen ergriffen habt. Verlässt eine Mitarbeiterin, die Zugang zu vertraulichen Daten hatte, die Praxis, denkt daran, Zugriffs- und Zugangsberechtigungen, die diese Person hatte, zu entziehen. Unterlagen und Materialien, die personenbezogene Daten von Mitarbeiter:innen oder Patient:innen enthalten, müssen unbedingt zurückgegeben werden. Denn hat eine Person nach Beendigung des Arbeitsverhältnisses weiterhin Zugang zu personenbezogenen Mitarbeiter- oder Patientendaten, ist dies eine unbefugte und unrechtmäßige Datenverarbeitung, gegen die Betroffene vorgehen können. Tipp: Wenn Ihr die gesetzlichen Grundlagen zum Beschäftigtendatenschutz nachlesen möchtet, findet Ihr sie in der Datenschutz-Grundverordnung (DSGVO) Artikel 6 sowie im Bundesdatenschutzgesetz (BDSG) § 26.