Organigramme: Wie sichern Sie den Datenschutz?

Datenschutzfalle: Die Risiken von Organigrammen im Datenschutz

Wer in welchem Unternehmensbereich arbeitet, wer Führungskraft und wer Mitarbeiter ist und wie die Berichtswege verlaufen – darüber geben typischerweise Organigramme Auskunft. Das ist praktisch, denn anhand dieser Informationen, kann man sich einen Überblick über die aktuelle Unternehmensstruktur verschaffen und z. B. passende Ansprechpartner schnell ausfindig machen. Kommen beim Inhalt des Organigramms allerdings datenschutzrechtliche Aspekte zu kurz, kann es dabei auch schnell zum Datenschutzproblem werden. Grund genug für Sie, bei Organigrammen einmal genauer hinzuschauen, um nicht in die Datenschutzfalle zu tappen.

Nehmen Sie die Organigramme und die dort enthaltenen personenbezogenen Daten unter die Lupe. Orientieren Sie sich neben der DSGVO an den folgenden Schritten, um Ihr Organigramm zu prüfen und die Datenschutzfalle zu umgehen:

Schritt 1: Überprüfen der Rahmenbedingungen von Organigrammen

Beginnen Sie mit der Analyse der vorhandenen Organigramme in Ihrem Unternehmen. Nehmen Sie sich ausreichend Zeit, um diese gründlich zu durchleuchten. Dies schließt die Untersuchung ihrer Speicherorte ein, wie beispielsweise das Intranet oder Anwendungen, die von externen Anbietern betrieben werden. Hierbei sollten Sie auch datenschutzrechtliche Fragen in Betracht ziehen, wie die Sicherheit der Datenverarbeitung gemäß Artikel 32 der Datenschutz-Grundverordnung (DSGVO) und die Umsetzung der Anforderungen zur Auftragsverarbeitung gemäß Artikel 28 der DSGVO.

Ebenfalls klären Sie, ob es generelle Organigramme gibt oder ob spezifische Organigramme in verschiedenen Abteilungen oder für bestimmte Personengruppen existieren. Es könnte auch detaillierte Übersichten in Veröffentlichungen oder im Intranet geben, die Verantwortlichkeiten, Aufgabenbereiche und Schwerpunkte genauer darstellen. Hierbei sollten Sie erneut datenschutzrechtliche Fragen beachten.

Schritt 2: Überprüfen der Rechtsgrundlage

Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten in Organigrammen kann sich aus verschiedenen Quellen ergeben, wie der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG), anderen gesetzlichen Regelungen oder der Einwilligung der betroffenen Person. In den meisten Fällen sind die Vorschriften gemäß Artikel 6 Absatz 1 der DSGVO und § 26 Absatz 1 des BDSG relevant.

Für Ihre Überprüfung bedeutet dies, dass Sie bei jeder im Organigramm enthaltenen Information die Frage stellen sollten, ob sie beispielsweise gemäß § 26 Absatz 1 Satz 1 des BDSG für die Verwaltung von Arbeitsverhältnissen erforderlich ist. Dies ermöglicht das Argument, dass Organigramme unverzichtbar sind, damit Mitarbeiter ihren arbeitsvertraglichen Verpflichtungen nachkommen können und die Zusammenarbeit innerhalb des Unternehmens besser organisiert wird.

Möglichkeit 1: Das überwiegende Interesse

Eine alternative Möglichkeit besteht darin, sich auf Artikel 6 Absatz 1 Satz 1 Buchstabe f der DSGVO zu stützen. In diesem Fall muss Ihr Unternehmen als Verantwortlicher die Interessen des Unternehmens und der betroffenen Person abwägen. Diese Abwägung sollte zu Gunsten des berechtigten Interesses Ihres Unternehmens ausfallen.

In diese erforderliche Interessenabwägung kann beispielsweise das berechtigte Interesse Ihres Unternehmens an einer effizienten Unternehmensorganisation mithilfe eines Organigramms einbezogen werden. Dies erfordert jedoch die Prüfung jedes einzelnen Typs von Informationen im Organigramm, wie beispielsweise Namen, Abteilungsbezeichnungen, Aufgaben und Fotos, um festzustellen, ob die Interessen der betroffenen Person das berechtigte Interesse des Unternehmens überwiegen.

Folglich können Sie schlussfolgern, dass Informationen, die keinen direkten Bezug zum Unternehmen und den beruflichen Aktivitäten der betroffenen Person haben, in der Regel kritisch betrachtet werden sollten. Nicht erforderliche Informationen umfassen in der Regel beispielsweise:

• Fotos der Mitarbeiter
• Private Informationen wie Geburtsdatum, private Kontaktdaten und
• Angaben zum Leben außerhalb des Arbeitsverhältnisses

Es ist wichtig zu betonen, dass das Organigramm auch ohne Fotos und private Informationen funktioniert. Bei arbeits- und organisationsrelevanten Informationen wie Abteilung, Aufgabenbereich oder Verantwortungsbereich dürfte die Interessenabwägung in der Regel zugunsten Ihres Unternehmens ausfallen.

Möglichkeit 2: Einholen von Einwilligungen für die Organigramm-Daten

Wenn sich eine im Organigramm enthaltene Information nicht auf eine der genannten gesetzlichen Rechtsgrundlagen stützen lässt, bedeutet das nicht automatisch, dass sie unzulässig ist. Stattdessen können zusätzliche Informationen auf der Grundlage der Einwilligung der betroffenen Person verarbeitet werden.

Wichtige Aspekte bei der Einholung von Einwilligungen sind:

• Die Einwilligung muss freiwillig erfolgen, ohne Zwang für den Mitarbeiter.
• Der Mitarbeiter hat das Recht, die Einwilligung in der Zukunft zu widerrufen, und darauf muss hingewiesen werden.
• Die Einwilligung sollte schriftlich oder elektronisch erklärt werden, um sicherzustellen, dass sie nachgewiesen werden kann.

Schritt 3: Handlungsbedarf erkennen und Maßnahmen ergreifen

Wenn Sie feststellen, dass etwas im Organigramm nicht den rechtlichen Anforderungen entspricht, ist die Vorgehensweise klar: Es muss eine Anpassung vorgenommen werden. Treten Sie in Kontakt mit den zuständigen Kollegen und nutzen Sie diese Gelegenheit, um Ihr Fachwissen zu teilen. Dies kann beispielsweise durch die Bereitstellung einer kurzen Checkliste erfolgen, mit der sie eine erste Bewertung selbst durchführen können.

Checkliste zur Prüfung des Datenschutzes bei Organigrammen