DSGVO Art. 13/14
Recht für Betriebsräte - Einfach erklärt
Transparenzpflichten des Arbeitgebers bei der Erhebung personenbezogener Beschäftigtendaten
Art. 13 und 14 DSGVO verpflichten den Verantwortlichen, betroffene Personen umfassend über die Verarbeitung ihrer Daten zu informieren. Im Beschäftigungskontext muss der Arbeitgeber die Beschäftigten bei jeder Systemeinführung proaktiv informieren, welche Daten zu welchem Zweck verarbeitet werden.
Art. 13 DSGVO regelt die Informationspflichten bei der Direkterhebung personenbezogener Daten. Der Verantwortliche muss zum Zeitpunkt der Erhebung unter anderem den Verarbeitungszweck, die Rechtsgrundlage, die Speicherdauer, etwaige Empfänger und die Betroffenenrechte mitteilen.
Art. 14 DSGVO ergänzt die Informationspflichten für den Fall, dass Daten nicht beim Betroffenen selbst, sondern aus anderen Quellen erhoben werden. Dies ist bei IT Systemen häufig der Fall, etwa wenn Metadaten automatisch protokolliert oder Daten aus verknüpften Systemen zusammengeführt werden.
Was bedeutet das für Sie als Betriebsrat?
Der Betriebsrat kann die Einhaltung der Informationspflichten im Rahmen seines Überwachungsrechts nach §80 Abs. 1 Nr. 1 BetrVG kontrollieren. Er sollte prüfen, ob die Beschäftigten bei jeder Systemeinführung oder wesentlichen Änderung angemessen und verständlich informiert werden.
Besonders relevant: Viele IT Systeme erheben Daten nicht direkt, sondern über automatische Protokollierung (Logdaten, Telemetrie, Metadaten). Für diese indirekten Erhebungen gelten die Informationspflichten nach Art. 14 gleichermaßen. Der Betriebsrat sollte vollständige Datenschutzhinweise für alle verarbeiteten Datenkategorien einfordern.
Handlungsempfehlung
Der Betriebsrat sollte in der Betriebsvereinbarung festschreiben, dass der Arbeitgeber bei jeder Systemeinführung eine verständliche Datenschutzinformation für die Beschäftigten erstellen muss. Diese Information sollte vom Betriebsrat vorab geprüft werden.
Zusätzlich sollte vereinbart werden, dass bei System Updates, die neue Datenkategorien oder Verarbeitungszwecke einführen, die Datenschutzinformation aktualisiert und die Beschäftigten erneut informiert werden.
Wie kann TAPAUS Ihnen helfen?
Der Sachverständige analysiert, welche Daten ein IT System tatsächlich erhebt (einschließlich Metadaten und Telemetrie) und prüft, ob die Datenschutzhinweise des Arbeitgebers vollständig und korrekt sind. Häufig fehlen Hinweise zu automatisch erhobenen Daten wie Anmeldezeiten, IP Adressen oder Geräteinformationen.
Das Gutachten sollte eine vollständige Aufstellung aller Datenkategorien enthalten und die vorhandenen Datenschutzhinweise auf Vollständigkeit und Verständlichkeit bewerten.
Praxisbeispiel
Ein Unternehmen führt ein neues Zeiterfassungssystem mit biometrischer Authentifizierung ein. Die Datenschutzinformation erwähnt nur die Zeitstempel, nicht aber die biometrischen Daten (Fingerabdruck) und die Standortdaten der Terminals. Der Betriebsrat fordert eine vollständige Überarbeitung der Datenschutzhinweise.
Zusätzlich stellt sich heraus, dass das System Anmeldemuster analysiert (verspätete Anmeldungen, häufige Pausen). Diese Analysefunktion wird in den Datenschutzhinweisen ebenfalls nicht erwähnt und muss nachgetragen werden.
Mögliche Rechtsfolgen
Verstöße gegen die Informationspflichten nach Art. 13 und 14 DSGVO werden nach Art. 83 Abs. 5 DSGVO mit Geldbußen von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes geahndet.
Eine unzureichende Information kann zudem die Rechtmäßigkeit der gesamten Datenverarbeitung in Frage stellen, da Transparenz nach Art. 5 Abs. 1 lit. a DSGVO ein Grundsatz jeder Verarbeitung ist.
Gültig seit:
25. Mai 2018
Referenzen und Querverweise:
DSGVO Art. 5 Abs. 1 lit. a, DSGVO Art. 12, DSGVO Art. 15, §80 Abs. 2 BetrVG, §87 Abs. 1 Nr. 6 BetrVG
Last Update:
Keywords:
15. Mai 2026 um 06:39:38
DSGVO, Informationspflichten, Transparenz, Datenschutzhinweise, Beschäftigtendaten, Systemeinführung, Betroffenenrechte