Der Schutz von HR-Daten ruht auf vielen Schultern

Oft fühlt sich die HR-Leitung dafür verantwortlich. Das ist richtig – sie ist es aber nicht allein:

Gemäss Art. 716a OR hat der Verwaltungsrat unter anderem folgende unübertragbare Aufgabe: «die Oberaufsicht über die mit der Geschäftsführung betrauten Personen, namentlich im Hinblick auf die Befolgung der Gesetze, Statuten, Reglemente und Weisungen.» Gleichgestellt dem Verwaltungsrat ist der Stiftungsrat oder auch der Vorstand eines Vereins.

Auch im Datenschutzgesetz gibt es eine Definition – Art. 5 Bst. j DSG: «Verantwortlicher: private Person oder Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet;»

Es ist also nicht das HR alleine: Sowohl gemäss Obligationenrecht als auch Datenschutzgesetz hat die strategische Leitung eine Mitverantwortung und kann sich nicht auf den Standpunkt stellen, sie sei zu weit weg vom operativen Alltag. Deshalb sollte sich die strategische Leitung mindestens periodisch informieren lassen – wie auch über weitere Compliance-Themen.

Grundsätzlich sollte die strategische Leitung auch die Risikoakzeptanz im Datenschutz definieren und mittragen. Dies liesse sich in einem gemeinsamen Workshop erarbeiten. Eine sehr einfache Lösung wäre z.B. folgende Formulierung: «Der Verwaltungsrat akzeptiert Risiken im Bereich Datenschutz und Datensicherheit nur, wenn sie gering sind, mit vertretbarem Aufwand nicht weiter reduziert werden können und in einem angemessenen Verhältnis zum Nutzen stehen.»

Verantwortlich im Sinne des Datenschutzgesetzes ist das Unternehmen als Arbeitgeberin, nicht die HR-Abteilung und auch nicht die einzelne HR-Fachperson. Innerhalb des Unternehmens verteilen sich die Aufgaben aber auf mehrere Schultern:

Rollenverteilung im Unternehmen

Die strategische Leitung legt fest, welchen Stellenwert der Datenschutz hat, stellt die nötigen Mittel bereit und lässt sich regelmässig berichten. Gibt es Hinweise auf Unregelmässigkeiten, muss sie nachfragen und handeln.

Die Geschäftsleitung setzt um: Sie regelt Zuständigkeiten, erlässt Weisungen und sorgt dafür, dass diese auch gelebt werden.

Die HR-Leitung ist fachlich zuständig für die Personaldaten. Sie weiss, welche Daten wo liegen, wer darauf zugreift und wann sie gelöscht werden.

Die Linienvorgesetzten werden gerne vergessen. Auch sie bearbeiten Personendaten, etwa in Mitarbeitergesprächen, bei Absenzen oder in eigenen Notizen.

Der Datenschutzberater oder die Datenschutzberaterin, sofern das Unternehmen eine solche Stelle geschaffen hat, berät und schult, ist Anlaufstelle für Fragen und unterstützt bei heiklen Vorhaben.

Gibt es im Unternehmen eine Datenschutzberaterin oder einen Datenschutzberater, sollte diese Funktion regelmässig beigezogen werden. Das HR kennt die Prozesse, die Datenschutzberatung kennt die rechtlichen Anforderungen. Soll ein neues HR-Tool eingeführt werden, stellen sich verschiedene datenschutzrechtliche Fragen:

• Wie sind Datenschutz und Datensicherheit gewährleistet?
• Handelt es sich um ein Outsourcing?
• Braucht es eine Datenschutz-Folgenabschätzung?
• Wo werden die Daten gespeichert – in der Schweiz oder im Ausland?
• Wer hat Zugriff auf welche Daten?

Zieht das HR Dritte bei, zum Beispiel für die Lohnbuchhaltung oder ein Bewerbungstool, bleibt die Verantwortung beim Unternehmen. Es muss sich vergewissern, dass der Dienstleister die Datensicherheit gewährleisten kann (Art. 9 DSG).

Für HR-Fachpersonen ist das eine gute Nachricht und ein Auftrag zugleich. Die gute Nachricht: Sie tragen die Verantwortung nicht allein. Der Auftrag: Sorgen Sie dafür, dass die Leitung ihre Rolle wahrnehmen kann. Ein kurzer jährlicher Bericht genügt oft: Welche Daten bearbeiten wir? Welche Dienstleister setzen wir ein? Gab es Auskunftsbegehren oder Vorfälle? Wo besteht Handlungsbedarf?

Der Blog ist umgezogen! Das Archiv bisheriger Blogs finden Sie bis auf Weiteres hier.