Datenschutz-Einwilligung Mitarbeiter Vorlage (Word & PDF)

Mit unserer kostenlosen Datenschutz-Einwilligung Mitarbeiter Vorlage kannst du freiwillige Einwilligungen von Beschäftigten in bestimmte Datenverarbeitungen strukturiert dokumentieren. Die Vorlage eignet sich beispielsweise für optionale Veröffentlichungen von Mitarbeiterinformationen, interne Kommunikationszwecke, Geburtstagslisten, freiwillige Kontaktangaben oder andere Verarbeitungsvorgänge, für die tatsächlich eine Einwilligung als Rechtsgrundlage verwendet werden soll.

Wichtig ist dabei: Nicht jede Verarbeitung von Beschäftigtendaten benötigt eine Einwilligung. Viele Daten dürfen bereits verarbeitet werden, wenn dies für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist. Eine zusätzliche Einwilligung sollte deshalb nicht pauschal für sämtliche Personaldaten eingeholt werden.

Gerade im Arbeitsverhältnis muss außerdem besonders auf die Freiwilligkeit geachtet werden. Beschäftigte stehen regelmäßig in einem Abhängigkeitsverhältnis zum Arbeitgeber. Eine Einwilligung sollte deshalb klar vom Arbeitsvertrag getrennt, verständlich formuliert und auf konkrete freiwillige Zwecke beschränkt werden.

Die Vorlage steht als Word- und PDF-Datei zur Verfügung. Die Word-Version lässt sich an Arbeitgeber, konkrete Zwecke und Auswahlmöglichkeiten anpassen. Die PDF-Version eignet sich zum Ausdrucken und zur dokumentierten Erteilung oder Ablehnung einzelner Einwilligungen.

Wann kann eine Mitarbeiter-Einwilligung sinnvoll sein?

Eine Einwilligung kann insbesondere für Verarbeitungsvorgänge relevant sein, die nicht bereits für das Arbeitsverhältnis erforderlich oder anderweitig gesetzlich erlaubt sind.

Beispiele können sein:

• freiwillige Veröffentlichung bestimmter Mitarbeiterinformationen
• interne Geburtstagslisten
• freiwillige Angabe einer privaten Telefonnummer
• freiwillige Verwendung eines privaten Fotos im Intranet
• bestimmte freiwillige interne Veranstaltungen
• freiwillige Veröffentlichung zusätzlicher Profilinformationen

Wann ist keine Einwilligung erforderlich?

§ 26 Abs. 1 BDSG erlaubt die Verarbeitung von Beschäftigtendaten unter anderem dann, wenn sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach dessen Begründung für Durchführung oder Beendigung erforderlich ist.

Den aktuellen Gesetzestext findest du unter § 26 BDSG.

Typische notwendige Beschäftigtendaten

Je nach Beschäftigungsverhältnis können beispielsweise erforderlich sein:

• Name
• Anschrift
• Bankverbindung
• Steuerdaten
• Sozialversicherungsdaten
• Arbeitszeitdaten
• Entgeltdaten
• Urlaubsinformationen

Ob eine konkrete Verarbeitung erforderlich ist, hängt immer vom jeweiligen Zweck ab.

Einwilligung nicht vorsorglich für alles verwenden

Arbeitgeber sollten Einwilligungen nicht als pauschale Absicherung für jede denkbare Datenverarbeitung verwenden.

Stattdessen sollte zuerst geprüft werden, welche Rechtsgrundlage tatsächlich passt.

Freiwilligkeit im Beschäftigungsverhältnis

§ 26 Abs. 2 BDSG stellt besondere Anforderungen an die Freiwilligkeit von Einwilligungen im Arbeitsverhältnis.

Dabei sind insbesondere:

• das bestehende Abhängigkeitsverhältnis und
• die konkreten Umstände der Einwilligung

zu berücksichtigen.

Wann kann Freiwilligkeit vorliegen?

§ 26 Abs. 2 BDSG nennt als mögliche Beispiele insbesondere Situationen, in denen:

• für den Beschäftigten ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder
• Arbeitgeber und Beschäftigter gleichgelagerte Interessen verfolgen.

Keine Nachteile bei Ablehnung

Bei tatsächlich freiwilligen Zusatzverarbeitungen sollte die Verweigerung der Einwilligung nicht zu sachlich unbegründeten Nachteilen führen.

Einwilligung vom Arbeitsvertrag trennen

Eine freiwillige Einwilligung sollte möglichst nicht unauffällig zwischen zwingenden arbeitsvertraglichen Regelungen versteckt werden.

Eine separate Erklärung erleichtert die Transparenz und Dokumentation.

So verwendest du die Datenschutz-Einwilligung Mitarbeiter Vorlage

1. Zweck prüfen: Kläre zuerst, ob überhaupt eine Einwilligung benötigt wird.
2. Arbeitgeber eintragen: Ergänze den verantwortlichen Arbeitgeber vollständig.
3. Mitarbeiterdaten ergänzen: Trage nur die für die Erklärung notwendigen Identifikationsdaten ein.
4. Zwecke auswählen: Beschreibe jede freiwillige Verarbeitung getrennt.
5. Datenarten nennen: Lege fest, welche personenbezogenen Daten betroffen sind.
6. Empfänger angeben: Beschreibe, wer auf die Daten zugreifen kann.
7. Dauer bestimmen: Lege fest, wie lange die Einwilligung beziehungsweise Verarbeitung vorgesehen ist.
8. Widerruf erklären: Informiere darüber, wie die Einwilligung widerrufen werden kann.
9. Auswahl ermöglichen: Verwende getrennte Ja-/Nein-Entscheidungen, wenn mehrere Zwecke vorgesehen sind.
10. Erklärung dokumentieren: Bewahre die erteilte Einwilligung nachvollziehbar auf.

Einzelne Zwecke getrennt auswählen

Mehrere unterschiedliche Datenverarbeitungen sollten möglichst nicht in einer einzigen Alles-oder-nichts-Erklärung zusammengefasst werden.

Granulare Einwilligung

Eine getrennte Auswahl ermöglicht dem Mitarbeiter beispielsweise, einer internen Telefonnummernliste zuzustimmen und gleichzeitig eine andere optionale Veröffentlichung abzulehnen.

Zweck konkret beschreiben

Eine Einwilligung sollte erkennen lassen, wofür die Daten verwendet werden.

Unklare Zweckformulierungen vermeiden

Formulierungen wie:

• „für betriebliche Zwecke“
• „für alle notwendigen Zwecke“
• „für zukünftige Verarbeitungen“

sind für eine freiwillige Einwilligung häufig zu weit und zu unbestimmt.

Datenarten nennen

Zusätzlich zum Zweck sollte klar sein, welche Daten betroffen sind.

Zum Beispiel:

• Foto
• private Telefonnummer
• private E-Mail-Adresse
• Geburtstag
• Hobbyangabe
• Profiltext

Nur notwendige Daten für den freiwilligen Zweck verwenden

Auch bei einer Einwilligung sollten nicht mehr Daten verarbeitet werden, als für den beschriebenen Zweck sinnvoll sind.

Private Telefonnummer

Eine private Telefonnummer kann für bestimmte freiwillige Notfall- oder Kontaktzwecke erfasst werden.

Der Mitarbeiter sollte wissen:

• wer Zugriff erhält,
• wann die Nummer genutzt wird und
• wie sie gelöscht werden kann.

Private E-Mail-Adresse

Auch bei einer privaten E-Mail-Adresse sollte der Zweck klar definiert sein.

Eine freiwillige Kontaktadresse sollte nicht ohne weitere Grundlage für beliebige betriebliche Kommunikation oder Werbung genutzt werden.

Geburtstagslisten

Interne Geburtstagsübersichten sind ein typisches Beispiel für eine freiwillige Zusatzverarbeitung.

Die Einwilligung kann festlegen, ob:

• nur Tag und Monat oder
• auch das Geburtsjahr

veröffentlicht werden.

Geburtsjahr häufig nicht erforderlich

Für eine einfache interne Geburtstagsliste genügt regelmäßig der Tag und Monat, wenn das Alter keine Rolle spielt.

Interne Mitarbeiterprofile

Intranets oder interne Teamseiten können zusätzliche Angaben enthalten.

Zum Beispiel:

• Foto
• kurze Vorstellung
• Hobbys
• Sprachen
• persönliche Interessen

Freiwillige Angaben klar kennzeichnen

Mitarbeiter sollten erkennen können, welche Angaben zwingend und welche freiwillig sind.

Fotos von Mitarbeitern

Fotos verdienen besondere Aufmerksamkeit, weil sie intern und extern sehr unterschiedlich verwendet werden können.

Für eine externe Veröffentlichung auf Website, Social Media oder Printmaterialien sollte eine spezialisierte Erklärung verwendet werden.

Dafür erstellen wir als nächste Vorlage die Einwilligung Fotoveröffentlichung Mitarbeiter.

Interne und externe Nutzung trennen

Ein Mitarbeiter kann beispielsweise mit einem Foto im internen Intranet einverstanden sein, aber nicht mit einer Veröffentlichung auf Instagram oder der öffentlichen Unternehmenswebsite.

Interne Kommunikationskanäle

Eine Einwilligung kann konkret festlegen, auf welchen internen Kanälen Daten erscheinen dürfen.

Zum Beispiel:

• Intranet
• Mitarbeiter-App
• interner Newsletter
• interne Präsentationen

Externe Veröffentlichung separat behandeln

Öffentliche Websites, Social Media und Werbematerialien besitzen eine deutlich größere Reichweite.

Diese Zwecke sollten daher nicht nebenbei in einer allgemeinen internen Einwilligung versteckt werden.

Besondere Kategorien personenbezogener Daten

Art. 9 DSGVO schützt bestimmte besonders sensible Datenkategorien besonders stark.

Dazu gehören unter anderem Daten, aus denen hervorgehen:

• rassische oder ethnische Herkunft
• politische Meinungen
• religiöse oder weltanschauliche Überzeugungen
• Gewerkschaftszugehörigkeit

sowie genetische Daten, bestimmte biometrische Daten, Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung.

Den aktuellen Gesetzestext findest du unter DSGVO bei EUR-Lex.

Einwilligung muss bei besonderen Kategorien ausdrücklich sein

§ 26 Abs. 3 BDSG bestimmt für Beschäftigtendaten ausdrücklich, dass sich eine Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten auch ausdrücklich auf diese Daten beziehen muss.

Gesundheitsdaten im Beschäftigungsverhältnis

Gesundheitsdaten können im Arbeitsverhältnis auch auf anderen Rechtsgrundlagen verarbeitet werden, wenn dies gesetzlich erforderlich und zulässig ist.

Eine Einwilligung sollte deshalb nicht vorsorglich für sämtliche Gesundheitsinformationen eingeholt werden.

Freiwillige Gesundheitsangebote

Bei bestimmten freiwilligen Gesundheits- oder Wellnessprogrammen kann eine gesonderte Prüfung der Rechtsgrundlage und der konkreten Datenverarbeitung notwendig sein.

Gewerkschaftszugehörigkeit

Auch Angaben zur Gewerkschaftszugehörigkeit gehören zu den besonderen Kategorien personenbezogener Daten.

Sie sollten nicht ohne klaren rechtlichen Grund oder ausdrückliche zulässige Einwilligung verarbeitet werden.

Religiöse Angaben

Auch Informationen über religiöse oder weltanschauliche Überzeugungen sind besonders geschützt.

Empfänger der Daten

Die Einwilligung sollte erkennen lassen, wer die Daten erhalten beziehungsweise sehen kann.

Mögliche Empfänger sind:

• Personalabteilung
• Vorgesetzte
• bestimmte Teams
• alle Mitarbeiter
• externe Dienstleister
• Öffentlichkeit

„Intern“ genauer beschreiben

Der Begriff „intern“ kann bei großen Unternehmen tausende Personen umfassen.

Wenn möglich, sollte klar beschrieben werden, welcher Personenkreis Zugriff erhält.

Externe Dienstleister

Werden Daten über externe Systeme verarbeitet, können beispielsweise IT- oder Cloud-Dienstleister beteiligt sein.

Auftragsverarbeitung prüfen

Verarbeitet ein externer Dienstleister personenbezogene Daten ausschließlich im Auftrag des Arbeitgebers, kann zusätzlich ein AVV erforderlich sein.

Dafür steht unsere Auftragsverarbeitungsvertrag AVV Vorlage zur Verfügung.

Drittlandübermittlungen

Werden Daten über Anbieter außerhalb des Europäischen Wirtschaftsraums verarbeitet, können zusätzliche Anforderungen der DSGVO gelten.

Dies ist insbesondere bei internationalen Cloud- und Social-Media-Diensten relevant.

Transparenz über eingesetzte Systeme

Bei freiwilligen Veröffentlichungen sollte der Mitarbeiter möglichst nachvollziehen können, über welche Kanäle die Daten verarbeitet werden.

Dauer der Einwilligung

Die Einwilligung kann beispielsweise gelten:

• für die Dauer des Beschäftigungsverhältnisses,
• bis zum Widerruf oder
• für einen konkret bestimmten Zeitraum.

Einwilligung nicht automatisch unbegrenzt gestalten

Bei manchen Zwecken endet die Notwendigkeit spätestens mit dem Ausscheiden aus dem Unternehmen.

Ausscheiden aus dem Unternehmen

Der Vertrag beziehungsweise die Einwilligung sollte berücksichtigen, was nach Ende des Beschäftigungsverhältnisses geschieht.

Zum Beispiel:

• Löschung aus internen Verzeichnissen
• Entfernung aus freiwilligen Teamprofilen
• Beendigung von Kontaktlisten

Widerrufsrecht

§ 26 Abs. 2 BDSG verlangt, dass der Arbeitgeber den Beschäftigten über sein Widerrufsrecht nach Art. 7 Abs. 3 DSGVO informiert.

Ein Widerruf muss für die Zukunft möglich sein.

Widerruf jederzeit möglich

Eine auf Einwilligung beruhende Verarbeitung kann grundsätzlich für die Zukunft widerrufen werden.

Widerruf so einfach wie möglich

Der Widerruf sollte nicht unnötig erschwert werden.

Wenn eine Einwilligung beispielsweise elektronisch erteilt werden kann, sollte der Widerruf nicht zwingend nur per unterschriebenem Brief möglich sein.

Wirkung des Widerrufs

Der Widerruf wirkt grundsätzlich für die Zukunft.

Eine zuvor auf Grundlage einer wirksam erteilten Einwilligung erfolgte Verarbeitung wird dadurch nicht rückwirkend automatisch rechtswidrig.

Widerruf praktisch umsetzen

Nach Eingang eines Widerrufs sollte geprüft werden:

• welche Daten betroffen sind,
• wo sie gespeichert sind,
• welche Veröffentlichung zu entfernen ist und
• ob eine andere Rechtsgrundlage besteht.

Widerruf dokumentieren

Auch der Eingang und die Umsetzung eines Widerrufs sollten nachvollziehbar dokumentiert werden.

Widerruf einzelner Zwecke

Bei mehreren getrennten Einwilligungen sollte möglichst auch nur ein einzelner Zweck widerrufen werden können.

Keine Kopplung unnötiger Einwilligungen

Eine freiwillige Einwilligung sollte nicht ohne sachlichen Grund Voraussetzung dafür sein, überhaupt einen Arbeitsvertrag abschließen oder eine reguläre Arbeitsleistung erbringen zu können.

Kopplung und Freiwilligkeit

Je stärker eine Leistung davon abhängig gemacht wird, dass ein Beschäftigter einer nicht erforderlichen Datenverarbeitung zustimmt, desto genauer muss die Freiwilligkeit geprüft werden.

Keine versteckten Einwilligungen

Einwilligungsklauseln sollten klar erkennbar sein.

Sie sollten nicht in langen allgemeinen Vertragsbedingungen verborgen werden.

Klare Sprache verwenden

Die Erklärung sollte für Mitarbeiter verständlich sein.

Unnötig komplizierte juristische Formulierungen helfen weder Arbeitgeber noch Beschäftigten.

Ja und Nein ermöglichen

Bei einem freiwilligen Formular kann es sinnvoll sein, für jeden Zweck sowohl Zustimmung als auch Ablehnung dokumentieren zu können.

Keine vorangekreuzten Kästchen

Die Entscheidung sollte aktiv vom Mitarbeiter getroffen werden.

Elektronische Einwilligung

§ 26 Abs. 2 BDSG sieht vor, dass eine Beschäftigteneinwilligung grundsätzlich schriftlich oder elektronisch erfolgen soll, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist.

Elektronischen Nachweis speichern

Bei elektronischen Einwilligungen sollte nachvollziehbar bleiben:

• wer eingewilligt hat,
• wann die Einwilligung erfolgte und
• welcher Erklärungstext zu diesem Zeitpunkt galt.

Versionsnummer verwenden

Bei digitalen Formularen kann eine Versionsnummer des Einwilligungstextes sinnvoll sein.

Nachweispflicht

Der Verantwortliche sollte nachweisen können, dass eine Einwilligung erteilt wurde.

Personalakte oder Datenschutzsystem

Die Einwilligung kann je nach interner Organisation in der Personalakte oder in einem geeigneten Datenschutzsystem dokumentiert werden.

Zugriff auf Einwilligungen begrenzen

Nicht jeder Mitarbeiter im Unternehmen benötigt Zugriff auf die Dokumentation freiwilliger Einwilligungen.

Informationspflichten nach DSGVO

Zusätzlich zur eigentlichen Einwilligung können Informationspflichten nach Art. 13 DSGVO bestehen.

Typische Informationen sind beispielsweise:

• Name und Kontaktdaten des Verantwortlichen
• Datenschutzbeauftragter, soweit vorhanden
• Zwecke der Verarbeitung
• Rechtsgrundlage
• Empfänger
• Speicherdauer
• Betroffenenrechte
• Beschwerderecht

Einwilligung und Datenschutzhinweis unterscheiden

Die Einwilligung ist die freiwillige Erklärung des Mitarbeiters.

Der Datenschutzhinweis informiert dagegen umfassender über die Verarbeitung personenbezogener Daten.

Beides kann kombiniert, aber klar getrennt werden

Ein Formular kann sowohl Informationen als auch eine Einwilligung enthalten. Der eigentliche Zustimmungsteil sollte jedoch eindeutig erkennbar bleiben.

Recht auf Auskunft

Beschäftigte besitzen grundsätzlich die datenschutzrechtlichen Betroffenenrechte der DSGVO, soweit deren Voraussetzungen erfüllt sind.

Dazu gehört unter anderem das Recht auf Auskunft.

Recht auf Berichtigung

Unrichtige personenbezogene Daten können unter den gesetzlichen Voraussetzungen berichtigt werden.

Recht auf Löschung

Auch ein Löschungsanspruch kann unter den gesetzlichen Voraussetzungen bestehen.

Unsere DSGVO-Musterbriefe

Für allgemeine Betroffenenanfragen stehen auf Smartvorlagen außerdem unsere Vorlagen für Datenschutz-Auskunft und DSGVO-Löschantrag zur Verfügung.

Beschwerderecht

Beschäftigte können sich unter den gesetzlichen Voraussetzungen an eine zuständige Datenschutzaufsichtsbehörde wenden.

Datenschutzbeauftragter

Hat das Unternehmen einen Datenschutzbeauftragten, können dessen Kontaktdaten in den Datenschutzhinweisen angegeben werden.

Betriebsrat und Personalrat

§ 26 Abs. 6 BDSG stellt klar, dass Beteiligungsrechte von Interessenvertretungen der Beschäftigten unberührt bleiben.

Betriebsvereinbarungen

Bestimmte Datenverarbeitungen können auch auf einer Betriebs- oder Dienstvereinbarung beruhen.

Eine zusätzliche Einwilligung ist dann nicht automatisch erforderlich.

Einwilligung nicht zur Umgehung einer Betriebsvereinbarung verwenden

Bestehen kollektivrechtliche Regelungen, sollten diese in die Datenschutzprüfung einbezogen werden.

Mitarbeiter-App

Bei freiwilligen Funktionen einer Mitarbeiter-App können zusätzliche Einwilligungen relevant sein.

Zum Beispiel:

• freiwilliges Profilfoto
• private Kontaktdaten
• freiwillige Interessenangaben

Pflichtfunktionen der Mitarbeiter-App

Funktionen, die zwingend für die Arbeitsorganisation benötigt werden, sollten nicht künstlich als Einwilligungslösung ausgestaltet werden, wenn eine andere Rechtsgrundlage einschlägig ist.

Private Geräte

Werden freiwillige private Kontaktdaten oder Geräteinformationen verarbeitet, sollte der Zweck besonders klar sein.

Bring Your Own Device

Bei BYOD-Modellen können zusätzlich technische und datenschutzrechtliche Regelungen erforderlich sein.

Standortdaten

Standortdaten von Mitarbeitern können besonders eingriffsintensiv sein.

Eine pauschale Einwilligung in dauerhafte Standortüberwachung sollte nicht ungeprüft verwendet werden.

GPS und Zeiterfassung

Ob Standortdaten erforderlich und zulässig sind, hängt stark vom konkreten Arbeitsablauf und Zweck ab.

Videoaufnahmen

Videoaufnahmen von Beschäftigten können ebenfalls besondere datenschutzrechtliche Fragen aufwerfen.

Eine freiwillige Marketingaufnahme ist etwas anderes als eine Videoüberwachung am Arbeitsplatz.

Biometrische Daten

Biometrische Daten zur eindeutigen Identifizierung einer Person gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten.

Fingerabdrucksysteme

Werden Fingerabdruck- oder Gesichtserkennungssysteme eingesetzt, sollte die Rechtsgrundlage besonders sorgfältig geprüft werden.

Interne Telefonlisten

Dienstliche Telefonnummern können für die betriebliche Kommunikation erforderlich sein.

Private Telefonnummern sollten davon unterschieden werden.

Notfallkontakte

Ein Mitarbeiter kann freiwillig eine Person nennen, die in bestimmten Notfällen kontaktiert werden darf.

Dabei sind auch die personenbezogenen Daten dieser dritten Person zu berücksichtigen.

Daten Dritter

Gibt ein Beschäftigter Daten von Angehörigen oder Notfallkontakten an, sollte der Arbeitgeber auch für diese Verarbeitung eine passende Rechtsgrundlage und Information berücksichtigen.

Interne Newsletter

Bei dienstlichen E-Mail-Adressen können interne Unternehmensinformationen regelmäßig Teil der normalen Arbeitskommunikation sein.

Eine freiwillige Einwilligung ist dafür nicht automatisch erforderlich.

Private E-Mail-Adressen für Newsletter

Sollen Informationen an eine private Adresse geschickt werden, sollte der Zweck gesondert geprüft werden.

Mitarbeiterbefragungen

Freiwillige Mitarbeiterbefragungen können personenbezogen oder anonym durchgeführt werden.

Anonyme Befragung bevorzugen, wenn ausreichend

Werden personenbezogene Daten für den Zweck nicht benötigt, kann eine anonyme Ausgestaltung datenschutzfreundlicher sein.

Veröffentlichung von Jubiläen

Auch Betriebsjubiläen oder besondere persönliche Ereignisse können in internen Medien veröffentlicht werden.

Bei freiwilligen Zusatzinformationen kann eine Auswahlmöglichkeit sinnvoll sein.

Namensschilder

Namensschilder können je nach Tätigkeit betrieblich erforderlich sein.

Eine Einwilligung ist daher nicht in jedem Fall die passende Rechtsgrundlage.

Website-Mitarbeiterseite

Öffentliche Mitarbeiterprofile sind anders zu bewerten als interne Verzeichnisse.

Für Fotoveröffentlichungen sollte zusätzlich die speziellere Vorlage verwendet werden.

LinkedIn und Social Media

Ein Arbeitgeber sollte einen Mitarbeiter nicht ohne klare Grundlage dazu verpflichten, sein privates Social-Media-Profil für Unternehmenswerbung zu nutzen.

Freiwilliges Employee Advocacy

Freiwillige Programme können gesondert geregelt werden.

Keine Einwilligung für unbekannte zukünftige Zwecke

Eine Einwilligung sollte nicht alle denkbaren zukünftigen Datenverarbeitungen pauschal abdecken.

Neuer Zweck kann neue Prüfung erfordern

Soll ein bisher nur intern gespeichertes Profil später öffentlich auf der Website veröffentlicht werden, kann eine neue Einwilligung beziehungsweise eine neue Rechtsgrundlagenprüfung notwendig sein.

Änderung des Zwecks dokumentieren

Wesentliche Zweckänderungen sollten nicht unbemerkt auf Grundlage einer alten Einwilligung umgesetzt werden.

Widerruf beim Arbeitgeberwechsel

Beim Ausscheiden sollte geprüft werden, welche freiwilligen Veröffentlichungen zu entfernen sind.

Interne Archivsysteme

Nicht jede historische Speicherung muss sofort gelöscht werden, wenn andere gesetzliche Gründe für die Aufbewahrung bestehen.

Die Verarbeitung zu neuen freiwilligen Zwecken sollte jedoch beendet werden.

Einwilligung und Geheimhaltung unterscheiden

Eine Datenschutz-Einwilligung erlaubt bestimmte Datenverarbeitungen.

Eine Geheimhaltungsvereinbarung verpflichtet dagegen zum Schutz vertraulicher Informationen.

Dafür steht unsere Geheimhaltungsvereinbarung / NDA Vorlage zur Verfügung.

Einwilligung und AVV unterscheiden

Eine Einwilligung wird von der betroffenen Person erteilt.

Ein AVV ist dagegen eine Vereinbarung zwischen Verantwortlichem und Auftragsverarbeiter.

Beide Dokumente erfüllen völlig unterschiedliche Funktionen.

Typische Fehler bei Mitarbeiter-Einwilligungen

Gerade im Arbeitsverhältnis können schlecht formulierte Einwilligungen problematisch sein.

• Einwilligung für alle Personaldaten: erforderliche Datenverarbeitung und freiwillige Zwecke werden vermischt.
• Zweck zu allgemein: Mitarbeiter weiß nicht, wofür Daten verwendet werden.
• keine echte Wahl: Ablehnung führt faktisch zu Nachteilen.
• mehrere Zwecke gekoppelt: nur eine Gesamtzustimmung ist möglich.
• Widerruf fehlt: Mitarbeiter wird nicht ausreichend informiert.
• Empfänger unbekannt: interne und öffentliche Nutzung werden vermischt.
• besondere Daten übersehen: ausdrückliche Einwilligung fehlt.
• alte Einwilligung für neuen Zweck: Zweckänderungen werden nicht neu geprüft.
• Einwilligung nicht dokumentiert: Nachweis ist später nicht möglich.
• externe Veröffentlichung versteckt: Social Media und Intranet werden gleichbehandelt.

Checkliste vor Verwendung

Vor Einsatz einer Beschäftigteneinwilligung sollten insbesondere folgende Fragen beantwortet sein:

• Wird für diesen Zweck überhaupt eine Einwilligung benötigt?
• Ist die Entscheidung tatsächlich freiwillig?
• Entstehen bei Ablehnung keine sachwidrigen Nachteile?
• Ist der Zweck konkret beschrieben?
• Welche Daten werden verarbeitet?
• Wer erhält Zugriff?
• Ist die Verarbeitung intern oder öffentlich?
• Gibt es mehrere getrennte Zwecke?
• Sind besondere Kategorien personenbezogener Daten betroffen?
• Ist ein Widerruf einfach möglich?
• Wie wird die Einwilligung dokumentiert?
• Was geschieht nach Ausscheiden des Mitarbeiters?
• Sind zusätzliche Datenschutzhinweise erforderlich?

Word oder PDF – welches Format eignet sich besser?

Beide Downloads enthalten dieselbe Grundstruktur.

• Word: ideal, um konkrete Einwilligungszwecke, Datenarten, Empfänger und Widerrufsmöglichkeiten individuell anzupassen.
• PDF: praktisch zum Ausdrucken und zur dokumentierten Auswahl der freiwilligen Einwilligungen.

Datenschutz-Einwilligung individuell anpassen

Eine Einwilligung für eine interne Geburtstagsliste benötigt andere Angaben als die Nutzung privater Kontaktdaten oder die Verarbeitung besonderer Kategorien personenbezogener Daten.

Die Vorlage ist deshalb eine allgemeine Arbeitsgrundlage und ersetzt keine individuelle datenschutzrechtliche Beratung.

Besonders bei sensiblen Beschäftigtendaten, Standortüberwachung, biometrischen Verfahren, umfangreichen Mitarbeiterprofilen oder internationalen Datenübermittlungen sollte die konkrete Rechtsgrundlage individuell geprüft werden.