Beschäftigtendaten in Kommunen: Häufige KVKK-Fehler in Personalakten

⏱️ Lesezeit: 12 min · 📁 Kategorie: KVKK, Mitarbeiterdaten & öffentliche Einrichtungen

Beschäftigtendaten in Kommunen: Häufige KVKK-Fehler in Personalakten

Großstadtkommunen verarbeiten nicht nur Bürgerdaten, sondern auch
Personalakten sowie Gesundheits-, Disziplinar-, Leistungs- und Sicherheitsdaten Tausender Beschäftigter.
Beschlüsse des Datenschutzgremiums und die Prüfungspraxis zeigen, dass
ein erheblicher Teil der KVKK-Verstöße in Kommunen
auf die fehlerhafte und unverhältnismäßige Verarbeitung von Beschäftigtendaten zurückzuführen ist.

Der schwerwiegendste Irrtum lautet:
„Es sind unsere Beschäftigten, also dürfen wir beliebige Daten verarbeiten.“
In Bezug auf KVKK ist dieser Ansatz völlig falsch.
Dieser Artikel behandelt die häufigsten
strukturellen und wiederkehrenden Fehler bei kommunalen Personaldaten anhand klarer Themenbereiche.

Grundprinzip:
Arbeitgeber zu sein erlaubt keine unbegrenzte Datenverarbeitung. 1) Verarbeitung von Personaldaten auf „ausdrückliche Einwilligung“ stützen

Einer der häufigsten Fehler in Kommunen
ist der Versuch, die Verarbeitung von Beschäftigtendaten durch ausdrückliche Einwilligung zu legitimieren.
Im Arbeitgeber-Arbeitnehmer-Verhältnis fehlt jedoch häufig die Freiwilligkeit der Entscheidung.

• Pauschale Einwilligungsformulare beim Eintritt in die Organisation
• Erschwerte Arbeitsabläufe bei verweigerter Einwilligung
• Unklarheit über den Ablauf bei Widerruf der Einwilligung

Ansatz des Datenschutzgremiums:
Bei Beschäftigtendaten bilden gesetzliche Verpflichtungen und das Vertragsverhältnis die Grundlage, nicht die ausdrückliche Einwilligung. 2) Unverhältnismäßige Verarbeitung von Urlaubs-, Attest- und Gesundheitsdaten

Daten wie Jahresurlaub, Sonderurlaub, ärztliche Atteste und Behinderungsstatus
fallen häufig unter besondere Kategorien personenbezogener Daten im Sinne des Gesetzes.
Häufige Praktiken bei diesen Daten in Kommunen sind:

• Erhebung unnötiger Einzelheiten
• Weitergabe an unbeteiligte Abteilungen
• Unbefristete Speicherung

Diese zählen zu den häufigsten Beispielen für Verstöße.

3) Kameraaufnahmen als Instrument zur Personalkontrolle

Kamerasysteme in kommunalen Gebäuden werden häufig
zur „Sicherheit“ installiert;
in der Praxis dienen sie jedoch zur Überwachung des Arbeitsverhaltens,
zur Kontrolle von Verspätungen und vorzeitigem Gehen oder für Disziplinaruntersuchungen.

• Kameraüberwachung von Ruhebereichen
• Kameraaufnahmen zur Grundlage für die Leistungsbewertung machen
• Beschäftigte nicht über diese Nutzung informieren

Kamerasysteme
sind keine Instrumente zur Disziplinar- oder Leistungskontrolle. 4) Übermäßige Datenerhebung bei Zutritts- und Zeiterfassungssystemen

Kartenbasierte Zutritts-, Fingerabdruck-, Gesichtserkennungs- und biometrische Systeme
sind in Kommunen weit verbreitet.
Häufige Probleme bei diesen Systemen sind:

• Ohne Alternative vorgeschrieben
• Unnötige Bevorzugung biometrischer Daten
• Fehlende Aufbewahrungs- und Zugriffsregeln

KVKK-Prinzip:
Wenn das gleiche Ziel durch eine weniger invasive Methode erreicht werden kann, können biometrische Daten nicht verwendet werden. 5) Zweckentfremdung bei Disziplinaruntersuchungen

Disziplinarverfahren gehören zu den Bereichen, in denen kommunale Personaldaten
besonders leicht zweckfremd verwendet werden.

• Zugang zu Untersuchungsakten für mehr Personen als nötig
• Automatische Nutzung von alten Disziplinarakten in neuen Prozessen
• Unterlassene Löschung nach Abschluss der Untersuchung

Disziplinardaten dürfen nicht zu einem dauerhaften Etikett für Beschäftigte werden.

6) Unkontrollierte interne Weitergabe von Personaldaten

Kommunale Personalinformationen werden häufig
unter dem Vorwand „interner“ Nutzung unbegrenzt geteilt.

• Unverhältnismäßige Datenweitergabe an Gewerkschaften
• Übermittlungen an kommunale Beteiligungsunternehmen ohne klare Regelung
• Übermittlung unnötiger Einzelheiten an die Führungsebene

Das interne Teilen wird auch von KVKK abgedeckt.
„Intern“ bedeutet nicht automatisch rechtmäßig. 7) Schablonenhafte und unwirksame Datenschutzhinweise für Beschäftigte

Die Datenschutzhinweise für Beschäftigte in den meisten Kommunen:

• Enthalten allgemeine Formulierungen
• Spiegeln die tatsächliche Praxis nicht wider
• Erschweren Beschäftigten die praktische Ausübung ihrer Rechte

Das Datenschutzgremium betrachtet dies als
Verstoß gegen die Transparenzpflicht nach dem Gesetz.

Warum werden Verstöße in den Mitarbeiterdaten wiederholt?

• Arbeitgeberreflexe haben Vorrang vor rechtlicher Prüfung
• Personalprozesse werden nicht auf KVKK-Konformität geprüft
• Disziplin und Sicherheitsdruck
• Weniger eingreifende Alternativen werden nicht geprüft

Verstöße bei Beschäftigtendaten beruhen oft nicht auf der Technik, sondern auf
unklaren Befugnisgrenzen. Was sollten Kommunen tun? (Kurzer Fahrplan)

• Für Personaldaten ist ein gesondertes und detailliertes Datenverzeichnis zu erstellen.
• Die Rechtsgrundlage für jeden Prozess muss klar definiert werden
• Biometrische Systeme und Kameras auf Verhältnismäßigkeit prüfen
• Aufbewahrungs- und Vernichtungsregeln für Disziplinar- und Sicherheitsdaten klären
• Gezielte KVKK-Schulungen für Personalabteilung und Führungskräfte anbieten

Fazit

Beschäftigtendaten in Kommunen
gehören zu den unauffälligsten, aber risikoreichsten Bereichen der KVKK.
Verstöße bleiben oft nach außen unsichtbar;
eine Beschwerde oder Prüfung kann jedoch
hohe Verwaltungssanktionen und Reputationsschäden nach sich ziehen.

Der Schutz von Personaldaten
ist nicht nur eine gesetzliche Pflicht;
er ist auch ein Grundpfeiler institutioneller Gerechtigkeit und einer Vertrauenskultur.

KVKK-Risikoanalyse für Beschäftigtendaten