Dr. Datenschutz Shortnews im Mai 2025 – KW20

Im Bereich Datenschutz ergeben sich stetig neue Entwicklungen und Entscheidungen, die sowohl Unternehmen als auch Verbraucher vor spannende Herausforderungen stellen. Alle zwei Wochen werfen wir einen Blick auf die wichtigsten Ereignisse, die die Datenschutzlandschaft bewegt haben. Hier erfahren Sie alles Wissenswerte kompakt und in Kürze, um immer auf dem neuesten Stand zu sein.

Übermittlung von Lohnabrechnungen per E-Mail

Im jüngst veröffentlichten Tätigkeitsbericht des ULD wird auf technische Anforderungen bezüglich der Lohnabrechnung per E-Mailversand hingewiesen. Eine ehemalige Mitarbeiterin beschwerte sich nämlich über mögliche Datenschutzverstöße, insbesondere den unverschlüsselten Versand ihrer Lohnabrechnungen per E-Mail, was gegen die DSGVO verstoßen könnte. Obwohl sie den Versand ausdrücklich wünschte, betont die Datenschutzaufsicht, dass der Arbeitgeber dennoch verpflichtet ist, ein angemessenes Schutzniveau sicherzustellen und Schutzmaßnahmen wie Verschlüsselung grundsätzlich nicht abwählbar sind.

Bedeutung für die Praxis:

• Der Fall zeigt, dass auch bei Einwilligung der betroffenen Person ein sorgfältiger Umgang mit sensiblen Daten Pflicht bleibt. Datenschutzvorgaben dürfen nicht durch bequeme Lösungen unterlaufen werden – selbst auf ausdrücklichen Wunsch der Betroffenen.

Hilfreiche Links:

• Tätigkeitsbericht (5.11 – Übermittlung von Lohnabrechnungen per E-Mail)
• OLG Karlsruhe urteilt zu Sicherheitsmaßnahmen bei E-Mails
• Erfüllung von Auskunftsersuchen per E-Mail

Zwangsumstieg mit Nebenwirkungen: Das „neue Outlook“

Microsoft ersetzt das klassische Outlook schrittweise durch eine cloudbasierte Version, bei der alle E-Mails, Anhänge und Kontaktdaten – auch von Fremdkonten – vollständig auf Microsoft-Servern gespeichert werden. Dies führt zu Datenschutzbedenken, da unklar bleibt, wo die Daten liegen, welche Schutzmaßnahmen greifen und Nutzer zentrale Funktionen sowie lokale Kontrolle verlieren, was besonders für Berufsgeheimnisträger problematisch ist.

Bedeutung für die Praxis:

• Die Umstellung auf das neue Outlook stellt viele Organisationen vor große Herausforderungen, da lokale Funktionen entfallen und etablierte Prozesse überarbeitet werden müssen. Besonders bei sensiblen Inhalten sollten Alternativen wie der Verbleib beim klassischen Outlook, der Wechsel zu anderen Clients oder die rein webbasierte Nutzung geprüft werden.

Hilfreiche Links:

• FAZ Beitrag „Sprengstoff im Büro“
• Datenschutz & Microsoft 365: DSGVO-konformer Einsatz möglich?
• Handreichung MS 365 – Nur wenig Hilfe für Verantwortliche

HmBfDI Stellungnahme zum Data Act

Der Data Act, der ab dem 12.09.2025 gilt, regelt den Zugang zu Nutzungsdaten aus vernetzten Geräten – insbesondere im Internet of Things – und ermöglicht es Nutzern, selbst zu bestimmen, wer diese Daten nutzen darf; auch Cloud-Anbieter unterliegen besonderen Pflichten. Laut dem Hamburgischen Datenschutzbeauftragten hat der Data Act keinen Vorrang vor der DSGVO, sodass personenbezogene Daten nur bei entsprechender Rechtsgrundlage oder Einwilligung weitergegeben werden dürfen.

Bedeutung:

• Der HmBfDI empfiehlt, Datenschutzverantwortliche frühzeitig in die Umsetzung des Data Acts einzubeziehen, zunächst den Anwendungsbereich zu prüfen und vorhandene Daten – idealerweise mithilfe des Verzeichnisses von Verarbeitungstätigkeiten – zu erfassen. Wichtig ist die Klärung des Personenbezugs, die Abgrenzung bei Mischdatensätzen, der Schutz von Geschäftsgeheimnissen sowie die Vorbereitung von Lizenzverträgen und Einwilligungsprozessen; zudem bestehen neue, DSGVO-ähnliche Informationspflichten, die gesondert zu beachten sind.

Hilfreiche Links:

• Der Data Act als Herausforderung für den Datenschutz
• Data Act: Überblick zur geplanten Datenaustausch-Verordnung
• Datenschutz Podcast: Der Data Act eckt an

Beschluss vom Landesarbeitsgericht: Ausschluss aus Betriebsrat wegen grober Datenschutzverletzung

Ein Betriebsratsvorsitzender leitete dienstliche E-Mails, darunter sensible Personaldaten, automatisch an seine private GMX-Adresse weiter, obwohl ihm bereits eine Abmahnung vorlag. Das LAG Hessen wertete dies als grobe Pflichtverletzung und sah den Ausschluss aus dem Betriebsrat als gerechtfertigt an, da der Datenschutz auch für Betriebsräte gilt und alternative technische Lösungen verfügbar gewesen wären.

Bedeutung:

• Eine wenig überraschende Entscheidung, die die strengen datenschutzrechtlichen Anforderungen an Betriebsratsmitglieder unterstreicht und aufzeigt, welche Konsequenzen auch auf Betriebsratsvorsitzende zukommen können.

Hilfreiche Links:

• LAG Hessen, Beschluss vom 10.03.2025, 16 TaBV 109/24
• Betriebsrat und Datenschutz: Anforderungen der DSGVO
• Betriebsrat: Datenschutzverstoß führt zur Kündigung