Richtlinie zum Datenschutz von Beschäftigten

Die Richtlinie zum Datenschutz von Beschäftigten definiert Datenschutzanforderungen für personenbezogene Daten von Beschäftigten innerhalb des Privacy Information Management Systems. Ihr Geltungsbereich umfasst Erhebung, Nutzung, Offenlegung, Verknüpfung mit Aufbewahrung, Datenschutzhinweise, Bearbeitung von Rechten, Beschäftigtenüberwachung, Unterstützung durch Auftragsverarbeiter und Nachweismanagement für personenbezogene Daten von Beschäftigten. Die Richtlinie gilt in Kontexten als Verantwortlicher und gemeinsam Verantwortlicher, in denen die Organisation Zwecke und Mittel der Verarbeitung personenbezogener Daten von Beschäftigten bestimmt, sowie in Kontexten als Auftragsverarbeiter und Unterauftragsverarbeiter, in denen die Organisation personenbezogene Daten von Beschäftigten nach dokumentierten Weisungen verarbeitet. Personenbezogene Daten von Beschäftigten sind weit gefasst und umfassen Informationen über Beschäftigte, Bewerber, ehemalige Beschäftigte, Auftragnehmer, Zeitarbeitskräfte, Praktikanten, entsandte Mitarbeitende und andere an der Belegschaft beteiligte Personen, wenn die Organisation deren personenbezogene Daten für Zwecke der Belegschaftsverwaltung, Rekrutierung, Beschäftigung, Beauftragung, Vergütung, Sozialleistungen, Sicherheit, Einhaltung, Arbeitsplatzadministration oder verwandte Geschäftszwecke verarbeitet. Ein zentrales Merkmal der Richtlinie ist ihr Nachweismodell. Die Richtlinie erstellt kein separates HR-Datenschutzregister, Beschäftigtendatenschutzregister, Beschäftigtenüberwachungsregister, HR-Dienstleisterregister, Beschäftigtenrechte-Register oder Beschäftigtenvorfallsregister. Stattdessen verlangt sie, dass Nachweise zur Verarbeitung von Beschäftigtendaten in den kanonischen PIMS-Registern gepflegt werden: REG02 für Verarbeitungsinventar und Verknüpfung mit Aufbewahrung, REG04 für Datenschutzrisiken und DSFA-Auslöser, REG06 für Betroffenenanfragen von Beschäftigten, REG07 für Datenschutzhinweise für Beschäftigte, REG08 für HR-Auftragsverarbeiter und Dienstleister, REG10 für Datenschutzvorfälle mit personenbezogenen Daten von Beschäftigten sowie REG12 für Ausnahmen, Nichtkonformitäten, Korrekturmaßnahmen, Überwachung und Nachweise zur Verbesserung. Diese Struktur unterstützt den Zweck der Richtlinie: Personenbezogene Daten von Beschäftigten dürfen nur für dokumentierte, genehmigte, transparente, verhältnismäßige und rechenschaftspflichtige Zwecke der Belegschaftsverwaltung verarbeitet werden, während eine doppelte HR-spezifische Nachweisebene vermieden wird. Die Richtlinienaussagen legen detaillierte operative Kontrollen für den Lebenszyklus personenbezogener Daten von Beschäftigten fest. Bevor personenbezogene Daten von Beschäftigten erhoben, erzeugt, importiert, genutzt oder offengelegt werden, muss der Prozessverantwortliche / Geschäftsinhaber die Verarbeitungstätigkeit für Beschäftigtendaten in REG02 erfassen, einschließlich Kategorien personenbezogener Daten, Beschäftigtenpopulation, Erhebungsquelle, Verarbeitungszweck, Systeme, interner und externer Empfängerkategorien sowie Verknüpfung mit Aufbewahrung. Datenschutzhinweise für Beschäftigte müssen in REG07 gepflegt werden, bevor eine direkte oder indirekte Erhebung für einen neuen oder wesentlich geänderten Zweck erfolgt. Die Richtlinie verlangt, dass personenbezogene Daten von Beschäftigten nur für genehmigte, in REG02 erfasste Zwecke verwendet werden, und sie verlangt, dass interne Empfängerkategorien, Bedingungen des geschäftlichen Bedarfs und wiederkehrende externe Offenlegungen dokumentiert werden, bevor die Offenlegung beginnt. Vermutete unbefugte Offenlegung, unbefugter Zugriff, Verlust oder Missbrauch von Überwachungsdaten muss innerhalb eines Geschäftstags nach Identifizierung an REG10 weitergeleitet werden. Governance für Betroffenenanfragen von Beschäftigten, Beschäftigtenüberwachung und HR-Dienstleister erhält besondere Aufmerksamkeit. Betroffenenanfragen von Beschäftigten müssen innerhalb von zwei Geschäftstagen in REG06 erfasst oder dorthin weitergeleitet werden; Beiträge der Prozessverantwortlichen sind innerhalb von fünf Geschäftstagen nach Zuweisung fällig. Komplexe Anfragen, die Überwachungsaufzeichnungen, Aufzeichnungen zu Hintergrundprüfungen, besondere Kategorien personenbezogener Daten, personenbezogene Daten von Beschäftigten Dritter, rechtliche Beschränkungen oder automatisierte Entscheidungsfindung betreffen, erfordern vor Ablehnung, Verlängerung, Einschränkung oder komplexer Bearbeitung die Beratung durch den Datenschutzbeauftragten / Datenschutzberater. Beschäftigtenüberwachung muss vor Aktivierung oder wesentlicher Änderung in REG02 dokumentiert, bei Auslösung über REG04 für Datenschutz-Risiko-Screening oder DSFA-Screening weitergeleitet, durch aktuelle REG07-Nachweise zu Datenschutzhinweisen oder Kommunikation gestützt und mindestens jährlich in REG12 stichprobenartig geprüft werden, wenn sie in REG02 enthalten ist. HR-Auftragsverarbeiter, Gehaltsabrechnung, HRIS, Sozialleistungen, Hintergrundprüfungen und ausgelagerte HR-Dienstleister müssen in REG08 erfasst werden, bevor personenbezogene Daten von Beschäftigten dem Anbieter offengelegt, von ihm abgerufen oder über ihn verarbeitet werden. Governance-Bestimmungen weisen wiederkehrende Aufsichts- und Durchsetzungsverantwortlichkeiten zu. Der Privacy Lead / PIMS Manager muss vierteljährliche Prüfungen der Nachweise zum Datenschutz von Beschäftigten über REG02, REG04, REG06, REG07, REG08, REG10 und REG12 hinweg durchführen, während die oberste Leitung wesentliche Richtlinienänderungen und risikoreiche Ausnahmen zum Datenschutz von Beschäftigten genehmigt. Kennzahlen umfassen den Prozentsatz der Verarbeitungstätigkeiten für Beschäftigtendaten mit aktuellen REG02-Aufzeichnungen, die Aktualität von Datenschutzhinweisen für Beschäftigte, offene Datenschutzrisiken und DSFA-Routing-Elemente zu Beschäftigten, die Fristeneinhaltung bei Betroffenenanfragen von Beschäftigten, den Abschluss von HR-Dienstleisterprüfungen und Trends bei Datenschutzvorfällen mit personenbezogenen Daten von Beschäftigten, sofern Vorfälle auftreten. Ausnahmen müssen vor Abweichung in REG12 erfasst, mit einem Ablaufdatum von höchstens 90 Tagen versehen und vor Ablauf überprüft werden. Die Durchsetzung verlangt Nichtkonformitäten in REG12, wenn erforderliche Nachweise zum Datenschutz von Beschäftigten fehlen, verhindert die Genehmigung von Beschäftigtenüberwachung ohne erforderliche Nachweise und erlaubt die Aussetzung neuer Offenlegungen personenbezogener Daten von Beschäftigten an HR-Dienstleister, wenn Nachweise zu Auftragsverarbeitern, Unterauftragsverarbeitern, Weisungen oder Unterstützung fehlen.