Thüringer Datenschutzgesetz (ThürDSG) und DSGVO – Praxisnahe Unterweisung für Führungskräfte

Bundesebene:

• ArbSchG §12: Der Arbeitgeber hat die erforderlichen Maßnahmen zu treffen, damit Beschäftigte weder durch technische noch organisatorische Datenerhebung ihrer Gesundheitsdaten gefährdet werden.
• ArbSchG §14: Die Unterweisung muss sowohl die Gefährdung durch Datenmissbrauch als auch die korrekte Verarbeitung personenbezogener Daten am Arbeitsplatz umfassen.
• DGUV Vorschrift 2 (Unfallverhütungsvorschrift „Allgemeine Vorschriften“) §3 und §4: Verpflichtung der Unternehmer, Gefährdungsbeurteilungen auch für informationstechnische Systeme zu erstellen und die Beschäftigten zu unterweisen.

Landesebene:

• Thüringer Datenschutzgesetz (ThürDSG) §§ 4, 5, 12: Regelt Zuständigkeiten der Thüringer Landesbeauftragten für den Datenschutz, Melde- und Dokumentationspflichten bei Verarbeitung besonderer Kategorien personenbezogener Daten sowie die Zusammenarbeit mit Betriebs- und Personalräten.
• ThürDSG §19: Verpflichtung zur Benennung eines Datenschutzbeauftragten in Behörden und bestimmten Unternehmen ab 10 betroffenen Personen, die regelmäßig personenbezogene Daten bearbeiten.
• DSGVO Art. 88: Eröffnet den Ländern Spielräume, arbeitsrechtliche Regelungen im Hinblick auf Beschäftigtendaten zu treffen; in Thüringen durch §13 ThürDSG konkretisiert.

Der Arbeitgeber trägt die Verantwortung für rechtskonformen Umgang mit Mitarbeiterdaten – von der Einstellung bis zur Beendigung des Arbeitsverhältnisses. Konkret muss er:

• eine datenschutzrechtliche Gefährdungsbeurteilung gemäß DGUV Vorschrift 1 §3 erstellen und regelmäßig aktualisieren – besonders bei Einführung neuer Software wie Zeiterfassungs- oder Bewertungssysteme;
• die Unterweisungspflicht nach ArbSchG §14 erfüllen und alle Mitarbeiter, die personenbezogene Daten verarbeiten, regelmäßig in Theorie und Praxis schulen;
• die Dokumentationspflicht gemäß DSGVO Art. 30 und ThürDSG §12 wahrnehmen, indem alle Verarbeitungstätigkeiten erfasst, Änderungen nachvollziehbar protokolliert und Bescheinigungen über erfolgte Unterweisungen mindestens drei Jahre aufbewahrt werden;
• einen internen Verantwortlichen für Datenschutz gemäß ThürDSG §19 benennen oder eine externe Stelle beauftragen, wenn die gesetzlichen Schwellenwerte erreicht sind.

1. Grundprinzipien des ThürDSG und der DSGVO

Die Teilnehmenden erlernen die sechs Grundsätze nach DSGVO Art. 5 übertragen auf thüringsspezifische Zusätze:

• Rechtmäßigkeit: Worin unterscheidet sich die thüringische Rechtsgrundlage des öffentlichen Interesses (§6 ThürDSG) von der bundesweiten DSGVO?
• Zweckbindung: Beispiel Zeiterfassung – warum dürfen erfasste Daten nicht automatisch für Leistungsbewertungen verwendet werden?
• Datenminimierung: Erfassung von Krankheitsdaten nur in dem Umfang, der nach DGUV Vorschrift 1 §22 für die Gefährdungsbeurteilung erforderlich ist.

2. Rechte der Betroffenen mit Praxisübungen

• Auskunftsrecht: Musterformular für Mitarbeiteranfragen „Welche Daten werden über mich gespeichert?“
• Löschrecht: Ab wann muss ein Arbeitgeber Bewerbungsunterlagen löschen? (DSGVO Art. 17 i. V. m. §12 ThürDSG)
• Widerspruchsrecht: Handlungsanleitung bei Widerspruch gegen Videoüberwachung am Arbeitsplatz nach §5 ThürDSG.

3. Meldepflichten bei Datenpannen

Schritt-für-Schritt-Leitfaden für den Krisenfall:

1. Erkennen: Was ist eine „Datenpanne“ im Sinne von DSGVO Art. 4 Nr. 12 und ThürDSG §11?
2. Bewerten: 72-Stunden-Frist zur Meldung an die Thüringer Landesbeauftragte für Datenschutz und Informationsfreiheit (TLfDI).
3. Dokumentieren: Pflichtprotokoll mit Beteiligten, Betroffenen, potenziellem Schadensausmaß.
4. Kommunizieren: Wann müssen Betroffene informiert werden? Was darf in der Pressemitteilung stehen?

4. Abgrenzung zu anderen Gesetzen

• BDSG-neu vs. DSGVO: Wo gelten bundesweite Besonderheiten wie das Beschäftigtendatenprivileg (§26 BDSG)?
• Thüringer Kommunalaufsichtsgesetz (ThürKAG): Datenschutz bei kommunalen Arbeitgebern – zusätzliche Prüfungspflichten durch Kommunalaufsicht.
• DGUV Regel 100-001: Datenschutzkonforme Einführung von Arbeitsschutzsoftware – Abstimmung mit Betriebsrat und Datenschutzbeauftragtem.

5. Praxisbeispiel aus Thüringen

Fall: Eine Fahrschule in Erfurt führt eine digitale Fahrtenbuch-App ein, die Gesundheitsdaten (Sehtest-Ergebnisse) speichert. Wie beurteilt die TLfDI die Rechtmäßigkeit? Die Unterweisung arbeitet die Einwilligungslösung, die Datenminimierung und die Vertragsdatenverarbeitung gemäß DSGVO Art. 28 auf.

• Unbefugter Zugriff: Offene Aktenablagen, nicht abgeschlossene Computerbildschirme.
• Datenübermittlungsfehler: Gehaltslisten per unverschlüsselter E-Mail versenden.
• Softwarefehler: Update-Notwendigkeit bei HR-Systemen, das Sicherheitslücken schließt.

TOP-Prinzip (Technisch-organisatorische Präventivmaßnahmen):

• Technisch: Verschlüsselung nach Stand der Technik, Zwei-Faktor-Authentifizierung, Zugriffsrollenkonzept.
• Organisatorisch: Tresorverwaltung für Personalakten, „Clean-Desk-Policy“, regelmäßige Datenschutzschulungen.
• Personell: Geheimhaltungserklärung, Zugriff nur für Berechtigte, Schulung vor erstmaliger Datenverarbeitung.

Maßnahmenbeispiel: Umsetzung einer Zugriffssteuerung gemäß DSGVO Art. 32 Abs. 1 lit. b: Nur die Personalreferentin und deren Stellvertreter dürfen auf Gesundheitsdaten zugreifen; Änderungen werden protokolliert.

Besonders betroffen sind:

• Öffentlicher Dienst in Thüringen: Kommunen, Landesbehörden, Schulen – erweiterte Meldepflicht nach ThürDSG §4.
• Gesundheitswesen & Sozialdienste: Kliniken, Pflegeheime, Arztpraxen – strenge Regelungen für Gesundheitsdaten gemäß DSGVO Art. 9 und ThürDSG §5.
• Logistik & Fahrzeugflotten: Einsatz von Fahrerkarte, GPS-Tracking – Abstimmung mit Betriebsrat und Datenschutzbeauftragtem.
• IT-Dienstleister & Callcenter: Verarbeitung großer Datenmengen, häufige Pflicht zur Datenschutz-Folgenabschätzung (DSFA).

Die DGUV Vorschrift 1 §4 Abs. 3 verlangt eine Unterweisung spätestens bei Arbeitsantritt und anschließend alle maximal 12 Monate oder bei wesentlichen Änderungen (z. B. neues HR-System, neue Videoüberwachung). Nach DSGVO Art. 30 und ThürDSG §12 müssen:

• die Unterweisungsnachweise drei Jahre aufbewahrt werden;
• die Verarbeitungsverzeichnisse laufend aktualisiert werden;
• die Ergebnisse der Gefährdungsbeurteilung fünf Jahre archiviert werden, es sei denn, es kommt zu einer Änderung der Verarbeitung.