Thema · Datenschutz

Thüringer Datenschutzgesetz (ThürDSG) und DSGVO – Praxisnahe Unterweisung für Führungskräfte

Rechtssicher · Barrierefrei · Mit Zertifikat

Kostenfreies Strategiegespräch vereinbaren Themenübersicht

UWC-Nr. 5200 ca. 23 Minuten Lernzeit

Beschäftigte absolviert am Laptop eine Online-Unterweisung

Steckbrief

Dauer
ca. 23 Minuten, jederzeit unterbrechbar
Bereiche
Datenschutz · IT Schulungen · Rechtliches
Nachweis
Zertifikat automatisch als PDF
Sprachen
Deutsch, Englisch, Französisch und weitere
Kennung
UWC-Nr. 5200

Ihre Vorteile

Warum Unterweisungscenter?

  • Rechtssicher

    ArbSchG-konform

  • Mehrsprachig

    DE, EN, FR u. a.

  • Zertifikat

    Automatisch als PDF

  • Ein Klick

    Keine Registrierung

  • KISS

    Kurz und bündig

  • Barrierefrei

    WCAG 2.2 AA

Auf dieser Seite
Datenschutz ist kein reiner IT-Bereich mehr – er betrifft jede Personalabteilung, jeden Sicherheitsbeauftragten und jede Führungskraft. Mit dem Thüringer Datenschutzgesetz (ThürDSG) ergänzt das Land Thüringen die europäische DSGVO um landesspezifische Vorgaben. Das führt im Arbeitsalltag zu konkreten Fragen: Welche Meldepflichten bestehen bei Datenpannen? Wie dokumentiere ich die Einwilligung von Mitarbeitern? Welche Rechte hat der Betriebsrat bei der Einführung neuer Personenerfassungssysteme? Diese Unterweisung klärt punktgenau die Schnittstellen zwischen ThürDSG und DSGVO, zeigt typische Fallstricke auf und macht Sie fit für Prüfungen durch Aufsichtsbehörden oder Betriebsprüfer der DGUV.

Abschnitt 1

Rechtliche Grundlagen

Bundesebene:

  • ArbSchG §12: Der Arbeitgeber hat die erforderlichen Maßnahmen zu treffen, damit Beschäftigte weder durch technische noch organisatorische Datenerhebung ihrer Gesundheitsdaten gefährdet werden.
  • ArbSchG §14: Die Unterweisung muss sowohl die Gefährdung durch Datenmissbrauch als auch die korrekte Verarbeitung personenbezogener Daten am Arbeitsplatz umfassen.
  • DGUV Vorschrift 2 (Unfallverhütungsvorschrift „Allgemeine Vorschriften“) §3 und §4: Verpflichtung der Unternehmer, Gefährdungsbeurteilungen auch für informationstechnische Systeme zu erstellen und die Beschäftigten zu unterweisen.

Landesebene:

  • Thüringer Datenschutzgesetz (ThürDSG) §§ 4, 5, 12: Regelt Zuständigkeiten der Thüringer Landesbeauftragten für den Datenschutz, Melde- und Dokumentationspflichten bei Verarbeitung besonderer Kategorien personenbezogener Daten sowie die Zusammenarbeit mit Betriebs- und Personalräten.
  • ThürDSG §19: Verpflichtung zur Benennung eines Datenschutzbeauftragten in Behörden und bestimmten Unternehmen ab 10 betroffenen Personen, die regelmäßig personenbezogene Daten bearbeiten.
  • DSGVO Art. 88: Eröffnet den Ländern Spielräume, arbeitsrechtliche Regelungen im Hinblick auf Beschäftigtendaten zu treffen; in Thüringen durch §13 ThürDSG konkretisiert.

Abschnitt 2

Pflichten des Arbeitgebers

Der Arbeitgeber trägt die Verantwortung für rechtskonformen Umgang mit Mitarbeiterdaten – von der Einstellung bis zur Beendigung des Arbeitsverhältnisses. Konkret muss er:

  • eine datenschutzrechtliche Gefährdungsbeurteilung gemäß DGUV Vorschrift 1 §3 erstellen und regelmäßig aktualisieren – besonders bei Einführung neuer Software wie Zeiterfassungs- oder Bewertungssysteme;
  • die Unterweisungspflicht nach ArbSchG §14 erfüllen und alle Mitarbeiter, die personenbezogene Daten verarbeiten, regelmäßig in Theorie und Praxis schulen;
  • die Dokumentationspflicht gemäß DSGVO Art. 30 und ThürDSG §12 wahrnehmen, indem alle Verarbeitungstätigkeiten erfasst, Änderungen nachvollziehbar protokolliert und Bescheinigungen über erfolgte Unterweisungen mindestens drei Jahre aufbewahrt werden;
  • einen internen Verantwortlichen für Datenschutz gemäß ThürDSG §19 benennen oder eine externe Stelle beauftragen, wenn die gesetzlichen Schwellenwerte erreicht sind.

Abschnitt 3

Inhalte der Unterweisung

1. Grundprinzipien des ThürDSG und der DSGVO

Die Teilnehmenden erlernen die sechs Grundsätze nach DSGVO Art. 5 übertragen auf thüringsspezifische Zusätze:

  • Rechtmäßigkeit: Worin unterscheidet sich die thüringische Rechtsgrundlage des öffentlichen Interesses (§6 ThürDSG) von der bundesweiten DSGVO?
  • Zweckbindung: Beispiel Zeiterfassung – warum dürfen erfasste Daten nicht automatisch für Leistungsbewertungen verwendet werden?
  • Datenminimierung: Erfassung von Krankheitsdaten nur in dem Umfang, der nach DGUV Vorschrift 1 §22 für die Gefährdungsbeurteilung erforderlich ist.

2. Rechte der Betroffenen mit Praxisübungen

  • Auskunftsrecht: Musterformular für Mitarbeiteranfragen „Welche Daten werden über mich gespeichert?“
  • Löschrecht: Ab wann muss ein Arbeitgeber Bewerbungsunterlagen löschen? (DSGVO Art. 17 i. V. m. §12 ThürDSG)
  • Widerspruchsrecht: Handlungsanleitung bei Widerspruch gegen Videoüberwachung am Arbeitsplatz nach §5 ThürDSG.

3. Meldepflichten bei Datenpannen

Schritt-für-Schritt-Leitfaden für den Krisenfall:

  1. Erkennen: Was ist eine „Datenpanne“ im Sinne von DSGVO Art. 4 Nr. 12 und ThürDSG §11?
  2. Bewerten: 72-Stunden-Frist zur Meldung an die Thüringer Landesbeauftragte für Datenschutz und Informationsfreiheit (TLfDI).
  3. Dokumentieren: Pflichtprotokoll mit Beteiligten, Betroffenen, potenziellem Schadensausmaß.
  4. Kommunizieren: Wann müssen Betroffene informiert werden? Was darf in der Pressemitteilung stehen?

4. Abgrenzung zu anderen Gesetzen

  • BDSG-neu vs. DSGVO: Wo gelten bundesweite Besonderheiten wie das Beschäftigtendatenprivileg (§26 BDSG)?
  • Thüringer Kommunalaufsichtsgesetz (ThürKAG): Datenschutz bei kommunalen Arbeitgebern – zusätzliche Prüfungspflichten durch Kommunalaufsicht.
  • DGUV Regel 100-001: Datenschutzkonforme Einführung von Arbeitsschutzsoftware – Abstimmung mit Betriebsrat und Datenschutzbeauftragtem.

5. Praxisbeispiel aus Thüringen

Fall: Eine Fahrschule in Erfurt führt eine digitale Fahrtenbuch-App ein, die Gesundheitsdaten (Sehtest-Ergebnisse) speichert. Wie beurteilt die TLfDI die Rechtmäßigkeit? Die Unterweisung arbeitet die Einwilligungslösung, die Datenminimierung und die Vertragsdatenverarbeitung gemäß DSGVO Art. 28 auf.

Abschnitt 4

Gefährdungen & Schutzmaßnahmen

Häufige Gefährdungen:

  • Unbefugter Zugriff: Offene Aktenablagen, nicht abgeschlossene Computerbildschirme.
  • Datenübermittlungsfehler: Gehaltslisten per unverschlüsselter E-Mail versenden.
  • Softwarefehler: Update-Notwendigkeit bei HR-Systemen, das Sicherheitslücken schließt.

TOP-Prinzip (Technisch-organisatorische Präventivmaßnahmen):

  • Technisch: Verschlüsselung nach Stand der Technik, Zwei-Faktor-Authentifizierung, Zugriffsrollenkonzept.
  • Organisatorisch: Tresorverwaltung für Personalakten, „Clean-Desk-Policy“, regelmäßige Datenschutzschulungen.
  • Personell: Geheimhaltungserklärung, Zugriff nur für Berechtigte, Schulung vor erstmaliger Datenverarbeitung.

Maßnahmenbeispiel: Umsetzung einer Zugriffssteuerung gemäß DSGVO Art. 32 Abs. 1 lit. b: Nur die Personalreferentin und deren Stellvertreter dürfen auf Gesundheitsdaten zugreifen; Änderungen werden protokolliert.

Abschnitt 5

Zielgruppen & Branchen

Besonders betroffen sind:

  • Öffentlicher Dienst in Thüringen: Kommunen, Landesbehörden, Schulen – erweiterte Meldepflicht nach ThürDSG §4.
  • Gesundheitswesen & Sozialdienste: Kliniken, Pflegeheime, Arztpraxen – strenge Regelungen für Gesundheitsdaten gemäß DSGVO Art. 9 und ThürDSG §5.
  • Logistik & Fahrzeugflotten: Einsatz von Fahrerkarte, GPS-Tracking – Abstimmung mit Betriebsrat und Datenschutzbeauftragtem.
  • IT-Dienstleister & Callcenter: Verarbeitung großer Datenmengen, häufige Pflicht zur Datenschutz-Folgenabschätzung (DSFA).

Abschnitt 6

Intervalle & Dokumentation

Die DGUV Vorschrift 1 §4 Abs. 3 verlangt eine Unterweisung spätestens bei Arbeitsantritt und anschließend alle maximal 12 Monate oder bei wesentlichen Änderungen (z. B. neues HR-System, neue Videoüberwachung). Nach DSGVO Art. 30 und ThürDSG §12 müssen:

  • die Unterweisungsnachweise drei Jahre aufbewahrt werden;
  • die Verarbeitungsverzeichnisse laufend aktualisiert werden;
  • die Ergebnisse der Gefährdungsbeurteilung fünf Jahre archiviert werden, es sei denn, es kommt zu einer Änderung der Verarbeitung.

In der Praxis

Was Verantwortliche wissen müssen

Checkliste

Das sollten Sie prüfen

  • Verarbeitungsverzeichnis aktuell und vollständig nach DSGVO Art. 30 und ThürDSG §12?
  • Einwilligungserklärungen von Mitarbeitern datenschutzkonform dokumentiert (DSGVO Art. 7)?
  • Datenschutzbeauftragter benannt (ThürDSG §19) und intern bekannt gemacht?
  • Letzte Unterweisung liegt nicht länger als 12 Monate zurück?
  • Protokoll zu möglichen Datenpannen vorhanden und Krisenplan definiert?
  • Verträge mit Auftragsverarbeitern überprüft (DSGVO Art. 28)?
  • Freigabe von Gesundheitsdaten nur für Berechtigte technisch umgesetzt?

Häufige Fehler

Das geht oft schief

  1. Fehlende Dokumentation von Einwilligungen
    „Wir haben doch mündlich zugestimmt“ genügt nicht – §7 DSGVO verlangt nachweisbare Einwilligung.
  2. Verwechslung von Auftragsverarbeitung und gemeinsamer Verantwortung
    Cloud-Lohnabrechnung führt häufig zu falschen Vertragsgestaltungen.
  3. Unterlassene Meldung kleiner Datenpannen
    Offene E-Mail mit Gehaltslisten unter „CC“ statt „BCC“ – auch das ist meldepflichtig!
  4. Ausschluss des Betriebsrats bei neuen IT-Systemen
    §87 BetrVG verlangt Zustimmung, bevor Software zur Leistungskontrolle eingeführt wird.
  5. Falscher Aufbewahrungszeitraum
    Bewerbungsunterlagen werden 12 Monate zu früh gelöscht – §15 ThürDSG verlangt 6 Monate, kann aber individuell verlängert werden.

Sonderfälle

Das gilt zusätzlich

  • Schwangerschaft und Mutterschutz

    Sensible Daten nach MuSchG dürfen nur an den zuständigen Fachdienst weitergegeben werden, nicht an sämtliche Vorgesetzte.

Häufige Fragen

Fragen zur Unterweisung Thüringer Datenschutzgesetz (ThürDSG) und DSGVO

Wer muss in Thüringen einen Datenschutzbeauftragten benennen?

Behörden ab dem ersten Mitarbeiter sowie Unternehmen, wenn mindestens zehn Personen regelmäßig personenbezogene Daten verarbeiten (§19 ThürDSG).

Wie oft müssen Mitarbeiter neu geschult werden?

Mindestens einmal jährlich (DGUV Vorschrift 1 §4) oder bei jeder wesentlichen Änderung der Verarbeitung (z. B. neue Software, neue Kameraaufstellung).

Darf die Zeiterfassung per Fingerabdruck eingeführt werden?

Nur unter strengen Voraussetzungen: Einwilligung, Zweckbindung, technische Verschlüsselung und Betriebsratsanhörung (DSGVO Art. 9, §87 BetrVG).

Müssen kleine Datenpannen wirklich gemeldet werden?

Ja, wenn ein Risiko für Betroffene besteht. Die 72-Stunden-Frist beginnt mit dem Bekanntwerden (DSGVO Art. 33, ThürDSG §11).

Können Gesundheitsdaten der Mitarbeiter in der Personalakte bleiben?

Nur in separater, versiegelter Krankenakte mit Zugriffsbeschränkung gemäß DGUV Vorschrift 1 §22 und DSGVO Art. 9.

Wie lange müssen Unterweisungsnachweise aufbewahrt werden?

Drei Jahre ab Erstellung (Empfehlung der TLfDI), Arbeitgeber können längere Aufbewahrungsfristen festlegen, sofern verhältnismäßig.

Weiterlesen

Jetzt rechtssicher online unterweisen

Vermeiden Sie Bußgelder und Imageverluste! Mit unserer digitalen E-Learning-Unterweisung beherrschen Sie ThürDSG und DSGVO in unter 45 Minuten – jederzeit abrufbar, immer aktuell und mit Zertifikat zur Aktenlage.

Kostenfreies Strategiegespräch vereinbaren