16.12.
2016

Datenschutz im Gastgewerbe und im Arbeitsrecht

Das bisherige Datenschutzrecht in Europa wird, wie schon mehrfach berichtet, grundlegend reformiert. Nachdem die Datenschutzgrundverordnung (DS-GVO) vom Europäischen Parlament verabschiedet wurde und in Kraft getreten ist, lohnt sich ein erster Überblick.

Recht auf die Übertragbarkeit von Daten

Daten verarbeitende Unternehmen – und dazu gehören grundsätzlich auch die Betriebe des Gastgewerbes - müssen dem Nutzer seine bei ihnen gespeicherten Nutzerdaten in einem „strukturierten, gängigen und maschinenlesbaren Format“ bereitstellen, wenn ein Nutzer dies verlangt. Problematisch ist in diesem Zusammenhang der Erhalt von Nutzerdaten direkt von einem anderen Unternehmen, zum Beispiel im Rahmen von Buchungsvorgängen über Buchungsportale. Hier ist unbedingt darauf zu achten, dass eine Einwilligung des Nutzers in die Speicherung und Übertragung vorliegt. Enthalten die im Hotel gespeicherten Kundendaten Daten von Dritten dürfen diese bei Übermittlung an andere Unternehmen regelmäßig nicht mit übermittelt werden.

Datenschutzfreundliche Voreinstellungen in Anwendungen

Auch im Gastgewerbe muss künftig darauf geachtet werden, dass die Voreinstellungen auf den von ihnen genutzten Plattformen (beispielsweise Apps für mobile Endgeräte u.ä.) die jeweils datenschutzfreundlichsten Einstellungen sind, die möglich sind. Das bedeutet, dass nur solche Daten verarbeitet werden dürfen, deren Verarbeitung für den jeweils ganz konkreten Verarbeitungszweck erforderlich sind.

Einwilligungsalter

Datenschutzrechtlich wirksame Einwilligungen sind außerdem an ein Mindestalter von 16 Jahren geknüpft. Aber Vorsicht: national strengere Regelungen bleiben davon unberührt! In Deutschlandliegt das Mindestalter für Einwilligungen deshalb bei 18 Jahren.

Rechenschaftspflichten

Weiterer Dokumentationsaufwand wird durch Artikel 5 Abs. 2 DS-GVO verursacht. Die Einhaltung der Datenschutzgrundsätze muss nachweisbar festgehalten werden. Die Inhalte des umfangreichen Verzeichnisses aus Artikel 30 DS-GVO müssen aufgezeichnet werden. Unternehmen, die weniger als 250 Mitarbeiter beschäftigen sind davon zwar ausgenommen; wenn die Verarbeitung personenbezogener Daten allerdings „nicht nur gelegentlich“ erfolgt, entfällt die Ausnahme. Da im Gastgewerbe laufend personenbezogene Daten verarbeitet werden, lässt sich aus der Vorschrift kein Honig saugen. Unternehmen, die sich von den Datenschutzbehörden zertifizieren lassen, erfüllen damit automatisch ihre Rechenschaftspflicht. Ob eine Zertifizierung sinnvoll ist, oder ob andere Möglichkeiten effizienter und kostensparender sind, muss im Einzelfall entschieden werden. Wir sind Ihnen dabei behilflich!

Zwischenfazit:

Die DS-GVO lässt Unternehmen eine Übergangszeit von zwei Jahren. Bis 2018 sollten Gastgewerbebetrieb die Zeit nutzen, um sich auch im Datenschutz auf den neuesten Stand zu bringen und so Bußgelder und Schadenersatzansprüche Betroffener zu vermeiden.

Ein Praxisfall

Ein Hotel mittlerer Größe mit insgesamt 24 Mitarbeitern plant eine Werbekampagne und gibt dabei auch eine neue Internetpräsenz in Auftrag. Da die Kosten für ein Photoshooting mit einem professionellen Photographen erheblich sind, entscheidet man sich dazu, bei den „Models“ etwas zu sparen. Der Hoteldirektor möchte wissen, ob er Bilder seiner Rezeptionistinnen machen lassen darf, um diese auf die Website zu stellen. Dazu muss er vor allem § 4a Abs. 1 Bundesdatenschutzgesetz (BDSG) beachten. Dort heißt es u.a.:

„Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. […] Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist.“

Der Hoteldirektor braucht also zunächst einmal die schriftliche Einwilligung der Mitarbeiterinnen. Was geschieht aber, wenn die Rezeptionistin sich später anders entscheidet oder den Betrieb verlässt? Hierzu hat das Bundesarbeitsgericht entschieden, dass eine einmal erteilte Einwilligung ohne plausiblen Grund nicht rückgängig gemacht werden kann. Liegt ein solcher Grund vor, muss der (ehemalige) Arbeitgeber allerdings handeln und Bilder oder Filme aus seinem werblichen Auftritt entfernen. Wegen der in diesem Bereich herrschenden Risiken und Unsicherheiten auch innerhalb der Rechtsprechung muss eine fundierte datenschutzrechtliche Beratung wesentlicher Bestandteil unternehmerischer Entscheidungen sein. Das gilt ganz besonders vor dem Hintergrund des neuen EU-Datenschutzrechts. Bei Fragen hierzu sprechen Sie uns einfach an! Unsere Rechtsanwälte für Datenschutz und Arbeitsrecht helfen Ihnen gerne weiter.

Autor