Datenschutz unter neuen Aspekten

Der Datenschutz schützt die Person, nicht die Daten!  Das Grundrecht auf Privatsphäre ist in Art. 13 der Bundesverfassung verankert. Im Bundesgesetz über den Datenschutz (DSG) wird der Persönlichkeitsschutz näher definiert. Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung der EU (DSGVO) in Kraft. Unter gewissen Umständen gilt sie auch für Assessmentunternehmen in der Schweiz. Das DSG ist aktuell in Revision. Der Entwurf des neuen DSG (E-DSG) lehnt sich stark an die DSGVO an. Er wird 2019 resp. 2020 in Kraft treten.

Der sorgfältige Umgang mit Daten ist ein Muss für alle Assessmentunternehmen. Die erwähnten Gesetze und DSGVO definieren die Datenbearbeitung weit, nämlich als Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren resp. Speichern und Vernichten resp. Löschen von Personendaten. Damit die Bearbeitung rechtmässig ist, müssen folgende Kriterien erfüllt sein:

• Rechtmässige Beschaffung: Die Teilnehmer müssen ihre Einwilligung zur Durchführung des Assessments geben. Zu Beweiszwecken sollte jede Einwilligung schriftlich eingeholt werden.
• Verhältnismässigkeit: Die Datenbearbeitung muss erforderlich, geeignet und zumutbar sein. Es sollen so viele Daten wie nötig, aber so wenige wie möglich in einem Assessment gesammelt werden.
• Zweckgebundenheit der Bearbeitung: Das Ziel eines Assessments ist das Eruieren des Potenzials im Hinblick auf ein Anforderungsprofil, das mit der auftraggebenden Organisation erarbeitet wurde. Daten dürfen nur zu diesem Zweck erhoben werden.
• Transparenz: Der Zweck der Datenbearbeitung muss den Teilnehmern erläutert und sie müssen darüber informiert werden, was mit ihren Daten geschieht. So beispielsweise, dass ihr Assessmentbericht der Auftraggeberin zugestellt wird.
• Auskunftsrecht: Der Teilnehmer hat Anrecht auf eine Kopie des Assessmentberichts. Wird ihm dieser im Rahmen eines Feedbackgesprächs durch die Assessoren erläutert, können gleich allfällige Fragen geklärt werden.
• Geeignete technische und organisatorische Massnahmen zur Gewährleistung der Datensicherheit: Dieses Kriterium ist anspruchsvoll, da es sich nicht nur auf die Datensicherheit bei der Assessmentunternehmung bezieht, sondern auch auf deren Lieferanten wie Online-Testanbieter.

Ist der Zweck der Datensammlung erfüllt, verlangt der E-DSG, gleich wie die DSGVO, explizit die Vernichtung nicht mehr erforderlicher Daten oder zumindest deren Anonymisierung.