Nutzen Sie das elektronische Auslesen der eID nicht als automatischen Standardschritt beim Eintritt. Mit einem Kartenlesegerät können mehr Daten verfügbar werden, als Sie für die Personalverwaltung brauchen, darunter Adresse, Foto, die nationale Identifikationsnummer (in Belgien die Nationalregisternummer) und die elektronischen Zertifikate auf der Karte.
Sie brauchen eine Rechtsgrundlage
Elektronisches Auslesen erfordert eine passende Rechtsgrundlage. Wird eine Einwilligung erwogen, muss sie wirklich freiwillig, spezifisch und informiert sein, und es muss eine gleichwertige Alternative geben.
Wegen des Machtgefälles zwischen Arbeitgeber und Arbeitnehmer ist die Einwilligung im Arbeitsverhältnis in der Regel keine geeignete Standardgrundlage. Der Europäische Datenschutzausschuss (EDSA) merkt an, dass Beschäftigte nur in Ausnahmefällen eine freiwillige Einwilligung geben können.
Die belgische Datenschutzbehörde stellt zudem fest, dass das Auslesen auf die für den Zweck unbedingt erforderlichen Daten beschränkt bleiben muss und dass für bestimmte Kartendaten spezifische Bedingungen gelten.
Wenn Sie dennoch ein Kartenlesegerät nutzen
Beschränken Sie die Software technisch auf die nötigen Daten. Speichern Sie nicht automatisch alle verfügbaren Kartendaten.
Informieren Sie den Mitarbeiter vorab darüber, welche Daten ausgelesen werden, warum das geschieht, wo sie gespeichert und wie lange sie aufbewahrt werden.
Eine Sichtprüfung und separate Erfassung sind in der Regel weniger eingriffsintensiv. Welche Daten Sie dann übernehmen, lesen Sie in Welche Daten vom Personalausweis eines Mitarbeiters darf ich erfassen?
Rechtsgrundlage
Elektronisches Auslesen muss den Grundsätzen der Rechtmäßigkeit, Zweckbindung und Datenminimierung genügen (Artikel 5 Absatz 1 Buchstaben a bis c DSGVO) und erfordert eine Rechtsgrundlage nach Artikel 6 DSGVO; stützen Sie sich auf eine Einwilligung, gelten die Bedingungen des Artikels 7 DSGVO. Sie müssen den Mitarbeiter vorab informieren (Artikel 13 DSGVO), die Software nach Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gestalten (Artikel 25 DSGVO) und die ausgelesenen Daten angemessen sichern (Artikel 32 DSGVO). Artikel 87 DSGVO erlaubt den Mitgliedstaaten, besondere Bedingungen für die nationale Identifikationsnummer auf der Karte festzulegen, und das nationale Recht zu Personalausweisen und Melderegistern bestimmt die weiteren Spielregeln.
GDPRWise bildet Ihre HR-Prozesse ab, vom Onboarding bis zum Austritt, damit Sie für jedes Datum wissen, warum Sie es führen.