Kurzbeitrag : Aus den aktuellen Berichten und Informationen der Aufsichtsbehörden (47): Einzelaspekte des Beschäftigtendatenschutzes in den neuen Tätigkeitsberichten der BremLfD und der BlnBfDI : aus der RDV 3/2020, Seite 133 bis 135
Zusammengestellt und erläutert von Prof. Peter Gola*
In ihrem am 20.03.2020 vorgelegten 2. TB (2019) zur DS-GVO greift die Landesdatenschutzbeauftragte von Bremen u.a. folgende den Beschäftigtendatenschutz betreffende Fälle auf (Kap. 11):
I. Aufzeichnung von Call-Center-Telefonaten (2. TB, Ziff. 11.2)
Weiterhin vertritt die LfD eine sehr einschränkende Auffassung zur Zulässigkeit von Aufzeichnungen von Anrufen durch ein Callcenter. Danach sollen die Aufzeichnungen von eingehenden Anrufen in einem Callcenter zum Zweck der späteren Auswertung zur Schulung der Beschäftigten in der Regel mangels deren Erforderlichkeit gegen Datenschutzrecht verstoßen (§ 26 Abs. 1 S. 1 BDSG). Eine Einwilligung komme mangels Freiwilligkeit als Rechtsgrundlage ebenfalls im Regelfall nicht in Betracht (siehe zu den besonderen Anforderungen an die Erteilung einer Einwilligung durch Beschäftigte auch Ziffer 11.8 dieses Berichts).
II. Unzulässigkeit der Kenntlichmachung des Herkunftslands für Hilfskräfte im Supermarkt
Als unzulässig bewertete es die LfD auch, dass ein Arbeitgeber von in einem Supermarkt beschäftigten Flüchtlingen verlangte, bei der Arbeit ein Schild mit ihrem Namen und einer Flagge des Herkunftslands zu tragen. Auch von Beschäftigten mit Außenkontakt dürfe ein Arbeitgeber nicht verlangen, ihr Herkunftsland während der Arbeitszeit offenzulegen, insbesondere nicht durch das Tragen entsprechender Schilder oder Kennzeichnungen auf der Kleidung. Dies gelte auch für Hilfskräfte. Angesichts des Beschäftigungskontexts sei auch eine wirksame Einwilligung nicht denkbar.
III. Aufforderung zur Einrichtung eines Zugriffs auf dienstliche E-Mail-Postfächer
Ebenfalls als unzulässig bewertete die LfD eine Aufforderung an Bedienstete, für eventuelle Vertretungsfälle die Möglichkeit eines Vertretungszugriffs auf die personalisierten dienstlichen E-Mail-Postfächer einzurichten. Dies gelte nicht nur, wenn das Konto auch privat genutzt werden darf.
Die geltenden Vorschriften in der Freien Hansestadt Bremen enthielten hierfür keine Rechtsgrundlage; vgl. die Verwaltungsvorschrift zu Kommunikation und Dokumentenverwaltung in der Freien Hansestadt Bremen (VV KommDok). Eine Einwilligung als Rechtsgrundlage sei angesichts des Beschäftigtenkontexts nur in Ausnahmefällen denkbar und könnte allenfalls die Bedenken im Hinblick auf den Beschäftigtendatenschutz ausräumen.
IV. Zurücksetzung des Passworts von Mitarbeitern bei Abwesenheit
Nach der LfD kann jedoch der Zugriff auf passwortgeschützte Beschäftigtenkonten bei insbesondere längerer oder unvorhergesehener Abwesenheit auch ohne vorherige Zustimmung der Betroffenen zulässig sein. Der dienstlich unvermeidbare Zugriff ist auf das Mindestmaß zu beschränken und genau zu dokumentieren. Im Anschluss ist für einen erneuerten Passwortschutz zu sorgen und der Betroffene unverzüglich zu informieren.
V. Zum Einsatz von Ortungssystemen in Firmenfahrzeugen
Auch in Fahrzeugen von Fahrdiensten für Senioren oder Menschen mit Behinderungen beurteilt die LfD eine kontinuierliche Echtzeitbeobachtung des Standorts der Fahrzeuge schon wegen des dadurch erzeugten lückenlosen Überwachungsdrucks idR für unzulässig; um so mehr gelte das für eine längerfristige Speicherung der erfassten Ortungsdaten zwecks der Erstellung von Bewegungsprofilen. Da der Einsatz von Ortungssystemen wie dem Global Positioning System (GPS) oder ähnlicher Technologie in den den Beschäftigten zur Nutzung überlassenen Firmenfahrzeugen nicht zur Verhaltenskontrolle genutzt werden dürfe, müsse der Arbeitgeber ein anderes legitimes Interesse haben und die Verarbeitung auf das für diesen Zweck erforderliche Maß begrenzen sowie gegen anderweitige Nutzung technisch und organisatorisch absichern.
VI. Ineffektivität der Aufzeichnung elektronischer Zugangsdaten
Unzulässig sind elektronisches Zugangssysteme, die mithilfe personalisierter elektronischer Schlüssel die genauen Zutrittszeiten der Beschäftigten aufzeichnen, wenn gleichzeitig die gesicherten Türen mit einem anderen Schlüsselinhaber ohne Nutzung des eigenen Schlüssels passiert werden können. Insbesondere für eine Prävention oder Verfolgung von Straftaten sei eine derart gestaltete Datenerhebung nicht geeignet.
VII. Keine Anwendung des § 4 BDSG auf Videoüberwachungen zu privaten Zwecken
Die LfD weist insoweit auf das Urteil des Bundesverwaltungsgericht vom 27. März 2019 (Aktenzeichen 6 C 2.18) hin, nach dem § 4 BDSG mangels diesbezüglicher mitgliedstaatlicher Gesetzgebungskompetenz auf private Stellen nicht anwendbar sei. Rechtsgrundlage für Videoüberwachungen durch nicht öffentliche Stellen selbst und in deren Auftrag tätige Verarbeitende könnten nur die Regelungen der Datenschutzgrundverordnung (DS-GVO) sein. Die LfD stellt jedoch die Frage, ob in dem vorliegenden Fall der Videoüberwachung in einer ärztlichen Praxis nicht auf Art. 6 Abs. 1 DS-GVO, sondern allenfalls auf Art. 9 DS-GVO als Rechtsgrundlage hätte zurückgegriffen werden müssen, da von der Videoüberwachung insbesondere Patientinnen und Patienten und damit Gesundheitsdaten als besondere Kategorien personenbezogener Daten betroffen seien, wobei sie offen lässt, ob dies zu einem anderen Ergebnis führen würde.
–-> Die Berliner Beauftragte für Datenschutz und Informationsfreiheit berichtet im 8. Kapitel ihres im März 2020 erschienenen Tätitigkeitsbericht u.a. über nachfolgende Fälle des Beschäftigtendatenschutzes.
I. Herausgabe der E-Mail-Kommunikation eines Beschäftigten
Die LfDI hält zunächst fest, dass ein Arbeitgeber einem Beschäftigten spätestens innerhalb eines Monats nach Eingang eines Auskunftsersuchens die gesetzlich gebotenen Informationen zur Verfügung zu stellen habe. Das Auskunftsrecht gewähre jedoch keinen umfassenden Anspruch auf Herausgabe der kompletten Kommunikation, die über das E-Mail-System eines Unternehmens geführt wurde. Dies begründet die LfDI wie folgt: Eine vollständige Herausgabe aller E-Mails aus dem System des Unternehmens, in denen der Name der Beschwerdeführerin auftaucht, ist schon allein deshalb nicht möglich, weil das Recht auf Herausgabe einer Datenkopie durch die Rechte und Freiheiten anderer Personen beschränkt wird. In einer E-Mail-Kommunikation tauchen ggf. zahlreiche andere Personen (insbesondere andere Mitarbeitende des Unternehmens und Externe) auf, sodass hier umfangreiche Rückschlüsse auf personenbezogene Daten Dritter möglich waren. Des Weiteren wäre mit einer umfassenden Herausgabe auch die Kenntniserlangung über interne Abläufe, Betriebsgeheimnisse und Know-how des Unternehmens oder der mit ihm verbundenen Unternehmen verbunden gewesen. Dem standen berechtigte Unternehmensinteressen entgegen.
Damit kommt die LfDI zu folgendem Ergebnis: An der Aushändigung von rein dienstlich veranlasster Korrespondenz besteht nach der Beendigung des Arbeitsverhältnisses kein berechtigtes Interesse. Andererseits seien Daten von Unterhaltungen, die die Beschäftigte im erlaubten Umfang zu privaten Zwecken geführt hatte, an sie herauszugeben. Ehemalige Beschäftigte haben somit grundsätzlich einen Anspruch darauf, ihre privaten E-Mails zu erhalten.
II. Löschung von Daten nach Ende des Beschäftigungsverhältnisses
Eine Beschäftigte hatte mit ihrem Arbeitgeber einen Aufhebungsvertrag zur Beendigung des Beschäftigungsverhältnisses geschlossen. Dieser enthielt die Verpflichtung des Arbeitgebers, spätestens sechs Wochen nach Beendigung des Arbeitsverhältnisses das Profil der Beschäftigten auf der Webseite des Unternehmens zu löschen. Eine Bestätigung dieser Löschung erhielt die Beschwerdeführerin wenig später. In der Folgezeit stellte sie jedoch fest, dass durch Verlinkung auf der Webseite des Unternehmens noch ein Lebenslauf von ihr zu finden war. Nachdem sie hiergegen Widerspruch eingelegt hatte, hat das Unternehmen diese Verlinkungen unverzüglich gelöscht.
Die LfDI stellt dazu fest, dass ungeachtet einer möglicherweise erteilten Einwilligung der Beschwerdeführerin zur Bekanntgabe des Lebenslaufs diese jedenfalls nach Beendigung des Arbeitsverhältnisses keine Wirkung mehr hatte. Zwar kenne die DS-GVO keine Geltungsdauer einer Einwilligung, allerdings unterliege auch die Verarbeitung personenbezogener Daten aufgrund einer Einwilligung im Rahmen eines Arbeitsverhältnisses dem Gebot der Zweckbindung. Unter Berücksichtigung dieses Gebots müsse deshalb davon ausgegangen werden, dass eine Einwilligung zur Veröffentlichung eines Lebenslaufs – auch ohne deren jederzeit zulässigen Widerruf – auf den Zeitraum des Beschäftigungsverhältnisses beschränkt ist.
III. Notizen im Verfahren des betrieblichen Eingliederungsmanagements
Dass auch bei einem dienstlichen Gespräch geführte Notizen dem Auskunftsrecht unterliegen legte die LfDI im Zusammenhang mit einem Verfahren zum betrieblichen Eingliederungsmanagement (BEM) klar. Das bei einem diesbezüglichen Gespräch mit einer Beschäftigten geführte Protokoll fehlte jedoch bei der von ihr genommenen Akteneinsicht. Auf Nachfrage wurde ihr mitgeteilt, dass ein entsprechendes Protokoll nicht existiere bzw. noch nicht freigegeben sei und im Übrigen auch nicht Bestandteil der BEM-Akte wäre, da es sich um handschriftliche Notizen eines BEM-Beteiligten handele und daher eine Einsichtnahme nicht gewährt werden könne. Dagegen wandte sich die Betroffene mit ihrer Beschwerde.
Die LfDI stellt hierzu fest: Nach der DS-GVO hat die betroffene Person das Recht, von dem Verantwortlichen Auskunft darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden bzw. wurden. Der Verantwortliche hat insbesondere eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind bzw. waren, der oder dem Betroffenen zur Verfügung zu stellen oder, wie im vorliegenden Fall erwünscht, eine Einsichtnahme in die Daten zu gewähren. Das gilt auch für handschriftliche Notizen eines Teilnehmers bei einem sog. Erörterungsgespräch. Diese waren für den Dienstbetrieb erforderlich, da ohne schriftliche Fixierung bzw. ohne Protokolle Maßnahmen oder Hilfestellungen nicht konkret und korrekt umgesetzt und die Betroffene nicht umfassend über das Ergebnis der Fallbesprechung informiert werden konnte.
Damit konnte sich der Arbeitgeber vorliegend nicht auf eine Entscheidung des Bundesverwaltungsgerichts (Urteil vom 19. Oktober 2005 − 1 D 14/04) berufen, nach der Notizhefte, Tagebuchkladden etc. keine Personalvorgänge sind, soweit sie durch individuelle Bestimmung des Besitzers für den ausschließlich persönlichen Gebrauch geführt werden, selbst wenn ihr Inhalt dienstliche Bezüge aufweist. Als einzige Voraussetzung bzw. Bedingung für die Führung solcher Kladden oder Hefte mit persönlichen Notizen ist nach dieser Entscheidung eine sichere Aufbewahrung vor dem Zugriff von Dritten bzw. anderen Personen (z.B. Kolleginnen und Kollegen, Reinigungskräfte etc.).
* Der Autor ist Ehrenvorsitzender der Gesellschaft für Datenschutz und Datensicherheit e.V., Bonn.