Kategorie: Beschäftigtendatenschutz
13. Mai 2020
Im Urteil vom 5. Dezember 2019 (Az.: 2 AZR 223/19) hat sich das Bundesarbeitsgericht mit dem besonderen Kündigungsschutz für Datenschutzbeauftragte befasst.
Grundsätzlich gilt für interne Datenschutzbeauftragte ein besonderer Kündigungsschutz gemäß § 38 Abs. 2 BDSG in Verbindung mit § 6 Abs. 4 Satz 1 BDSG. Besonderen Kündigungsschutz genießen zum Beispiel auch Arbeitnehmer in Elternzeit oder Betriebsratsmitglieder. Diese Personengruppen können entweder nicht oder nur aus besonders wichtigem Grund gemäß § 626 BGB gekündigt werden.
Ein wichtiger Grund kann zum Beispiel in der Unzumutbarkeit des Fortführens des Arbeitsverhältnisses liegen. Durch die besondere Stellung des Datenschutzbeauftragten soll ein effektiver und ungestörter Datenschutz gewährleistet werden.
Im zugrundliegenden Urteil ist die Gesamtanzahl
der Beschäftigten des Unternehmens unter den zum damaligen Zeitpunkt
maßgeblichen Schwellenwert von zehn Mitarbeiter gesunken. Das Unternehmen
wollte daraufhin seinen internen Datenschutzbeauftragten kündigen.
Das Bundesarbeitsgericht hat diese Kündigung als wirksam eingestuft. Als Begründung führte das Gericht an, dass maßgeblich für die Pflicht zur Benennung eines Datenschutzbeauftragten die Anzahl der Beschäftigten ist. Diese Pflicht entfällt nach aktueller Rechtslage, wenn die Gesamtanzahl der Beschäftigten unter 20 sinkt.
Dem Urteil kommt momentan besondere Relevanz zu teil, da am 26. November 2019 das zweite Datenschutzanpassungs- und Umsetzungsgesetz (2. DSAnpUG) in Kraft getreten ist. Dadurch stieg der Schwellenwert für die zwingende Benennung eines Datenschutzbeauftragen gemäß § 38 Abs. 1 Satz 1 BDSG von zehn auf 20 Mitarbeiter.
Damit gelten Datenschutzbeauftragte in Unternehmen ab zehn Mitarbeitern, aber unter 20 Mitarbeitern, als freiwillige Datenschutzbeauftragte, da für deren Bestellung keine gesetzliche Pflicht mehr vorliegt. Für diese Datenschutzbeauftragten entfällt der besondere Kündigungsschutz, der normalerweise erst nach Abberufung beginnt, ab dem 27. November 2020 automatisch. Ab diesem Datum an gelten Datenschutzbeauftragte in so einem Unternehmen als „normale“ Mitarbeiter, die den entsprechenden gesetzlichen Bestimmungen unterliegen.
Wenn Sie keine Mitarbeiter haben, die Sie zum internen Datenschutzbeauftragten ernennen können oder wollen, können Sie sich hier über externe Datenschutzbeauftragte informieren.
24. April 2020
Der aktuelle, durch die Infektionen einer Vielzahl von Menschen mit dem neuartigen Virus SARS Covid-19 verursachte, Ausnahmezustand hat die Digitalisierung der Arbeitswelt bei erster, unbefangener Betrachtung erheblich beschleunigt. Eine Vielzahl von Arbeitnehmern arbeitet im Home-Office, Meetings finden virtuell statt und die Kundenkontakte werden gänzlich online abgewickelt. Nachdem die hektischste Phase scheinbar abgeklungen ist, implementieren einige Unternehmen Regelungen und Handlungsanweisungen für die digitale Arbeit, die auch über die Zeit der Ausgangs- oder Kontaktbeschränkungen hinaus gelten sollen.
Die Möglichkeit einer Implementierung derartiger Regelungen mittels arbeitgeberseitigem Weisungsrecht außer Acht gelassen, soll das Instrument der datenschutzrechtlichen Betriebsvereinbarung über die Zeit der aktuellen Corona-Pandemie hinaus, als proaktives Instrument zur Gestaltung des Digitalisierungsprozesses genutzt werden.
Gegenwärtige Friktionen werden aufgelöst
Zunächst sind Betriebsvereinbarungen eine praxistaugliche Rechtsgrundlage. Deutschland hat von der in Art. 88 DSGVO normierten – fakultativen – Öffnungsklausel in Form von § 26 Abs. 1 S. 1 BDSG Gebrauch gemacht. Betriebsvereinbarungen können überdies Grundlage von Datenverarbeitungen für Zwecke des Beschäftigungsverhältnisses sein (§ 26 Abs. 4 BDSG).
Darüber hinaus bedarf es im Falle des Abschlusses einer Betriebsvereinbarung keiner Einwilligung des Arbeitnehmers. Diese ist – trotz § 26 Abs. 2 BDSG – im Einzelfall problematisch, da aufgrund des bestehenden Über- und Unterordnungsverhältnisses per se die Gefahr einer „unfreiwilligen“ Einwilligung besteht.
Die Beteiligungsrechte in datenschutzrechtlichen Konstellationen können zeitgleich erfüllt werden
Überdies kann der Arbeitgeber zugleich ohnehin obligatorische Beteiligungsrechte der Arbeitnehmer erfüllen. So steht es dem Arbeitgeber auch im Rahmen der Corona – Pandemie nicht frei, die Home-Office Verfügbarkeit der Arbeitnehmer mit eilig eingeführten Tools zu realisieren.
Insbesondere normiert § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht bei der Einführung und Anwendung von technischen Vorrichtungen, die dazu objektiv und unmittelbar geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Dies gilt ohne Rücksicht darauf, ob der Arbeitgeber dieses Ziel verfolgt und die durch die Überwachung gewonnenen Daten auch auswertet. Hierzu gehören insbesondere die auch gängigen elektronischen Datenverarbeitungssysteme (EDV) und IT-Anwendungen.
Inhalt von Betriebsvereinbarungen in der Praxis
Inhaltlich müssen die Betriebsvertragsparteien insbesondere auch die Grundsätze des Art. 5 Abs. 1 lit. a) – f) DSGVO beachten (§ 26 Abs. 5 BDSG). Mithin sollten die Parteien das Niveau der Grundsätze der Rechtmäßigkeit der Verarbeitung, Zweckbindung, Datenminimierung, Richtigkeit und Speicherbegrenzung sowie Integrität und Vertraulichkeit einhalten.
Ferner empfiehlt es sich, die Rechte der betroffenen Personen gemäß Art. 12 ff. DSGVO in die Betriebsvereinbarung einzubeziehen. Schließlich sollte in Betriebsvereinbarungen ausdrücklich festgelegt werden, ob sie als Rechtsgrundlage für die Verarbeitung personenbezogener Daten verwendet wird.
Eine für Arbeitgeber interessante Entscheidung hat das Landgericht Heidelberg getroffen (Urteil vom 06.02.2020 – Az. 4 O 6/19). Der Kläger begehrte als betroffene Person gegenüber seinem ehemaligen Arbeitgeber, dem Verantwortlichen, Auskunft über alle ihn betreffenden personenbezogenen Daten. Hilfsweise begehrte er die Auskunft über die E-Mail-Korrespondenz in einem Zeitraum von rund 1,3 Jahren. Die betroffene Person war in diesem neun bis zehn Jahre zurückliegenden Zeitraum Vorstandsmitglied des Verantwortlichen. Der Verantwortliche hatte mittlerweile Insolvenz gemeldet und sämtliche Daten zu Backup-Zwecken an einen Dritten übergeben. Das Gericht lehnte den Auskunftsanspruch einer betroffenen Person ab. Die Wiederherstellung und Aufbereitung der Daten stellten in dem konkreten Fall einen unverhältnismäßigen Aufwand dar.
Präzisierung des Anspruchs
auf Auskunft bei umfangreicher Verarbeitung
In seinen Urteilsgründen stellt das Gericht zunächst klar, dass die betroffene Person gegen den Verantwortlichen aus Art. 15 DSGVO grundsätzlich einen umfassenden Auskunftsanspruch über die Verarbeitung ihrer personenbezogenen Daten hat. Allerdings gewährt Erwägungsgrund 63 S. 7 DSGVO Verantwortlichen eine Erleichterung, die eine große Menge von Informationen über die betroffene Person verarbeiten. In einem solchen Fall kann der Verantwortliche von der betroffenen Person verlangen, dass sie ihr Auskunftsersuchen auf bestimmte Informationen oder bestimmte Verarbeitungstätigkeiten präzisiert.
Den umfassenden Hauptantrag der betroffenen Person wies das
Gericht ab, weil sich der Anspruch auf alle personenbezogenen Daten bezog. Zu
dem Hilfsantrag, in dem die betroffene Person ihr Auskunftsbegehren auf die E-Mail-Korrespondent
in einem bestimmten Zeitraum konkretisierte, führte das Gericht weiter aus:
Zweifel an
Erstreckung des Anspruchs auf Backup-Daten
Es könne bereits bezweifelt werden, dass der Verantwortliche
die im Backup bei einem Dritten gespeicherten Daten überhaupt noch verarbeitet.
Denn der Auskunftsanspruch beziehe sich regelmäßig nicht auf Daten, die an
einen Dritten übergeben worden seien. Das könne auch dann gelten, wenn der
Verantwortliche ein Zugriffsrecht hat.
Unverhältnismäßiger
Aufwand gemessen am Informationsinteresse
Im Ergebnis stellt das Gericht aber darauf ab, dass die Erteilung
der Auskunft für den Verantwortlichen einen unverhältnismäßig großen Aufwand
darstellt. Das Gericht hat keine Zweifel daran, dass allein die Wiederherstellung
der Daten Kosten von bis zu 4.000 € verursachen würde. Zudem können davon ausgegangen
werden, dass die betroffene E-Mail-Korrespondenz mehrere tausend E-Mails
umfasse. Denn die betroffene Person war über ein bis eineinhalb Jahre Vorstandsmitglied
den Verantwortlichen. All diese Mails müssten zur Sicherung berechtigter
Interessen Dritter gesichtet und geschwärzt werden, bevor sie an die betroffene
Person herausgegeben werden könnten. Diese Aufbereitung würde bei dem Verantwortlichen
unverhältnismäßige Ressourcen binden. Das Informationsinteresse der betroffenen
Person sei demgegenüber zu gering. Das Gericht betonte, dass die begehrten
Informationen neun bis zehn Jahren alt waren, der Anspruch erst spät geltend
gemacht wurde, die betroffene Person seit neun Jahren nicht mehr für das
verantwortliche Unternehmen arbeitete und es mittlerweile insolvent sei.
Bewertung
Das Gericht bezieht sich in seiner Entscheidung auf altes Recht: § 34 Abs. 7 i.V.m. § 33 Abs. 2 Nr. 1 BDSG alt kannten eine Ausnahme den Auskunftsanspruchs, wenn die Daten ausschließlich der Datensicherung dienten und eine Benachrichtigung einen unverhältnismäßigen Aufwand erfordert hätte. Der Wegfall der Spezialnorm bedeute nicht, dass nun alle Backup-Daten dem Auskunftsanspruch unterfielen.
Eine entsprechende Ausnahme findet sich in § 34 Abs. 1 Nr. 1 lit. b BDSG auch im aktuellen Recht. Die Entscheidung des Landgerichts Heidelberg kann dennoch nicht pauschal Auskunftsbegehren entgegengehalten werden, da sie einen Sonderfall betrifft. Sie steht insbesondere nicht einem Auskunftsbegehren entgegen, das sich auf im System des Verantwortlichen vorgehaltene Daten bezieht. Die Entscheidung zeigt aber Möglichkeiten auf, wie einem Auskunftsbegehren begegnet werden kann, wenn es eine aufwändige Wiederherstellung und Aufarbeitung der Daten nach sich ziehen würde.
Wenn der Verantwortliche eine große Menge personenbezogener Daten von der betroffenen Person verarbeitet und sich das Auskunftsbegehren auf alle Daten bezieht, sollte die betroffene Person zunächst darauf verwiesen werden, ihren Antrag auf bestimmte Datenkategorien, Zeiträume oder Verarbeitungstätigkeiten zu präzisieren.
27. Januar 2020
Der Modehändler H&M steht wegen massiven Datenschutzverstößen in der Kritik. Die FAZ berichtete am Samstag, dass H&M im großen Stil private Daten seiner Mitarbeiter gesammelt und gespeichert hat. Die FAZ zitiert den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit mit den Worten, dass die Daten „detaillierte und systematische Aufzeichnungen von Vorgesetzten über ihre Arbeitnehmerinnen und Arbeitnehmer“ enthalten. Dabei geht es auch um Krankheiten und Familienstreitigkeiten.
Die Datenschutzbehörde in Hamburg (dort hat die Deutschlandzentrale von H&M ihren Sitz) ein Bußgeldverfahren eingeleitet, so die FAZ, nachdem sich der Verdacht der Spionage erhärtete. Der Datenschutzbeauftragte Johannes Caspar teilte mit, dass „das qualitative und quantitative Ausmaß der für die gesamte Leitungsebene des Unternehmens zugänglichen Mitarbeiterdaten eine umfassende Ausforschung der Mitarbeiterinnen und Mitarbeiter zeigt, die in den letzten Jahren ohne vergleichbares Beispiel ist“.
Der Umfang der Datenspeicherung war zufällig aufgeflogen, als Mitarbeiter des Kundencenters beim Durchstöbern interner Dateien im IT-System auf offen zugängliche Ordner mit brisantem Material stießen.
H&M äußerte sich zum Vorfall und teilte mit, dass der Vorfall ernst genommen werde und er aufrichtig bedauert wird. Der Vorfall befände sich in juristischer Prüfung.
Was für ein Bußgeld die Hamburger Datenschützer ins Auge fassen, bleibt abzuwarten.
20. März 2019
Daimler musste in einem Prozess erfahren, dass dem Arbeitnehmer ein gestärktes Auskunftsrecht gegenüber dem Arbeitgeber zusteht und muss deshalb einem Manager umfassend Auskunft zu über ihn gesammelten Daten geben. Das Auskunftsrecht aus Art. 15 DSGVO könnte angesichts des noch nicht veröffentlichten Urteils des Landesarbeitsgerichts Baden-Württemberg zu einer Welle von Prozessen führen. In dem Urteil wird dem Autokonzern auferlegt, die über einen klagenden Manager vorliegenden Informationen umfassend offenzulegen; dazu gehören auch Erkenntnisse über interne Ermittlungen. Bundesweit erstmals wurde das Auskunftsrecht damit auch in der zweiten Instanz sehr weitreichend ausgelegt.
Durch die DSGVO wurde das bisher schon bestehende Auskunftsrecht durch die Möglichkeit hoher Sanktionen gestärkt. Außerdem ist das Recht des Betroffenen auf eine Kopie aller seiner gespeicherten personenbezogenen Daten ganz neu hinzugekommen. Auf diese Regelung der DSGVO hatte sich der klagende Daimler-Manager in der zweiten Instanz berufen. Das Landesarbeitsgericht gab ihm nicht nur im Streit um Abmahnungen und Kündigungen fast vollständig recht. Es verurteilte den Autokonzern auch dazu, ihm Auskunft über nicht in seiner Personalakte gespeicherte Leistungs- und Verhaltensdaten samt einer Kopie zu geben. Daimler hatte dies mit der Begründung verweigert, die Anonymität von Hinweisgebern schützen zu müssen. Derzeit streitet Daimler mit dem Manager um die Vollstreckung des Urteils, also den Umfang der herauszugebenden Daten. Bei Konflikten zwischen Arbeitnehmern und Arbeitgebern könnte das Auskunftsrecht in Zukunft zu einem beliebten Druckmittel werden.
6. Februar 2019
Sofern im Rahmen einer unternehmensinternen Veranstaltung Fotografien von Mitarbeitern und/oder Gästen angefertigt werden, liegt darin grundsätzlich ein Eingriff in das Recht am eigenen Bild der betroffenen Personen gemäß Art. 2 Abs. 1 GG i.V.m. Art. 1 Abs. 1 Grundgesetz (GG). Da es allein dem Betroffenen obliegt, darüber zu entscheiden, wer unter welchen Umständen Fotos von ihm anfertigen und veröffentlichen darf, ist eine Rechtfertigung erforderlich.
Bei den Fotografien handelt es sich um personenbezogene Daten i.S.d. Art. 4 Nr. 1 Datenschutzgrundverordnung (DSGVO). Deren Verarbeitung ist auf Grund von Art. 6 Abs. 1 S. 1 lit. f DSGVO dann rechtmäßig, wenn die Veröffentlichung zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist und die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, nicht überwiegen. Es ist eine umfassende Interessenabwägung durchzuführen. Wirtschaftliche Interessen des Unternehmens können zum Beispiel die Dokumentation einer betrieblichen Veranstaltung zu Werbezwecken, die interne Stärkung des Betriebsklimas oder der Betriebstreue und ggf. auch die Kundenbindung im Rahmen weiterer Marketingmaßnahmen sein.
Daneben kommt außerdem die Einwilligung gemäß Art. 4 Nr. 11, Art. 7 DSGVO als rechtssichere Rechtfertigungsgrundlage in Betracht. Sofern es sich bei den fotografierten Personen u.a. um Mitarbeiter handelt, wovon bei einem betrieblichen Ereignis auszugehen ist, sind hierbei die strengen Anforderungen des § 26 Abs. 2 Bundesdatenschutzgesetz (BDSG) zu beachten.
Während die Einwilligung im Sinne der DSGVO formfrei erteilt werden kann, sieht § 26 Abs. 2 S. 3 BDSG grundsätzlich die Schriftform für Einwilligungen im Rahmen eines Beschäftigtenverhältnisses vor.
Darüber hinaus muss die Einwilligung bestimmt, informiert und freiwillig abgegeben werden. Für die Beurteilung der Freiwilligkeit der Einwilligung von Mitarbeitern sieht § 26 Abs. 2 S. 1 BDSG ergänzend zu den Bestimmungen der DSGVO vor, dass bei der Beurteilung die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt wurde, zu berücksichtigen sind. Von der Freiwilligkeit kann jedoch gemäß § 26 Abs. 2 S. 2 BDSG ausgegangen werden, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen.
Um der Informationspflicht ausreichend nachzukommen, sollte sich der Verantwortliche an den Art. 12 ff. DSGVO orientieren. Wegen der sog. Rechenschaftspflicht des Verantwortlichen sollte die Information schriftlich erfolgen. Es empfiehlt sich ein Aushang am Eingang des jeweiligen Veranstaltungsortes sowie innerhalb des Veranstaltungsgeländes. Die Aushänge müssen hierbei deutlich platziert werden, gut lesbar und inhaltlich verständlich sein. Sofern von den Mitarbeitern vorab eine schriftliche Einwilligung, etwa im Rahmen eines Onboarding-Prozesses, eingeholt wird, sollten die erforderlichen Informationen bereits im Rahmen der Einwilligung erteilt werden.
Schließlich ist die freie Widerrufbarkeit der Einwilligung gemäß Art. 7 Abs. 3 S. 1 DSGVO zu beachten, wobei der Widerruf seine Wirkung nur für die Zukunft entfaltet.
Fazit:
Sofern nicht ausgeschlossen werden kann, dass auch Fotos von einzelnen Mitarbeitern bzw. Gästen angefertigt und veröffentlicht werden, wobei eine Veröffentlichung im Intranet schon ausreicht, stellt die Eiwilligungserklärung den rechtssichersten Weg dar. Es sollte für diesen Fall vor Beginn einer betrieblichen Veranstaltung eine Einwilligung aller Teilnehmer schriftlich eingeholt werden.
Sofern von einem Mitarbeiter oder Gast keine Einwilligung vorliegt, dürfen von ihm/ihr keine Fotografien angefertigt und veröffentlicht werden, auf welchen der Betroffene im Fokus der Aufnahme steht und nicht lediglich als Beiwerk abgebildet wird.
20. November 2018
Durch das Inkrafttreten der Datenschutz-Grundverordnung und des BDSG-neu sind die Anforderungen an Unternehmen im Allgemeinen schärfer geworden. Auch im Bereich des Bewerberdatenschutzes hat sich der Umgang mit den Daten stark verändert. Bei den wenigsten Unternehmen gehen noch Bewerbungen in Papierform ein. Zumeist erhalten die Unternehmen Online-Bewerbungen via E-Mail oder Website. Doch wie müssen Unternehmen mit den unterschiedlichen Bewerbungseingängen umgehen?
Bewerbungen die in Papierform bei einem Unternehmen eingehen sind datenschutzrechtlich weniger problematisch als Online-Bewerbungen zu bewerten. Erst wenn die Bewerbung digitalisiert wird oder die Bewerberdaten in ein System eingetragen werden spricht man von einer Verarbeitung im Sinne der DSGVO. Sobald die Daten in einen Verarbeitungsprozess eingebunden werden, sollte der Bewerber gemäß Art. 13 sowie Art. 14 DSGVO über die Verarbeitung sowie die Betroffenenrechte informiert werden.
Bei Bewerbungen die via E-Mail bei einem Unternehmen eingehen sollte vor allem eine verschlüsselte Übermittlung gewährleistet werden. Außerdem ist es zu empfehlen, dass die interne Weiterleitung zwischen den jeweiligen Mitarbeitern oder Abteilungen durch eine Arbeitsanweisung geregelt wird.
Ähnlich der Bewerbungen via E-Mail, muss im Fall einer Bewerbung durch die Website eine Verschlüsselung der Daten sichergestellt werden. Bei Bewerbungen die mittels eines externen Dienstleisters generiert werden, besteht die Möglichkeit, dass Dritte Zugang zu den Daten erlangen. Um sich dahingehend abzusichern sollte ein Vertrag zur Auftragsverarbeitung zwischen dem Unternehmen und dem externen Dienstleister abgeschlossen werden.
Generell gilt, das Daten von Bewerbern strikt von anderen Datensätzen zu trennen sind.
24. August 2018
Das Bundesarbeitsgericht (BAG) hat am 23.08.2018 entschieden, dass die Speicherung von Bildsequenzen aus einer rechtsmäßigen offenen Videoüberwachung keinem Verwertungsverbot unterliegen (Az.: 2 AZR 133/18).
Der Entscheidung liegt ein Fall aus NRW zu Grunde. Die Klägerin wurde von ihrem Arbeitgeber fristlos gekündigt, nachdem dieser auf gespeichertem Material einer offenen Videoüberwachung gesehen hat, dass die ehemalige Mitarbeiterin während der Arbeitszeit Straftaten zu seinen Lasten begangen hat.
Die Diebstähle wurden durch das Material einer Videoüberwachungskamera aufgedeckt, die der Arbeitgeber offen in dem Geschäft installiert hatte. Die Kamera filmte die ehemalige Mitarbeiterin bei ihren Taten. Darauf folgte sodann die fristlose Kündigung und eine Klage auf Schadensersatz. Dagegen wand sich die ehemalige Mitarbeiterin mit einer Kündigungsschutzklage. Der Grund auf den die Frau die Klage stützte war allerdings nicht die Videoüberwachung oder die Auswertung des Materials an sich, sondern die Dauer der Speicherung und vor allem die späte Auswertung.
Die Unregelmäßigkeiten fielen dem Betreiber im dritten Quartal 2016 auf, ab August 2016 wurde das Material gesichtet, wobei auffiel, dass die ehemalige Mitarbeiterin bereits Anfang Februar die Taten begangen hat. Die Überwachungsaufnahmen wurden demnach mehrere Monate gespeichert, bevor sie überhaupt gesichtet wurden.
Die Kündigungsschutzklage war in der Vorinstanzen, unter anderem Landesarbeitsgericht Hamm (Az.: 2 Sa 192/17), erfolgreich. Das LAG urteilte, dass der Betreiber die Kündigung nicht auf die Auswertung der Videoaufnahmen stützen kann, da diese wegen der langen Dauer, einem Verwertungsverbot unterliegen. Das Beweisverwertungsverbot beruht zum einen auf datenschutzrechtlichen Aspekten und zum einem auf dem Verstoß gegen das Allgemeine Persönlichkeitsrecht. Die Daten hätten zum Zeitpunkt der Auswertung längst gelöscht sein müssen.
Dieser strengen Anwendung des Datenschutzrechts erteilte das BAG auf die Revision des Betreibers eine Absage. Das Urteil des LAG wurde aufgehoben und zur Entscheidung, unter Beachtung der Rechtsansicht des BAG, an das LAG zurückverwiesen. Das BAG begründete seine Entscheidung damit, dass der Betreiber einer Videoüberwachung die Daten ohne Anlass nicht sofort sichten muss. Es ist ausreichend, die gespeicherten Materialien erst auf Anlass zu untersuchen.
Zumindest die Pressemitteilung hat offen gelassen, wie lange Videomaterial schlussendlich gespeichert werden darf, ob in den Entscheidungsgründen Ausführungen dazu enthalten sind, bleibt abzuwarten.
Das Urteil ist nicht als Freibrief zu verstehen, Material aus Videoüberwachung jahrelang zu Speichern, um die Option offen zu lassen, irgendwann, wenn Anlass für eine Überprüfung besteht, eine Sichtung vorzunehmen. Eine Speicherdauer, die im Einklang mit den einschlägigen Gesetzen steht, sollte definiert und eingehalten werden.
8. Juni 2018
Auch wenn der Vorgesetzte es verlangt: Beschäftigte müssen ihre private Handynummer bei der Arbeit nicht mitteilen. Das hat das Thüringer Landesarbeitsgericht mit seinem Urteil vom 16.05.2018 entschieden.
Verhandelt wurde eine Klage von Mitarbeitern des kommunalen Gesundheitsamtes gegen den Landkreis Greiz. Der Kreis hatte die Bereitschaftszeiten neu organisiert und von seinen Beschäftigten verlangt, auch außerhalb der Dienstzeiten für die Rettungsleitstelle erreichbar zu sein. Zwei Mitarbeiter hatten sich dagegen zur Wehr gesetzt und nur ihre privaten Festnetznummern, nicht aber ihre Handynummern angegeben, was eine Abmahnung des Arbeitnehmers zur Folge hatte. Das Landesarbeitsgericht gab dem Kläger Recht und bestätigte damit ein Urteil des Arbeitsgerichts Gera von 2017. Nur unter besonderen Bedingungen und in engen Grenzen habe ein Arbeitgeber das Recht auf Kenntnis der privaten Handynummer eines Angestellten. Dies sei beispielsweise der Fall, wenn es keine andere Möglichkeit gebe, die Arbeitspflichten des Arbeitnehmers sinnvoll zu organisieren.
Eine Pflicht des Arbeitnehmers, stets die private Handynummer mitzuteilen, sei in der Regel ein nicht gerechtfertigter Eingriff in dessen Recht auf informationelle Selbstbestimmung.
Weiterhin heißt es im Urteil, eine Pflicht zur Bekanntgabe der privaten Mobilfunknummer greife besonders tief in die persönliche Sphäre des Arbeitnehmers ein. Der Arbeitnehmer könne sich aufgrund der ständigen Erreichbarkeit dem Arbeitgeber ohne Rechtfertigungsdruck nicht mehr entziehen und so nicht zur Ruhe kommen. Das gelte auch dann, wenn die Telefonnummer nur im Notfall verwendet werden soll. Entscheidend sei allein die potenzielle Erreichbarkeit.
Aus datenschutzrechtlicher Sicht ist hier entscheidend, ob die Datenverarbeitung tatsächlich zur Vertragserfüllung erforderlich ist. Der Arbeitgeber darf die Daten des Arbeitnehmers gemäß Art. 6 Absatz 1b DSGVO nur verarbeiten, soweit dies zur Vertragserfüllung notwendig ist. Dass zur Vertragserfüllung die private Handynummer des Mitarbeiters notwendig sein soll, dürfte auf wohl eher seltene Einzelfälle beschränkt bleiben. Arbeitgebern, die die private Handynummer ihrer Mitarbeiter nutzen wollen, müssten hierfür wohl eine eindeutige Einwilligung einholen.
7. Mai 2018
Polizeibeamte in Niedersachen können nun mithilfe der neuen App NIMes Textnachrichten, Audio-, Bild- und Videoaufnahmen austauschen, ohne dass jemand anderes darauf Zugriff hat. Nach Auffassung des niedersächsischen Landesdatenschutzbeauftragten besteht dennoch eine Gefahr hinsichtlich des Datenschutzes, da der größte Teil der Beamten die App auf ihrem Privathandy nutzen. „Wenn der Nutzer das auf dem privaten Mobiltelefon vorhandene Betriebssystem nicht fortlaufend durch Updates zur Virenabwehr aktualisiert, wird Tür und Tor für eine Infizierung der App mit Schadsoftware geöffnet“, sagte Datenschützerin Barbara Thiel.
Damit wäre es empfehlenswert die App nur auf Diensthandys zu installieren. Innenminister Boris Pistorius ist jedoch anderer Ansicht, da NIMes getrennt vom Betriebssystem läuft und damit in einem geschlossenen Benutzerkreis.
Die App hat eine wichtige Bedeutung in der Informationssteuerung bei Einsatzkräften. So können Polizeibeamte wichtige Informationen sicherer als bei der Nutzung von WhatsApp weiterleiten.
Als Pilotprojekt wird NIMes zunächst in Celle und Hannover-Mitte, sowie in der Zentralen Polizeidirektion eingesetzt.
