Schlagwort: Datenschutzverstoß
27. Juli 2022
In einer Pressemitteilung vom 22.07.2022 teilte die Polizei Berlin mit, bei turnusmäßigen Kontrollen seien Verstöße gegen eine interne Weisungslage für Abfragen im „Polizeilichen Landessystem für Information, Kommunikation und Sachbearbeitung“ (POLIKS) festgestellt worden.
Datenverarbeitung bei der Polizei
Im Berufsalltag müssen Polizisten immer wieder auf gewisse Daten zugreifen können, um beispielsweise Abfragen zu Personen oder Fahrzeugen durchführen zu können. Aber auch komplexere Datenrecherchen und Abfragen bei anderen Stellen wie dem Bundeskriminalamt (BKA) oder Landeseinwohneramt sind im Rahmen ihrer Tätigkeit notwendig.
Hierfür wird bei der Berliner Polizei das System POLIKS genutzt. Dabei handelt es sich um ein zentrales IT-Verfahren für alle Bereiche der Vollzugspolizei und eine Schnittstelle zu anderen IT-Verfahren des Landes und des Bundes. Es dient, beispielsweise zur Aufnahme von Strafanzeigen oder Verkehrsunfällen, als Vorgangsbearbeitung sowie als Informationssystem für Auskünfte, Recherchen und Statistiken.
Im Rahmen dessen werden zwangsläufig auch personenbezogene Daten abgefragt und verarbeitet. Dies erfordert ein hohes Maß an Datensicherheit und verantwortungsbewusstem Umgang. Neben den grundlegenden Zugriffsvoraussetzungen muss bei jeder Abfrage daher der Grund für die Abfrage durch eine freitextliche Ergänzung angegeben werden. Dies soll der Prüfung der Plausibilität und der schnellen Nachvollziehbarkeit der Abfrage dienen.
Verstöße bei der Berliner Polizei
In der Pressemitteilung der Berliner Polizei wurde nun mitgeteilt, im Rahmen polizeiinterner Kontrollen sei bei 83 Zugriffsberechtigten festgestellt worden, dass diese die Vorgaben für die freitextliche Ergänzung zur Angabe des Grundes einer Abfrage wiederholt nicht eingehalten hätten. Die Zugriffsberechtigten seien wiederholt über die notwendigen Voraussetzungen informiert und hierfür sensibilisiert worden. Bei deren Verhalten handele es sich zunächst „lediglich“ um Verstöße gegen die interne Weisung. Es seien jedoch interne Ermittlungen aufgenommen worden, um u.a. zu prüfen, ob und inwieweit die getätigten Abfragen in diesen Fällen rechtmäßig waren bzw. ob Datenschutzverstöße vorliegen.
30. Juni 2022
Das Landesarbeitsgericht Schleswig-Holstein wies in seinem Beschluss vom 01.06.2022 (6 Ta 49/22) eine Beschwerde gegen die teilweise Versagung von Prozesskostenhilfe zurück, da es der Auffassung war, das Arbeitsgericht habe im vorangegangenen Verfahren das Schmerzensgeld in angemessener Höhe festgesetzt und der Fall sei nicht vergleichbar mit anderen Fällen, in denen ein wesentlich höheres Schmerzensgeld festgesetzt worden war.
Sachverhalt
In der Hauptsache verlangte die Klägerin nach Beendigung ihres Arbeitsverhältnisses mit der Beklagten von dieser unter anderem Zahlung von 6.000 Euro Schmerzensgeld sowie das Unterlassen der Nutzung eines Werbevideos. Während ihrer Beschäftigung bei der Beklagten hatte die Klägerin der Teilnahme an dem Video mündlich zugestimmt. Die Beklagte hatte die Klägerin dabei vorab jedoch nicht über den Zweck der Datenverarbeitung und auch nicht über ihr Widerrufsrecht bezüglich der Einwilligung in Textform informiert. Anschließend hatte die Beklagte das Video im Internet auf der Plattform „YouTube“ veröffentlicht.
Noch vor der Güteverhandlung nahm die Beklagte das Video von der Plattform und die Parteien schlossen dahingehend einen verfahrensbeendenden Vergleich. Der Prozesskostenhilfeantrag der Klägerin wurde bewilligt, jedoch für ihren Antrag auf Zahlung von Schmerzensgeld nur bis zu einer Höhe von 2.000 Euro. Hiergegen wendete sich die Klägerin mit sofortiger Beschwerde und rügte, das Arbeitsgericht habe nicht ausreichend berücksichtigt, dass das Arbeitsgericht Münster in seinem Urteil vom 25.03.2021 (3 Ca 391/20) in einem vergleichbaren Fall ein wesentlich höheres Schmerzensgeld festgesetzt habe.
Entscheidung des Gerichts
Unter Bezugnahme auf eine Entscheidung des BAG vom 26.08.2021 (8 AZR 253/20, Rn. 33) nahm das LAG Schleswig-Holstein einen Schadensersatzanspruch der Klägerin gem. Art. 82 Abs. 1 DSGVO wegen eines immateriellen Schadens allein aufgrund der Verletzung der DSGVO an. “Der Rechtsanspruch auf immateriellen Schadensersatz nach Art. 82 Abs. 1 DSGVO erfordert über die Verletzung der DSGVO hinaus nicht zusätzlich, dass die verletzte Person einen (weiteren) von ihr erlittenen immateriellen Schaden darlegt. Bereits die Verletzung der DSGVO selbst führt zu einem auszugleichenden immateriellen Schaden.” (LAG Schleswig-Holstein, Beschluss vom 01.06.2022, 6 Ta 49/22, Rn. 14). Einhergehend mit der Rechtsprechung des Europäischen Gerichtshofs (EuGH) wurde der Begriff des Schadens weit und auf eine Weise ausgelegt, die den Zielen der Verordnung in vollem Umfang entspricht. „Angesichts dessen geht die Beschwerdekammer davon aus, dass Art. 82 Abs. 1 DSGVO neben seiner Ausgleichsfunktion auch spezial- bzw. generalpräventiven Charakter hat und dies bei der Bemessung der Höhe des zu ersetzenden immateriellen Schadens zu Lasten des Verantwortlichen zu berücksichtigen ist. Verstöße müssen nämlich effektiv sanktioniert werden. Der Schadensersatz bei Datenschutzverstößen soll eine abschreckende Wirkung haben, um der Datenschutzgrundverordnung zum Durchbruch zu verhelfen (effet utile).“ (LAG Schleswig-Holstein, Beschluss vom 01.06.2022, 6 Ta 49/22, Rn. 15).
Das LAG hielt die Obergrenze in diesem Fall in Höhe von 2.000 Euro für einen Schadensersatz unter Berücksichtigung und Abwägung aller Umstände für angemessen. Die Beeinträchtigung des Rechts der Klägerin am eigenen Bild sei nicht schwerwiegend gewesen. Die Aufnahmen hätten auch nicht erkennbar die Intimsphäre der Klägerin berührt oder sie diskriminiert. Zudem habe die Beklagte das Video nach der Aufforderung umgehend aus dem Netz genommen. Ein höheres Schmerzensgeld zur Erstattung des immateriellen Schadens aufgrund des Verstoßes der Beklagten gegen die Vorschriften der DSGVO sei nicht zu rechtfertigen.
Auch der Vergleich mit anderen Urteilen zeige die Angemessenheit auf. Richtig sei, dass bei der Festlegung der Höhe eines zuzuerkennenden Schmerzensgeldes auf eine angemessene Relation der Anspruchshöhe zu in anderen vergleichbaren Fällen ausgeurteilten Entschädigungsbeträgen zu achten sei. Bei vergleichbaren Verstößen gegen das Persönlichkeitsrecht des Arbeitnehmers hätten andere Arbeitsgerichte sogar niedrigere Summen für angemessen gehalten. Das Urteil des Arbeitsgerichts Münster sei jedoch nicht vergleichbar und läge in wesentlichen Punkten anders. Insbesondere sei die dortige Verwendung der Aufnahmen nach Ansicht des Arbeitsgerichts diskriminierend gewesen.
Mit der Annahme eines weiten Schadensbegriffs zeigt dieser Beschluss erneut auf, dass die Gerichte hinsichtlich der Auslegung des Art. 82 Abs. 1 DSGVO eine weitestgehend einheitliche und arbeitnehmerfreundliche Auffassung vertreten. Allein aufgrund des Verstoßes gegen eine Pflicht aus der DSGVO entstehen den Betroffenen immaterielle Schäden, welche einen Schadensersatzanspruch auslösen können. Bezüglich der Höhe ist auf den Einzelfall abzustellen.
16. Februar 2022
Die Frage, ob Führungskräfte in Unternehmen schuldhaft handeln müssen oder ob ein objektiver Pflichtverstoß für die Verhängung eines Bußgeldes nach der DSGVO gegen das Unternehmen ausreicht, ist im Datenschutzrecht sehr umstritten. Das Kammergericht Berlin (Az. 3 Ws 250/21) hat dem EuGH hierzu Fragen zur Vorabentscheidung vorgelegt.
Rechtsträger- oder Funktionsträgerprinzip?
Stein des Anstoßes ist die Frage, ob §30 Ordnungswidrigkeitengesetz (OWiG) und damit das deutsche Haftungskonzept für Unternehmen (Rechtsträgerprinzip) anwendbar ist. Dem Unternehmen kann ein Bußgeld nur dann auferlegt werden, wenn eine Führungskraft eine (vorsätzliche oder fahrlässige) Tat begangen hat, die dem Unternehmen zurechenbar ist. Das LG Berlin vertritt diese Auffassung und hat ein Bußgeldverfahren gegen die Deutsche Wohnen SE eingestellt. Für die Verhängung eines Bußgeldes müsse ein der juristischen Person zurechenbarer Pflichtverstoß vorliegen, der durch die Datenschutz-Aufsichtsbehörde nachgewiesen werden muss. Eben dieser Nachweis sei nicht gelungen, der Bußgeld-Bescheid enthalte keine entsprechenden Angaben.
Das LG Bonn (Urt. v. 11.11.2020 – 29 OWi 1/20) hält §30 OWiG für nicht anwendbar (Funktionsträgerprinzip). Das hätte zur Folge, dass das sog. supranationale Kartellsanktionsrecht greift. Dann reicht ein objektiver (Datenschutz-)Verstoß eines Unternehmens aus, um es mit einem Bußgeld zu belegen. Eine Anweisung zu oder auch nur Kenntnis der Leitungsorgane des Unternehmens von Datenschutzverstößen sind dann nicht erforderlich. Das datenschutzrechtliche Bußgeld finde seine Rechtsgrundlage vielmehr unmittelbar in Art. 83 DSGVO, so das LG Bonn. Dafür sprechen der Anwendungsvorrang der DSGVO im Allgemeinen sowie der Wirksamkeitsgrundsatz des Europarechts, der ausgehöhlt würde, wenn nationale Haftungsregeln die Sanktionsmöglichkeiten europarechtlicher Vorschriften einschränken würden. Dann wäre nicht mehr europaweit sichergestellt, dass dieselben Bußgeldregelungen gelten, was dem Verordnungscharakter der DSGVO zuwiderliefe.
Der EuGH hat die Chance zur Klarstellung
Somit bestehen Zweifel über die Auslegung des Art. 83 DSGVO und die Zuständigkeit des EuGH ist im Vorabentscheidungsverfahren (Art. 267 AUEV) eröffnet. Das KG erwartet vom EuGH eine Klarstellung, ob die (strengeren) Vorgaben des deutschen Ordnungswidrigkeitenrechts gelten oder ob ein objektiver Pflichtverstoß eines Unternehmens ausreicht, um ein Bußgeld zu verhängen. Das KG selbst scheint übrigens von einer direkten Unternehmenshaftung ohne Anwendung des §30 OWiG auszugehen.
4. August 2021
In mehreren Klagen sieht sich der Videokonferenzanbieter Zoom Vorwürfen ausgesetzt, einerseits gegen Datenschutzvorgaben zu verstoßen und andererseits nicht genug gegen sog. “Zoombombing” unternommen zu haben. Mit der Zahlung von 85 Millionen Dollar will Zoom diese Sammelklagen jetzt außergerichtlich erledigen. Aus Gerichtsdokumenten geht hervor, dass Zoom kein Fehlverhalten eingesteht. Der Vergleich muss noch von der zuständigen US-Bezirksrichterin angenommen werden.
Der Vorwurf, gegen Datenschutzvorgaben verstoßen zu haben, beruht auf der Weitergabe von personenbezogenen Daten der Nutzer an Facebook, LinkedIn und Google. Unter “Zoombombing”, dem anderen Vorwurf, versteht man das Zuschalten von fremden Personen mit dem Ziel, die Videokonferenz zu stören. Nutzer sind hierbei zum Teil schwer beleidigt worden. Um diese Störungen zu vermeiden, hat Zoom bereits im vergangenen Jahr mit Codes das zufällige Zuschalten zu fremden Videokonferenzen erheblich erschwert.
Ursprünglich war Zoom eine Anwendung, die hauptsächlich von Unternehmen genutzt wurde. Im Rahmen der Corona-Pandemie vergrößerte sich der Nutzerkreis stetig, sodass auch Home Office und Home Schooling über Zoom organisiert wurde bzw. wird.
12. Januar 2021
Die Datenschutzbeauftragte des Landes Niedersachsen (LfD Niedersachsen) hat gegen die notebooksbilliger.de AG wegen Datenschutzverstößen ein Bußgeld in Höhe von 10,4 Millionen Euro verhängt. Dabei handelt es sich um eines der höchsten Bußgelder, das bisher von einer deutschen Aufsichtsbehörde wegen eines Verstoßes gegen Datenschutzbestimmungen verhängt wurde. Der Bußgeldbescheid ist allerdings noch nicht rechtskräftig. Auch hat das Unternehmen seine Videoüberwachung nach Angaben des LfD Niedersachsens mittlerweile in rechtmäßiger Weise ausgestaltet.
Vorwurf: Umfassende Videoüberwachung ohne konkrete Verdachtsmomente
Hintergrund des verhängten Bußgeldes ist die im Unternehmen durchgeführte Videoüberwachung von Beschäftigten, die von der Datenschutzbeauftragten des LfD Niedersachsen – Barbara Thiel – als “schwerwiegend” bezeichnet und für unzulässig erklärt wurde. Mit dem Ziel, Straftaten zu verhindern und aufzuklären habe das Unternehmen eine weiträumige Videoüberwachung eingeführt, die sowohl Arbeitsplätze als auch Verkaufsräume, Lager sowie Aufenthaltsbereiche erfasse. Zudem seien die Aufnahmen oftmals 60 Tage lang gespeichert worden sein.
Der Umfang der Videoüberwachung wurde nun durch das LfD Niedersachsen als unzulässig eingestuft. Zur Verhinderung und Aufdeckung von Straftaten dürfe eine Videoüberwachung nur anlassbezogen erfolgen, und auch nur dann, wenn mildere Mittel wie Taschenkontrollen nicht in Betracht kommen. Im Falle eines begründeten Verdachts dürften einzelne Personen überwacht werden, wobei die Überwachung zeitlich begrenzt werden müsse. Ein Generalverdacht oder eine Präventivfunktion seien hingegen nicht ausreichend, sodass die Überwachung aller Beschäftigter unrechtmäßig sei. Zudem seien hier auch Kunden von der Videoüberwachung betroffen gewesen.
Besondere Schwere des Grundrechtseingriffs betont
Die Datenschutzbeauftragte betonte noch einmal, dass es sich bei der Videoüberwachung von Beschäftigten um einen besonders intensiven Eingriff in das Persönlichkeitsrecht handle, “da damit theoretisch das gesamte Verhalten eines Menschen beobachtet und analysiert werden kann. Das kann nach der Rechtsprechung des Bundesarbeitsgerichts dazu führen, dass die Betroffenen den Druck empfinden, sich möglichst unauffällig zu benehmen, um nicht wegen abweichender Verhaltensweisen kritisiert oder sanktioniert zu werden.“ Aus diesem Grund muss die Videoüberwachung strengen Kriterien folgen.
notebooksbilliger.de kündigt Einspruch an
Die notebooksbilliger.de AG hat angekündigt, gegen den Bußgeldbescheid juristisch vorzugehen. Der CEO des Unternehmens, Oliver Hellmold, bezeichnet die Höhe des Bußgeldes in Relation zur Größe und Finanzkraft des Unternehmens sowie zur Schwere des Verstoßes als unverhältnismäßig. Auch wird bestritten, dass es zu einer systematischen Überwachung der Beschäftigten gekommen sei. Das Videosystem sei hierfür technisch gar nicht ausgelegt gewesen. Durchaus schwer wiegt der Vorwurf des Unternehmens, die Aufsichtsbehörde habe den Sachverhalt nicht ausreichend ermittelt, insbesondere habe man sich vor Ort kein Bild von der Ausgestaltung der Videoüberwachung gemacht. Stattdessen wolle man ein Exempel statuieren, um “ein möglichst abschreckendes Bußgeldregime in Sachen Datenschutz zu etablieren.“ Ziel des juristischen Vorgehens sei aber nicht nur, die Höhe des Bußgeldes anzugreifen und stellvertretend für alle mittelständischen Unternehmen gegen “ungerechte Verfahren” vorzugehen, sondern auch prüfen zu lassen, “ob die Datenschutzbehörde darauf verzichten konnte, einen konkreten Verstoß einer Leitungsperson im Unternehmen festzustellen.“ Gegenstand der juristischen Auseinandersetzung sollen also auch grundlegende Fragen werden, sodass es sich anbietet, das kommende Verfahren aufmerksam zu verfolgen.
3. November 2020
Nach einer Studie des Netzwerks Datenschutzexpertise dürfen Autos von Tesla wegen vieler Datenschutzverstöße in der EU nicht zugelassen werden. Der Verfasser der Studie, der frühere schleswig-holsteinische Datenschutzbeauftragte Thilo Weichert, führt die potentiellen Rechtsverletzungen in einem Gutachten auf fast 40 Seiten auf.
Die vielen Kameras und elektronischen Messysteme, die Tesla im Model 3 verbaut hat, stellen personenbezogene Messwerte dar, für deren Inanspruchnahme Tesla keine präzisen Zwecke nennt. Dies stellt einen Verstoß gegen Artikel 5 der DSGVO dar. Als weiteres Beispiel wird die Video- und Ultraschallüberwachung während der Fahrt und im sogenannten „Sentry-Mode“ benannt. Dies ist ein Überwachungsmodus, der aktiviert werden kann, wenn das Auto geparkt ist. Acht Kameras, die rund um das Auto montiert sind, ermöglichen eine Rundumüberwachung der Fahrzeugumgebung in bis zu 250 Meter Entfernung. Über die USB-Schnittstelle können die einlaufenden Daten von vier Kameras dauernd unverfremdet ausgelesen und ausgewertet werden. Personen oder auch Kfz-Nummernschilder seien so klar zu erkennen.
Im Sentry-Mode erfassen die Kameras zudem dauernd die Umgebung. Eine kleine Bewegung im unmittelbaren Umfeld des Fahrzeugs reiche bereits, sodass im Cockpit ein roter Punkt aufleuchtet und dies aufzeichne. Dafür genüge es, dass eine Person oder ein anderes Fahrzeug nahe am Auto sei. Sicherheitsforscher hätten gezeigt, dass sie über eine USB-Schnittstelle sämtliche Kameras im laufenden Betrieb auswerten, Kfz-Kennzeichen erfassen und Gesichtserkennung durchführen konnten.
Dem Gutachten zur Folge „genügt Tesla nicht den Anforderungen an die Datenminimierung und die Erforderlichkeit bei der Datenverarbeitung.” Tesla sei „insbesondere mitverantwortlich für die nicht erforderliche, umfassende, uneingeschränkte Videoüberwachung” im Wächtermodus. Ignoriere aber deren Folgen. Das Unternehmen informiere die Betroffenen zudem nicht in einer hinreichend präzisen und verständlichen Sprache über ihre Rechte oder etwa über die Speicherdauer der erhobenen Messwerte.
Die Studie merkt zudem an, dass Tesla Daten in die USA sowie eventuell in weitere Drittstaaten ohne angemessenes Schutzniveau versendet. Damit ignoriere Tesla das jüngst ergangene Urteil des Europäischen Gerichtshofs gegen den Privacy Shield.
Nun seien die deutschen und europäischen Aufsichtsbehörden am Zug. In Deutschland sei vermutlich das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) zuständig, da Tesla als Kontakt für deutsche Kunden eine Adresse in München angegeben habe. Die europäische Hauptniederlassung befinde sich in Amsterdam, somit für ein europäisches Verfahren die niederländische Behörde “Autoriteit Persoonsgegevens” die zuständige Kontrollinstanz.
9. Juni 2020
Nachdem der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit, Lutz Hasse, die Prüfung von Datenschutzverstößen durch Lehrkräfte beim Home-Schooling angekündigt hatte, ist er bei Lehrergewerkschaften, Elternverbänden, Oppositionsparteien und Bildungsministern in Kritik geraten.
Er warnte davor, dass bei Verstößen der Lehrer Bußgelder von bis zu 1.000 Euro verhängt werden könnten. Gleichzeitig müsse jedoch geprüft werden, ob der Lehrer selbst oder vielmehr die Schule, durch eine Duldung des Verstoßes, im Einzelfall verantwortlich ist. Aus datenschutzrechtlicher Sicht seien, so Hasse, vor allem die Verwendung von unsicherer Software, Cloudspeichern und Kommunikationsplattformen bedenklich.
Thüringens Bildungsminister Helmut Holter (Linke) kritisierte diesbezüglich: “Lehrerinnen und Lehrer, die in der Corona-Krise mit hohem Engagement und unter hohem Zeitdruck das Lernen zu Hause organisieren mussten und nach den besten Wegen gesucht haben, den Kontakt zu ihren Schülerinnen und Schülern und zu den Eltern zu halten, sollten nun nicht mit Bußgeldern bedroht werden”.
Die Gewerkschaft für Erziehung und Wissenschaft (GEW) kritisierte die Ankündigung von Hasse als „Schlag ins Gesicht“ derer, die schnell nach Möglichkeiten gesucht hätten, Schüler im Distanzunterricht gut zu betreuen.
Wie der MDR jetzt berichtete, haben sich der Thüringer Datenschutzbeauftragte und Mitarbeiter des Bildungsministeriums am Montag den 08.06.2020 gemeinsam auf eine Vermeidung von Bußgeldern geeinigt. Sie legten fest, dass sich bei etwaigen Verstößen die Datenschützer zunächst an das Ministerium wenden sollen. Dort kann im Einzelfall geprüft werden, ob sich Bußgelder vermeiden ließen.
Die Thematik rund um Homeschooling und Datenschutz wurde auch in Teil 8 unserer Themenreihe Datenschutz und Corona aufgegriffen und erläutert.
5. Juni 2020
Die Berliner Beauftrage für Datenschutz und Informationsfreiheit, Maja Smoltczyk, prüft ob der Online-Modehändler gegen die Datenschutzgrundverordnung (DSGVO) verstoßen hat. Dies bestätigte die Aufsichtsbehörde gegenüber Golem.de und verifizierte damit einen Bericht von Business Insider.
Anlass ist der Einsatz der Softwaresysteme “Zalos” und “Zafeto” von Zalando, welche über sogenannte MDs (Mobile Datenspeicher) die Arbeitsabläufe der Mitarbeiter in den Logistikzentren steuern. Die Geräte teilen den Mitarbeiter die Aufträge zu, einen bestimmten Artikel aus dem Lager zu entnehmen. Dabei werden über das System die Standzeiten ebenso erfasst wie die Menge und Schnelligkeit der erledigten Aufträge (Picks). Die Ergebnisse werden den Mitarbeitern dann in wiederkehrenden Feedbackgesprächen präsentiert. Das Unternehmen nutzt die Systeme nach eigenen Angaben um ihre Arbeitsabläufe zu optimieren.
“sehr überwachungsintensiv”
Die Software erscheine auf den ersten Blick “sehr überwachungsintensiv”, sagte eine Sprecherin der Behörde gegenüber Business Insider. „Es wirkt so, als sei die Kontrolle sehr engmaschig, die Zalando über die beiden Systeme Zalos und Zafeto über seine Mitarbeiter hat. Jetzt wird geprüft, ob das mit der Datenschutzgrundverordnung vereinbar ist.“
Die Berliner Datenschutzbeauftragte prüft außerdem das von Zalando eingesetzte Feedback-Tool „Zonar“, über das die „Süddeutsche Zeitung“ berichtet hat.
15. April 2020
In verschiedenen Bundesländern wurden Covid-19 Patientenlisten von den Gesundheitsämtern an die Polizeibehörden weitergeleitet. Derzeit bekannt ist eine Weitergabe in Niedersachsen, Bremen, Mecklenburg-Vorpommern und Baden-Württemberg. In Bayern erhielt der Landesbeauftragte für Datenschutz mehrere Anfragen, die er ablehnte. Die Covid-19 Patientenlisten enthalten personenbezogene Daten über die Personen, die sich in Quarantäne befinden. Dazu zählen sowohl sensible Gesundheitsdaten, als auch Informationen zu Quarantänebestimmungen und Kontaktpersonen.
Kritik:
Die Datenschutzbeauftragten sprechen sich überwiegend gegen eine Datenweitergabe an die Polizei aus. Der Datenschutzbeauftragte des Landes Baden-Württemberg Stefan Brink kritisierte, dass den Polizeibehörden die Rechtsgrundlage für das Handeln fehle und die Weitergabe rechtswidrig sei. Das Gesetz über den Gesundheitsdienst käme als Rechtsgrundlage nicht in Betracht, da es eine konkrete Gefahr voraussetze. Vor einem polizeilichen Einsatz bestünde für die Beamten lediglich eine potentielle Gefahr, die nicht ausreiche. Zusätzlich warnte er davor, dass auf der Grundlage weitere Behörden die Listen anfordern könnten und so eine klare Grenzziehung erschwert werden könnte. Der Präsident der Ärztekammer Mecklenburg-Vorpommern, Andreas Crusius, stellte die Erforderlichkeit der Listenweitergabe in Frage. Bei Bedarf könnte sich die Polizei alternativ jederzeit an die Amtsärzte wenden, die im Einzelfall eine Auskunft zum Gesundheitszustand der Person erteilen könnten. Außerdem bezweifelte er, dass die Listen zum Zeitpunkt der Ankunft überhaupt noch aktuell sind. Die niedersächsische Datenschutzbehörde äußerte sich ebenfalls kritisch und untersagte die Datenweitergabe. Der Datentransfer verstoße gegen den Datenschutz, die ärztliche Schweigepflicht und die Verhältnismäßigkeit. Die Polizei hatte die Datenverarbeitung auf die Gefahrenabwehr gemäß § 41 NPOG, auf das Infektionsschutzgesetz sowie den rechtfertigenden Notstand nach§ 34 StGB gestützt. Dem widersprach die niedersächsische Datenschutzbeauftrage Barbara Thiel, da der rechtfertigende Notstand gemäß § 34 StGB nicht pauschal für alle Personen gelten könne, die auf der Liste stehen.
Der Datenschutzbeauftragte von Mecklenburg-Vorpommern Heinz Müller stuft die Weitergabe der Covid-19 Liste als vertretbar ein. Die Polizei könnte ihr Vorgehen auf ihr berechtigtes Interesse, dem Infektionsschutz von Polizeibeamten, stützen. Beispielsweise müssten die Beamten vor dem Einsatz in einer häuslichen Umgebung wissen, ob in der Wohnung Covid-19 Infizierte leben. Diesbezüglich könnte jedoch erneut die fehlende Erforderlichkeit der Maßnahme und die Pauschalität kritisiert werden.
Lösungsansatz:
Das Innenministerium von Baden-Württemberg liefert einen möglichen Lösungsvorschlag für die Problematik. Es wurde eine Rechtsverordnung erarbeitet, die der Polizei, nur in Einzelfällen, den Zugriff auf eine passwortgeschützte Datenbank mit den Covid-19 Infizierten erlaubt. Die kursierenden Patientenlisten sollen vernichtet und die Betroffenen darüber informiert werden.
27. Januar 2020
Der Modehändler H&M steht wegen massiven Datenschutzverstößen in der Kritik. Die FAZ berichtete am Samstag, dass H&M im großen Stil private Daten seiner Mitarbeiter gesammelt und gespeichert hat. Die FAZ zitiert den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit mit den Worten, dass die Daten “detaillierte und systematische Aufzeichnungen von Vorgesetzten über ihre Arbeitnehmerinnen und Arbeitnehmer” enthalten. Dabei geht es auch um Krankheiten und Familienstreitigkeiten.
Die Datenschutzbehörde in Hamburg (dort hat die Deutschlandzentrale von H&M ihren Sitz) ein Bußgeldverfahren eingeleitet, so die FAZ, nachdem sich der Verdacht der Spionage erhärtete. Der Datenschutzbeauftragte Johannes Caspar teilte mit, dass “das qualitative und quantitative Ausmaß der für die gesamte Leitungsebene des Unternehmens zugänglichen Mitarbeiterdaten eine umfassende Ausforschung der Mitarbeiterinnen und Mitarbeiter zeigt, die in den letzten Jahren ohne vergleichbares Beispiel ist”.
Der Umfang der Datenspeicherung war zufällig aufgeflogen, als Mitarbeiter des Kundencenters beim Durchstöbern interner Dateien im IT-System auf offen zugängliche Ordner mit brisantem Material stießen.
H&M äußerte sich zum Vorfall und teilte mit, dass der Vorfall ernst genommen werde und er aufrichtig bedauert wird. Der Vorfall befände sich in juristischer Prüfung.
Was für ein Bußgeld die Hamburger Datenschützer ins Auge fassen, bleibt abzuwarten.
