Schlagwort: Verarbeitung besonderer Kategorien personenbezogener Daten

Bußgeld wegen Negativliste über Angestellte

7. August 2023

Berliner Datenschutzbeauftragte verhängt Sanktionen

Ein Unternehmen steht in der Kritik, da es heimlich sensible Informationen über ihre Angestellten gesammelt hat. Die Berliner Datenschutzbeauftragte, Meike Kamp, hat dieses Vorgehen als rechtswidrig erachtet und Sanktionen verhängt.

Wie bereits im Mai 2021 bekannt wurde, sammelte das Unternehmen während der Probezeit sensible Daten über seine Angestellten, darunter Informationen darüber, ob sich Mitarbeiterinnen und Mitarbeiter einer Psychotherapie unterzogen oder Interesse an der Gründung eines Betriebsrats zeigten. Diese Informationen wurden auf einer sogenannten Negativliste erfasst, die dazu diente, die Angestellten zu bewerten und darüber zu entscheiden, wem nach Ablauf der Probezeit gekündigt wird.

Verstöße gegen die DSGVO

Die Berliner Datenschutzbeauftragte hat in ihrer Untersuchung massive Verstöße gegen den Datenschutz festgestellt. Eine Vorgesetzte hatte die sensiblen Daten ohne Wissen der betroffenen Angestellten gesammelt, um diese bei der Entscheidung über eine Weiterbeschäftigung zu berücksichtigen. Insbesondere Angestellte, die eine gewerkschaftliche Organisation unterstützen oder ein erhöhtes Risiko für krankheitsbedingte Ausfälle aufwiesen, wurden als “kritisch” oder sogar “sehr kritisch” eingestuft.

Aufgrund dieser schwerwiegenden Verstöße hat die Berliner Datenschutzbeauftragte Bußgelder in Höhe von insgesamt 215.000 Euro gegen das Unternehmen verhängt. Die Negativliste wurde offenbar im März 2021 auf Anweisung der Geschäftsführung erstellt. Als eine betroffene Angestellte die Presse und die Datenschutzbeauftragte informierte, reagierte das Unternehmen und meldete sich noch am gleichen Tag bei der Behörde. Die Zusammenarbeit des Unternehmens mit den Behörden wurde als mildernder Umstand bei der Festsetzung der Bußgelder berücksichtigt.

Sensible Daten besonders schützenswert

Die Datenschutzbeauftragte betont, dass die Verarbeitung solch sensibler Daten stets im zulässigen Zusammenhang mit dem Beschäftigungsverhältnis erfolgen muss. Insbesondere Gesundheitsdaten zählen zu den besonders sensiblen Informationen und dürfen nur in engen Grenzen verarbeitet werden. Die DSGVO enthält in Art. 9 eine Liste mit “besonderen Kategorien personenbezogener Daten”, zu denen auch Gesundheitsdaten und Informationen über die Gewerkschaftszugehörigkeit zählen. Diese Daten dürfen nur in Ausnahmefällen und unter strengen Voraussetzungen gesammelt und verarbeitet werden, um die Rechte und die Privatsphäre der betroffenen Personen zu schützen.

Fazit

Die Verhängung dieser Bußgelder sendet ein wichtiges Signal an Unternehmen und Arbeitgeber, dass der Datenschutz eine hohe Priorität haben muss und Verstöße gegen die Datenschutzvorschriften konsequent geahndet werden. Angestellte haben ein Recht auf den Schutz ihrer persönlichen Daten, insbesondere wenn es um sensible Informationen wie den Gesundheitszustand geht.

Datenpanne bei Aktivistengruppe “Letze Generation”

14. Februar 2023

Anfang Februar kam durch Recherchen der Reporter von Welt am Sonntag ein beachtliches Datenleck ans Licht. Es handle sich um Listen, welche ausführliche Informationen über Aktivistinnen und Aktivisten der Gruppierung „Letze Generation“ abbildeten. 

Sachverhalt 

Wer in einer deutschen Großstadt lebt und dennoch regelmäßig auf die Mobilität eines Autos angewiesen ist, könnte eventuell schon einmal auf die Aktivistinnen und Aktivisten gestoßen sein. Diese bekommen seit längerem eine hohe mediale Aufmerksamkeit für Protestaktionen, bei denen Beteiligte ihre Hände auf wichtigen Verkehrsknotenpunkten auf der Straße festkleben. Dies führt immer wieder zu sehr langen und ungemütlichen Staus für Autofahrerinnen und Autofahren. In Bezug auf die kürzliche Datenpanne, sind die Aktivistinnen und Aktivisten im Kontext der DSGVO in diesem Fall allerdings eher metaphorisch geleimt. Berichten nach sollen personenbezogene Daten von mehr als 2200 Beteiligten über Google Drive zugänglich gewesen sein. 

Spannungsfeld 

Grundsätzlich ist jede Datenpanne von Verantwortlichen durch präventive technisch- organisatorische Maßnahmen zu verhindern. Das Reporter sich Zugriff zu solchen Listen verschaffen können, stellt ein Negativbeispiel für die von Verantwortlichen zu treffenden Maßnahmen dar. 

Besondere Kategorien personenbezogener Daten 

Die Google Drive Listen enthielten neben Namen, Telefonnummern sowie der bloßen Bereitschaft für Protestaktionen ins Gefängnis zu gehen, vereinzelt wohl auch Gesundheitsdaten zu geistigen Gemütszuständen. Jedoch sind die Gesundheitsdaten nicht die einzigen personenbezogenen Daten einer besonderen Kategorie i. S. d. Art. 9 Abs. 1 DSGVO. Die gesamte Liste stellt bereits ein sensitives Datum dar. Einzig die Namensnennung klärt schließlich schon über die politische Meinung auf. Es bleibt abzuwarten, wie die zuständige Datenschutzaufsichtsbehörde diesen Fall behandeln wird. 

Veröffentlichung von Gerichtsschriftsätzen:  Grund für außerordentliche Kündigung

2. Juni 2022

Das LAG Baden- Württemberg entschied am 25.03.2022 (Az. 7 Sa 63/21), dass eine außerordentliche Kündigung durch die unrechtmäßige Weitergabe besonderer Kategorien personenbezogener Daten begründet sein kann.

Der Sachverhalt

Hintergrund der außerordentlichen Kündigung war eine vom Kläger verschickte E-Mail, die personenbezogene Daten besonderer Kategorien enthielt. Konkret handelte es sich um Gesundheitsdaten. Diese sind personenbezogene Daten besonderer Kategorien i.S.d. Art. 9 Abs. 1 DSGVO.

Über einen Link in der E-Mail gelangte man auf Schriftsätze eines noch laufenden Verfahrens. Der Kläger wollte sich durch die Vorgehensweise gegen nicht gerechtfertigte Vorwürfe einer sexuellen Belästigung wehren. Zusätzlich forderte er dazu auf, die Schriftsätze weiter zu verbreiten und aus diesen ggf. zu zitieren.  

Die Entscheidung

Das LAG Baden- Württemberg entschied, dass der Kläger die namentlich in den Schriftsätzen genannte Person in ihren Persönlichkeitsrechten verletzte. Die Schriftsätze waren weder für die Allgemeinheit noch für eine betriebsinterne Veröffentlichung bestimmt. Alleiniger Zweck der Dokumente war die prozessuale Verwendung. Demnach handelte der Kläger bei Weiterleitung der Schriftsätze bewusst und gewollt.  

Außerdem stellte das Gericht die Rechtswidrigkeit der Verletzungshandlung fest. Aus Sicht des Gerichts könne sich der Kläger auf kein berechtigtes Interesse berufen. Das Gerichtsverfahren, aus welchem die Schriftsätze stammten, war noch nicht rechtskräftig abgeschlossen. Folglich waren die Entscheidungsgründe des Gerichts grundsätzlich unbekannt und etwaige Rechtsbehelfe gegen die noch ausstehende Entscheidung denkbar.

Der Kläger handelte darüber hinaus auch schuldhaft. Insbesondere könne er sich nicht auf einen möglichen Rechtsirrtum berufen. Er war Mitglied des Betriebsrates und des Personalausschusses. In dieser Funktion oblag ihm die Pflicht, an datenschutzrechtlichen Schulungen teilzunehmen. Demzufolge kannte der Kläger die datenschutzrechtlichen Vorschriften. Er sei geschult darin, rechtmäßig mit personenbezogenen Daten umzugehen, auch solche besonderer Kategorie.

Folglich konnte das Verhalten des Klägers, mit dem die betroffene Person in ihren Persönlichkeitsrechten verletzt wurde, seine außerordentliche Kündigung begründen.

Verwaltungsgericht Hamburg – Testpflicht für Schüler im Klassenraum verletzt den Datenschutz

14. Mai 2021

Nach einer Entscheidung des Hamburger Verwaltungsgerichts muss sich ein Grundschüler nicht an seiner Schule auf Corona testen lassen, um am Präsenzunterricht teilnehmen zu dürfen. Laut Beschluss vom 29. April (Az.: 2 E 1710/21) reiche ein negatives Ergebnis aus einem anerkannten Schnelltestzentrum, welches maximal 24 Stunden alt sei.

Die Schulbehörde hat gegen die Eilentscheidung Beschwerde beim Oberverwaltungsgericht eingelegt, wie ein Gerichtssprecher am Mittwoch mitteilte. Der Schüler hatte sich zu Hause testen lassen und der Schule nur das Ergebnis mitteilen wollen. Einen solchen Selbsttest akzeptiere das Verwaltungsgericht nicht. Eine Bescheinigung von einem Testzentrum sei schon erforderlich.

Seit dem 6. April müssen sich Schüler in Hamburg zweimal pro Woche unter Aufsicht an der Schule testen, wenn sie am Präsenzunterricht teilnehmen wollen. Als einzige Alternative ist ein PCR-Test erlaubt, der nicht älter als 48 Stunden sein darf.

Laut Verwaltungsgericht verletzt die Testpflicht an der Schule den Datenschutz, zumindest wenn ein Test positiv ausfällt und das Ergebnis an das Gesundheitsamt weitergeleitet werden muss. „Die derzeitige Ausgestaltung der testabhängigen Zugangsbeschränkung verstößt nach summarischer Prüfung gegen die Vorschriften der Datenschutzgrundverordnung”, so laut Beschluss. Die Datenerhebung setze Freiwilligkeit voraus. Die Alternative Homeschooling bedeute allerdings einen Nachteil für den Schüler, er könne sich darum nicht freiwillig entscheiden. Damit stützt das Gericht die Linie des Thüringer Datenschutzbeauftragten Lutz Hasse. Er sieht durch die Testpflicht im Klassenraum die Rechte der betroffenen Schüler massiv beeinträchtigt und verlangt von Schulen zumindest eine Einverständniserklärung der Eltern für dieses Procedere einzuholen.

Coronaselbsttests – Verarbeitung von Gesundheitsdaten durch Schulen

28. April 2021

Im Rahmen der Corona-Pandemie setzt die Landesregierung Nordrhein-Westfalen zum Zweck des Gesundheitsschutzes unter anderem auf den Einsatz von Coronaselbsttests für alle an Schulen in Präsenz tätigen Personen. Über datenschutzrechtliche Grundsätze, Voraussetzungen und Grenzen bei der Durchführung dieser Selbsttests informiert die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) in einem Schreiben.

Auch wenn die Durchführung von Coronaschnelltests aus datenschutzrechtlicher Sicht laut der LDI NRW nicht zu beanstanden ist, so müssen dennoch bestimmte Grundsätze beachtet werden, um datenschutzrechtliche Voraussetzungen zu erfüllen.

1. Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten

Bei der Durchführung von Coronaschnelltests werden durch die Schulen Gesundheitsdaten z.B. von Schülerinnen und Schülern, d.h. personenbezogene Daten besonderer Kategorien nach Art. 9 Abs. 1 DSGVO verarbeitet. Diese Gesundheitsdaten unterliegen einem besonderen Schutz nach der DSGVO, da deren Verarbeitung grundsätzlich untersagt ist. Nur in Ausnahmefällen nach Art. 9 Abs. 2 DSGVO ist eine Verabeitung zulässig. So z.B. nach Art. 9 Abs. 2 lit. i in den Fällen, in denen die Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren auf der Grundlage nationalen Rechts, das angemessene und spezifische Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person vorsieht, erforderlich ist. Hinsichtlich einer solchen Regelung verweist die LDI NRW als Rechtsgrundlage für die Schulen auf § 1 Abs. 2 lit. b und lit. e Coronabetreuungsverordnung (CoronaBetrVO) und bejahte auch dessen Verhältnismäßigkeit.

2. Vertraulichkeit der Testergebnisse

Zudem verweist die Landesbeauftragte darauf, dass die Ergebnisse der Coronaselbsttests Unbefugten gegenüber nicht offengelegt werden dürfen. Das bedeutet, dass die Schulen die Bekanntgabe der Ergebnisse so organisieren müssen, dass sie den Schülerinnen und Schülern oder ihren Erziehungsberechtigten gegenüber einzeln erfolgt. Im Rahmen dessen sieht die LDI NRW den Ausschluss positiv getetester vom Präsensunterricht, durch den grundsätzlich auch ein Rückschluss auf das Testergebnis möglich wäre, als unumgänglich und mithin als datenschutzrechtlich hinnehmbar an.

3. Dokumentation der Testergebnisse

Schließlich müssen die Schulen die Testergebnisse nach § 1 Abs. 2 lit. e CoronaBetrVO erfassen und dokumentieren. Positive Testergebnisse müssen sie dem Gesundheitsamt übermitteln. Die Ergebnisse der durchgeführten Coronaselbsttests dürfen darüber hinaus nicht an Dritte übermittelt werden und müssen nach 14 Tagen vernichtet werden. Hinsichtlich der Vernichtung verweist die LDI NRW darauf, dass eine datenschutzkonforme Vernichtung erfolgen muss, d.h. in der Form, dass die Daten nicht wieder herstellbar sind, wofür sie ein bloßes Zerreißen von Listen und die Entsorgung über den Papiermüll als nicht ausreichend beschreibt. Auch eine Erforderlichkeit, die Testergebnisse zur Schülerakte zu nehmen, verneint die Landesbeauftragte. Sollte im Einzelfall eine Aufbewahrung für erforderlich gehalten werden, so verweist die LDI NRW darauf, dass dies nur in einem verschlossenen Umschlag, auf den nur ein eingeschränkter Personenkreis zur Aufgabenerfüllung der Schule Zugriff haben darf, erfolgen sollte. Auf dem Umschlag sei dann, so die LDI NRW, zu vermerken, wer wann und zu welchem Zweck auf das Testergebnis zugegriffen hat und wann es danach wieder im Umschlag verschlossen wurde.

Datenschutz-Lehrstunde für die AfD

9. Dezember 2020

Das AfD-Meldeportal “Neutrale Schule” bleibt weiterhin ohne Anwendung. Nach einer Verbotsverfügung und einem gescheiterten Eilantrag des Landesverbandes Mecklenburg-Vorpommern wies das VG Schwerin in der Hauptsache die Klage gegen das Verbot der Platform ab.

Die Alternative für Deutschland hatte bereits im letzten Jahr in Mecklenburg-Vorpommern ein Portal ins Leben gerufen, in welchem Schüler ihre Lehrer melden konnten, wenn diese durch politische Aussagen gegen das Neutralitätsgebot verstoßen. Laut AfD soll dies “die Indoktrinierung unserer Kinder verhindern und damit eine unbeeinflusste politische Meinungsbildung ermöglichen”.

Das VG Schwerin bestätigte nun die Entscheidung des Landesdatenschutzbeauftragten des Landes Mecklenburg-Vorpommern. Das Online-Portal “Neutrale Schule” verstoße gegen Art. 9 Abs. 1 DS-GVO. Nach dieser Vorschrift ist unter anderem die Verarbeitung personenbezogener Daten untersagt, aus denen politische Meinungen oder weltanschauliche Überzeugungen hervorgehen. Mangels einer ausdrücklichen Einwilligungen seitens der betroffenen Personen oder eines offensichtlichen Öffentlichmachens dieser Daten sei eine Ausnahme gemäß Art. 9 Abs. 2 DS-GVO unbegründet. Auch sei die Verarbeitung nicht zur Geltendmachung von Rechtsansprüchen oder aus Gründen eines erheblichen öffentlichen Interesses erforderlich.

Gegen das Urteil vom 26. November 2020 (Az. 1 A 1598/19 SN) kann die AfD vor der Oberverwaltungsgericht Mecklenburg-Vorpommern in Berufung gehen.

Anders als im Falle der “Neutralen Schule” wurde im Bezug auf die App “Lernsieg” entschieden. Diese bietet die Möglichkeit eine generelle Evaluation von Lehrern abzugeben. Im wesentliche Unterschied zur “Neutralen Schule” bestätigte die zuständige Datenschutzbehörde hier ein legitimes Informationsinteresse der Öffentlichkeit an der Bewertung.