Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

5         Datenschutz in der Wirtschaft

5.1         Auslandsüberweisungen aus Schleswig-Holstein über Brüssel an die CIA

Haben Sie schon einmal eine Kiste trockenen toskanischen Rotwein beim Winzer vor Ort geordert und zur Bezahlung eine Auslandsüberweisung getätigt? Wussten Sie, dass die Überweisungsdaten direkt bei US-Geheimdiensten und sonstigen US-Behörden landen können? Grund hierfür ist SWIFT.

Die Society for Worldwide Interbank Telecommunications – kurz SWIFT – ist weltweit Quasimonopolist für internationale Geldüberweisungen durch Banken und Betreiber einer hierfür geeigneten Telekommunikationsinfrastruktur. Seit 2001 übermittelt das bei Brüssel in Belgien ansässige Unternehmen die ihm von Banken weltweit überlassenen Kundendaten regelmäßig millionenfach eigenmächtig an US-Behörden. Grundlage dafür sind ein Geheimabkommen zwischen dem Unternehmen und dem US-Finanzministerium und Anordnungen des US‑Präsidenten. In den USA fehlt es bislang an mit europäischen Grundrechtsstandards vergleichbaren Schutzvorkehrungen für den Datenschutz.

Nachdem im Juni 2006 erstmals die Öffentlichkeit über einen Zeitungsbericht von dem Vorgang erfuhr, nahm das ULD als für die Finanzinstitutionen des Landes zuständige Aufsichtsbehörde bei den wichtigsten Banken und Sparkassen Ermittlungen auf. So wurden die Kollegen der Bundesländer über den Vorgang informiert und bei einer gemeinsamen Sitzung mit dem Zentralen Kreditausschuss (ZKA) auf sofortige Aufklärung gedrungen. Leider konnte der ZKA als Dachverband der bundesdeutschen Banken nichts mitteilen, was nicht auch schon in der Zeitung gestanden hatte.

            www.datenschutzzentrum.de/wirtschaft/swift/060710_swift.htm

SWIFT ist aus datenschutzrechtlicher Sicht schlicht Auftragnehmer der sie beauftragenden Banken. SWIFT hatte offenbar ohne Kenntnis seiner Auftraggeber deren Kundendaten an die US-Behörden weitergegeben und hierüber lediglich die Bundesbank informiert.

            www.datenschutzzentrum.de/wirtschaft/swift/060825_swift.htm

Zwischenzeitlich hat auch der Düsseldorfer Kreis, das oberste Abstimmungsgremium der Aufsichtsbehörden der Bundesländer, und die sogenannte Artikel-29-Gruppe der europäischen Datenschutzbeauftragten die Datenweitergabe einhellig als rechtswidrig kritisiert und die das Unternehmen beauftragenden Banken aufgefordert, diesen Zustand umgehend zu beenden.

            www.datenschutz.de/aufsicht_privat/
            www.datenschutz.de/news/detail/?nid=1997

Das ULD hatte aufgrund der datenschutzrechtlich eindeutigen Rechtslage als bundesweit einzige Behörde sofort ein Verfahren eingeleitet, um weiteren Schaden für die Rechte der Betroffenen abwenden zu können. Die als Girozentrale für zahlreiche Einzelbanken arbeitende HSH-Nordbank erklärte sich schnell bereit, ihre Kunden umgehend über die drohende Möglichkeit der unrechtmäßigen Datenweitergabe bei Auslandsüberweisungen zu informieren. Weitere Institute und Verbände prüfen zurzeit, auf welche Weise sie zukünftig ihre Kunden über das Risiko des Datenverlustes bei Auslandsüberweisungen aufklären werden. Die Banken wie auch der ZKA verweisen stets darauf, man sei auf SWIFT angewiesen und stehe deren unbefugten Datenweitergaben ohnmächtig gegenüber.

Nach derzeitigem Kenntnisstand dauert die Datenweitergabe an die USA unvermindert an. Es ist davon auszugehen, dass millionenfach Datensätze von unbescholtenen Bürgern weitergegeben werden und dass diese von den US-Geheimdiensten rasterfahndungsähnlich ausgewertet werden. Der Zugriff von US-Behörden auf die Datensätze von SWIFT ließe sich relativ leicht unterbinden, indem die zurzeit aus Sicherheitsgründen bestehende Datenvorhaltung auf einem Spiegelserver in den USA abgebrochen wird. Offenbar bedarf es dazu weiteren internationalen Drucks auf das Unternehmen. Sollte die fehlende Bereitschaft zur Beachtung des Datenschutzes durch SWIFT andauern, so müssen alternative Infrastrukturen für Auslandsüberweisungen geschaffen und genutzt werden. Eine Nutzung des Dienstleisters SWIFT durch bundesdeutsche Banken ist schon heute eine schwere Missachtung des Bankgeheimnisses der Kunden.

 

5.2         Bürokratieabbau durch Datenschutzverkürzung?

Seit Jahren wird in der Fachwelt eine längst überfällige Reform zur Modernisierung des Bundesdatenschutzgesetzes gefordert. Stattdessen wurden unter dem Vorwand des Bürokratieabbaus teilweise Verschlechterungen realisiert.

Seit einem Gutachten im Auftrag des Bundesinnenministeriums aus dem Jahr 2000 ist unbestritten, dass das Bundesdatenschutzgesetz (BDSG) im Interesse von Verbrauchern wie Unternehmen gleichermaßen effektiver gestaltet und modernisiert werden muss. Die wesentlichen Punkte dieses Gutachtens zielen auf eine Vereinfachung und Straffung der gesetzlichen Regelungen ab; eine Umsetzung ist bisher nicht erfolgt. Statt der erhofften Reform kam es zu einer BDSG-Änderung im Rahmen eines Gesetzes zum Abbau bürokratischer Hemmnisse.

Es enthält vor allem zwei Änderungen. Zum einen wird der Schwellenwert für die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten von fünf auf zehn mit der automatisierten Verarbeitung personenbezogener Daten beschäftigte Mitarbeiter heraufgesetzt. Zum anderen unterfallen externe betriebliche Datenschutzbeauftragte zukünftig den Geheimnisschutzbestimmungen des § 203 Strafgesetzbuch, werden vom Beschlagnahmeschutz mit umfasst und können somit auch bei Berufsgeheimnisträgern tätig werden. Die zweitgenannte Änderung wird von uns begrüßt, weil sie eine lang andauernde Unsicherheit bei der Bestellung externer Datenschutzbeauftragter zugunsten des Schutzes der Daten der betroffenen Verbraucher löst.

Die Heraufsetzung des Schwellenwertes für die Bestellpflicht hingegen ist schädlich. Das bundesdeutsche Modell interner betrieblicher Kontrolle des Datenschutzes ist weltweit anerkannt und ein „Exportschlager“. Erst kürzlich hat Frankreich den betrieblichen Datenschutzbeauftragten für Unternehmen eingeführt. Zielsetzung ist die Vermeidung von Bürokratie: In den Unternehmen sollen vor Ort sachkompetente Mitarbeiter, nicht eine weit entfernte Aufsichtsbehörde beurteilen, wo es in Sachen Datenschutz noch hakt. Mit der Heraufsetzung des Schwellenwertes durch ein Bürokratieabbaugesetz fallen bei der mittelständisch geprägten bundesdeutschen Wirtschaft zahlreiche Unternehmen aus der internen Kontrolle durch einen betrieblichen Datenschutzbeauftragten heraus.

Die Bestimmungen des BDSG bleiben aber für diese Stellen anwendbar. Die Kontrolle übernimmt nun die staatliche Aufsichtsbehörde, wenn die Unternehmen nicht freiwillig einen Beauftragten bestellen. Diesen ist dies dringend anzuraten, auch zur Vermeidung von Datenschutzpannen und den möglichen Fehlern beim Umgang mit sensiblen personenbezogenen Daten. Die vom Gesetzgeber behauptete Entlastung der mittelständischen Wirtschaft wird, so ist zu befürchten, zu mehr Belastung der ohnehin überforderten Aufsichtsbehörden durch vermehrte Direktanfragen aufgrund des Wegfalls interner Kontrollstrukturen führen sowie zu mehr staatlicher Bürokratie durch das europarechtlich begründete Wiederaufleben von Meldepflichten. Angesichts der teilweise hohen Technisierung von Kleinunternehmen ist die Anzahl der Mitarbeiter ein wenig tauglicher Anknüpfungspunkt für die Bestellungspflicht; sinnvoller wäre z. B. die Einstufung eines Unternehmens nach Art der Tätigkeit und der dabei konkret entstehenden Risiken für die Daten der Verbraucherinnen und Verbraucher.

 

5.3         Wo wohnt der Richter, der mir Unrecht antat?

Der Betreiber einer privaten Homepage veröffentlichte Namen und Anschriften von Richterinnen und Richtern sowie Staatsanwältinnen und Staatsanwälten eines örtlichen Amts- und Landgerichtes im Internet.

Der Betreiber der Homepage nutzte als Datenquelle die von den Gerichten herausgegebenen Geschäftsverteilungspläne mit den sogenannten Funktionsträgerdaten, d. h. den dienstlichen Daten der Richter und Staatsanwälte (Name, Vorname, Amtsbezeichnung, Zuständigkeit), und das im Buchhandel zu erwerbende Handbuch der Justiz, welches sich bei Richtern und Staatsanwälten ebenfalls auf die Nennung von dienstlichen Angaben (Name, Vorname, Dienststellung, Dienstalter und Geburtsdatum) beschränkt. Privatanschriften der Richter und Staatsanwälte sind in diesen Veröffentlichungen nicht enthalten.

Im von der Kommune herausgegebenen Adressbuch sowie dem offiziellen örtlichen Telefonbuch fand er – wenn auch lückenhaft – die Privatanschriften der betroffenen Juristen. Das Adressbuch basiert auf den Daten des Einwohnermeldeamtes. Aus gutem Grund besteht nach dem Melderecht die Möglichkeit einer Weitergabesperre hinsichtlich der Veröffentlichung in Adressbüchern. Auch die Kunden von Telefonanbietern haben seit langer Zeit das Recht, per Widerspruch die Veröffentlichung ihrer Daten in Kundenverzeichnissen ganz oder teilweise zu verhindern.

Der Homepagebetreiber hatte die Veröffentlichungen von dienstlichen und privaten Daten verknüpft und ins Internet gestellt. Dadurch entstand eine Datensammlung mit neuer Qualität. Die Information, „Richter Müller wohnt privat da und da“, war bisher nicht einfach verfügbar. Für einschlägig Interessierte, wie z. B. verurteilte und zwischenzeitlich aus der Haft entlassene Straftäter, ließ sich nunmehr mit einem Klick erfahren, wo die Richter privat anzutreffen waren. Diese Datensammlung steigerte für die betroffenen Richter und Staatsanwälte die Gefahr, von enttäuschten oder wütenden Prozessverlierern belästigt oder bedroht zu werden.

Das Bundesdatenschutzgesetz (BDSG) erlaubt grundsätzlich die Verarbeitung und Nutzung personenbezogener allgemein zugänglicher Daten. Der Erlaubnistatbestand gilt aber nur, wenn das schutzwürdige Interesse der Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung gegenüber dem berechtigten Interesse der verantwortlichen Stelle offensichtlich nicht überwiegt. Hiervon mussten wir in diesem Fall in Anbetracht des Gefährdungspotenzials aber ausgehen. Die somit unzulässige Datensammlung wurde vom ULD beanstandet. Inzwischen ist der Homepagebetreiber – wenn auch zögerlich – der Aufforderung des ULD nachgekommen, die Privatadressen zu löschen.

 

5.4         Neues von der Videofront

Persönlichkeitsrechtsverletzungen durch unzulässige Videobeobachtung sind ein Dauerbrenner. Im Folgenden werden einige exemplarische Fälle vorgestellt:

• Videoüberwachung von öffentlichen Straßen und Gehwegen

Hausbesitzer und Mieter beobachteten nicht selten ihre am Straßenrand abgestellten Kraftfahrzeuge mit einer Videokamera, um Diebstahl oder Sachbeschädigungen zu verhindern. Während Hausbesitzer ihre Kameras in der Regel sichtbar an der Gebäudeaußenwand anbrachten, installierten Mieter die Geräte meist versteckt auf Balkonen oder hinter Fensterscheiben. Bei diesen Videobeobachtungen werden zwangsläufig Teile der Straße und des Bürgersteiges mit erfasst. Dies ist unzulässig: Die Sicherung des öffentlichen Straßenraums ist allein Aufgabe der Polizei. Die Betreiber der Videoanlagen zeigten sich zumeist – oft erst nach umfangreichem Schriftwechsel und der Drohung mit Bußgeldverfahren – einsichtig und bauten die Kameras wieder ab.

• Videoüberwachung in Gaststätten

Immer mehr Gaststätten gehen dazu über, neben Kassen und Eingangstüren auch reine Aufenthaltsbereiche der Gäste mit Kameras zu beobachten. Bei Letzteren handelt es sich um Freizeitbereiche, die nicht gefilmt werden dürfen. Das Persönlichkeitsrecht begründet den Anspruch, dass Menschen sich in ihrer Freizeit unbefangen verhalten können und unbeobachtet bleiben.

• Videoüberwachung in einem Hotel

Die Videobeobachtung eines Hotels in Kiel muss noch mit den Bestimmungen des BDSG in Einklang gebracht werden. Hoteleigene Parkplätze, die Außenfassade, Zugangstüren und der Tresen mit der Kasse wurden gefilmt und die Bilder für eine gewisse Zeit aufbewahrt. Durch Veränderung des Erfassungsbereichs einer Außenkamera sowie auffälligere Hinweisschilder konnten Verbesserungen erreicht werden. Doch es war noch ein Monitor installiert – gut einsehbar für alle Hotelgäste. Die Begründung des Geschäftsführers: „Das ist doch ein deutlich sichtbarer Hinweis auf unsere Videoüberwachung!“ Dass Hotelgäste sich hierüber gegenseitig beobachten konnten, war für ihn kein Problem. Der Aufforderung des ULD, den Monitor der Neugierde der Hotelgäste zu entziehen, wollte das Hotel zunächst nicht nachkommen.

• Webcam in der Fußgängerzone

Ein Kaufhaus installierte an der Außenfassade eine Kamera und übertrug die Bilder aus der Fußgängerzone in Kiel ins Internet. Gezeigt wurde ein Bereich, der sich unmittelbar vor der Dienststelle des ULD befand. Zwar bedurfte es für das Erkennen der gezeigten Personen im Internet eines gewissen Zusatzwissens: „Der Kollege Meier ist aber heute mal wieder sehr spät dran!“ oder: „Meine von Hartz IV lebende Nachbarin geht schon wieder zu Douglas!“ Eine Personenbeziehbarkeit ließ sich aber unseres Erachtens nicht leugnen. Wir schlugen dem Kaufhaus vor, das Problem durch Veränderung des Erfassungswinkels der Kamera oder der Bildschärfe zu lösen. Das Kaufhaus griff den zweiten Vorschlag des ULD auf und stellte den sensiblen Nahbereich zur Kamera unscharf.

Weitere Themen waren die Videoüberwachung in Umkleideräumen, von Nachbargrundstücken, von Arbeitnehmern usw. Erschreckend weit verbreitet sind technischer Spieltrieb gepaart mit Unvernunft und fehlender Sensibilität für das Persönlichkeitsrecht anderer Menschen. Die Beschwerdezahlen steigen. Die personellen Kapazitäten des ULD für die mit Steuermitteln finanzierte Streitschlichtung sind ausgeschöpft. Angesichts der Erlöse der Unternehmen der Videowirtschaft und deren teilweise dummdreister Werbung, die zur Persönlichkeitsverletzung einlädt, liegt der Schluss nahe, von dieser Branche nach dem Verursacherprinzip eine Datenschutzabgabe einzuführen. Auch eine bußgeldbewehrte Meldepflicht der im öffentlichen Raum installierten Kameras hätte vielleicht eine erzieherische Wirkung (27. TB, Tz. 5.10).

 

5.5         König Fußball und der Datenschutz

Ein Bezirksgericht des Schleswig-Holsteinischen Fußballverbandes (SHFV) veröffentlichte Zusammenfassungen seiner Entscheidungen sowie teilweise vollständige Urteile bzw. Beschlüsse im Internet.

Unter der Rubrik „Aktuelle Urteile“ und „Berufungsurteile“ fand die Öffentlichkeit auf der Internetseite eines Bezirksgerichts des Schleswig-Holsteinischen Fußballverbandes Informationen zu verhängten Spielersperren und Geldstrafen mit Namen der verurteilten Spieler, deren Vereinszugehörigkeiten und Kurzbeschreibungen der Vergehen (z. B. grobes Foulspiel) sowie Beschlüsse der Berufungsinstanz im Volltext.

Für den ordnungsgemäßen Ablauf des Spielbetriebes ist es nicht erforderlich, dass Spielersperren bzw. Geldstrafen inklusive zugrunde liegender Fouls öffentlich gemacht werden. Spielersperren werden anders durchgesetzt: Die Spieler müssen vor einem Fußballspiel ihre Spielerpässe beim Schiedsrichter vorlegen. Dieser vermerkt die Teilnehmenden namentlich im Spielbericht und reicht den Bericht an den Verband weiter. Der Verband verfügt über die Informationen zu Sperren und Sportgerichtsentscheidungen und kann eine unberechtigte Spielteilnahme feststellen. Die besondere (Un-)Annehmlichkeit für die Vereine rechtfertigt die Veröffentlichung im Internet nicht.

Die Rechtsordnung des Fußballverbandes sieht die Veröffentlichung von Sportgerichtsentscheidungen vor. Danach werden bestimmte Urteile (Verbandsurteile und Entscheidungen über Vereinssperren) im amtlichen Mitteilungsblatt des SHFV veröffentlicht. Die Veröffentlichung im Internet verletzt hingegen schutzwürdige Interessen der Betroffenen, da sie leicht und weltweit verfügbar ist – anders als das von einem begrenzten Personenkreis genutzte Mitteilungsblatt. So geht etwa den Kollegenkreis oder den Arbeitgeber möglicherweise unsportliches Verhalten im Freizeitbereich nichts an. Einmal im Internet Veröffentlichtes lässt sich nicht mehr sicher und rückstandsfrei löschen, da nie sicher ist, ob die Daten irgendwo gespiegelt oder weiter reproduziert wurden. Das Sportgericht hat nach unserer Beanstandung die veröffentlichten Urteile und Berufungsurteile von den Webseiten entfernt und die bisherige Veröffentlichungspraxis eingestellt.

 

5.6         Unzulässige Halterabfrage mit Folgen

Der Mitarbeiter einer Versicherung missbrauchte seine Stellung und holte Auskünfte über den Halter eines Fahrzeuges zu privaten Zwecken ein.

Der Mitarbeiter einer Versicherung nutzte den Briefkopf seines Arbeitgebers und führte eine Halterabfrage zu einem Fahrzeug bei der zuständigen Kfz-Zulassungsstelle durch, obwohl für dieses Fahrzeug kein Haftpflichtschaden gemeldet war. Er verwies dabei auf einen tatsächlich bei der Versicherung anhängigen Schadenshergang, um ein berechtigtes Interesse vorzutäuschen. So gelangte er an die gewünschten Auskünfte über den Halter des abgefragten Fahrzeuges, die er in Wahrheit zu rein privaten Zwecken nutzen wollte.

Das ULD verhängte ein Bußgeld. Der Versicherungsmitarbeiter handelte ordnungswidrig, indem er vorsätzlich nicht allgemein zugängliche Informationen über den Halter durch unrichtige Angaben bei der Kfz-Zulassungsstelle erschlich.

 

5.7         Videotheken  und Datenschutz

Prüfungen von Videotheken zeigten, dass es gängige Praxis ist, bei der Ausstellung eines Videothekenausweises die Personalausweisnummer der Kundinnen und Kunden zu speichern. Die Angaben zu Leihvorgängen wurden oft zu lange gespeichert.

Das Personalausweisgesetz will die Nutzung der Personalausweisnummer als eindeutige Personenkennziffer verhindern. Diese Nummern dienen dem Zweck, die Ausstellung von Dubletten zu vermeiden. Sie dürfen nicht als Ordnungsmerkmale in anderen Zusammenhängen verwendet werden. Daher ist hierüber der Abruf personenbezogener Daten sowie die Verknüpfung von verschiedenen Datenquellen verboten. Um dieses Verbot effektiv umzusetzen, ist bereits die Erhebung und Speicherung der Personalausweisnummer in der Regel unzulässig.

Bei den geprüften Videotheken erfolgte die Speicherung der Ausweisnummer, ohne dass sie für die Durchführung des Mietvertrags erforderlich war. Sie war schon aus diesem Grunde unzulässig.

Die Prüfungen ergaben, dass die Videotheken Ausleihdaten, also z. B. Datum und Dauer der Vermietung sowie Produktbezeichnung, über den Zeitpunkt der Rückgabe hinaus speicherten. Sobald der ausgeliehene Spielfilm ordnungsgemäß zurückgegeben ist und die Ansprüche aus dem Mietverhältnis abgewickelt sind, besteht für eine weitere Speicherung der Ausleihdaten keine weitere Notwendigkeit. Bei den Ausleihdaten kann es sich um höchst sensitive Informationen handeln, wenn z. B. im Erotikbereich Angaben zum Namen eines Films, die Einordnung als pornografisch und Angaben über die Ausleihdauer Rückschlüsse auf das Sexualleben bzw. sexuelle Präferenzen der betroffenen Kunden zulassen. Die Betroffenen haben einen Anspruch auf eine freie, unbeobachtete und vor allem nicht dokumentierte Entfaltung ihrer Persönlichkeit. Dieser Anspruch besteht auch gegenüber der Videothek.

Das ULD beanstandete die Speicherung der Personalausweisnummern bei den geprüften Unternehmen und forderte deren Löschung. Die Unternehmen wurden darauf hingewiesen, dass die Ausleihdaten zu löschen sind, sobald deren Speicherung zur Abwicklung des Mietverhältnisses nicht mehr erforderlich ist. Die allgemeinen Geschäftsbedingungen der geprüften Unternehmen waren in puncto Datenschutzhinweis zum Teil nachbesserungswürdig. Wir machten deutlich, dass die Nutzung von Telefonnummern zu Werbezwecken, auch zur Versendung von Werbe-SMS, ohne ausdrückliche Einwilligung der Kunden unzulässig ist. Um über die konkreten Prüfungen hinaus sowohl Kundinnen und Kunden als auch Betreibern von Videotheken einen Überblick über die Datenschutzrechte und ‑pflichten zu geben, haben wir hierzu Informationen zusammengestellt und veröffentlicht.

            www.datenschutzzentrum.de/wirtschaft/videothek.htm

 

5.8         Scoring  bei Girokonten ohne Dispositionskredit

Ein Bürger ärgerte sich: Sein Antrag auf ein Girokonto ohne Dispositionskredit wurde abgelehnt, nachdem er Angaben zu Beruf, Branche, Voranschrift und Anstellungsdauer verweigerte.

Der Einsatz von Scoring-Verfahren zur Entscheidung über einen Kreditantrag kann datenschutzrechtlich zulässig sein, wenn der Kreditantragsteller in die Ermittlung eines Scorewertes eingewilligt hat oder die Durchführung des Scorings dem Vertragszweck dient und zum Bestandteil des Kreditantrages gemacht wird. Im letzteren Fall dürfen allerdings nur solche Angaben in das Verfahren einfließen, die einen unmittelbaren, plausibel nachvollziehbaren Einfluss auf die Einkommens- und Vermögensverhältnisse des Betroffenen haben. In beiden Fällen ist es unabdingbar, dass der Betroffene vorab hinreichend informiert wird, insbesondere über den Zweck und die Durchführung des Scorings, die einbezogenen Kategorien von Daten und deren Bedeutung.

Die kritisierte Bank hatte es dem Betroffenen gegenüber nicht für nötig befunden, ihre Kunden über den Einsatz eines internen Scoring-Verfahrens überhaupt zu informieren. Das Unternehmen verwies darauf, dass den Kunden aus der allgemeinen Lebenserfahrung, der Berichterstattung in den Medien oder aufgrund anderer Kontobeziehungen bewusst sein sollte, dass sich eine Bank solcher Verfahren bediene. Damit befand die Bank sich auf dem Holzweg: Die mangelnde Transparenz für die Kunden beanstandete das ULD nicht zuletzt mit dem Hinweis, dass weder die allgemeine Lebenserfahrung noch die Medien die datenschutzrechtlich verantwortliche Stelle von ihren gesetzlichen Informations- und Unterrichtungsverpflichtungen befreien kann.

Zwar kann ein Scoring-Verfahren zulässig im Rahmen von Kreditanträgen durchgeführt werden. Vorliegend ging es allerdings um einen Antrag auf ein Girokonto ohne Dispositionskredit. Die Bank meinte, für ein Girokonto werde automatisch auch eine EC-Karte ausgehändigt und die Ausgabe der Karte käme faktisch einer Kreditgewährung gleich. Mit der EC-Karte könnten Kunden nämlich auch bei fremden Kreditinstituten am Geldautomaten Geld abheben. Dabei erfolge kein sofortiger Abgleich mit dem Konto des Kunden. Vielmehr werde den Kunden ein standardisierter Verfügungsrahmen von 1000 Euro pro Tag und 2000 Euro pro Woche eingeräumt. Die tatsächliche Deckung durch das Konto werde erst zu einem späteren Zeitpunkt festgestellt.

Für den Betroffenen war dies nicht ohne Weiteres erkennbar. Der Antragsteller musste davon ausgehen, dass kein kreditorisches Risiko seitens der Bank besteht. Er wollte auch kein Kreditverhältnis, sonst hätte er einen Antrag auf Dispositionskredit gestellt. Im Falle eines Antrages auf ein Girokonto ohne Dispositionskredit ist daher grundsätzlich eine Einwilligung des Betroffenen zur Ermittlung eines Scorewertes erforderlich. In jedem Fall muss der Antragsteller darüber aufgeklärt werden, dass das Bankinstitut mit der Aushändigung einer EC-Karte von einem kreditorischen Risiko ausgeht.

Die konkreten Anforderungen an ein datenschutzkonformes Kredit-Scoring hat das ULD in einem Gutachten dargelegt, das im Internet zum kostenlosen Download zur Verfügung steht (28. TB, Tz. 8.8).

            www.datenschutzzentrum.de/scoring/index.htm

 

5.9         Übermittlung von Mieterdaten  bei Mieterhöhungen

Immer wieder wird das ULD mit der Frage konfrontiert, welche Angaben über andere Mieter zur Begründung von Mieterhöhungsverlangen offenbart werden dürfen.

Will ein Vermieter die Miete erhöhen, so kann er sein Mieterhöhungsverlangen nach dem Bürgerlichen Gesetzbuch durch die Angabe von drei Vergleichswohnungen begründen. Um die Vergleichbarkeit der Wohnungen mit der eigenen im Zweifel überprüfen zu können, muss der Mieter diese einwandfrei identifizieren können. Damit sein Mieterhöhungsverlangen eventuell auch vor Gericht Bestand hat, hat der Vermieter ein Interesse an möglichst genauer Benennung der Vergleichswohnungen. Damit muss er allerdings sensitive Informationen der Bewohner der Vergleichswohnungen offenbaren. Deren Namen lassen sich einfach aufgrund der Angaben zu den Wohnungen feststellen. Die Angaben über Art, Größe, Preis und Lage einer Wohnung lassen Rückschlüsse auf die Lebensverhältnisse der Mieter zu. Details über den intimen Lebensbereich „Wohnung“ geheim zu halten, gehört zu deren schutzwürdigen Interessen. Es besteht also ein Konflikt zwischen dem Interesse eines Vermieters an begründeten Mieterhöhungsverlangen und dem Interesse von Mietern, die Vertraulichkeit ihrer Lebensumstände zu wahren.

Dieser Konflikt lässt sich nur über größtmögliche Transparenz und Beachtung von Zweckbindung und Datensparsamkeit auflösen: Mieter sind in jedem Fall vom Vermieter darüber zu informieren, welche Angaben zu ihrer Wohnung an andere Mieter weitergegeben werden. Der Empfänger eines Mieterhöhungsschreibens ist darauf hinzuweisen, dass die erhaltenen Angaben über andere Mieter ausschließlich zum Zweck der Überprüfung des Mieterhöhungsverlangens genutzt werden dürfen. Die Weitergabe von Namen zusätzlich zu den Angaben zu einer Wohnung bedarf der vorherigen schriftlichen Einwilligung.

 

5.10       Inkasso – Pfändungsbeschlüsse beim Arbeitgeber

Dürfen Inkassounternehmen bei Arbeitgebern Auskünfte über Schuldner einholen? Derartige Anfragen sind aus Datenschutzsicht grundsätzlich möglich. Einer Auskunftserteilung durch den Arbeitgeber können aber schutzwürdige Interessen des Arbeitnehmers entgegenstehen.

Personenbezogene Daten sind grundsätzlich beim Betroffenen zu erheben. Von diesem Direkterhebungsgrundsatz gibt es allerdings Ausnahmen, z. B. wenn der Geschäftszweck eine Erhebung bei Dritten erforderlich macht. Bei Inkassounternehmen entspricht es regelmäßig dem Geschäftszweck, ergänzende Auskünfte Dritter einzuholen, um die Ansprüche ihrer Auftraggeber bzw. der von ihnen gekauften Forderungen z. B. im Vollstreckungsverfahren zu realisieren. Es besteht regelmäßig ein berechtigtes Interesse an Auskünften von Dritten, wenn das Inkassounternehmen beabsichtigt, den Geschäftsbesorgungsvertrag mit dem Auftraggeber zu erfüllen und die zur Einziehung übertragenen Forderungen zu realisieren.

Schutzwürdige Interessen der betroffenen Schuldner, keinen Ausforschungen hinter ihrem Rücken ausgesetzt zu sein, müssen zumeist zurücktreten, soweit ein rechtskräftiger Vollstreckungstitel besteht. Der Gesetzgeber hat eine Vollstreckung bei Dritten in einem sogenannten Drittschuldnerverfahren, also z. B. beim Arbeitgeber, ausdrücklich in der Zivilprozessordnung vorgesehen.

Gleichwohl ist der Arbeitgeber nicht verpflichtet und in vielen Fällen aus Datenschutzsicht ohne die ausdrückliche Einwilligung des Schuldners bzw. Arbeitnehmers auch nicht legitimiert, Auskünfte an anfragende Inkassounternehmen zu erteilen. Der Arbeitgeber hat eine Fürsorgepflicht beim Umgang mit den Daten seiner Arbeitnehmer. Nach der Wertung des BDSG unterliegen die Arbeitnehmerdaten, auch die Information, dass der Schuldner Arbeitnehmer beim angefragten Arbeitgeber ist, einem besonderen Schutz. Dieser kann nicht allein unter Hinweis auf ein berechtigtes Interesse des Inkassounternehmens aufgegeben werden. Wenn der Arbeitgeber bereits als potenzieller Drittschuldner bekannt ist und bei diesem angefragt wird, kann allerdings aufgrund eines eigenen berechtigten Interesses zur Vermeidung drohender hoher Kosten unter Unterrichtung der betroffenen Mitarbeiter die Erteilung von Auskünften – je nach den konkreten Umständen – rechtmäßig sein.

 

5.11       Sparkassen – Papierkörbe, Aktenvernichtung  und Schlüsselverwaltung

Das ULD wurde darauf aufmerksam gemacht, dass es in einer schleswig-holsteinischen Sparkasse offensichtlich Unregelmäßigkeiten bei der Einhaltung von technischen und organisatorischen Sicherheitsmaßnahmen gab.

Eine kurzfristig angesetzte Prüfung eines Kreditinstitutes ergab Folgendes: Abfallpapier mit personenbezogenen Daten sollte gemäß Weisung in Papierkörben gesammelt und abends von den Reinigungskräften in den verschließbaren Containern einer Aktenvernichtungsfirma zwischengelagert werden. Leider standen diese Papierkörbe aber in für Kunden zugänglichen Bereichen. Ein Mitarbeiter des ULD fand beim ersten Griff in einen solchen Papierkorb den Auszug aus einer notariellen Beurkundung mit Namen und Anschrift des Notars sowie der Mandanten.

Der Container der Aktenvernichtungsfirma stand im verschlossenen Heizungsraum der Filiale, war aber selbst nicht verschlossen. Reinigungskräfte oder Heizungsmonteure hatten so vor der regulären Vernichtung der Akten unbeschränkt auf das im Container lagernde Altpapier mit den personenbezogenen Daten Zugriff.

Sämtliche Räume mit sensitiven Daten waren zwar mit Sicherheitsschlössern oder elektronischen Codes gesichert. Die Verantwortlichen der Filiale konnten uns jedoch keine genauen Auskünfte darüber machen, wer über welchen Schlüssel bzw. Code verfügt und durch welches Prozedere die Zutrittscodes geändert werden.

In einer anderen Filiale derselben Sparkasse fand der Prüfer des ULD in einem für die öffentliche Müllabfuhr vorgesehenen gelben Müllsack personenbezogene Unterlagen, z. B. Kontoblatt mit Name und Anschrift der Kontoinhaberin sowie Angaben zum Umsatz und zu Kontoständen. Eine Reinigungskraft hatte offensichtlich personenbezogenes Altpapier anstatt in den Container des Aktenvernichters, der auch unverschlossen war, in den normalen Hausmüll gegeben.

Die Sparkasse teilte dem ULD inzwischen mit, dass in den Kundenbereichen Aktenschredder oder kleine verschlossene Aktencontainer aufgestellt werden sollen. Es wurden nachträglich Arbeitsanweisungen zur Datensicherheit und umfangreiche Auszüge aus einem Sicherheitshandbuch zur Verfügung gestellt. All das wäre schon vor der Prüfung nötig gewesen. Die aufmerksamen Augen von Kundinnen und Kunden und ein kurzer Hinweis beim ULD können sicher auch in anderen Fällen zur nötigen Abhilfe von Mängeln beitragen.

 

5.12       Füllstand bei Flüssiggasbehältern

Ein kurioser Vorgang: Die Speicherung und Übermittlung des Füllstandes bei Flüssiggasbehältern führte zu datenschutzrechtlichen Verwicklungen.

Bei der Flüssiggasbelieferung mietet der Endkunde in der Regel einen Flüssiggasbehälter bei einem Versorgungsunternehmen bzw. Gaslieferanten. Die Anschaffung, Wartung und Pflege des Tanks wird dann über den Versorgungsvertrag subventioniert. Bedingung für die Subvention ist, dass sich der Endkunde nicht von anderen Gaslieferanten beliefern lässt. Die Versorgungsunternehmen beauftragen zur Wartung der Behälter externe Prüfgesellschaften, die eine gesetzlich vorgeschriebene äußere Prüfung an den Flüssiggasbehältern vornehmen. Bei dieser Gelegenheit wird regelmäßig auch der Füllstand des jeweiligen Gasbehälters erhoben und im Prüfbericht vermerkt. Der Prüfbericht wird an den Gaslieferanten übermittelt.

Ein Bürger machte das ULD darauf aufmerksam, dass die Gaslieferanten die auf diesem Wege erlangten Informationen über den Füllstand dazu nutzen, den Befüllungsgrad mit den eigenen Daten über das Verbrauchsverhalten der Kunden abzugleichen. Ergeben sich dabei Unstimmigkeiten, werden die Kunden unter Umständen mit dem Vorwurf der Fremdbefüllung konfrontiert. Allein aus einem geringeren Gasverbrauch kann allerdings noch nicht auf eine Fremdbefüllung geschlossen werden. Vielmehr können für einen niedrigeren Verbrauch vielfältige Umstände eine Rolle spielen, z. B. eine Wärmedämmung, neue Fenster, sparsamer Verbrauch.

Den Endkunden wurde nicht mitgeteilt, dass der Füllgrad ihres Flüssiggasbehälters bei der äußeren Prüfung erhoben, gespeichert und an das Versorgungsunternehmen zur Dokumentation der ordnungsgemäß durchgeführten Prüfung übermittelt wird. Der von der Prüfgesellschaft er- und übermittelte Befüllungsgrad des Flüssiggasbehälters unterliegt einer klaren Zweckbindung. Er dient allein dazu, die ordnungsgemäß durchgeführte Prüfung gegenüber dem Versorger zu dokumentieren und darf beim Versorgungsunternehmen nicht zu Verbrauchsverhaltenskontrollen verwendet werden. Das ULD regte gegenüber dem Deutschen Verband Flüssiggas e.V. an, die angeschlossenen Versorgungsunternehmen von Verbandsseite darüber zu informieren, dass eine Nutzung der Füllstandsinformation zur Kontrolle einer etwaigen Fremdbefüllung nicht zulässig ist. Der Prüfgesellschaft wurde von uns aufgetragen, die Endkunden über die Speicherung und Übermittlung des Füllstandes zu informieren. Zu diesem Zweck wurde vorgeschlagen, im Prüfbericht, von dem der Endkunde eine Kopie erhält, auf die Übermittlung des Füllstandes hinzuweisen. Dies wurde umgehend aufgegriffen und umgesetzt.

 

5.13       Taxifahrerdaten  für die Krankenkassen

Zur Durchführung von Patientenfahrten schloss ein Landesverband für Taxifahrer in Schleswig-Holstein einen Vertrag mit den Krankenkassen und verpflichtete sich, in regelmäßigen Abständen Mitgliederlisten an die Krankenkassen zu übermitteln.

In dem Vertrag wurde die Durchführung und Vergütung von Patientenfahrten in Schleswig-Holstein, die als solche im Sozialgesetzbuch ausdrücklich vorgesehen sind, vereinbart. Die Übermittlung der Mitgliederlisten sollte den Krankenkassen dazu dienen zu überprüfen, ob die Taxifahrer, die nach dem mit dem Landesverband vereinbarten Tarif für die Patientenfahrten abrechnen, auch tatsächlich Mitglied des Vertragspartners sind. Wir beanstandeten, dass die Übermittlung der Daten über die Köpfe der Mitglieder hinweg durch den Verband erfolgen sollte. In der Verbandssatzung bzw. in den Mitgliedsverträgen fehlte es an Regelungen und Hinweisen hierzu. Auch gehörte es nach der Verbandssatzung grundsätzlich nicht zu den Aufgaben des Landesverbandes, Vereinbarungen mit den Krankenkassen nach dem Sozialgesetzbuch über die Durchführung von Patientenfahrten zu schließen.

Zwar kann die Vertretung der wirtschaftlichen Interessen der Mitglieder im Bereich der Vergütung von Krankenfahrten ein Betätigungsfeld des Verbandes sein. Es lag im Rahmen des Verhandlungsmandates und des Verbandsinteresses, mit den Krankenkassen eine Überprüfung eingehender Abrechnungen der Taxifahrer auf deren Anspruchsberechtigung für den vereinbarten Tarif hin vorzusehen. Dies gilt insbesondere vor dem Hintergrund, dass die Verhandlungen für die Mitglieder durch die stete Information über den Fortgang in den Mitgliederrundschreiben und durch das Angebot der Übersendung des Vertrages auf Anfrage nach Abschluss des Verfahrens auch transparent waren. Doch handelt es sich bei der getroffenen Vereinbarung aus datenschutzrechtlicher Sicht um einen Vertrag zulasten Dritter, solange aus Mitgliedersicht keine eindeutig an den Verband delegierte Verfügungsbefugnis über die Daten bestand. Das schutzwürdige Interesse der Mitglieder hätte es erforderlich gemacht, mit Rücksicht auf die Verfügungsbefugnis jedes einzelnen Mitglieds über seine Daten eine gesonderte und ausdrückliche Information hinsichtlich der Datenübermittlung durchzuführen und den Mitgliedern ein individuelles Widerspruchsrecht gegen die Übermittlung ihrer Daten einzuräumen.

Zudem wäre eine datensparsamere Lösung möglich gewesen: Die Taxifahrer hätten bei der Abrechnung selbst ihre Mitgliedschaft gegenüber der Krankenkasse nachweisen können. Die automatische monatliche Übermittlung der Mitgliederlisten wäre so nicht erforderlich gewesen; die Krankenkassen hätten trotzdem überprüfen können, ob eine Abrechnung zum vereinbarten Tarif berechtigt ist.

Dem Landesverband wurde aufgegeben, die Altmitglieder in verständlicher Form zu informieren mit dem Hinweis auf die Möglichkeit eines Widerspruches gegen die Datenübermittlung innerhalb einer angemessenen Frist. Die Neumitglieder sollen im Aufnahmevertrag über die listenmäßige Übermittlung aller Mitgliedsdaten an die Krankenkassen aufgeklärt werden. Dem Verband wurde zudem empfohlen, eine Satzungsänderung vorzunehmen, um von vornherein Transparenz hinsichtlich der vorgenommenen Datenverarbeitungen herzustellen.

 

Zurück zum vorherigen Kapitel

Zum Inhaltsverzeichnis

Zum nächsten Kapitel