Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

 

5    Datenschutz in der Privatwirtschaft

5.1          ULD prüft Datentransfer nach Safe-Harbor-Urteil

Nachdem der Gerichtshof der Europäischen Union (EuGH) in seinem Urteil vom 6. Oktober 2015 die Safe-Harbor-Entscheidung der Europäischen Kommission für unwirksam erklärt hatte (Tz. 11.1), leitete das ULD im März 2016 bei neun Unternehmen in Schleswig-Holstein Prüfverfahren ein. Bei der Übermittlung personenbezogener Daten an Handelspartner in den USA können sich europäische Unternehmen nach den Vorgaben des EuGH nicht auf die Safe-Harbor-Entscheidung berufen. Auf Basis dieser Entscheidung sollte den US-Unternehmen seit dem Jahr 2000 eine Selbstzertifizierung anhand festgelegter Kriterien (Informationspflicht, Wahlmöglichkeit, Weitergabe, Sicherheit, Datenintegrität, Auskunftsrecht, Durchsetzung) ermöglicht werden, um hierdurch den Nachweis für das Bestehen eines angemessenen Datenschutzniveaus zu erbringen. Ein angemessenes Datenschutzniveau im Drittland, in das personenbezogene Daten übermittelt werden sollen, bildet eine der Voraussetzungen dafür, dass ein entsprechender Datentransfer zulässig ist.

Die Angemessenheit des Datenschutzniveaus, das ein Drittland bietet, wird unter Berücksichtigung aller Umstände beurteilt, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen Bedeutung haben. Insbesondere werden die Art der Daten, die Zweckbestimmung sowie die Dauer der geplanten Verarbeitung, die in dem Drittland geltenden allgemeinen und speziellen Rechtsvorschriften sowie die dort geltenden Standesregeln und Sicherheitsmaßnahmen berücksichtigt. Der EuGH wies in seiner Begründung zur Nichtigerklärung des Safe-Harbor-Beschlusses darauf hin, dass aus diesem Beschluss nicht deutlich wird, ob es in den USA staatliche Regeln gibt, die dazu dienen, etwaige Eingriffe in Grundrechte der Personen, deren Daten aus der EU in die USA übermittelt werden, zu begrenzen. Weiterhin wurde moniert, dass keine Feststellungen der Europäischen Kommission zum Bestehen eines wirksamen gerichtlichen Rechtsschutzes gegen derartige Eingriffe erkennbar sind. Ferner führte der EuGH aus, dass die Zuverlässigkeit eines Systems zur Durchführung von Selbstzertifizierungen voraussetzt, dass wirksame Überwachungs- und Kontrollmechanismen geschaffen werden.

Die eingeleiteten Verfahren dienen der Prüfung, ob laufende Datenübermittlungen in unzulässiger Weise noch auf die ungültige Safe-Harbor-Entscheidung gestützt werden. Die Artikel-29-Datenschutzgruppe, ein Gremium der Datenschutzaufsichtsbehörden der EU-Mitgliedstaaten, hatte bereits in einer Stellungnahme vom 16. Oktober 2015 deutlich gemacht, dass nach dem 31. Januar 2016 aufsichtsbehördliche Prüfungen stattfinden können. Die Stellungnahme ist unter dem folgenden Link abrufbar:
ec.europa.eu/justice/data-protection/article-29/press-material/press-release/art29_press_material/2015/20151016_wp29_
statement_on_schrems_judgement.pdf

Acht der Prüfverfahren konnten ohne die Feststellung eines Verstoßes abgeschlossen werden, da keine Daten auf Basis der ungültigen Safe-Harbor-Entscheidung in die USA übermittelt werden. Bei einem der Verfahren dauern die Ermittlungen noch an.

Was ist zu tun?
Die europäischen Unternehmen dürfen sich bezüglich der Übermittlung personenbezogener Daten in die USA nicht mehr auf die Safe-Harbor-Entscheidung (2000/520/EG) berufen. Ein entsprechender Datentransfer wäre rechtswidrig. Die Unternehmen tragen die Verantwortung dafür, die datenschutzrechtlichen Vorgaben einzuhalten. Dies erfordert auch interne Überprüfungen.

 

5.2          Mindestlohngesetz und Datenschutz

Im Berichtszeitraum wurden an das ULD Fragen zur Einhaltung datenschutzrechtlicher Vorschriften im Zusammenhang mit der Erfüllung der Vorgaben nach dem Mindestlohngesetz (MiLoG) herangetragen. Nach § 20 MiLoG sind Arbeitgeber mit Sitz im In- oder Ausland verpflichtet, ihren im Inland beschäftigten Arbeitnehmerinnen und Arbeitnehmern ein Arbeitsentgelt mindestens in Höhe des Mindestlohns zu zahlen. Ordnungswidrig handelt derjenige Arbeitgeber, der Werk- oder Dienstleistungen in erheblichem Umfang ausführen lässt, indem er als Unternehmer einen anderen Unternehmer oder Nachunternehmer beauftragt, von dem er weiß oder fahrlässig nicht weiß, dass dieser entgegen dem MiLoG den Mindestlohn nicht erbringt. Hinzu tritt eine verschuldensunabhängige Haftung des Arbeitgebers als Generalunternehmer für Auftrag nehmende Unternehmen und weitere Nachunternehmer. Als weitere Sanktion droht dem Arbeitgeber im Fall eines Verstoßes seiner Auftragnehmer ein Ausschluss von der Vergabe öffentlicher Aufträge.

Zur Begrenzung des Haftungsrisikos wurden von den Datenschutzaufsichtsbehörden Vertragsstrafenregelungen und Bürgschaften vorgeschlagen, die der Generalunternehmer mit seinen Auftragnehmern vereinbaren könnte. Entsprechende Leitlinien wurden vom Bundesarbeitsgericht in einer Entscheidung zum Recht der Arbeitnehmerentsendung entwickelt (BAG, Beschluss vom 06.11.2002, Az.: 5 AZR 617/01). Weiterhin wird empfohlen, dass hinsichtlich der Beauftragung weiterer Subunternehmer ein Zustimmungsvorbehalt für den Generalunternehmer vereinbart wird. In Betracht kommt auch, sich von Forderungen Beschäftigter der Subunternehmer auf Zahlung des Mindestlohns freistellen zu lassen.

Wichtig ist aus datenschutzrechtlicher Sicht, dass der Generalunternehmer in diesem Kontext keine Befugnis hat, die Personalakten der Beschäftigten bei seinen Auftragnehmern einzusehen. Die Einsicht in die Personalakten bezieht sich auf ein höchstpersönliches Recht, das nach der Rechtsprechung des BAG nur vom Beschäftigten selbst wahrgenommen werden darf. Ebenso darf dem Generalunternehmer kein umfassender Zugriff auf die automatisierten Personalsysteme bei den Auftragnehmern gestattet werden. Die Datenschutzaufsichtsbehörden halten eine Übermittlung nicht anonymisierter Verdienstbescheinigungen für unzulässig, da auch Angaben zur Konfessionszugehörigkeit, zum Familienstand, zur Steuerklasse, zur Anzahl der Kinder, zum vollständigen Geburtsdatum und zur Privatanschrift enthalten sein können. Als Lösung bietet sich eine stichprobenartige Kontrolle geschwärzter Verdienstbescheinigungen an. Näheres ergibt sich aus dem Beschluss der 89. Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 18./19. März 2015, der unter folgendem Link abrufbar ist:

www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/DSBundLaender/89DSK-MindestlohngesetzUndDatenschutz.pdf

Was ist zu tun?
Generalunternehmer sollten bestehende Möglichkeiten für eine vertragliche Haftungsbegrenzung ausschöpfen. Vor der Kontrolle von Verdienstbescheinigungen müssen Schwärzungen durch den Auftragnehmer erfolgen.

5.3          Keine juristischen Personen als betriebliche Datenschutzbeauftragte nach dem BDSG

In der Beratungspraxis des ULD wurde mehrfach die Frage gestellt, ob juristische Personen, wie etwa eine GmbH oder eine AG, als betriebliche Datenschutzbeauftragte bestellt werden dürfen, um so der Verpflichtung aus § 4f BDSG nachzukommen. Das ULD lehnt dies aus den folgenden Erwägungen ab. Zunächst besteht das gesetzliche Erfordernis, als bestellte Person die erforderliche Zuverlässigkeit und Fachkunde zu besitzen. Diese Anforderung bezieht sich im Kern auf natürliche Personen, da diese ihre erworbene Fachkunde etwa in Form von Nachweisen zu einer abgeschlossenen Berufsausbildung und einer absolvierten Fortbildung erbringen können. In diesem Kontext ist zu bemerken, dass auch Personengesellschaften, wie die OHG oder die KG, nicht als betriebliche Datenschutzbeauftragte bestellt werden können. Letzterem wird teilweise entgegnet, dass nach den Vorschriften der Wirtschaftsprüferordnung offene Handelsgesellschaften und Kommanditgesellschaften als Wirtschaftsprüfungsgesellschaften anerkannt werden, wenn sie wegen ihrer Treuhandtätigkeit als Handelsgesellschaften in das Handelsregister eingetragen worden sind. Nach den Vorschriften des Handelsgesetzbuchs können Wirtschaftsprüfer und Wirtschaftsprüfungsgesellschaften als Abschlussprüfer agieren. Damit hat der Gesetzgeber eine deutliche Aussage getroffen, die im BDSG für die betrieblichen Datenschutzbeauftragten gerade fehlt. Eine entsprechende Einsetzung von Personengesellschaften wurde im BDSG nicht normiert.

Andererseits legt der Wortlaut des § 4f BDSG nahe, dass nur eine Bestellung natürlicher Personen in Betracht kommt, denn auf solche beziehen sich die Aussagen zum Benachteiligungsverbot, zur Unterstellung des betrieblichen Datenschutzbeauftragten beim Leiter der nichtöffentlichen Stelle, zur entsprechenden Anwendung der Vorschrift zur Kündigung von Arbeitsverhältnissen (§ 626 BGB) bezüglich des Widerrufs der Bestellung, zur Übernahme von Fortbildungskosten zur Erhaltung der für die Aufgaben erforderlichen Fachkunde (§ 4f Abs. 3 BDSG) sowie zur Geltendmachung eines Zeugnisverweigerungsrechts (§ 4f Abs. 4a BDSG). Gerade die Geltendmachung eines Zeugnisverweigerungsrechts gilt speziell für natürliche Personen. Zeugen sollen bekanntlich vor einem Gewissenskonflikt bewahrt bleiben. Die Zeugnisverweigerung erfolgt wegen persönlicher Gründe, die bei einer natürlichen Person vorhanden sein können. Letzteres gilt etwa nach Maßgabe von § 383 Abs. 1 ZPO.

Was ist zu tun?
Für die Bestellung von betrieblichen Datenschutzbeauftragten (§ 4f BDSG) kommen nur natürliche Personen in Betracht.

 

5.4          Einwilligung per Unterschriften-Pad nicht wirksam

Im Frühjahr 2016 wandte sich eine Online-Publikation aus dem Bereich des Versicherungswesens mit einem Fragenkatalog an verschiedene Aufsichtsbehörden. Darin ging es um datenschutzrechtliche und allgemein vertragsrechtliche Fragen zu Abschlüssen von Verträgen mit digitaler Unterschrift auf Tablet-Computern oder Unterschriften-Pads. Insbesondere die Frage der Formgültigkeit einer auf einem Touchscreen gezeichneten Unterschrift war mit Hinblick auf das Schriftformerfordernis der Einwilligung ein Thema.

Unterschriften auf Touchscreens von Tablet-Computern und Unterschriften-Pads genügen nicht den Anforderungen der Schriftform einer datenschutzrechtlichen Einwilligung. Diese derzeitige Rechtslage wird sich jedoch durch die ab Mai 2018 geltende Datenschutz-Grundverordnung voraussichtlich ändern.

 

5.5          Einzelfälle aus der Praxis

5.5.1       Kundenkarten und Werbeeinwilligungen

Das ULD erhielt eine Beschwerde über ein Kundenkartensystem. In den zugehörigen Nutzungsbedingungen wurde eine Einwilligung zur Nutzung der Daten (gekaufte Waren, Ort und Zeit des Einkaufs, Warenwert und Ähnliches) auch zu Werbezwecken vorausgesetzt. Die dazu nötige Einwilligungserklärung sollte jedoch laut dem der Kundenkarte beiliegenden Schreiben durch Unterschrift auf der Kundenkarte und erstmalige Nutzung der Karte erfolgen.

Das ULD leitete daraufhin ein Aufsichtsverfahren ein, in dessen Rahmen klargestellt wurde, dass die Schriftform der Einwilligung eine hinreichend feste Verbindung zwischen geleisteter Unterschrift und Erklärungsinhalt voraussetzt. Die isolierte Unterschrift auf der Kundenkarte einerseits und der eigentliche Inhalt der Einwilligungserklärung auf dem beiliegenden Schreiben andererseits erfüllte diese feste Verbindung nicht. Stattdessen wäre es im Nachhinein kaum noch nachvollziehbar, welcher Datenverarbeitung Kundinnen und Kunden – etwa nach Änderung der AGB – mit ihrer Unterschrift ursprünglich tatsächlich zugestimmt haben.

Nachdem diese Rechtslage klargestellt wurde, argumentierte das verantwortliche Unternehmen sodann, dass ein Großteil der beabsichtigten Datenverarbeitung auch ohne Einwilligung allein aufgrund des Vertrags über die Nutzung der Kundenkarte zulässig sei. Das ULD trat dieser Sichtweise im Verfahren damit entgegen, dass ein Unternehmen, das sich einmal auf die Einwilligung und die damit einhergehenden Widerrufsrechte der Kundinnen und Kunden eingelassen hat, bei fehlerhafter Einholung der Einwilligung nicht ohne Weiteres auf die gesetzliche Rechtsgrundlage umschwenken könne. Das Verfahren endete mit einer Anpassung des Kundenkartensystems, ohne dass weitere aufsichtsrechtliche Maßnahmen nötig waren.

Das ULD rät jedem Unternehmen, bei der Gestaltung und Inbetriebnahme von Datenverarbeitungsverfahren nicht voreilig auf die Einwilligung als Rechtsgrundlage zu setzen, sondern die gesetzlichen Erlaubnistatbestände zunächst gründlich zu prüfen (siehe dazu auch 35. TB, Tz. 5.7.3). So lassen sich Probleme bei der Gestaltung formgültiger und inhaltlich konformer Einwilligungserklärungen vermeiden. Gleichzeitig ist der Rahmen des Zulässigen bei Zugrundelegung einer gesetzlichen Grundlage für alle Beteiligten rechtssicher, transparent und nachvollziehbar und wird nicht selten den Interessen der Kundinnen und Kunden sowie dem Unternehmen sogar eher gerecht als die Einholung einer Einwilligung.

5.5.2       Datenlecks in Online-Zugangssystemen

Im Verlauf des Jahres 2016 ging beim ULD eine Meldung über ein Datenleck in einem Online-Zugangssystem ein. Nach Änderungen der zugrunde liegenden Software sorgte für einige Stunden ein Softwarefehler dafür, dass Nutzerinnen und Nutzer einer Webseite in das Kundenkonto anderer Kundinnen und Kunden gelangten. Nachdem der Fehler bekannt wurde, informierte das Unternehmen unverzüglich das ULD gemäß § 42a BDSG, woraufhin gemeinsam mit dem Unternehmen eine Untersuchung der Ursachen erfolgte. Es stellte sich heraus, dass bei besonders hohen Zugriffszahlen ein bisher nicht erkannter Programmierfehler zu dem unberechtigten Zugang zu den Konten anderer Personen führte.

Das vom ULD eingeleitete Aufsichtsverfahren wurde nach mehrmonatiger Begleitung schließlich eingestellt, da das betroffene Unternehmen die Ursachen aufklären und beheben sowie durch Anpassung der Testverfahren zukünftig zusätzliche Absicherungen herbeiführen konnte.

Dem ULD ist bewusst, dass derartige Fehler in der Regel nicht mit absoluter Sicherheit ausgeschlossen werden können. Mit Blick auf die längst erfolgte Digitalisierung vieler Geschäftsfelder und die Verlagerung der Kundenkommunikation und -verwaltung in den Online-Bereich sind Vorfälle wie der geschilderte jedoch keine Seltenheit mehr und müssen aufseiten der verantwortlichen Unternehmen daher mit größter Priorität und auch Einsatz angemessener Ressourcen behandelt werden. Eingriffe in die Rechte Betroffener, Imageschaden, Vertrauensverlust bei Kundinnen und Kunden und letztlich auch wirtschaftliche Schäden für Unternehmen, die die technischen Herausforderungen von E-Commerce und Online-Kommunikation nicht ernst nehmen, können immens sein.

5.5.3       Personalausweiskopien – Identifizierungspflichten im Bankenbereich

Das ULD erreichte in den letzten Jahren eine Vielzahl an Eingaben, die sich gegen das Vorgehen von Banken oder Kreditinstituten wandten, bei Eröffnung von Konten oder anderen Kundenkontakten ohne nachvollziehbare Begründung Kopien von Ausweisdokumenten zu verlangen. Die Petentinnen und Petenten äußerten in vielen Fällen Unsicherheit über die Rechtmäßigkeit dieser Verlangen und baten um Beratung oder Einschreiten.

Das Kopieren und teilweise auch digitale Einscannen von Ausweisdokumenten ist nur in einigen wenigen Unternehmensbereichen ausnahmsweise rechtlich zulässig, wenn damit spezifische Identifizierungspflichten erfüllt werden. Zu diesen Bereichen gehört ohne Zweifel der Bereich des Kreditwesens. Aber auch obwohl das deutsche Geldwäschegesetz in einigen Fällen erlaubt, dass Kopien vom Personalausweis oder anderen Ausweisdokumenten angefertigt werden, darf dies nicht dazu führen, dass Kundinnen und Kunden auf Nachfrage nur mit allgemeinen Pauschalerklärungen abgefertigt werden.

Das deutsche Datenschutzrecht sieht vor, dass Betroffene darauf hinzuweisen sind, wenn Daten aufgrund einer Vorschrift erhoben werden müssen. Auf Verlangen sind die entsprechenden Vorschriften konkret zu benennen. Nur so können die Kundinnen und Kunden beurteilen, ob im jeweiligen Fall zu Recht Ausweisdokumente kopiert werden dürfen, und nur so wird das Unternehmen in die Lage versetzt, das eigene Handeln zu hinterfragen und gegebenenfalls auf Kompatibilität mit den rechtlichen Vorgaben zu überprüfen.

In gleicher Weise dürfen die Vorgaben des Kreditwesengesetzes und des Geldwäschegesetzes nicht dazu benutzt werden, um vollständige Kopien ohne Prüfung der Erforderlichkeit anzulegen. Identifizierungspflichten beziehen sich in aller Regel auf konkrete Merkmale wie Name oder Adresse der Kundinnen und Kunden, nicht jedoch auf andere Daten (z. B. Zugangsnummer, Seriennummer), die ebenfalls auf Ausweisdokumenten zu finden sind. Hier besteht das Recht der Kundinnen und Kunden, einzelne Bereiche der Ausweiskopie entsprechend zu schwärzen.

Die Nichtbeachtung dieser Vorgaben ist ein Verstoß, der sowohl bei Kundinnen und Kunden zu unnötigem Vertrauensverlust und Unmut führt als auch aufgrund der Vielzahl der Eingaben die knappen Ressourcen der Aufsichtsbehörden unnötig belastet.

Was ist zu tun?
Unternehmen aus dem Bereich des Kreditwesens sind zur Identifizierung ihrer Kundinnen und Kunden verpflichtet. Dazu dürfen auch Kopien von Ausweisdokumenten angefertigt werden, sofern sie sich auf das erforderliche Maß beschränken. Die Kundinnen und Kunden haben das Recht, dass nicht benötigte Daten geschwärzt werden. Pauschales und zu weit gehendes Vorgehen führt in großem Maß zur Verunsicherung.

5.5.4       Weitergabe der vollständigen IBAN an Zahlungsempfänger

Im Frühjahr 2015 kontrollierte das ULD die Praxis eines Kreditinstituts, das im Bereich des elektronischen SEPA-Zahlungsverkehrs den Zahlungsempfängern die vollständige IBAN des Zahlungsversenders anzeigte. Das verantwortliche Kreditinstitut verwies dabei auf die Vorgaben des Art. 248 EGBGB (Einführungsgesetz zum Bürgerlichen Gesetzbuche) sowie § 675r BGB (Bürgerliches Gesetzbuch), wonach die Übermittlung bestimmter Identifikationsnummern zulässig sei. Diese Vorgaben beziehen sich jedoch nur auf die Abwicklung des Zahlungsverkehrs zwischen den Kreditinstituten selbst, nicht hingegen auf eine Datenweitergabe an andere Kundinnen und Kunden. Bereits 2011 hatten sich die Aufsichtsbehörden einhellig auf diese Bewertung verständigt. Im Rahmen der Sitzung der Arbeitsgruppe Kreditwirtschaft im Jahr 2015 wurde diese Frage erneut mit den übrigen Aufsichtsbehörden diskutiert. Die in der Arbeitsgruppe Kreditwirtschaft vertretenen Behörden bleiben daraufhin bei ihrer Auffassung, dass aus Art. 248 EGBGB sowie § 675r BGB keine Rechtsgrundlage für die Weitergabe der IBAN an Kunden abgeleitet werden kann. Denkbar wäre stattdessen eine entsprechende Regelung in den allgemeinen Geschäftsbedingungen der Kreditinstitute, die ihrerseits aber nach geltendem Vertragsrecht auf Wirksamkeit überprüft werden müsste.

Aufgrund einer fehlenden gesetzlichen Rechtsgrundlage für die Weitergabe der Daten und mangels entsprechender Regelung in den AGB des Kreditinstituts musste das ULD das Vorgehen daher als rechtswidrig kritisieren. Das verantwortliche Kreditinstitut änderte seine Praxis sodann im Laufe des Aufsichtsverfahrens und stellte die Übermittlung der IBAN an Zahlungsempfänger ein, sodass das ULD das Verfahren ohne formelle Beanstandungen beendet hat.

Das ULD findet immer wieder Verfahren vor, die auf Vorschriften gestützt werden, die mangels Bestimmtheit oder Reichweite nicht die von den Unternehmen beabsichtigte Datenverarbeitung rechtfertigen. In derartigen Fällen müssen alternative Rechtsgrundlagen geprüft werden und die Datenverarbeitung ist gegebenenfalls anzupassen.

Was ist zu tun?
Unternehmen, deren Datenverarbeitung sich auf eine gesetzliche Grundlage stützt, sollten Ausmaß, Zweck und erfasste Daten genau prüfen, um sicherzustellen, dass die gewählte Rechtsgrundlage den geplanten Zweck legitimiert. Andernfalls darf die Datenverarbeitung nicht erfolgen.

 

5.5.5       Begehung von Mietwohnungen und Veröffentlichung von Fotos ohne Einwilligung

Immer wieder erreichen das ULD Eingaben von Mieterinnen und Mietern, die nach einer Kündigung ihres Mietvertrags im Internet Bilder des Inneren ihrer Wohnung finden. Vermieterinnen und Vermieter oder beauftragte Personen haben sich in diesen Fällen oft ohne Wissen und Einverständnis der Betroffenen Zutritt zur noch bewohnten Wohnung verschafft und Bilder angefertigt, um die Wohnungsanzeige online zu bewerben. Zwar ist der Wunsch, Mietobjekte möglichst schnell attraktiv im Internet zur Neuvermietung zu präsentieren, ein berechtigtes Interesse. Dies rechtfertigt aber nicht, die Wohnung ohne Wissen und Einverständnis der Mietparteien zu betreten und Aufnahmen von den privaten Lebensbedingungen zu machen.

Ähnlich urteilte auch das Amtsgericht Steinfurt im April 2014 (Urteil vom 10.04.2014 – 21 C 987/13) und entschied im dortigen Fall, dass der Vermieter keinen Anspruch auf Duldung der Fertigung von Fotos der an den Mieter vermieteten Innenräume habe. Das Recht auf Achtung der Persönlichkeitsrechte ging den durch Art. 14 des Grundgesetzes geschützten Interessen des Vermieters im entschiedenen Fall vor. Das Gericht stellte dabei richtigerweise fest, dass derartige Fotos intime Einblicke in die Lebensgewohnheiten, Hobbys und die Persönlichkeit der Mieterinnen und Mieter sowie deren Familienangehörigen und sonstigen Mitwohnenden zulassen. Demgegenüber sei das Verwertungsrecht des Vermieters in der Regel nicht unangemessen beeinträchtigt.

Was ist zu tun?
Bevor Fotos des Innenraums von Mietwohnungen angefertigt werden, müssen stets die mietenden Personen um Einwilligung gebeten werden. Ohne eine Einwilligung dürfen Fotos in der Regel erst nach Auszug der Mietpartei angefertigt und veröffentlicht werden.

5.5.6       Briefkastenaufbrüche bei Sparkassen

Im Herbst 2015 erreichten das ULD mehrere Meldungen über aufgebrochene Briefkästen von Sparkassen aus verschiedenen Teilen Schleswig-Holsteins. Unbekannte hatten offenbar systematisch außen gelegene Briefkästen aufgebrochen, um an die darin liegenden ausgefüllten Überweisungsträger der Sparkassenkundinnen und -kunden zu gelangen.

Das ULD weist darauf hin, dass eine den Anforderungen des deutschen Datenschutzrechts genügende Datenverarbeitung nicht nur rechtlichen, sondern auch technisch-organisatorischen Vorgaben genügen muss. Daher müssen technische und organisatorische Maßnahmen stets im Blick behalten werden. Abhängig von dem Schutzbedarf der verarbeiteten Daten sind unterschiedliche Maßnahmen erforderlich. Kann ein angemessenes Schutzniveau nicht hergestellt werden, ist im Einzelfall auch nicht auszuschließen, dass die Verarbeitung der Daten nicht weiter durchgeführt werden kann.

Im Fall der gemeldeten Briefkastenaufbrüche wurde durch die betroffenen Sparkassen dementsprechend geprüft, ob der Briefkasten verstärkt oder an anderen Orten – auch innerhalb der Filialräume – neu aufgestellt werden musste. Zusätzlich wurde in allen Fällen die anschließende Bearbeitung der Überweisungsträger im Umfeld der Vorfälle hinsichtlich Auffälligkeiten intensiviert. Die betroffenen Kundinnen und Kunden wurden in geeigneter Weise informiert.

Das ULD weist zudem darauf hin, dass die Meldepflicht des § 42a BDSG auch deshalb sinnvoll ist, weil wiederholte und gleichartige Vorfälle so bei den Aufsichtsbehörden erkannt werden können. Im Rahmen der Briefkastenaufbrüche konnte sich das ULD so dafür einsetzen, dass die betroffenen Filialen die auffällige Häufung von Vorfällen im Gesamtverband bekannt gaben.

Was ist zu tun?
Wo Post mit schutzwürdigen Daten in Briefkästen von Unternehmen eingeworfen wird, ist von den verantwortlichen Stellen zu prüfen, ob ein ausreichender Schutz dieser Informationen besteht. Gegebenenfalls müssen Maßnahmen getroffen werden, die einen ausreichenden Schutz gegen Aufbrechen oder Herausgreifen der Briefe bieten.

5.5.7       Weitergabe von Beschäftigtendaten im Rahmen eines Personalabbaukonzepts

Ein Arbeitgeber hat zum Nachweis der Sozialauswahl in der Anlage der von ihm versendeten Kündigungsschreiben eine Liste der zur Entlassung vorgesehenen Arbeitnehmer beigefügt. Auf dieser Liste waren neben dem Namen der Betroffenen u. a. deren Geburtsdatum, Familienstand und Staatsangehörigkeit vermerkt. Die Petentin, die zum Zeitpunkt der Übermittlung der Liste noch keine konkrete Kenntnis von der Kündigungsabsicht ihres Arbeitgebers hatte, deren Name und Daten aber auf der Liste aufgeführt waren, rügte die Übermittlung ihrer personenbezogenen Daten an die gekündigten Kollegen.

Der Arbeitgeber vertrat die Auffassung, dass er aufgrund der Vorgaben nach § 1 Abs. 3 Kündigungsschutzgesetz (KSchG) zum Nachweis der Sozialauswahl neben dem Namen auch die Qualifikation und die Sozialdaten der als vergleichbar angesehenen Mitarbeiter offenzulegen hatte. Er begründete dies damit, dass er im Falle eines arbeitsgerichtlichen Verfahrens diese Daten hätte ebenfalls offenlegen müssen. Daher habe man nicht nur eine Namensliste, sondern auch die Kriterien der Auswahl und deren Erfüllung übermittelt.

§ 1 Abs. 3 Satz 1 2. Hs. Kündigungsschutzgesetz

(3) […] auf Verlangen des Arbeitnehmers hat der Arbeitgeber dem Arbeitnehmer die Gründe anzugeben, die zu der getroffenen sozialen Auswahl geführt haben. […]

Werden Arbeitnehmer, denen gekündigt werden soll, gemäß § 1 Abs. 5 Satz 1 KSchG namentlich bezeichnet, erfasst diese Rechtsgrundlage lediglich die bloße Namensliste und keine Informationen, die darüber hinausgehen. Gemäß § 1 Abs. 3 Satz 1 2. Hs. KSchG hat der Arbeitgeber dem Arbeitnehmer seine Überlegungen zur Sozialauswahl nur auf Verlangen mitzuteilen. Erst dann muss der Arbeitgeber dem Arbeitnehmer die Gründe angeben, die ihn zu der getroffenen sozialen Auswahl geführt haben.

Als bereichsspezifische Norm zum Umgang mit personenbezogenen Daten geht die Regelung des § 1 Abs. 3 Satz 1 2. Hs. KSchG den allgemeinen Regelungen des Bundesdatenschutzgesetzes (BDSG) gemäß § 1 Abs. 3 Satz 1 BDSG zwar vor. Jedoch entbindet sie die verantwortliche Stelle nicht von dem Erfordernis einer gesetzlichen Erlaubnis für die Übermittlung der Daten gemäß § 4 Abs. 1 Satz 1 BDSG. Eine Übermittlung der Sozialdaten ist in § 1 Abs. 3 Satz 1 2. Hs. KSchG nicht ohne Verlangen eines Arbeitnehmers vorgesehen. Eine gesetzliche Erlaubnis zur Übermittlung ist daher nur unter dieser Bedingung gegeben.

Die unaufgeforderte Übermittlung einer Liste mit den Namen der zur Entlassung vorgesehenen Arbeitnehmer, deren Wohnort, Geschlecht, Staatsangehörigkeit, Familienstand, Anzahl der Kinder, Geburtsdatum, Alter, Anstellungsstatus, Schwerbehinderung, Vertragsbeginn und Beruf erfolgte daher ohne Rechtsgrundlage. Das ULD hat in diesem Fall einen Verstoß durch Übermittlung personenbezogener Daten ohne vorheriges Verlangen festgestellt.

5.5.8       Umgang mit privaten Daten beim Ausscheiden aus dem Unternehmen

Das ULD erhielt im Berichtszeitraum Anfragen zum Umgang mit privaten Daten Beschäftigter, wenn diese das Unternehmen verlassen haben. Im vorgelegten Fall bestand in einem Unternehmen eine Betriebsvereinbarung, die das Ablegen von privaten Daten auf Dienstrechnern erlaubte. Daraus ergab sich die Frage, wie im Kündigungsfall des Beschäftigten mit dessen privaten Daten zu verfahren ist.

Entscheidet sich ein Unternehmen, die private Nutzung von Dienstgeräten zuzulassen, sollte in einer Betriebsvereinbarung geregelt werden, dass private Daten als solche zu kennzeichnen und besser noch in einem gesonderten Bereich abzulegen sind.

Bei einer Speicherung der privaten Daten in einer gesonderten oder gekennzeichneten Ablage ist eine Einsichtnahme durch das Unternehmen grundsätzlich nicht zulässig, da diese Daten für die Beendigung des Beschäftigungsverhältnisses nicht erforderlich sind. Die gekennzeichneten Daten müssen dem Beschäftigten zugeleitet werden. Soweit die Zuordnung einzelner Dateien unklar ist, kann schrittweise eine Einsichtnahme durch die Personalabteilung in Beisein des Betriebsrats, des Datenschutzbeauftragten und bestenfalls auch des Beschäftigten erfolgen. Die Erforderlichkeit der Einsichtnahme ist für jede Datei gesondert zu prüfen.

Grundsätzlich ist die Ablage privater, persönlicher Daten auf einem Dienstrechner aber immer problematisch und zu vermeiden. Das ULD rät anderenfalls zu einer technischen Containerlösung mit einem verschlüsselten Datenbereich in speziellen Verzeichnissen oder zu einer Verschlüsselung der einzelnen Dateien, wenn eine Erlaubnis zur Speicherung privater Informationen auf dem Dienstrechner erteilt wird.

Was ist zu tun?
Erlaubt der Arbeitgeber den Beschäftigten die Speicherung privater Daten auf dienstlichen Betriebsmitteln, so sollten die Daten als „privat“ gekennzeichnet sein und verschlüsselt werden.

 

5.6          Videoüberwachung

5.6.1       Urlaubsland Schleswig-Holstein – Einsatz von Webcams

Das Übertragen von bewegten Bildern im Internet mithilfe von Webcams erfreut sich steigender Beliebtheit. Die Qualität der eingesetzten Kameras hat sich kontinuierlich verbessert, und geringe Kosten sorgen für einen verstärkten Einsatz – sowohl im gewerblichen als auch im privaten Umfeld.

Webcams bieten eine komfortable Möglichkeit, sich über das Wetter und andere örtliche Begebenheiten zu informieren. Problematisch wird ihr Einsatz im öffentlichen Raum, wenn Personen auf den Bildern identifiziert werden können. Immer wieder wenden sich besorgte Bürger an das ULD, weil sie befürchten, dass jedermann sie z. B. im Urlaub, am Strand, in der Schwimmhalle, im Restaurant oder beim Shoppen beobachten kann. Immer häufiger handelt es sich um hochaufgelöste, fließende Bilder. Durch die Übertragung ins Internet steht es praktisch jedem offen, diese Aufnahmen aufzuzeichnen oder auszuwerten.

Können Personen auf den Bildern identifiziert werden, bedarf es sowohl für die Erhebung als auch für die Veröffentlichung der Bilder einer Rechtsgrundlage. Für die Erhebung sind in der Regel die Voraussetzungen des § 6b Bundesdatenschutzgesetz (BDSG) einzuhalten. Die Veröffentlichung im Internet kommt nur mit Einwilligung der Betroffenen oder bei Vorliegen der gesetzlichen Voraussetzungen des § 23 Kunsturhebergesetz (KunstUrhG) in Betracht.

Die Identifizierbarkeit einer Person ist grundsätzlich dann gegeben, wenn deren Gesicht auf den Aufnahmen erkennbar wird. Allerdings können auch zusätzliche Kriterien zu einer Bestimmbarkeit führen. Dies gilt vor allem für das sonstige Körperbild einer Person, wie die Körperhaltung, die Kleidung, die mitgeführten Gegenstände oder Fahrzeuge. Darüber hinaus sind auch Zeitpunkt und Ort der Aufnahme geeignet, um Rückschlüsse auf eine Person ziehen zu können. Eine Identifizierung muss zumindest mit weiteren Hilfsmitteln mit noch verhältnismäßigem Aufwand möglich sein. Nicht notwendig ist, dass ein Abgebildeter tatsächlich von bestimmten Personen erkannt wurde. Das Recht am eigenen Bild ist bereits dann verletzt, wenn der Abgebildete begründeten Anlass zu der Annahme hat, er könne identifiziert werden. Nicht erforderlich ist, dass schon der flüchtige Betrachter den Abgebildeten auf dem Bild erkennen kann; es genügt die Erkennbarkeit durch einen mehr oder minder großen Bekanntenkreis.

Werden Personen identifizierbar abgebildet, so ist in der Regel bereits die Erhebung der Daten nach dem BDSG unzulässig. Das BDSG setzt voraus, dass die verantwortliche Stelle ein berechtigtes Interesse an der Erhebung der personenbezogenen Daten hat. Dies fehlt in der Regel beim Betrieb einer Webcam. Zwar dient der Betrieb der Webcam meist einem berechtigten Interesse der verantwortlichen Stelle, z. B. der Werbung oder Kundenbindung. Die Erhebung und Veröffentlichung personenbezogener Daten ist für den jeweiligen Zweck in der Regel jedoch nicht erforderlich. Der Veröffentlichung stehen des Weiteren zumeist auch die berechtigten Interessen der Betroffenen entgegen, sodass nach dem KunstUrhG eine Veröffentlichung nicht zulässig ist.

Der rechtssichere Betrieb einer Webcam im öffentlichen Raum ist daher nur möglich, wenn sichergestellt ist, dass Personen nicht ohne Weiteres identifiziert werden können.

Was ist zu tun?
Webcam-Betreiber sollten den Bildausschnitt, die Auflösung, den Zoom und die Bildwiederholrate so wählen, dass Personen nicht identifizierbar sind.

 

5.6.2       Wolfsmonitoring mit Wildkameras

Bereits der 35. Tätigkeitsbericht (35. TB, Tz. 5.6.1) befasste sich mit der Frage, inwieweit Jagdausübungsberechtigte zur Unterstützung ihrer Tätigkeit auf sogenannte Wildkameras zurückgreifen dürfen. Der Einsatz solcher Kameras in öffentlich zugänglichen Räumen ist nur unter Einhaltung strenger Voraussetzungen möglich.

Einen besonderen Fall der systematischen Beobachtung von Wildtieren in Schleswig-Holstein stellt das sogenannte Wolfsmonitoring dar. Im Auftrag des Ministeriums für Energiewende, Landwirtschaft, Umwelt und ländliche Räume (MELUR) untersuchen Fachleute die Rückkehr des Wolfes und die damit verbundenen Auswirkungen. In diesem Zusammenhang werden auch Wildkameras eingesetzt, um mehr über die Anzahl, das Verhalten und die Verbreitung der Tiere zu erfahren. Zur Entwicklung von Lösungen für ein Wolfsmonitoring, das einen unverhältnismäßigen Eingriff in die Rechte der Bürgerinnen und Bürger vermeidet, wurde das ULD von den Verantwortlichen schon frühzeitig eingebunden.

Im Ergebnis wurde durch verschiedene Maßnahmen sichergestellt, dass ungewollte Eingriffe in die Persönlichkeitsrechte auf ein Minimum reduziert werden. U. a. wurden die mit der Aufstellung und Auswertung der Wildkameras beauftragten Wolfsbetreuer im Rahmen einer Schulung in Bezug auf die datenschutzrechtlichen Anforderungen besonders sensibilisiert.

Das Vorhaben zeichnet sich insbesondere durch seine Transparenz aus. Über die Webseite http://www.wildkamera-sh.de/ kann sich jeder über den Zweck der Wildkameras sowie die getroffenen Maßnahmen zum Datenschutz informieren. Auf den Kameras sowie auf Schildern in der unmittelbaren Umgebung wird auf die Beobachtung und die verantwortliche Stelle aufmerksam gemacht. Auf der Webseite ist darüber hinaus der Standort aller Kameras verzeichnet. Für Betroffene und Interessierte stehen persönliche Ansprechpartner zur Verfügung. Seit dem Start des Projekts im März 2016 hat es weder bei den Verantwortlichen noch beim ULD Datenschutzbeschwerden gegeben.

5.6.3       Videoüberwachung im Fitnessstudio

Im letzten Tätigkeitsbericht hat das ULD über die Videoüberwachung in einer Fitnessstudiokette berichtet (35. TB, Tz. 5.6.2). Da der Betreiber nicht freiwillig bereit war, auf die Videoüberwachung von Umkleidebereichen, Trainingsflächen und Aufenthaltsbereichen zu verzichten, hat das ULD die Deaktivierung der auf diese Bereiche ausgerichteten Videokameras angeordnet. In diesen Bereichen überwiegen die schutzwürdigen Interessen der Kundinnen und Kunden, die Umkleideräume zu nutzen, an den Geräten zu trainieren oder im Aufenthaltsbereich zu verweilen, ohne dass dies aufgezeichnet und für mehrere Tage gespeichert wird.

5.6.4       Videoüberwachung in Schwimmbädern

Aufgrund verschiedener Eingaben hat sich das ULD mit der Videoüberwachung in einigen Schwimmbädern befasst. Videoüberwachung wird in Schwimmbädern häufig eingesetzt, um Sachbeschädigungen zu verhindern oder aufzuklären, aber auch um die Sicherheit der Badegäste zu gewährleisten.

Jedoch ist der Eingriff in die Persönlichkeitsrechte Betroffener in Schwimmhallen besonders groß, da die Besucher häufig nur leicht bekleidet sind und dort ihre Freizeit verbringen. Bei der Videoüberwachung in Schwimmbädern müssen daher die Erforderlichkeit und Verhältnismäßigkeit jeder einzelnen Kameraeinstellung gut begründet werden. Dies ist besonders schwierig, wenn sogenannte Dome-Kameras zum Einsatz kommen, deren Blickwinkel und Zoom verändert werden können und deren Blickrichtung für Besucher in der Regel nicht erkennbar ist.

Neben der Frage, ob ein Bereich überhaupt mit einer Kamera beobachtet werden sollte, muss man sich auch damit auseinandersetzen, ob eine Aufzeichnung der Bilder erforderlich ist. Um für die Badeaufsicht die Einsicht in besonders gefährliche Bereiche zu verbessern und ihr ein Eingreifen in Gefahrensituationen zu ermöglichen, reicht in der Regel eine Livebeobachtung aus. Die Gefährlichkeit eines bestimmten Bereiches muss sich dabei aufgrund objektiver Anhaltspunkte ergeben, beispielsweise weil es bereits konkrete Vorfälle gegeben hat oder Erfahrungswerte für eine erhöhte Gefährlichkeit (wie z. B. bei Sprungtürmen, Rutschen, Kinderbecken) sprechen. Nicht ausreichend ist die allgemein erhöhte Unfallgefahr wegen des Aufenthalts im Wasser. Der Einsatz von Videoüberwachungstechnik kann kein Ersatz für Aufsicht durch Personal sein!

Eine Videoaufzeichnung ausschließlich zum Ausschluss des Haftungsrisikos gegenüber Ansprüchen von Badegästen ist aufgrund der überwiegenden schutzwürdigen Interessen der von der Videoüberwachung Betroffenen unzulässig. Sie ist auch nicht erforderlich, da in solchen Fällen der Geschädigte in der Beweispflicht ist.

In textilfreien Bereichen, wie z. B. Saunen, haben Kameras grundsätzlich nichts zu suchen. Besonderes Augenmaß ist auch in Umkleidebereichen erforderlich. Hier erfolgt häufig eine Videoüberwachung mit der Begründung, dass ein Aufbrechen von Spinden verhindert oder aufgeklärt werden soll. Allerdings sind die Betroffenen oft nur leicht oder gar nicht bekleidet. Eine Überwachung von Spinden kann nur dann zulässig sein, wenn damit nicht gleichzeitig Bänke oder Ablageflächen erfasst werden, die zum Umkleiden genutzt werden. Ist eine isolierte Überwachung der Spinde zulässig, liegt die Herausforderung häufig darin, den Aufnahmewinkel so zu wählen, dass die Spinde vom Bild erfasst werden, aber niemand beim Umkleiden gefilmt wird.

Die Betroffenen müssen über die Videoüberwachung informiert werden. Doch nicht immer ist es leicht, den videoüberwachten Bereich transparent zu machen. Nach Möglichkeit sollten außerdem überwachungsfreie Bereiche angeboten werden, damit Betroffene der Überwachung ausweichen können. Bei der Entscheidung bezüglich einer Videoüberwachung und ihrer Ausgestaltung helfen die Orientierungshilfe „Videoüberwachung durch nichtöffentliche Stellen“ sowie der Zusatz „Videoüberwachung in Schwimmbädern“. Beide Dokumente stehen auf der Webseite des ULD zum Download zur Verfügung:

• https://datenschutzzentrum.de/uploads/video/Orientierungshilfe_Videoueberwachung.pdf
• https://datenschutzzentrum.de/uploads/video/2015-Duesseldorfer-Kreis-Videoueberwachung_in_Schwimmbaedern.pdf

Was ist zu tun?
Bei der Videoüberwachung ist stets die Erforderlichkeit zu hinterfragen. Jede Kameraeinstellung muss sorgfältig geprüft werden.

 

5.6.5       Videoüberwachung auf Toiletten

Das ULD hat sich wiederholt mit der Videoüberwachung in Toilettenräumen beschäftigt. Die Überwachung bezog sich auf die Waschbecken oder den Toilettenraum, ohne dass in den einzelnen Kabinen gefilmt wurde.

Häufig sind es Diskotheken oder Bildungseinrichtungen, die in diesen Bereichen regelmäßig mit Vandalismus und groben Verschmutzungen zu kämpfen haben. Die Schäden sind nicht unerheblich, und oft gehen sie zulasten derer, die die Räume ordnungsgemäß nutzen möchten. Das Interesse daran, die Sanitäranlagen in gutem Zustand zu halten, ist absolut nachvollziehbar. Allerdings ist die Videoüberwachung dafür kein zugelassenes Mittel.

Bei jeder Videoüberwachung muss zwischen den zu schützenden Gütern und dem Eingriff in das Persönlichkeitsrecht der Betroffenen abgewogen werden. Die Eingriffsintensität ist dabei abhängig von der Art der erfassten Informationen (Informationsgehalt), dem Umfang (Informationsdichte, zeitliches und räumliches Aus

maß), dem betroffenen Personenkreis, der Interessenlage der betroffenen Personengruppen, dem Vorhandensein von Ausweichmöglichkeiten sowie von Art und Umfang der Verwertung der erhobenen Daten.

In Situationen, in denen Menschen privat Zeit mit Freunden verbringen, wie z. B. in einem Restaurant, überwiegt deshalb in der Regel das Persönlichkeitsrecht der Betroffenen, sodass eine Beobachtung mittels Videokamera unzulässig ist.

Videoüberwachung in Toilettenräumen ist aber noch viel eingriffsintensiver. Bereits der Umstand des Aufsuchens einer Toilette, die Verweildauer sowie übliche Verhaltensweisen, wie z. B. das Waschen, das Richten der Frisur oder der Kleidung oder das Reinigen der Zähne, sind dem Bereich der Intimsphäre eines Menschen zuzuordnen. Aus diesem Grund ist die Videoüberwachung von Toilettenräumen in jedem Fall unzulässig.

 

Zurück zum vorherigen Kapitel

Zum Inhaltsverzeichnis

Zum nächsten Kapitel