Datenschutz: Mitbestimmung und Mitgestaltung

Transkript

1 WAS IST DAS ALLGEMEINE PERSÖNLICHKEITSRECHT? Das allgemeine Persönlichkeitsrecht ist gemäß Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 Grundgesetz (GG) geschützt. Danach soll jeder selbst darüber entscheiden, welche Daten er über sich preisgeben will. Darauf basieren die Regelungen in den datenschutzrechtlichen Vorschriften wie das Bundesdatenschutzgesetz (BDSG), das Telekommunikationsgesetz (TKG) und das Telemediengesetz (TMG) sowie die Datenschutzgesetze der einzelnen Bundesländer. WELCHE WICHTIGEN ALLIANZEN GIBT ES? Intern: IT-Abteilung Datenschutzbeauftragte/-r, Compliance- Beauftragte/-r Extern: IG BCE Zuständige Landesbeauftragte/-r für Datenschutz und Informationsfreiheit Foto: Fotolia/everythingpossible 1

2 Sachverstand aus dem Beraternetzwerk, insbesondere die Technologieberatungsstelle des DGB (TBS) na müssen die sogenannten auf EU-Standardvertragsklauseln verwendet werden. Beim Sonderfall USA gibt es noch die Unterwerfung unter das Safe Harbor Abkommen. WIE KANN ES AUF BETRIEBSRÄTE ZUKOMMEN? Themenvielfalt: z. B. Betriebliches Eingliederungsmanagement, elektronische Personalakte, EDV-Systeme, Personalmanagementsysteme (wie SAP), Betriebsdatenerfassung, AEO-Zertifizierung (für Zollvergünstigungen wird ein Abgleich mit Anti-Terrorlisten gemacht), Anlagen, Videoüberwachung, GPS, e-call. Keine Info von der Arbeitgeberseite mit Verweis auf den Datenschutz der Beschäftigten: z. B. Namen der Beschäftigten, die in Mutterschutz gehen oder Betriebliches Eingliederungsmanagement angeboten bekommen müssten; Datenschutz beschränkt aber nicht die Mitbestimmung, das käme einem Verzicht der Mitbestimmung gleich. Datenverarbeitung im Konzern: Es gibt kein Konzernprivileg. Sobald es sich um eigenständige Gesellschaften handelt, handelt es sich bei einer Weitergabe um eine Übermittlung an Dritte. Dafür bedarf es einer eigenen Rechtsgrundlage. Bei der Datenübermittlung in andere Länder müssen immer drei Fragen gestellt werden, um zu prüfen, ob sie zulässig ist: Wäre die Übermittlung in Deutschland erlaubt? Gibt es eine Rechtsgrundlage? Å Å Liegt ein angemessenes Datenschutzniveau vor: in der EU und dem EWR sowie einem sicheren Drittland ist das unproblematisch; wo das nicht erfüllt ist z. B. USA, Indien, Chi- WIE GEHE ICH AN DATENSCHUTZRECHTLICHE FRAGESTELLUNGEN HERAN? Um welche Art Daten geht es? Geht es sogar um besondere Arten von Daten (i. S. d. 3 Abs. 9 BDSG z. B. Gesundheit) Fragen stellen zu der Einhaltung von den Grundsätzen des Datenschutzes: Welche Rechtsgrundlage gibt es für die Erhebung, Verarbeitung oder Nutzung von Daten (Verbot mit Erlaubnisvorbehalt)? Denn alles ist verboten, was nicht erlaubt ist ( 4 Abs. 1 BDSG). Zu welchem konkreten Zweck sollen personenbezogene Daten erhoben werden? Möglichst auf enge Zweckbegrenzung hinwirken. Sollen personenbezogene Daten nur zu dem Zweck, für den sie erhoben wurden, verarbeitet oder genutzt werden (Zweckbestimmung)? Wird der Grundsatz der Datenvermeidung (möglichst keine Daten erheben) und der Datensparsamkeit (möglichst wenige Daten erheben) eingehalten? Wird möglichst anonymisiert (irreversibel) oder pseudonymisiert (entschlüsselbar) erhoben? Werden Daten möglichst bei Betroffenen selbst erhoben (Grundsatz der Direkterhebung)? 2

3 Ist die Datenerhebung, -verarbeitung oder -nutzung erforderlich? In der Frage der Erforderlichkeit steckt eine ausgefeilte Interessenabwägung des Arbeitgebers und der Beschäftigten unter Berücksichtigung der Verhältnismäßigkeit an sich. Werden Beschäftigten folgende Rechte gewährt: Werden sie informiert, welche personenbezogenen Daten über sie gespeichert werden, erhalten sie auf Verlangen Auskunft, werden Daten ggf. gesperrt oder gelöscht? Killerfrage: Gibt es ein Verfahrensverzeichnis? Das Verfahrensverzeichnis meint eine Auflistung aller Prozesse im Betrieb, in dem personenbezogene Daten erhoben, verarbeitet oder genutzt werden. RECHTE MIT BEISPIELEN HINTERLEGT Frühe Mitgestaltung und Vorbereitung: Der Betriebsrat kann die Einhaltung von Gesetzen (BDSG, TKG, TMG) und Betriebsvereinbarungen ( 80 Abs. 1 Nr. 1 BetrVG) überwachen: hierzu kann der BR Informationen und Unterlagen einfordern z. B. die Einsichtnahme in ein Verfahrensverzeichnis, Vorlage von Berechtigungs- und Rollenkonzepten, Verträge zur Auftragsdatenverarbeitung; Auskunft über den Stand technischer Sicherheitsmaßnahmen. Bei der Planung von technischen Anlagen ( 90 BetrVG): immer schon an Auswirkungen auf Beschäftigte denken im Hinblick auf Überwachungsszenarien. Änderung von Arbeitsverfahren, Arbeitsabläufen ( 90 BetrVG): z. B. Übergang zu interner/externer Projektarbeit, Gruppenarbeit (dann auch ggf. 87 Abs. 1 Nr. 13 BetrVG). STÄRKSTE FORM DER MITBESTIMMUNG: Bei Fragen zur Ordnung des Betriebes, z. B. bei Richtlinien zu»compliance«, Krankenrückkehrgesprächen ( 87 Abs. 1 Nr. 1 BetrVG). Beginn und Ende von täglicher Arbeitszeit bzw. Überstunden ( 87 Abs. 1 Nr. 2, 3 BetrVG): z. B. im Zusammenhang mit mobiler Arbeit. Mitbestimmung bei der Einführung von technischen Einrichtungen, die zur Überwachung geeignet sind ( 87 Abs. 1 Nr. 6 BetrVG): z. B. Software, Hardware, Systeme, BDE-Systeme, Zeiterfassungssysteme, Social Media, Screenings, mobile Geräte (Beispiel VW: keine Weiterleitung von Kommunikationsdaten in einer bestimmten Zeit. Mitbestimmung bei Arbeits- und Gesundheitsschutz im Rahmen gesetzlicher Regelungen ( 87 Abs. 1 Nr. 7 BetrVG), z. B. Einhaltung von Verbot heimlicher Kontrollen aus Nr. 22 des Anhangs zu 4 der Bildschirmarbeitsverordnung im Rahmen des Gesundheitsschutzes, arbeitsmedizinische Vorsorge und Eignungsuntersuchungen, auf Datenschutz-by-design hinwirken Datenschutz muss vom Hersteller/Programmierer schon mitberücksichtigt werden. Personalfragebogen ( 94 BetrVG): das greift schon bei standardisierten Fragestellungen; möglichst sollte der BR sich eng am Grundsatz der Erforderlichkeit orientieren und nur Fragen erlauben, die in Bezug auf die konkrete Tätigkeit unbedingt nötig sind. Zum Beispiel keine Fragen zu Familienmitgliedern, Krankheit, Familienplanung, Vorstrafen, politi- 3

4 scher Einstellung, Gewerkschaftszugehörigkeit stellen. Auswahlrichtlinien ( 95 BetrVG): ab 500 Beschäftigten besteht ein Initiativrecht für den BR, vorher kann er nur mitbestimmen, wenn der AG etwas regeln will bzw. regelt. Mögliche Regelungen: anonymisierte Bewerbungen und Festlegung der zugrunde zu legenden Unterlagen, insbesondere ggf. auch der Ausschluss von googeln oder Einholung von Referenzen; kein pauschales Drogenscreening. Mitbestimmung bei der/dem Datenschutzbeauftragten: Bei der Einstellung bzw. Versetzung ( 99 BetrVG), nicht bei externer Benennung. Mitbestimmung in Form des Interessenausgleichs und Sozialplans ( 111, 112 BetrVG), z. B. klassisches Outsourcing von IT-Dienstleistungen, Crowdsourcing, Cloud Computing in Form von Bereitstellung von Software zur Nutzung (Software as a service), Bereitstellung einer Plattform (Platform as a service), Bereitstellung von IT-Ressourcen, insbesondere Rechnerleistung, Arbeitsspeicher und Festplattenspeicher, Verbindungen (infrastructure as a service) oder Durchführung von Geschäftsprozessen durch Cloud Computing (Business Process as a Service). Impressum Herausgeberin: Industriegewerkschaft Bergbau, Chemie, Energie Edeltraud Glänzer, Vorstandsbereich 2 Redaktion: Isabel Eder, Abt. Mitbestimmung Jan Grüneberg, Abt. Mitbestimmung Redaktionsanschrift: Königsworther Platz 6, Hannover Telefon: Telefax: abt.mitbestimmung@igbce.de Internet: Gesamtherstellung und -vertrieb: BWH GmbH Stand: Juli

5 Welche Mitbestimmungsrechte hat der Betriebsrat (im Überblick)? Informationen über den Wirtschaftsausschuss erlangen und frühzeitig Entwicklungen hinterfragen und begleiten ( 106 ff.) Schleichende Betriebsänderungen erkennen und entsprechend Interessenausgleich und Sozialplan einfordern ( 111) Aufgaben des BR: z. B. Einhaltung von BDSG, TKG, TMG, Betriebsvereinbarung ( 80 Abs. 1 Nr. 1, 2, 8) Mitbestimmung bei Einstellung oder Versetzung von Datenschutzbeauftragter/-n ( 99) Wirtschaftsausschuss Betriebsänderungen Aufgaben des BR Ordnungsverhalten wie z. B. Torkontrolle ( 87 Abs. 1 Nr. 1) Einstellung Versetzung Ordnungsverhalten Weiterbildung und Anpassung der Ausbildung an verändernde Bedingungen gestalten bei Einsatz von EDV ( 96 98) Berufsbildungsbedarf angesichts neuer Planungen vom AG einfordern ( 96) Beschäftigungssicherung avisieren vor sich verändernder Arbeitsorganisation ( 92a) Weiterbildung Berufsbildungsbedarf Beschäftigungssicherung Personalbedarf Sich verändernden Personalbedarf ansprechen, Vorschläge machen, beraten ( 92) DATENSCHUTZ RECHTE DES BETRIEBSRATES (BETRVG) Abwendung von Belastungen Gegenmaßnahmen einleiten bei erst verspätet erkennbaren Belastungen ( 91) Arbeitsorganisation Fragen zur Arbeitszeit Betriebsdaten-, Leistungsdatenerfassung Gesundheitsschutz Planung neuer technischer Anlagen, Veränderungen an Arbeitsverfahren, Arbeitsabläufen und Arbeitsplätzen ( 90) Fragen zur Arbeitszeit mit Bezug auf mobiler Arbeit ( 87 Abs. 1 Nr. 2) Technische Einrichtungen, Software, die zur Überwachung geeignet sind: z. B. Betriebsdaten- bzw. Leistungsdatenerfassung, RFID ( 87 Abs. 1 Nr. 6) Gesundheitsschutz bei der Einführung von mehr EDV, Ergonomie ( 87 Abs.1 Nr. 7) 5