Veranstaltung. Fachgruppe Mittelstand 4.0 der Offensive Mittelstand Fachgruppentreffen

Transkript

1 Veranstaltung Fachgruppe Mittelstand 4.0 der Offensive Mittelstand Fachgruppentreffen

2 Datenschutz und Datensicherheit zwischen Fürsorgepflicht, Arbeitsschutz und verbotener Leistungsüberwachung Michael Weller 2

3 AGENDA Zur Aktualität des Themas Rechtliche Grenzen der Informationsbeschaffung Informationelle Selbstbestimmung Schlüssel 1 zur Information: Einwilligung Schlüssel 2 zur Information: Gesetzliche Grundlage Datenschutzrechtliche To Do s Michael Weller 3

4 Zur Aktualität des Themas Aktuelle Ausschreibung Michael Weller 4

5 Aus einer Ausschreibung vom Rechtliche Anforderungen an den Datenschutz bei adaptiven Arbeitsassistenzsystemen Problemaufriss der vergebenden Stelle: Adaptive Arbeitsassistenzsysteme, d.h. informationstechnisch vernetzte und kontextsensitive Arbeitsmittel und -systeme, basieren auf Technologien, welche Arbeitstätigkeiten kontextabhängig und zum Teil selbstständig unterstützen können. Zu diesem Zweck erheben solche Systeme (z.b. Smart Devices) verschiedenste Parameter (z.b. Position, Geschwindigkeit), werten diese aus und verknüpfen sie mit anderen Daten. Quelle: Bundesanstalt für Arbeitsschutz und Arbeitsmedizin Michael Weller 5

6 Informationsbedürfnis Aus derselben Ausschreibung: Die Zwecke und Verwendungen der Informationen sind unter Umständen nicht für alle Beteiligten transparent. Gleichwohl besteht gerade in der Verwendung auch personenbezogener Informationen eine Chance für die anforderungsadäquate oder belastungsoptimale Gestaltung von Tätigkeiten. Auch können bspw. Videoaufnahmen bei der Bearbeitung von Aufgaben oder zu Trainingszwecken unterstützend eingesetzt werden. Quelle: Bundesanstalt für Arbeitsschutz und Arbeitsmedizin Michael Weller 6

7 Klare Rechtslage? Noch einmal aus der Ausschreibung: Zielkonflikt aus Sicht der vergebenden Stelle: Allerdings ist die rechtliche Klärung der Bedingungen des Datenschutzes und der Persönlichkeitsrechte erforderlich, um das ergonomische Gestaltungs- und Prozessführungspotenzial der neuen Technologien nutzen zu können. Quelle: Bundesanstalt für Arbeitsschutz und Arbeitsmedizin Michael Weller 7

8 Rechtliche Grenzen der Informationsbeschaffung Informationelle Selbstbestimmung und Schlüssel zur Information Michael Weller 8

9 Informationelle Selbstbestimmung Datenschutz ist Grundrechtsschutz! Bundesverfassungsgericht, Urt. v BvR 209/83 u.a. Volkszählungsurteil = BVerfGE 65, 1 erster Leitsatz: Unter den Bedingungen der modernen Datenverarbeitung wird der Schutz des einzelnen gegen unbegrenzte Erhebung, Speicherung, Verwendung und Weitergabe seiner persönlichen Daten von dem allgemeinen Persönlichkeitsrecht des Art. 2 Abs. 1 GG in Verbindung mit Art. 1 Abs. 1 GG umfasst. Das Grundrecht gewährleistet insoweit die Befugnis, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen Michael Weller 9

10 Wirkung des Grundrechts Schaffung eines Abwehrrechts gegen Staat ausgestattet mit mittelbarer Drittwirkung Michael Weller 10

11 Durchbrechung des Grundsatzes? Ausgleich widerstreitender Interessen auf Grundrechtsniveau Noch einmal: BVerfG, Urt. v BvR 209/83 u.a. BVerfGE 65, 1 zweiter Leitsatz: Einschränkungen dieses Rechts auf 'informationelle Selbstbestimmung' sind nur im überwiegenden Allgemeininteresse zulässig. Sie bedürfen einer verfassungsmäßigen gesetzlichen Grundlage ( ) Bei seinen Regelungen hat der Gesetzgeber ( ) den Grundsatz der Verhältnismäßigkeit zu beachten. Auch hat er organisatorische und verfahrensrechtliche Vorkehrungen zu treffen, welche der Gefahr einer Verletzung des Persönlichkeitsrechts entgegenwirken. Verbot mit Erlaubnisvorbehalt! Michael Weller 11

12 Modifikation der Grundrechtsreichweite Wirkungen der Ausgestaltung als Verbot mit Erlaubnisvorbehalt Einwilligung Erlaubnisnorm Michael Weller 12

13 Schlüssel 1 zur Information: Einwilligung Bis zum geltende Rechtslage: 4a Abs. 1 S. 1 BDSG: Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht. An der erforderlichen Freiwilligkeit wird im Rahmen eines bestehenden abhängigen Beschäftigungsverhältnisses stets zu zweifeln sein, so dass dies keine taugliche Grundlage einer datenschutzrechtlichen Rechtfertigung sein kann. Die Regelungen des Bundesdatenschutzgesetzes werden mit Wirkung vom an durch die Bestimmungen der Europäischen Datenschutz-Grundverordnung (Verordnung (EU) Nr. 679/2016) ersetzt! Michael Weller 13

14 Schlüssel 1 zur Information: Einwilligung Ab dem geltende Rechtslage: Art. 4 Nr. 11 Verordnung (EU) Nr. 679/2016 (ab ): Im Sinne dieser Verordnung bezeichnet der Ausdruck (...) 11. Einwilligung der betroffenen Person jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. Das Erfordernis der Freiwilligkeit bleibt erhalten! Michael Weller 14

15 Schlüssel 2 zur Information: Gesetzliche Grundlage Allgemeines Dienst- und Arbeitsvertragsrecht: Insbes. 618 Abs. 1 BGB: Der Dienstberechtigte hat Räume, Vorrichtungen oder Gerätschaften, die er zur Verrichtung Dienste zu beschaffen hat, so einzurichten und zu unterhalten und Dienstleistungen, die unter seiner Anordnung oder Leitung vorzunehmen sind, so zu regeln, dass der Verpflichtete gegen Gefahr für Leben und Gesundheit soweit geschützt ist, als die Natur der Dienstleistung es gestattet. Diese allgemeine Pflicht wird konkretisiert durch die Pflichten aus dem ArbSchG Michael Weller 15

16 Schlüssel 2 zur Information: Gesetzliche Grundlage Bedeutung der Generalklausel in 618 Abs. 1 BGB? Z.B. Legleitner, in: Herberger/Martinek/Rüßmann/Weth/Würdinger (Hg.), jurispk-bgb 618: Rn. 20: Als Ausfluss seiner Fürsorgepflicht ist der Arbeitgeber gehalten, das Persönlichkeitsrecht des Arbeitnehmers nicht zu verletzen. Rn. 16: Er darf kein Übermaß an Arbeit verlangen oder dulden, durch das die Gesundheit seines Arbeitnehmers gefährdet wird. Diese Ansicht wird in der arbeitsrechtlichen Literatur und Rechtsprechung im Wesentlichen geteilt. Der Arbeitgeber muss auf der einen Seite seinen Arbeitnehmer auch vor sich selbst schützen, auf der anderen Seite sein Persönlichkeitsrecht wahren Michael Weller 16

17 Generalklausel als Schlüssel? Pflichtenkollision denkbar! 618 Abs. 1 BGB nebst spezialgesetzlichen Regelungen kann die Erhebung und Nutzung personenbezogener Daten rechtfertigen, wenn zur Erfüllung der Fürsorgepflicht dem Arbeitgeber keine milderen, d.h. weniger oder nicht in das Persönlichkeitsrecht eingreifende Mittel zur Verfügung stehen; die im Übrigen an die Erhebung und Nutzung personenbezogener Daten zu richtenden Anforderungen eingehalten werden Michael Weller 17

18 Generalklausel als Verpflichtung? Pflicht zum Einsatz intelligenter Systeme? Günther/Böglmüller, Künstliche Intelligenz und Roboter in der Arbeitswelt, in: BB 2017, 53 (54): Sind künstliche Systeme in der Lage, bspw. Arbeiten in einer gefährlichen Arbeitsumgebung gleich effektiv erbringen zu können oder den Beschäftigten physisch und psychisch belastende Tätigkeiten abzunehmen, könnte es im Ergebnis sogar arbeitsschutzwidrig sein, bestimmte Arbeiten nicht (zumindest teilweise) durch einen Roboter erledigen zu lassen Michael Weller 18

19 Überfürsorglichkeit? Ständige Überwachung des Mitarbeiters? Berechtigtes Interesse des Arbeitgebers Schutz vor potenziell unternehmensschädigenden Handlungs- und Verhaltensweisen Schutz vor Über- oder Unterforderung Abrechnungszwecke gegenüber dem Kunden Abrechnungszwecke gegenüber dem Mitarbeiter Auch hier gilt der Grundsatz der Verhältnismäßigkeit! Geeignetheit der Maßnahme Keine milderen Mittel verfügbar Mitbestimmung beachten! Michael Weller 19

20 Datenschutzrechtliche Mindestanforderungen Dokumentation + Umsetzung (Rechtslage bis ): 4g Abs. 2 S. 2, 4e S. 1 Nr. 1-8 BDSG: Verfahrensverzeichnis 9 BDSG: Technisch-organisatorische Maßnahmen Zuständigkeit: Verantwortliche Stelle - Geschäftsführer bzw. - leiter! Im Verletzungsfall: OWi gem. 43 BDSG Bußgeld bis zu 50 TEUR bzw. 300 TEUR oder bei Vergehen gem. 44 BDSG (Antragsdelikt) Geld oder Freiheitsstrafe bis zu 2 Jahre! Im Verletzungsfall: Schadensersatzpflicht gegenüber dem Betroffenen Michael Weller 20

21 Datenschutzrechtliche To Do s Notwendigkeiten von Dokumentation und Umsetzung nach DS-GVO Michael Weller 21

22 Ersterfassungs- und Anpassungsbedarf Status Quo erfassen: Michael Weller 22

23 Anpassungsbedarf Neue Regelungen der DS-GVO: Art. 30 VO (EU) 679/2016: Verzeichnis von Verarbeitungstätigkeiten (Verfahrensbeschreibung entspricht wohl Verfahrensverzeichnis nach BDSG) Art. 35 VO (EU) 679/2016: Datenschutz-Folgenabschätzung (neu!) Art. 32 VO (EU) 679/2016: Sicherheit der Verarbeitung (entspricht wohl TOM nach BDSG) Zuständigkeit für die Umsetzung der To Do's : Für die Verarbeitung Verantwortlicher Geschäftsführer bzw. -leiter! Im Verletzungsfall: Bußgelder bis zu ,00 EUR oder 4 % des weltweit erzielten Jahresumsatzes des dem Verstoß vorausgegangenen Geschäftsjahres, je nachdem, welcher Wert höher ist Michael Weller 23

24 Verantwortlich handeln! Organisation des Betriebes prüfen: Wo werden IKT (Smartphone, Tablet, PC) eingesetzt? Fallen dabei Informationen an, die einem oder mehreren Menschen zugeordnet werden können? Im Zweifel fachkundigen Rat einholen: Rechtsanwalt Steuerberater Kammern und Verbände ebz, Kaiserslautern Michael Weller 24

25 Weitere Fragen? Ass. iur. Michael Weller (Rechtsanwalt) ebusiness-kompetenzzentrum gug (haftungsbeschränkt) Trippstadter Straße 122 D Kaiserslautern Alle Texte dieser Präsentation soweit nicht anders gekennzeichnet: Version 3.0 DE Michael Weller 25