Aktivität zahlt sich aus

Transkript

1 4 Betrieblicher Datenschutz: Aktivität zahlt sich aus Mit der zunehmenden Verbreitung moderner Informationstechnologien in den Betrieben fällt dem Datenschutz für Arbeitnehmer eine immer wichtigere Rolle zu. In der AK-Befragung saarländischer Betriebs- und Personalräte zu den Arbeitsbedingungen im Saarland 1 zeigt sich: Es gibt einerseits viele Hinweise für einen häufig allzu laschen Umgang mit dem Thema Datenschutz im Betrieb. Andererseits wird deutlich: Aktivität zahlt sich aus. Je intensiver Datenschutzmaßnahmen umgesetzt werden, umso besser ist die Beurteilung des betrieblichen Datenschutzes. Auch dafür gibt es viele gute Beispiele. Schlüsselrolle für internen Datenschutz-Beauftragten... Betrieblicher Garant für den Datenschutz ist offenkundig der interne Beauftragte für den Datenschutz. Diese Person hat die komplexe Aufgabe, auf die Einhaltung des Datenschutzes innerhalb der Einrichtung hinzuwirken. In ca. 67 % der befragten Einrichtungen kümmert sich ein behördlicher/betrieblicher Beauftragter für den Datenschutz darum, dass die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten im Sinne des Datenschutzgesetzes erfolgt. Dies ist durchaus ein gutes Ergebnis, bedenkt man, dass nicht alle Einrichtungen zu einer Bestellung verpflichtet sind. So besteht per Gesetz in den öffentlichen Einrichtungen des Landes keine Verpflichtung wohl aber die gesetzlich vorgesehene Möglichkeit, einen internen Datenschutzbeauftragten zu berufen. Keine Verpflichtung zur Bestellung besteht des Weiteren auch bei nicht-öffentlichen (privatwirtschaftlichen) Einrichtungen, die weniger als 4 Personen mit der automatisierten Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten beschäftigen. Die internen Datenschutzbeauftragten nehmen ihre Aufgaben offensichtlich sehr ernst. Bei praktisch allen Fragestellungen sind die Ergebnisse positiver, wenn ein Datenschutzbeauftragter in der Einrichtung bestellt ist. So wird die Aussage Datenschutz ist bei uns kein Thema nur in 10,7 % der Fälle gegeben, wenn ein Datenschutzbeauftragter bestellt ist. Im Gegensatz dazu schnellt der Wert auf über 30 %, wenn kein Datenschutzbeauftragter vorhanden ist. Ein weiteres Beispiel für die positive Wirkung des internen Beauftragten für den Datenschutz ist die Beachtung des Grundsatzes der Erforderlichkeit ( In 69

2 EDV-Systemen gibt es nur die personenbezogenen Daten, die tatsächlich für bestimmte Aufgaben erforderlich sind. ). Für die Befolgung dieses Grundsatzes werden im Durchschnitt beträchtliche Fortschritte festgestellt. Das Aktivitätsniveau ist deutlich geringer, wenn kein Datenschutzbeauftragter vorhanden ist.... durch Zusammenarbeit mit Betriebsrat verstärken Der interne Datenschutzbeauftragte trägt durch seine Arbeit zur Stärkung des Datenschutzes in den Betrieben und Behörden bei. Ein Problem besteht häufig in der Zusammenarbeit zwischen Interessenvertretung und Datenschutzbeauftragtem. Durch eine dauerhafte und konstruktive Zusammenarbeit zwischen beiden Einrichtungen dürfte ein erheblicher Schub zur Verbesserung des Arbeitnehmerdatenschutzes entstehen. Beschäftigte zu wenig informiert Das Bemühen des internen Datenschutzbeauftragten um eine Verbesserung des Datenschutzes ist die eine Seite. Die andere Seite beschreibt, was an Datenschutz bei den Beschäftigten ankommt. Dazu muss leider festgehalten werden: Es ist zu wenig. Es ist zu wenig, weil in 54 % der Betriebe (mit ca. 66 % der Beschäftigten) nach Auffassung der Interessenvertretungen die Betroffenen nicht oder kaum darüber informiert sind, welche Daten von ihnen für welche Zwecke gespeichert werden; das individuelle Recht auf Auskunft über die erhobenen, verarbeiteten und genutzten personenbezogenen Daten nur wenig wahrgenommen wird: In fast 74 % der Betriebe (mit 84 % der Beschäftigten) bleibt das Recht auf Auskunft praktisch ungenutzt. Wenn nur die Zahlen betrachtet werden, ist dies erschreckend. Relativiert werden die Ergebnisse, wenn das Verhalten als Bürgerin/Bürger, Kundin/ Kunde, Patientin/Patient usw. als Vergleich herangezogen wird: Auch in diesen Bereichen ist der Kenntnisstand sehr gering. Die Ergebnisse in Bezug auf den Informationsumfang der einzelnen Beschäftigten sind mithin ein Spiegelbild des gesellschaftlichen Individualverhaltens. Und dennoch: Wegen des besonderen Abhängigkeitsverhältnisses der 70

3 Beschäftigten liegt es in der Verantwortung des Arbeitgebers, Transparenz in Bezug auf die personenbezogenen Beschäftigtendaten herzustellen. Betriebsrats-Beteiligung hat sich verbessert Als Mittler zwischen Beschäftigten und Arbeitgeber als verantwortliche Stelle steht der Betriebsrat, der Personalrat bzw. die Mitarbeitervertretung. Ihre Beteiligungsrechte werden relativ gut beachtet. So haben die Interessenvertretungen in ca. 27 % der Betriebe und Behörden nichts zu bemängeln und für weitere 52 % gilt, dass beträchtliche bzw. gewisse Fortschritte erzielt wurden. Die Betriebsräte, Personalräte bzw. Mitarbeitervertretungen in den größeren Betrieben und Behörden stehen wie zu erwarten noch sehr viel besser da (gemessen an den Beschäftigtenzahlen, die sie vertreten, sind dies ca. 43 %, die nichts zu bemängeln haben, und weitere 37 %, wo beträchtliche Fortschritte erzielt wurden). Auffällig ist, dass die Beteiligungsrechte nennenswert besser erfüllt werden, wenn ein interner Beauftragter für den Datenschutz aktiv ist. Dies bedeutet, Betriebsräte, Personalräte bzw. Mitarbeitervertretungen sind im Eigeninteresse aufgefordert, Anstöße für die Bestellung eines internen Datenschutzbeauftragten zu geben und die Zusammenarbeit mit dem internen Datenschutzbeauftragten zu intensivieren. Nur erforderliche Daten erfassen Gemeinsame Aufgabe wenn auch mit unterschiedlich starken Gewichten von internem Beauftragten für den Datenschutz und Interessenvertretung ist die (datenschutzkonforme) Gestaltung von EDV-Systemen, mit denen personenbezogene Daten der Beschäftigten erhoben, verarbeitet oder genutzt werden. Der Grundsatz der Erforderlichkeit 2 wird immerhin in 33 % der Betriebe vollständig erreicht. Im Durchschnitt sind für dieses Ziel beträchtliche Fortschritte zu verzeichnen. Dieses Ergebnis ist nicht zu verachten. In der Praxis heißt dies, dass für alle personenbezogenen Einzelangaben, die in ein EDV-System einfließen können, geprüft wurde, ob sie für eine weitere aufgabenorientierte Verarbeitung und Nutzung erfasst werden müssen. Dieser Arbeitsumfang sollte nicht unterschätzt werden. Immerhin werden, z. B. in Personalinformationssystemen, häufig 200 bis 300 Einzelangaben pro Beschäftigten verwendet. Trotz dieses relativ guten Ergebnisses sollte aber berücksichtigt werden, dass nach dem Grundsatz der Datenvermeidung und Datensparsamkeit keine 71

4 bzw. möglichst wenige personenbezogene Einzelangaben erhoben, verarbeitet oder genutzt werden. An diesem Grundsatz hat sich die Auswahl und Gestaltung von EDV-Systemen zu orientieren und an diesem Grundsatz muss weiter gearbeitet werden. EDV-Systeme vor Einsatz datenschutzmäßig bewerten Der Grundsatz der Datenvermeidung und Datensparsamkeit führt unmittelbar zu der Aufgabe, EDV-Systeme vor dem Einsatz einer datenschutzmäßigen Bewertung zu unterziehen. Ziel ist es, Hinweise für die Gestaltung der EDV-Systeme zu gewinnen. Dabei ist zu klären, welche Gefährdungen für das Persönlichkeitsrecht der einzelnen Betroffenen bestehen und wie diese Gefährdungen minimiert werden können. Die betrieblichen Ergebnisse fallen in Bezug auf diese mit der Novellierung der Datenschutzgesetze neue Aufgabe relativ gut aus. Immerhin geben etwa 27 % der befragten Interessenvertretungen an, dass diese Anforderung vollständig erfüllt wird. Weitere 23 % sehen beträchtliche Fortschritte in der betrieblichen Praxis. Damit hat diese neue gesetzliche Aufgabe der Vorabkontrolle relativ zügig Einzug in den betrieblichen Alltag gefunden. Zu beachten ist allerdings, dass bei der Hälfte der Betriebe noch ein erheblicher Handlungsbedarf besteht. Insbesondere sollten die 19,4 % der Betriebe, denen diese Aufgabe anscheinend fremd ist, umgehend erste Schritte zur organisatorischen Verankerung der Vorabkontrolle gehen. Mit der Vorabkontrolle erhält man Hinweise darauf, wie EDV-Systeme verändert werden sollten, um die Gefährdung der Persönlichkeitsrechte zu minimieren. Die angemessene Auswahl von technischen und organisatorischen Schutzmaßnahmen schließt sich unmittelbar als Handlungsfeld an. Dieser Klassiker der Datenschutzgesetzgebung hat allerdings eine Ausweitung erfahren: Technische und organisatorische Schutzmaßnahmen haben eine Zweckentfremdung personenbezogener Daten zu verhindern. Bei komplexen EDV-Systemen ist dies durchaus keine einfache Aufgabe. Dennoch halten immerhin 31 % der Befragten diese Anforderung für vollständig erfüllt und weitere 30 % sehen beträchtliche Fortschritte. Neues Datenschutzgesetz: Wann kommt es in den Betrieben an? 2001 wurde das Datenschutzgesetz neu geregelt. Die drei zentralen Neuerungen Datenvermeidung und Datensparsamkeit, Vorabkontrolle, Schutzmaßnahmen zur Verhinderung der Zweckentfremdung haben einen ersten Einzug in die betriebliche/behördliche Praxis gefunden. Anlass zum Ausru- 72

5 hen ist allerdings noch nicht gegeben. Dafür ist der Anteil der Einrichtungen zu hoch, für die Datenschutz kein Thema ist (17,4 %) bzw. denen die Neuerungen der Datenschutzgesetzgebung nicht bekannt sind (48,6 %). Die Werte sind deutlich besser, wenn ein interner Beauftragter für den Datenschutz tätig ist. Gesamteinschätzung überwiegend positiv In der Gesamteinschätzung wird der betriebliche Datenschutz von 38 % der Befragten als sehr gut bis gut und von weiteren 38 % als zufriedenstellend beurteilt. Nur 5 % geben an, dass es um den betrieblichen Datenschutz sehr schlecht bestellt ist. Dabei ist festzuhalten, dass ein deutlicher Zusammenhang zwischen dem Umsetzungsstand von Datenschutzmaßnahmen und der abgegebenen Gesamtbeurteilung besteht. Je intensiver Datenschutzmaßnahmen umgesetzt werden, umso besser ist die Beurteilung des betrieblichen Datenschutzes. Knapp die Hälfte der befragten Betriebe und Behörden haben sich intensiver mit dem novellierten Datenschutzgesetz befasst. Diese Gruppe stellt der neuen Gesetzeslage ein positives Zeugnis aus. In dieser Gruppe sind die Neuerungen für 67,5 % voll und ganz ausreichend und nur für 12,3 % nicht ausreichend. Überschaubares Arbeitnehmerdatenschutzgesetz notwendig Trotz dieser relativ positiven Bewertung des neuen Datenschutzgesetzes halten 42 % der Betriebsräte, Personalräte bzw. Mitarbeitervertretungen ein separates Arbeitnehmerdatenschutzgesetz für erforderlich. Knapp 29 % sind der Meinung, dass die bestehende Rechtslage ausreichend ist. 25 % haben keine Meinung. Tendenziell ist festzuhalten, dass bei einem niedrigen Umsetzungsstand der Datenschutzgesetzgebung eher die Neigung besteht, für ein separates Datenschutzgesetz zu plädieren. Das Votum für einen separaten Arbeitnehmerdatenschutz zeigt, dass die bestehende Gesetzeslage zu unübersichtlich ist. So ist der Datenschutz nicht allein im Bundesdatenschutzgesetz geregelt. 3 Weitere für das Arbeitsverhältnis anzuwendende Gesetze beinhalten Regelungen zum Datenschutz. Das größte Manko der bestehenden Gesetzeslage zum Arbeitnehmerdatenschutz dürfte darin bestehen, dass das Bundesdatenschutzgesetz kaum lesbar, geschweige denn verständlich ist. 73

6 Diese Situation ist mit der letzten großen Novellierung eingetreten, die aufgrund der EU-Datenschutzrichtlinie notwendig war. Die EU-Datenschutzrichtlinie wollte Transparenz. Dieses Ziel hat das Bundesdatenschutzgesetz jedoch nicht erreicht. 1 Zu den methodischen Grundlagen der Befragung vergl. Kapitel 1, Fußnote 1. 2 In EDV-Systemen gibt es nur die personenbezogenen Daten, die tatsächlich für bestimmte Aufgaben erforderlich sind. 3 Für den Datenschutz im Arbeitsverhältnis der öffentlichen Verwaltungen im Saarland übernimmt das Saarländische Datenschutzgesetz die Rolle des Bundesdatenschutzgesetzes. 74