ArbeitnehmerInnen-Datenschutz ArbeitnehmerInnen sind kein Freiwild, Kontrollmaßnahmen von Arbeitgebern im Betrieb sind nur beschränkt rechtlich zulässig. Sensible Daten wie Gesundheitsdaten sind durch unsere Rechtsordnung besonders geschützt, eine missbräuchliche Verwendung dieser Daten stellt einen massiven Eingriff in die Privatsphäre von ArbeitnehmerInnen dar und verstößt gegen die Menschenwürde. ArbeitgeberInnen dürfen generell keinen Zugang zu sensiblen Daten ihrer ArbeitnehmerInnen bekommen. Der ÖBB-Datenschutzskandal ist Ausdruck massiver Verstöße gegen bestehende arbeitsrechtliche Bestimmungen und gegen das Datenschutzgesetz, wobei weitere strafrechtliche Aspekte (z.b. Nötigung) nicht auszuschließen sind. Die systematische Ermittlung und Speicherung von Gesundheitsdaten (z.b. Diagnosedaten) von ÖBB-Beschäftigten und deren Verwendung zu deren Bewertung war und ist ungesetzlich. Eine umfassende Untersuchung (Konzernrevision) mit entsprechenden innerbetrieblichen allenfalls auch personellen Konsequenzen durch die ÖBB ist notwendig. Zu begrüßen ist grundsätzlich die angekündigte Sachverhaltsdarstellung an die Staatsanwaltschaft, obwohl die Strafbestimmung des 51 DSG ein Privatanklagedelikt ist und von diesen Datenschutzverletzungen Betroffene eine Privatanklage erheben müssen. Österreich benötigt dringend ein ArbeitnehmerInnen-Datenschutzgesetz oder eine Konkretisierung von die ArbeitnehmerInnen betreffenden Datenschutzvorschriften im Arbeitsverfassungs-Gesetz (ArbVG) bzw. im Datenschutzgesetz (DSG). Darin wäre auch die Funktion eines betrieblichen Datenschutzbeauftragten zu regeln, der u.a. für die Kontrolle der Einhaltung von Datenschutzbestimmungen verantwortlich ist. Der Bundesminister für Arbeit, Soziales und Konsumentenschutz Rudolf Hundstorfer wird ersucht, gemeinsam mit den Sozialpartnern Lösungen zu erarbeiten, damit weitere arbeitnehmerrelevante Datenschutzfragen wenn möglich im Rahmen der DSG-Novelle 2009 noch berücksichtigt werden können. DVR 0636746
- 2 - Der Gesetzesentwurf zur Änderung des Datenschutzgesetzes (DSG) enthält bereits einige Verbesserungen zum Arbeitnehmerdatenschutz, leider noch nicht eine Regelung für einen betrieblichen Datenschutzbeauftragten. Verbot von Mitarbeiterüberwachung zum Zweck der Mitarbeiterkontrolle am Arbeitspltz (Videoüberwachung zum Schutz der ArbeitnehmerInnen und Kunden sind weiter zulässig). Meldepflicht für Betriebsvereinbarungen an die Datenschutzkommission ( 96a ArbVG) Informationspflicht der Datenverarbeiter bei schwerwiegenden Datenschutzverletzungen. Dies gilt auch für Arbeitgeber gegenüber ihren ArbeitnehmerInnen. Die Strafbestimmungen des 51 DSG wird zum Offizialdelikt (derzeit Privatanklagedelikt). Verschärfung der Strafsanktionen (Geldstarfen). Es gibt darüber hinaus einen fachlichen und politischen Handlungsbedarf beim Datenschutz im Arbeitsleben. Der Missbrauch mit ArbeitnehmerInnendaten steigt. Dies hat nicht zuletzt der ÖBB-Datenschutzskandal gezeigt. Es geht in erster Linie um die Verhinderung von Bespitzelung und von Verhaltens- und Leistungskontrollen durch technische Systeme sowie um die Kontrolle des Datenschutzes und der Privatsphäre durch betriebliche Datenschutzbeauftragte. Des Weiteren müssen die Mitwirkungsrechte des Betriebsrates verstärkt und der Rechtsschutz verbessert werden. Die Lösung kann über einen eigenen Abschnitt im ArbVG oder im DSG oder in einem eigenen Bundesgesetz erfolgen. Damit soll Privatsphäre und Menschenwürde von ArbeitnehmerInnen im Betrieb gesichert werden.
- 3 - Personenbezogene Daten der ArbeitnehmerInnen dürfen nur erhoben, verarbeitet und genutzt werden, wenn dies zur Begründung, Durchführung, Beendigung oder Abwicklung eines Arbeitsverhältnisses erforderlich oder sonst gesetzlich vorgeschrieben sind. Die Datenerhebung kann grundsätzlich beim/bei der ArbeitnehmerIn selbst erfolgen. Personenbezogene ArbeitnehmerInnendaten dürfen nur für den Zweck, für den sie erhoben worden sind, verwendet werden. Daten, die für diesen Zweck nicht mehr erforderlich sind, sind zu löschen. Aus Gründen der Transparenz sind ArbeitnehmerInnen umfassend darüber zu informieren, welche Daten zu welcher Zeit, auf welche Weise und zu welchem Zweck über sie erhoben und in welcher Art und Weise sie ausgewertet werden. Dies muss umfassende Auskunfts- und Einsichtsrechte des/der Arbeitnehmers/in einschließen. Konkrete Regelungen über die Verwendung von Informations- und Kommunikationssysteme (IKT) und die Einführung neuer Systeme ähnlich wie im Beamtendienstrechtsgesetz. Dies nur mit Zustimmung der ArbeitnehmerInnenvertreter (Betriebsrat). Gesetzliche Verankerung von betrieblichen Datenschutzbeauftragte mit konkreten Aufgaben und Durchsetzungsmöglichkeiten im Betrieb (mit Kündigungs- und Entlassungsschutz). Ab einer bestimmten Anzahl von ArbeitnehmerInnen ist von Unternehmen, die personenbezogene Daten von ArbeitnehmerInnen ermitteln, verarbeiten und verwenden, verpflichtend ein Datenschutzbeauftragter zu installieren.
- 4 - Dem Betriebsrat ist bei der Bestellung des betrieblichen Datenschutzbeauftragten ein Mitwirkungsrecht einzuräumen (Zustimmung). Die Nichtbestellung eines Datenschutzbeauftragten soll ein Strafbestand sein. Betriebsrat und betriebliche Datenschutzbeauftragte sind zur engen Zusammenarbeit verpflichtet. Die Aufgaben des betrieblichen Datenschutzbeauftragten sind im Detail festzulegen, seine umfassende Beteiligung vor der Umsetzung betrieblicher Maßnahmen, die die Privatsphäre betreffen, ist sicherzustellen. Grundsätzliches Verbot des Zugriffs auf personenbezogene Daten von ArbeitnehmerInnen (Verbot der Rasterfahndung gegenüber Beschäftigten). Ausnahmen sollte es nur bei Verdacht einer strafbaren Handlung geben (z.b. konkreter Korruptionsverdacht). Normierung der Voraussetzungen für die Ermittlung, Verarbeitung und Verwendung personenbezogener Daten von ArbeitnehmerInnen zur Aufdeckung von Straftaten, die im Arbeitsverhältnis begangen werden. Datenschutzrechtliche Einwilligungserklärungen von ArbeitnehmerInnen zur Datenverwendung und zu Kontrollmaßnahmen sind äußerst problematisch, da diese oft nachteilige Klauseln enthalten. Sie werden unterschrieben (z.b. Arbeitsverträge), um den Arbeitsplatz nicht zu gefährden. Diese dürfen keine Rechtswirksamkeit entfalten. Datenschutzrechtlichen Einwilligungserklärungen wie auch Einwilligungen in die Menschenwürde berührende Kontrollmaßnahmen in betriebsratslosen Betrieben ( 10 AVRAG) dürfen daher nicht ungeprüft volle Wirksamkeit entfalten.
- 5 - Dem Betriebsrat ist ein direkter Zugang auf elektronische Personalsysteme einzuräumen, die bloße Einsichtnahme ( 89 Z 1 ArbVG) genügt nicht mehr. Waffengleichheit bei der Kontrolle ist gefragt, daher werden gleiche technische Mittel benötigt. Neuordnung des Rechtsschutzes: Arbeits- und Sozialgerichte (ASG) sollten für Datenschutzbelange im Zusammenhang mit Arbeitsverhältnissen zuständig sein und nicht die Landesgerichte. Vertretung von ArbeitnehmerInnen beim ASG durch Betriebsräte (AK), d. h. Parteistellung für Betriebsräte. Für widerrechtlich bzw. zweckwidrig erlangte Beweismittel soll es in arbeitsrechtlichen Prozessen ein Beweisverwertungsverbot geben. Auslagerung von Arbeitnehmerdaten (Outsourcing), insbesondere eine grenzüberschreitende Auslagerung (Konzerntochterproblematik) ist zu regeln. Zulässigkeit und Schutz von Whistleblower im Betrieb. ArbeitnehmerInnen, die Datenschutzverletzungen oder andere Gesetzesverstöße bekannt geben, sind von arbeitsrechtlichen Maßnahmen wie Kündigung zu schützen. Scharfe Sanktionen und Strafen bei missbräuchlicher Ermittlung, Speicherung und Verwendung von Arbeitnehmerdaten, insbesondere von sensiblen Daten. Datenschutzverstöße sollen wirksam sanktioniert werden können. Verbandsklagsmöglichkeiten
- 6 - Anhang Datenschutzverletzungen in Deutschland Vorfälle 2009 mit Bezug zu Gesundheitsdaten in Deutschland Lidl: Krankheitsdaten erhoben. 36.000 Bußgeld im August 2009 Deutsche Bundesbahn: Sicherheitstochter der Deutschen Bahn hat Listen über Erkrankungen von Mitarbeitern geführt und weitergegeben. Ermittlungen laufen Drogeriekette Müller: Krankheitsrückkehrgespräch mit dem Vorgesetzten, detaillierter Fragebogen. Das gezielte Ausforschen und Sammeln von Krankendaten ist im Handel weit verbreitet. Daimler: Bremer Werk sammelte Krankendaten von 40 Mitarbeitern. Spitzel- und Schnüffelaktionen der Deutschen Bundesbahn AG Die Deutsche Bahn (DBB) hat in den Jahren 2002 und 2003 Daten ihrer 240.000 Mitarbeiter an die Detektei Network Deutschland weitergegeben (wie die Deutsche Telekom). Anhand von Adressdaten und Bankverbindungen sollte diese überprüfen, ob Mitarbeiter mit Scheinfirmen Geschäfte zu Lasten der Bahn abwickeln. Dazu waren diese Daten mit denen von 80.000 Lieferanten abgeglichen worden. Damit sollten nach Angaben der Deutschen Bahn Hinweisen auf Bestechung und Bestechlichkeit nachgegangen werden (Korruptionsbekämpfung). Außer Streit steht, dass die Daten von 240.000 MitarbeiterInnen mit den Daten von 80.000 Lieferanten abgeglichen (Screening) wurden, ohne die Betroffenen vorher oder nachher davon in Kenntnis zu setzen. Es war eine klassische Rasterfahndung. Sonderermittler wurden durch die Regierung eingesetzt, um
- 7 - diese Datenaffäre zu klären. Nach Informationen der Süddeutschen Zeitung soll die Deutsche Bahn ihre Betriebsräte (Gewerkschaft) ganz bewusst nicht über die Schnüffelaktionen unter den Bahn-Beschäftigten informiert haben. Die Begründung des Chefs der Deutschen Bahn, Hartmut Mehdorn, für den Datenabgleich wurde von Journalisten, Politikern und Gewerkschaftern erheblich in Zweifel gezogen. Sie äußerten den Verdacht, dass es der Bahn nicht nur um Korruptionsbekämpfung, sondern auch um die Einschüchterung kritischer Informanten aus dem Konzern gegangen sei. Der Telekom-Bespitzelungsskandal in Deutschland Telekom- und T-Mobile-Aufsichtsräte, Journalisten, Gewerkschafter, Mitarbeiter und möglicherweise auch Telekom-Vorstandsmitglieder wurden in den Jahren 2005 und 2006 in der Telekom-AG widerrechtlich und illegal bespitzelt. Dabei wurden auch die Telefonverbindungsdaten des DGB-Vorsitzenden Michael Sommer und des ver.di Vorsitzenden Frank Bsirske, der Vorstandsmitglieder Rolf Büttner, Lothar Schröder sowie auch von Dietmar Hexel vom DGB- Bundesvorstand ausspioniert. Alle waren vorerst konzernfremde Personen. Eine neue Spitzelqualität der besonderen Art, da es sich dabei um konzernfremde Personen gehandelt hatte. Das ist nach Ansicht des DGB nicht mehr mit ruppigem Vorgehen eines Arbeitgebers zu erklären, sondern eine Verletzung von Grundrechten und kriminelles Verhalten. Nach Erkenntnissen der Staatsanwaltschaft hat der Konzern in den Jahren 2005 und 2006 55 Personen illegal bespitzelt (Stand Dezember 2008), darunter sieben Journalisten. Ausgespäht wurden Verbindungsdaten, die abgeglichen wurden. Die Bonner Staatsanwaltschaft ermittelt u.a. gegen Spitzenmanager der Telekom. Mitte Dezember 2008 wurde einer der Hauptverdächtigten in dieser Spitzelaffäre in Untersuchungshaft genommen, es handelte sich um den ehemaligen Leiter für interne Ermittlungen in der Konzernsicherheit. Dieser soll u.a. diese Bespitzelung organisiert haben. Die StA Bonn hat im Jänner 2009 dessen Konten gesperrt und seine Vermögenswerte beschlagnahmt. Durch den Abgleich von Telefon- und Verbindungsdaten sollten so die Absicht der internen Fahnder undichte Stellen in der Telekom-Zentrale aufgespürt und unterbunden werden. Telefonverbindungsdaten wurden im großen Stil illegal
- 8 - erfasst und ausgewertet. Diese Bespitzelung stellte eine massive Missachtung der Grundrechte und einen Angriff auf die Pressefreiheit dar. Bewegungs- und Kommunikationsprofile von Journalisten, Gewerkschafter oder auch von Abgeordneten können eine unmittelbare Gefahr für die politische Willensbildung und Demokratie darstellen. Auch die Lufthansa hat mit Datenschutzverletzungen für Schlagzeilen gesorgt. Im Fall der Fluglinie geht es um den überaus laxen Umgang mit Flugpassagierdaten. So soll der Konzern einen Journalisten der Financial Times Deutschland (FTD) ausspioniert, um interne Lecks im Aufsichtsrat aufzuspüren. Dazu nutzte die Lufthansa auf der Suche nach einem vertraulichen Gesprächspartner auch Passagierinformationen des Vielfliegers, die über ein Computersystem mit dem Namen Corona abrufbar seien und dort in der Regel ein Jahr lang gespeichert würden. Mitte 2001 musste auch die Deutsche Post, deren Vorstand er damals führte, einräumen, dass Beamte der Bonner Regulierungsbehörde bespitzelt werden. Im Spiegel wurde wiederum der Verdacht geäußert, die Deutsche Telekom könnte ihr Spionage-Know-how auch anderen Unternehmen zur Verfügung gestellt haben. Womöglich auf dem kleinen Dienstweg. Zwischen den hochgerüsteten Sicherheitsabteilungen, deren Chefs sich teils schon kennen. Insider berichten, dass die Security-Profis von Telekom, Post und Lufthansa sowie des Daimler-Konzerns ein informelles Netzwerk pflegen und sich regelmäßig treffen. Telekom, Post und Lufthansa sollen sich für Schnüffeldienste überdies zeitweise der Hilfe der Firma Control Risks bedient haben (Spiegel). Konkret geplant und beauftragt sei auch die Überwachung einer nicht unwichtigen Regulierungsbehörde mit Sitz in Bonn also der Bundesnetzagentur gewesen, habe der Geschäftsführer der Firma Network Ende April 2008 an die Telekom geschrieben. Die Spitzelaffäre der Deutschen Telekom weitet sich einem Bericht des Handelsblattes zufolge auch auf die deutsche Bahn aus. Die Deutsche Bahn AG hat nach Informationen der Zeitung Aufträge an dieselbe Firma vergeben, die für die Telekom Aufsichtsräte und Journalisten
- 9 - ausspähte. Ein Bahn-Sprecher bestätigte der Zeitung, dass es eine Geschäftsbeziehung zwischen der Bahn und der Network Deutschland GmbH gab. Den Angaben zufolge geht es bei der Bahn um 43 Fälle zwischen 1998 und 2007 mit einem Auftragsvolumen von insgesamt rund 800.000 Euro. Die Aufträge seien ausschließlich zur Bekämpfung von Wirtschaftskriminalität und Korruption vergeben worden. (news 03.06.2008) Der deutsche Versicherungskonzern Gerling (Teil der hannoverschen Talanx-Gruppe) soll im Jahr 2004 zehn Tage lang Telefonverbindungen und Email-Kontakte von MitarbeiterInnen überwachen lassen. Ähnlich wie im Fall Telekom wird als Grund für die Bespitzelungen die Weitergabe von vertraulichen Informationen an Journalisten angegeben. Zeitungen und Magazine hatten über die Kürzung von Betriebsrenten beim wirtschaftlich angeschlagenen Gerling-Konzern berichtet. Weil die Konzernleitung unter Björn Jansli vermutete, die streng vertraulichen Betriebsinterna" seien von Gerling- Mitarbeitern weitergegeben worden, ordnete sie eine zehntägige Überwachung des dienstlichen Telefon- und E-Mail-Verkehrs an. Bei der Lebensmittelkette Edeka Südbayern sollen Beschäftigte heimlich bespitzelt und gefilmt worden sein. Die Süddeutsche Zeitung und die Allgäuer Zeitung hatten berichtet, dass Detektive wochenlang Lagermitarbeiter heimlich ausspionierten. Auch der Flugzeugbauer Airbus hat seine Datenaffäre: Ohne die Mitarbeiter oder den Betriebsrat zu informieren, hat das Unternehmen im Jahr 2007 die Kontonummern sämtlicher damals gut 22.000 Beschäftigten in Deutschland mit denen von Zulieferern verglichen. Man wollte damit eventuelle Korruptionsfälle aufdecken.