Monat: März 2020

In Zeiten von Corona muss sich jedes Unternehmen überlegen, welche Maßnahmen es zum Schutz seiner Mitarbeiter, Besucher und letztlich auch in Bezug auf die Erhaltung der Funktions­fähigkeit seines Betriebes ergreifen kann.

In diesen Zeiten kommen insbesondere auch die Erhebung und Verarbeitung von Daten einschließlich sensibler Gesundheits­daten von Mitarbeitern und Besuchern in Betracht.

Aber was ist mit dem Datenschutz?

Die DSGVO (Art 9 Abs. 2 b, h, i)sowie das Bundes­datenschutz­gesetz (§ 22 Abs.1 b u. c) enthalten hierzu Berechtigungen, die insbesondere auch in Ausnahme­situationen greifen können, wie Schutz vor schweren grenz­überschreitenden Gesundheits­gefahren, öffentliches Interesse im Bereich der öffentlichen Gesundheit, Pflichten aus dem Arbeitsrecht (z.B. Fürsorgepflicht).

Die Konferenz der unabhängigen Datenschutz­beauftragten des Bundes und der Länder hat hierzu ganz aktuell allgemeine Hinweise herausgegeben, nach der die Erhebung und Verarbeitung in bestimmten Fällen auch von sensiblen Gesundheitsdaten ohne Einwilligung erlaubt sein soll.

Bei Beschäftigten zählen insbesondere die Erhebung und Verarbeitung von Informationen (einschließlich Gesundheitsdaten) in den Fällen:

• in denen eine Infektion festgestellt wurde oder Kontakt mit einer nachweislich infizierten Person bestanden hat.
• in denen im relevanten Zeitraum ein Aufenthalt in einem vom Robert-Koch-Institut (RKI) als Risikogebiet eingestuften Gebiet stattgefunden hat.

Bei Besuchern die Erhebung und Verarbeitung personen­bezogener Daten (einschließlich Gesundheitsdaten), insbesondere um festzustellen, ob diese

• selbst infiziert sind oder im Kontakt mit einer nachweislich infizierten Person standen.
• sich im relevanten Zeitraum in einem vom RKI als Risikogebiet eingestuften Gebiet aufgehalten haben.

Die Datenerhebung muss aber immer verhältnis­mäßig sein und es dürfen nicht mehr Daten aufgenommen werden, als dies erforderlich ist um eine möglicherweise bestehende Gesundheits­gefährdung feststellen zu können.

• So soll die Offenlegung personen­bezogener Daten von nachweislich infizierten oder unter Infektions­verdacht stehenden Personen zur Information von Kontaktpersonen nach Auffassung der Datenschützer nur dann rechtmäßig sein, wenn die Kenntnis der Identität für die Vorsorge­maßnahmen der Kontaktpersonen ausnahmsweise erforderlich ist.

Zusätzlich zu den bestehenden Rechts­grundlagen für die Daten­verarbeitung auf Seiten des Arbeitgebers ergeben sich auch für Beschäftigte verschiedene Nebenpflichten, unter anderem auch Rücksichts-, Verhaltens- und Mitwirkungs­pflichten gegenüber ihrem Arbeitgeber und Dritten.

• Vorliegend stellt nach Auffassung der Datenschutz­aufsichtsbehörden beispielsweise die Pflicht zur Information des Dienstherrn bzw. des Arbeitgebers über das Vorliegen einer Infektion mit dem Corona-Virus eine solche Nebenpflicht zum Schutz hochrangiger Interessen Dritter dar, aus der unter gewissen Voraussetzungen auch eine

Offenlegungs­befugnis nach der DSGVO bezüglich personen­bezogener Daten der Kontaktpersonen folgt.

Quelle: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit

Das Amtsgericht Siegburg hatte einen Fall zu verhandeln, der die fristlose Kündigung eines SAP-Beraters betraf.

Dieser hatte vom Rechner eines Spielcasinos aus Kopfschmerz­tabletten für zwei Vorstands­mitglieder einer Kundin seines Arbeitgebers bestellt. Dabei griff er zwecks Zahlung per Lastschrift auf die zuvor von einem verschlüsselten Rechner der Kundin auf einen privaten Memory-Stick heruntergeladene Daten, wie Namen, Anschriften und Bankverbindungs­daten zu. Der Mitarbeiter tat dies um die Kundin seines Arbeitgebers auf Sicherheits­lücken aufmerksam zu machen und ließ den Vorstands­mitgliedern der Kundin eine Info zukommen, die dahingehend lautete, „dass sie aufgrund der Bestellung sehen könnten, wie einfach Datenmissbrauch sei, was bei ihnen zu Kopfschmerzen führen müsste, wobei die bestellten Kopfschmerz­tabletten durchaus helfen könnten“.

Der Arbeitgeber fand dies ganz und gar nicht gut und sprach eine fristlose Kündigung des Arbeits­verhältnisses aus, gegen die der Mitarbeiter klagte.
Das Arbeitsgericht Siegburg wies die Klage ab und befand, dass die fristlose Kündigung berechtigt sei, da der Mitarbeiter gegen die Interessen seines Arbeitgebers eklatant verstoßen habe. Dieser müsse als im IT-Bereich tätiges Unternehmen den Datenschutz seiner Kunden gewährleisten. Dem steht es entgegen, wenn in der EDV des Kunden gespeicherte hochsensible persönliche Daten, wie vorliegend Name Anschrift und Bankverbindung durch einen Mitarbeiter missbraucht werden und auf diese Daten wider­rechtlich Zugriff genommen wird.

Dabei spielte es keine Rolle, dass der Mitarbeiter für sein Vorgehen eine möglicherweise bestehende Sicherheits­lücke ausgenutzt hatte.
Das hierbei von ihm gewählte Mittel stand nach Auffassung des Gerichts offen­sichtlich außer Verhältnis zu dem von ihm verfolgten Ziel, weil er nicht nur mit Worten auf die Sicherheitslücke aufmerksam gemacht, sondern sie nach eigener Darstellung gerade ausgenutzt hatte. Von Seiten des Arbeitgebers und deren Mitarbeiter habe die Kundin allenfalls den Schutz vor, keinesfalls aber den Missbrauch von etwaigen Sicherheits­lücken zu erwarten.
Das Gericht hat den Sachverhalt daher als so schwerwiegend erachtet, dass es eine fristlose Kündigung als berechtigt erachtet hat.

ArbG Siegburg, Urteil vom 15.01.2020 – 3 Ca 1793/19

Anmerkung GINDAT

Das Urteil zeigt, dass ein Verstoß gegen den Datenschutz erhebliche Konsequenzen haben kann.

Leider ist dem Urteil nicht zu entnehmen, dass sich das Gericht mit den Vorschriften der Datenschutz­grundverordnung (DSGVO) und des Bundes­datenschutz­gesetzes (BDSG) großartig beschäftigt hat, da es offensichtlich ohne hierauf näher einzugehen, dass Verhalten des Mitarbeiters als derart eindeutigen Verstoß gegen den Datenschutz angesehen hat, dass eine nähere Prüfung unterblieben ist.

Von daher sei von dieser Stelle darauf hingewiesen, dass nach Art 6 Abs. 1 DSGVO jede Erhebung, Nutzung und sonstige Verarbeitung von personen­bezogenen Daten nach der Datenschutz­grundverordnung immer einer Rechtsgrundlage bedarf, andernfalls ist diese verboten.

Neben einer Einwilligung des Kunden, die hier nicht vorlag, kommt als Rechtsgrundlage insbesondere in Betracht, wenn die konkrete Daten­verarbeitung zur Erfüllung eines Vertrags­verhältnisses zwischen dem Kunden und dem Arbeitgeber des gekündigten Mitarbeiters erforderlich gewesen wäre.

Im Bereich der Durchführung eines IT-Berater Vertrages wäre es sicherlich angezeigt den Kunden auch auf bestehende Sicherheitslücken aufmerksam zu machen, sofern Sie denn im Rahmen der vertragsgemäßen Tätigkeit aufgefallen sind.

Die bloße IT-Beratung schließt aber offensichtlich nicht mit ein, eigenmächtig und ohne Einwilligung des Kunden auf dessen Daten zuzugreifen, diese bei sich auf einem USB-Stick zu speichern und damit Bestellungen durchzuführen.

Von daher wird jeder Mitarbeiter, der sich im Rahmen seines Auftrags bzw. seiner Tätigkeit, die er für einen Kunden ausführen soll, hält, durch das Gesetz geschützt. Umgekehrt können eigen­mächtige Handlungen, die weder mit dem Arbeitgeber noch mit dem Kunden abgesprochen wurden, aber zu erheblich Problemen führen.

Jörg Conrad
Rechtsanwalt und Fachanwalt für Arbeitsrecht

Das Vereinigte Königreich ist bis zum Austrittsdatum als EU-Mitgliedstaat nach den üblichen Regeln des allgemeinen Datenschutzes zu behandeln. Es ist die DSGVO, sowie das BDSG anzuwenden.

Bis zum 31.12.2020 ist das Vereinigte Königreich weiter wie ein EU-Mitgliedstaat zu behandeln.

Bisher ist ein sogenannter Angemessenheits­beschluss in der Diskussion, ein solcher Beschluss stellt das Vereinigte Königreich mit der EU gleich und stellt sicher, dass ein angemessenes Datenschutz­niveau herrscht.

Ob dieser Beschluss bis zum 31.12.2020 vorliegt, bleibt abzuwarten. Sollte ein solcher Beschluss nicht bis zum 31.12.2020 vorliegen, ist das Vereinigte Königreich als unsicheres Drittland aus Datenschutz­sicht zu betrachten.

Diese Punkte sind zu beachten:

1. Im Informationsblatt zur Daten­verarbeitung und in der Datenschutz­erklärung einer Website ist gemäß Art. 13 Abs. 1 lit. f bzw. Art. 14 Abs. 1 lit. f DS-GVO über die Datenübermittlung in ein Drittland zu informieren.
2. Wenn eine betroffene Person von ihrem Auskunftsrecht Gebrauch macht, ist sie gemäß Art. 15 Abs. 1 lit. c, Abs. 2 DS-GVO auch über die Daten­übermittlung in Drittländer zu beauskunften.
3. Im Verzeichnis von Verarbeitungs­tätigkeiten sind Daten­übermittlungen in Drittländer gemäß Art. 30 Abs. 1 lit. d und lit. e DS-GVO bzw. Art. 30 Abs. 2 lit. c DS-GVO als solche zu bezeichnen und die weiteren in diesem Zusammenhang geforderten Angaben zu machen.
4. Ggf. sind Datenschutz-Folgen­abschätzungen erstmals durchzuführen oder bereits erfolgte zu überprüfen, soweit es um die Datenübermittlung nach Großbritannien als Drittland geht (Art. 35 DS-GVO).
5. Es sind geeignete Garantien zum Schutz personen­bezogener Daten bei der Übermittlung in ein Drittland zu schaffen, wenn nicht Ausnahme­tatbestände greifen. Kurz gesagt ist Kapitel V DS-GVO (Art. 44 ff. DS-GVO) anzuwenden.

Liegt z.B. der Angemessenheits­beschluss nicht bis zum Austrittstermin vor, liegt in jeder Datenübermittlung nach Großbritannien ein Verstoß gegen Art. 5 Abs. 1 lit. a in Verbindung mit Art. 44 DSGVO vor, der durch die zuständige Datenschutz­aufsichts­behörde mit der Ausübung von Befugnissen bis hin zur Verhängung von Geldbußen geahndet werden kann.

Wenn Sie vorab schon etwas tun möchten, dann können Sie mit Ihren Dienstleistern – welche mit dem Vereinigten Königreich im Datenaustausch stehen – die sogenannten Standard­vertragsklauseln vereinbaren.

Bevor es aus Vertriebssicht wieder in das Jahresend­geschäft geht, wäre es empfehlenswert, sich über die o.g. 5 Punkte schon einmal Gedanken zu machen und ggf. die ergänzten Unterlagen auf „Halde zu legen“.

So kann eine mögliche Änderung schnell umgesetzt werden.