Das Datenschutzgesetz aus Sicht der Arbeitnehmer

Kolumnentitel
27
5.7. Datengeheimnis und betriebliche Regelungen
Da das Datengeheimnis einerseits ArbeitnehmerInnen, denen berufsmäßig Daten aus Datenanwendungen bekannt sind oder
anvertraut werden, zur Nichtübermittlung der Daten ohne ausdrückliche Anordnung ihres/ihrer ArbeitgeberIn verpflichtet
und anderseits aber die reibungslose Übermittlung von Daten für zahlreiche Wirtschaftsbereiche lebensnotwendig ist, wird
der/die ArbeitgeberIn die Beschreibung der zulässigen Übermittlungen vornehmen müssen. Ein/e ArbeitnehmerIn, dem/der
keine Übermittlungsanordnung gegeben wird, würde bei der Übermittlung personenbezogener Daten das Datengeheimnis
verletzen. Daher wird es notwendig sein, von den ArbeitgeberInnen entsprechende Übermittlungsanordnungen zu
fordern. (Es sei daran erinnert, dass unter das Übermittlungsverbot auch Datenweitergaben fallen, die in Geschäftsbriefen
oder mündlich erfolgen sollen.) Hand in Hand mit der Aufforderung zur „Zusicherung der Wahrung des Datengeheimnisses“
sollte daher von der Unternehmensleitung eine interne Durchführungsanordnung zum Datenschutzgesetz
vorgelegt werden. Gängige Dokumente dieser Art werden beispielsweise IT-Nutzungsrichtlinien, IT-Policies oder Verhaltenskodices
zur IT-Nutzung genannt.
Die interne Durchführungsanordnung sollte eine Beschreibung enthalten, welche Gruppen von ArbeitnehmerInnen welche
personenbezogenen Daten über welche Personengruppen unter welchen Voraussetzungen an wen verwenden und übermitteln
dürfen. Wahrscheinlich wird dabei auch eine hierarchische Gliederung der zulässigen Übermittlungen zu erfolgen
haben: Der/Die AbteilungsleiterIn wird in einem höheren Maß zu Übermittlungen berechtigt sein. Die Arbeitsanweisung wird
in Form von grundsätzlich schriftlichen Anordnungen für die einzelnen ArbeitnehmerInnen, für Teams oder für bestimmten
Funktionen (zB SystemadministratorenInnen) formuliert sein müssen. Denkbar ist auch eine generelle Anordnung, alle Daten
oder alle außer einzelnen bestimmten ausgenommenen Datenarten zu übermitteln. Doch wird auch diese Anordnung in
entsprechender, nachweislicher Form vom/von der DienstgeberIn vorzugeben sein. Die ArbeitnehmerInnen können nicht
automatisch davon ausgehen, dass bestimmte Anordnungen zur Datenübermittlungen bestehen, sondern die Anweisungen
sollen nachweisbar vorliegen.
Die Ausarbeitung einer solchen Übermittlungsanordnung und ihre Vorlage an die ArbeitnehmerInnen zur Befolgung, wäre
das entscheidende Ergebnis des Datengeheimnisses und die zur rechtlichen Deckung von Datenübermittlungen durch
ArbeitnehmerInnen notwendige Konsequenz, auf deren Erfüllung der Betriebsrat/ die Betriebsrätin Wert legen sollte.
Der/Die ArbeitnehmerIn beziehungsweise der Betriebsrat/ die Betriebsrätin sollte solche Anordnungen zu Beweiszwecken
aufbewahren.
Sinnvoll oder gar notwendig wird es im Zusammenhang mit dem Datengeheimnis auch sein, die technischen Möglichkeiten
so auszunützen, dass nur solche Zugriffe zu den einzelnen Datenanwendungen mit zu schützenden Daten möglich
sind, die für einen bestimmten Arbeitsplatz, für eine bestimmte Aufgabe notwendig sind. Das DSG 2000 sollte dann auch
betriebsorganisatorische Konsequenzen zeigen: Es soll nur Zugang zu jenen Daten geben, die die an diesen Stationen
beschäftigten Personen für ihre Tätigkeit brauchen (zB unmittelbarer Zugriff zu Personaldateien nur für in der Personalabteilung
Beschäftigte). Das Datengeheimnis muss daher (insbesondere bei Zugriffsmöglichkeiten auf sensible Daten) auch
Maßnahmen der Datensicherheit (§ 14 DSG 2000) nach sich ziehen.