Informationen und Handlungshilfen zum grenzüberschreitenden ...

3) Grundsätze bei der
Verwendung von Daten
Prinzip der
Rechtmäßigkeit
Prinzip der
Zweckmäßigkeit und
Eindeutigkeit
Die wesentlichen Prinzipien für Datenverwendung sind im DSG festgelegt (§ 6 DSG). 1
1. Daten dürfen nur nach Treu und Glauben und auf rechtmäßige Weise verwendet
werden.
Eine etwas unklare Definition, die als Befolgung sämtlicher Datenschutz bestimmungen
und Gesetze sowie der Einhaltung sittlicher Grundsätze zu interpretieren ist. Der/die
Betroffene darf über die Umstände des Datengebrauchs seiner/ihrer Daten nicht in die
Irre geführt werden.
2. Daten dürfen nur für festgelegte, eindeutige und rechtmäßige Zwecke
ermittelt und nicht in einer mit diesen Zecken unvereinbaren Weise weiterverwendet
werden.
Unternehmen versuchen aus Profitinteressen möglichst viele und mitunter auch wahllos
zusammengestellte Daten ihrer KundInnen und MitarbeiterInnen zu sammeln (data
warehouse). Diese Datenbanken werden dann nach vielfältigsten Kriterien und Verknüpfungen
durchforstet (data mining) um „maßgeschneiderte KundInnenprofile“ zu
finden. Diese Art von Datensammelwut ist im Sinne des DSG unzulässig. Der Zweck
der Datensammlung muss im Vorhinein genau festgelegt werden. Auch die Weiterverarbeitung
der Daten muss mit dem vorher definierten Zweck der Datenermittlung
übereinstimmen. Unbestimmte Datensammlungen zur zukünftigen Verwendung stehen
im krassen Widerspruch zur eben beschriebenen Zweckbindung.
Beispiel aus der Praxis
Ein Unternehmen hat zur Lohnverrechnung verschiedene Daten über die Mitarbeiter-
Innen gespeichert. Nun möchte jemand aus der Human Ressource Abteilung eine
spontane Abfrage machen und sucht nach Alter > 45 Jahre, Fehlzeiten > 15 Tage und
Leistungsgrad < 110%. Dieses Vorgehen ist datenschutzrechtlich unzulässig und es
muss technisch und rechtlich dafür gesorgt werden, dass es nicht passieren kann.
3. Daten dürfen nur verwendet werden, sofern sie für den Zweck der Datenanwendung
wesentlich sind, und über diesen Zweck nicht hinausgehen.
Man kann sich daran orientieren, dass bei der Verwendung der Daten immer ein
„Minimalprinzip“ eingehalten werden muss, d.h. es muss geklärt werden, ob die Vorgehensweise
tatsächlich das am wenigsten in die Rechte der Betroffenen eingreifende
Verfahren ist, um das gewünschte Ziel zu erreichen. Der Eingriff in die Privatsphäre
muss auf ein Minimum beschränkt sein. Es müssen die „gelindesten zur Verfügung
stehenden Mittel“ zur Datenverarbeitung eingesetzt werden (§ 7 Abs. 3 DSG).
Dieses Prinzip bezieht sich ebenfalls auf die Zweckmäßigkeit und soll den Umfang der
erfassten Daten beschränken und die überbordende Datensammelleidenschaft sowie die
Technophilie in vielen HR-Abteilungen hintanhalten.
Beispiel aus der Praxis
Eine japanische Konzernzentrale möchte in allen europäischen Konzerntöchtern Zugriff
auf die Personaldatenbanken der lokalen HR-Abteilungen haben. Der angegebene
Zweck ihrer Anfrage ist jedoch nur den head-count (Beschäftigtenzahl) der in Europa
beschäftigten MitarbeiterInnen zu erfahren. Nach dem DSG ist die österreichische
HR-Abteilung nicht verpflichtet den Zugang zu gewähren, da eine einfache Auskunft
über die Gesamtzahl der Beschäftigten für diesen Zweck völlig ausreichend ist. Daten
wie Adresse, Geburtsdatum etc. müssen dazu nicht übermittelt werden.
1
Artikel 6 der Datenschutzrichtlinie der EU enthält sinngemäß dieselben Regelungen.
14