Daten ohne Schutz: Gläserne Belegschaften? Gläserne Betriebe ...

24
§ 32d Abs. 3 legalisiert Maßnahmen zur Compliancekontrolle und
Korruptionsbekämpfung. Die Regelung ist datenschutzrechtlich nicht akzeptabel.
Sie verstößt gegen das Prinzip der Datensparsamkeit und Datenvermeidung, gegen
den Erforderlichkeitsgrundsatz und ist zudem unverhältnismäßig. Das Regelungsziel
des derzeit gültigen § 32 Abs. 1 S. 2 BDSG wird in sein Gegenteil verkehrt. Es gibt
bisher keine Hinweise, dass "Rasterfahndungen" eine wirksame Methode zur
Compliancekontrolle sein können. Deren Einsatz bei der Deutschen Bahn AG
brachte keine sinnvollen Erkenntnisse. Die geplante Regel dient der
Beweiserforschung und nicht der Beweiserhebung. Arbeitgeber dürften danach ohne
konkreten Verdacht und ohne Anlass Beschäftigtendaten in pseudonymer oder
anonymer Form automatisiert erheben, verarbeiten und nutzen. Die Beschäftigten
würden jeweils einem Generalverdacht ausgesetzt. Die Regelung ist nicht mit dem
Recht auf informationelle Selbstbestimmung und dem durch das
Bundesverfassungsgericht und dem Bundesarbeitsgericht anerkannten Schutz vor
einer Vollüberwachung vereinbar (BVerfG, Urt. v. 15.12.1983, 1 BvR 209/83 u.a., Ziff
148, BAG, Beschl. v. 26.08.2008, 1 ABR 16/07, Ziff. 15).
Der Absatz hat zudem gravierende Regelungsschwächen. Gemäß § 3 Abs. 6 sind
Daten nur anonym, wenn sie einer Person nicht mehr oder nur unter
unverhältnismäßig hohem Aufwand zugeordnet werden können. Daher ist eine
Personalisierung anonymisierter Daten schon begriffslogisch nicht möglich. Der
Entwurf berücksichtigt nicht den Umstand, dass nach der aktuellen Rechtsprechung
der Arbeitsgerichte Fälle des Diebstahls oder der Unterschlagung von geringwertigen
Sachen als schwerwiegende Pflichtverletzungen angesehen werden.
Rasterfahndungen mit Beschäftigtendaten wären damit voraussetzungslos möglich.
Die bei der Deutschen Bahn AG im Jahr 2009 bekannt gewordenen
Datenschutzverstöße, die in der Öffentlichkeit zu berechtigter Empörung und
rechtlich zu einer massiven Ahndung führten, ließen sich über die geplante Regelung
rechtfertigen.
§ 32d Abs. 3 Satz 1 sollte die Straftatbestände, deren Verwirklichung durch die
Maßnahmen der Datenrasterung aufgedeckt oder verhindert werden sollen, so
konkret wie möglich und nicht nur beispielhaft nennen. Durch eine Bagatell- bzw.
Relevanzschwelle ist eine unverhältnismäßige Verarbeitung von Daten für die
Bekämpfung minimaler und irrelevanter Schäden zu vermeiden.
Die automatisierte Verarbeitung von Beschäftigtendaten zur Einhaltung der
Compliance kann nur aufgrund eines Stufensystems und streng zweckgebunden
zugelassen werden. Ein dauerhaftes, systematisches und automatisiertes Auswerten
personenbezogener Daten muss unzulässig bleiben. Gefordert werden muss in
jedem Fall ein konkreter Anlass oder eine konkrete Kontrollnotwendigkeit. Der erste
Schritt einer automatisierten Kontrolle darf nur mit gruppenbezogenen Daten
erfolgen. Ergibt sich ein erster Verdacht, ist die Gruppe der in Betracht kommenden
Täter in Hinblick auf den Vorwurf einzugrenzen. Eine systematische Überwachung
und Kontrolle dieser Gruppe erfolgt dann mit pseudonymen Daten. Konkretisiert oder
bestätigt sich der Verdachtsfall, können die Daten personalisiert und bezogen auf
konkrete Einzelpersonen ausgewertet werden. Diese Maßnahmen müssen
ausnahmslos der Vorabkontrolle unterliegen.
Zusätzlich sind Verfahrensgarantien für die personalisierte Auswertung von
Beschäftigtendaten zu etablieren. Neben den bereits in Absatz 3 S. 3 und 4