Bereits in einer Kun­den­in­for­ma­ti­on aus 2012 haben wir auf das The­ma inoff­zi­el­les Out­sour­cing durch Mit­ar­bei­ter auf­merk­sam gemacht. Nicht vor­han­de­ne Funk­tio­nen in der IT-Struk­tur wer­den durch gewief­te Mit­ar­bei­ter und exter­ne Tools — oft­mals dann ohne Kennt­nis der IT-Ver­ant­wort­li­chen — ein­ge­führt und genutzt. Sicher­heits­lü­cke, dro­hen­de Buß­gel­der und mög­li­che Daten­pan­nen gleich inklusive.

2009 hat das ame­ri­ka­ni­sche Sati­re Maga­zin The Oni­on einen Video­clip pro­du­ziert, auf­ge­macht wie einen offi­zi­el­len Nach­rich­ten­bei­trag im US Fern­se­hen. Dar­in wird berich­tet, das nun nicht mehr nur Unter­neh­men Out­sour­cing betrei­ben, son­dern auch Mit­ar­bei­ter selbst. Um Arbeits­zeit zu spa­ren und mehr Zeit­res­sour­cen z.B. zum Kaf­fee trin­ken, Ebay-Auk­tio­nen ver­fol­gen oder ein­fach nur rela­xen, heu­ern ame­ri­ka­ni­sche Mit­ar­bei­ter (im Video noch Fakes) preis­wer­te exter­ne Hilfs­kräf­te an. Die­se erle­di­gen dann die Auf­ga­ben des Ange­stell­ten, der sei­ne freie Zeit nun deut­lich sinn­vol­ler nut­zen kann. Was 2009 als Sati­re begann, wur­de mit einer Mel­dung am gest­ri­gen Tage Realität:

Eine Fir­ma wand­te sich an das Sicher­heits­un­ter­neh­men Veri­zon mit der Bit­te, auf­fäl­li­ge Log­files zu über­prü­fen. Die­se wür­den einen kon­ti­nu­ier­li­chen VPN Tun­nel nach Chi­na bele­gen. Die Ver­bin­dung wur­de mit dem eTo­ken (vor­bild­lich) eines Soft­ware­ent­wick­lers auf­ge­baut, der wäh­rend der Log­zei­ten jedoch nicht zu Hau­se, son­dern an sei­nem Schreib­tisch im Büro saß. Wei­ter ergab die Ana­ly­se, das die Ver­bin­dung in den letz­ten 6 Mona­ten fast kon­ti­nu­ier­lich auf­ge­baut war. Die Unter­su­chung des Arbeits­plat­zes brach­te es dann ans Tages­licht: der Ent­wick­ler hat­te sich für ein Fünf­tel sei­nes eige­nen Jah­res­ge­halts einen Dienst­leis­ter aus dem fer­nen Chi­na geleis­tet, der sei­ne Pro­gram­mier­auf­ga­ben pflicht­be­wußt über­nahm. Das not­wen­di­ge eTo­ken schick­te der fin­di­ge Mit­ar­bei­ter auf dem Post­weg ins Land der auf­ge­hen­den Son­ne. Mitt­ler­wei­le arbei­tet der Pro­gram­mie­rer nicht mehr für das Unter­neh­men. Kuri­os jedoch: der ver­meint­lich von ihm gelie­fer­te Pro­gramm-Code war stets so gut, so daß er mehr­fach bes­te Bewer­tun­gen dafür erhielt.

Wie fin­dig sind Ihre Mitarbeiter?

VideokameraLaut Spie­gel, Welt und N24 soll es zu einer heim­li­chen Mit­ar­bei­ter­über­wa­chung bei ALDI Süd gekom­men sein. Gleich­lau­tend wird von einem Detek­tiv berich­tet, der unter Andro­hung des Ver­lusts wei­te­rer Auf­trä­ge gezwun­gen wur­de, Minia­tur­ka­me­ras z.B. über den Mit­ar­bei­ter­schrän­ken anzu­brin­gen. Wei­ter­hin soll­te er der ALDI Füh­rungs­kraft alle “Auf­fäl­lig­kei­ten” mel­den wie z.B. lang­sa­mes Arbeits­tem­po, Bezie­hun­gen unter den Mit­ar­bei­tern oder auch pri­va­te Details wie finan­zi­el­le Verhältnisse.

Das Unter­neh­men weist der­weil alle Vor­wür­fe zurück.

Wie hier auf dem Blog mehr­fach berich­tet, ist Video­über­wa­chung unter Daten­schutz­ge­sichts­punk­ten kein “Teu­fels­werk”. Es gilt, bestimm­te Richt­li­ni­en und Ver­fah­rens­wei­sen ein­zu­hal­ten. Mehr erfah­ren Sie in unse­rem Bei­trag Video­über­wa­chung — umsich­tig ein­set­zen, Kon­flik­te vermeiden

aboutpixel.de / Sicher ist Sicher © Ronald Leine

“Wir haben kei­ne per­so­nen­be­zo­ge­nen Daten im Unter­neh­men, daher betrifft uns das Bun­des­da­ten­schutz­ge­setz gar nicht” — die­se Aus­sa­ge trifft man immer wie­der z.B. im Rah­men von Infor­ma­ti­ons­ver­an­stal­tun­gen oder Kun­den­ge­sprä­chen. Im ers­ten Moment ist man gera­de bei rei­nen B2B-Unter­neh­men geneigt, zuzu­stim­men. Doch schnell regen sich Zwei­fel, denn nur weni­ge Unter­neh­men kom­men ohne Mit­ar­bei­ter aus.

§ 3  BDSG defi­niert den Begriff der per­so­nen­be­zo­ge­nen Daten:

“(1) Per­so­nen­be­zo­ge­ne Daten sind Ein­zel­an­ga­ben über per­sön­li­che oder sach­li­che Ver­hält­nis­se einer bestimm­ten oder bestimm­ba­ren natür­li­chen Per­son (Betrof­fe­ner).”

Damit wäre bereits fest­ge­stellt, das per­so­nen­be­zo­ge­ne Daten im Unter­neh­men allei­ne schon durch die Beschäf­ti­gung von Mit­ar­bei­tern vor­lie­gen. Zieht man jetzt noch die Daten zu Kun­den, Lie­fe­ran­ten, Dienst­leis­tern und Inter­es­sen­ten hin­zu, wird schnell klar: Es gibt eigent­lich immer per­so­nen­be­zo­ge­ne Daten im Unternehmen.

Blei­ben wir jedoch bei den Mit­ar­bei­ter­da­ten unse­res Bei­spiels und in § 3 BDSG:

“(9) Beson­de­re Arten per­so­nen­be­zo­ge­ner Daten sind Anga­ben über die ras­si­sche und eth­ni­sche Her­kunft, poli­ti­sche Mei­nun­gen, reli­giö­se oder phi­lo­so­phi­sche Über­zeu­gun­gen, Gewerk­schafts­zu­ge­hö­rig­keit, Gesund­heit oder Sexualleben.”

Mit­ar­bei­ter­da­ten sind dem­nach nicht nur rei­ne per­so­nen­be­zo­ge­ne Daten, son­dern nach die­ser Defi­ni­ti­on sogar eine beson­de­re Art per­so­nen­be­zo­ge­ner Daten (ent­hal­ten sie doch eini­ge der og. Merkmale).

§ 3 BDSG defi­niert im wei­te­ren Ver­lauf den Begriff “Beschäf­tig­te” detailliert:

“(11) Beschäf­tig­te sind:

  1. Arbeit­neh­me­rin­nen und Arbeitnehmer,
  2. zu ihrer Berufs­bil­dung Beschäftigte,
  3. Teil­neh­me­rin­nen und Teil­neh­mer an Leis­tun­gen zur Teil­ha­be am Arbeits­le­ben sowie an Abklä­run­gen der beruf­li­chen Eig­nung oder Arbeits­er­pro­bung (Reha­bi­li­tan­din­nen und Rehabilitanden),
  4. in aner­kann­ten Werk­stät­ten für behin­der­te Men­schen Beschäftigte,
  5. nach dem Jugend­frei­wil­li­gen­dien­ste­ge­setz Beschäftigte,
  6. Per­so­nen, die wegen ihrer wirt­schaft­li­chen Unselb­stän­dig­keit als arbeit­neh­mer­ähn­li­che Per­so­nen anzu­se­hen sind; zu die­sen gehö­ren auch die in Heim­ar­beit Beschäf­tig­ten und die ihnen Gleichgestellten,
  7. Bewer­be­rin­nen und Bewer­ber für ein Beschäf­ti­gungs­ver­hält­nis sowie Per­so­nen, deren Beschäf­ti­gungs­ver­hält­nis been­det ist,
  8. Beam­tin­nen, Beam­te, Rich­te­rin­nen und Rich­ter des Bun­des, Sol­da­tin­nen und Sol­da­ten sowie Zivildienstleistende.”

Das Bun­des­da­ten­schutz­ge­setz spen­diert in sei­ner aktu­el­len Fas­sung den Beschäf­tig­ten sogar einen eige­nen Paragraphen:

§ 32 Daten­er­he­bung, ‑ver­ar­bei­tung und ‑nut­zung für Zwe­cke des Beschäftigungsverhältnisses

“(1) Per­so­nen­be­zo­ge­ne Daten eines Beschäf­tig­ten dür­fen für Zwe­cke des Beschäf­ti­gungs­ver­hält­nis­ses erho­ben, ver­ar­bei­tet oder genutzt wer­den, wenn dies für die Ent­schei­dung über die Begrün­dung eines Beschäf­ti­gungs­ver­hält­nis­ses oder nach Begrün­dung des Beschäf­ti­gungs­ver­hält­nis­ses für des­sen Durch­füh­rung oder Been­di­gung erfor­der­lich ist. Zur Auf­de­ckung von Straf­ta­ten dür­fen per­so­nen­be­zo­ge­ne Daten eines Beschäf­tig­ten nur dann erho­ben, ver­ar­bei­tet oder genutzt wer­den, wenn zu doku­men­tie­ren­de tat­säch­li­che Anhalts­punk­te den Ver­dacht begrün­den, dass der Betrof­fe­ne im Beschäf­ti­gungs­ver­hält­nis eine Straf­tat began­gen hat, die Erhe­bung, Ver­ar­bei­tung oder Nut­zung zur Auf­de­ckung erfor­der­lich ist und das schutz­wür­di­ge Inter­es­se des Beschäf­tig­ten an dem Aus­schluss der Erhe­bung, Ver­ar­bei­tung oder Nut­zung nicht über­wiegt, ins­be­son­de­re Art und Aus­maß im Hin­blick auf den Anlass nicht unver­hält­nis­mä­ßig sind.
(2) Absatz 1 ist auch anzu­wen­den, wenn per­so­nen­be­zo­ge­ne Daten erho­ben, ver­ar­bei­tet oder genutzt wer­den, ohne dass sie auto­ma­ti­siert ver­ar­bei­tet oder in oder aus einer nicht auto­ma­ti­sier­ten Datei ver­ar­bei­tet, genutzt oder für die Ver­ar­bei­tung oder Nut­zung in einer sol­chen Datei erho­ben werden.
(3) Die Betei­li­gungs­rech­te der Inter­es­sen­ver­tre­tun­gen der Beschäf­tig­ten blei­ben unberührt.”
Womit fest­steht:
  1. Beschäf­tigt ein Unter­neh­men Mit­ar­bei­ter, lie­gen per­so­nen­be­zo­ge­ne Daten vor.
  2. Auf­grund der vor­lie­gen­den Daten eines Mit­ar­bei­ters han­delt es sich dabei sogar um beson­de­re Arten per­so­nen­be­zo­ge­ner Daten, die einen erhöh­ten Schutz­sta­tus besitzen.
  3. Das Bun­des­da­ten­schutz­ge­setz legi­ti­miert das Erhe­ben, Ver­ar­bei­ten und Nut­zen der Mit­ar­bei­ter­da­ten zum Zwe­cke des Beschäftigungsverhältnisses.
  4. Das Bun­des­da­ten­schutz­ge­setz fin­det auf Unter­neh­men mit Mit­ar­bei­tern Anwendung.
  5. Es bleibt zu prü­fen, ob die gesetz­li­che Bestell­pflicht für einen Daten­schutz­be­auf­trag­ten zusätz­lich vorliegt.

 

Unsi­cher in Bezug auf die wei­te­re Vor­ge­hens­wei­se? Dann spre­chen Sie uns ein­fach an. Wir hel­fen schnell, unbü­ro­kra­tisch und unkompliziert.

Lesen Sie hier die ande­ren Tei­le der Serie “Irr­tü­mer im Datenschutz”:

Videoüberwachung

VideoüberwachungDas Nach­rich­ten­ma­ga­zin DER SPIEGEL brach­te den Stein ins Rol­len, wei­te­re Bericht­erstat­tun­gen in TV, Radio, Print und Web folg­ten. Nach Infor­ma­tio­nen, die dem Maga­zin vor­lie­gen, gerie­ten bevor­zugt Frau­en in kur­zen Röcken oder mit tief Ein­blick gewäh­ren­den Tops ins Visier heim­li­cher Video­über­wa­chungs­maß­nah­men durch eini­ge Fili­al­lei­ter in Frank­furt /​ Main, Die­burg und wei­te­ren hes­si­schen Stand­or­ten. Doch damit nicht genug. In “loh­nens­wer­ten” Fäl­len wur­den die ahnungs­lo­sen Kun­din­nen und Kun­den her­an­ge­zoomt, Video­se­quen­zen auf CD gebrannt und unter­ein­an­der getauscht.

ALDI Süd schreibt lt. Spie­gel in einer Stel­lung­nah­me, dass

“das Fehl­ver­hal­ten eines ein­zel­nen Mit­ar­bei­ters nicht aus­ge­schlos­sen wer­den kön­ne. Soll­te ein miss­bräuch­li­cher Umgang den Vor­ge­setz­ten bekannt wer­den, wird ein sol­ches Vor­ge­hen umge­hend unter­sucht, unter­bun­den und zieht ent­spre­chen­de dis­zi­pli­na­ri­sche Kon­se­quen­zen nach sich.”

Trotz des Video­über­wa­chungs­skan­dals eines Wett­be­wer­bers im Jahr 2008 sol­len wei­ter­hin erneut Kas­sen­be­rei­che inkl. der Ein­ga­be­fel­der der EC-Ter­mi­nals auf Auf­nah­men zu sehen sein. Mobi­le Mini­ka­me­ra-Anla­gen auch in  Berei­chen ohne Kun­den­zu­tritt sowie feh­len­de Hin­weis­schil­der run­den den sorg­lo­sen Umgang des Dis­coun­ters mit die­ser zu Recht per Gesetz restrik­tiv zu hand­ha­ben­den Maß­nah­me ab.

Was sagt denn das Bun­des­da­ten­schutz­ge­setz (BDSG) dazu?

Das Bun­des­da­ten­schutz­ge­setz stellt hohe Anfor­de­run­gen an die Durch­füh­rung von Video­über­wa­chungs­maß­nah­men. Die­se sind zwar nicht ver­bo­ten, jedoch ist es mit Beru­fung auf das eige­ne Haus­recht nicht getan. Für wei­ter­füh­ren­de Infor­ma­tio­nen emp­feh­len wir die­se Beiträge

Pla­nen Sie die Ein­füh­rung von Video­über­wa­chung in Ihrem Unter­neh­men? Fra­gen Sie recht­zei­tig Ihren Daten­schutz­be­auf­trag­ten. Sie haben kei­nen? Dann spre­chen Sie uns an.

aboutpixel.de / Wassertest Gerd Gropp

“BYOD” ist in aller Mun­de, zu Recht. Hin­ter dem Kür­zel ver­ber­gen sich zahl­rei­che Risi­ken und Unan­nehm­lich­kei­ten für Admi­nis­tra­to­ren und Unter­neh­mer. Doch “Bring Your Own Device” ist All­tag! Immer mehr Arbeit­neh­mer nut­zen ihre eigent­lich pri­va­ten Mobil­te­le­fo­ne, Smart­pho­nes und Note­books beruf­lich für ihren Arbeitgeber.

IT-Admi­nis­tra­to­ren kämp­fen dadurch mit Wild­wuchs in der IT-Land­schaft und fürch­ten die hier­durch ent­ste­hen­den Sicher­heits­lü­cken — zu Recht! Geschäfts­füh­rer und Unter­neh­mer ver­schlies­sen vor der all­täg­li­chen Situa­ti­on oft­mals die Augen und ris­kie­ren dabei so einiges.

Bei still­schwei­gen­der Dul­dung ver­liert das Unter­neh­men not­wen­di­ge Ein­fluss- und Kon­troll­mög­lich­kei­ten. Mög­li­che Fol­gen: Daten­schutz­ver­stös­se, Sicher­heits­lecks und die dar­aus resul­tie­ren­den Image-Schä­den durch nega­ti­ve Presseberichte.

Was vie­le nicht wis­sen, die recht­li­chen Aspek­te die­ser The­ma­tik sind umfang­reich: Urhe­ber­rechts­ver­let­zun­gen, Lizenz­pro­ble­me, Haf­tungs­fra­gen, Ver­stö­ße gegen han­dels- und steu­er­recht­li­che Vor­schrif­ten, IT-Sicher­heit und Daten­schutz. Wol­len Sie als Unter­neh­mer dafür gera­de ste­hen, wenn Ihr Mit­ar­bei­ter per­so­nen­be­zo­ge­ne Daten Ihres Unter­neh­mens auf sei­nem pri­va­ten Mobil­ge­rät spei­chert und die­se dann mit einem der zahl­rei­chen Cloud-Diens­te syn­chro­ni­siert? Mit gro­ßer Wahr­schein­lich­keit liegt hier­für kei­ne vor­ge­schrie­be­ne Rege­lung zur Auf­trags­da­ten­ver­ar­bei­tung vor -> Buß­gel­dri­si­ko.

Unser Tipp:

  • Sor­gen Sie für kla­re Ver­ein­ba­run­gen und Richt­li­ni­en in Ihrem Unter­neh­men und inves­tie­ren Sie in die not­wen­di­ge IT-Infrastruktur.
  • Oder fra­gen Sie Ihren Daten­schutz­be­auf­trag­ten! Sie haben kei­nen, dann spre­chen Sie uns an!

 

Bild­nach­weis: about​pi​xel​.de /​Was­ser­test © Kel­ler­meis­ter