Monthly Archives: Juni 2019

Deutsche Datenschutzbehörden: Prüfung von Apps mit Facebook-SDK geplant

Posted on by

Am 3. und 4. April 2019 haben die deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) auf ihrer 97. Konferenz u.a. auch über eine geplante Prüfung von Apps und durch diese vorgenommene Verarbeitung personenbezogener Daten diskutiert.

Aus dem veröffentlichten Protokoll (pdf) ergibt sich, dass die Konferenz beschlossen hat, den internen Arbeitskreis Medien unter Beteiligung des Arbeitskreises Technik zu bitten, Prüfszenarien für eine entsprechende Kontrolle von Apps zu entwickeln (siehe TOP 27).

Hierbei geht es den Aufsichtsbehörden aber nicht um eine allgemeine Prüfung von Apps, sondern ganz speziell um solche Apps, die das Software-Development Kit (SDK) von Facebook nutzen.

Nach Aussage der Datenschutzbehörde aus Hamburg würden

über das in vielen Apps verwendete Software-Development Kit von Facebook zahlreiche und häufig sensible Nutzerdaten an Facebook übermittelt.

Es scheint, dass die Behörde aus dem Norden in dieser Thematik schon ein wenig Erfahrung sammeln konnte. Zumindest wird in dem Protokoll weiter beschrieben, dass sich nach Ansicht der Hamburger Behörde in einer Vielzahl solcher Apps kein Hinweis auf die Übermittlung personenbezogener Daten an Facebook finde. Hiermit dürfte wohl ein möglicher verstoß gegen die Transparenzvorgaben der Art. 12-14 DSGVO im Raum stehen.

Hamburg gehe schätzungsweise davon aus, dass bei etwa 30 % der betroffenen Apps kein hinreichender datenschutzrechtlicher Hinweis erfolgt und regt an, dies im Rahmen einer koordinierten Prüfung zu untersuchen.

Dieser Anregung der Aufsichtsbehörde steht ein großer Teil der anderen Bundes- und Landesbehörden positiv gegenüber. Laut dem Protokoll erklären sich die Datenschutzbehörden aus Hamburg, Saarland, Niedersachsen, Mecklenburg-Vorpommern, BfDI, LDA Bayern, Berlin, Hessen und ggf. Rheinland-Pfalz bereit,

sich an der Entwicklung gemeinsamer Prüfstrategien und Kontrollen zu beteiligen.

App-Betreiber bzw. durchaus auch Entwickler von Apps sollten daher in näherer Zukunft damit rechnen, dass Datenschutzbehörden etwa einen Fragenkatalog zur Einbindung des Facebook-SDK versenden könnten. Insbesondere sollte natürlich unabhängig von einer solchen Prüfaktion jeder App-Betreiber für eine DSGVO-konforme Datenschutzerklärung sorgen, um den Anforderungen der Art. 12-14 DSGVO zu genügen. Nach Art. 13 Abs. 1 lit. e) DSGVO gehören zu den verpflichtend zu erteilenden Informationen für App-Nutzer auch Angaben über „die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten“. Diese Vorgabe dürfte aus Sicht der Aufsichtsbehörden im vorliegenden Fall insbesondere relevant sein.

Hinzuweisen ist aus Beratersicht aber auch darauf, dass Art. 13 Abs. 1 lit. e) DSGVO alternativ entweder die konkrete Angabe von Empfängern (das wäre dann z.B. Facebook) oder auch die Nennung der der Kategorien von Empfängern von personenbezogenen Daten gestattet. Es ist also nicht zwingend vorgesehen, dass stets ein konkretes Unternehmen als Empfänger benannt werden muss. Jedoch sollte man auch wissen, dass durchaus darüber diskutiert wird, wie diese Vorschrift praktisch anzuwenden ist. Zum Teil wird behördlicherseits auch vertreten, dass, im Sinne eines Stufenverhältnisses, per se immer die konkreten Empfänger anzugeben sind und nur, wenn dies nicht möglich ist, die Kategorien genannt werden könnten.

Bundesarbeitsgericht: Sichtung und Auswertung von Dateien auf einem Dienstrechner ist datenschutzrechtlich auch ohne konkreten Verdacht zulässig

Posted on by

Das Bundesarbeitsgericht hat sich wieder einmal mit der Frage der datenschutzrechtlichen Zulässigkeit einer Auswertung von Dienstgeräten und dort gespeicherten Dateien im Rahmen einer Kündigungsschutzklage befasst. Mit Urteil vom 31.01.2019 (2 AZR 426/18) entschied das BAG, dass die Einsichtnahme in auf einem Dienstrechner des Arbeitnehmers gespeicherte und nicht als „privat“ gekennzeichnete Dateien nicht zwingend einen durch Tatsachen begründeten Verdacht einer Pflichtverletzung voraussetzt und die in diesem Zuge erfolgte Datenverarbeitung zulässig war.

Relevant dürfte an dieser Entscheidung vor allem sein, dass das BAG weniger intensiv in das allgemeine Persönlichkeitsrecht des Arbeitnehmers eingreifende Datenverarbeitungen auch ohne Vorliegen eines durch Tatsachen begründeten Anfangsverdachts gegen den Arbeitnehmer nach § 32 BDSG aF als zulässig erachtet. Zudem stellt das BAG für diese Maßnahmen der Sichtung von Dateien und für die datenschutzrechtlich gebotene Verhältnismäßigkeitsprüfung konkrete Anforderungen auf.

Sachverhalt

Die beklagte Arbeitgeberin produziert Kraftfahrzeuge und der als schwerbehinderter Mensch anerkannte Kläger war seit 1996 bei ihr beschäftigt. Die Beklagte stellte ihm einen Pkw nebst Tankkarte auch zur privaten Nutzung zur Verfügung. Der Kraftstofftank des Wagens wies nach Angaben der Beklagten als Herstellerin ein Volumen von 93 Litern auf.

Im Jahr 2013 eröffneten Mitarbeiter der internen Revision dem Kläger, dass er verdächtigt werde, Inhalte eines Audit-Berichts unerlaubt an Dritte weitergegeben zu haben. Deshalb solle sein Dienst-Laptop untersucht werden. Der Kläger gab den Rechner heraus, nannte seine Passwörter und erklärte, kooperieren zu wollen. Kurze Zeit später wandte er sich noch einmal an die interne Revision und teilte mit, es befänden sich einige, von ihm näher bezeichnete private Daten auf dem PC.

Die Beklagte ließ eine Kopie der Festplatte des Rechners computerforensisch begutachten. In einem vom Kläger angelegten Ordner „DW“ befand sich die Datei „Tankbelege.xls“. Sie enthielt eine Aufstellung über die vom Kläger mit der Tankkarte durchgeführten Betankungen. Aus den dort erfassten Kraftstoffmengen, den Tankdaten und den von ihr anschließend recherchierten Betankungsorten ergab sich aus Sicht der Beklagten zumindest der dringende Verdacht, der Kläger habe auf ihre Kosten nicht nur sein Dienstfahrzeug betankt. Es erfolgten mehrere Formen von Kündigungen, die zum Teil für unwirksam erklärt wurden (u.a. mangels Zustimmung des Integrationsamts). Zuletzt stand jedoch eine Kündigung aus Dezember 2016 im Raum.

In dem hier entschiedenen Fall ging es am Ende noch um die Kündigungsschutzklage des Arbeitnehmers. Seiner Ansicht nach dürften die Ergebnisse der Untersuchung seines Dienstrechners nicht verwertet werden. Die Analyse sei „ins Blaue hinein“ erfolgt und er sei – insoweit unstreitig – nicht zu der Auswertung hinzugezogen worden. Die Beklagte habe den Betriebsrat nicht ordnungsgemäß angehört und die gesetzliche Kündigungsfrist von sieben Monaten zum Monatsende nicht gewahrt.

Entscheidung

Das BAG wies die Klage im Ergebnis als unbegründet ab.

Die datenschutzrechtliche Relevanz solcher Entscheidungen knüpft eigentlich immer an die Frage, ob Erkenntnisse aus einer Auswertung (=Datenverarbeitung) von Mitarbeiterdaten für die Kündigung genutzt werden durften.

Der Senat verweist hierzu auf die gefestigte Senatsrechtsprechung, wonach in einem Kündigungsrechtsstreit jedenfalls dann kein Verwertungsverbot zugunsten des Arbeitnehmers eingreift, wenn der Arbeitgeber die betreffende Erkenntnis oder das fragliche Beweismittel im Einklang mit den einschlägigen datenschutzrechtlichen Vorschriften erlangt und weiterverwandt hat

So liegt es im Streitfall. Die Einsichtnahme in die Datei „Tankbelege.xls“ sowie die weitere Verarbeitung und Nutzung der aus ihr gewonnenen Erkenntnisse durch die Beklagte waren nach § 32 Abs. 1 S. 1 BDSG in der bis zum 24. Mai 2018 geltenden Fassung (im Folgenden BDSG aF) zulässig.

Sodann befasst sich der Senat mit den Tatbestandsmerkmalen des § 32 Abs. 1 S. 1 BDSG aF. Wie auch im neuen § 26 Abs. 1 BDSG dürfen Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses u.a. dann verarbeitet werden, wenn dies für dessen Durchführung oder Beendigung erforderlich ist.

Hierzu der Senat:

Zur Durchführung gehört die Kontrolle, ob der Arbeitnehmer seinen Pflichten nachkommt, zur Beendigung iSd. Kündigungsvorbereitung die Aufdeckung einer Pflichtverletzung, die die Kündigung des Arbeitsverhältnisses rechtfertigen kann.

Sofern nach dieser Vorgabe zulässig erhobene Daten den Verdacht einer solchen Pflichtverletzung begründen, dürfen sie für die Zwecke und unter den Voraussetzungen des § 32 Abs. 1 S. 1 BDSG aF auch verarbeitet und genutzt werden.

Der Begriff der Beendigung umfasst dabei die Abwicklung eines Beschäftigungsverhältnisses. Der Arbeitgeber darf deshalb alle Daten speichern und verwenden, die er benötigt, um die ihm obliegende Darlegungs- und Beweislast in einem potenziellen Kündigungsschutzprozess zu erfüllen.

Zwar stützt das BAG seine Entscheidung natürlich noch auf § 32 BDSG aF. Jedoch weist der Senat auch darauf hin, dass seiner Auffassung nach ein anderes Ergebnis auch nicht bei Anwendung der Vorgaben des jetzt geltenden § 26 BDSG zu erwarten wäre.

Die Verwertung der von der Beklagten in zulässiger Weise ermittelten Inhalte der Datei „Tankbelege.xls“ im vorliegenden Rechtsstreit ist nach Maßgabe der DS-GVO und des BDSG in der seit dem 25. Mai 2018 geltenden Fassung ebenfalls rechtmäßig.

Nachdem der Senat allgemein die Vorgaben für die Erhebung und danach folgende Verwertung der Daten abgesteckt hat, macht er sich an die eigene inhaltliche Prüfung. Entscheidendes Merkmal ist hierbei die „Erforderlichkeit“ der Datenverarbeitung. Nach ständiger Rechtsprechung des BAG bedeutet „Erforderlichkeit“ im Kontext des § 32 BDSG aF (und damit auch im Rahmen des § 26 BDSG) „Verhältnismüßigkeit“.

Es hat eine „volle“ Verhältnismäßigkeitsprüfung zu erfolgen. Die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten müssen geeignet, erforderlich und unter Berücksichtigung der gewährleisteten Freiheitsrechte angemessen sein, um den erstrebten Zweck zu erreichen.

Die Verhältnismäßigkeit im engeren Sinne (Angemessenheit) ist gewahrt, wenn die Schwere des Eingriffs bei einer Gesamtabwägung nicht außer Verhältnis zu dem Gewicht der ihn rechtfertigenden Gründe steht.

Interessant ist hierbei, dass das BAG im Rahmen der erforderlichen Interessenabwägung ausdrücklich darauf Bezug nimmt, dass eine „berechtigte Privatheitserwartung“ des Betroffenen einen beachtlichen Faktor darstellt. Hierzu verweist der Senat auch auf Erwägungsgrund 47 DSGVO („vernünftige Erwartungen“).

Nach Ansicht des BAG kann diese Privatheitserwartung des Arbeitnehmers selbst dann zugunsten seines Nichtverarbeitungsinteresses den Ausschlag geben, wenn das Verarbeitungsinteresse des Arbeitgebers hoch ist.

So dürfen Arbeitnehmer grundsätzlich erwarten, dass besonders eingriffsintensive Maßnahmen nicht ohne einen durch Tatsachen begründeten Verdacht einer Straftat oder schweren Pflichtverletzung ergriffen werden und insbesondere nicht „ins Blaue hinein“ oder wegen des Verdachts bloß geringfügiger Verstöße eine heimliche Überwachung und ggf. „Verdinglichung“ von ihnen gezeigter Verhaltensweisen erfolgt.

Meines Erachtens sind diese Feststellungen des Senats vor allem mit Blick auf die zukünftige Anwendung des § 26 BDSG von besonderer Relevanz. Denn der Senat äußert sich ganz bewusst zu dem Merkmal der Privatheitserwartung der Arbeitnehmer, welches mit der DSGVO auch im Rahmen des Erlaubnistatbestandes nach Art 6 Abs. 1 f) DSGVO (Interessenabwägung) eine entscheidende Rolle spielt.

Exkurs: dass es in der Literatur Streit darüber gibt, ob Mitarbeiterdaten auf der Grundlage von Art. 6 Abs. 1 lit. f) DSGVO verarbeitet werden können, ist mir bekannt. Die Auffassung, die einen Rückgriff neben § 26 BDSG ablehnt, ist meines Erachtens aber europarechtlich nicht haltbar. Sieht auch das BAG so, vgl. z. B. Urt. v. 23.8.2018 – 2 AZR 133/18)

Besonders relevant sind danach die Aussagen des Senats zur Einordnung der Privatheitsinteressen des Arbeitnehmers im konkreten Fall. Danach können weniger intensiv in das allgemeine Persönlichkeitsrecht des Arbeitnehmers eingreifende Datenverarbeitungen ohne Vorliegen eines durch Tatsachen begründeten Anfangsverdachts – zumal einer Straftat oder anderen schweren Pflichtverletzung – erlaubt sein. Das gilt vor allem für nach abstrakten Kriterien durchgeführte, keinen Arbeitnehmer besonders unter Verdacht stellende offene Überwachungsmaßnahmen, die der Verhinderung von Pflichtverletzungen dienen.

Diese Voraussetzungen können nach Ansicht des Senats auch erfüllt sein,

wenn der Arbeitgeber aus einem nicht willkürlichen Anlass prüfen möchte, ob der Arbeitnehmer seine vertraglichen Pflichten vorsätzlich verletzt hat, und er – der Arbeitgeber – dazu auf einem Dienstrechner gespeicherte Dateien einsieht, die nicht ausdrücklich als „privat“ gekennzeichnet oder doch offenkundig „privater“ Natur sind.

Voraussetzung ist jedoch Transparenz gegenüber dem Abreitnehmer. Die Maßnahme muss offen erfolgen und der Arbeitnehmer muss im Vorfeld darauf hingewiesen worden sein, welche legitimen Gründe eine Einsichtnahme in – vermeintlich -dienstliche Ordner und Dateien erfordern können, und dass er Ordner und Dateien durch eine Kennzeichnung als „privat“ von einer Einsichtnahme ohne „qualifizierten“ Anlass ausschließen kann.

Der Arbeitnehmer muss dann billigerweise mit einem jederzeitigen Zugriff auf die vermeintlich rein dienstlichen Daten rechnen. Zugleich kann er „private“ Daten in einen gesicherten Bereich verbringen.

Vorliegend geht der Senat davon aus, dass die Beklagte aus einem nicht willkürlichen Anlass ein legitimes Ziel verfolgt. Sie wollte letztlich prüfen, ob der Kläger vorsätzlich seine arbeitsvertraglichen Pflichten verletzt hat. Interessant ist auch die Ansicht zur Frage, ob nicht ein milderes Mittel vorhanden war. Hier könnte man etwa daran denken, eine Einsichtnahme in die Datei unter Heranziehung eines Mitglieds des Betriebsrats oder des Datenschutzbeauftragten als milderes Mittel zu bevorzugen. Dies lehnt der Senat jedoch ab.

Dadurch hätte nicht die Möglichkeit bestanden, die Datenerhebung ganz abzuwenden oder doch auf die Art und Weise ihrer Durchführung „abschwächenden“ Einfluss zu nehmen.

Zuletzt ist natürlich noch relevant, dass die Sichtung des Dienstrechners eigentlich ohne konkreten Anfangsverdacht erfolgte. Zudem wurde auch nicht festgestellt, ob die Arbeitgeberin im Vorfeld des Verlangens, den Dienstrechner herauszugeben, gegenüber dem Kläger die Gründe (allgemein) bezeichnet hatte, die eine Einsichtnahme in dienstliche Ordner und Dateien erfordern können und ob sie ihn auf die Möglichkeit aufmerksam gemacht hat, Ordner und Dateien durch eine Kennzeichnung als „privat“ von einer Einsichtnahme ohne „qualifizierten“ Anlass auszuschließen.

Dennoch geht der Senat von der datenschutzrechtlichen Zulässigkeit der Verwendung der Daten aus der Excelliste aus.

stellte sich die von der Beklagten durchgeführte Maßnahme, was die hier allein interessierende Einsichtnahme in nicht ausdrücklich als „privat“ gekennzeichnete oder doch offenkundig als „privat“ zu erkennende Dateien anbelangt, nicht als so eingriffsintensiv dar, dass sich das Nichtverarbeitungsinteresse des Klägers in einer Abwägung gegen das Verarbeitungsinteresse der Beklagten durchsetzen könnte. Die Untersuchung wurde offen durchgeführt. Ihre mögliche Reichweite war klar. Der Kläger wusste, dass die gesamte Festplatte seines Dienst-Laptops einer computerforensischen Analyse unterzogen werden sollte.

Der Senat verdeutlich mit dem Urteil, dass interne Maßnahmen zur Kontrolle der Pflichteneinhaltung im Arbeitsverhältnis datenschutzrechtlich nicht unmöglich, ja vielmehr praktikabel umsetzbar sind. Wichtig ist stets, die Verhältnismäßigkeit der Maßnahme zu beachten. Ein ganz entscheidender Faktor hierbei ist, wie stest im Datenschutzrecht, die Transparenz gegenüber den Betroffenen.

Datenschutz im Automobilbereich: Datenschutzbehörde Baden-Württemberg zu den datenschutzrechtlichen Anforderungen der Produktbeobachtungspflicht durch Hersteller

Posted on by

Der Landesbeauftragte für den Datenschutz Baden-Württemberg berichtet in seinem aktuellen Tätigkeitsbericht (S. 94 ff., pdf) unter anderem über die Ergebnisse einer Prüfung der Einhaltung datenschutzrechtlicher Voraussetzungen durch Autowerkstätten.

In diesem Zusammenhang befasst sich der Landesdatenschutzbeauftragte auch mit den datenschutzrechtlichen Anforderungen, die bei der einem Hersteller obliegenden Pflicht zur Produktüberwachung/Produktbeobachtung von Fahrzeugen zu beachten sind.

Die Ansicht der Aufsichtsbehörde:

Die datenschutzrechtliche Grundlage für die Datenverarbeitung der erforderlichen Fahrzeugdaten für die Produktüberwachung/Produktbeobachtung und für eventuelle Rückrufaktionen ist Artikel 6 Absatz 1 Buchstabe c DS-GVO.

Nach Auffassung der Aufsichtsbehörde liegt hier die Erfüllung einer rechtlichen „Verpflichtung des Automobilherstellers aus dem Produkthaftungsgesetz“ vor.

Das deutsche Produkthaftungsgesetz basiert auf den Regelungen der Richtlinie 85/374/EWG. Im Produkthaftungsgesetz findet sich jedoch keine ausdrückliche Regelung oder Pflicht zur Beobachtung des Produktes im Markt. Die Produkthaftung ist verschuldensunabhängig ausgestaltet.

Die Produktbeobachtungspflicht wird in Deutschland durch die Rechtsprechung schon seit langem als eine Verkehrssicherungspflicht des Herstellers anerkannt, die jedoch nicht an das Produkthaftungsgesetz anknüpft, sondern Teil der sog. Produzentenhaftung ist. Diese deliktsrechtliche Haftung gründet sich auf dem Prinzip, dass derjenige, der eine Gefahrenquelle eröffnet oder beherrscht, für diese verantwortlich ist. Auch nach Inverkehrgabe des Produkts ist der Hersteller verpflichtet, die Bewährung seines Produkts in der Praxis zu verfolgen.

Die Datenschutzbehörde scheint diese, aus den allgemeinen Haftungsregeln des Zivilrechts entwickelte, Pflicht als Anknüpfungspunkt für die Zulässigkeit der für die Beobachtung des Produkts erforderliche Datenverarbeitung anzusehen.

Meiner Ansicht nach ist die Auffassung im Ergebnis richtig. Auch wenn die Rechtsgrundlage der Datenverarbeitung möglicherweise eher die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO ist (oder zusätzlich als Rechtsgrundlage herangezogen werden kann). Hersteller sind zivilrechtlich dazu verpflichtet, ihre Produkte im Markt zu beobachten. Hierfür müssen und dürfen sie auch Daten verarbeiten. Mit meinem Kollegen und Partner Philipp Reusch habe ich genau zu diesem Thema „Internet der Dinge: Datenschutzrechtliche Anforderungen bei der Produktbeobachtung“ vor 2 Jahren einen Fachbeitrag in der Zeitschrift BetriebsBerater (15/16, 2017, 841) veröffentlicht.

Daneben müssen Hersteller natürlich beachten, dass auch die übrigen Pflichten der DSGVO zu beachten sind, wenn personenbezogene Daten verarbeitet werden. Insbesondere gehören hierzu die Informationspflichten nach Art. 13 bzw. 14 DSGVO.