Auskunftserteilung von Arbeitgebern oft ungenügend
Mag. jur. Michael Krenn
Verarbeitung personenbezogener Daten von
Arbeitnehmern immer häufiger - Auskunftserteilung darüber oft
ungenügend - DSK nicht immer hilfreich
In den letzten Jahren ist die Menge der durch
Arbeitgeber verarbeiteten personenbezogenen Daten ihrer Mitarbeiter
vielfach unüberschaubar geworden. Wenn Dienstnehmer wissen möchten,
welche konkreten Daten der Arbeitgeber über sie verarbeitet, ist die
Auskunftserteilung leider oftmals mangelhaft. Wie ein aktueller Fall
zeigt (K121.415/0002-DSK/2009 vom 21.1.2009), nützt in solchen Fällen
auch eine Beschwerde an die DSK meist nur beschränkt.
Auskunftsbegehren an den Arbeitgeber
Der Beschwerdeführer hatte ein
Auskunftsbegehren an seine Arbeitgeberin, ein Unternehmen aus dem
Luftfahrtbereich, gerichtet. Darin begehrte er Auskunft über die zu
seiner Person verarbeiteten Daten, die Datenherkunft, die
Datenverwendung sowie Übermittlungs- und Überlassungsempfänger.
Aufgrund des großen Umfangs der zu seiner Person verarbeiteten Daten
erhielt der Betroffene zwar eine quantitativ umfangreiche, inhaltlich
aber ungenügende Auskunft. Letztendlich ergaben sich mehrere
Streitpunkte, welche Gegenstand eines Beschwerdeverfahrens vor der DSK
wurden.
Kein Auskunftsanspruch für verwendete Diensttelefone?
Die Auskunft hatte keine Angaben darüber
enthalten, welche konkreten Daten im Zusammenhang mit der Verwendung
der Diensttelefone durch den Betroffenen gespeichert wurden. Die
Arbeitgeberin hatte dazu argumentiert, dass das "Dienstmobiltelefon"
des Beschwerdeführers auf firmeninterne Telefonnummern beschränkt sei,
es dürften daher gar keine privaten Telefongespräche geführt bzw.
gespeichert werden. Die Beschwerdegegnerin erhalte in diesem
Zusammenhang lediglich Rechnungen über die geführten Telefonate.
Außerdem erfolge auch keine Rechnungslegung nach Namen, sondern nur
nach Nummern, wodurch gar keine personenbezogenen Daten des
Beschwerdeführers gespeichert würden.
Durch die DSK wurde dazu richtig festgehalten,
dass personenbezogene Daten auch Angaben über Betroffene sind, deren
Identität bestimmbar ist. Da im vorliegenden Fall die Nummer des
Diensthandys gespeichert werde und es unschwer möglich sei, anhand der
auf der Rechnung befindlichen Nummer des Diensthandys einen
Personenbezug zum Beschwerdeführer herzustellen, handelt es sich nach
Meinung der DSK sehr wohl um personenbezogene Daten des
Beschwerdeführers. Dass die Diensthandys ausschließlich für
firmeninterne Zwecke zu verwenden sind, ändert - laut DSK - nichts
daran.
Keine Auskünfte aus Melde- und Reportingsystem?
Die Arbeitgeberin betreibt weiters ein
elektronisches Melde- und Reporting System ("PVR System"), welches in
der bekämpften Auskunft nicht berücksichtigt worden war.
Die Beschwerdegegnerin hatte dem Betroffenen
lediglich mitgeteilt, dass sie im Zusammenhang mit dem "PVR-System"
Meldungen des Beschwerdeführers über seine Flüge elektronisch
verarbeite. Welche personenbezogenen Daten dies konkret seien, teilte
sie dem Beschwerdeführer hingegen nicht mit. Die lediglich allgemein
gehaltene Auskunft der Beschwerdegegnerin genügte nach Meinung der DSK
dem Erfordernis einer Auskunft nach § 26 DSG 2000 jedenfalls nicht.
Speicherung von Mails
Die Auskunft hatte auch keine Angaben
darüber enthalten, welche - im Zusammenhang mit dem Senden und
Empfangen von E-Mails - anfallenden Daten (Verkehrs- und Inhaltsdaten)
von der Beschwerdegegnerin verarbeitet wurden. Ein Auskunftsrecht zu
diesem Bereich wurde durch die DSK allerdings abgelehnt. Argumentiert
wurde durch die DSK dass der Betroffene Kenntnis vom Inhalt seines
E-Mail-Accounts und volle Verfügungsgewalt darüber besitze. Außerdem
könne er seinen Account jederzeit einsehen und den Inhalt auch nach
eigenem Gutdünken löschen. Da das DSG 2000 (nach § 26 Abs. 8) ein
Auskunftsrecht neben einem bestehenden Einsichtsrecht für überflüssig
halte, sei die Inanspruchnahme eines Auskunftsbegehrens über einen
Datenbestand, der dem Betroffenen jederzeit einsehbar sei,
unverhältnismäßig.
Gar nicht rechtlich auseinander gesetzt hatte
sich die DSK mit zwei weiteren Streitpunkten: Der Speicherung von
Zutrittsdaten des Betroffenen beim Zugang ins Firmengelände sowie der
Verarbeitung von Gesundheitsdaten anlässlich regelmäßiger medizinischer
Tests für die Arbeitnehmer. Hier wurde den Angaben des Arbeitgebers
"man verarbeite keine diesbezüglichen Daten" einfach ohne Überprüfung
Glauben geschenkt, eine rechtliche Beurteilung konnte daher entfallen.
Warum – wenn angeblich keine Verarbeitung stattfinde - überhaupt
Zugangscodes zum Firmengelände existieren bzw. medizinische
Überprüfungen stattfinden, ließ die DSK unberücksichtigt...
Resumee
Der entsprechende Fall zeigt sowohl die
Problematik immer unüberschaubarerer Datenverarbeitungen durch
Arbeitgeber in Dienstverhältnissen, als auch oft ungenügender
Auskunftserteilungen. Wie sich nun zeigt, bietet die DSK dabei leider
oft mangelhafte Hilfe. Insbesondere dort, wo sich Arbeitgeber auf den
Standpunkt stellen "man verarbeite keine Daten" ist eine Beschwerde an
die DSK oft vergeblich, da meist keine Überprüfung durch Einschau
stattfindet, sondern die Angaben des Arbeitgebers unüberprüft
übernommen werden.