Auskunftserteilung von Arbeitgebern oft ungenügend
Mag. jur. Michael Krenn
Verarbeitung personenbezogener Daten von Arbeitnehmern immer häufiger – Auskunftserteilung darüber oft ungenügend – DSK nicht immer hilfreich
In den letzten Jahren ist die Menge der durch Arbeitgeber verarbeiteten personenbezogenen Daten ihrer Mitarbeiter vielfach unüberschaubar geworden. Wenn Dienstnehmer wissen möchten, welche konkreten Daten der Arbeitgeber über sie verarbeitet, ist die Auskunftserteilung leider oftmals mangelhaft. Wie ein aktueller Fall zeigt (K121.415/0002-DSK/2009 vom 21.1.2009), nützt in solchen Fällen auch eine Beschwerde an die DSK meist nur beschränkt.
Auskunftsbegehren an den Arbeitgeber
Der Beschwerdeführer hatte ein Auskunftsbegehren an seine Arbeitgeberin, ein Unternehmen aus dem Luftfahrtbereich, gerichtet. Darin begehrte er Auskunft über die zu seiner Person verarbeiteten Daten, die Datenherkunft, die Datenverwendung sowie Übermittlungs- und Überlassungsempfänger. Aufgrund des großen Umfangs der zu seiner Person verarbeiteten Daten erhielt der Betroffene zwar eine quantitativ umfangreiche, inhaltlich aber ungenügende Auskunft. Letztendlich ergaben sich mehrere Streitpunkte, welche Gegenstand eines Beschwerdeverfahrens vor der DSK wurden.
Kein Auskunftsanspruch für verwendete Diensttelefone?
Die Auskunft hatte keine Angaben darüber enthalten, welche konkreten Daten im Zusammenhang mit der Verwendung der Diensttelefone durch den Betroffenen gespeichert wurden. Die Arbeitgeberin hatte dazu argumentiert, dass das „Dienstmobiltelefon“ des Beschwerdeführers auf firmeninterne Telefonnummern beschränkt sei, es dürften daher gar keine privaten Telefongespräche geführt bzw. gespeichert werden. Die Beschwerdegegnerin erhalte in diesem Zusammenhang lediglich Rechnungen über die geführten Telefonate. Außerdem erfolge auch keine Rechnungslegung nach Namen, sondern nur nach Nummern, wodurch gar keine personenbezogenen Daten des Beschwerdeführers gespeichert würden.
Durch die DSK wurde dazu richtig festgehalten, dass personenbezogene Daten auch Angaben über Betroffene sind, deren Identität bestimmbar ist. Da im vorliegenden Fall die Nummer des Diensthandys gespeichert werde und es unschwer möglich sei, anhand der auf der Rechnung befindlichen Nummer des Diensthandys einen Personenbezug zum Beschwerdeführer herzustellen, handelt es sich nach Meinung der DSK sehr wohl um personenbezogene Daten des Beschwerdeführers. Dass die Diensthandys ausschließlich für firmeninterne Zwecke zu verwenden sind, ändert – laut DSK – nichts daran.
Keine Auskünfte aus Melde- und Reportingsystem?
Die Arbeitgeberin betreibt weiters ein elektronisches Melde- und Reporting System („PVR System“), welches in der bekämpften Auskunft nicht berücksichtigt worden war.
Die Beschwerdegegnerin hatte dem Betroffenen lediglich mitgeteilt, dass sie im Zusammenhang mit dem „PVR-System“ Meldungen des Beschwerdeführers über seine Flüge elektronisch verarbeite. Welche personenbezogenen Daten dies konkret seien, teilte sie dem Beschwerdeführer hingegen nicht mit. Die lediglich allgemein gehaltene Auskunft der Beschwerdegegnerin genügte nach Meinung der DSK dem Erfordernis einer Auskunft nach § 26 DSG 2000 jedenfalls nicht.
Speicherung von Mails
Die Auskunft hatte auch keine Angaben darüber enthalten, welche – im Zusammenhang mit dem Senden und Empfangen von E-Mails – anfallenden Daten (Verkehrs- und Inhaltsdaten) von der Beschwerdegegnerin verarbeitet wurden. Ein Auskunftsrecht zu diesem Bereich wurde durch die DSK allerdings abgelehnt. Argumentiert wurde durch die DSK dass der Betroffene Kenntnis vom Inhalt seines E-Mail-Accounts und volle Verfügungsgewalt darüber besitze. Außerdem könne er seinen Account jederzeit einsehen und den Inhalt auch nach eigenem Gutdünken löschen. Da das DSG 2000 (nach § 26 Abs. 8) ein Auskunftsrecht neben einem bestehenden Einsichtsrecht für überflüssig halte, sei die Inanspruchnahme eines Auskunftsbegehrens über einen Datenbestand, der dem Betroffenen jederzeit einsehbar sei, unverhältnismäßig.
Gar nicht rechtlich auseinander gesetzt hatte sich die DSK mit zwei weiteren Streitpunkten: Der Speicherung von Zutrittsdaten des Betroffenen beim Zugang ins Firmengelände sowie der Verarbeitung von Gesundheitsdaten anlässlich regelmäßiger medizinischer Tests für die Arbeitnehmer. Hier wurde den Angaben des Arbeitgebers „man verarbeite keine diesbezüglichen Daten“ einfach ohne Überprüfung Glauben geschenkt, eine rechtliche Beurteilung konnte daher entfallen. Warum – wenn angeblich keine Verarbeitung stattfinde – überhaupt Zugangscodes zum Firmengelände existieren bzw. medizinische Überprüfungen stattfinden, ließ die DSK unberücksichtigt…
Resumee
Der entsprechende Fall zeigt sowohl die Problematik immer unüberschaubarerer Datenverarbeitungen durch Arbeitgeber in Dienstverhältnissen, als auch oft ungenügender Auskunftserteilungen. Wie sich nun zeigt, bietet die DSK dabei leider oft mangelhafte Hilfe. Insbesondere dort, wo sich Arbeitgeber auf den Standpunkt stellen „man verarbeite keine Daten“ ist eine Beschwerde an die DSK oft vergeblich, da meist keine Überprüfung durch Einschau stattfindet, sondern die Angaben des Arbeitgebers unüberprüft übernommen werden.