Der Europäische Gerichtshof (EuGH) hat am 29.07.2019 über die Konsequenzen einer Einbindung des Facebook-Like-Buttons auf der Website entschieden. Seitenbetreiber müssen die Nutzer in diesem Fall informieren und deren Einwilligung einholen.
Schon lange findet man den Like-Button als Social-Media-Plugin auch auf Webseiten außerhalb von Facebook. Die Seitenbesucher können dadurch ihre Meinung kundtun und Inhalte schnell und unkompliziert auf Facebook teilen.
Das Problem am Like-Button ist, dass die Website, auf der er eingebunden ist, Daten an Facebook überträgt – und zwar mit Öffnen der Website und unabhängig davon, ob der Like-Button betätigt wird oder man überhaupt bei Facebook angemeldet oder registriert ist. Zu diesen Daten gehören z.B. die IP-Adresse und Cookies.
Der EuGH hat sich nun mit der Frage beschäftigt, wer für den Like-Button verantwortlich ist, und hat sich – ähnlich wie bei seiner Entscheidung zu Facebook-Fanpage-Betreibern – für eine gemeinsame Verantwortlichkeit von Facebook und dem Webseitenbetreiber entschieden. Denn der Seitenbetreiber und Facebook entscheiden auch gemeinsam über die Mittel und Zwecke des Datentransfers. Dies gilt allerdings nur für die Erhebung und Übermittlung der Daten an Facebook, nicht jedoch für die spätere Datenverarbeitung durch Facebook.
Konsequenz dieses Urteils ist, dass die Webseitenbetreiber die Seitenbesucher hinsichtlich dieser Datenerhebung und -übermittlung informieren und deren Einwilligung diesbezüglich einholen müssen. Dies kann beispielsweise durch ein Pop-Up geschehen, das auf die Datenschutzerklärung verweist und in dem die Seitenbesucher explizit die Social-Media-Funktionen aktivieren können.
Auch andere Anbeiter, wie z.B. Google, Twitter oder Pinterest, bieten solche Social Plugins an. Aufgrund des EuGH-Urteils sollten auch in diesen Fällen die Seitenbesucher entsprechend informiert und deren Einwilligung eingeholt werden. Andere Plugins, die ähnlich funktionieren, z.B. von Werbeanbietern, dürften davon ebenfalls betroffen sein.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Nach Ansicht der hessischen Aufsichtsbehörde ist der Einsatz von Office 365 als Cloud-Lösung derzeit nicht datenschutzkonform möglich:
- Es wird dabei eine sehr große Menge an Telemetrie-Daten (Funktions- und Diagnosedaten, Textausschnitte oder Betreffzeilen von E-Mails etc.) an Microsoft übermittelt, deren Verwendungszweck nicht hinreichend von Microsoft dargelegt werden konnte.
- Es bleibt unklar, inwiefern die Daten der anlasslosen Massenüberwachung amerikanischer Sicherheitsbehörden ausgesetzt sind.
Derzeit ist ein Vorlageverfahren beim EuGH anhängig, in welchem geprüft wird, ob die Instrumente zur Datenübermittlung in die USA, wie der Angemessenheitsbeschluss der EU-Kommission („Privacy Shield“), einen ausreichenden Schutz für die Rechte und Freiheiten der betroffenen Personen bewirken (vgl. EuGH: Rechtssache C-311/18: Vorabentscheidungsersuchen des High Court (Irland), eingereicht am 9. Mai 2018 — Data Protection Commissioner/Facebook Ireland Limited, Maximilian Schrems).
- Microsoft bietet seinen Kunden in Europa das Cloud-Modell durch die Option der deutschen Datentreuhand nicht mehr an. Dabei wurden die Zugriffe auf die Daten in der Cloud durch die T-Systems International GmbH überwacht.
Aufgrund dieser Punkte ist derzeit der Einsatz von Office 365 insbesondere im öffentlichen Bereich unzulässig, da „die digitale Souveränität staatlicher Datenverarbeitung“ hierdurch gefährdet würde.
Die Aufsichtsbehörden bemühen sich wohl, hier eine Lösung mit Microsoft zu finden. Laut der Aufsichtsbehörde in Mecklenburg-Vorpommern müssen sie jedoch „teilweise monatelang [auf Antworten von Microsoft] warten, da offenbar eine aufwendige microsoftinterne Abstimmung mit dem Hauptsitz in Redmond (USA) erforderlich“ ist (vgl. 14. TB der Aufsichtsbehörde MV, Ziffer 7.1.4, S. 30).
Sofern also auch namhafte Anbieter von Cloud-Lösungen sich nicht an die Vorgaben der DSGVO halten (können), werden deren Kunden ihre bereits etablierte Prozesse auch immer wieder umstellen müssen.
Denn, was für Microsoft gilt, gilt ebenso für die Cloud-Lösungen von Google und Apple.
Behörden und Unternehmen sollten dies bei der Beschaffung ihrer Technik daher immer berücksichtigen.
S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.
In einer Vielzahl von Gesetzen werden die Aufgaben von Behörden geregelt, die hierzu notwendigerweise die personenbezogenen Daten der Bürger verarbeiten müssen.
Umso wichtiger ist es, dass insbesondere Behörden-Mitarbeiter dem Datenschutz einen hohen Stellenwert beimessen, um das Vertrauen in das Verwaltungshandeln nicht zu erschüttern.
Dennoch kommt es vor, dass sich einzelne Mitarbeiter dieser Daten auch zu privaten Zwecken bedienen:
So rief eine Mitarbeiterin eines Einwohnermeldeamtes vielfach Daten ihr bekannter Personen unbefugt, d.h. ohne dienstliche Veranlassung, ab. Ein Polizeibeamter wiederum nutzte Datenbanken des Kraftfahrbundesamtes sowie der Bundesnetzagentur, um mit einer Person privat Kontakt aufzunehmen.
Bekannt wurden die Fälle entweder durch die betroffenen Bürger selbst oder durch entsprechend in den Behörden vorgenommene Schutzmaßnahmen, indem bspw. die Abfragen von Daten(sätzen) protokolliert und die Protokolldaten auf Plausibilität hin ausgewertet wurden.
Bei solchen Datenschutzverstößen kann die Aufsichtsbehörde Bußgelder auch gegen diejenigen verhängen, die den Verstoß in eigener Person begangen haben. Im ersten Fall stellte die Aufsichtsbehörde einen Strafantrag, was zu einer Geldstrafe von 4.950 € inkl. Kündigung des Arbeitsverhältnisses führte. Im anderen Fall verhängte die Aufsichtsbehörde ein Bußgeld von 1.400 €.
S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat im Juni seinen Tätigkeitsbericht für 2018/2019 veröffentlicht und damit einen Einblick in die aktuellen datenschutzrechtlichen Entwicklungen in der Schweiz gegeben. Mit diesen Themen hat sich der EDÖB in seinem Bericht befasst:
Totalrevision des Datenschutzgesetzes
Die Totalrevision des Datenschutzgesetzes (DSG) in der Schweiz steht immer noch aus. In einem ersten Teil wurde bereits das Schengen-Datenschutzgesetz (SDSG) verabschiedet, dessen Geltung sich auf die Datenerhebung der Strafverfolgungsbehörden des Bundes beschränkt. Das SDSG soll durch das totalrevidierte DSG jedoch wieder aufgehoben werden. Ein Abschluss der Beratungen der Totalrevision des DSG von 1992 ist aber noch nicht in Sicht. Dadurch entstehen Wettbewerbsnachteile bei Schweizer Unternehmen, die ihren Kunden – genauso wie ihre Konkurrenten in den Staaten der EU und des EWR – einen den europäischen Standards entsprechenden Schutz bieten wollen.
Denn zahlreiche Schweizer Unternehmen geraten in den Anwendungsbereich der Datenschutzgrundverordnung (DSGVO). So z.B. wenn ein Schweizer Unternehmen eine Niederlassung in der EU hat, Waren oder Dienstleistungen in der EU anbietet oder das Verhalten von Kunden in der EU beobachtet (z.B. deren Surfverhalten), um personalisierte Angebote zu unterbreiten. Das Nebeneinander von DSGVO und DSG führt aber zu Rechtsunsicherheit auf Seiten der Unternehmen, die durch das totalrevidierte DSG aufgelöst werden kann. Es bleibt daher zu hoffen, dass die Totalrevision des Datenschutzgesetzes nicht mehr allzu lange auf sich warten lässt.
Swiss-US Privacy Shield
Im Herbst 2018 wurde das Swiss-US Privacy Shield in Brüssel überprüft und in dem Zusammenhang auch Verbesserungen durch die US-Behörden vorgenommen. So wurde beispielsweise verstärkt nach „false claims“ gesucht, d.h. nach Unternehmen die sich fälschlicherweise als Swiss-US Privacy Shield zertifiziert ausgaben. Unternehmen werden außerdem regelmäßiger auf Schwachstellen überprüft und die US Behörden überwachen die Zertifizierung strenger.
Im Berichtsjahr wurden dem EDÖB zwei „false claims“ gemeldet und es wurden zehn berechtigte Beschwerden von Betroffenen aus der Schweiz bei unabhängigen Beschwerdestellen (Independent Recourse Mechanism) eingereicht. Dies zeigt, dass die Rechtsinstrumente des Swiss-US Privacy Shield bisher nur wenig genutzt werden. Vor einer offiziellen Beschwerde wird jedoch in der Regel erst das zertifizierte Unternehmen selbst angegangen und die Datenschutzverletzung vermutlich bereits auf diesem Weg beseitigt. Außerdem ist das Übereinkommen auch erst seit April 2017 in Kraft.
Trotz einiger Schwachstellen, konnte die Funktionsweise des Swiss-US Privacy Shield insgesamt verbessert werden. Seit dessen Inkrafttreten haben sich bereits rund 2900 US-Unternehmen zertifizieren lassen.
Überprüfung des Datenschutzniveaus
Die Europäische Kommission hat der Schweiz zuletzt 2000 ein angemessenes Datenschutzniveau attestiert und nun angekündigt das Schweizer Datenschutzniveau auf Grundlage der DSGVO neu zu bewerten und den Angemessenheitsentscheid 2020 zu veröffentlichen. Für die Schweiz wäre es natürlich von Vorteil, wenn dies aufgrund des totalrevidierten DSG bewertet würde und nicht aufgrund des alten DSG von 1992. Ein entscheidendes Kriterium für den Angemessenheitsbeschluss ist nach Aussage der Europäischen Kommission auch das Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (Übereinkommen 108) des Europarates, das seit Oktober 2018 zur Unterzeichnung vorliegt.
Es besteht die Gefahr, dass die EU der Schweiz den Angemessenheitsbeschluss entzieht, wenn die Schweiz ihre Änderungen zum Datenschutz nicht rechtzeitig verabschieden. Wir werden die Entwicklungen daher im Blick behalten, um in diesem Fall zeitnah bei unseren Kunden mit EU-Standardvertragsklauseln reagieren zu können.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Die Gesellschaft für Informatik (GI), gemeinnütziger Verein zur Interessenvertretung der Informatikerinnen und Informatiker in Wissenschaft, Wirtschaft, öffentlicher Verwaltung, Gesellschaft und Politik, hat unter aktiver Mitwirkung der it.sec in der Funktion als Sprecher des GI-Fachbereichs Sicherheit Stellung bezogen zur Nationalen Strategie für Künstliche Intelligenz (KI) der Bundesregierung.
Eine gezielte Förderung der KI ist begrüßenswert, doch muss diese auch sicher, robust, resilient, nachvollziehbar, vertrauenswürdig und datenschutzkonform sein. Hierzu müssen erst noch geeignete technische und rechtliche Voraussetzungen geschaffen werden:
- Nötig ist eine sichere und gegenüber Störungen robuste Entwicklung der KI durch konsequente Verankerung des Prinzips Security by Design und einem ausreichenden Schutz der Integrität der KI-Systeme und der davon verarbeiteten Daten.
- Ferner bedarf es einer fundierten Abschätzung der Folgen eines unzureichenden Wirklichkeitsmodells, da ein KI-System durch fehlerhafte Modellierung oder unzureichenden Trainingsdaten sonst zufällig auftretende Korrelationen lernt, die keinen inhaltlichen Zusammenhang besitzen oder diskriminierende Strukturen sogar noch verfestigen können.
Der Wortlaut der kompletten Stellungnahme der GI ist abrufbar unter https://gi.de/fileadmin/GI/Allgemein/PDF/2018-12-05_Stellungnahme_KI_Strategie_.pdf
Die KI-Strategie der Bundesregierung ist wiederum abrufbar unter https://www.bmbf.de/files/Nationale_KI-Strategie.pdf
Bernhard C. Witt
Dipl.-Inf., Senior Consultant für Datenschutz und Informationssicherheit
bcwitt@it-sec.de
Mit der Datenschutzgrundverordnung (DSGVO) trat letztes Jahr auch das neue Bundesdatenschutzgesetz (BDSG) in Kraft. Dieses regelt in § 38 BDSG, dass Unternehmen ab zehn Mitarbeitern, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, einen Datenschutzbeauftragten benennen müssen. Hier wurde seitens Deutschlands die Öffnungsklausel in der der DSGVO genutzt. Kein anderes Land innerhalb der EU ist bei diesem Punkt derart streng.
Der Bundestag hat nun beschlossen, diese Schwelle auf 20 Mitarbeiter anzuheben. Dem muss der Bundesrat noch zustimmen. Begründet wird diese Änderung mit der Entlastung kleiner und mittlerer Unternehmen sowie ehrenamtlich tätiger Vereine.
Zu beachten ist jedoch, dass Unternehmen unabhängig von der Anzahl ihrer Mitarbeiter die Anforderungen der DSGVO erfüllen müssen. D.h. inhaltlich ändert sich durch diesen Beschluss für kleinere Unternehmen nichts. Ihnen wird lediglich die Möglichkeit eingeräumt die Anforderungen der DSGVO auch ohne einen Datenschutzbeauftragten zu erfüllen. Dann ist die Geschäftsführung und Vorstandschaft gefragt den Datenschutz im Unternehmen/Verein rechtskonform umzusetzen. Was ohne entsprechende Fachkunde oft schwierig werden kann.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Dr. Bettina Kraft
Teamleitung und Senior Consultant für Datenschutz
Volljuristin
In Italien wurde von den Aufsichtsbehörden ein Bußgeld nach der Datenschutzgrundverordnung (DSGVO) in Höhe von über 2 Millionen Euro verhängt. Dieses richtete sich gegen ein Unternehmen, das über ein albanisches Callcenter Telemarketing und Teleselling Maßnahmen ohne eine entsprechende Einwilligung durchgeführt hat.
Das Callcenter wurde im Auftrag des Unternehmens zur Akquisition neuer Kunden tätig und benutzte dafür Telefonnummern aus dem eigenen Kundenstamm. Auf den Kundenstamm der italienischen Firmen wurde nicht zugegriffen.
Die zuständige Finanz- und Zollpolizei Guardia di Finanzia stellte fest, dass die kontaktierten betroffenen Personen nicht über ihre Rechte informiert wurden und auch keine schriftliche Einwilligung zur Erhebung und Verarbeitung der personenbezogenen Daten zu Marketingzwecken vorlag. Der Verantwortliche konnte seine Informationspflichten nicht durch die Vorlage der Verträge erfüllen, weil diese den betroffenen Personen erst im Anschluss übermittelt wurden. Die Verträge wurden auch nicht durch die betroffenen Personen unterschrieben, es befand sich darauf lediglich ein Kürzel des Mitarbeiters des Verantwortlichen. Eine Information der betroffenen Personen während des Telefongesprächs fand nicht statt. Das Callcenter besaß kein Skript, das den betroffenen Personen die entsprechenden Informationen zur Verfügung stellen sollte.
Das Bußgeld richtete sich nach Art. 83 Abs. 5 DSGVO und setzte sich zusammen aus 78 Verstößen gegen das Erhebungsverbot zu je 6.000 Euro/Verstoß und 155 Verstößen gegen das Verarbeitungsverbot zu je 10.000 Euro/Verstoß. Dabei wurde der einzelne Verstoß schon am unteren Ende des möglichen Strafrahmens gebildet. Die Höhe des Bußgeldes kam daher aufgrund der Vielzahl der Verstöße zustande.
Berücksichtigt wurden dabei u.a. der Mangel an der Einhaltung der Datenschutzbestimmungen, die fehlende Bezeichnung des Verantwortlichen, die kurze Zeitspanne zwischen den einzelnen Verletzungshandlungen, die Schwere der Verstöße bezüglich wirtschaftlicher und sozialer Tätigkeiten, das Verhalten des Verantwortlichen gegenüber der Guardia di Finanzia während der Ermittlungen, der Jahresabschluss des verantwortlichen Unternehmens aus 2016 und dass keine vorherigen Sanktionsverfahren vorlagen.
Hieran lässt sich wieder erkennen, dass die Datenschutzverstöße aufgrund einer Vielzahl von Aspekten bewertet werden und eine Kooperation mit den Aufsichtsbehörden strafmildern berücksichtigt werden kann.
Es zeigt aber auch, dass ein Verstoß gegen die DSGVO nicht auf die leichte Schulter zu nehmen ist. Achten Sie bei Telefonwerbung unbedingt darauf die Einwilligung der betroffenen Personen einzuholen, deren Daten Sie zum Zwecke der Telefonwerbung verarbeiten wollen.
Julia Eisenacher
Juristin (Univ.)
Consultant für Datenschutz
Etwas mehr als ein Jahr ist es her, dass die Datenschutzkonferenz (DSK, Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder) kurz bevor es mit der DSGVO ernst wurde verkündete, dass vor dem Einsatz von Tracking-Tools auf jeden Fall eine Einwilligung benötigt werde (wir berichteten, siehe Blog "Datenschutzkonferenz legt Regelung zur Einwilligung bei Cookies neu aus").
Daher beraten wir unserer Kunden seitdem entsprechend und weisen immer wieder darauf hin, dass eine explizite Einwilligung benötigt wird, und zwar bereits bevor das Tracking aktiv wird.
Das Bayerische Landesamt für Datenschutzaufsicht hat in den Wintermonaten viele Webseiten geprüft und kommt zu einem eindeutigen Ergebnis: Von 40 geprüften Webseiten war keine einzige Einwilligung wirksam.
Nun haben sich erfreulicherweise sowohl die DSK als auch der Landesbeauftrage für den Datenschutz und die Informationssicherheit Baden-Württemberg nochmals zu dem Thema geäußert. Demnach können prinzipiell auch das berechtigte Interesse nach Art. 6 Abs. 1 lit. f) DSGVO den Einsatz von Tracking-Tools rechtfertigen. Allerdings ist hier bekanntermaßen eine Abwägung zwischen den Interessen des Verantwortlichen und den Interessen der betroffenen Personen vorzunehmen, die tendenziell eher zugunsten der Nutzer ausfallen dürfte, zumindest wenn die Daten an Dritte weitergegeben werden. Der LfDI Baden-Württemberg geht jedoch davon aus, dass z.B. lokal installierten Trackingtools ohne Weitergabe der Daten an Dritte zumindest ohne Einwilligung aufgrund des berechtigten Interesses zulässig wären.
Sie können bestimmte Tracking-Tools also auch ohne vorherige Einwilligung einsetzen!
Dabei ist zwingend folgendes zu beachten:
- Die Tools müssen lokal installiert sein.
- Daten dürfen nicht an Dritte weitergeben werden.
- In der Datenschutzerklärung muss über den Einsatz der Tools informiert werden. Dort darf auch der Hinweis auf das Widerspruchsrecht nach Art. 21 Abs. 1 DSGVO nicht fehlen.
Wenden Sie sich bei Fragen gerne an uns.
C. Lürmann
Rechtsanwältin
Consultant für Datenschutz
Europäischer Gerichtshof für Menschenrechte (EGMR) zur privaten Nutzung von Firmen-PCs
In seinem Urteil vom 22.02.2018 - 588/13 beschäftigte sich der EGMR mit der Frage, ob die Durchsuchung des dienstlichen Computers ein Eingriff in das Recht auf Privatleben nach Art. 8 EMRK des Arbeitnehmers ist. Ein Arbeitnehmer wurde in diesem Fall entlassen, weil bei einer Durchsuchung seines Computers in einem Laufwerk, das mit „Persönliche Daten“ gekennzeichnet war im Ordner „Zum Lachen“ pornografische Dateien gefunden hatte. Eine interne Unternehmensrichtlinie gestattete in begrenztem Umfang die private Nutzung, die privaten Dateien sollten dann als „privat“ gekennzeichnet werden.
Der EGMR stellte fest, dass der Arbeitgeber grundsätzlich Dateien verwenden darf, die nicht eindeutig als „private Dateien“ gekennzeichnet sind. Entscheidend ist also eine unmissverständliche Kennzeichnung als solche. Der Ordnername „Persönliche Daten“ dürfte hierfür nicht ausreichen, da dies auch Dokumente sein können, die der Mitarbeiter als persönlich behandelt, die jedoch nicht eindeutig auch privat sind. Außerdem dürfe der Arbeitnehmer nicht ein gesamtes (berufliches) Laufwerk für private Zwecke verwenden.
Als Arbeitgeber sollten Sie unbedingt die Nutzung der betrieblichen Arbeitsmittel und elektronischen Kommunikationsmedien durch Ihre Mitarbeiter genau regeln. Wir empfehlen in der Regel, die Privatnutzung von betrieblichen Arbeitsmitteln und elektronischen Kommunikationsmedien zu verbieten. Die Mitarbeiter müssen dann über das Privatnutzungsverbot einschließlich der Folgen bei Zuwiderhandlung informiert (z.B. als Passus im Arbeitsvertrag) und über die Aufrechterhaltung des Privatnutzungsverbots regelmäßig belehrt werden.
OLG München zum berechtigten Interesse
Das OLG München (Teilurteil vom 24.10.2018 – 3 U 1551/17) hat zum berechtigten Interesse nach Art. 6 Abs. 1 lit. f) DSGVO entschieden, dass bei der Abwägung der Interessen der betroffenen Person und des Verantwortlichen/Dritten eine weite Auslegung des berechtigten Interesses (unions-)grundrechtlich geboten ist. Dabei sind nicht nur rechtliche, sondern auch wirtschaftliche und ideelle Interessen zu berücksichtigen.
AG Diez zu Schadensersatz für unzulässigen Newsletter
Das AG Diez (Urteil vom 07.11.2018 – 8 C 130/18) hat sich mit der Frage beschäftigt, ob für einen unzulässigen Newsletterversand Schadensersatz an die betroffene Person zu zahlen ist.
In diesem Fall hatte der Beklagte am Tag des Inkrafttretens der DSGVO eine E-Mail versandt, mit der er die Einwilligung des Klägers für den Versand des Newsletters einholen wollte. Für den Kläger war dies ein Verstoß gegen die DSGVO und er forderte 500 Euro Schmerzensgeld. Das AG Diez lehnte dies mit der Begründung ab, dass der Verstoß gegen die DSGVO ohne Eintritt eines Schadens nicht zum Schadensersatz führt. Es müsse ein „spürbarer Nachteil entstanden sein und es muss um eine objektiv nachvollziehbare, mit gewissem Gewicht erfolgte Beeinträchtigung von persönlichkeitsbezogenen Belangen gehen“.
Die Entscheidung lässt die Möglichkeit einer Bußgelderteilung durch die Aufsichtsbehörde unberührt. Auch wenn der betroffenen Person kein Schaden entstanden ist, liegt ein Verstoß gegen die DSGVO vor und die Aufsichtsbehörde kann ein entsprechendes Bußgeld erteilen. Denn auch die Einholung der Einwilligung ist schon als Werbemaßnahme zu sehen, selbst wenn in der E-Mail selbst noch keine Werbezusätze enthalten sind.
LAG Baden-Württemberg: Auskunftsrecht des Arbeitnehmers
Das LAG Baden-Württemberg hat im Urteil vom 20.12.2018 – 17 Sa 11/18 über den Umfang des Auskunftsrechts des Arbeitnehmers entschieden und das Auskunftsrecht der Arbeitnehmer gestärkt. Der Arbeitgeber muss demnach einem Arbeitnehmer umfassend Auskunft zu über ihn gesammelten Informationen geben. Dazu gehören Einsicht in die Personalakte, Informationen über interne Ermittlungen und nicht in der Personalakte gespeicherte Leistungs- und Verhaltensdaten (samt einer Kopie dieser Leistungs- und Verhaltensdaten gemäß Art. 15 Abs. 3 S. 1 DSGVO).
Der Arbeitgeber kann dies verweigern, wenn er ein Geheimhaltungsinteresse geltend macht. Er muss dieses konkret darlegen und darf sich nicht lediglich pauschal drauf berufen. Es ist eine Einzelabwägung zwischen dem konkreten Interesse des Arbeitnehmers an der Auskunftserteilung und dem betrieblichen Interesse des Arbeitgebers an der Auskunftsverweigerung bzw. an den berechtigten Interessen der Dritten erforderlich. Der Schutz von Informanten (sog. Whisteblowern) kann ein solches Geheimhaltungsinteresse darstellen.
Julia Eisenacher
Consultant für Datenschutz
Juristin (Univ.)