Home / Aktuelles & Termine / it.sec blog

Die Verarbeitung personenbezogener Daten kann nur auf die Einwilligung der betroffenen Person gestützt werden (Art. 6 Abs. 1 lit. a), Art. 7 DSGVO), wenn diese wirksam erteilt worden ist:

  • Die betroffene Person muss ihre Einwilligung ausdrücklich erklären, durch ihre Unterschrift oder zumindest durch eine unmissverständliche Handlung.
  • Die betroffene Person muss vor Abgabe ihrer Einwilligung ausreichend über die geplante Datenverarbeitung informiert worden sein (-> Transparenz, Informationspflichten aus Art. 13 DSGVO).
  • Die betroffene Person muss vor Abgabe ihrer Einwilligung über ihr Widerrufsrecht in Kenntnis gesetzt worden sein (Art. 7 Abs. 3 DSGVO).
  • Die betroffene Person muss ihre Einwilligung freiwillig (d.h. ohne jeglichen Zwang) erteilt haben.
  • Der Verantwortliche muss beweisen können, dass die Einwilligung vorliegt (-> schriftlich, elektronisch, Archivierung).

Gerne verweisen wir auf unseren Blogbeitrag vom 15.11.2016.

Da jedoch im wirtschaftlichen Abhängigkeitsverhältnis zwischen Beschäftigtem und Arbeitgeber gerade das Kriterium der Freiwilligkeit oftmals nur unzureichend erfüllt ist, trifft § 26 Abs. 2 BDSG-Neu zusätzliche Regelungen, unter welchen Umständen Beschäftigte in die Verarbeitung ihrer Daten durch den Arbeitgeber wirksam einwilligen können:

  • Durch die Einwilligung muss der Beschäftigte einen rechtlichen oder wirtschaftlichen Vorteil erreichen oder zumindest müssen Arbeitgeber und Beschäftigter damit gleichgelagerte Interessen verfolgen.
  • Dem Beschäftigten dürfen keine arbeitsrechtlichen Konsequenzen oder sonstigen Nachteile für sein bestehendes Arbeitsverhältnis drohen, wenn er seine Einwilligung nicht erteilt oder die Einwilligung widerruft.
  • Die Einwilligung muss grundsätzlich in Schriftform erteilt werden.

S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.

Der europäische Gerichtshof für Menschenrechte, im Folgenden ‚Gerichtshof‘ genannt, hat im Fall einer Kündigung eines Arbeitnehmers entschieden, dass die der Kündigung vorangegangene Aufzeichnung von dessen Online-Aktivitäten zu stark in sein Recht auf Achtung des Privat- und Familienlebens gemäß Art. 8 der Europäischen Menschenrechtskonvention (MRK) eingreife. Damit seien weder die Überwachung noch die Kündigung auf Basis der mit der Überwachung erhobenen Daten rechtens gewesen.

Der Arbeitnehmer war Angestellter in einem Unternehmen mit Sitz in Rumänien; dieses hatte den Mitarbeitern untersagt, die betrieblichen Arbeitsmittel und elektronischen Kommunikationsmedien für private Zwecke zu nutzen. Über einen Messenger-Dienst, der ausschließlich der Geschäftskorrespondenz diente, kommunizierte der Arbeitnehmer dennoch mit seinem Bruder und seiner Verlobten. Dabei wurden nicht nur die Verbindungsdaten, sondern ebenso die vollständigen Kommunikationsinhalte und damit sehr intime Gesprächsverläufe durch den Arbeitgeber aufgezeichnet. Auf Grundlage dieser Beweise für die Privatnutzung wurde dem Arbeitnehmer die Kündigung ausgesprochen.

Nachdem der Arbeitnehmer vor zwei nationalen Instanzen mit der Klage gegen seinen ehemaligen Arbeitgeber scheiterte, reichte der Arbeitnehmer Klage wegen Verletzung seines Rechts auf Achtung des Privat- und Familienlebens beim Gerichtshof ein.

Der Gerichtshof rügte in seinem Urteil, dass die Vorinstanzen in ihren Urteilen nicht ausreichend berücksichtigt hätten, inwiefern der Arbeitnehmer im Vorhinein über die Überwachungsmaßnahmen, die Art und Weise sowie den Umfang der Überwachung informiert worden war und inwieweit diese Überwachung unverhältnismäßig in das Privatleben des Arbeitnehmers eingegriffen hätte. Denn nach Feststellung des Gerichtshofs war die Überwachung unzulässig, so dass die dabei erhobenen Daten schon nicht zur Beendigung des Beschäftigungsverhältnisses hätten verarbeitet werden dürfen.

In seinem Urteil hat der Gerichtshof zugleich sechs Punkte festgelegt, welche zur Beurteilung der Zulässigkeit der Beschäftigtenüberwachung und der damit verbundenen Datenverarbeitung herangezogen werden sollen: Ausreichende Informierung der betroffenen Person (Transparenz), Rechtmäßigkeit der Datenverarbeitung, insbesondere ob ein berechtigtes Interesse des Arbeitgebers besteht, Einschränkung der Datenverarbeitung auf das erforderliche Maß (Datenminimierung), Zweckbindung und Verhältnismäßigkeit der Datenverarbeitung sowie Wahrung der Vertraulichkeit durch Schutzmaßnahmen, die den potenziellen Bedrohungen für die Rechte und Freiheiten der betroffenen Person bei einer solchen Überwachung Rechnung tragen.

Der Gerichtshof hat damit klargestellt, dass der Arbeitgeber sich auch bei der Überprüfung der Einhaltung des Privatnutzungsverbots an die Datenschutzprinzipien halten muss, so dass auch hier eine Datenverarbeitung, die zu einer anlass- und lückenlosen Beschäftigtenkontrolle führt, nicht zulässig ist.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Die technischen Möglichkeiten, miteinander zu kommunizieren, ohne dabei im gleichen Raum oder sogar im gleichen Land zu sein, nehmen in der heutigen Zeit immer stärker zu. Dabei ist die Videotelefonie eine jener Methoden, welche eine schnelle und dennoch auch persönliche Kommunikation ermöglichen.

Diese Möglichkeit nutzen Unternehmen bereits in vielen Bereichen. Insbesondere werden zunehmend Bewerbungsgespräche über den Online-Dienst Skype abgehalten, anstatt den potentiellen Kandidaten vor Ort zu empfangen. Dies erspart Arbeitgeber und Bewerbern Zeit und Kosten.

Zum Einsatz von Skype im Bewerberauswahlverfahren hat sich die Berliner Beauftragte für Datenschutz und Informationsfreiheit in ihrem aktuellen Jahresbericht geäußert. So werden bei einem Bewerbungsgespräch über den Online-Dienst Skype nicht nur die für die Entscheidung über die Begründung des Beschäftigungsverhältnisses erforderlichen personenbezogenen Daten verarbeitet, sondern darüber hinaus sowohl Bild- als auch Tonaufnahmen erhoben und etwaige Chatprotokolle sowie sonstige Nutzungsdaten für 90 Tage gespeichert. Gleichzeitig werden die Daten an die Microsoft Corporation und damit an einen Dritten übermittelt, womit ebenso eine Datenübermittlung in Drittstaaten verbunden ist. Die dabei notwendigen Einwilligungen der Bewerber für eine solche Datenverarbeitung lassen sich auch nicht wirksam einholen, da das Kriterium der Freiwilligkeit nur unzureichend erfüllt sei. Daher wird vom Einsatz des Online-Dienstes Skype abgeraten.

Leider wird dabei von der Aufsichtsbehörde unberücksichtigt gelassen, ob und wenn ja, welche Änderungen sich in dieser Bewertung ergäben, wenn Skype for Business eingesetzt und die Microsoft Corporation als Auftragsverarbeiter des Arbeitgebers tätig wird, ob durch deren Privacy Shield-Zertifizierung die Rechte der betroffenen Personen nicht doch ausreichend gewahrt und diese hinreichend informiert würden und unter welchen Voraussetzungen eine Einwilligung der Bewerber dennoch wirksam eingeholt werden könnte.

Lisa Benjowski
Informationsjuristin (LL.B.), Consultant für Datenschutz

Das heutige Urteil des Bundesarbeitsgerichts (BAG, Urteil vom 27. Juli 2017, 2 AZR 681/16) befasste sich mit der Frage, ob personenbezogene Daten, die mittels Überwachungssoftware auf einem Arbeitsplatz-Rechner erhoben wurden, auch zur Beendigung eines Beschäftigungsverhältnisses verarbeitet werden dürfen.

Über einen Software-Keylogger, der auf dem vom Arbeitgeber zur Verfügung gestellten PC eines Mitarbeiters installiert wurde, wurden die Tastatureingaben des Mitarbeiters protokolliert sowie in regelmäßigen Abständen Screenshots vom Bildschirm angefertigt. Diese Maßnahme des Arbeitgebers erfolgte wohl heimlich oder zumindest gab der Arbeitgeber einen anderen Zweck für eine solche Datenverarbeitung an.

Anschließend wurden die Daten jedoch zum Zwecke der Verhaltenskontrolle des Mitarbeiters verwendet und das dadurch aufgedeckte Fehlverhalten des Mitarbeiters als Anlass zur Kündigung genommen.

Zwar besteht grundsätzlich ein berechtigtes Interesse des Arbeitgebers, die Begehung von Vertragsverletzungen zu seinen Lasten oder gar Straftaten durch den Mitarbeiter im Arbeitsverhältnis aufzudecken. Nach Sicht des Bundesarbeitsgerichts hatte der Arbeitgeber jedoch vor Einsatz der Überwachungssoftware keinen „auf Tatsachen beruhenden Verdacht einer Straftat oder einer anderen schwerwiegenden Pflichtverletzung“ (Pressemitteilung Nr. 31/17 des Bundesarbeitsgerichts). Das Bundesarbeitsgericht hat daher bereits die mit dieser anlass- und lückenlosen Überwachung einhergehende Datenerhebung als unzulässig erachtet, da dies gegen das Datenschutzprinzip der Verhältnismäßigkeit verstoße.

Somit dürfen die in unzulässiger Weise erhobenen Daten nicht zur Beendigung des Beschäftigungsverhältnisses verarbeitet werden. Und ohne die Daten lässt sich die Kündigung des Mitarbeiters nicht rechtfertigen.

S. Kieselmann
Beraterin für Datenschutz
Dipl.sc.pol.Univ.

Abbinder Abmahnung Abmahnungen Abo-Falle ADCERT Angemessenheitsbeschluss Angriff Anklage Anwendbarkeit Anwendung Arbeitgeber Arbeitnehmer Arbeitsrecht Art. 17 DSGVO Art. 25 DSGVO Art. 26 DSGVO Art. 32 DSGVO Art. 37 DSGVO Art. 4 Nr. 12 DSGVO Art. 45 DSGVO Art. 8 MRK Art. 9 DSGVO Auchfsichtsbehörde Audit Aufsichtsbehörde Auftragsverarbeiter Auftragsverarbeitung Auskunftei Auskunftsrecht Automatisierte Einzelentscheidung Autsch Backup BAG BayDSG Bayerisches Datenschutzgesetz BDSG-Neu BEAST Begrifflichkeiten Beherbergungsstätten BEM Benachrichtigungspflicht Beschäftigtendatenschutz besondere Kategorien personenbezogener Daten betriebliche Eingliederungsmanagement betriebliche Nutzung betrieblicher E-Mail-Account betrieblicher Internetzugang Betriebsvereinbarung Betroffenenrechte BfDI BGH Bildberichterstattung Bildrechte biometrische Daten Biometrische und genetische Daten Bitcoins Bitkom Bonitätsprüfung Brexit Browser Bund Bundesarbeitsgericht Bußgeld Bußgelder BVG Cloud CNIL Compliance Cookie Custom Audience Cyber Dashcam Daten Datenlöschung Datenminimierung Datenpanne Datenschutz Datenschutz Grundverordnung Datenschutz-Folgenabschätzung Datenschutz-Schulungen Datenschutzabkommen Datenschutzauskunft-Zentrale Datenschutzbeauftragte Datenschutzbeauftragter Datenschutzerklärung Datenschutzgrundsätze Datenschutzgrundverordnung datenschutzkonform Datenschutzprinzipien Datenschutzverletzung Datensicherheit Datenübermittlung Datenübermittlung an Dritte Datenübermittlung in Drittstaaten Datenverarbeitung Dating Dating-Portale Deutsche Bahn Dienstleister Do not track-Funktion Donald Trump Dritter Drittstaat ohne angemessenes Datenschutzniveau Drittstaaten DSAnpUG-EU DSGVO DSK dynamische IP-Adresse E-Mail e-Privacy-Verordnung E-Rechnung eCall-Technologie EES EFAIL Einwilligung Einwilligungserklärung Einwilligungserklärungen Empfänger Entsorgung Erhebung Erhebung personenbezogener Daten Erwägungsgrund 48 der DSGVO eSafety-Initiative ETIAS EU EU-Datenschutz-Grundverordnung EU-Parlament EuGH Europäische Union Extra-Bezahlung Extra-Kosten Facebook Facebook-Fanpages Facebook-Pixel Fachbereich Fahrzeugdaten Fahrzeuge Fanpage Fanpagebetreiber FBI Feedback Fernmeldegeheimnis FlugDaG Fluggastdaten Folgenabschätzung Foto Funkmäuse Funktastaturen Geldbörse Gemeinsam Verantwortliche Gericht Gesetz gegen den Unlauteren Wettbewerb Gesundheitsdaten Google Google Analytics hacken Hacker Hash-Verfahren Hausverwaltung Head of Cyber Security Architectur Home Office Immobilienmakler Informationspflicht Informationspflichten Informationssicherheit Infrastruktur Inhalteanbieter Insights interner Datenschutzbeauftragter Investition IP-Adresse Irland ISO/IEC 27001 IT Governance IT GRC IT-Forensik IT-forensische Untersuchung IT-Security IT-Sicherheit IT-Systeme ITSECX Jin-hyok Joint Control Kanada Keynote Klagebefugnis Klingelschilder Kommune Konferenz Kontaktdaten Kontakte Konzern konzerninterner Datentransfer KoSIT Kriminalität KUG Kundenbindung Kundenzufriedenheit Kunsturhebergesetz Lazarus Leistungs- und Verhaltenskontrolle Löschung personenbezogener Daten Löschungsrecht Lösegeld Malware Markennamen Markenrecht Marktortprinzip MD5 Meldepflicht Meldescheine Meldung Meltdown Messenger Microsoft Mieter Misch-Account Mitarbeiter Mitbewerber MouseJack-Angriffe Netzwerklabor NIST Nordkorea Nutzungsbedingungen Öffnungsklauseln One Stop Shop Österreich Papierrechnung Passenger Name Records Passwort Passwörter Passwörter. 2016 Passwortregeln Passwortschutz Patientendaten Penetrationstest Personalausweiskopien personenbezogene Daten Personenbilder Persönlichkeitsrechte Pflichten Plattformbetreiber PNR-Daten PNR-Instrumente POODLE Privacy by Default Privacy by Design Privacy Shield privat private Handynummer private Mobilfunknummer Privatnutzung Privatnutzungsverbot Privatsphäre Profiling Quantencomputer Ransomware reale Infrastruktur Rechenzentren Rechenzentrum Recht auf Achtung des Privat- und Familienlebens Recht auf Berichtigung Recht auf Datenübertragbarkeit Recht auf Einschränkung Recht auf Löschung Rechte Rechte der betroffenen Person Referenten Regelungsaufträge Reichweitenanalyse Risiko Risikomanagement Risk & Compliance Management Rufschädigung SamSam Sanktionen Schaden Schadprogramm Seitenbetreiber SHA1 sicher Sicherheitsvorfall Sicherheitsvorfälle kritische Infrastrukturen IT-Sicherheitsbeauftragten ISMS Sicherung der Daten Siegel Skype Smartphone Software Software-Entwicklung Sony Sony PSN Soziale Netzwerke Spectre Sponsoren Standardvertragsklauseln Strafe Strafverfolgung Studenten Supercomputer Risikolage Support Technische & organisatorische Maßnahmen technische & organisatorische Maßnahmen Telefonnummer Telemediendienst Telemediengesetz Telstra Security Report TKG TLS TMG Tracking Tracking Tools Twitter Übermittlung personenbezogener Daten Überwachungssoftware Umfrage Umsetzungsfrist unpersonalisierter Benutzer-Account Unternehmensgruppe US-Regierung USA UWG Verantwortlicher Verantwortung Vereinbarung Vernichtung von Datenträgern Veröffentlichung Verordnung (EU) 2015/758 verschlüsseln Verschlüsselte E-Mails Verschlüsselungsverfahren Verstoß Verstöße Vertrag zur Auftragsverarbeitung Verwaltungsakt Verwaltungsgericht Karlsruhe Videoüberwachung Virus Vorteile WannaCry Webseite Webseiten Webtracking Webtrecking Werbeaussage Werbung Wettbewerb Wettbewerbsrecht wettbewerbsrechtliche Abmahnung Wettbewerbsverstöße WhatsApp Whistleblowing Widerruf Widerrufsrecht Widerspruchsrecht Wohnung X-Rechnung Zertifikat Zertifizierung Zugangsdaten Zugriff zulässig Zulässigkeit § 15 TMG § 26 BDSG-Neu § 32 BDSG § 32 DSGVO § 35 BDSG-Neu § 38 BDSG-Neu § 3a UWG § 42a BDSG § 42b BDSG § 88 TKG

Tags

Mo Di Mi Do Fr Sa So
          1 2
3 4 5 6 7 8 9
10 11 12 13 14 15 16
17 18 19 20 21 22 23
24 25 26 27 28 29 30
31