Bericht : Aus den aktuellen Berichten und Informationen der Aufsichtsbehörden (52): Einzelfälle zum Beschäftigtendatenschutz im 28. TB des LfDI Rheinland-Pfalz vom 12.01.2021 : aus der RDV 2/2021, Seite 110 bis 113

II. Kennzeichnung von Justizvollzugsbeamten durch bebilderte Namensschilder

Die Strafvollzugsbediensteten des Justizvollzugs im Land Rheinland-Pfalz müssen an ihrer Dienstkleidung ein Namensschild mit einem Bild tragen. Hiergegen hatte sich ein Justizvollzugsbeamter gewandt, weil es häufiger vorkomme, dass Bedienstete und deren Familien von Gefangenen bedroht würden. Anhand der Namen der Bediensteten sei es über Profilsuchen im Internet schnell möglich, beispielsweise über Social-Media-Plattformen oder Anfragen bei Meldebehörden, Erkenntnisse über die Bediensteten selbst oder auch deren Familien zu erlangen.

Der LfDI ließ diesen allgemeinen Einwand jedoch nicht gelten. Er rechtfertigt das Erfordernis eines Namensschildes mit § 2 S. 2, 3 Abs. 1 Landesjustizvollzugsgesetz bzw. § 2 Landessicherungsverwahrungsvollzugsgesetz, wonach die Sicherstellung des Verbleibs der Gefangenen in den Einrichtungen gesetzliche Aufgabe des Justizvollzugsbeamten ist. Das Tragen von Namensschildern mit Fotografien durch Justizvollzugsbedienstete innerhalb der Einrichtung ist zur Erfüllung dieser Aufgabe erforderlich. So ist beispielsweise denkbar, dass sich Gefangene Zugang zu Dienstkleidung verschaffen und versuchen können, als Justizvollzugsbedienstete gekleidet die Anstalt zu verlassen. Durch einen Abgleich des Namens und der Fotografie auf dem Namensschild mit der tatsächlichen Trägerin oder dem Träger können diese versuchten Täuschungen aufgedeckt und ein Entweichen von Gefangenen aus dem Justizvollzug verhindert werden. Die Verwendung einer Dienstnummer oder einer pseudonymen Kennzeichnung sei für diese Zwecke nicht geeignet, da der Dienstherr der Erfüllung seiner gesetzlich zugewiesenen Aufgabe, nämlich die Gewährleistung der öffentlichen Sicherheit und Ordnung, nur noch mit einem unverhältnismäßigen Aufwand Rechnung tragen könnte. Die Identifizierung eines als Justizvollzugsbediensteter getarnten Gefangenen würde erheblich erschwert. Insbesondere in größeren Einrichtungen kann nicht sichergestellt werden, dass sich die Bediensteten untereinander persönlich kennen und so einen Täuschungsversuch unmittelbar aufdecken könnten.

III. Übermittlung von personenbezogenen Gehaltsabrechnungen im Rahmen von Förderprojekten

Wiederholt hatte sich der LfDI mit der Frage zu beschäftigten, ob im Rahmen der Bereitstellung von Fördermitteln durch Ministerien die die Bewilligung vornehmende nachgeordnete Behörde die Vorlage von Gehaltsnachweisen des aus den Fördermitteln finanzierten Personals verlangen darf. Dazu verweist er zunächst auf folgende Rechtslage: „Gemäß § 23 der Landeshaushaltsordnung (LHO) dürfen Ausgaben und Verpflichtungsermächtigungen für Leistungen an Stellen außerhalb der Landesverwaltung zur Erfüllung bestimmter Zwecke (Zuwendungen) veranschlagt werden, wenn das Land an der Erfüllung durch solche Stellen ein erhebliches Interesse hat, das ohne die Zuwendungen nicht im notwendigen Umfang befriedigt werden kann. In diesem Zusammenhang normiert § 44 Abs. 1 LHO, dass zu bestimmen ist, wie die zweckentsprechende Verwendung der Zuwendungen nachzuweisen ist.

Hierzu wurden Regelungen in der Anlage der Verwaltungsvorschrift zum Vollzug der Landeshaushaltsordnung (VV-LHO) getroffen. Gemäß Ziffer 1.3 der allgemeinen Nebenbestimmungen für Zuwendungen zur Projektförderung (ANBest-P), die zum Bestandteil der Bewilligungsbescheide zumachen sind, ist anlässlich der Prüfung des Antrags auf Förderung unter anderem zu prüfen, ob der Zuwendungsempfänger seine Beschäftigten finanziell nicht besser stellt als vergleichbare Landesbedienstete. Höhere Vergütungen als nach dem TV-L bzw. dem TVöD sowie sonstige über- und außertarifliche Leistungen dürfen nicht gewährt werden. Um die Einhaltung dieser Nebenbestimmungen prüfen zu können, ist regelmäßig die Vorlage eines Gehaltsnachweises erforderlich, aus dem neben der Entgeltgruppe und der Entgeltstufe alle weiteren Bestandteile der Vergütung (wie z.B. Jahressonderzahlungen, Leistungsprämien, Bonuszahlungen, vermögenswirksame Leistungen etc.) hervorgehen, um diese für die Vergleichsberechnung zur Prüfung des Besserstellungsverbotes aus Ziffer 1.3 ANBest-P heranzuziehen. Um eine Vergleichsberechnung zur Prüfung des Besserstellungsverbotes aus Ziffer 1.3 ANBest-P durchführen zu können, sind in Zusammenhang mit Personalkosten u.a. die Eingruppierung (Entgeltgruppe und Entgeltstufe) der eingesetzten Personen sowie der entsprechende Arbeitsanteil, zu dem diese im Projekt tätig sind, anzugeben. Die Personalkosten selbst umfassen den Bruttoarbeitslohn zuzüglich der Arbeitgeberanteile zur Sozialversicherung. Darüber hinausgehende Angaben in den Gehaltsnachweisen (z.B. Familienstand und Konfession) können hingegen unkenntlich gemacht werden.“ Im Ergebnis kommt er zu dem Schluss, dass die Vorlage einer anonymisierten Gehaltsabrechnung nicht genüge, da ansonsten nicht sichergestellt werden könne, dass nur diejenigen aus den Zuwendungen bezahlt werden, welche in dem mit den Zuwendungen finanzierten Projekt tätig sind.

IV. Verarbeitung biometrischer Daten im Beschäftigtenverhältnis

Nicht hinnehmen müssen es nach Ansicht des LfDI Beschäftigte, dass der Arbeitgeber den Zugang zum dienstlichen Rechner durch biometrische Daten, in diesem Fall einen Fingerabdruck der Beschäftigten, absichert. Dies begründet er wie folgt: „Bei biometrischen Daten handelt es sich um besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DS-GVO. Die Verarbeitung solcher Daten in einem Beschäftigungsverhältnis ist gemäß § 26 Abs. 3 BDSG nur zulässig, wenn dies zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Bei dieser Norm handelt es sich um eine abschließende Regelung, sodass für darüber hinausgehende Verarbeitungsszenarien in einem Beschäftigungsverhältnis nur Raum bleibt, wenn diese explizit gestattet werden. Dies ist beispielsweise mit der Regelung von § 22 Abs. 1 Nr. 1 lit. b BDSG der Fall, welcher die Verarbeitung besonderer Kategorien personenbezogener Daten zur Beurteilung der Arbeitsfähigkeit von Beschäftigten erlaubt. Die in den entsprechenden spezialgesetzlichen Erlaubnistatbeständen in den Blick genommenen Kategorien besonderer personenbezogener Daten dürften derweil in erster Linie Gesundheitsdaten sein. Die Verarbeitung biometrischer Daten im Beschäftigungsverhältnis dürfte nur in den allerwenigsten Fällen angezeigt sein. Denkbar wäre dies beispielsweise bei Personen, die in sicherheitssensiblen Bereichen, wie z.B. klassifizierten Forschungsprojekten oder militärischen Einrichtungen, beschäftigt sind. Hier könnte ein Interesse daran bestehen, den Zugang zu Bereichen oder Informationen durch einen zusätzlichen Faktor, wie eben ein biometrisches Merkmal, abzusichern. Bei einer gewöhnlichen Tätigkeit besteht dieses Bedürfnis hingegen nicht, weshalb die Zulässigkeit einer derartigen Verarbeitung biometrischer Daten nicht gegeben ist.“ Sodann verweist er auf eine Entscheidung des Arbeitsgerichts Berlin (Urt. v. 16.10.2019 (Az. 29 Ca 5451/19 = RDV 2020), nach der eine Zeiterfassung per Fingerabdruck nicht ohne freiwillige Einwilligung der Beschäftigten erfolgen darf.

V. Zulässigkeit anlassloser Anti-Terror-Mitarbeiterscreenings

Aufgrund der EU-Antiterror-Verordnungen und der darin enthaltenen Bereitstellungsverboten sehen sich viele Unternehmen dazu gezwungen, anlasslose Anti-Terror-Mitarbeiterscreenings durchzuführen und ihre Beschäftigten turnusmäßig mit den Namenslisten der entsprechenden Verordnungen abzugleichen. Einerseits geschieht dies aus Angst vor Sanktionen nach dem Außenwirtschaftsgesetz (AWG), andererseits, um den Status eines „zugelassenen Wirtschaftsbeteiligten“ zu erhalten bzw. aufrecht zu erhalten. Mit der Zulässigkeit dieser Vorgehensweise hat sich der LfDI anlässlich einer Anfrage der Industrie- und Handelskammer auseinandergesetzt: „Zunächst ist anzumerken, dass die Anti-Terror-Verordnungen selbst keine Regelungen bezüglich der Verarbeitung von personenbezogenen Daten im Rahmen von Mitarbeiterscreenings enthalten. Sie ordnen lediglich an, dass den in einschlägigen Listen genannten natürlichen und juristischen Personen sowie Organisationen keine wirtschaftlichen Ressourcen bereitgestellt und ihnen gegenüber keine Leistungen erbracht werden dürfen. Dies schließt auch die Auszahlung von Lohn, Gehalt oder anderen vermögenswirksamen Leistungen ein (Bereitstellungsverbot).

Die einschlägige Rechtsgrundlage für anlasslose Anti-Terror-Mitarbeiterscreenings ist § 26 Abs. 1 S. 1 Bundesdatenschutzgesetz (BDSG). Dieser normiert, dass personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses unter anderem dann verarbeitet werden dürfen, wenn dies für die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung erforderlich ist. Zu diesen Zwecken gehören auch regelmäßige Entgeltzahlungen an Beschäftigte.

Anlasslose Listenabgleiche aufgrund dieser Rechtsgrundlage sind jedoch nur dann zulässig, wenn sie auch im Rahmen dieses Zweckes erforderlich sind. Eine Erforderlichkeit ist immer dann gegeben, wenn die personenbezogenen Daten für die Aufgabenerfüllung des Verantwortlichen unabdingbar sind. Dies ist wiederum der Fall, wenn die Aufgabe ohne die Kenntnis der Information nicht, nicht rechtzeitig, nur mit unverhältnismäßigem Aufwand oder nur mit sonstigen unverhältnismäßigen Nachteilen erfüllt werden kann. Einen solchen unverhältnismäßigen Nachteil für den Fall, dass ein Listenabgleich nicht erfolgt, stellen die in den Straf- und Bußgeldvorschriften des AWG in Aussicht gestellten Sanktionen bei Zuwiderhandlung dar. Die Höhe dieser Sanktionen hängt davon ab, ob von einer vorsätzlichen oder fahrlässigen Verwirklichung eines entsprechenden Bußgeldtatbestandes ausgegangen wird. Vorsatz setzt voraus, dass der Arbeitgeber Kenntnis davon hat, dass einer seiner Mitarbeiter auf einschlägigen Listen geführt wird. Für die Beurteilung des Merkmals der Fahrlässigkeit ist auf die Kenntnis des Arbeitgebers bezüglich der Möglichkeit des Eintritts der Tatbestandsverwirklichung abzustellen.

Es ist somit zu fragen, in welchem Maße der Arbeitgeber auf die anlasslosen Anti-Terror-Mitarbeiterscreenings angewiesen ist, um die Möglichkeit der Tatbestandsverwirklichung überhaupt zu erkennen. Dieses dürfte in kleinen und mittelgroßen Betrieben, in welchem der Geschäftsführer oder sonstige vertretungsberechtigte Organe dazu in der Lage sind, das Verhalten ihrer Mitarbeiter zu beobachten und daraus Schlüsse auf eine mögliche Zugehörigkeit zu terroristischen Netzwerken zu schließen, eher gering sein.

In Großkonzernen hingegen, die von einer diffizilen und schwer überblickbaren Unternehmensstruktur geprägt sind, dürften regelmäßige Screenings die einzige Möglichkeit für die im Sinne des AWG Verantwortlichen sein, den Vorwurf der fahrlässigen Begehungsweise entfallen zu lassen, da ihnen aufgrund der Tatsache, dass sie unmöglich jeden einzelnen Mitarbeiter persönlich kennen können, keine anderen Anhaltspunkte zur Verfügung stehen, um die möglicherweise bestehende Zugehörigkeit zu terroristischen Netzwerken beurteilen zu können. Die Erforderlichkeit der Verarbeitung von Beschäftigtendaten in Form eines Listenabgleichs kann also nicht für alle Unternehmen einheitlich beantwortet werden, sondern hängt maßgeblich von der Unternehmensstruktur ab.

Ähnlich verhält es sich auch mit dem Abgleich der AntiTerror-Listen zur Erlangung oder Aufrechterhaltung des Status eines „zugelassenen Wirtschaftsbeteiligten“ (Authorised Economic Operator – AEO) im Sinne des Unionszollkodex (UZK) und der Erteilung eines AEO-Zertifikates.

Wie die Nachweisführung zu erfolgen hat, ist in den verschiedenen europäischen Rechtsakten nicht geregelt. Jedoch verlangt die Bundeszollverwaltung zwingend einen regelmäßigen Abgleich des in sicherheitsrelevanten Bereichen eingesetzten Personals gegen die Anti-Terror-Listen. Auch hier geschieht der Listenabgleich zu Zwecken des Beschäftigungsverhältnisses, da es sich um Unternehmen handelt, die für den Bereich des grenzüberschreitenden Warenverkehrs bestimmte Erleichterungen bei der Abwicklung ihrer Tätigkeit, wie sie mit den AEO-Zertifikaten verbunden sind, in Anspruch nehmen wollen und die Erteilung dieser Zertifikate von Sicherheitsvorkehrungen in Form einer Überprüfung das Personals abhängig gemacht wird. Die Erforderlichkeit des Listenabgleichs kann bejaht werden, weil bei stark vom internationalen Handel abhängigen Verantwortlichen der Verzicht auf eine AEO-Zertifizierung zu erheblichen Nachteilen im Wettbewerb führen kann, die im Einzelfall existenzgefährdende Ausmaße annehmen können. Ohne Zertifizierung ist die Zollabwicklung mit einem deutlich höheren Aufwand verbunden, sodass Unternehmen mit hohem Zollumschlag ohne Zertifizierung kaum am Markt bestehen können.

Unter Zurückstellung von Bedenken ob des rasterfahndungsartigen Charakters der Anti-Terror-Mitarbeiterscreenings kann dieses auch im zweiten Fall auf § 26 Abs. 1 S. 1 BDSG gestützt werden, obgleich es wünschenswert wäre, dass der Gesetzgeber eine diesbezügliche explizite Regelung schafft.

Da es sich bei den in Rede stehenden Listenabgleichen um Eingriffe hoher Intensität handelt, ist der Grundsatz der Verhältnismäßigkeit dadurch erhöht Rechnung zu tragen, dass Screening-Maßnahmen auf das absolut erforderliche Minimum beschränkt werden. Dies kann durch die Wahl eines angemessenen großen Intervalls bewerkstelligt werden. Auch hier sind wieder die unternehmensspezifischen Besonderheiten zu beachten. Sofern im Einzelfall kein konkreter Anlass besteht, ist ein jährlicher anlassloser Abgleich nicht zu beanstanden.

In sicherheitsrelevanten Bereichen, beispielsweise der Rüstungs- oder Atomindustrie, sowie bei erhöhter Risikolage kann allerdings eine engmaschigere Prüffrequenz angezeigt sein.

Ein Abgleich aller der in der Terrorliste enthaltenen Daten mit den im Unternehmen vorliegenden Beschäftigtendaten ist aber nicht angezeigt. Abgeglichen werden soll-ten ausschließlich diejenigen Daten, die zur eindeutigen Identifizierung eines Beschäftigten unbedingt notwendig sind. Dies sind in aller Regel der Vor- und der Nachname. Lediglich im Falle eines konkreten Verdachts oder bei Zweifeln an der Identität einer Person, beispielsweise bei übersetzungsbedingten abweichenden Namensschreibweisen, kann ein Abgleich weiterer Identifikationsmerkmale angezeigt sein. Aufgrund der erhöhten Eingriffsintensität und um dem Grundsatz der Datenminimierung Rechnung zu tragen, ist es sinnvoll, die Listenabgleiche unternehmensintern vorzunehmen, damit ein weiterer Übermittlungsvorgang an einen das Screening durchführenden Dienstleister vermieden wird. Wird ein solcher eingeschaltet, handelt es sich um eine Auftragsverarbeitung, welche sich an den in der DS-GVO niedergelegten Anforderungen messen lassen muss.

VI. Das Recht auf Erhalt einer Kopie im Arbeitsverhältnis

Wiederholte Beschwerden zu Auskunftsansprüchen gegenüber ehemaligen Arbeitgebern weisen nach Ansicht des LfDI darauf hin, dass insb. das „Recht auf Erhalt einer Kopie“nach Art. 15 Abs. 3 DS-GVO nicht selten instrumentalisiert wird, um einem ehemaligen Arbeitgeber möglichst viele Unannehmlichkeiten zu bereiten bzw. um durch ein eingeleitetes Bußgeldverfahren die eigene Verhandlungsposition in Bezug auf die Höhe ihrer Abfindung zu verbessern. Auch in Anbetracht der von der Rechtsprechung unterschiedlich gezogegen Reichweite des Anspruchs auf Kopien (LAG BadenWürttemberg , Urt. v. 20.12.2018 – AZ: 17 Sa 11/18 bzw. LG Köln, Urt. v. 18.3.2019 – 26 O 25/18) vertritt der LfDI derzeit folgende Position: „Sofern spezialgesetzliche Regelungen, wie dies im Bereich des Beschäftigtendatenschutz in Bezug auf die Personalakte der Fall ist, das Recht auf Akteneinsichtnahme regeln, handelt es sich hierbei um das am weitesten gehende Recht. Im Rahmen einer Akteneinsichtnahme kann der (ehemalige) Beschäftigte auch Kopien verlangen. Der Arbeitgeber hat dem nachzukommen, sofern dies nicht mit einem unverhältnismäßigen Aufwand (z.B. aufgrund des Umfangs der Personalakte) verbunden ist.“

Andererseits sei der Arbeitgeber aber nicht verpflichtet, sämtliche personenbezogene Daten des Beschäftigten (z.B. aus vorangegangenem E-Mail-Verkehr oder aus sonstigen Sachakten) bei der Geltendmachung des Rechts auf Erhalt einer Kopie zusammenzutragen.

VII. Bußgelder gegen öffentlich Bedienstete

Polizeibeamte, die zu privaten Zwecken Personenabfragen in polizeilichen Informationssystemen vorgenommen haben, können nach einer neuen Regelung im Landesdatenschutzgesetz mit einem Bußgeld belegt werden. § 24 LDSG eröffnet diese Möglichkeit gegenüber einem Beschäftigten im Falle eines sog. Exzesses. Dies ist insbesondere bei ausschließlich privat motivierten Datenabfragen und -nutzungen der Fall. Sofern dem LfDI solche Fälle bekannt wurden, wurden Bußgeldverfahren gegen die Beamten eingeleitet.

* Der Autor ist Ehrenvorsitzender der Gesellschaft für Datenschutz und Datensicherheit e.V., Bonn.