Jusletter IT

«Die in jüngster Zeit bekannt gewordenen Bespitzelungen von Arbeitnehmern beim Discounter Lidl und der Fast-Food-Kette Burger King, bei Novartis, Lufthansa oder der Deutschen Telekom zeigen, dass der Arbeitnehmer verstärkt als Risikopartner, nicht aber als Partner wahrgenommen wird.»¹

Welche Datenerhebungen zur Umsetzung von Compliance stellen Datenschutzverstöße dar? Welche Maßnahmen zur Kontrolle bzw. Überwachung von Beschäftigten sind datenschutzrechtlich zulässig oder sogar aus rechtlichen Gründen geboten?² Es gibt Anlässe genug, sich mit dem Verhältnis zwischen Compliance und Datenschutz zu befassen. Dazu ist zunächst zu klären, was unter Compliance verstanden werden soll. Ihre rechtliche Beurteilung sollte auf mindestens vier Determinanten des Schutzgegenstands, der Akteure, des Charakters der Vorgaben und der Umsetzungsmaßnahmen bezogen werden. Non-Compliance hängt in der Regel mit der Vernachlässigkeit von Faktoren ab, die einer oder mehrerer dieser Determinanten zuzuordnen sind (2.). Schließlich ist auf die Rolle des Datenschutzes als Gegenstand und als Maßstab von Compliance (3.) einzugehen und zu klären, welche Antworten hierzu der neu in Kraft getretene § 32 BDSG geben kann (4.).

Der Begriff Compliance wird häufig als die Gesamtheit der organisatorischen Maßnahmen verstanden, die erforderlich sind, damit sich ein Unternehmen im Ganzen rechtskonform verhält.³ Dabei ist ein Unternehmen «compliant», wenn seine Leitung sich nicht nur verbal zu Rechtstreue bekennt, sondernaktiv tätig wird, um eine rechtskonform handelnde Organisation zu gewährleisten. Als eine relevante gesetzliche Legitimationsgrundlage wird häufig § 91 Abs. 2 AktG zitiert, wonach der Vorstand einer Aktiengesellschaft «geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten (hat), damit denFortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden.» In Deutschland hat im Jahr 2002 eine von der Bundesjustizministerin eingerichtete Regierungskommission einenDeutschen Corporate Governance Kodex [DCGK] verabschiedet, der sich mit dem Thema Compliance bei börsennotierten Gesellschaften befasst. Ziffer. 4.1.3 DCGK definiert Compliance wie folgt:

«Der Vorstand hat für die Einhaltung der gesetzlichen Bestimmungenund der unternehmensinternen Richtlinien zu sorgen und wirkt auf deren Beachtung durch die Konzernunternehmen hin (Compliance).»

Der Schutzgegenstand von Compliance ist also nicht nur die Einhaltung von zwingenden gesetzlichen Vorgaben. Je nachdem was unter «unternehmensinternen Regeln» zu verstehen ist, verlangt Compliance auch das Hinwirken auf die Einhaltung einer Vielzahl von Regeln, die nicht vom deutschen Gesetzgeber vorgegeben sind. Der DCGK selbst enthält neben der Zusammenfassung gesetzlicher Regelungen Empfehlungen und Anregungen, wie börsennotierte Gesellschaften im Sinne der Einhaltung «international und national anerkannter Standards guter und verantwortungsvoller Unternehmensführung» geleitet und überwacht werden sollten.⁴ Er verlangt auch, dass Vorstand und Aufsichtsrat «im Einklang mit den Prinzipien der sozialen Marktwirtschaft für den Bestand des Unternehmens und seine nachhaltige Wertschöpfung sorgen (Unternehmensinteresse).⁵ »

Compliance ist damit einunscharfer Begriff , weil er heute weit mehr als die Einhaltung von Gesetzen durch die Unternehmensleitung bedeutet. Er umfasst die organisatorischen Maßnahmen eines Unternehmens zur Einhaltung von allen Regeln, die das Ziel haben, im weitesten Sinne Schaden von sich abzuwenden.

Compliance betrifft alle Mitglieder eines Unternehmens, teilweise auch weitere Personen außerhalb des Unternehmens.⁶

Zuvörderst trägt dieUnternehmensleitung eine gesteigerte Verantwortung für das rechtmäßige Handeln des Unternehmens. Zur Umsetzung von Compliance werden zunehmend Compliance-Abteilungen oderCompliance-Officer eingesetzt, früher wurde diese Aufgabe oft von derinternen Revision wahrgenommen. Einem Compliance-Officer kann unter bestimmten Voraussetzungen eine strafrechtliche Garantenstellung zukommen, sofern er seine dienstlichen Pflichten vernachlässigt und dies zu strafrechtlich relevanten Schäden führt.⁷ Die von der Unternehmensleitung erlassenen unternehmensinternen Regelwerke betreffen in der Regel dieBeschäftigten , die als Adressaten die Ge- und Verbote zu beachten haben. Sie sehen sich zugleich Überwachungsmaßnahmen der Unternehmensleitung ausgesetzt, die der Compliance dienen sollen. Unter Umständen werden derartige Regelwerke aufgrund von gesetzlichen Mitbestimmungsrechten mit der betrieblichenBeschäftigtenvertretung abzustimmen sein. Statuiert die Unternehmensleitung für die Beschäftigten beispielsweise eine Meldepflicht bei Rechtsverstößen, richtet sie in der Regel eine Stelle ein, die solche Meldungen entgegennimmt und verarbeitet. Derartige Meldungen sind die Meldenden oft heikel, insbesondere wenn die Mitteilungen direkte Vorgesetzte betrifft. Funktionsvoraussetzung für ein Meldewesen ist deshalb in aller Regel die Zusicherung von Vertraulichkeit. Um diese Vertraulichkeit zu gewährleisten nehmen nicht selten «neutrale», externeOmbudsleute die Rolle der Meldestelle wahr. In den eingangs erwähnten Datenschutzskandalen erfolgte die Beschäftigtenkontrolle häufig nicht allein durch die Compliance-Abteilung. Vielmehr wurdenexterne Dienstleister eingeschaltet, was nicht generell rechtswidrig sein muss, aber stets zu einer besonders sorgfältigen Prüfung der Rechtmäßigkeit der Maßnahme Anlass gibt.

Der Unternehmensleitung stehen in der Regel mehrere Optionen zur Verfügung, wie sie Beschäftigte auf Compliance-Richtlinien verpflichtet.

Zunächst kann sie von ihrem beschäftigungsvertraglichenDirektionsrecht Gebrauch machen. Dieses Weisungsrecht gibt dem Beschäftigungsgeber im Rahmen der Billigkeit die Möglichkeit, die beschäftigungsrechtlichen Vertragspflichten der Beschäftigten näher zu konkretisieren, vgl. § 106 GewO, § 315 BGB. Als eine wesentliche Grenze dieser einseitigen Regelungsbefugnis hat er insbesondere die Grundrechte der Beschäftigten zu beachten. Neue Verpflichtungen für die Beschäftigten kann der Beschäftigungsgeber durch sein Weisungsrecht nicht schaffen.⁸ Die Unternehmensleitung kann Compliance-Regeln auch im Wege vonbeschäftigungsvertraglichen Vereinbarungen verbindlich einführen. Dieser Weg kann geboten sein, wenn für Beschäftigte neue Pflichten begründet werden sollen, die vom Direktionsrecht nicht mehr abgedeckt sind. Standardisierte vertragliche Compliance-Regeln, wie sie in Großunternehmen üblich sind, unterliegen der allgemeinen Inhaltskontrolle für Standardarbeitsbedingungen gemäß §§ 305 ff. BGB. Compliance-Regeln können schließlich auch im Rahmen einerBetriebsvereinbarung bzw. Dienstvereinbarung eingeführt werden. Aus datenschutzrechtlicher Sicht stellt eine solche Kollektivvereinbarung eine Rechtsvorschrift im Sinne des § 4 Abs. 1 BDSG dar. Sie kann damit auch bestimmte Verarbeitungen personenbezogener Daten legitimieren, die durch gesetzliche Vorschriften nicht gerechtfertigt wären. Allerdings sieht § 75 Abs. 2 BetrVG dazu vor, dass die Betriebspartner das allgemeine Persönlichkeitsrecht der im Betrieb beschäftigten Arbeitnehmer «zu schützen und zu fördern» haben. Betriebsvereinbarungen müssen mithin im Einklang mit höherrangigem Recht stehen und insbesondere mit dem grundrechtlich gewährleisteten allgemeinen Persönlichkeitsrecht vereinbar sein.⁹ Entsprechendes gilt für Dienstvereinbarungen bei öffentlichen Stellen.

Ein Unternehmen verhält sich compliant, wenn alle seine Akteure rechtskonform handeln. Um dies zu erreichen, werden typischerweise mindestens drei Arten¹⁰ von organisatorischen Maßnahmen getroffen.

Zu organisatorischen Maßnahmen gehört es regelmäßig, eineSensibilisierung für Compliance-Themen bei Management und Beschäftigten zu erzeugen. Dies kann unter anderem durch vertragliche Festlegungen, einen unternehmenseigenen Ethikkodex, durch besondere Weisungen und Schulungen geschehen. Die Einhaltung unternehmensinterner Vorschriften wird überdies durchÜberwachungsmaßnahmen kontrolliert. Für die rechtliche Beurteilung derartiger Maßnahmen ist es relevant, ob sie zur (meist) nachträglichen Aufklärung eines konkreten Schadensfalls erfolgt, ob sie eine verdachtsfreie Kontrolle darstellt oder zu rein präventiven Zwecken erfolgt. Beispiele hierzu sind Whistleblower-Hotlines, Screenings und Drogentests. Ergeben solche Ermittlungen Verstöße, muss das Unternehmen entscheiden, ob es gegenüber dem BetroffenenSanktionen verhängt.

Soweit Compliance die Einhaltung von Gesetzen betrifft,zählt Datenschutz zum Schutzgegenstand von Compliance. Es ist selbstverständlich, dass bei der Verarbeitung personenbezogener Daten datenschutzgesetzliche Regelungen insbesondere des BDSG (oder des einschlägigen LDSG) ebenso wie andere Gesetze eingehalten werden.

Compliance-Maßnahmen mit Bezug auf den Schutzgegenstand Datenschutz sind die Erstellung eines Verfahrensverzeichnisses nach §§ 4d, 4e BDSG, die Bestellung eines betrieblichen Datenschutzbeauftragten nach § 4f BDSG, die Verpflichtung der Beschäftigten auf das Datengeheimnis nach § 5 BDSG, Schulungen nach § 4g Abs. 1 Nr. 2 BDSG, die Vorabkontrolle nach § 4d Abs. 5, 6 BDSG sowie die laufende Kontrolle nach § 4g Abs. 1 Nr. 1 BDSG. In gewisser Weise verordnet das BDSG damit ausdrücklich eine ganze Reihe organisatorischer Maßnahmen zum Schutz des Persönlichkeitsrechts von Personen, die von der unternehmenseigenen Verarbeitung personenbezogener Daten betroffen sein können. Das Erstellen einer Privacy Policy¹¹ oder das Durchführen von Audits¹² sind nicht unmittelbar gesetzlich geforderte Vollzugsmaßnahmen, die ebenfalls der Datenschutz-Compliance dienen.

Geht der Schutzgegenstand der unternehmenseigenen «Compliance» über die Einhaltung gesetzlicher Vorschriften hinaus, kann bereits diese «überschießende Compliance» durchaus gegen geltendes Datenschutzrecht verstoßen. Der Schutzgegenstand von Compliance muss seinerseits rechtskonform sein. Im Rahmen der datenschutzrechtlichen Bewertung empfiehlt es sich deshalb, alle in Betracht kommenden Determinanten darauf hin zu überprüfen, welche Faktoren zu einem Non-Compliance-Fall geführt haben.

Der Gesetzgeber hält die Unternehmen einiger Wirtschaftsbranchen zwar ausdrücklich dazu an, innerorganisatorische Maßnahmen zu treffen.¹³ Leider hat er es insoweit bis Mitte des Jahres 2009 versäumt, dazu konkrete Datenverarbeitungsregeln zu erlassen.¹⁴ Bei der Implementierung von Compliance ist deshalb darauf zu achten, dass sich verantwortliche Stellen sich zu Compliancefragen so positionieren, dass sie sich selbst nicht in Widerspruch zum deutschen Recht setzen. Notfalls müssen internationale Standards an das deutsche Datenschutzrecht angepasst werden.¹⁵

In den Datenschutzaffären der vergangenen beiden Jahre hat der Bundesgesetzgeber nunmehr endlich einen hinreichenden Grund gesehen, die seit Jahren verschiedentlich geforderte¹⁶ gesetzliche Regelung des Beschäftigtendatenschutzes endlich in Angriff zu nehmen. Hierzu hat er bislang lediglich einen neuen § 32 BDSG verabschiedet, dessen Regelungsgehalt nicht nur Arbeitnehmer, sondern auch sonstige Beschäftigte erfasst.¹⁷ Allerdings kündigte die Bundesregierung der 16. Legislaturperiode an, diese Vorschrift lediglich als einen ersten Schritt zur gesetzlichen Verankerung des Arbeitnehmerdatenschutzes zu begreifen.¹⁸

Fallbeispiele von massenhaften Kontodatenabgleichen, Drogenscreenings und Whistleblower - Meldesystemen (Hotlines und internetbasierten Meldeplattformen) zeigen, dass § 32 BDSG nur bedingt hilft, um datenschutzrechtliche Fragen zu Compliance zu beantworten.

§ 32 Abs. 1 BDSG kann zu mehr Rechtsklarheit führen, wenn eine verantwortliche Stelle allein die nachträgliche Aufdeckung von Straftaten anstrebt. Die Vorschrift wurde eingeführt, um denmassenhaften Abgleich von Kontodaten beschäftigter Personen mit anderen Kontodatenbeständen (z.B. von Lieferanten) zu begrenzen. Derartige Massenabgleichverfahren können in der Praxisnur maschinell durchgeführt werden. Ihnen kommt qualitativ eine andere erhebliche (objektive) Grundrechtsbedeutung zu als Maßnahmen, die sich lediglich auf eine bestimmte Person beziehen. Die serielle Erfassung von Informationen führt zu einer großen Streubreite der Maßnahme, steigert das Risiko eines Missbrauchs und kann das Gefühl aller (potentiell) Betroffenen des Überwachtseins erzeugen.¹⁹ Ein Screening hat jedenfalls für «Trefferfälle» ein erhebliches Eingriffsgewicht. Solche Trefferfälle begründen einen Verdacht, der sich Prüferfahrungen zufolgeüberwiegend nicht bestätigt . Insoweit geht es fehl, hinsichtlich massenhafter Kontodatenabgleiche generell einen Vorrang von Arbeitgeberinteressen an der Korruptionsbekämpfung anzunehmen.²⁰ Was die Erforderlichkeit des Abgleichs anbelangt, können nach § 32 Abs. 1 Satz 1 allenfalls Personen überprüft werden, dieaufgrund ihrer Funktion korruptionsrelevante Handlungen vornehmen können. Sofern man nicht meint, dass das Trennungsgebot nach Nr. 8 der Anlage zu § 9 Satz 1 von vorneherein einen Abgleich von Beschäftigtendaten und Kundendaten verbiete,²¹ muss sichergestellt sein, dass dieschutzwürdigen Belange der betroffenen Personen («Trefferfälle»)verfahrensrechtlich gewahrt sind. Dazu ist beispielsweise zuvor zu klären, welche Anschlussermittlungen an Treffer geknüpft werden, unter welchen Voraussetzungen die personenbezogenen Daten der «Trefferfälle» gespeichert werden dürfen und wann sie gelöscht werden müssen usw. Spätestens wenn Nachermittlungen zu einem Trefferfall nicht zu einer Erhärtung des Verdachts von Fehlverhalten führen, sind die Daten gemäß § 35 Abs. 2 Nr. 3 BDSG unverzüglich zu löschen.

Soweit Maßnahmen die Aufklärung eines vergangenen Rechtsverstoßesunterhalb der Strafbarkeitsschwelle betreffen, ist es bereits klärungsbedürftig, ob sie nach § 32 Abs. 1 Satz 1 BDSG möglich oder aufgrund von Wertungswidersprüchen zu Satz 2 unzulässig sind. Soll eine Kontrollmaßnahme sowohl präventiv als auch zur Aufklärung von Straftaten dienen, gibt § 32 Abs. 1 BDSG keine Hilfestellung, inwieweit Abs. 1 Satz 1 oder Satz 2 anzuwenden ist. Für präventiv wirkende Maßnahmen stellt Satz 1 im Übrigen keine nennenswerte Konkretisierung gegenüber § 28 Abs. 1 Nr. 1 BDSG dar. DasVerbot des Drogenkonsums (Alkoholkonsum eingeschlossen) beispielsweise ist ein häufiger Bestandteil von Ethikrichtlinien.²² Datenschutzrechtlich relevant sind vor Allem die Regelungen zurKontrolle der Einhaltung von Drogenkonsumverboten. Nach der Rechtsprechung des Bundesarbeitsgerichts ist ein Arbeitnehmerregelmäßig nicht verpflichtet,im laufenden Arbeitsverhältnisroutinemäßigen Blutuntersuchungen zur Klärung der Frage zuzustimmen, ob er alkohol- oder drogenabhängig ist.²³ Nach der bisherigen Rechtsprechung ungeklärt sind die heute in der Praxis weiterhin streitigen Fragen, ob und unter welchen Bedingungen ein Beschäftigungsgeberbei der Einstellung Blutuntersuchungen zur Abklärung von Drogenabhängigkeit verlangen kann. Hierzu wird vertreten, dass ein Beschäftigungsgeber anlässlich einer Einstellungsuntersuchung einen Drogentest bereits dann verlangen kann, wenn eine Alkohol- oder Drogenabhängigkeit des Bewerbers seine Eignung für den Arbeitsplatz entfallen lässt.²⁴ Nach anderer Auffassung sind Drogentests nahezu generell unzulässig.²⁵

Hilft der neue § 32 BDSG in solchen Fällen? Bei Drogentests aufGrundlage einer Betriebsvereinbarung findet § 32 BDSG keine Anwendung, weil sie eine Rechtsvorschrift im Sinne des § 4 Abs. 1 BDSG darstellt und § 32 BDSG andere Rechtsvorschriften regelmäßig unberührt lässt.²⁶ Bei der Beurteilung der Frage ist die Verpflichtung der Betriebspartner nach § 75 Abs. 2 BetrVG zu berücksichtigen, die freie Entfaltung der Persönlichkeit der im Betrieb beschäftigten Arbeitnehmer zu schützen und zu fördern. Die Durchführung von generellen Drogentestsohne Ansehung der Schadensneigung der konkreten Beschäftigung wäre vor diesem Hintergrund wohl datenschutzrechtlich unzulässig. Kontrollen, dieauf Grundlage eines Arbeitsvertrags erfolgen bzw. aus dem Direktionsrecht abgeleitet werden sollen, sind demgegenüber an § 32 BDSG zu messen. Die Vorschrift soll die von der Rechtsprechung erarbeiteten Grundsätze des Datenschutzes im Beschäftigungsverhältnis zusammenfassen und dabei § 28 Abs. 1 Nr. 1 BDSG verdrängen, der die Erhebung und Verwendung von Daten zur Vertragserfüllung betrifft.²⁷ § 32 Abs. 2 BDSG stellt zumindest klar, dass die grundsätzliche Einschränkung des Anwendungsbereichs des BDSG auf automatisierte Verarbeitungen und Verarbeitungen in oder aus nichtautomatisierten Dateien für das Beschäftigungsverhältnis nicht gelten soll. Bei nicht auf automatisierte Datenverarbeitung basierenden Drogentests würde § 32 Abs. 1 BDSG Anwendung finden, während § 28 Abs. 1 BDSG nicht anwendbar wäre. Eine weitergehende Hilfe dürfte § 32 Abs. 1 BDSG jedoch kaum bieten. Im Gegenteil wirft er die Schwierigkeit auf, durch eine sachgerechte Auslegung von § 32 Abs. 1 Satz 1 BDSG Wertungswidersprüche zu Abs. 1 Satz 2 zu vermeiden. Die Einrichtung vonWhistleblower-Meldesystemen (Hotlines und internetbasierten Meldeplattformen) etwa wirft datenschutzrechtliche Probleme auf, weil und soweit sie die anonyme Meldung vonvorhandenen Missständen ermöglichen sollen. Auch sie dienen damit in erster Linie nicht präventiven Zwecken, sondern der Aufklärung vonbegangenen Rechtsverstößen. Jedenfalls soweit es um die Meldung von angeblichen Straftaten geht, sind die Verarbeitungsprozesse an § 32 Abs. 1 Satz 2 BDSG zu messen. Während bei Hotlines eine rechtskonforme Verfahrensausgestaltung denkbar ist, findet bei einerinternetbasierten Meldeplattform nahezu zwangsläufigzunächst eine Erfassung von personenbezogenen Daten «angeschwärzter Personen» statt, bevor sie gesichtet und bewertet werden. Derartige Plattformen sind damit zwangsläufig auf die Erfassung überschießender personenbezogener Daten gerichtet und genügen insoweit jedenfalls nicht den Anforderungen des § 32 Abs. 1 Satz 2 BDSG.

Insgesamt gesehen bietet § 32 BDSG keinen wesentlichen Beitrag zu einem angemessenen Arbeitnehmerdatenschutz. Insbesondere werden vorbeugende Maßnahmen nicht normenklar geregelt. Es wäre deshalb folgerichtig, wenn der angekündigte Weg einer weitergehenden gesetzlichen Regelung des Arbeitnehmerdatenschutzes beschritten wird, wie es im Koalitionsvertrag der Bundesregierung der 17. Legislaturperiode vorgesehen ist.²⁸

Thomas Petri, Bayerischer Landesbeauftragte für den Datenschutz
Wagmüllerstraße 18
80538 München, DE
dsb@datenschutz-bayern.de