Aufstehen gegen Elena – Jetzt!

Rechtanwalt Meinhard Starostik hatte am 02. März dieses Jahres Gelegenheit Rechtsgeschichte zu schreiben. Den an diesem Tag verwarf das Bundesverfassungsgericht als Folge von etwa 34.000 größtenteils von Starostik eingereichten Verfassungsbeschwerden das Gesetz zur Vorratsdatenspeicherung und ordnete die umgehende Löschung der auf dessen Basis gesammelten Datenbestände an. Nun erhält Starostik die nächste Gelegenheit, im Namen der informationellen Selbstbestimmung einen juristischen Schlag gegen die Datengier der Regierung zu führen.

Denn inzwischen hat sich eine Koalition aus Gewerkschaften, der Piratenpartei Deutschland und bürgerrechtsorientierten NGOs formiert, die die „zweite Vorratsdatenspeicherung“, das Elena-Gesetz auf demselben Weg zu Fall bringen will. Initiiert wurde das Vorhaben durch den Arbeitskreis Vorratsdatenspeicherung. Der FoeBud e.V. hat inzwischen die Führung unternommen und sammelt noch bis zum 01.04. Teilnehmer für eine erneute Massen-Verfassungsbeschwerde, die von Starostik zusammen mit seinem Kölner Kollegen Dominik Boecker pro Bono durchgeführt wird.

Link zum Formular: https://petition.foebud.org/ELENA

Elena verpflichtet seit dem 1. Januar 2010 alle Arbeitgeber deutschlandweit dazu, ein umfangreiches Paket einkommensrelevanter Daten aller bei ihnen beschäftigten Arbeitnehmer monatlich an die sogenannte Zentrale Speicherstelle in Würzburg zu übermitteln. Die maßlose Umsetzung dieses Verfahrens wird von Datenschützern stark kritisiert. Die Speicherung widerspricht dem Grundsatz der Datensparsamkeit des Bundesdatenschutzgesetzes, denn die Daten werden ohne Einzelfallprüfung anlasslos auf Vorrat gespeichert und mehrere Jahre vorgehalten. Es bestehen erhebliche Risiken hinsichtlich der Datensicherheit, insbesondere durch die intransparente Einbindung eines privatwirtschaftlichen Unternehmens für die gesamte Verschlüsselung. Die angekündigten Bürokratieeinsparungen sind zudem zweifelhaft. Der vorgesehene Zwang zur Nutzung der elektronischen Signatur sowie zur Kostenübernahme der Anmeldekosten durch die Bürger ist nicht nur aus sozialen Gesichtspunkten fragwürdig.

Eine Einschätzung, die ich mit der Piratenpartei Deutschland teile, die dies in einer Pressemeldung dokumentierte.

Die Elena-Datensammlung stellt einen massiven Eingriff in das Persönlichkeitsrecht und ein Verstoß gegen die informationelle Selbstbestimmung dar. Arbeitgeber sind damit verpflichtet, einen riesigen Datensatz über seine Beschäftigten zu liefern: Fehlzeiten, Anzahl der Kinder, Kündigungsgrund, Abmahnungen und vertragswidriges Verhalten sowie etliches mehr (die offizielle Elena-Datensatzbeschreibung umfasst mehrere Dutzend Seiten). Zusätzlich darf der Arbeitgeber in Freitextfeldern seine Einschätzung über die Beschäftigten eintragen – ohne deren Wissen und ohne eine Kontrollmöglichkeit, denn frühestens ab 2012 können bei der Zentralen Speicherstelle Auskünfte eingeholt werden. Führen solche Eintragungen im späteren Verlauf zu rechtlichen Problemen, kann es u.U. Jahre dauern, sie auf dem Widerspruchs-und Klageweg zu korrigieren.

Hinzu kommt das eigentliche Risiko solcher Datensammlungen: Alle zentral gespeicherten Daten laden zum Missbrauch ein. Dass solche Daten missbraucht werden, zeigt zum Beispiel die illegale Überwachung der Aufsichtsräte der Arbeitnehmervertreter bei der Telekom. Alle Daten, die zentralisiert in IT-Systemen erfasst werden, werden – je nach finanzieller und sozialer Wertigkeit – ihren Weg in die Öffentlichkeit bzw. in unbefugte Hände finden. Und, zentrale Datenbanken wecken Begehrlichkeiten: Gesetze und Zweckbestimmungen können geändert, Datensätze und Zugriffsberechtigungen erweitert werden.

Bei der ELENA-Datenbank handelt es sich um klassische Vorratsdatenspeicherung. Mehr als 90 Prozent der Daten werden nie gesetzeskonform gebraucht werden; die Speicherung erfolgt auf den vagen Verdacht hin, dass die Arbeitnehmerinnen und Arbeitnehmer auf der Basis dieser Daten einmal eine Sozialleistung beantragen könnten (Quelle: Gewerkschaft Verdi).

Wichtig: Verfassungsbeschwerden gegen ein Gesetz müssen binnen Jahresfrist nach Inkrafttreten des Gesetzes erfolgen. Und das Elena-Gesetz trat am 01.04.2009 in Kraft, auch wenn die Datensammlung erst zu Beginn 2010 anlief. Es gilt also schnell zu handeln, um den FoeBud, den Arbeitskreis Vorratsdatenspeicherung, Verdi und all die anderen Beteiligten zu unterstützen.-

Aufstehen gegen Elena – Jetzt!

IT-Recht 2010 – was demnächst auf Unternehmen zukommt

Die diesjährige CeBit brachte neben Trendthemen wie Green IT, Cloud Computing oder neue mobile Endgeräte auch zahlreiche IT-rechtliche Dinge zutage, die auf die Unternehmen zurollen bzw. diese schon seit einiger Zeit beschäftigen.

Bei rechtlichen Themen geht es im Grunde fast immer darum Interessensgegensätze neu auszutarieren und die Verteilung von Risiken zu regeln. Und genau diese Dinge stehen als Folge treibender Technologie sowie ökonomischer Exzesse der Vergangenheit (Beispiel: die zahlreichen Datenskandale der letzten Jahre in der Wirtschaft) aktuell mal wieder zur Klärung an. Die wichtigsten zehn IT-rechtlichen Baustellen des Jahres dürften sich bei folgenden Fragestellungen finden lassen:

Richtlinien für private Nutzung von Internet und E-Mail
Als Folge neuer Konzepte der Unternehmensführung lösen sich die Grenzen zwischen Arbeit und Freizeit zunehmend auf. Viele Arbeitgeber streben die Entgrenzung zwischen Dienst und Privat bewusst an, um sich zusätzliche Arbeitszeit und Leistungsbereitschaft ihrer Beschäftigten ohne  entsprechende Zeiterfassung und Entgeltpflicht aneignen zu können (Beispiel: indirekte Steuerung mit Vertrauensarbeitszeit). Als Folge dieser Entwicklung wird aber die Erledigung privater Angelegenheiten in der Arbeitszeit immer natürlicher (Fachleute sprechen von sozialaqädatem Verhalten). Zudem werden immer größere Bereiche des Lebens online organisiert (z.B. über soziale Netzwerke). Arbeitnehmer nutzen daher immer selbstverständlicher die betriebliche IT-Infrastruktur auch für private Angelegenheiten.

Dabei stecken in Themen wie der privaten Internet- und E-Mail-Nutzung zahlreiche rechtlich alles andere als triviale Detailfragen. Einerseits kann man vom Arbeitgeber nicht verlangen, dass er sein Eigentum den Beschäftigten zur privaten Nutzung überlässt (umgekehrt geht das schon – z.B. als Dienstfahrten mit dem Privat-PKW und unbezahlte Überstunden). Andererseits darf er auch nicht so ohne weiteres an private Daten heran (und sei es nur zur Systemüberwachung), wenn er die Privatnutzung nicht explizit ausschließt.

Ein Problem ganz eigener Art sind mögliche Imageschäden für die Firma, wenn ein Beschäftigter z.B. bei Hantieren mit Pornografie im Dienst erwischt wird. Zwar ist das Image der meisten Unternehmen in Deutschland längst nicht so prächtig, als dass es ein einzelner Beschäftigter nennenswert beeinträchtigen könnte. Aber z.B. für eine Stadtverwaltung kann es mehr als unangenehme politische Folgen haben, wenn Bürger und Stadträte wissen wollen, warum sowas überhaupt möglich war.

Auslagerung der Verarbeitung personenbezogener Daten (Auftragsdatenverarbeitung)
Die Datenschutzverschärfungen 2009 brachten auch deutliche Nachbesserungen bei der Regulierung der Auftragsdatenverarbeitung mit sich. Unternehmen müssen nun ihre entsprechenden Verträge mit Dienstleistern auf Konformität mit den aktuellen Regelungen des BDSG (insbes. § 11) prüfen. Zudem sind sie verpflichtet, ihre Dienstleister auch regelmäßig zu prüfen, anstatt sich nur auf die Aktenlage zu verlassen.

Datenlecks vermeiden, Publizitätspflicht im Datenschutzgesetz
Geht trotzdem etwas schief und sickern personenbezogene Daten durch Datenlecks, gestohlene Datenträger und Geräte oder gezielte Hackerangriffe nach draußen, wird es unangenehm und teuer für die Unternehmen. Denn sie müssen den Vorfall nicht nur der datenschutzrechtlichen Aufsichtsbehörde melden. Sondern im Falle der schwerwiegenden Beeinträchtigung der Rechte und Interessen der Betroffenen auch publik machen. Notfalls in Form halbseitiger Anzeigen in mindestens zwei bundesweit erscheinenden Tageszeitungen.

Datenschutz nachschärfen, personenbezogene Daten sichern
Das hat zur Folge, dass sämtliche Konzepte und Maßnahmen im Bereich der IT-Sicherheit und des Datenschutzes zu prüfen und ggf. dem aktuellen Stand der Technik anzupassen sind. So ist z.B. sicherzustellen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind und dass zu unterschiedlichen Zwecken erhobene Daten getrennt und ausschließlich zweckbezogen verarbeitet werden können. In der Vergangenheit allzu laxe Handhabung solcher Fragen verbunden mit allgemeiner Investitionsunwilligkeit in der IT führen daher nun zu teilweise beträchtlichem Aufholbedarf in den Unternehmen.

Systematisches Archivieren und Löschen von Dokumenten
Die revisionssichere Langzeitarchivierung ist spätestens mit der GdPdU und der elektronischen Steuerprüfung sowie der stärkeren rechtlichen Überwachung des Einhaltens von handelsrechtlichen Aufbewahrungsfristen in den Unternehmen angekommen. Neu hinzugekommen ist allerdings das Thema e-Discovery, also die Pflicht unternehmensinterne Informationen im Zuge staatsanwaltlicher Ermittlungen im Rahmen von IT-forensischen Beweissicherungspflichten innerhalb kurzer Fristen herausgeben zu müssen. Insbesondere die weit reichenden und oftmals sehr kurzfristig geltend gemachten Offenlegungspflichten gegenüber der US-Justiz konfligieren dabei mit den Datenschutzauflagen der EU oder dem deutschen Datenschutzgesetz. Umgekehrt fordern inzwischen zunehmend Gesetze oder Verfahrensvorschriften auch eine zeitnahe Löschung von nicht mehr erforderlichen Daten. Daher sollten Unternehmen neben Richtlinien zur Archivierung auch Richtlinien zur systematischen Löschung von Datenbeständen aufstellen und umsetzen.

SLAs und Outsourcing-Verträge an neue Technologieentwicklungen anpassen
Der allfällige technologische Wandel im IT-Bereich sowie sich ausbreitende neue Managementkonzepte machen eine regelmäßige Überprüfung von Outsourcing-Verträgen und SLAs notwendig. Leistungsbeschreibungen, Metriken und Kennzahlen sollten den technischen Besonderheiten neuer Technologien Rechnung tragen. Dabei werden Unterschiede über den Leistungsinhalt von den Beteiligten allerdings oftmals erst nach Vertragsschluss im Tagesgeschäft bemerkt und werden dann zum Konfliktherd. Vertragsinhalte und deren technische Umsetzung müssen daher einerseits detailliert und vollständig, andererseits aber auch mit genügend Flexibilität zur Handhabung beschrieben werden, um Missverständnisse und rechtliche Auseinandersetzungen zu vermeiden.

Risikoverlagerung in IT-Verträgen prüfen
Dabei wird von größeren „Partnern“ gerne mal versucht, den kleineren Partner vertraglich über den Tisch zu ziehen, in dem Risiken unangemessen verteilt und Margen abgeschöpft werden. Im Automobilbau ist dieser Umgang mit Lieferanten seit langem Standard seitens der Konzerne und hat im Krisenjahr 2009 bereits zu zahlreichen Insolvenzen geführt. Umgekehrt zeigen Abmahnbetrug und Abzockerklauseln in Lizenzverträgen, dass das Gaunertum auch in IT-Firmen heimisch ist. Und man daher speziell bei Verträgen zum Cloud Computing oder für Mietsoftware (Software as a Service) sehr genau und mit juristischen Sachverstand ins Kleingedruckte der Outsourcing-Dienstleister sehen sollte.

Lizenzrechtliche Lage, Pflege und Support bei Virtualisierung von Softwareprodukten prüfen
Wer im Unternehmen Applikationen virtualisieren will, stößt rasch auf zwei Probleme. Einerseits den ungeregelten Wildwuchs bei Lizenzbedingungen, in dem Aussagen zur Virtualisierung jedoch meist fehlen und daher nachverhandelt werden müssen, bevor man die Software virtualisiert (davon kann es abhängen, ob sich das Virtualisierungsprojekt wirtschaftlich überhaupt lohnt). Und andererseits die Frage nach Herstellersupport bei Problemen. Viele Softwareanbieter schließen Support für den Betrieb ihrer Produkte in einer virtuellen Umgebung explizit aus, da es ihnen noch an einschlägigen Erfahrungen mangelt oder dem technische Probleme in der Software entgegenstehen. Zumal zielen Virtualisierungsprojekte meist darauf ab, Einsparungen bei Software- und Lizenzkosten durch Mehrfachnutzung und bessere Ressourcenauslastung im Serverpark zu erzeugen. Daran haben Softwarehersteller naturgemäß kaum Interesse.

Cloud-Computing I: Vertragliche Regelungen zu Verfügbarkeitsrisiken prüfen
Insbesondere Mittelständler und neu gegründete Firmen können durch den Einsatz von Cloud Computing rasch skalierbare IT-Infrastruktur beshaffen, ohne größere Investitionen tätigen zu müssen. Allerdings birgt die Anwendung von Cloud Computing rechtliche Risiken ganz eigener Art, da es hier noch keine allgemeinen Leistungsstandards gibt.

Daher ist es entscheidend, dass die Vertragsgrundlagen sorgfältige Beschreibungen aller relevanten Leistungen enthält. Zudem bedeutet der Einsatz von Cloud Computing zur Unterstützung kritische Geschäftsprozesse auch kritische Abhängigkeiten vom Cloud-Lieferanten. Wichtige Punkte, die sich im Vertrag wiederfinden müssen, sind daher die Aufrechterhaltung der Services im Notfall, das Eskalationsmanagement, Vergütungskriterien sowie Regelungen über Teilleistungen und deren Kündigung.

Cloud-Computing II: Compliancefragen regeln
Unternehmen können vieles auf Zuarbeiter, Dienstleister und Lieferanten delegieren. Und in vielen Fällen macht das auch Sinn, da erfahrene Experten ihr Geschäft i.A. besser, schneller und fehlerfreier abwickeln können, als ein Unternehmen, das sich nur nebenbei damit befasst, aber eigentlich ganz andere Kernkompetenzen hat. Nicht jeder gute Fliesenleger ist auch ein guter Personaler, Informatiker, Rechtsanwalt und Bilanzexperte.

Allerdings lässt sich die Letztverantwortung nicht wegdelegieren. Bauen die Zulieferer Mist, ist der Auftraggeber geschädigten Dritten gegenüber dafür verantwortlich. Die gesetzliche Verantwortung (Organisationspflicht) bleibt im Rahmen von Sorgfaltspflichten bei der Unternehmensführung (§ 91 II, 93 AktG, § 43 GmbHG), die den Lieferanten ausgewählt, geprüft und für tauglich befunden hat. Nur stur nach dem Preis zu schielen, kann daher übel ausgehen.

Speziell beim Cloud Computing wird man sich bei der Vertragsgestaltung daher auch Gedanken über kundenseitige Prüf- und Überwachungsrechte (Auftragsdatenverarbeitung – s.o.) sowie Geheimhaltungspflichten und die Einhaltung rechtlicher Auflagen (Compliance) machen müssen. Sowie über Haftungsfragen und Schadensersatz im Falle von Problemen bei diesen Themen.

Es gibt also mehr als genug zu tun für die verantwortlichen Entscheider und ihre Stäbe in den Unternehmen. Zumal die meisten genannten Problemfelder Unternehmen jeglicher Größe betreffen. Sich also Mittelständler und Kleinunternehmer nicht zurücklehnen können, in der Annahme, das wäre nur was für Konzerne. Diese Annahme kann in ungünstigen Fälle rasch für Ärger und Kosten in beträchtlichem Umfang sorgen.

Zudem werden bei vielen der genannten Themen auch die Mitbestimmungsrechte von Betriebsräten tangiert, was es ratsam erscheinen lässt, sie frühzeitig in die anstehenden Entscheidungsfindungsprozesse einzubinden.

Der Widerstand gegen Elena formiert sich

Obwohl es bereits im April letzten Jahres von der damaligen großen Koalition verabschiedet wurde, blieb das „Elena-Verfahrensgesetz“ in bürgerrechts- und datenschutzsensiblen Kreisen zunächst lange unbemerkt. Die anstehende Bundestagswahl sowie Themen wie Internetzensur oder Vorratsdatenspeicherung absorbierten einen Großteil der politischen Kapazitäten der informationstechnischen Zivilgesellschaft.

Doch als zu Jahresbeginn mit Elena alle Firmen, die Arbeitnehmer im weitesten Sinne beschäftigten, damit begannen, Sozialdaten bis hin zu Abmahnungen, Fehlzeiten und Streikteilnahmen an eine zentrale speichernde Stelle weiterzugeben, wurde doch so manchem mulmig.  Gewerkschaften erkannten, dass sich die hier wieder hemmungslos zutage tretende Datengier des Staates direkt gegen sie wenden könnte und kündigten Verfassungsklagen an. Zivilgesellschaftliche Organisationen diskutieren in ihre Mailinglisten über mögliche Formen des Protestes und des zivilen Ungehorsams. Und Informationsveranstaltungen zum Thema Elena finden (für ein zunächst trocken wie Lohnabrechnung wirkendes Thema) enorme Nachfrage.

So nahm ich gestern an einer Infoveranstaltung im DGB-Haus München teil, welche nur per Mailverteiler einige Wochen vorher angekündigt worden war (aber dann ihren Weg auf eine Mailingliste der Münchner Piraten gefunden hatte). Etwa 80 Leute und damit mehr als doppelt so viele wie sonst auf solchen Gewerkschaftsvorträgen üblich hatten den Weg gefunden. Peter Ellner, ein Anwalt und Steuerberater mit Tätigkeitsschwerpunkt Lohnabrechnung gab einen kurzen Überblick über das Elena-Thema. Doch rasch wandte sich die Aufmerksamkeit und das Fragen der Zuhörer weg von den Grundlagen und hin zu der Frage „Was tun wir dagegen?“. Sollte doch das Treffen nicht nur informatorischen Charakter haben, sondern zur Gründung einer gewerkschaftlichen Arbeitsgruppe führen, die sich politisch gegen diese zweite Vorratsdatenspeicherung einsetzt. Denn so groß Gewerkschaften von außen erscheinen mögen – in ihrem Inneren funktioniert wenig bis nichts ohne engagierte Ehrenamtliche, die dem Apparat inhaltliche Impulse geben und auf allen Ebenen mitarbeiten.

Der erste Schritt ist demnach die inhaltliche Aufklärung und politische Einordnung des Themas, wozu auch ich in meinem Blog bereits einige Artikel eingestellt habe.

Als Nächstes wird der DGB oder eine Einzelgewerkschaft wohl demnächst eine Verfassungsklage gegen Elena auf den Weg bringen, um so politisch Druck aufzubauen. Datensätze wie die Erfassung von Streikteilnahmen können durchaus geeignet sein, die grundgesetzlich verbürgte Koalitionsfreiheit sowie das Streikrecht zu beeinträchtigen, weshalb die Regieung bereits Nachbesserungen versprach (die aber noch nicht Gesetz und damit nicht rechtswirksam sind).

Gewerkschaften sind auch gute Plattformen zur Erstellung und Verbreitung von Informationen. Die Mitgliederzeitschriften „metall“ (IG Metall) und „publik“ (Verdi) erscheinen in Millionenauflage und erreichen jedes Mitglied. Daneben können Gewerkschaften auch als Plattform zur Organisation von Multiplikatorenschulungen (Betriebsräte, Vertrauensleute, hauptamtliche Gewerkschafter und interessierte Mitglieder) dienen.

Eine interessante Frage am Rande war das Verhalten der Gewerkschaften, die ja als Arbeitgeber für ihre Angestellten auch selbst Elena-Daten abliefern müssen, um korrekte Lohnabrechnungen generieren zu können.

Aber auch Betriebsräte können das ihre beitragen, indem sie Elena zum Thema auf Betriebsversammlungen machen. Es betrifft schließlich alle Arbeitnehmer – vom Lehrling bis zum angestellten Geschäftsführer. Viele mit Elena an die speichernde Stelle zu übertragende Daten sind zudem nicht verpflichtend sondern fakultativ. Ihre Lieferung ist entweder freiwillig (z.B. ausfüllbare Freitextfeder für Kommentare) oder an Bedingungen geknüpft, die in manchen Unternehmen zutreffen, in anderen nicht. Über diesen Anteil der Daten können Betriebsräte ein Mitbestimmungsrecht zur Ausgestaltung des Gesetzes auf betrieblicher Ebene geltend machen. Da solche Dinge oftmals erst arbeitsgerichtlich ausgefochten werden müssen, bis es jeder betroffene Arbeitgeber gelesen und auch verstanden hat, stehen demnächst wohl interessante Urteile an.

Denkbar wären auch regelmäßige datenschutzrechtliche Auskunftsanfragen an die speichernde Stelle, deren personelle Kapazität bei Millionen von auskunftsberechtigten Bürgern rasch an ihre Grenzen käme – falls der Staat da nicht mit einer Ausnahmeregelung zum § 19 BDSG für Elena das Auskunftsrecht der Betroffenen einschränkt oder ganz aushebelt.

Und natürlich gilt es bei gleicher Zielsetzung mit anderen zivilgesellschaftlichen  Organisationen wie dem Chaos Computer Club, dem Arbeitskreis Vorratsdatenspeicherung, dem FoeBud, der humanistischen Union oder der Piratenpartei zusammenzuarbeiten.

Dann kann auch Elena zu Fall gebracht und der Sicherheits- und Datenkrakenstaat in seine Schranken gewiesen werden.

Update vom 28.01.2010:
Die Piratenpartei Deutschland hat unter stopptelena.de eine Aktionsseite ins Netz gestellt, auf der sie Informationen zum Elena-Gesetz, einen Pressespiegel sowie einen Aktionskalender veröffentlicht. Zudem hast sich ein von zahlreichen zivilgesellschaftlichen Organisationen getragenes Aktionsbündnis Wider die Datensammelwut gebildet, das neben Elena auch andere Formen staatlichen Datenhungers wie SWIFT, INDECT, die Vorratsdatenspeicherung oder biometrische Ausweise thematisiert und dazu Gegenaktionen plant.

Das Projekt Datenschutz

Seit September letzten Jahres ist unter www.projekt-datenschutz.de eine Website erreichbar, auf der Datenschutzvorfälle in Unternehmen, Organisationen und Behörden und Datenschutz-Aktivitäten der Politik veröffentlicht werden. Betrieben wird sie von der Münchner  PR-Agentur PR-COM. Diese will mit ihrem Projekt eine Übersicht über große und kleine Datenschutzvorfälle ermöglichen, die entweder bereits in der Tagespresse erschienen oder die den Betreibern aus glaubwürdigen Quellen zugetragen werden.

Geordnet nach Datum, Ort, Datenherkunft, Organisation, Zahl der Betroffenen sowie versehen mit einer Kurzbeschreibung werden die gesammelten Datenschutzsünden aus Politik, Wirtschaft und Verwaltung hier veröffentlicht. So soll eine zunehmende Sensibilisierung der datenverarbeitenden Organisationen erreicht werden, da Datenschutzsünden auf diese Weise nicht mehr unter den Tisch gekehrt und verschwiegen werden können. Dies erscheint auch vor dem Hintergrund interessant, dass das Bundesdatenschutzgesetz im neu geschaffenen § 42a eine Publizitätspflicht für Datenschutzverstöße vorsieht, so dass die Anzahl offiziell anzuzeigender und publik werdender Datenschutzverstöße künftig deutlich zunehmen dürfte.

Ähnliche Seiten gibt es im internationalen Umfeld bereits seit längeren, so z.B. die Data Loss DB der Open Security Foundation.

ELENA – ein tiefer Einschnitt in die informationelle Selbstbestimmung

Zum Jahresanfang trat ein bereits im April vergangenen Jahres beschlossenes Gesetz in Kraft – das Gesetz über das Verfahren des elektronischen Entgeltnachweises (ELENA Verfahrensgesetz). Dazu übernehme ich an dieser Stelle eine längere Pressemeldung der Piratenpartei Deutschland, welche das Vorhaben nicht nur problematisiert, sondern auch etliche Hintergrundinformationen mit Quellenangaben sowie eine Einordnung von ELENA in Bezug auf weitere staatliche Vorhaben wie z.B. die einheitliche Steuernummer oder zahlreiche andere Datensammelgesetze enthält. Ich halte es für wichtig, dass ein breiterer zivilgesellschaftlicher Diskurs über diese „zweite Vorratsdatenspeicherung“ in Gang kommt und unterstütze daher damit die Piratenpartei.

Am 1. Januar des neuen Jahres tritt deutschlandweit das ELENA (elektronischer Entgeltnachweis) Verfahrensgesetz in Kraft. Es wurde initiiert, um durch digital bereitgestellte personenbezogene Daten die Beantragung von Sozialleistungen zu vereinfachen. Zukünftig sind daher alle Arbeitgeber verpflichtet, monatlich für jeden ihrer Beschäftigten einen ausführlichen Datensatz mit sensiblen persönlichen Informationen an eine zentrale Speicherstelle des Bundes zu übermitteln. Diese Regelung betrifft über 40 Millionen Menschen, unabhängig davon, ob sie jemals Sozialleistungen in Anspruch nehmen. Die Speicherung geschieht damit auf Vorrat. Die Betroffenen haben zudem kein Widerspruchsrecht.

Die Piratenpartei Deutschland kritisiert diese unmäßige Erhebung und Speicherung personenbezogener Daten. Dies ist für den beabsichtigten Zweck des Bürokratieabbaus nicht erforderlich und im geplanten Umfang auch keinesfalls gerechtfertigt. Der Aufbau einer zentralen Datenbank mit derartigen Informationen widerspricht dem Grundrecht auf informationelle Selbstbestimmung.

»ELENA stellt einen weiteren Arm des immer größer werdenden staatlichen Datenkraken dar und ist für die Arbeitnehmerinnen und Arbeitnehmer in Deutschland kein Gewinn«, stellt Thorsten Wirth, Vorstandsmitglied der Piratenpartei, fest. »Wer befürchten muss, dass Informationen über eine längere Krankheit, die Teilnahme an einem Streik oder die Gründe für den Verlust eines Arbeitsplatzes einem zukünftigen Arbeitgeber in die Hände fallen könnten, wird sein Verhalten daran anpassen. Dies war schon bei der Einführung der Vorratsdatenspeicherung von Kommunikationsdaten der Fall und wird sich im Zuge von ELENA noch verstärkt zeigen. Ein derartiger Eingriff in die Freiheitsrechte kann nicht toleriert werden und ist für die Bestimmung eines Anrechts auf Sozialleistungen auch völlig unnötig.«

Die Piratenpartei fordert eine umgehende Rücknahme des ELENA-Verfahrensgesetzes. Unter dem Vorwand des Bürokratieabbaus dürfen so weitreichende personenbezogene Daten ohne Zustimmung der Betroffenen weder erhoben noch gespeichert werden.

Weitere Informationen

ELENA ist künftig nicht mehr nur bekannt als die Tochter von Zeus und Leda, deren Entführung den Trojanischen Krieg ausgelöst hat. Die Bundesregierung hat dem Namen ein neues Gesicht verliehen und im kommenden Jahr werden ca. 40 Millionen Bürger davon betroffen sein.

ELENA steht für den elektronischen Entgeltnachweis und beschreibt ein Gesetz, das vom Bundesministerium für Wirtschaft und Technologie als »wichtiger Meilenstein zum Abbau bestehender Bürokratie« bezeichnet wird. Was sich nach einer sinnvollen Innovation anhört, entpuppt sich bei näherer Betrachtung als eine Vorratsdatenspeicherung in einem neuen Bereich in bisher unerreichten Dimensionen. Außerdem soll durch ELENA die elektronische Signatur etabliert werden, da diese für die Anwendung des Verfahrens unerlässlich ist.

Mit dem Beginn des Jahres 2010 müssen Arbeitgeber in Deutschland monatlich die Einkommensnachweise der bei ihnen angestellten Beschäftigten, Beamten, Richter oder Soldaten zur Speicherung an eine zentrale Sammelstelle übermitteln. Dabei wird zusätzlich eine Vielzahl anderer personenbezogener Daten erhoben, die bei Bedarf verschiedenen Behörden zur Verfügung gestellt werden.

ELENAs Geburt

Ihren Anfang nahmen die Entwicklungen, die letztlich zum ELENA-Verfahrensgesetz geführt haben, bereits im Jahr 1997. Damals schaffte der Bundestag durch das Signaturgesetz die rechtlichen Grundlagen für elektronische Unterschriften. Diese sollten dazu dienen, den Handel im Internet anzukurbeln, da auf Basis einer elektronischen Signatur leichter rechtsgültige Verträge geschlossen werden können. Das System konnte sich aber nicht durchsetzen, da die nötige Authentifizierung für alle Beteiligten die Anschaffung von Lesegeräten erfordert hätte. Ein wirklicher Anreiz dafür fehlte bisher.

Im Jahr 2002 kam von der Hartz-Kommission und verschiedenen Arbeitgeberverbänden der Vorschlag zur Einführung einer sogenannten Job-Card. Bestimmte Arbeitnehmerdaten, wie die Beschäftigungszeiten und die Höhe des Entgelts sollten an einer zentralen Stelle gespeichert werden. Dadurch wäre es den zuständigen Agenturen nach Ermächtigung durch den Antragsteller möglich gewesen, bei Entscheidungen über Ansprüche von Arbeitslosengeld und anderen Leistungen auf die Bescheinigungen der Arbeitgeber zu verzichten. Die damalige Bundesregierung stimmte dem Vorschlag zu und beschloss die Einführung der Job-Card. Die technische Realisierbarkeit sollte im Rahmen eines Pilotprojektes geklärt werden, das noch im selben Jahr startete.

Der Bundesbeauftragte für den Datenschutz meldete im folgenden Jahr datenschutzrechtliche Bedenken und forderte eine ausreichende Prüfung des Job-Card-Verfahrens. Ab Ende 2003 wurde die Job-Card daraufhin mit fiktiven Arbeitnehmerdaten durch mehrere Agenturen für Arbeit und große Unternehmen wie Volkswagen und Lufthansa getestet.

Im Mai 2004 wurde bekannt, dass die Bundesregierung den geplanten Einführungstermin der Job-Card um ein Jahr verschieben wollte. Als neuer Starttermin wurde der 1. Januar 2007 genannt, wobei anfangs nur Arbeitslose und Angestellte des öffentlichen Dienstes mit der Job-Card ausgestattet werden sollten. Der Termin wurde nicht eingehalten, aber die digitale Signatur war nicht mehr zu stoppen.

Im Juni 2008 kündigte das Bundesministerium für Wirtschaft und Technologie (BMWi) an, dass sechs verschiedene Bescheinigungen künftig über ein digital signiertes System erfasst werden sollen. Der Begriff Job-Card fiel in diesem Zusammenhang nicht mehr. Zu den erfassten Bescheinigungen sollten das Bundeselterngeld, Arbeitsbescheinigungen nach Ende des Arbeitsverhältnisses, Bescheinigungen über Nebeneinkommen und geringfügige Beschäftigungen, Bescheinigungen nach dem Wohnraumförderungsgesetz und die Fehlbelegungsabgabe gehören. Später sollte das System auf 45 Bereiche, wie beispielsweise Kindergeld und Arbeitslosengeld II erweitert werden. Als Systemführer wurden die Technische Abteilung der Deutschen Rentenversicherung und die Informationstechnische Servicestelle der Gesetzlichen Krankenversicherung (ITSG) benannt.

Auf Basis dieser Ankündigung entstand schließlich ELENA. Am 22. Januar 2009 stimmte der Deutsche Bundestag in seiner 200. Sitzung dem Entwurf des Gesetzes über das Verfahren des elektronischen Entgeltnachweises (ELENA-Verfahrensgesetz) zu. Im März trat das Gesetz in Kraft. Die Deutsche Rentenversicherung soll demnach in Zukunft die Rolle der zentralen Speicherstelle (ZSS) übernehmen und die Registratur Fachverfahren (RFV) der ITSG wird für die Pseudonymisierung der Identitäten der Verfahrensteilnehmer vor der Speicherung der anfallenden Daten sorgen.

ELENA geht ihren Weg

Ab dem 1. Januar 2010 ist nun jeder Arbeitgeber durch das ELENA-Verfahren gesetzlich verpflichtet, die Entgeltdaten seiner Beschäftigten monatlich an die Zentrale Speicherstelle (ZSS) zu melden. Die übermittelten Datensätze enthalten aber nicht nur Namen, Anschrift, Einkommen und Rentenversicherungsnummer der Beschäftigten. Es wird stattdessen zukünftig noch eine Vielzahl anderer Informationen zentral gespeichert.

So erfasst zum Beispiel der Datenbaustein DBFZ des Verfahrens die Fehlzeiten der Arbeitnehmer. Neben Angaben wie Krankheit und Pflege- oder Elternzeit wird unter diesem Punkt auch unbezahltes Fehlen genau protokolliert. Interessanterweise werden dabei zwischen „Arbeitsbummelei“ und der „Pflege eines kranken Kindes ohne Kranken- oder Verletztengeldbezug“ oder der „kurzzeitigen Arbeitsverhinderung wegen Pflege“ keine Unterschiede gemacht.

Auch die Teilnahme an rechtmäßigen und unrechtmäßigen Streiks oder eine Aussperrung fallen unter diesen Datenbaustein. Somit erhält der Arbeitgeber ohne weitere Kontrolle die Möglichkeit, durch seine Angabe im Rahmen des ELENA-Verfahrens über die Rechtmäßigkeit eines Streiks zu entscheiden.

ELENA enthält auch anlassbezogene Felder. Der Datenbaustein DBKE beschreibt Angaben zu Kündigungen oder Entlassungen. Dort werden unter anderem Abmahnungen und der Grund einer Kündigung erfasst. Auch wird festgehalten, ob der Arbeitnehmer eine Kündigungsschutzklage erhoben hat. Der Arbeitgeber hat außerdem die Möglichkeit, ein vertragswidriges Verhalten, dass der Anlass einer Entlassung war, in einem Freitext genau zu schildern. Auch hierbei ist eine ausreichende Prüfung der Angaben nicht gewährleistet.

Bisher wurden derartige Daten bei einem reibungslosen Wechsel der Arbeitsstelle überhaupt nicht erhoben. Die Arbeitgeber mussten nur Arbeitsbescheinigungen mit detaillierten Angaben ausstellen, wenn die Arbeitnehmer nach der Tätigkeit Sozialleistungen in Anspruch nehmen wollten. Künftig ist nicht auszuschließen, dass es einem Arbeitnehmer zum Verhängnis wird, wenn er mit einem Arbeitgeber persönliche Probleme hatte und dieser ihn dafür durch die Angaben im Rahmen des ELENA-Verfahrens bestraft. Besonders erschreckend ist in diesem Zusammenhang natürlich, dass die Daten zentral gespeichert werden.

ELENAs Nutzen

Den eigentlichen Zweck wird das ELENA-Verfahren erst ab dem Jahr 2012 erfüllen. Ab dann sollen ausgewählte staatliche Stellen Zugang zu den relevanten Datensätzen erhalten und dadurch Leistungen regeln, für die Einkommens- und andere Beschäftigungsnachweise der Arbeitgeber notwendig sind. Zunächst werden auf diese Weise die Bescheinigungen für Arbeitslosengeld, Wohngeld und Elterngeld erstellt. Weitere Aufgaben der Arbeitsagenturen sowie kommunale und sogar zivilrechtliche Verfahren, wie zum Beispiel die Prozesskostenbeihilfe, sollen später eingegliedert werden.

Das ELENA-Verfahren sieht vor, dass die zuständigen Behördenmitarbeiter nur die für die entsprechende Leistung benötigten Daten abrufen können. Auch bisher war es beispielsweise für die verantwortlichen Ämter möglich, eine Auskunft über die Kündigungsgründe eines Arbeitnehmers zu erhalten. Doch zukünftig sind derartige Informationen zentral gespeichert und jederzeit abrufbar. Auch wer keine Anträge auf staatliche Unterstützung stellt, wird durch das neue System erfasst. In Verbindung mit vielen weiteren Daten, die derzeit gespeichert werden, könnten nach wenigen Gesetzesanpassungen ohne großen Aufwand Personenprofile erstellt werden.

Noch ist nicht absehbar, wer in Zukunft den Zugriff auf die Datenbestände erhalten wird und welche Relevanz sie daher haben können. Die bisherigen Regelungen sehen nicht vor, dass Arbeitgeber oder Finanzbehörden Einblick in die gespeicherten Daten erhalten oder dass deren Beschlagnahmung durch eine Staatsanwaltschaft möglich ist. Hier sehen Befürworter des Verfahrens auch einen großen Vorteil, der immer wieder betont wird. Ein Arbeitgeber erfährt in Zukunft nicht mehr, wenn einer seiner Angestellten Sozialleistungen beantragt.

Jedoch ist es vermutlich nur eine Frage der Zeit, bis auch andere Stellen Einsicht in die gesammelten Daten verlangen. So ist auch vorstellbar, dass zum Beispiel Kreditinstitute vor der Vergabe von Krediten den Einblick in die gespeicherten Daten verlangen. Der Kreditnehmer könnte durch eine Vertragsklausel, ähnlich wie bei der jetzigen Schufa-Auskunft, zur Zustimmung genötigt werden.

Gar nicht zu abzuschätzen sind die Auswirkungen, wenn Auszüge aus der Datenbank verloren gehen oder gestohlen werden. Auf dem Schwarzmarkt wären sie sicher ein Vermögen wert.

Der Schutz von ELENA

Die Entwickler von ELENA hoffen, alle Datenschutzbedenken zu entkräften, da die Zugriffsrechte auf die Daten gestreut werden. In der Beschreibung des Verfahrens findet sich dazu folgende Erläuterung: »Die Daten in der Zentralen Speicherstelle werden nach der Übermittlung durch den Arbeitgeber sofort geprüft, zweifach verschlüsselt und danach gespeichert. Eine Entschlüsselung ist nur im Rahmen eines konkreten, durch den Teilnehmer (Bürger) legitimierten Abrufs möglich. Ein direkter Zugriff auf die Datenbank ist weder für interne Mitarbeiter noch für Außenstehende möglich, da die Speicherung der Daten und deren Verschlüsselung in unterschiedlichen Verantwortlichkeiten liegt.«

Der Arbeitnehmer beantragt bei einem von der Bundesnetzagentur anerkannten Zertifizierungsdiensteanbieter (Trust Center) eine Signaturkarte mit einer qualifizierten elektronischen Signatur. Der Anbieter überprüft die Identität des Antragstellers und meldet ihn bei der Registratur Fachverfahren (RFV) an. Der Arbeitnehmer erhält daraufhin die Karte und eine Zertifizierungsidentifizierungsnummer (ZID) bei der RFV.

Auf der Signaturkarte selbst werden außer dem Namen des Arbeitnehmers und einer Kartenidentifizierungsnummer keine weiteren Daten abgespeichert. Sie enthält drei Schlüsselpaare. Diese dienen für die eigentliche Signatur, für die Verschlüsselung von Dokumenten und E-Mails und für eine Authentifizierung.

Der Arbeitgeber überträgt die für ELENA erfassten Daten seines Arbeitnehmers in elektronischer Form an die ZSS und erhält darüber eine Protokollmeldung. Die in den Datensätzen enthaltene Rentenversicherungsnummer wird von der ZSS an die RFV übertragen. Diese verknüpft sie mit der ZID des jeweiligen Arbeitnehmers und sendet diese Nummer zurück an die ZSS. Dort werden die ELENA-Datensätze dann unter der ZID abgespeichert. Somit besitzt nur die RFV die Möglichkeit, Personen mit ihren Datensätzen zu verknüpfen, hat aber selbst keinen Zugriff auf die Daten.

Auch die Agenturen, denen der Zugriff auf die Daten des ELENA-Verfahrens genehmigt wird, müssen bei einem Trust Center eine Signaturkarte für ihre Mitarbeiter beantragen.

Werden nun die Datensätze von einer Agentur benötigt, fordert diese sie bei der ZSS an. Der Sachbearbeiter und der antragstellende Arbeitnehmer müssen sich daraufhin durch Eingabe einer PIN bei der RFV identifizieren. Diese ermöglicht dann die Freigabe und Übermittlung der Daten durch die ZSS an die Agentur.

Eine Verschlüsselung der Daten findet ab deren Eintreffen bei der ZSS statt. Die Behörde erzeugt für jeden Datensatz einen Sitzungsschlüssel (session key) und gibt diesen an den Bundesdatenschutzbeauftragten weiter. Dieser verschlüsselt den Sitzungsschlüssel mit einem Hauptschlüssel (master key) der zurück an die ZSS übertragen wird. Die ZSS speichert dann neben dem verschlüsselten Datensatz auch den zugehörigen verschlüsselten Hauptschlüssel. Ein direkter Zugriff auf die Daten ist somit nur nach einer Genehmigung durch den Bundesdatenschutzbeauftragten möglich.

Dieses System erscheint zunächst sicher, aber die jüngste Vergangenheit hat am Beispiel unzähliger Datenskandale immer wieder gezeigt, dass es keine unüberwindbaren Schutzsysteme gibt. Es ist nur eine Frage der Zeit oder der technischen Möglichkeiten, bis die Schwachstellen des ELENA-Verfahrens entdeckt werden und die Datensätze in falsche Hände gelangen.

ELENAs Auswirkungen

Für die Arbeitnehmer ändert sich durch die Einführung von ELENA zunächst nichts. Sie müssen sich allerdings damit abfinden, dass die im Rahmen des Verfahrens über sie erfassten Daten zukünftig zentral gespeichert werden. Eine Möglichkeit des Widerrufs besteht nicht. Die Teilnehmer haben keinen Rechtsanspruch, um die Übermittlung der vorgesehenen Entgeltdaten an die Zentrale Speicherstelle zu verhindern. Dabei ist irrelevant, ob sie jemals Sozialleistungen in Anspruch nehmen. Es handelt sich somit um eine weitere Form der Vorratsdatenspeicherung, die dem im Bundesdatenschutzgesetz festgelegten Grundsatz der Datensparsamkeit widerspricht.

Möchte ein Bürger ab 2012 Sozialleistungen in Anspruch nehmen, muss er nach Angaben der Herstellerfirmen mit Kosten von zehn Euro für die Signaturkarte mit einem elektronischen Zertifikat rechnen. Diese hat eine Gültigkeit von drei Jahren. Sozialhilfeempfänger sollen die Kosten erstattet bekommen. Wer allerdings zuhause die Möglichkeiten der elektronischen Signatur nutzen will, den erwarten Kosten von bis zu 50 Euro für die Karte, das Lesegerät und die Software. All diese Schätzungen beruhen allerdings auf der Annahme, dass die Stückpreise aufgrund der Verbreitung sinken werden.

Die Arbeitgeber sind verpflichtet, ihre Beschäftigten darauf hinzuweisen, dass ab Januar 2010 Daten aufgrund des ELENA-Verfahrens Daten an die Zentrale Speicherstelle (ZSS) übermittelt werden. Dafür ist ein allgemeiner Hinweis ausreichend, die Form bleibt dem Arbeitgeber überlassen. Die gesetzliche Mindestanforderung wird durch folgenden Text erfüllt: »Wir sind seit dem 1. Januar 2010 gesetzlich verpflichtet, monatlich die in ihrer Entgeltabrechnung enthaltenen Daten im Rahmen des Verfahrens ELENA an die zentrale Speicherstelle zu übermitteln.«

Außerdem wird empfohlen die Arbeitnehmer auf der ersten Gehaltsabrechnung 2010 über de Grundzüge von ELENA aufzuklären: »Das Gesetz über den Elektronischen Entgeltnachweis (kurz: ELENA) regelt, wie Bürger ihre Beschäftigungszeiten und Arbeitsentgelte nachweisen, wenn sie Sozialleistungen beantragen. Alle Arbeitgeber sind ab dem 1. Januar 2010 verpflichtet, die Entgeltdaten ihrer Beschäftigten an die Zentrale Speicherstelle zu übermitteln. Zum 1. Januar 2012 startet dann der Datenabruf des ELENA-Verfahrens.«

Für die Arbeitgeber bedeutet die Einführung des ELENA-Verfahrens außerdem eine Vielzahl zusätzlicher Kosten. Die zuständigen Mitarbeiter müssen sich in das System einarbeiten und der Umfang der zu erfassenden Daten steigt erheblich. Ab 2012 ist vorgesehen, die Daten der Arbeitnehmer von den dann vorhandenen Chipkarten einzulesen. Dadurch entstehen für alle Unternehmen Mehrkosten durch den nötigen Erwerb und die Wartung der Kartenlesegeräte und der Software. Gerade Kleinunternehmen werden durch ELENA somit unverhältnismäßig benachteiligt. Sie stellen allerdings die Hauptabnehmer für die Lesegeräte dar.

Der Bund selbst stellt für den Aufbau und den Betrieb des Systems von 2009 bis 2014 jährlich 11 Millionen Euro zur Verfügung. Dabei wird stolz behauptet, dass die Unternehmen ab dem Jahr 2012 um jährlich 85,6 Millionen Euro entlastet werden. Das hört sich zunächst nach einem hohen Betrag an. Angesichts der Tatsache, dass es laut Statistischem Bundesamt im Jahr 2006 in Deutschland rund 3,5 Millionen Unternehmen gab, macht das im Durchschnitt aber nur 25 Euro pro Unternehmen und Jahr an Entlastung aus. Wenn man nun allein den Zeitaufwand bedenkt, den die Einführung und das Arbeiten mit ELENA für die Arbeitgeber bedeuten, wird eine Entlastung, sofern sie überhaupt kommt, vermutlich erst in mehreren Jahrzehnten erkennbar sein. Auch hier werden wieder die zahlreichen Kleinunternehmen am stärksten benachteiligt.

ELENAs Nebenwirkungen

Seit dem Inkrafttreten des Gesetzes wurde bestmöglich versucht, es totzuschweigen. Offenbar war sich die Bundesregierung der Kritikpunkte des Verfahrens bewusst und wollte eine öffentliche Diskussion vermeiden.

ELENA soll neben der angeblichen Entlastung aller Beteiligten auch dazu dienen, der bisher wenig akzeptierten elektronischen Signatur zum Durchbruch zu verhelfen. Wenn die Signaturkarten und die Lesegeräte erst einmal verbreitet sind, können sie auch zunehmend für den Abschluss rechtsverbindlicher Verträge im Internet genutzt werden. Die Bundesregierung hofft, dadurch eine Führungsrolle bei den elektronischen Sicherheitszertifikaten übernehmen zu können und somit internationale Standards zu etablieren.

In den letzten Jahren wurden in Deutschland immer mehr Möglichkeiten zur Datensammlung geschaffen. Dies geschah unter dem Deckmantel der Terrorismusbekämpfung und des Bürokratieabbaus zur Erhöhung der Effizienz. Der letzte fehlende Schritt wäre es, alle gespeicherten Informationen untereinander zu vernetzen. Dann wäre der nahezu komplett gläserne Bürger Wirklichkeit, die Menschen wären nur noch Objekte des Staates. Niemand könnte mehr kontrollieren, wer was über wen weiß.

Dafür wäre aber vor allem noch ein einheitliches Ordnungsmerkmal aller Bürger notwendig. Aber auch ein solches ist schon vorhanden, denn die Finanzämter haben die Einführung der eindeutigen Steuer-Identifikationsnummer abgeschlossen, die dieses Kriterium erfüllt. Das Bundesinnenministerium unter Wolfgang Schäuble hatte bereits den Vorschlag angebracht, diese Nummer in ein Bundesmelderegister aufzunehmen, welches zur Vernetzung der kommunalen Meldeämter dienen sollte. Bisher wurde diese Idee glücklicherweise noch nicht umgesetzt und die Steuer-Identifikationsnummer darf vorerst nur von den Finanzämtern genutzt werden.

Es bleibt die Frage, wie lange eine anderweitige Nutzung verhindert werden kann. Welche neue Datenvernetzung oder welche neue Datensammelstelle wird den Bürgern wohl als nächstes unter fadenscheinigen Vorwänden untergeschoben? ELENA ist diesbezüglich schon ein sehr schwerer Brocken. Es sollte daher alles Menschenmögliche unternommen werden, um dieses Gesetz zu Fall zu bringen.

»Es widerspricht der menschlichen Würde, den Menschen zum bloßen Objekt im Staat zu machen (…) Mit der Menschenwürde wäre es nicht zu vereinbaren, wenn der Staat das Recht für sich in Anspruch nehmen könnte, den Menschen zwangsweise in seiner ganzen Persönlichkeit zu registrieren und zu katalogisieren (…) und ihn damit wie eine Sache zu behandeln, die einer Bestandsaufnahme in jeder Beziehung zugänglich ist.« (Bundesverfassungsgericht 1969)

Was Einwilligungen wert sind

Der Begriff der „Einwilligung“ spielt im Datenschutzrecht eine besondere Rolle. Denn das Bundesdatenschutzgesetz sieht für das Nutzen personenbezogener Daten anderer ein Verbot mit Erlaubnisvorbehalt vor. D.h. das Nutzen solcher Informationen ist grundsätzlich unzulässig, kann aber im Einzelfall und zu festgelegten Zwecken erlaubt sein. Erlaubt ist eine Nutzung personenbezogener Daten nur, wenn es dafür eine gesetzliche Grundlage gibt (z.B. eine Erfassungs- und Dokumentationspflicht) oder die Betroffenen der Nutzung zugestimmt haben; wenn sie also eine Einwilligung i.S.d. Datenschutzes abgegeben haben.

Hintergrund dafür ist das Recht auf informationelle Selbstbestimmung. Jeder soll über Speicherung und Nutzung seiner Daten frei entscheiden können.

Diese Einwilligung  hat daher auf einer freien Entscheidung des Betroffenen zu beruhen und muss im Regelfall schriftlich sowie bezogen auf einen bestimmten Zweck abgegeben werden (§4a BDSG).  Auch die Folgen einer Nicht-Einwilligung (z.B. das Nichtzustandekommens eines Geschäftes oder Vertrages) müssen aufgezeigt werden. Und hier beginnen die Dinge heikel zu werden. Denn wenn etwas Wichtiges wie z.B. ein Mietvertrag, eine neue Stelle usw. von dieser Einwilligung abhängt, kann ihre „Freiwilligkeit“ rechtlich durchaus bezweifelt werden.

Und so hat die Rechtsprechung auch im Laufe der Zeit den Standpunkt entwickelt, dass es z.B. Einwilligungen von Arbeitnehmern regelmäßig an der Freiwilligkeit mangelt, da sie in einem Abhängigkeitsverhältnis zu ihrem Arbeitgeber stehen. Hier ist der Arbeitgeber auf der sicheren Seite, wenn er sich auf die Daten beschränkt, deren Erhebung und Nutzung für den Beginn, die Fortführung oder die Beendigung der Beschäftigung erforderlich sind (§ 32 BDSG). Dazu dürften Kontonummern, Adress- und Sozialversicherungsdaten mit Bestimmtheit zählen. Weniger jedoch umfängliche Persönlichkeitsprofile oder die Ergebnisse mal mehr, mal weniger seriöser psychologischer Tests. Ebenso kritisch ist der Umgang mit Bewerberdaten zu sehen, da auch hier (vorvertragliche) Abhängigkeitsverhältnisse und Machtungleichgewichte vorliegen. Der Bewerber will den Job – notfalls auch mit Abgabe umfangreicher medizinischer Testdaten und sachfremder Analysen ohne Bezug zur konkreten Tätigkeit. Ein Umstand der auch nicht kollektivrechtlich, z.B. durch Abschluss von Betriebsvereinbarungen umgangen werden kann, da Betriebsvereinbarungen kein Ersatz für fehlende Rechtsgrundlagen oder individuelle Einwilligungen sind.

Die Sache wird nicht unbedingt einfacher dadurch, dass es die Einwilligung auch an anderer Stelle in anderen Gesetzen gibt. So z.B. im § 13 des Telemediengesetzes (TMG), wo es allerdings um den speziellen Fall der Nutzung von elektronischen Informations- und Kommunikationsdiensten geht. Hier greift die Gesetzesrangfolge: Das Datenschutzgesetz regelt für Datenfragen das, was nicht in anderen spezielleren Normen geregelt ist. Es ist ein „Gesetz der letzten Instanz“.

Datenschutzrechtliche Einwilligungen kommen im Geschäftsverkehr häufig durch schlüssiges (konkludentes) Handeln zustande. Da wird z.B. etwas in einem Online-Shop bestellt und dazu die Bestelladresse sowie Bankdaten zum Zweck der Bestellabwicklung und Bezahlung angegeben. Das sieht an sich bereits wie eine datenschutzrechtliche Einwilligung aus. Sie würde allerdings wegen der fehlenden Schriftlichkeit im Falle rechtlicher Probleme nicht als solche akzeptiert werden, auch wenn so tagtäglich Hunderttausende Geschäfte getätigt werden. Rechtliche Probleme – das können auch Abmahnungen und Unterlassungsklagen von Wettbewerbern oder Abmahnvereinen sein.

Worin besteht nun eigentlich das Problem mit diesen Einwilligungen? Nun, wenn die Einwilligung unwirksam weil nicht ordentlich zustande gekommen ist, ist auch die Verarbeitung und Nutzung der entsprechenden Daten illegal. Die zahlreichen Datenschutzverstöße der letzten eineinhalb Jahre sowie die Verschärfungen des gesetzlichen Datenschutzes zeigen, dass diesem Problem langsam aber zunehmend mehr öffentliche Aufmerksamkeit zukommen wird.

Dabei muss man sich bei der Planung entsprechender Geschäftsabläufe lediglich Folgendes vergegenwärtigen und es richtig umsetzen:

1. Die Einwilligung wird vom Betroffenen freiwillig abgegeben.
2. Er wurde klar auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung seiner Daten sowie die Folgen der Nichterteilung der Einwilligung hingewiesen.
3. Er gibt seiner Einwilligung dazu schriftlich ab.
4. Die Einwilligung zur Nutzung personenbezogener Daten ist in den Vertragsdokumenten oder geschäftlichen Unterlagen besonders hervorgehoben.

Diese Einwilligung kann vom Betroffenen natürlich später widerrufen werden. Um damit verbundene organisatorische Probleme zu vermeiden, sollten Geschäftsabläufe grundsätzlich datenarm organisiert werden (Prinzip der Datensparsamkeit und Datenvermeidung).

Für denjenigen, der eine solche Einwilligung abgibt, sollten sich aus den begleitenden Informationen die „6 W-Fragen der datenschutzrechtlichen Einwilligung“ beantworten lassen:

1. Willige ich in etwas ein?
2. Warum mache ich das?
3. Welche Daten werden dafür erhoben?
4. Wozu werden diese erhoben?
5. Was geschieht, wenn ich ablehne?
6. Wer erhält die Daten und wozu?

Ein datenschutztechnisches Qualitätsmerkmal im Geschäftsleben besteht darin, dass Kunden, die Einwilligungen abgeben sollen, diese Fragen ohne weiteres Nachfragen aus den ihnen zur Verfügung gestellten Begleitinformationen beantworten können.

Ein Kundenstamm mit solchen Einwilligungen stellt einen nicht zu unterschätzenden immateriellen Wert im Unternehmen dar.

People Performance Management – wenn die elektronische Leistungssteuerung ins Unternehmen einzieht

In den Personalabteilungen großer Unternehmen beginnt sich eine neue Klasse von Businessanwendungen auszubreiten: Die People Performance Management Systeme (PPM) bzw. Business Performance Management Systeme. Sie sollen Methoden, Tools und Prozesse zur Verbesserung der Leistungsfähigkeit und Profitabilität von Unternehmen durch effizientere Bewirtschaftung ihres Personals bereitstellen. Anbieter wie Stepstone Solutions sprechen auch etwas euphemistisch von „Talent Management“. Es ist also wohl noch offen, welche Bezeichnung sich letztlich für diese Form der Personalverwaltung durchsetzen wird.

Schon seit Jahren versuchen Unternehmen die Leistungsabgabe ihrer Beschäftigten zunehmend zu steigern und gleichzeitig besser verwaltbar zu machen, so dass sie gezielt gemanagt werden kann. Ein Instrument dazu ist die indirekte Steuerung als Managementprinzip. Die mit Hilfe evidenzbasierter Personalplanung und damit letztlich IT-gestützt umgesetzt wird.

Dabei fallen naturgemäß zahlreiche Daten an und es bedarf zum Managen der Mitarbeiterleistung definierter Prozesse, was es naheliegend erscheinen lässt, dazu spezielle Anwendungen einzusetzen. Zielvereinbarungen, freiwillige / ergebnisabhängige Entgeltbestandteile, Beurteilungen und Leistungsbewertungen, Fortbildungsmaßnahmen und Personalentwicklungsprogramme – alles was zur Potentialentwicklung, Selektion und optimalem Einsatz der Beschäftigten im Unternehmen eben so getan wird, soll mit dieser neuen Klasse von Anwendungen erfasst, verwaltet und gemanagt werden.

Mögliche, durch PPM-Systeme zu unterstützende Einsatzbereiche wären u.a. Leistungsbeurteilungen, Zielvereinbarungen sowie deren Monitoring, Auswahl von Beschäftigten für Schulungen, Personalentwicklungsprogramme oder interne Versetzungen. Aber auch interne Vergleiche mit anderen Beschäftigten oder Beschäftigtengruppen zur Optimierung der Leistung durch Wettbewerb und Auslesemechanismen. Wie es auch Stephen Baker bereits in seinem Buch „Die Numerati – Datenhaie und ihre geheimen Machenschaften“ beschreibt. Dort erläutert er einen neuen Ansatz von HR-Planungswerkzeugen zur evidenzbasierten Personalplanung, basierend auf mathematischen Modellen in Kombination mit Data-Mining-Technologien.

Klar ist jedoch, dass solche Systeme nur dann sinnvoll eingesetzt werden können, wenn Arbeitgeber darin weitaus mehr Daten  über ihre Beschäftigen ablegen und auswerten, als es zum Zwecke der Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses „erforderlich“ i.S.d. BDSG ist. Zumal der Gesetzgeber aufgrund der zahlreichen Datenskandale in der Wirtschaft den einschlägigen § 32 BDSG neu und deutlich enger gefasst hat.

Das bringt insbesondere für betriebliche Datenschutzbeauftragte und Betriebsräte Arbeit mit sich, wenn ihr Unternehmen ein solches System zur besseren Leistungsbewirtschaftung des Personals einführen will, wie es z.B. die Fachzeitschrift „Computer & Arbeit“ in ihrer aktuellen Ausgabe 10/2009 in einem Artikel erläutert.

(der auf der Homepage des Autors Achim Thannheiser auch als PDF heruntergeladen werden kann)

Zumindest die Betriebsräte werden vor der Aufgabe stehen, ob sie die Einführung von PPM-Systemen gestalten oder verhindern wollen. Letzteres wäre durchaus möglich, da das BDSG solche Systeme bei entsprechend enger Auslegung des § 32 eigentlich unmöglich macht.

Gestalten wird auf jeden Fall bedeuten, zahlreiche Funktionen abzuschalten, einzuschränken sowie ihre Nutzung an klare nachprüfbare Regularien zu binden. Und so kommt auch Arbeitsrechtler Thannheiser zu dem Schluss, dass PPM-Systeme die Möglichkeit bieten, den gesamten arbeitenden Menschen zu durchleuchten. Und daher rät er den Mitbestimmungsorganen, Positivlisten mit zulässigen Nutzungen festzulegen, die alles sonst noch Mögliche als unzulässig ausschließen.

Vom Standpunkt der IT-Sicherheit sind PPM-Systeme dagegen nur ein weiterer Teil der Personaldatenverarbeitung, die denselben Schutzbedarf hat wie alle anderen HR-Systeme.

Wie die Rechtsprechung zum erst kürzlich reformierten Datenschutzgesetz mit dieser Art der Personaldatennutzung verfahren wird, ist derzeit noch offen. Es bleibt also spannend …

Die Datenbörsen der Arbeitsagentur

In den letzten zwei Wochen konnte man schon den Eindruck gewinnen, bzgl. des Datenschutzes hätte die Wirtschaft inzwischen jede Scham verloren. Ob Bewerber-Bluttests bei Daimler, Beiersdorf und Merck, Bruch des Bankgeheimnisses bei der Postbank, Datenklau bei SchülerVZ, neue Spitzeleien bei der Telekom oder Datenpannen bei Libri – praktisch jeden Tag gab es einen neuen Datenskandal. In einigen Fällen dürfte eine zu schwach aufgestellte IT-Sicherheit oder konzeptionelle Lücken in den Datenschutzbestrebungen der Firmen ursächlich gewesen sein. Oft jedoch auch eine gewisse „Herrenmenschenmentalität“ der jeweiligen Entscheider, die sich dachten „Datenschutz ist für andere – wir machen was wir wollen!“.

Eine besonders dicke Datenschutzsau treibe jedoch ausgerechnet die Agentur für Arbeit derzeit durchs bundesrepublikanische Dorf. Die Arbeitsagentur betreibt mit ihrer Jobbörse eine der größten Datenbanken Deutschlands. In ihr sind etwa 3.800.000 Profile arbeitslos gemeldeter Stellensuchender gespeichert. Darin können potentielle Arbeitgeber anonymisierte Profile, geordnet nach Fertigkeiten und Berufsklassifikationen recherchieren und bei Interesse den zuständigen Bearbeiter der Arbeitsagentur kontakten, damit dieser zwischen Arbeitgeber und Bewerber den direkten Kontakt herstellt. Kürzlich stellte sich aber heraus, dass sich jedermann in den System als „Arbeitgeber“ umtun konnte – auch wenn er weder Unternehmer oder Personaler war und schon gar keine offene Stelle hatte.  Und das er dabei auch an nicht anonymisierte Daten herankam, um sie ggf. auch in größeren Mengen herunterzuladen und für eigene Zwecke weiter nutzen zu können.

Spiegel Online hierzu:

Bei der Jobbörse müssten Arbeitgeber lediglich den Firmennamen, die Branche sowie Anschrift und Ansprechpartner angeben. Die Identität prüfe die Bundesagentur nicht. Nach der Anmeldung bekomme der Arbeitgeber eine persönliche Identifikationsnummer zugeschickt, mit dieser könne bereits ein Teil der Bewerberdaten in nicht mehr anonymisierter Form eingesehen werden. Jeder könne so Bewerbungsunterlagen anfordern, mit Adresse, Telefonnummer, Geburtsdaten, Zeugnissen und Lebenslauf – egal, ob er einen Job zu vergeben habe oder nicht.

Wäre das schon happig, legte die Arbeitsagentur im Bereich Hartz-IV-Empfänger gleich noch nach. Denn das 4-PM (“Vier-Phasen-Modell”) , ein System, über das gut 100.000 Mitarbeiter unter anderem Einkommens- und Familiensituation, Schul- und Berufsausbildung, mögliche Erkrankungen und Vorstrafen, Suchtprobleme und Verschuldung von Hartz-IV-Empfängern abrufen können, erwies sich als regelrechte Datenschleuder. Darüber können auch Mitarbeiter, die nichts mit der Betreuung der Arbeitslosen zu tun haben, nach sensiblen personenbezogenen Sozialdaten forschen. Und das bundesweit, also auch außerhalb des eigenen Zuständigkeitsbereiches. Ein Umstand der den Personalräten der Arbeitsagentur schon seit längerem Probleme bereitet. Weshalb sie sich nach wohl fruchtlosen Versuchen, das intern zu regeln, an die Presse wandten und die Sache auffliegen ließen. Sie haben erhebliche Bedenken zum Sozialdatenschutz und sehen das Recht auf informationelle Selbstbestimmung der Bürger verletzt. Diese Bedenken der Personalräte in den Arbeitsagenturen teile ich. Zugleich zeugt das einmal mehr, wie wichtig Mitbestimmungsorgane für das Aufdecken und Angehen fauler Stellen in Wirtschaft und Verwaltung sind.

Zu welchen Formen des Missbrauchs solche Datenlecks führen können, zeigen Insider-Berichte aus der Arbeitsagentur: So wussten die Mitarbeiter der Argen schnell mehr über zwei bestimmte Kandidaten der Fernsehshow von Dieter Bohlen. Das Computersystem der Arbeitsagentur verzeichnete weit über 10.000 Zugriffe auf ihre Datensätze nach deren Auftritt, bei dem die Männer auch ihre zeitweilige Arbeitssuche erwähnten.

Es zeigt sich einmal mehr, dass viele Datenschutz- und Sicherheitsprobleme gar nicht auftreten würden, wenn man sich an banal wirkende Lehrbucherkenntnisse halten würde. Da große Datensammlungen, egal zu welchem Zweck angelegt, immer irgendwann außer Kontrolle geraten und Daten daraus „abfließen“ können, rät schon das Bundesdatenschutzgesetz zu Datensparsamkeit und Datenvermeidung. Daten die erst gar nicht anfallen oder erhoben werden, können auch nicht in falsche Hände geraten. Das ist das Hauptargument, das Datenschützer und Bürgerrechtsaktivisten gegen große zentrale Datensammlungen vorbringen.- Es wird nur leider viel zu selten berücksichtigt.

Zumal solche Datenschleudereien zumindest im öffentlichen Bereich folgenlos bleiben.

Bundesdatenschutzbeauftragter Peter Schaar hierzu in einem Interview mit Ole Reißmannauf Spiegel online:

Ich habe als Bundesbeauftragter für den Datenschutz die Möglichkeit, das zu kritisieren und gegebenenfalls zu beanstanden, mehr nicht. Auch bei der Jobbörse der Arbeitsagentur gibt es ja ein Problem mit dem Datenschutz. Ohne Prüfung der Identität und Seriosität kann sich praktisch jeder als Arbeitgeber registrieren lassen und Unterlagen von Bewerbern anfordern. Das wissen wir seit einem Jahr, unsere Kritik und unsere Hinweise haben nicht geholfen. Es fehlt einfach an der nötigen Sensibilität im Umgang mit persönlichen Daten und an entsprechend wirksamen Durchsetzungsmöglichkeiten für mich als Bundesbeauftragten für den Datenschutz.

…

Wäre die Bundesagentur für Arbeit eine Firma, könnten die zuständigen Datenschützer zumindest Bußgelder verhängen, gegebenenfalls sogar die Datenverarbeitung untersagen, und das Problem müsste öffentlich gemacht werden. Seit September ist das gesetzlich vorgeschrieben. Aber für Behörden gilt diese Verpflichtung nicht – und etwas untersagen oder Geldbußen verhängen, können wir auch nicht.

Narrenfreiheit und Straflosigkeit für Behörden also. Egal was datentechnisch verbockt wird. Da dürften jegliche Anreize fehlen, zumal Stellungnahmen des Bundesdatenschutzbeauftragten für die Behörden wohl nur Empfehlungscharakter zu haben scheinen.

Und das obwohl Privatfirmen für gleichartige Verstöße durchaus zu sechsstelligen Geldstrafen sowie der Abführung der daraus gezogen Gewinne verurteilt werden können.

Man wird die öffentlichen und privaten Datenschleudern wohl nur dadurch stilllegen können, indem hart und unnachsichtig durch Prozesse, Urteile und Skandalisierung Klarheit darüber geschaffen wird, das Verstöße gegen den Datenschutz ähnlich geahndet werden, wie jene gegen das Eigentumsrecht (Betrug, Diebstahl …) oder das Recht auf körperliche Unversehrtheit (tätliche Angriffe, sexuelle Belästigungen …).

Da liegt ein ordentliches Stück Arbeit vor uns. Wird es jedoch angegangen, kann das insbesondere für professionell in der IT-Sicherheit Tätige eine Sonderkonjunktur bedeuten.

Schon wieder Daten „gelidlt“

Seit den Datenskandalen rund um illegale Mitarbeiterüberwachung und Krankenakten bei Lidl stehen die, für ihre aggressiven Personalmanagementpraktiken bekannten Discounter unter verstärkter öffentlicher Beobachtung. Und das Verb „gelidlt werden“ beginnt sich als Bezeichnung für „Informationsbeschaffungsmethoden wirklich freier Unternehmer unter kreativer Ausgestaltung der geltenden Gesetzeslage und flexibler Wahrung von Persönlichkeitsrechten“ zu etablieren.

Und so überrascht es nicht wirklich, auf Spiegel Online zu lesen, dass der irländischen Lidl-Tochter doch tatsächlich ein Server abhandenkam, auf dem Dateien mit Umsatzzahlen, Einkaufsplanungen, Schriftverkehr zwischen dem Unternehmen und Ärzten der Mitarbeiter sowie Krankmeldungen, Diagnosen oder Abmahnungen von Beschäftigten abgelegt waren. Insgesamt etwa 200.000 Dokumente, wie ein ehemaliger deutschen Lidl-Beschäftigter, der mal für das Irland-Geschäft zuständig war, berichtete, dem ein Plattenabzug zugespielt  worden war.

Ärgerlich und peinlich für Lidl. Und übel für die betroffenen Beschäftigten. Andererseits wäre das nicht das erste und bestimmt auch nicht das letzte Datenleck in einer Unternehmens-EDV. Richtig schräg wurde es erst, als der frühere Lidl-Mitarbeiter nach eigener Darstellung versuchte, die Festplatte an Lidl zu übergeben und seine früheren Kollegen für das sich anbahnende Desaster zu sensibilisieren. Denn der Konzern zeigte angeblich kein Interesse und hielt die Daten nicht für brisant.

Simon Columbus schreibt dazu auf Gulli.com:

Sollte Lidl allerdings tatsächlich die erste Kontaktaufnahme mit einem achselzuckenden „na und?“ beantwortet haben, wie sich die Sache bisher darstellt, dann darf man sich um den Geisteszustand der Verantwortlichen Sorgen machen. Schon so ist es erschreckend genug, dass derart intime Daten wie ärztliche Prognosen innerhalb des Unternehmens frei zugänglich waren. Wenn das aber noch nicht einmal als „brisant“ erkannt wird, dann fehlt es eindeutig an Augenmaß im Datenschutz.

Inzwischen hat wohl auch die Rechtsabteilung des Discounters nochmal drüber meditiert. Und den Festplattenfinder dazu aufgefordert, den Datenträger bei der Staatsanwaltschaft abzugeben. Und sich weitere rechtliche Schritte vorbehalten.

Einmal mehr wird ersichtlich, dass IT-Sicherheit auf mehreren Ebenen gedacht und umgesetzt werden muss. Ein noch so gut gegen Netzattacken geschütztes Rechenzentrum ist leicht angreifbar, wenn man dort vor Ort einfach so in Gebäude hinein und an Server und Platten herankommt, die Sekretärin zur Herausgabe sensibler Daten verleiten kann oder lausig bezahlte und schlecht behandelte Mitarbeiter leicht empfänglich für Korruption sind.

Schufa-Auskunft für den Chef – ist das legal?

Die Schufa sammelt und aggregiert zahlreiche Finanzdaten von Unternehmen und Verbrauchern. Über eine Schufa-Auskunft lässt sich u.a. ein Überblick über vorhandene Bankkonten, Kreditkarten und Handyverträge, laufende Kreditverpflichtungen aber auch Negativeinträge wie Informationen über nicht vertragsgemäße Abwicklungen von Geschäften (Mahnbescheide, geplatzte Schecks, Kreditprobleme) und Daten aus öffentlichen Verzeichnissen und amtlichen Bekanntmachungen wie z.B. den Schuldner- und Insolvenzverzeichnissen der Amtsgerichte gewinnen.

Daher gibt es Unternehmen, die im Rahmen ihres Risikomanagements von ihren Angestellten neben einem polizeilichen Führungszeugnis auch eine jährlich erneut vorzulegende Schufa-Selbstauskunft haben wollen. Bankgeheimnis hin oder her.

Doch ist das legal?

Schließlich darf ein Arbeitgeber gemäß § 32 BDSG personenbezogene Daten eines Beschäftigten nur für Zwecke des Beschäftigungsverhältnisses erheben und nutzen. Und auch das nur dann, wenn es erforderlich ist. Reine Neugier oder Nützlichkeitserwägungen reichen also nicht. Und Schufa-Auskünfte enthalten außer Namen, Adresse und Kontonummer nichts, was für Zwecke des Beschäftigungsverhältnisses wirklich erforderlich ist.

Besonderes Interesse am Finanzstatus ihrer Beschäftigten haben Unternehmen des Wach- und Sicherheitsgewerbes. Dort will man – wohl auch angesichts branchenüblich magerer Entlohnung – sichergehen, dass die Fahrer von Geldtransporten eine finanziell gesehen einwandfreie Lebensführung aufweisen. Dazu nahm die Bundesvereinigung Deutscher Geld- und Wertdienste (BDGW), ein Arbeitgeberverband im Sicherheitsgewerbe im Rahmen eines satzungsgemäß für die Verbandsmitglieder verbindlichen jährlich erneut durchzuführenden „Sicherheitschecks“ die Anforderung auf, von Bewerbern Schufa-Selbstauskünfte einzufordern:

Der „klassische“ Sicherheits-Check 1 befasst sich vor allem mit baulich-technischen und personellen Anforderungen sowie der ordnungsgemäßen Durchführung von Geld- und Werttransporten. Überprüfungsschwerpunkte fangen bereits bei den Einstellungsvoraussetzungen für das Personal an. Hier werden wesentlich höhere Maßstäbe angelegt als in den meisten anderen Branchen. Die Vorlage eines polizeilichen Führungszeugnisses, eine ärztlich bestätigte physische und psychische Tauglichkeit, eine persönliche und eine Schufa-Selbstauskunft sowie eine Verschwiegenheitserklärung sind nur einige der Punkte, die von den Bewerbern verlangt werden.

(Quelle: BDGW-Imagebroschüre, PDF 1,2 MB)

Dumm nur, das so eine Klausel rechtlich gesehen die Verbindlichkeit eines Wunsches besitzt. Und in den Unternehmen, in denen ein Betriebsrat existiert, dieser diese Praxis unterbinden kann. Worauf kürzlich die Gewerkschaft Verdi in ihrem Brancheninfodienst „Sicherheitsnadel“ im Rahmen einer ausführlichen juristischen Stellungnahme hinwies.

Arbeitgeber müssen Gesetze einhalten. Da hat ihnen auch kein Betriebsrat dreinzureden. Mitbestimmung gibt es nur da, wo der Gesetzgeber dafür Spielräume gelassen oder explizit Mitbestimmungsrechte eingeräumt hat.

Verbandssatzungen sind aber keine Gesetze. Und sie dürfen auch kein gesetzeswidriges Verhalten zur Norm für die Verbandsmitglieder erheben (legt man das streng aus, könnte ein Verband deswegen sogar verboten werden). Durch sie werden zudem nur die Verbandsmitglieder zu etwas verpflichtet, nicht deren Beschäftigte.

Das Gleiche gilt auch für Verträge aller Art, wie z.B. Versicherungsverträge auf die sich in solchen Fällen auch gern mal bezogen wird. Ein Blick ins BGB zeigt in § 134 dass Verträge, deren Inhalt gegen Gesetze verstößt, nichtig sind.

(interessanter Nebenaspekt: Wie kann man aus einer potentiell nichtigen Versicherungspolice im Schadensfall Leistungen einfordern?)

Hin und wieder müssen ausgerechnet beufsgenossenschaftliche Unfallverhütungsvorschriften wie die für Wach- und Sicherungsdienste relevante Vorschrift BGV C7 „Besondere Bestimmungen für Geldtransporte“, herhalten, um einen gesetzesgleichen Anspruch auf das Einfordern von Schufa-Auskünften abzuleiten.  Eine Durchführungsanweisung zum § 24 (Eignung des Personals) könnte tatsächlich dahingehend ausgelegt werden:

Bei der Eignungsbeurteilung (des Bewerbers für den Wachdienst) ist insbesondere auch auf Unbescholtenheit sowie eine geordnete Lebensführung zu achten, z.B. durch die unbeschränkte Auskunft nach § 41 Abs. 1 Nr. 9 Bundeszentralregistergesetz (BZRG), polizeiliches Führungszeugnis, die aktuelle Schufa-Selbstauskunft.

Allerdings sind auch Durchführungsanweisungen nicht mehr als unverbindliche Handlungsempfehlungen und können gesetzliche Vorschriften wie das Bundesdatenschutzgesetz nicht außer Kraft setzen. Im Gegenteil: Es ist anzunehmen, dass solche Handlungsempfehlungen als Folge von Gesetzesänderungen und Rechtsprechung früher oder später geräuschlos korrigiert werden. Zum auch hier die Schufa-Auskunft nicht als Norm sondern als mögliches Beispiel zu deren Erfüllung genannt wird.

Die Tücke beim Umgang mit Rechtsquellen steckt demnach häufig in den Details, welche gelesen und auch verstanden werden wollen.

So kam auch Arbeitsrechtler Tobias Wolters in der „Sicherheitsnadel“ (Ausgabe 12, S. 7) zu dem Fazit, dass das Einfordern von Schufa-Auskünften von Beschäftigten oder Bewerbern zwar mit unter die Mitbestimmung des Betriebsrats fällt, da es um Fragen des Ordnungsverhaltens der Arbeitnehmer geht. Dieser aber keine entsprechende Betriebsvereinbarung abschließen kann, da auch Betriebsvereinbarungen (ähnlich wie Verträge) nichts Gesetzeswidriges enthalten dürfen.

Er empfiehlt daher das Thema Schufa-Auskünfte aus entsprechenden Verbandssatzungen, Versicherungsverträgen und Anmerkungen zu berufsgenossenschaftlichen Regeln komplett zu streichen.

Wer einmal seine eigene Schufa-Auskunft prüfen will, kann das unter www.meineschufa.de tun. Wer mehr über Scoring-Methoden generell erfahren will, dem bietet die Schufa unter www.scoring-wissen.de eine Einführung in das Thema an.