Ein historischer Moment für den Datenschutz?

Sachliche Grundlage

Ausgangspunkt ist die Beauftragung eines externen Dienstleisters als sog. Auftragsdatenverarbeiter mit der Erhebung, Verarbeitung oder Nutzung personenbezogener Daten. Dies setzt einen schriftlichen Vertrag zwischen den Parteien voraus. Die gesetzliche Grundlage hierzu (Bundesdatenschutzgesetz BDSG) schreibt eine Vielzahl von Einzelheiten vor, die zum Schutz der personenbezogenen Daten explizit in diesem Vertrag benannt und festgelegt werden müssen. Besonders relevant sind dabei auch die Datensicherheitsmaßnahmen (technische und organisatorische Maßnahmen), die vom Dienstleister zum Schutz der Daten getroffen werden müssen. All diese Maßnahmen müssen konkret und spezifisch festgelegt werden – sind sie jedoch löchrig, etwa wenn die korrekte Festlegungen zu unzureichend ist, eröffnet sich die Möglichkeit eines Ordnungswidrigkeitsverfahrens, welches mit einer Geldbuße von bis 50.000,- € geahndet werden kann.

Zum Sachverhalt

Nun verhängte das BayLDA gegen ein Unternehmen eine Geldbuße in fünfstelliger Höhe. Die Grundlage hierfür sah das Landesamt in den schriftlichen Aufträgen des Unternehmens mit mehreren externen Dienstleistern. In diesen legte die Firma nur unzureichend den Schutz der Daten durch Datensicherheitsmaßnahmen dar. Die Angaben zu den erforderlichen Maßnahmen enthielten nur Wiederholungen des Gesetzes und pauschale Aussagen – nicht jedoch konkrete Maßnahmen. Richtigerweise ist dies unzureichend. Grund hierfür ist, dass ich die datenschutzrechtliche Verantwortung auch bei der Einschaltung von externen Dienstleistern, beim Auftraggeber liegt. Auch unterliegt der Auftraggeber einer Kontrollpflicht hinsichtlich der Datensicherheitsmaßnahmen gegenüber dem Dienstleister. Um all dies gewährleisten zu können, müssen die festgelegten technisch-organisatorischen Maßnahmen in dem abzuschließenden schriftlichen Auftrag spezifisch festgelegt werden. Allein dadurch kann der Auftraggeber seiner Kontrollpflicht nachkommen und beurteilen, ob die personenbezogenen Daten bei seinem Auftragnehmer z.B. gegen Auslesen oder Kopieren durch Unbefugte, gegen Verfälschung oder sonstige unberechtigte Abänderung oder gegen zufällige Zerstörung geschützt sind.

Stellungnahme des BayLDA

„Augen auf beim Einbinden von Dienstleistern. Jeder Auftraggeber muss wissen und gegebenenfalls auch prüfen, was sein Auftragnehmer mit den Daten macht.“, appelliert Thomas Kranig, der Präsident des BayLDA an die Auftraggeber. „Die Datensicherheitsmaßnahmen müssen konkret und spezifisch im Vertrag festgelegt werden. Unspezifische oder pauschale Beschreibungen reichen nicht aus. Wir werden auch künftig in geeigneten Fällen Verstöße in diesem Bereich mit Geldbußen ahnden.“

Fazit

Datenschutzrechtliche Themen sind oftmals sehr komplex. Welche vertraglichen Festlegungen bzgl. der Datensicherheitsmaßnahmen getroffen werden müssen, kann nicht ohne Einzelfallbetrachtung des jeweiligen Dienstleisters und den von diesem zum Einsatz gebrauchten Datenverarbeitssystemen beantwortet werden. Der gesetzliche Maßstab im Bezug auf die Datensicherheitsmaßnahmen bemisst sich nach § 9 BDSG. In dieser Norm werden Maßnahmen in den Bereichen Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags-, Verfügbarkeits- und Trennungskontrolle verlangt. Grundsätzlich muss der schriftliche Auftrag daher also spezifische Festlegungen zu diesen Fragen enthalten. Weiterhin bietet das BayLDA einen Leitfaden (ausgehend von § 11 BDSG) für diese Fragestellung.

Abschließend setzt das BayLDA mit dieser Entscheidung ein klares Signal: Nicht nur fehlender, sondern auch unzureichender Datenschutz bei der Verarbeitung von personenbezogenen Daten wird verfolgt und bestraft. Die Festsetzung in der Höhe des Bußgeldes, sowie die Aussage von Thomas Kranig verdeutlichen nochmals die Wichtigkeit der Einhaltung des BDSG. Insofern sorgte das BayLDA für einen historischen Moment im Themenfeld Datenschutz und Datensicherheit.

__

Bildquelle

Pixabay (CCO Public Domain)

__

Quelle: oldskoolman.de

Mein Bild auf der Firmenhomepage!

Das Unternehmen möchte seinem Betrieb ein freundliches Gesicht geben. Und so lässt es Bilder seiner Mitarbeiter erstellen und präsentiert diese auf seiner Unternehmenshomepage.

Was der Arbeitgeber hierfür benötigt, ist aber die Einwilligung des jeweiligen Mitarbeiters. Ansonsten verstößt er gegen das Persönlichkeitsrecht und macht sich gegenüber seinem Mitarbeiter schadensersatzpflichtig.

Solche Einwilligungen sind per se problematisch, da ihnen stets unterstellt werden kann, dass sie nicht frei von jeglichem Druck oder sonstigen Einwirkungen erteilt wurden. Denn das Arbeitsverhältnis ist ja gerade durch ein Über-Unterordnungsverhältnis gekennzeichnet.

Möchte also ein Arbeitgeber die Bilder seiner Mitarbeiter auf der Webseite des Unternehmens im Internet veröffentlichen, so kommt im Idealfall das Anliegen selbst vom Mitarbeiter. Nach der Anfertigung der Bilder, für die es in aller Regel ebenfalls schon einer Einwilligung bedarf, könnte man z.B. dem Mitarbeiter einen Zettel aushändigen, in dem er notieren kann, wieviel Abzüge er selbst von dem Bild gerne hätte und ob er mit der Veröffentlichung auf der Firmenwebseite einverstanden wäre. Ich würde dabei auch darauf achten, dass kein Zusammenhang zwischen beiden Fragen hergestellt wird. Also nicht nach dem Motto: Abzüge gibt’s kostenfrei, wenn du deine Einwilligung erteilst, o.ä.

Problematisch sehe ich die Praxis vieler Unternehmen, die Einwilligungserklärung direkt in Arbeitsverträge mit aufzunehmen. Denn dies kann vom Mitarbeiter für seine Behauptung als Argument genutzt werden, die Einwilligung ist nicht freiwillig erteilt worden, sondern nur in Hinblick auf den Abschluss des Arbeitsvertrags. Problematisch in der Hinsicht, weil dieser Umstand ein gerichtliches Verfahren provozieren kann – unabhängig vom Ausgang des Verfahrens. Und Risiken könnte man an der Stelle vermeiden, wenn das Ziel auch risikoloser erreicht werden kann.

Schadensersatz trotz vorliegender Einwilligung!

Gerade über das Kriterium der „Freiwilligkeit“ können solche Einwilligungserklärungen stolpern. Kann der Arbeitgeber nicht zweifelsfrei nachweisen, dass eine solche Einwilligung freiwillig erteilt wurde, gilt diese als nicht erteilt, und der Arbeitnehmer erhält einen Schadensersatzanspruch.

Wenn z.B. der Mitarbeiter das Unternehmen verlassen hat, wenn ihm nicht mehr viel an einer harmonischen Beziehung zu seinem ehem. Arbeitgeber liegt, könnte er sich daran erinnern, dass die Einwilligung von ihm nur erteilt wurde, weil der Arbeitgeber entsprechend auf ihn eingewirkt hat.

Einwilligung erteilt, auch wenn nichts Schriftliches vorliegt (konkludente Einwilligung)

Im Einzelfall kann auch in der Duldung eine Einwilligung des Mitarbeiters gesehen werden. Weiß also der Mitarbeiter von der Verwendung seines Bildes auf der Webseite seines Arbeitgebers, so kann er auf der einen Seite diesen Umstand nicht jahrelang hinnehmen (dulden) und dann schließlich, sich auf die fehlende Einwilligung berufend, Schadensersatz verlangen.

Hierzu hat das LAG Köln am 10.07.2009 (Az.: 7 Ta 126/09) einen Beschluss gefasst, in dem es gerade diese konkludente Einwilligung durch Duldung der Fotografie einer Mitarbeiterin auf der Firmenhomepage annahm. Glück für den Arbeitgeber.

Das Bild des Mitarbeiters kann grundsätzlich auch nach dessen Ausscheiden auf der Homepage belassen werden

Der Mitarbeiter scheidet aus dem Betrieb aus. Muss der Arbeitgeber nunmehr seinen Webauftritt umstellen?

Zunächst sollten die Einwilligungserklärungen auch einen solchen Fall vorsehen, nämlich was mit den Bildern passieren soll, wenn der Mitarbeiter ausscheidet. Günstig für den Arbeitgeber ist eine Formulierung, wonach der Mitarbeiter die Verwendung seiner Bilder auch nach der Beendigung des Arbeitsvertrags zustimmt.

Sollte der ausgeschiedene Mitarbeiter nach seinem Ausscheiden nun nachträglich diese Einwilligung widerrufen (auch konkludent durch konkrete Handlungsaufforderung an das Unternehmen) so sollte das Unternehmen sorgfältig abwägen, ob und inwieweit sie dem Verlangen des ausgeschiedenen Mitarbeiters nachkommen wollen, welchen Mehrwert liefern die Bilder (noch) für das Unternehmen?

In dem Fall, welches das LAG (s.o.) zur Entscheidung vorlag, hatte das Bild der klagenden Mitarbeiterin reine Illustrations- bzw. Dekorationszwecke, hatte also keinen individuellen Bezug auf die Persönlichkeit der Mitarbeiterin. Oder anders gesagt: sie „wäre von seinem Aussagegehalt her durch das Foto jeder beliebigen anderen – auch unternehmensfremden – Person in gleicher Pose austauschbar.“ (…wenig schmeichelhaft vielleicht für die ehemalige Mitarbeiterin).

In einem solchen Fall ist also der Anspruch auf Entfernung des Bildes verneint worden.

Das ArbG Frankfurt am Main hat am 20.06.2012 (Az  7 Ca 1649/12) hat im Falle von Gruppenfotografien ebenfalls den Anspruch auf Entfernung des Fotos (in seiner Gänze) verneint. Es gab dem Unternehmen jedoch auf, für die Unkenntlichmachung der klagenden Person auf den Gruppenfotos zu sorgen. Wie und auf welcher Weise, stellte das Gericht dem Unternehmen frei.

In Fällen des §23 Abs, 1 Nr. 3 KUG muss der Arbeitgeber die Person noch nicht mal unkenntlich machen. Das sind Fälle, wie eine Gruppenaufnahme bei der Jahreshauptversammlung, Aufzüge oder ähnliche Ereignisse.

Der Artikel der Datenschutz-Praxis vom 29.01.2013 befasst sich noch eingehender mit dem Fall des ArbG Frankfurt.

Liegt die Einwilligung des Fotografens vor?

Gerne wird bei dem Vorhaben durch den Arbeitgeber übersehen, dass er neben der Einwilligung seiner Mitarbeiter auch die Einwilligung des Fotografens benötigt. Denn auch er hat Rechte an den Bildern, die schließlich seine Werke sind.

Werden seine Bilder ohne seine Einwilligung veröffentlicht, dann kann es schnell teuer für den Unternehmer werden. Der Fotograf könnte nämlich entsprechende Lizenzgebühren nachfordern.

Fazit:

Auch wenn es mal im Einzelfall ohne schriftliche Einwilligungserklärung geht, ist es doch für den Arbeitgeber stets ratsamer eine solche schriftliche Einwilligungserklärung einzuholen und sie sorgfältig zu archivieren. Die Einwilligungserklärung sollte auch Gruppenaufnahmen oder Aufnahmen zu rein dekorativen Zwecken mit umfassen. Denn selbst wenn ein Gericht möglicherweise erst in 2. Instanz dem Arbeitgeber recht geben sollte, ein jeder Prozess bedeutet einen zusätzlichen Aufwand mit ungewissem Ende. Somit sollte die Prozessvermeidung stets die höchste Priorität bei der Unternehmensleitung innehaben.