Positionen der Datenschutzaufsicht

Grundsätzlich wird in dem Kurzpapier Nr. 20 – Einwilligung nach der DS-GVO vom 22.02.19 von der Datenschutzkonferenz, die Positionen der Datenschutzaufsichten dargelegt:

„Besonderes Augenmerk ist nach der Datenschutz-Grundverordnung auf die Freiwilligkeit einer Einwilligung zu richten. Es kann nur dann davon ausgegangen werden, dass eine betroffene Person ihre Einwilligung freiwillig gegeben hat, wenn sie eine echte und freie Wahl hat, also in der Lage ist, die Einwilligung zu verweigern oder zurückzuziehen, ohne Nachteile zu erleiden (siehe ErwGr. 42). Dies ist beispielsweise in aller Regel nicht der Fall, wenn die Erfüllung eines Vertrages von einer Einwilligung in eine Datenverarbeitung abhängig gemacht wird, die für die Erfüllung des Vertrages nicht erforderlich ist (Art. 7 Abs. 4 i. V. m.  ErwGr. 43 DS-GVO, sogenanntes Koppelungsverbot). Zudem liefert eine Einwilligung regelmäßig keine gültige Rechtsgrundlage, wenn zwischen der betroffenen Person und dem Verantwortlichen ein klares Ungleichgewicht besteht, und es deshalb unwahrscheinlich ist, dass die Einwilligung freiwillig gegeben wurde“.

Beispiele aus der Praxis der Datenschutzaufsicht:

Künstliche Intelligenz im Personalwesen

Ob und auf welcher datenschutzrechtlichen Grundlage sich der Einsatz von KI im Bewerbungskontext vollzieht, ist im Kern noch offen. Eine ausdrückliche gesetzliche Grundlage besteht (bislang) nicht. Da es sich um automatisierte Verfahren handelt, welche personenbezogene Daten der Bewerber_innen verarbeiten, legt die DS-GVO hierbei die Rahmenbedingungen fest… Ferner bedarf es einer Rechtsgrundlage, wobei zu-nächst an die Einwilligung zu denken ist. Da sich die Bewerber_innen aber sorgen müssen, bei Nichterteilung der Einwilligung keine Berücksichtigung zu finden, erscheint die Freiwilligkeit der Einwilligung mehr als fraglich. Ob und auf welcher datenschutzrechtlichen Grundlage sich der Einsatz von KI im Bewerbungskontext vollzieht, ist im Kern noch offen. (36. Datenschutz-Tätigkeitsbericht des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, 2020)

Aufzeichnung oder Mithören von Telefongesprächen in Call-Centern

Das Aufzeichnen und Abhören von Telefongesprächen ist aber strafbar, soweit dies unbefugt im Sinne des § 201 Absatz 1 StGB erfolgt. Danach wird das unbefugte Aufnehmen des nicht-öffentlich gesprochenen Wortes eines anderen auf einem Tonträger mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe geahndet. Die Betreiber von Call-Centern müssen daher rechtlich Einiges beachten, damit diese Form der Datenverarbeitung auch recht-mäßig durchgeführt werden kann.

Differenzierung zwischen Kunden- (reine Widerspruchslösung reicht nicht – Einwilligung notwendig) und Beschäftigtendaten (nicht zu Zwecken einer Verhaltens- oder Leistungskontrolle) ist notwendig. Bei den Beschäftigtendaten darf es keine unbegrenzten und unbefristeten Aufzeichnungen geben, sie müssen offen geschehen. Umfang, Auswertung, Zweck und Speicher- und Löschungsfristen sind vorab festzulegen. Einwilligung der betroffenen Arbeitnehmer*innen können eine Datenerhebung nicht rechtfertigen. (32. Datenschutz-Tätigkeitsbericht des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, 2014/2015)

Videoüberwachung am Arbeitsplatz – hohe Anforderungen an Einwilligung

Ein Unternehmen hat seine Produktionshallen und sein Gelände, auf dem auch andere Unternehmen angesiedelt sind dauerhaft mit Kameras überwacht. Es holte dazu zwar Einwilligungen von Betroffenen ein, diese waren aber nicht wirksam. Ich ordnete daraufhin an, die Kameras zumindest am Tag abzustellen, wogegen das Unternehmen gerichtlich vorging.

In seinem Beschluss vom 13. August 2019, Aktenzeichen 10 B 1883/19, hat das Verwaltungsgericht Hannover den Antrag auf Wiederherstellung der aufschiebenden Wirkung als unbegründet abgelehnt. Es führte dazu aus, dass die Videoüberwachung in diesem Fall nicht durch einen gesetzlichen Erlaubnistatbestand des § 26 BDSG gedeckt sei, da sie weder zur Aufdeckung von Straftaten erforderlich sei (§ 26 Abs. 1 Satz 2 BDSG) noch zur Durchführung des Beschäftigtenverhältnisses (§ 26 Abs. 1 Satz 1 BDSG) oder auf Grundlage einer Einwilligung gemäß § 26 Abs. 2 BDSG erfolge.  (25. Tätigkeitsbericht Datenschutz-Tätigkeitsbericht der Landesbeauftragten für den Datenschutz Niedersachsen, 2019)

Die Nutzung moderner Ortungssysteme

wie das Global Positioning System (GPS) zur Positionsbestimmung von Fahrzeugen darf nicht zur lückenlosen Verhaltens- und Leistungskontrolle von Beschäftigten genutzt werden. Eingesetzt werden dürfen Sie nur, wenn es zur Durchführung des Arbeitsverhältnisses oder Steuerung der betrieblichen Belange erforderlich ist. Einwilligungen Beschäftigter sind regelmäßig unwirksam. (24. Datenschutz- und Informationsfreiheitsbericht der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, 2019)

Einwilligung als Rechtsgrundlage für die Verwendung von Bildern von Beschäftigten

Je nach dem, auf welcher Basis die Einwilligung für die Verwendung von Bildern der Beschäftigten gestützt wird, ergeben sich unterschiedliche Rechtsfolgen:

„Wäre hier also das Kunsturhebergesetz maßgeblich, könnte die öffentliche Stelle die Bilder ihrer Beschäftigten grundsätzlich auch dann weiterverwenden, wenn diese – etwa anlässlich der Beendigung ihres Beschäftigungsverhältnisses – ihre Einwilligung widerrufen. Nach allgemeinem Datenschutzrecht ist die Einwilligung dagegen frei widerruflich (vgl. Art. 7 Abs. 3 DSGVO)“. (29. Tätigkeitsbericht des bayerischen Landesbeauftragten für den Datenschutz, 2019)