TBS-Berater Jens Göcking über datenschutzkonforme Technologien
Was sollten Interessenvertretungen in Sachen Datenschutz und Vertraulichkeit bei virtuellen Versammlungen und Sitzungen unbedingt beachten?
Sie sollten professionelle und weitestgehend datenschutzkonforme Lösungen einsetzen. Grundsätzlich sollten eher die Standardsysteme genutzt werden, die im Betrieb zur Verfügung stehen. Dabei ist aber genau hinzusehen: Mit dem jüngsten Urteil des Europäischen Gerichtshofs, dem sogenannten „Schrems II-Urteil“, findet die Nutzung zahlreicher Anwendungen häufig ohne rechtliche Grundlage statt, wenn dabei personenbezogene Daten in Drittstaaten wie z.B. die USA übertragen werden, die keinen Datenschutz entsprechend unseren gesetzlichen Standards sicherstellen. Betriebliche Datenverarbeitungen sollten daher möglichst in der EU bzw. dem Europäischen Wirtschaftsraum erfolgen. Werden die betrieblichen Standardsysteme genutzt, hat der Arbeitgeber als rechtlich Verantwortlicher dies zu gewährleisten. Wenn Unklarheiten bestehen, kann der betriebliche Datenschutzbeauftragte Auskunft geben. Eine Betriebs- oder Dienstvereinbarung dient der zusätzlichen Absicherung. Alle Systeme sind mitbestimmungspflichtig! Von kostenlosen „Testversionen“ im Internet ist abzuraten. Hier kann die betriebliche Nutzung unzulässig sein und einen Lizenzverstoß darstellen. Aus Datenschutzsicht ist bei jedem System zu klären: Wie und durch wen wird es betrieben? Wer hat Zugang zum System und zur Versammlung bzw. Konferenz? Sind Zugangscodes vertraulich? Können Mitschnitte gemacht werden? Erfolgt die Übertragung verschlüsselt?
Was kann die Interessenvertretung tun, wenn der Arbeitgeber nicht sicherstellen kann, dass ein System datenschutzkonform ist?
Ist die Nutzung, z. B. für eine Sitzung im Einzelfall, nicht zu vermeiden, sind zuvor entsprechende Einstellungen im System durchzuführen. Hierfür kann der Betriebsrat eine Fachkraft hinzuziehen, sofern ihm selbst die technischen Kompetenzen dafür fehlen. Das können betriebliche Auskunftspersonen oder externe Sachverständige sein. Diese haben sicherzustellen, dass unzulässige Datenflüsse und der Zugang durch Unbefugte so weit wie möglich ausgeschlossen werden können. Auf diese Leistungen gibt es einen Rechtsanspruch.
Wie sieht es mit der Verwendung privater Endgeräte für den Zugang zu virtuellen Veranstaltungen der Interessenvertretung aus?
Die Verwendung privater Endgeräte ist kritisch zu sehen – insbesondere auch wegen der nicht gegebenen Trennung zwischen dienstlichen und privaten Daten und Programmen. Keine Probleme gibt es, wenn hierzu betriebliche Regelungen bestehen und wenn in diesem Rahmen auch technische Vorkehrungen veranlasst wurden. In vielen Betrieben ist es schwierig, allen Beschäftigten dienstliche Endgeräte für den Zugang zur Betriebs- oder Personalversammlung bereitzustellen. Dennoch sollten alle technischen und organisatorischen Möglichkeiten genutzt werden, um die Vertraulichkeit der Veranstaltung sicherzustellen. Das öffentliche „Streamen“ einer Versammlung ist auch weiterhin nicht erlaubt.
