BAG: Kein Auskunftsanspruch auf Compliance-Bericht – DS News KW 33-2026

Transkript zur Folge:

Herzlich willkommen zum Datenschutz-Talk, eurem wöchentlichen Datenschutz-Update der Migosens.
Mein Name ist Gregor Wortberg und bei mir ist David Schmidt.
Hallo Gregor.
Hallo David. Auch in dieser Woche haben wir für euch, liebe Hörerinnen und Hörer,
wieder die Datenschutz-News der Woche aufbereitet.
Es ist heute Freitag, der 14. August, Redaktionsschluss wie immer um 10 Uhr
und dann schauen wir mal gemeinsam auf die wichtigsten Themen der Datenschutz-Woche.
Welche hast du denn mitgebracht, David?
Ich habe zwei Urteile mitgebracht. Einmal geht es um den Artikel 15 und um den
Begriff der personenbezogenen Daten.
Und dann geht es um den Artikel 20, also das Recht auf Datenübertragbarkeit.
Und ich berichte über die neueste Initiative des BFDI. Wie sieht es bei dir aus?
Ich habe eine Klage gegen die Meta-Smart-Glases mitgebracht und auch noch eine
Nachricht bezüglich der Ausweitung von Bodycams durch die Deutsche Bahn.
Aber bevor wir rein starten, möchte ich noch einen kleinen Werbeblock in eigener Sache voranstellen.
Anfang August haben wir eine neue Themenfolge veröffentlicht.
Im Fokus stehen dabei die Binding Corporate Rules als Instrument für Datenübermittlung
in Drittstaaten. Heiko hat dort mit Dr.
Jörg Friedrichs von der Deutschen Telekom gesprochen, welcher erklärt,
wann Binding Corporate Rules für internationale Konzerne sinnvoll sind,
wie die Genehmigung abläuft und warum Transfer Impact Assessments,
Audits und laufende Pflege trotzdem bestehen bleiben.
Im Mittelpunkt stehen die Fragen, was genau sind Binding Corporate Rules und
welche Funktionen erfüllen sie?
Wann lohnt sich der erhebliche Aufwand für die Einführung? Welche Unterschiede
bestehen zwischen Binding Corporate Rules für Verantwortliche und für Auftragsverarbeiter?
Und können bei Nuit Corporate Rules die Standardvertragslauseln ersetzen.
Also, wer es noch nicht getan hat, reinhören lohnt sich.
Und damit springen wir rein in unsere Themen. Und zwar beginnen wir,
oder beginne ich, mit unserem heutigen Titelthema.
Eine Entscheidung vom Bundesarbeitsgericht. Dies hat entschieden,
dass ein Arbeitnehmer nach Artikel 15 DSGVO grundsätzlich keinen Anspruch auf
Herausgabe einer Kopie eines vollständigen Compliance-Berichts hat,
nur weil dieser personenbezogene Daten über ihn enthält.
Wer die Rechtsprechung des EuGH kennt zum Artikel 15, dem wird das jetzt erstmal wenig verwundern.
Aber hier geht es vor allem auch um den Begriff der personenbezogenen Daten,
wieso ich das Urteil heute nochmal mitgebracht habe.
Was war passiert? Die Klägerin war in einer leitenden Funktion bei der beklagten
Arbeitgeberin beschäftigt und mehrere Beschäftigte hatten sich über ihren Führungsstil beschwert.
Ihr Verhalten wurde unter anderem als einschüchternd, herabwürdigend,
respektlos und unehrlich beschrieben.
Mindestens zwei Beschäftigte sollen aufgrund dieser Situation gekündigt haben.
Daraufhin ließ die Arbeitgeberin durch eine Rechtsanwaltskanzlei eine interne
Compliance-Untersuchung durchführen,
und auf Grundlage der Ergebnisse dieser Untersuchung, die in insgesamt zwei
Berichten dargelegt wurden, wollte die Arbeitgeberin das Arbeitsverhältnis dann kündigen.
Die Klägerin verlangte anschließend unter Berufung auf Artikel 15 DSGVO vollständige
Kopien der Compliance-Berichte.
Dies lehnte die Arbeitgeberin aber mit Verweis auf die besagte Rechtsprechung
des EuGH zum Artikel 15 DSGVO ab,
nach der vollständige Kopien von Dokumenten grundsätzlich ja nicht vom Auskunftsanspruch umfasst sind.
Die Klägerin argumentierte jedoch, dass die Berichte in Gänze personenbezogene
Daten darstellen würden, weil diese eine Analyse und Bewertung ihrer Person seien.
Davon ließ sich das Bundesarbeitsgericht aber letztlich nicht überzeugen.
Aus Sicht des Gerichts enthielt der Bericht nicht ausschließlich personenbezogene
Daten über die Klägerin.
Insbesondere die rechtlichen Ausführungen und Mandantenhinweise der eingeschalteten
Rechtsanwaltskanzlei sind nach Auffassung des BAG nicht in Gänze als personenbezogene
Daten zu qualifizieren.
Vielmehr handelt sich dabei so das Gericht über Informationen über die Rechtslage
und nicht über die betroffene Person im Sinne des Artikel 4 Nummer 1 DSGVO.
Die Klägerin benötigt diese juristischen Bewertungen nach der Auffassung des
Gerichts auch nicht, um die Rechtmäßigkeit der Verarbeitung zu prüfen,
was ja so die Hintertür war, die der EuGH
offengelassen hat und ja quasi den Ausnahmefall bildet, in dem dann doch
Kopien von ganzen Dokumenten zu beauskunften wären.
Für Unternehmen ist das Urteil insbesondere in Bezug auf interne Untersuchungen,
Hinweisgebersysteme, HR-Ermittlungen und sonstige Compliance-Verfahren relevant.
Es ist zwar kein Freibrief, solche Compliance-Berichte in jedem Fall vollständig
zurückzuhalten und man kann sich hier auch niemals pauschal auf die Klassifizierung
als vertraulich oder als Geschäftsgeheimnis verlassen.
Gleichwohl sind die Hürden für eine vollständige Zurverfügungstellung gemäß
Artikel 15 DSGVO hoch und hinzu kommt der Schutz von Rechten Dritter,
zum Beispiel aus dem Hinweisgeberschutzgesetz.
Eine Herangehensweise, um spätere Schwierigkeiten zu vermeiden,
könnte zum Beispiel sein, in solchen Berichten die Bewertung von Rechtslage
und von Personen strikt zu trennen, auch wenn das in der Praxis wahrscheinlich
schwierig ist, aber so ließe sich auf jeden Fall,
ein bisschen strukturierter mit etwaigen Anfragen umgehen.
Die Organisation HateAid geht juristisch gegen die Ray-Ban Meta Smart Glasses vor.
Das berichtet heise in dieser Woche. Die Strafanzeigen der gemeinnützigen Organisationen,
die sich für Menschenrechte im digitalen Raum einsetzt, berichten sich unter
anderem gegen Meta, den Ray-Ban-Mutterkonzern sowie Händler wie Vielmann, Apollo und so weiter.
Der zentrale Vorwurf, die Brillen sollen weitgehend wie gewöhnliche Alltagsbrillen
aussehen und können aber Fotos und Videos aufnehmen und für Menschen in der
Umgebung sei eben nicht immer eindeutig erkennbar, dass sie gerade gefilmt werden.
Rechtlich stützt sich HateAid dabei vor allem auf den Paragrafen 8 des TDDG.
Also des Telekommunikations-Digitale-Dienste-Datenschutzgesetzes.
Dieser verbietet nämlich Telekommunikationsanlagen,
die als Alltagsgegenstände getarnt und besonders dafür geeignet und bestimmt
sind, Menschen unbemerkt aufzunehmen, quasi auf den Markt zu bringen oder zu entwickeln.
Entscheidend ist dabei ausdrücklich auch, ob die Aufnahmefunktion für Betroffene
eindeutig erkennbar ist. Und genau hier liegt der Streitpunkt.
Diese Metabrille verfügt zwar bei einer weißen LED, die während einer Aufnahme
am Rahmen leuchtet oder bei Fotos auch kurz blinkt.
Und Meta verweist auch darauf, dass die Kamera deaktiviert werde,
wenn dieses Licht verdeckt oder beschädigt wird.
Und auch darauf, dass die Bundesnetzagentur die Brillen bereits vor Veröffentlichung geprüft habe.
HateAid erhält das Signal aber offenbar nicht für ausreichend,
weil diese Brillen von normalen Ray-Bans kaum zu unterscheiden sind.
Also die sind auch so orientiert an einem der Sonnenbrillen-Modelle,
die man halt so kennt, die halt auch vielfach verkauft worden sind und dementsprechend
ist da wohl die Unterscheidung im Alltag nicht mal eben herzustellen.
HeyDate fordert deshalb ein Verkaufsverbot in der derzeitigen Form und es fordert,
dass Smartglasses äußerlich eindeutig als solche zu erkennbar seien,
beispielsweise durch eine farbliche Markierung der Kamera.
Und solche Hinweise müssten aber auch manipulationssicher sein,
denn aktuell gibt es wohl sogar schon einen Anführungsstrichen Dienstleister,
die eben diese Lampe dann an den Brillen deaktivieren.
Missbrauchsszenarien kann man sich da, glaube ich, schnell abkleben oder sonst was.
Genau, genau. Und ja, das ist ein spannendes Thema aus dem Alltag.
Mal sehen, wie es da weitergeht, ob es da ein Verbot gibt, vielleicht sogar
ein Verkaufsverbot. Das ist auch noch eine Folge, die da erreicht werden soll.
Ist ja auch ein Thema, was vielleicht auch eine betriebliche Relevanz erhält,
falls Mitarbeiter im Betrieb mal eben solche Brillen tragen sollten.
Und dann hat man dadurch dann auch schnell natürlich Folgefragen,
die man sich stellen muss.
Viele Folgefragen. Ja, viele.
Kann man eine Themenfolge zumachen.
Das Oberlandesgericht Stuttgart hat entschieden, dass ein Online-Glücksspielanbieter
die vollständige Zahlungs- und Spielehistorie zu einer Person in einem maschinenlesbaren,
Format auf Antrag zur Verfügung stellen muss.
Anspruchsgrundlage war hier nicht Artikel 15 DSGVO, wie man erstmal denken könnte,
sondern der Artikel 20, also das Recht auf Datenübertragbarkeit, was, wie ich finde,
schnell mal vergessen wird, vielleicht auch noch nicht so ganz fliegen gelernt hat.
Aber ja, dieses Urteil macht dem Artikel 20 auf jeden Fall Flügel dran,
finde ich. Was war passiert?
Der Kläger hatte über das Online-Portal Interwetten über einen längeren Zeitraum
Sportwetten platziert und hin und wieder auch mal so virtuelle Automatenspiele gemacht,
und verlangte seinen kompletten Einsatz in Höhe von ca. 15.000 Euro zurück.
Dass dies unter Umständen möglich ist, hängt mit dem Glücksspielrecht zusammen.
Was in Deutschland viele Jahre unreguliert war. Das soll aber nicht unser Thema hier sein.
Jedenfalls forderte der Kläger, um seinen Anspruch zu bekräftigen,
Auskunft über seine vollständige Einzahlungs- und Spielehistorie auf Basis von Artikel 20 DSGVO.
Und dies wurde ihm dann als PDF zur Verfügung gestellt, aber direkt vom Kläger
gerügt, weil ein PDF nach seiner Auffassung kein maschinenlesbares Format sei.
Dies begründete er damit, dass das PDF nicht über OCR, also eine automatische
Zeichenerkennung verfüge und deshalb nicht durchsucht, markiert,
kopiert und so weiter werden kann.
Und das Oberlandesgericht Stuttgart gab dem Kläger darin Recht.
Zunächst stellte es fest, dass Zahlungs- und Spieldaten personenbezogene Daten
sind und somit grundsätzlich auch vom Anspruch nach Artikel 20 umfasst sind.
Und weiter würde es selbst dann nicht dem Artikel 20 DSGVO entsprechen,
wenn eine Datei zur Verfügung gestellt wird,
die über eine automatische Zeichenerkennung verfügt oder mittels einer entsprechenden
Software mit einer solchen versehen werden kann.
Vielmehr verlangt der Artikel 20 DSGVO nach Auffassung des Gerichts,
dass mit gängiger Software die einzelnen Daten und insbesondere deren Struktur
erkannt und weiterverarbeitet werden kann.
Es genügt also nicht, dass irgendeine Software irgendwie Zeichen aus einer Datei extrahieren kann.
Vielmehr sei entscheidend, dass die Daten auch technisch weiterverarbeitet werden
können, einschließlich ihrer Struktur.
Geeignete Formate können zum Beispiel sein CSV, XML, JSON oder eben entsprechend
strukturierte Tabellenformate.
Das Urteil hat aus meiner Sicht nicht nur Relevanz für die Glücksspielbranche,
denn überall, wo Unternehmen umfangreiche Nutzungs-, Transaktionsbestell-,
Kommunikations- oder sonstige Kundendaten automatisiert verarbeiten,
kann der Artikel 20 natürlich, je nachdem wie lange das schon war,
eine Riesengeschichte werden.
Deswegen sollte man unbedingt von Anfang an darauf achten, dass diese dann in
einem geeigneten Format zur Verfügung gestellt werden können.
Sonst macht man sich sehr viel unnötige Copy-Paste-Fleißarbeit.
Die Deutsche Bahn baut den Einsatz von Bodycams weiter aus.
Die kleinen Kameras sollen künftig sowohl in Regionalzügen als auch in Bahnhöfen
häufiger zum Einsatz kommen und dabei natürlich Beschäftigte bei Konflikten
und Übergriffen besser schützen. Und zudem wird jetzt wohl auch die Audioaufnahme aktiviert.
Die DB Regio regiert damit auf eine zunehmende Zahl von Übergriffen auf Mitarbeitende.
Bodycamps werden ja schon bereits eingesetzt, bislang aber vor allem zur Aufzeichnung
von Bildern. Künftig soll eben auch der Ton aufgezeichnet werden.
Dementsprechend können dann in Folge Konfliktsituationen umfassender dokumentiert
und Vorfeld vielleicht auch aufgeklärt werden.
Erprobt wird die zusätzliche Tonaufnahme zunächst in einer zweimleitigen Pilotphase
in der Region Rhein-Neckar-Pfalz.
Ab dem 1. Oktober, danach ist natürlich die weitere Ausweitung weiteren Regionen
auch bundesweit geplant.
Zudem wird wohl auch der Einsatz von künstlicher Intelligenz geprüft.
Wie vielleicht auch schon bekannt ist es so, dass die Bodycams nicht dauerhaft aufzeichnen.
Sie werden von den Beschäftigten gezielt aktiviert und wenn eine Auseinandersetzung
droht oder bereits begonnen hat und die betroffenen Personen werden darüber
dann natürlich auch informiert, beziehungsweise ein Licht leuchtet dann ja auch an den entsprechenden.
Kameras. Auch an Bahnhöfen weitet die Deutsche Bahn den Einsatz wohl aus und
2700 Beschäftigte im Service und in der Stationsbetreuung sollen künftig freiwillig
auch eine solche Kamera tragen können.
Also ich bin ehrlicherweise ein bisschen überrascht davon, dass bisher noch
gar keine Audioaufnahme mehr folgt ist, wenn schon so eine Kamera läuft,
aber es ist auf jeden Fall eine gute Sache, um da die Beschäftigten weiter danach zu schützen.
Ja, passiert ja leider dann doch ziemlich viel Unschönes in letzter Zeit.
Wir springen in unsere Hubrik Veröffentlichung und da gibt es etwas Neues vom
Bundesbeauftragten für den Datenschutz und die Informationsfreiheit.
Dieser hat jetzt nämlich ein Paper veröffentlicht, in der eine Reformierung
des Cookie-Banner-Themas gefordert wird.
Der BFDI plädiert dafür, verbindliche technische Lösungen für Einwilligungsdienste
rechtlich im EU-weiten Digital Omnibus zu verankern.
Dazu macht er auch konkrete Vorschläge.
Ich glaube, das Thema ist, so wie es im Moment ist, für alle Seiten irgendwie
unbefriedigend. Und ich glaube, jeder von uns hat in seinem Leben schon tausende,
unterschiedliche Ausgestaltungen von Cookie-Bannern bewundern dürfen.
Deshalb finde ich den Vorstoß ganz gut und würde auch befürworten,
dass man das mal standardisiert.
Ja, definitiv und auch wirksam kontrolliert und dementsprechend durchgreift,
wenn es eben nicht datenschutzkonform umgesetzt wird. Was wir ja auch in der
Praxis regelmäßig beobachten dürfen.
Ja, und das wäre natürlich mit einem standardisierten Format dann noch viel
einfacher, die Abweichungen festzustellen und dagegen vorzugehen.
Von daher ist das, finde ich, eine gute Sache.
Ganz genau. Genau. Und mit dieser Meldung sind wir auch schon am Ende unserer
dieswöchigen Folge angekommen.
In dem Sinn, vielen Dank, David.
Danke dir, Gregor.
Es hat mir sehr viel Spaß gemacht. Und liebe Hörerinnen und Hörer,
euch auch vielen Dank fürs Zuhören.
Wir wünschen euch ein schönes Wochenende und hören uns in der nächsten Woche. Bis bald.
Auf bald.