…und wer ist aller da?
Das möchten Apple, Google und andere Anbieter von Ortungssystemen gerne wissen – und vielleicht auch deinE ArbeitgeberIn. Mit den Informationen über Aufenthaltsorte können Bewegungsprofile erstellt werden – auch wenn die NutzerInnen das Navigationstool gar nicht eingeschaltet haben, wie kürzlich bekannt geworden ist (Bericht Stefan Krempl).
DatenschÜtzerInnen sind damit nicht so ganz einverstanden.
Am 16. Mai hat daher die Artikel-29-Datenschutzgruppe, ein EU-Gremium bestehend aus DatenschutzexpertInnen der Mitgliedsländer, ein Arbeitspapier verabschiedet, in dem die geltenden Datenschutzbestimmungen bei der Verarbeitung von Geodaten genau beschrieben werden. In dem Papier sind folgende Punkte enthalten:
- Die NutzerInnen von Ortungs- und Navigationsdiensten müssen erst um ihre Zustimmung gefragt werden, bevor ihre Daten verarbeitet werden dürfen.
- Die Zustimmung soll nur für ein Jahr gültig sein und muss jederzeit widerrufen werden können.
- Die Datenverarbeiter müssen klar stellen, wofür sie die individuellen Daten einer Person haben möchten.
- Es muss die Möglichkeit eines “opting-out” gegeben sein, falls jemand keine Nachverfolgung seiner/ihrer Geodaten wünscht.
- Die NutzerInnen sollten einen sicheren Online-Zugang zu ihren Ortungsdaten haben und sie je nach Wunsch löschen können.
Die Erstellung von Bewegungsprofilen kann – je lückenloser desto eher – die Menschenwürde verletzen. Diese Tatsache hat nach dem österreichischen Recht die Folge, dass diese Dienstleistungen – so sie im Arbeitsverhältnis genutzt werden – zustimmungspflichtig sind (§96 Z 3 Arbeitsverfassungsgesetz).
Daraus folgt: der Einsatz von GPS ist mit einer Betriebsvereinbarung zu regeln.
Der Nutzen der Navigationsgeräte ist sicherlich gegeben; Standortbestimmung inklusive brauchbarer Orte rundum (beispielsweise bei Auslandeinsätzen kann es praktisch sein, Restaurants in der Nähe zu finden) oder Routenplanung inklusive Rücksicht auf das allfällige Verkehrchaos. Gekoppelt mit anderen personenbezogenen Daten wird daraus allerdings eine sehr genaue Persönlichkeitsbeschreibung, die dem/der ArbeitgeberIn eher vorenthalten werden sollte. Welche Arztpraxis hast du aufgesucht? Welche Lokale besuchst du abends? Den Standort welcher FreundInnen hast du wann abgefragt?
Welche Punkte sollten in einer BV geregelt werden:
- Darf das Gerät privat genutzt werden? – hoffentlich ja
- Welche bei der Verwendung entstehende Daten sieht der/die ArbeitgeberIn? – hoffentlich keine, oder nur anonymisierte
- Wie sieht’s aus, wenn unrichtige Daten auftauchen? – hoffentlich können die MitarbeiterInnen Daten richtig stellen
- Wer haftet bei technischem Ausfall/Diebstahl/Reparatur? – hoffentlich der/die ArbeitgeberIn
- Wer sieht die Position der NutzerInnen? – hoffentlich nur die, dies wirklich brauchen (z.B. zentrale Einsatzplanung bei Rettungsdiensten)
- Wie lange werden die Daten gespeichert? – hoffentlich möglichst kurz
- Wann darf das Gerät ausgeschaltet werden? – hoffentlich in der Freizeit und in besonderen Gefahrensituationen, wenn der/die NutzerIn durch das Gerät abgelenkt werden könnte
- u.s.w.
Weitere Anregungen finden sich im oben erwähnten Arbeitspapier der Artikel-29-Datenschutzgruppe.