…und manchmal geht es doch

In einem österreichischen Unternehmen, dessen Geschäftszweck Vertrieb, Montage, Wartung und Reparatur von Elektrogeräten ist und dessen Zentrale in Deutschland liegt, besteht seit 2010 eine so genannte „interne Datenschutzkommission“. Zustande gekommen ist diese “iDSK” im Zuge einer Arbeitsanweisung der deutschen Unternehmenseigentümerin; es galt zu überprüfen, ob alle internen „Compliance-Richtlinien“ eingehalten würden. Alle Töchterunternehmen wurden europaweit zu einer solchen Überprüfung angehalten, bei der die „Compliance-Officer“ an leitender Stelle eingesetzt waren. Um der Papiermengen Herr zu werden, wurde ein Team gebildet, in dem der Betriebsrat und ein Mitglied der Geschäftführung vertreten waren. In der Compliance-Richtlinie stieß das Team auf den Satz „alle nationalen Gesetze sind einzuhalten“.

Compliance gilt auch bei Beschäftigten-Datenschutz

Diese Textstelle wurde unter anderem in Bezug auf das Datenschutzgesetz interpretiert und man kam zu der gemeinsamen Meinung, dass eine interne Datenschutzkommission hilfreich wäre, um der Compliance-Richtlinie gerecht zu werden. Für die Geschäftsführung stand dabei das Interesse im Raum,  an die deutsche Muttergesellschaft nicht alle geforderten unternehmensinternen Daten weiterleiten zu müssen, weil sie befürchtete, dass sich die Eigentümerin dann allzu sehr in die Angelegenheiten der österreichischen Niederlassung einmischen würde. Für die ArbeitnehmerInnen-Interessenvertretung ergab sich so die Gelegenheit, mehr Informationen zu den geplanten Vorhaben der Konzernmutter zu erhalten. .

Gründung der internen Datenschutzkommission: eine Win-win-Situation.

Die iDSK wurde mittels Betriebsvereinbarung rechtlich abgesichert. Einer der ersten Arbeitsschritte war es, ein Formular zu entwickeln auf dem jede Datenanwendung ausführlich eingetragen werden musste. Inhaltlich lehnt sich das Dokument an die Meldeformulare der österreichischen Datenschutzkommission an. In dem Betrieb wurden jegliche Datenanwendungen, in denen personenbezogene Daten Bestandteil der Verwendung sind, in ein solches Formular eingetragen. Das ging vom Verschicken von Briefen an die Beschäftigten über neue Leistungserfassungstools bis hin zu Navigationssystemen. Das Formular diente als Grundlage für die Entscheidung, ob eine Betriebsvereinbarungspflicht vorliegt oder nicht.

Zwei Jahre nach Bestand der iDSK wünscht sich die Geschäftsführung nun eine Abwandlung dieses Genehmigungsformulars weil es zu bürokratisch und zeitaufwendig erscheint. Der Betriebsrat möchte die bestehende, umfangreiche Form beibehalten. Um die Angst vor der Komplexität zu nehmen, möchte der Betriebsrat statt dessen ein einfaches Informationsblatt an die Beschäftigten austeilen, das die komplexen Inhalte und Entscheidungsprozesse der internen Datenschutzkommission verständlicher macht. Das Informationsblatt wird die Entscheidungspfade in Form eines Baumes wiedergeben und einfache Wenn-Dann-Beziehungen aufzeigen (z.B. eine Datenverwendung enthält Daten, die eindeutig einer Mitarbeiterin / einem Mitarbeiter zuordenbar sind –> Abschluss einer Betriebsvereinbarung). Somit erfüllt die Kommission gleichzeitig auch die Aufgabe der Bewusstseinsbildung für die Belegschaft.

Seit Einführung der internen Datenschutzkommission hat sich die Datenschutz-Kultur im Betrieb geändert. Sowohl bei der Geschäftsführung als auch bei den ArbeitnehmerInnen ist ein Bewusstsein entstanden, dass Vorsicht geboten ist im Umgang mit personenbezogenen Daten. Der Betriebsrat beschreibt es mit den Worten:

Es kann nicht mehr alles einfach gemacht werden, wie sich das jemand gerade einbildet.