TL;DR für den Datenschutzbeauftragten
Drei kumulative Bedingungen: Rechtfertigung und Verhältnismäßigkeit, Anhörung der Personalvertretung, vorherige Information. Fehlt eine, ist das Mittel rechtswidrig, auch wenn die anderen beiden perfekt sind. Und der Arbeitgeber muss BEWEISEN können, dass die Analyse stattgefunden hat: für eine Behörde hat eine nicht schriftliche Analyse nie stattgefunden.
Das Kontrollrecht besteht, ist aber nicht unbegrenzt
Die CNIL erkennt zunächst das Direktionsrecht an: der Arbeitgeber muss die ordnungsgemäße Erfüllung der Aufgaben prüfen und die Sicherheit der ihm anvertrauten Sachen und Personen gewährleisten. Die Mittel können Arbeitsmittel betreffen (Telefon, Computer, Dienstwagen), den Zugang zu Räumen und die Zeiterfassung sowie die Videoüberwachung am Arbeitsplatz. Doch dieses Recht darf nicht übermäßig ausgeübt werden.
Bezugspunkt ist Art. L.1121-1 des französischen Arbeitsgesetzbuchs: niemand darf Rechte von Personen in einer Weise einschränken, die nicht durch die Art der zu erfüllenden Aufgabe gerechtfertigt und dem verfolgten Zweck angemessen ist. Daraus leitet der französische Kassationshof seit 2001 ab, dass Beschäftigte auch während der Arbeitszeit und am Arbeitsort Anspruch auf Achtung ihrer Privatsphäre haben.
Die zwei Bedingungen, an denen die Systeme scheitern
Hier fällt der Arbeitgeber
Die Diskussion dreht sich fast immer um Verhältnismäßigkeit. Die CNIL nennt aber drei KUMULATIVE Bedingungen, und die beiden anderen sind verfahrensrechtlich: die vorherige Anhörung der Personalvertretung - in Privatunternehmen ab 50 Beschäftigten, im öffentlichen Bereich der Sozialausschuss - und die vorherige Information der Betroffenen. Das Beispiel der CNIL ist eindeutig: eine Zeiterfassung oder eine Videoüberwachung ohne vorherige Anhörung in einem Unternehmen ab 50 Beschäftigten zu installieren, ist rechtswidrig. Punkt. Keine Verhältnismäßigkeit rettet das.
Was verhältnismäßig heißt, mit den Beispielen
Die CNIL gibt eine Methode, keine Formel: Zweck und Umfang der Kontrolle klar bestimmen, Risiken für die Rechte der Personen erkennen, prüfen, dass es kein milderes Mittel gibt, und festlegen, welche Daten strikt erforderlich sind, wie lange sie aufbewahrt werden und wer darauf zugreifen darf.
- Ständige Überwachung ist im Allgemeinen übermäßig. Mit einer lehrreichen Ausnahme: die dauerhafte Ortung eines Einsatzfahrzeugs ist verhältnismäßig, weil sie nicht der Überwachung der Beschäftigten dient, sondern dazu, das nächstgelegene Team zum Einsatzort zu schicken.
- Ein Keylogger bei Personen im Homeoffice ist unverhältnismäßig: er kann berufliche und private Informationen nicht trennen und stellt die Person unter ständige Überwachung.
- Eine Software, die der Führungskraft transparent die Zahl der pro Quartal bearbeiteten Vorgänge meldet, erscheint verhältnismäßig: die Meldefrequenz entspricht keiner ständigen Überwachung, und längere Zeiträume bilden die geleistete Arbeit besser ab.
- Ein für einen Zweck eingeführtes Mittel darf keinen verdeckten zweiten Zweck verfolgen: die Ortung von Fahrzeugen zur Tourenoptimierung darf nicht heimlich der Geschwindigkeitskontrolle in Echtzeit dienen.
Die Beweislast
Die nützlichste Passage steht am Ende. Die CNIL schreibt, der Arbeitgeber müsse die Einhaltung dieser Bedingungen beweisen können, und sagt auch was: die Schritte der Erforderlichkeits- und Verhältnismäßigkeitsprüfung, den Lebenszyklus der verarbeiteten Daten, die Maßnahmen zur Information und zur Ausübung der Rechte. Und sie fügt einen praktischen Grund hinzu, der mehr wiegt als die Konformität selbst: Dokumentation erlaubt es, die Lage bei Änderungen leicht neu zu bewerten.
Was jetzt konkret zu tun ist
1) Lassen Sie sich für jedes Kontrollmittel Ihrer Mandanten drei Dinge geben: die schriftliche Verhältnismäßigkeitsprüfung, das Protokoll der Anhörung der Personalvertretung und den Text der erteilten Information. Fehlt das zweite, ist das Mittel unabhängig vom Rest rechtswidrig. 2) Suchen Sie nach verdeckten Zwecken: nehmen Sie den erklärten Zweck und fragen Sie, welche anderen Nutzungen das System technisch erlaubt. Genau daraus entstehen die Beschwerden. 3) Prüfen Sie im Homeoffice, dass es keine fortlaufende Aufzeichnung gibt: Keylogger, periodische Bildschirmaufnahmen, minutengenaue Aktivitätsverfolgung. 4) Verlagern Sie Produktivitätskennzahlen auf längere Zeiträume und machen Sie sie für die Person sichtbar: genau dieses Beispiel hält die CNIL für verhältnismäßig. 5) Tragen Sie Aufbewahrungsfristen der Aufzeichnungen und die Zugriffsberechtigten ins Verzeichnis nach Art. 30 ein: das sind die beiden Einträge, die bei Prüfungen leer sind.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
