6.2 Der Düsseldorfer Kreis

Ohne daß das Bundesdatenschutzgesetz eine Vorgabe enthielte, haben die Bundesländer den dort vorgesehenen Aufsichtsbehörden, deren Rechte sich aus dem Bundesdatenschutzgesetz ergeben, "Oberste Aufsichtsbehörden für den Datenschutz" übergeordnet. Wo die Aufgaben der Aufsichtsbehörden von den Mittelbehörden wahrgenommen werden (z.B. in Bayern, Hessen oder Nordrhein-Westfalen), fungieren sie als ministerielle Fachaufsicht in Verbindung mit der Grundsatzzuständigkeit für den Datenschutz im Lande (z.B. zur Datenschutzgesetzgebung); wo die Ministerien selbst zur Aufsichtsbehörde erklärt wurden, nehmen sie beide Aufgaben gleichzeitig wahr. Die Innenministerien beaufsichtigen insoweit in Niedersachsen den Landesbeauftragten, in Thüringen das Landesverwaltungsamt. In Berlin ist die Aufgabe der "Obersten Aufsichtsbehörde" (wie in Bremen und Hamburg) auf den Berliner Datenschutzbeauftragten übergegangen - natürlich ohne die verbleibenden ministeriellen Aufgaben.

Die "Obersten Aufsichtsbehörden" betrachten als ihre Aufgabe in erster Linie die Koordinierung der Auslegung der Bestimmungen des Bundesdatenschutzgesetzes sowie die entsprechenden Verhandlungen mit den Spitzenverbänden der Wirtschaft, z.B. dem Zentralen Kreditausschuß, dem Verband der Handelsauskunfteien oder dem Gesamtverband der deutschen Versicherungswirtschaft. Als Beratungskreis wurde auf Initiative des nordrhein-westfälischen Innenministeriums 1978 der "Düsseldorfer Kreis" gegründet, dem auch der Bundesdatenschutzbeauftragte angehört. Wie zuvor die Senatsverwaltung für Inneres werden wir uns an den Beratungen engagiert beteiligen, um im Bereich der Privatwirtschaft ein hohes Datenschutzniveau zu erreichen.

Derzeitige Themen sind unter anderem die Herausgabe von Telefonverzeichnissen auf elektronischen Datenträgern [174], die BahnCard [175], die Einführung von Krankenversichertenkarten auch in den privaten Krankenversicherungen [176 ], die Kriterien für Meldungen an den Verband der Schadenversicherer sowie die Übermittlung und Nutzung firmeninterner Telefonbücher für Werbezwecke.

6.3 Unsere ersten Themen

Unsere Vorgabe bei der Übernahme der Aufgabe der Aufsichtsbehörde war zunächst die Wahrung der Kontinuität: Die Versetzung zweier Mitarbeiter aus der Innenverwaltung, die seit Jahren mit der Materie befaßt waren, erleichterte es, zuvor eingegangene Fragestellungen bruchlos weiterzubearbeiten. Dies schloß nicht aus, daß im einen oder anderen Fall neue Akzente gesetzt wurden.

Quantitativ von erheblichem Gewicht war die Übernahme der Zuständigkeit für die Deutsche Bahn AG und der damit verbundenen Verpflichtung zur Bearbeitung der Vielzahl von Beschwerden, die zur BahnCard eingingen [177]. Aber auch einige andere Probleme kristallisierten sich bald als schwierig heraus.

Wertpapierhandelsgesetz

Das Wertpapierhandelsgesetz (WpHG) [178] ist am 1. Januar 1995 in Kraft getreten. Es enthält eine Bestimmung, deren datenschutzrechtliche Bedeutung offensichtlich unterschätzt worden war und die demnach zu erheblicher Unruhe auch bei Bürgern führte, denen der Datenschutz sonst nicht als persönliches Problem vertraut ist.

Nach diesem Gesetz ist ein "Wertpapierdienstleistungsunternehmen" unter anderem verpflichtet, den Kundenauftrag mit der erforderlichen Sachkenntnis, Sorgfalt und Gewissenhaftigkeit im Interesse seiner Kunden zu erbringen. Hierzu ist er verpflichtet, "von seinen Kunden Angaben über ihre Erfahrungen oder Kenntnisse in Geschäften, die Gegenstand von Wertpapierdienstleistungen sein sollen, über ihre mit den Geschäften verfolgten Ziele und über ihre finanziellen Verhältnisse zu verlangen" (§ 31 Abs. 2 Ziff. 1).

Die Banken nahmen diese neue Bestimmung zum Anlaß, mit Hilfe von Fragebogen umfangreiche Datenerhebungen über ihre Kunden vorzunehmen, wobei der Umfang und die Art und Weise der Erhebung von Bank zu Bank unterschiedlich war.

Unter anderem wurde gefragt:

- Welche weiteren Privatkonten haben Sie?

- Wie hoch ist Ihr Verfügungskredit?

- Welche Kreditkarten haben Sie?

- Sparen Sie regelmäßig?

- Planen Sie den Erwerb einer Immobilie?

- Welche Versicherungen haben Sie?

- Geschätztes Gesamtvermögen, differenziert nach Geld-, Substanz- und Sachwerten

- Einkommen aus selbständiger Tätigkeit, Gehalt, Rente, Miete, Zinsen

- Erbschaften

- Name des Steuerberaters

- Wie sind ihre bisherigen Anlageerfahrungen?

- Erfolge/Verluste?

Gefragt wurde in vielen Instituten offensichtlich jeder Geldanleger. Uns erreichten etwa Beschwerden einer über achtzigjährigen Frau, die lediglich völlig risikolose Papiere besitzt oder eines Mannes, der sein Vermögen seit Jahrzehnten von der Bank selbst verwalten läßt.

Wenn sich Kunden weigerten, den Fragebogen auszufüllen, haben einzelne Anlageberater es sogar abgelehnt, mit den Kunden Anlagegeschäfte zu tätigen. Fälschlicherweise wurde behauptet, das Bankinstitut sei aufgrund des Wertpapierhandelsgesetzes gesetzlich verpflichtet, die im Fragebogen enthaltenen Daten zu speichern. Vereinzelt mußten Anleger ihrem Bankberater bestätigen, daß eine anlage- und objektgerechte Beratung nicht möglich sei.

Bei der Beurteilung ist davon auszugehen, daß die Banken nur verpflichtet sind, den Auftrag, die hierzu erteilte Anweisung des Kunden, die Ausführung des Auftrags, den Namen des Angestellten, der den Auftrag des Kunden angenommen hat, sowie die Uhrzeit der Erteilung und Ausführung des Auftrags aufzuzeichnen (§ 34 WpHG). Weitergehende gesetzliche Aufzeichnungspflichten bestehen nicht, da das Bundesministerium der Finanzen von Verordnungsermächtigung nach § 34 Abs. 2 WpHG bisher nicht Gebrauch gemacht hat. § 31 Abs. 2 WpHG verpflichtet demgegenüber die Banken nur dazu, die Kunden zu befragen, nicht aber die Daten auch zu speichern.

Andererseits muß die Bank aber in der Lage sein, die Erfüllung ihrer Beratungspflicht nach § 31 Abs. 2 WpHG in bestimmtem Umfang zu dokumentieren. Dies ist nach § 28 Abs. 1 Nr. 1 und 2 BDSG zulässig, jedenfalls soweit dies die Zivilgerichte zur Haftungseinschränkung der Banken verlangen. Die hierdurch entstehenden Unklarheiten können nur durch klare Vorgaben der Wertpapieraufsicht beseitigt werden, die so bald wie möglich die erforderlichen Richtlinien erlassen sollte, die vor allem eine Unterscheidung produkt- und kundenbezogener Befragung berücksichtigen müssen.

Im Einzelfall gehen wir davon aus, daß die Befragung nur bei einem konkreten Anlagewunsch des Kunden durchgeführt werden sollte. Die Befragung von Kunden, die bereits ein Depot haben, aber weder jetzt noch in Zukunft beabsichtigen, Änderungen vorzunehmen, sind nicht zu befragen. Wünscht der Kunde eine Anlage, die völlig risikofrei ist, hat eine Befragung zu unterbleiben.

Wohnungsbaugesellschaften

Wohnungsbewerber müssen bei den Berliner Wohnungsbaugesellschaften in der Regel umfangreiche Fragebögen ausfüllen. Erfragt werden auch von ihnen nicht benötigte Daten , wie z.B.: Nationalität, Paß- oder Personalausweisnummer, derzeitige Tätigkeit, Arbeitgeber der Mitbewohner, die nicht Vertragspartner der Wohnungsbaugesellschaft sind. Einige Mieter der Wohnungsbaugesellschaften mußten sogar umfangreiche Fragebögen ausfüllen, obwohl sie nur wegen eines Sanierungsfalls einen Wohnungswechsel durchführten.

Gegen die Speicherung von personenbezogenen Daten von Wohnungsinteressenten bestehen keine Bedenken, soweit die Daten von den Wohnungsbaugesellschaften benötigt werden, um das Wohnungsgesuch sachgerecht zu bearbeiten. Die Speicherung von nicht benötigten Daten ist demgegenüber rechtswidrig. Danach dürfen die Wohnungsbaugesellschaften die personenbezogenen Daten erheben, die sie benötigen, um sich von einer ausreichenden Bonität des zukünftigen Mieters zu überzeugen und eine adäquate Wohnung für ihn zu finden. Leider halten sich viele Wohnungsbaugesellschaften nicht an diese klaren Vorgaben.

Wir werden darauf drängen, daß die Wohnungsbaugesellschaften ihre rechtswidrigen Datenspeicherungen beenden. Wir sind allerdings auch der Meinung, daß wir einzelnen Petenten grundsätzlich nicht empfehlen können, die rechtswidrig abgeforderten Daten nicht preiszugeben. Es ist nämlich nicht auszuschließen, daß ihnen hierdurch Nachteile bei der Wohnungsbewerbung entstehen könnten.

Auskunfteien, Detekteien

Drei Berliner Detekteien stehen in dem Verdacht, illegal personenbezogene Daten erhoben zu haben [179]. Die Mitarbeiter dieser Auskunfteien sollen bei zahlreichen Institutionen (z.B. Einwohnermeldeämter, Gerichte, Banken, Bundesversicherungsanstalt für Angestellte, Landesverwaltungsamt, Krankenkassen, Arbeitsämter, Polizeidienststellen, Interpol) angerufen und sich als Mitarbeiter von Behörden oder sonstigen Institutionen ausgegeben haben. Unter Angabe einer Legende sollen sie Auskünfte über praktisch alles erhalten haben, was sie erfahren wollten, z.B. aktuelle Anschriften, Geburtsdaten, Kontostände, Krankheiten, Kreditwürdigkeit, Arbeitgeber u.v.m. Die Auftraggeber waren insbesondere Unternehmen, die sich über die Bonität einer bestimmten Person informieren wollten - darunter bundesweit bekannte Großfirmen.

Auskunfteien dürfen zwar grundsätzlich auch ohne das Wissen der Betroffenen personenbezogene Daten erheben, dies muß aber nach Treu und Glauben und auf rechtmäßige Weise geschehen (§§ 29 Abs. 1 Satz 2, 28 Abs. 1 Satz 2 BDSG). Eine Datenerhebung mit Hilfe von Legenden ist nicht gestattet. Dies gilt insbesondere für Legenden, die den Straftatbestand der Amtsanmaßung und den Mißbrauch von Titeln (§§ 132, 132 a StGB) erfüllen. Nach dem Bundesdatenschutzgesetz selbst macht sich strafbar, wer die Übermittlung geschützter Daten, die nicht offenkundig sind, durch unrichtige Angaben erschleicht (§ 43 Abs. 2 Ziff. 1).

Die strafrechtlichen Ermittlungen gegen die Mitarbeiter der Auskunfteien sind noch nicht abgeschlossen. Schon jetzt kann aber festgehalten werden, daß viele Behörden und private Institutionen (im gesamten Bundesgebiet) fahrlässig personenbezogene Daten telefonisch weitergegeben haben. Noch stärker als bisher müssen klare innerbehördliche und innerbetriebliche Regeln aufgestellt werden, damit sich ein derartiger Fall nicht wiederholt.

Arbeitnehmer muß Krankheit offenbaren

Arbeitnehmer haben im Fall einer Erkrankung eine Anzeigepflicht gegenüber dem Arbeitgeber. Sie müssen ihrem Arbeitgeber eine Arbeitsverhinderung wegen Krankheit unverzüglich anzeigen. Dies ergibt sich für Arbeiter aus § 3 Lohnfortzahlungsgesetz und für Angestellte aus ihrer Treuepflicht gegenüber dem Arbeitgeber bzw. aus dem Tarifvertrag.

Der Inhalt der Anzeige bezieht sich allerdings nur auf die Tatsache der Arbeitsverhinderung und ihre voraussichtliche Dauer. Hingegen kann der Arbeitgeber grundsätzlich keine Auskunft über die Art der Krankheit oder der Krankheitssymptome verlangen. Etwas anderes gilt nur, wenn der Arbeitgeber ein berechtigtes Interesse an der Information hat, etwa weil es sich um bestimmte ansteckende Krankheiten handelt oder weil er für die Prüfung der Voraussetzungen der Zahlung von Krankheitsbezügen weitere Auskünfte benötigt. Ein Auskunftsanspruch ist ihm auch dann zu gewähren, wenn er wegen der von ihm zu zahlenden Lohnfortzahlung Regreßansprüche gegen einen Schädiger (z.B. Diskothekenschlägerei) geltend machen kann. Nur in diesen Fällen darf er folglich die Daten über die Krankheit des Arbeitnehmers speichern.

Ein Berliner Arbeitgeber versuchte, die oben dargestellten gesetzlichen Restriktionen dadurch zu umgehen, daß er von seinen Mitarbeitern die Einwilligung zu einer qualifizierten Krankmeldung verlangte. Er vertrat die Ansicht, daß die Einwilligung der Mitarbeiter dazu führt, daß die Speicherung der Krankheitsdaten nunmehr rechtmäßig erfolgt. Er berief sich insoweit auf § 4 Abs. 1 BDSG. Danach ist die Verarbeitung personenbezogener Daten zulässig, soweit der Betroffene eingewilligt hat.

Eine wirksame Einwilligung setzt allerdings voraus, daß sie freiwillig vorgenommen wird. Auch im Rahmen eines Arbeitsverhältnisses kann die Freiwilligkeit einer Einwilligung nicht generell ausgeschlossen werden. Vielmehr stellt sie sich auch hier als eine Form der Verwirklichung des Selbstbestimmungsrechtes des Einzelnen dar. Der Arbeitnehmer mag z.B. auch im Arbeitsleben die Speicherung von positiven Daten über sich durchaus wünschen. Andererseits darf aber auch nicht übersehen werden, daß sich der Arbeitnehmer gerade in der augenblicklichen Wirtschaftslage oftmals in der Gefahr befindet, keine eigene Entscheidung treffen zu können, da er sonst seine Aufstiegschancen gefährdet oder gegebenenfalls seinen Arbeitsplatz aufs Spiel setzt. Wegen des wirtschaftlichen und psychologischen Drucks, unter dem der Arbeitnehmer steht, kann von einer freiwilligen Einwilligung deshalb nur dann ausgegangen werden, wenn die Datenverarbeitung für den Arbeitnehmer offensichtlich so vorteilhaft ist, daß ein Mißbrauch der Einwilligung von vornherein nicht in Betracht kommt.

Eine Einwilligung in die Speicherung der Daten über die Art einer Erkrankung ist somit unwirksam, da sie nicht freiwillig erfolgt. Wir haben deshalb den Arbeitgeber aufgefordert, die oben dargestellte rechtswidrige Datenspeicherung zu beenden.

Kontrolle des Betriebsrates durch den betrieblichen Datenschutzbeauftragten?

Dem betrieblichen Datenschutzbeauftragten ist gemäß § 37 Abs. 1 BDSG die Aufgabe zugewiesen, die Ausführung des Bundesdatenschutzgesetzes und anderer Vorschriften über den Datenschutz sicherzustellen.

Der Betriebsrat eines Unternehmens vertrat die Ansicht, daß der betriebliche Datenschutzbeauftragte nicht das Recht habe, die Einhaltung des Datenschutzes im Betriebsrat sicherzustellen. Wir haben den Betriebsrat darauf hingewiesen, daß seine Rechtsansicht unrichtig ist.

Bereits der weitgefaßte Wortlaut des § 37 Abs. 1 BDSG legt es nahe, daß das Kontrollrecht des betrieblichen Datenschutzbeauftragten gegenüber jeder speichernden Stelle nach § 3 Abs. 8 BDSG besteht. Als Teil der speichernden Stelle im Unternehmen ist aber auch der Betriebsrat anzusehen, da die von ihm wahrgenommene Datenverarbeitung nicht im Auftrag des Arbeitgebers stattfindet, er also nicht Dritter im Sinne des § 3 Abs. 9 BDSG ist.

Das Bundesdatenschutzgesetz soll eine Beeinträchtigung des Persönlichkeitsrechtes des Einzelnen durch den Umgang mit seinen personenbezogenen Daten verhindern. Um diesen Schutz umfassend sicherstellen zu können, ist es erforderlich, auch den Betriebsrat der Kontrolle des betrieblichen Datenschutzbeauftragten zu unterwerfen, da ansonsten die Gefahr bestände, daß im Betriebsrat eine datenschutzfreie Zone entstehen könnte. Als Alternative für eine Kontrolle des betrieblichen Datenschutzbeauftragten käme nämlich nur die Kontrolle durch die Aufsichtsbehörde in Betracht. Bei der Kontrolle durch die Aufsichtsbehörde ist aber zu bedenken, daß sie nach § 38 Abs. 1 BDSG nur zulässig ist, wenn der Aufsichtsbehörde hinreichende Anhaltspunkte für die Verletzung der Vorschriften über den Datenschutz vorliegen. Eine regelmäßige Überwachung ist damit nicht möglich. Außerdem ist eine solche Kontrolle weniger wirksam, da die Aufsichtsbehörde mit den betrieblichen Gegebenheiten nicht vertraut ist und eine Kontrolle sämtlicher Betriebsräte auch die personellen und sächlichen Mittel der Aufsichtsbehörde übersteigt.

Wir erkennen an, daß ein vorrangiges Prinzip des Betriebsverfassungsgesetzes der Grundsatz der Eigenständigkeit des Betriebsrats darstellt. Danach muß der Betriebsrat seine Aufgaben vom Arbeitgeber unabhängig und eigenständig wahrnehmen können. Es besteht aber nicht die Gefahr, daß eine Überwachung des Betriebsrats durch den betrieblichen Datenschutzbeauftragten zu einer mittelbaren Kontrolle des Betriebsrats durch den Arbeitgeber führt.

Der betriebliche Datenschutzbeauftragte ist gemäß § 36 Abs. 3 BDSG bei seiner Tätigkeit nicht den Weisungen des Arbeitgebers unterworfen und darf wegen der Erfüllung seiner Aufgabe nicht benachteiligt werden. Auch der Widerruf seiner Bestellung ist nur eingeschränkt möglich. Dies zeigt, daß der betriebliche Datenschutzbeauftragte nach der gesetzlichen Regelung eben nicht vom Arbeitgeber abhängig ist, sondern eine neutrale Stellung einnimmt. Er ist deswegen auch nicht der Vertrauensmann des Arbeitgebers, sondern vertrauensvoller Ansprechpartner aller Betroffenen in deren Datenschutzangelegenheiten. Die Behauptung, der betriebliche Datenschutzbeauftragte sei vom Arbeitgeber abhängig, steht also im Widerspruch zu der eindeutigen gesetzlichen Vorschrift. Auch besteht keine Gefahr, daß der betriebliche Datenschutzbeauftragte Geheimnisse des Betriebsrats an den Arbeitgeber verrät. Zum einen ist der betriebliche Datenschutzbeauftragte gemäß § 5 BDSG auf das Datengeheimnis verpflichtet; zum anderen unterliegt er noch einer besonderen Verschwiegenheitspflicht gemäß § 36 Abs. 4 BDSG . Folglich ist er nach der gesetzlichen Regelung nicht berechtigt, die Informationen, die er durch die Kontrolle des Betriebsrats erlangt hat, an den Arbeitgeber weiterzugeben.

Innenrevision bei Banken und Arbeitnehmerdatenschutz

In einer Berliner Bank geriet ein Mitarbeiter in den dringenden Verdacht, durch Straftaten, denen eine Bereicherungsabsicht zugrunde lag, seinen Arbeitgeber geschädigt zu haben. Zur Überprüfung der Angelegenheit schaltete das Bankhaus seine Innenrevision ein. Bei der Revision wurden u.a. zahlreiche Mitarbeiterkonten kontrolliert.

Auch bei den ohne Zweifel grundsätzlich rechtmäßigen Revisionsmaßnahmen müssen die Banken darauf achten, daß das informationelle Selbstbestimmungsrecht der Mitarbeiter nicht in rechtswidriger Weise berührt wird. Obwohl der Grundsatz gilt, daß die Prüfungshandlungen der Innenrevision sich auf die Betriebsabläufe aller Teilbereiche des Kreditinstitutes erstrecken können, kann es kein uneingeschränktes Revisionsrecht geben. Grundsätzlich hat die Revision selbstverständlich das Recht, Kundenkonten zu kontrollieren. Im vorliegenden Fall interessierte sich die Revision jedoch nicht für die Konten als Kundenkonten, sondern ausschließlich als Mitarbeiterkonten. Hierbei hat die Revision den Umstand ausgenutzt, daß die jeweiligen Mitarbeiter - eigentlich eher zufällig - bei ihrem Arbeitgeber ihr Privatkonto führten. Diese Konten darf die Innenrevision nur überprüfen, wenn sie als normale Kundenkonten für die Revision von Bedeutung sind. Die generelle Kontrolle von Mitarbeiterkonten ist auch und gerade zur Aufklärung von Straftaten - insbesondere ohne vorherige Einschaltung des Betriebsrates und Mitteilung an die Betroffenen - nicht zu akzeptieren. Lediglich bei konkreten Verdachtsmomenten im Einzelfall können Kontrollmaßnahmen gerechtfertigt sein, bevor die Bank als Arbeitgeber die Strafverfolgungsbehörden einschaltet, um das betrügerische Verhalten eines Mitarbeiters zu unterbinden.

Widerspruch gegen Werbung

Ein Bürger nahm an einem Quiz, das von einer Berliner Zeitung organisiert wurde, teil. Als er im Anschluß an die Quizveranstaltung von der Zeitung Werbung erhielt, legte er Widerspruch gegen die weitere Nutzung seiner Anschrift für Werbezwecke ein. Trotz des Widerspruches erhielt er nach etwa drei Monaten wiederum Werbung der betreffenden Zeitung. Daraufhin beschwerte sich der Bürger darüber, daß sein Widerspruch nach der ersten Werbung nicht beachtet war. Außerdem machte er von seinem Recht gemäß § 34 Abs. 1 Nr. 1 BDSG Gebrauch. Danach kann der Betroffene Auskunft verlangen über die zu seiner Person gespeicherten Daten, auch soweit sie sich auf die Herkunft und die Empfänger beziehen. Die Zeitung teilte ihm daraufhin mit, daß sie nicht in der Lage sei, ihm die Herkunft der Daten mitzuteilen, da seine Daten im Anschluß an sein letztes Schreiben gelöscht wurden. Inzwischen hat der Bürger insgesamt vier Werbeschreiben der Zeitung erhalten.

Wir wiesen die Zeitung darauf hin, daß die datenspeichernde Stelle rechtswidrig handelt, wenn sie den Auskunftsanspruch des Bürgers dadurch umgeht, daß sie seine Daten nach Erhalt des Auskunftsverlangens löscht. Im konkreten Fall stellte sich heraus, daß sich die Zeitung für ihre Werbeaktionen - mit Ausnahme der ersten Werbung - mehrerer Adressenhändler bedient hatte. Die Bürger, die einer Werbung widersprachen, wurden aus dem Adressenbestand der Zeitung gelöscht. Anschließend besorgte sich die Zeitung für eine neue Werbeaktion neue Adressen über einen Adressenhändler. Falls sich die Adresse eines Bürgers, der der Werbung widersprochen hatte, in dem neuen Adressenbestand befand, erhielt er wiederum ein Werbeschreiben der Zeitung. Da eine zweite Werbung nach erfolgtem Widerspruch rechtswidrig ist, handelte die Zeitung rechtswidrig.

Um eine derartige rechtswidrige Werbeaktion in Zukunft zu vermeiden, wird die Zeitung eine hausinterne Robinsonliste einführen. Wenn die Zeitung zukünftig mit Adressenunternehmen zusammenarbeit, wird sie sicherstellen, daß diese Unternehmen nur Personen bewerben, die nicht auf dieser Liste geführt werden. Die Sicherstellung soll insbesondere mit Hilfe von Vertragsstrafen erreicht werden.

Nachsendeantrag und Adressenhandel

Uns gingen mehrere Beschwerden von Bürgern zu, die sich über die Werbung einer Lottogesellschaft beschwerten. Das Besondere an der Werbeaktion der Lottogesellschaft war, daß sie zahlreiche Minderjährige zur Teilnahme am Glücksspiel einlud. Die Bürger wollten insbesondere erfahren, woher die Lottogesellschaft die Daten der minderjährigen Kinder erhalten hatte.

Es gelang uns in den vorliegenden Fällen, den gesamten Datenfluß nachzuvollziehen. Die Bürger hatten vor etwa einem Jahr einen Nachsendeantrag bei der Deutschen Post AG gestellt. Die Umzugsmeldekarte der Post enthielt auch die Namen der Kinder. Die Deutsche Post AG und die Deutsche Postadress GmbH haben einen Vertrag geschlossen, in dem sich die Deutsche Post AG verpflichtet, alle bei ihr über Umzugsmeldekarten gemeldeten Umzüge an die Deutsche Postadress GmbH zu übermitteln, sofern die Betroffenen einer Weitergabe der Umzugsmeldungen nicht widersprochen haben. Die von der Deutschen Post AG übermittelten personenbezogenen Daten (alte und neue Anschrift) werden von der Deutschen Postadress GmbH manuell erfaßt und anschließend in der dort geführten Umzugsadressendatei gespeichert.

Die Deutsche Postadress GmbH ist ein Adressenhändler, der die genannte Umzugsadressendatei an verschiedene Institutionen verkauft. So wird die Datei u.a. von Firmen verwendet, die - wie z.B. Versandhäuser - ihre Kundendaten aktualisieren wollen. In den vorliegenden Fällen wurden die Daten für Werbezwecke verkauft. Die Lottogesellschaft kaufte von der Deutschen Postadress GmbH Adressen von männlichen Personen für die oben erwähnte Werbeaktion. Für die Vertragspartner war - obwohl dies offensichtlich nicht ausdrücklich geregelt wurde - klar, daß die Lottogesellschaft kein Interesse an männlichen Kindern und Jugendlichen hatte. Da allerdings in der Umzugsadressendatei auch Kinderadressen gespeichert waren, hat die Deutsche Postadress GmbH auch diese an die Lottogesellschaft verkauft. Die Deutsche Postadress GmbH behauptet, bei dem Verkauf der Daten versehentlich nicht daran gedacht zu haben, daß auch Kinder und Jugendlichen in der Umzugsadressendatei enthalten sind.

Der Adressenhandel stellt eine geschäftsmäßige Datenverarbeitung für fremde Zwecke dar, für die die Rechtsvorschriften des BDSG gelten (§§ 27 bis 38, insbesondere § 29 BDSG). Die Speicherung personenbezogener Daten durch Adressenhandelsunternehmen ist zulässig, soweit kein Grund zu der Annahme besteht, daß dadurch schutzwürdige Belange des Betroffenen beeinträchtigt werden (§ 29 Abs. 1 Satz 1 Nr. 1 BDSG). Das Speichern ist auch zulässig, soweit die Daten unmittelbar aus allgemein zugänglichen Quellen entnommen worden sind (§ 29 Abs. 1 Satz 1 Nr. 2 BDSG). Die Übermittlung von Adreßdaten zur Direktwerbung erfolgt in der Regel nach § 29 Abs. 2 Satz 1 Nr. 1 b) i.V.m. § 28 Abs. 2 Satz 1 Nr. 1 b) BDSG. Nach diesen Vorschriften ist die Übermittlung von listenmäßig oder sonst zusammengefaßten Daten über Angehörige einer Personengruppe zulässig, wenn sie sich auf gewisse Kriterien - wie Namen, Titel, akademische Grade, Anschrift etc. - beschränkt und kein Grund zu der Annahme besteht, daß dadurch schutzwürdige Belange des Betroffenen beeinträchtigt werden. Im Regelfall werden schutzwürdige Belange weder durch die Speicherung noch durch die Datenübermittlung beeinträchtigt. Auch das werbende Unternehmen handelt grundsätzlich nicht rechtswidrig, wenn es die durch ein Adreßhandelsunternehmen erlangten personenbezogenen Daten für Werbezwecke nutzt. Der Betroffene hat allerdings das Recht zu verlangen, daß seine Daten gelöscht bzw. nicht mehr weiter für Werbezwecke genutzt (beim werbenden Unternehmen) oder übermittelt (beim Adressenhändler) werden.

In den vorliegenden Fällen kann allerdings ausnahmsweise davon ausgegangen werden, daß die Werbeaktion der Lottogesellschaft rechtswidrig erfolgte. Bei der Werbung von Jugendlichen für Glücksspiele ist offensichtlich, daß der Betroffene ein schutzwürdiges Interesse an dem Ausschluß der Übermittlung oder Nutzung zu Werbezwecken hat (vgl. § 28 Abs. 2 1 Nr. 1 b) BDSG). Da die Lottogesellschaft die Daten vom Adressenhändler in gutem Glauben erworben hat, liegt kein vorsätzlich rechtswidriges Handeln der unter unserer Kontrolle stehenden Lottogesellschaft vor (Die Deutsche Postadress GmbH befindet sich nicht in unserem örtlichen Zuständigkeitsbereich.). Wir werden der Lottogesellschaft allerdings empfehlen, sich in Zukunft von Adressenhändlern zusichern zu lassen, daß die Adressen nur von volljährigen Personen stammen. Die Zusicherung sollte mit einer Vertragsstrafenvereinbarung bekräftigt werden.

Videoüberwachung im Taxi

Zunehmende datenschutzrechtliche Probleme sind mit dem Einsatz der Videotechnik verbunden, die alle Lebensbereiche durchdringen. Aus Großbritannien wird gemeldet, daß bereits ganze Städte flächendeckend durch Videokameras überwacht werden; die dabei aufgenommenen Videofilme sind schon in einer Weise, die Persönlichkeitsrechte massivst beeinträchtit im Fernsehen gezeigt worden. Das Bundesdatenschutzgesetz regelt diesen Bereich nur äußerst unzulänglich und wird insoweit verbessert werden müssen. Gleichwohl müssen bereits jetzt Kriterien für den Videoeinsatz aufgestellt werden.

Um sich vor Überfällen zu schützen, haben einige Taxiunternehmer Videoüberwachungsanlagen in ihre Taxen eingebaut. Die Fahrgäste werden zu Beginn und am Ende der Fahrt für jeweils zehn bis zwanzig Sekunden gefilmt.

Es kann grundsätzlich davon ausgegangen werden, daß die zu schützenden Rechtsgüter des Taxifahrers (Leben, Gesundheit, Eigentum) höher zu bewerten sind als das allgemeine Persönlichkeitsrecht. Trotzdem ist es unverhältnismäßig, wenn der Taxifahrer diese Rechtsgüter durch einen Eingriff in auch hochrangige Rechtsgüter von unbeteiligten Dritten (Fahrgäste, die keine Überfälle beabsichtigen) schützt [180]. Eine Videoaufnahme ist somit nur rechtmäßig, wenn eine wirksame Einwilligung vorliegt. Diese kann ausdrücklich oder konkludent erfolgen. Grundsätzlich empfehlen wir, sowohl innen als auch außen einen deutlich sichtbaren Hinweis auf die Videoüberwachung anzubringen, der auch von Ausländern (Sprachunkundigen) verstanden wird.

Das Taxiunternehmen hat sicherzustellen, daß der Videofilm sicher aufbewahrt wird, Dritten nicht zugänglich gemacht wird und je nach Technik und Praktikabilität so bald wie möglich wieder gelöscht wird. In der Regel wird man davon ausgehen können, daß eine Löschung spätestens am Schichtende bzw. am nächsten Tag vor Arbeitsbeginn erfolgen sollte. Für eine weitergehende Speicherung liegt die Einwilligung des Fahrgastes zu dem offensichtlich vorliegenden Zweck (Verhinderung von Überfällen) nicht vor. Aus datenschutzrechtlicher Sicht sind Videosysteme zu empfehlen, bei denen zu einem bestimmten Zeitpunkt (z.B. nach 2 Stunden bzw. nach 10 Fahrgästen) die alten Aufnahmen gelöscht bzw. überspielt werden.