Das Erfassen der Arbeitnehmerdaten durch den Arbeitgeber stellt eine zulässige Datenspeicherung dar, weil die Prüfung, ob die Qualifizierung der ABM-Kraft mit den zur Verfügung stehenden Finanzmitteln erfolgreich gefördert worden ist, in den Rahmen der Zweckbestimmung des Vertragsverhältnisses mit dieser Arbeitskraft fällt (§ 28 Abs.1 Satz 1 Nr.1 BDSG). Dasselbe gilt für die (ebenfalls nach dieser Vorschrift zulässige) Weitergabe der Daten an die Servicegesellschaft. Sie ist - wie das Beratungsunternehmen auch - Treuhänder des Landes Berlin und mit der Durchführung der Arbeitsbeschaffungsmaßnahmen für das Land Berlin, vertreten durch die Senatsverwaltung für Arbeit, Berufliche Bildung und Frauen, betraut. Da diese Treuhänder für die Senatsverwaltung die gesamte Funktion und nicht nur reine Datenverarbeitungsschritte wahrnehmen, sind sie jeweils eigenständige datenverarbeitende Stelle, so daß ihre Tätigkeit aus datenschutzrechtlicher Sicht den für sie selbst geltenden Rechtmäßigkeitsanforderungen unterliegt.

Als mit der Wahrnehmung hoheitlicher Aufgaben (nämlich bei der Gewährung von Zuwendungen) nach der Landeshaushaltsordnung beliehene Unternehmen (§ 7 Haushaltsgesetz 1995/1996) gelten diese als öffentliche Stellen. Da die Datenverarbeitung jedoch arbeitsrechtliche Rechtsverhältnisse betrifft, sind anstelle der einschlägigen Bestimmungen des BlnDSG diejenigen des BDSG maßgebend (§ 34 Abs.2 BlnDSG).

Nach § 13 Abs.1 BDSG ist das Erheben personenbezogener Daten zulässig, wenn ihre Kenntnis zur Erfüllung der Aufgaben der erhebenden Stelle erforderlich ist. Dies ist insoweit der Fall, als ohne die im TRS aufzuführenden Daten die von der Servicegesellschaft und dem Beratungsunternehmen zu veranlassende Vergabe bzw. Abrechnung der ESF-Fördermittel nicht erfolgen kann. Das bedeutet zugleich, daß nur diejenigen Daten erhoben werden dürfen, die für die jeweilige Fördermaßnahme (d.h. für die Vergabe und Abrechnung der hierfür vorgesehenen Mittel) erforderlich sind. Da aber alle Daten, die in den einzelnen Förderprogrammen angefallen sind, in einem System vereinheitlicht wurden und die Maßnahmeträger (mangels entgegenstehender Information) häufig all diese Daten (und nicht nur die für das beantragte Förderprogramm erforderlichen) aufgeliefert haben, war diese "undifferenzierte" Datenerhebung durch die Servicegesellschaften und das Beratungsunternehmen rechtswidrig.

Auch wurde nicht beachtet, daß personenbezogene Daten beim Betroffenen bzw. mit seiner Mitwirkung zu erheben sind. Da die Servicegesellschaften und das Beratungsunternehmen selbst nicht mit dem einzelnen Arbeitnehmer in Kontakt treten, müssen sie zumindest dafür sorgen, daß die für sie bestehenden Vorgaben des § 13 Abs.2 BDSG durch die Maßnahmeträger erfüllt werden. Diese müssen die Mitwirkung der ABM-Kraft veranlassen, sie etwa bei der Eingehung des Arbeitsverhältnisses darüber informieren, daß zur Abwicklung des Vertragsverhältnisses eine Erhebung bestimmter personenbezogener Daten erforderlich ist.

Die weitere Datenübermittlung durch die Servicegesellschaft an das Beratungsunternehmen ist zulässig, weil dieses die Daten zu dem gleichen Zweck (nämlich zur Förderung von ABM-Kräften bzw. zur Vergabe und Abrechnung der Fördermittel) wie die Servicegesellschaft benötigt (§ 12 Abs.1 Satz 2 BlnDSG), wobei diese Datenübermittlung zur rechtmäßigen Erfüllung der durch die Landeshaushaltsordnung zugewiesenen "Aufgaben bei der Gewährung von Zuwendungen" erforderlich ist.

Keine Verwaltungsreform ohne Datenzugriff

Wesentlicher Bestandteil der Verwaltungsreform ist die Einführung einer Kosten- und Leistungsrechnung, die auf der Erhebung von Daten über den Aufwand beruht, der für die Erstellung der "Produkte" der Verwaltung erforderlich ist. In einer einmaligen Zeit- und Mengenstatistik wurde hierfür in den vergangenen Monaten Ausgangsmaterial gesammelt (vgl. JB 1995, 3.6). Nach Abschluß dieser Phase wird nun das Permanentverfahren in der Berliner Verwaltung eingeführt. Grundlage bildet die zwischen dem Hauptpersonalrat und der Senatsverwaltung für Inneres abgeschlossene Dienstvereinbarung vom April 1997.

Im Rahmen der Zeitstatistik werden Stellenanteile pro Produkt und Mitarbeiter im Verhältnis zur Sollarbeitszeit erfaßt. Außerdem wird der Anteil der nichtproduktbezogenen Tätigkeiten pro Mitarbeiter - ebenfalls im Verhältnis zur Sollarbeitszeit - ausgewiesen. Diese Daten werden in das "PRO-FISKAL-Modul zur Leistungserfassung" (DLE-X) eingegeben. Im Gegensatz zum Testverfahren ist die Angabe eines eindeutigen Identifikationsmerkmals für die Mitarbeiter auf den Meldebelegen vorgesehen. Dies ist für Vollständigkeitskontrollen bei den Meldebelegen und für die Pflege des Datenbestandes erforderlich. Die Zusammenführung der Daten aus der Zeitstatistik und der Mengendaten, deren Zählung anonym erfolgen soll, findet nach dem Buchungsschluß im Kernmodul für die Kostenrechnung (DKR-X) statt, wobei nach Darlegung der Senatsverwaltung für Finanzen auch bei den Daten aus der Zeitstatistik kein Personenbezug mehr vorhanden sein soll.

Nach Ziffer 4.2. der Dienstvereinbarung sind die erhobenen Daten aus der Zeitstatistik nicht für individuelle Leistungs- und Verhaltenskontrollen von Dienstkräften zu verwenden. Zum Verhalten des Mitarbeiters kann anhand der Daten aus der Zeitstatistik nur eine Aussage über die prozentuale Verteilung der monatlichen Sollarbeitszeit auf Produkte und auf nicht produktbezogene Tätigkeiten getroffen werden. Diese Angaben werden über die Meldestelle an den Kostenstellenleiter weitergeleitet und nach der Datenerfassung durch die zuständigen Sachbearbeiter "Kostenrechnung" vernichtet.

Nach längerem Schriftwechsel zwischen der Senatsverwaltung für Finanzen einerseits und dem Hauptpersonalrat sowie dem Berliner Datenschutzbeauftragten andererseits wurde darüber hinaus festgelegt, daß die Übergabe der Daten von DLE-X nach DKR-X ausschließlich in verdichteter Form vorgenommen wird, da andernfalls in besonders kleinen Verwaltungseinheiten ein Personenbezug herstellbar wäre. Ferner wurden die Zugriffsrechte auf die Daten im Modul DLE-X ausschließlich auf die Sachbearbeitung Kostenrechnung beschränkt. Dies hat zur Folge, daß nur die damit betraute Person an die Beschäftigten zwecks Rückfragen bzw. Vervollständigung von Angaben herantreten kann.

Allerdings kam es bei der Umsetzung dieses Verfahrens zu Irritationen: So beabsichtigte ein Bezirksamt für die Bildung des sogenannten "Identen" die Personalnummer der Mitarbeiterinnen und Mitarbeiter zu verwenden. Dieses Vorhaben stieß auf datenschutzrechtliche Bedenken.

Sollen Personaldaten - dazu zählt auch die Personalnummer - in automatisiert geführten Dateien verarbeitet werden, so ist die Erforderlichkeit ihrer Verarbeitung besonders zu prüfen. Das Personalkennzeichen ist für die Personalverwaltung das zentrale Ordnungsmerkmal, dient der besseren Organisation und soll unnötige Suchaktionen verhindern. Die Verwendung dieser Nummer zur Identifizierung des Beschäftigten bei der Durchführung der Zeit- und Mengenstatistik dient nicht dem ursprünglichen Zweck, also weder der Personalverwaltung noch der Personalwirtschaft, und versetzt den Sachbearbeiter "Kostenrechnung" in die Lage, den Schlüssel für sämtliche die Person des Beschäftigten betreffende höchstpersönliche Daten zu erhalten. Die Nutzung der Personalnummer als "Ident" ist daher unzulässig.

Hinter der Verwaltungsreform verbirgt sich neben dem Bestreben, die Kostenstrukturen transparenter zu machen, auch die Intention, den wegen der Haushaltslage erforderlichen dramatischen Personalabbau zu effektivieren. Auch hierzu müssen Personaldaten verarbeitet werden. So zum Beispiel mittels eines Fragebogens zur sozialen Lage der Bediensteten.

Bei einer Senatsverwaltung stellte das Personalreferat mit einem Rundschreiben zur Sozialauswahl für die Ermittlung von Personalüberhang fest, die in dem Fragenkatalog aufgeführten Angaben fielen in das Informationsrecht des jeweiligen Vorgesetzten, es sei denn, daß sich die zu erfragenden Angaben auf Dritte (unterhaltsbe-rechtigte/pflegebedürftige Personen) beziehen. Für diese sei eine Einverständniserklärung mittels eines Formblattes entwickelt worden, in dem die Betroffenen ihr Einverständnis bezüglich der Erhebungsbefugnis des Vorgesetzten erklären können.

Einwilligung setzt Selbstbestimmung und diese wiederum Entscheidungsfreiheit über die vorzunehmenden oder zu unterlassenden Handlungen voraus. Da der Schutz der informationellen Selbstbestimmung die Fremdbestimmung ausschließen soll, muß die Einwilligung freiwillig erteilt werden. Der Betroffene muß, ohne einen Nachteil befürchten zu müssen, die Einwilligung auch verweigern dürfen. Da im vorliegenden Fall zwischen Vorgesetztem und Mitarbeitern regelmäßig ein Über- bzw. Unterordnungsverhältnis besteht, das wiederum zu einem Abhängigkeitsverhältnis führt, ist von einer Freiwilligkeit der Einwilligung nicht ohne weiteres auszugehen. Im Ergebnis ist daher festzustellen, daß eine Erhebung bzw. Verarbeitung der Personaldaten zum Zwecke der Sozialauswahl nur von der jeweiligen personalaktenführenden Stelle durchzuführen ist. Die Senatsverwaltung ist unseren Ausführungen im Ergebnis gefolgt.

Wem es widerfährt, daß seine Stelle abgebaut werden soll und er deshalb in den Personalüberhang aufgenommen wird, muß auch hinsichtlich seiner Daten mit einigen Unannehmlichkeiten rechnen. Im Telefonverzeichnis einer Senatsverwaltung wurden die Bearbeiterzeichen aller Beschäftigten, die zum Personalüberhang des Landes Berlin gehören und somit keine Planstelle mehr haben, mit einem dreistelligen Namenskürzel gekennzeichnet. Auch die Namenstafeln an den Diensträumen wurden mit diesem Kennzeichen versehen.

Derartige Daten unterliegen aufgrund ihrer hohen Sensibilität einer gesteigerten Geheimhaltungspflicht und sind nur einem begrenzten Personenkreis zugänglich zu machen. Die Kennzeichnung der Personalüberhangkräfte auf Namenstafeln und in Telefonverzeichnissen führt jedoch zu einer unnötigen Stigmatisierung und Ausgrenzung der Betroffenen, die durch die bestehende Situation ohnehin beschwert sind. Die Maßnahmen wurden eingestellt.

Es scheint, als sei das "Outsourcing" (vgl. JB 1994, 3.3, also die Privatisierung von Aufgaben, die bislang unangefochtenerweise von der öffentlichen Verwaltung wahrgenommen wurden, das Non-plus-ultra der Verwaltungsreform. Mitunter werden allerdings - auch im wörtlichen Sinne - die zulässigen Grenzen überschritten.

Der Sender Freies Berlin und eine Berliner Krankenkasse hatten die Pfälzische Pensionsanstalt in Bad Dürkheim "beauftragt", die Berechnung der Beihilfen gegenwärtigen und früheren Bediensteten des SFB und der Krankenkasse sowie - am Fall der Krankenkasse - der Versorgungsbezüge durchzuführen. Die Pfälzische Pensionsanstalt übernahm das Bereitstellen der Antragsformulare, die Entgegennahme der Beihilfeanträge sowie - laut Leistungsbeschreibung - "die Berechnung und Vorbereitung der Beihilfefestsetzung nach den jeweils gültigen landesrechtlichen Beihilfevorschriften" (also in eigener Verantwortung) und die Auszahlung der Beihilfeleistung. Auch sollten sie den Schriftwechsel für notwendige amts- und vertrauensärztliche Begutachtungen durchführen und schließlich zur schriftlichen Unterstützung im Zusammenhang mit Prozessen verpflichtet sein.

Hier wollten der SFB und die Berliner Krankenkasse beide Funktionen vollständig übertragen, so daß die Pfälzische Pensionsanstalt selbst datenverarbeitende Stelle geworden und die Weitergabe der personenbezogenen Daten von der AOK an sie eine Datenübermittlung wäre. Hierfür ist eine Rechtsgrundlage erforderlich. Denn Personalakten, zu denen auch die Unterlagen über die Beihilfe als Teilakte gehören, können ohne Einwilligung der Beamten nur unter engen Voraussetzungen weitergegeben werden, die hier nicht vorliegen. Das gilt erst recht, wenn es sich um die Weitergabe der mit Beihilfeanträgen regelmäßig verbundenen medizinischen Unterlagen handelt. Auch das Einholen einer Einwilligung wäre nicht zulässig, weil bei dienst- oder arbeitsrechtlichen Verhältnissen Zweifel an der Freiwilligkeit einer solchen Einwilligung nie völlig ausgeräumt werden können. Die Einwilligung kann daher nicht als Rechtsgrundlage für eine Übermittlung derart sensibler Personaldaten herangezogen werden. Hinzu kam in diesem Fall, daß die zuständige Rechtsaufsichtsbehörde die Auffassung vertreten hat, daß ein Tätigwerden der Pfälzischen Pensionsanstalt außerhalb der Landesgrenzen von Rheinland-Pfalz unzulässig sei. Wir haben dementsprechend den Sender Freies Berlin und die Krankenkasse aufgefordert, die Vereinbarungen mit der Pfälzischen Pensionsanstalt aufzuheben.

Wer darf welche Personaldaten kennen?

In der öffentlichen Verwaltung stellt sich gleichermaßen wie in der Privatwirtschaft die Frage, welchen Stellen in der Organisation welche persönliche Daten der Bediensteten oder Arbeitnehmer zur Verfügung stehen dürfen. Es gilt der Grundsatz, daß Personaldaten geheimzuhalten sind und nur denjenigen Stellen offenbart werden dürfen, die Aufgaben der Personalverwaltung wahrnehmen. In das Beamtenrecht ist dieser Grundsatz vor einiger Zeit ausdrücklich aufgenommen worden (in Berlin in § 56 Abs.3 Landesbeamtengesetz) - für die anderen Arbeitnehmer gilt er mangels hinreichender, wenn auch dringend erforderlicher gesetzlicher Regelungen, unmittelbar.

Schwierig wird die Abgrenzung des berechtigen Personenkreises immer dann, wenn ein Fachvorgesetzter zwar für die Arbeitsabläufe verantwortlich, selbst aber nicht mit der Bearbeitung von Personalangelegenheiten befaßt ist.

Der Amtsleiter einer bezirklichen Fachabteilung hielt in seinem Amtszimmer eine Personaldaten- bzw. Personalaktendatensammlung über die in seinem Amt beschäftigten Mitarbeiterinnen und Mitarbeiter vor, die sowohl von seinen Vorgängern als auch von ihm selbst angelegt worden war. Die Sammlung betraf einen Zeitraum von ca. 30 Jahren. Sie enthielten, alphabetisch nach den Zunamen der Mitarbeiter sortiert, ausschließlich Personalvorgänge, die entweder beim jeweiligen Amtsleiter entstanden oder ihm in Kopie zur Kenntnis bzw. zur Stellungnahme zugeschickt worden waren. Dabei handelte es sich vornehmlich um Zeiterfassungsbögen, Stellenbesetzungs- und Personalplanungsvermerke, Stellungnahmen zur nachträglichen Vergütung von Bereitschaftsdienstzeiten, Abgeltung von Mehrarbeit, Eingruppierungsfragen etc.. Darüber hinaus enthielten die Ordner alte Entwürfe von Dienstleistungsberichten, die von der jeweiligen Amtsleitung verfaßt worden waren. Dagegen fanden sich bei dem von uns gesichteten Aktenmaterial keine geheimen Aufzeichnungen oder persönliche Notizen des Amtsleiters über Verhalten, Leistung oder Auftreten der Beschäftigten.

Da Personalunterlagen, soweit sie nicht Gegenstand der Personalakte werden, allerdings dann zu vernichten sind, wenn sie für die Aufgabenerledigung im Amt nicht mehr erforderlich sind, haben wir die Vorgehensweise des Amtsleiters bemängelt.

Nunmehr wird in dem betreffenden Bezirksamt den Amtsleitern jeweils am Jahresende im Zuge einer sogenannten Jahresinventur die Durchsicht aller bei ihnen befindlichen Personalunterlagen aufgegeben. Mit einer Speicherung des Zeugnisentwurfs als Grundlage der folgenden Beurteilung waren wir einverstanden. Spätestens nach deren Abgabe muß jedoch der alte Entwurf vernichtet werden. Dem Beispiel dieses Bezirksamts sollten alle anderen Bezirksämter folgen.

Ein Beschäftigter einer Hochschule hegte den Verdacht, seine Beschäftigungsstelle führe hinter seinem Rücken eine geheime Nebenakte zu seiner Personalakte. In der Tat wurde über den Petenten ein Aktenordner geführt. Dieser Ordner befand sich zwar in einem speziell gesicherten Behältnis, enthielt jedoch Unterlagen, die bereits überprüfte und abgeschlossene Sachvorgänge sowie verschiedene zwischen Arbeitgeber und Petenten geführte Arbeitsgerichtsprozesse betrafen. Ferner stellte sich heraus, daß dieser Vorgang dem Petenten bislang nicht zur Kenntnis gegeben worden war.

Auch die später von uns überprüfte Personalakte des Petenten wies etliche Mängel auf. So fanden sich in der Akte noch Hinweise auf eine Dienstrüge, die aufgrund einer Entscheidung des Arbeitsgerichts zurückgenommen werden mußte, sowie der gesamte Schriftwechsel mit dem Petitionsausschuß aufgrund einer Petition des Beschäftigten. Auch diese Unterlagen sind aus den Akten entfernt worden.

Der Grundsatz, daß nur mit der Bearbeitung von Personalangelegenheiten betraute Bedienstete Personaldaten zur Kenntnis erhalten dürfen, gilt auch im Verhältnis zu Bezirksverordnetenversammlungen, wenn diese nicht im Rahmen ihrer Zuständigkeiten in nichtöffentlicher Sitzung über Personalsachen beraten.

Die Frauenvertreterin eines Berliner Bezirksamtes schilderte uns folgenden Sachverhalt:

In der Sitzung des Ausschusses für Gleichstellung der Bezirksverordnetenversammlung sei im Zusammenhang mit einer Stellenbesetzung eine vom Bürgermeister in Auftrag gegebene Stellungnahme zu einer Mitarbeiterin, die in der Art einer Beurteilung beantwortet worden war, in öffentlicher Sitzung in Kopie an alle Ausschußmitglieder verteilt worden, ohne den Namen der Mitarbeiterin zu schwärzen. Zum anderen seien Einschätzungen von Bewerberinnen um die Stelle der Frauenvertreterin namentlich und ungeschwärzt an die Senatsverwaltung für Inneres geschickt und ebenfalls ungeschwärzt in Kopie an den Ausschuß für Gleichstellung gegeben worden. Wie sich später herausstelle, waren diese Personalunterlagen vom Bezirksbürgermeister nicht irrtümlich, sondern bewußt dem Gleichstellungsausschuß übergeben worden.

Personaldaten sind ebenfalls vertraulich zu behandeln und dürfen nur unter den in § 6 BlnDSG genannten Voraussetzungen verarbeitet werden.

Da keine der genannten Voraussetzungen erfüllt war, wurden die mit diesem Vorgang verbundenen Verstöße gegen die §§ 56 LBG sowie 6 BlnDSG beanstandet.

Unsensibel mit sensiblen Daten

Auch soweit es nicht um Angelegenheiten der Personalverwaltung geht, läßt der Umgang mit personenbezogenen Daten am Arbeitsplatz mitunter zu wünschen übrig. Insbesondere wird häufig genug nicht darauf geachtet, daß bei Vorgängen, bei denen der Personenbezug nicht erforderlich ist, eine anonyme Bearbeitung ausreicht.

Eine Justizangestellte im Protokolldienst berichtete uns, sie habe einen schriftlichen Verbesserungsvorschlag gefertigt und an die Verwaltung im Hause mit dem Zusatz "vertraulich/verschlossen" gerichtet. Die Verwaltung habe daraufhin diesen Vorschlag kopiert und in ihrem Namen an Kollegen der Petentin verteilt. Auch anläßlich einer Dienstbesprechung sei ihr Name gefallen. Danach sei sie verbalen Angriffen der Kollegen ausgesetzt gewesen. Die Verwaltung rechtfertigte ihr Vorgehen mit dem Hinweis, die Beschäftigte habe in ihrem Schreiben weder ausdrücklich um Anonymität im Zusammenhang mit ihrem Vorschlag gebeten, noch sei das Schreiben als "vertraulich" gekennzeichnet gewesen.

Wir haben daher einen datenschutzrechtlichen Mangel festgestellt und empfohlen, derartige Vorgänge grundsätzlich vertraulich zu behandeln, es sei denn, der Beschäftigte wünscht ausdrücklich die Nennung seines Namens.

Der kaufmännische Angestellten eines größeren Unternehmens berichtete, er habe ein Schreiben von einer Versicherung erhalten, in der ihm eine Direktversicherung durch Gehaltsumwandlung angeboten worden sei. Es handelt sich um eine persönliche Berechnung, die auf der Grundlage seiner Personalnummer, seines Geburtsdatums und seines Diensteintrittsalters erstellt worden war. Auf Vorhalt habe der Personalleiter erklärt, es handele sich hierbei um einen ganz normalen Vorgang. Das Unternehmen habe zum Wohle der Mitarbeiter Daten an einen nicht unternehmensgebundenen Versicherer übermittelt, um jedem seine persönliche Berechnung nach Hause schicken zu können.

Das Verhalten des Arbeitgebers verstößt gegen das Bundesdatenschutzgesetz. Danach beeinträchtigt die Übermittlung von Informationen, die sich auf arbeitsrechtliche Verhältnisse beziehen, in jedem Fall schutzwürdige Interessen der betroffenen Arbeitnehmer (es sei denn, der Arbeitnehmer hat eingewilligt).

Der behördliche Datenschutzbeauftragte einer Anstalt des öffentlichen Rechts fragte an, ob der Grund der Abwesenheit vom Arbeitsplatz (Krankheit, Urlaub, Sitzung, Dienstreise) allen Mitarbeitern mittels PC bekanntgemacht werden darf.

Paßwortschutz nicht gegenüber Arbeitgeber?

Auch die Frage, welche Angaben der Arbeitgeber vom Arbeitnehmer während des Arbeitsverhältnisses verlangen kann, ist mitunter problematisch.

Zunehmend werden wir von Arbeitgebern und Dienstvorgesetzten gefragt, ob es zulässig sei, Mitarbeiterinnen und Mitarbeitern das persönliche Paßwort abzufordern, wenn der Verdacht besteht, daß diese den dienstlichen PC für private Zwecke mißbrauchen.

Allerdings kann der Systemverwalter mit seinem Super-User-Paßwort die Dateien einsehen, wobei dies grundsätzlich nur zulässig ist, wenn die Systemverwaltung dies erfordert. Für Notfallsituationen, in denen der Systemverwalter nicht anwesend ist, empfiehlt sich allerdings, das Paßwort bei einer zentralen Stelle (z.B. der Geschäftsführung) verschlossen zu hinterlegen. In diesem und nur in diesem Fall ist die Geschäftsleitung zur Nutzung des Super-User-Paßworts berechtigt. Dies schließt allerdings nicht aus, daß im Bedarfsfall (etwa wenn tatsächliche Anhaltspunkte für einen Mißbrauch vorliegen) Kontrollen stattfinden. Der Systemverwalter hat in jedem Fall (z.B. aufgrund der Nutzung seines Super-User-Paßworts) die Möglichkeit, in die Dateien Einsicht zu nehmen. Eine solche Nutzung ist auch im Einzelfall zulässig, etwa für eine Notfallsituation zu Zeiten, in denen der Systemverwalter nicht anwesend ist. Dieser sollte sein Paßwort selbstverständlich für den Fall, daß er selbst nicht zur Verfügung steht, bei einer zentralen Stelle (u.U. die Geschäftsführung) verschlossen hinterlegen.

Daneben ist anerkannt, daß beim Vorliegen eines tatsächlichen Anhaltspunktes für eine Straftat, aber auch wegen eines schweren arbeitsrechtlichen Verstoßes ohne Beteiligung des Arbeitnehmers Kontrollmaßnahmen durchgeführt werden können. Soweit hierzu die Nutzung des Super-User-Paßworts erforderlich ist, kann es hierzu auch eingesetzt werden.

Es darf aber keinesfalls zu einer heimlichen Ausforschung des Arbeitnehmers ohne konkreten Anhaltspunkt genutzt werden. Grundsätzlich ist vielmehr davon auszugehen, daß der Arbeitgeber nicht ohne Beteiligung des Arbeitnehmers in dessen Arbeitsbereich eingreifen darf. Die gewünschten Kontrollen sind daher im Beisein des Arbeitnehmers, der dann sein Paßwort verdeckt eingeben kann, durchzuführen.

Die Frage nach der Umweltkarte

Benutzen Mitarbeiter der Berliner Verwaltung für Dienstgänge in Berlin öffentliche Verkehrsmittel, so werden ihnen die Fahrkosten durch Ausgabe von Einzelfahrscheinen erstattet. Die Senatsverwaltung für Inneres empfahl den Dienststellen, die betroffenen Beschäftigten durch Unterschriftsleistung versichern zu lassen, daß sie keinen privaten Fahrausweis (z.B. eine Umweltkarte) besitzen. Dieses Verfahren gab Anlaß zu Beschwerden.

Mitbestimmung und Datenschutz

Datenschutzrechtliche Fragen zum Verhältnis zwischen Behördenleitung und Personalrat bzw. Unternehmensleitung und Betriebsrat begleiteten die deutsche Datenschutzdiskussion von Anfang an. Insbesondere ist bislang unklar geblieben, welche Stellung die Mitbestimmungsgremien gegenüber den betrieblichen und behördlichen Datensschutzbeauftragten haben.

Im Jahresbericht 1995 (vgl. JB 1995, 6.3 hatten wir über den Konflikt zwischen dem Betriebsrat eines Berliner Unternehmens und dem betrieblichen Datenschutzbeauftragten berichtet. Der Betriebsrat hatte das Recht des betrieblichen Datenschutzbeauftragten bestritten, die Einhaltung datenschutzrechtlicher Bestimmungen auch bei der Datenverarbeitung im Betriebsrat sicherzustellen. Wir hatten die Auffassung vertreten, daß der betriebliche Datenschutzbeauftragte nach dem Bundesdatenschutzgesetz den Schutz personenbezogener Daten im Unternehmen umfassend sicherzustellen hat und deshalb auch der Betriebsrat seiner Kontrollbefugnis unterliegt. Inzwischen hat das Bundesarbeitsgericht diese Rechtsfrage im entgegengesetzten Sinn entschieden. Nach Auffassung des Bundesarbeitsgerichts nimmt der betriebliche Datenschutzbeauftragte keine neutrale Position zwischen Arbeitgeber und Betriebsrat ein, sondern ist trotz seiner Freiheit von fachlichen Weisungen der Arbeitgeberseite zuzuordnen. Die Datenverarbeitung beim Betriebsrat sei deshalb ausschließlich von der Aufsichtsbehörde nach dem Bundesdatenschutzgesetz zu kontrollieren.

Damit entsteht in privatwirtschaftlichen Unternehmen ein datenschutzrechtliches Kontrolldefizit, denn die Aufsichtsbehörde kann nach dem noch geltenden Bundesdatenschutzgesetz nur bei hinreichenden Anhaltspunkten für die Verletzung datenschutzrechtlicher Vorschriften tätig werden. In allen anderen Bereichen des Unternehmens hat daneben der betriebliche Datenschutzbeauftragte unabhängig von konkreten Anhaltspunkten für Datenschutzverstöße für die Sicherstellung des Datenschutzes zu sorgen. Diese Möglichkeit besteht hinsichtlich der Datenverarbeitung beim Betriebsrat jetzt nicht mehr. Um dieses Kontrolldefizit auszugleichen, sollte der Bundesgesetzgeber im Zuge der anstehenden Novellierung des Bundesdatenschutzgesetzes klarstellen, daß auch der Betriebsrat hinsichtlich seines Umgangs mit personenbezogenen Daten der Kontrolle durch den betrieblichen Datenschutzbeauftragten unterliegt. Gleichzeitig sollte die Unabhängigkeit des betrieblichen Datenschutzbeauftragten von der Unternehmensleitung gestärkt und zugleich dem Betriebsrat ein Mitbestimmungsrecht bei der Bestellung des Datenschutzbeauftragten auch dann eingeräumt werden, wenn diese Funktion einem vorhandenen Mitarbeiter des Unternehmens übertragen werden soll.

In einem Unternehmen wurde die Einführung eines Informationssystems als Informationsbasis des Mitarbeiter-Know-how geplant. Das System sollte das Know-how aller Mitarbeiter erfassen und insbesondere der strategischen Personalplanung, -förderung und -entwicklung dienen sowie die gezielte Besetzung von Projekten fördern. In diesem Zusammenhang bat der Betriebsrat um umfangreiche Ergebnisberichte, wie sie für die Personalverantwortlichen vorgesehen waren, allerdings unter Auslassung

• des Namens,
• der Personalnummer und
• der PIN-Nummer (dies ist eine Nummer, die das System selbst jedem Datensatz fest zuordnet).

Danach steht dem Betriebsrat § 92 Betriebsverfassungsgesetz ein umfassendes und rechtzeitiges Informationsrecht bei der Personalplanung zu. Entsprechend hat der Arbeitgeber den Betriebsrat über die Personalplanung, insbesondere den Personalbedarf sowie über die sich daraus ergebenden personellen Maßnahmen und Bildungsmaßnahmen, anhand von Unterlagen zu unterrichten. Insoweit kann es erforderlich werden, daß der Arbeitgeber dem Betriebsrat bestimmte über das Personaldatensystem erhobene oder zu erhebende Daten zugänglich macht, sofern das Personaldatensystem für die Personalplanung erhebliche Daten enthält. Im Planungsstadium sind dabei regelmäßig nur anonymisierte Daten zu übermitteln, die als Entscheidungsgrundlage für die Personalplanung dienliche Informationen enthalten.

Der für den Betriebsrat vorgesehene Ergebnisbericht sollte daher nur Angaben enthalten, die einerseits dem Informationsbedürfnis des Betriebsrates Rechnung tragen, andererseits die Möglichkeit einer Personenbeziehbarkeit weitgehend einschränken.

4.4.2  Gesundheit

Organtransplantationen

Das Transplantationsgesetz (BGBl. I, 2631) vom 5.November 1997 ist nach langwierigen und zum Teil heftigen Debatten in Kraft getreten. Der Gesetzestext berücksichtigt im wesentlichen die von den Datenschutzbeauftragten im Gesetzgebungsverfahren geltend gemachten Gesichtspunkte. Insbesondere ist zu begrüßen, daß es nicht zu einer Widerspruchslösung und damit zu einem indirekten Erklärungszwang für Patienten gekommen ist. Die in §§ 3 und 4 verankerte Zustimmungslösung, die auf die Zustimmung des Organspenders zu Lebzeiten oder nach seinem Tode auf die Zustimmung der Angehörigen abstellt, hat sich in der Praxis allerdings erst noch zu bewähren. Es muß deutlich darauf hingewiesen werden, daß der mutmaßliche Wille eines möglichen Organspenders zwar ein geeignetes Entscheidungskriterium sein kann, daß dafür aber immer nur auf die Einzelsituation des jeweiligen verstorbenen Patienten abgestellt und nicht generell von einer pauschalierten Spendebereitschaft der Bevölkerung ausgegangen werden kann. Zu begrüßen ist vor allem, daß Angehörige den mutmaßlichen Willen zu prüfen haben und nicht Personen, die ein therapeutisches Interesse an der Organentnahme haben.

Berlin - Stadt der Gesundheitsregister

Berlin mit seinen mächtigen Forschungseinrichtungen beherbergt eine Reihe großer Datensammlungen mit medizinischen Daten.

Aus der DDR-Zeit stammt das Krebsregister der neuen Bundesländer, dessen Weiterführung zunächst durch das Krebsregistersicherungsgesetz gewährleistet wurde. Im vergangenen Jahr wurde der Staatsvertrag über das Gemeinsame Krebsregister der Länder Berlin, Brandenburg, Mecklenburg-Vorpommern, Sachsen-Anhalt und der Freistaaten Sachsen und Thüringen unterzeichnet. Er wird in der ersten Hälfte 1998 in Kraft treten und eine endgültige Rechtsgrundlage für diesen wichtigen Datenbestand darstellen.

In den letzten beiden Jahresberichten (vgl. JB 1995, 5.14 und JB 1996; 4.5.1) informierten wir über die verschiedensten Maßnahmen, eine datenschutzgerechte Lösung für das Qualitätssicherungsregister von Dialysepatienten zu finden. Nachdem die Anonymisierung bzw. auch Deanonymisierung durch das Dazwischenschalten eines Treuhänders rechtlich wie auch technisch datenschutzgerecht ausgestaltet wurde, konnten mit ausdrücklicher Einwilligung der Betroffenen die Primärdaten erhoben werden. Zwischenzeitlich melden ca. 900 Dialyseeinrichtungen quartalsweise die Daten an den Datentreuhänder. Dieser gibt dann nach der Anonymisierung die Einzeldaten zur Speicherung an das Register weiter. Da es sich hierbei um Daten von fast 60.000 Patienten handelt, galt es, effiziente technische und dennoch datenschutzgerechte Lösungen zu suchen.

Als ein erster Schritt wurde im April begonnen, an die Patienten einen Patientenausweis in Form einer Chipkarte auszugeben. Aus unserer Sicht ist neben den Vorteilen, die diese Karte für die Patienten beispielsweise beim Wechseln der Behandlungseinrichtung, aber auch für die Ärzte und das Register selbst bietet, von entscheidender Bedeutung, daß weder die Behandlung noch die Meldung an das Register selbst "zwangsweise" die Nutzung dieser Chipkarte voraussetzt. Somit wird der Dialysepatient nicht gezwungen, sich über die Karte "auszuweisen". Sie kann ihm aber mit seiner Einwilligung in Zukunft erhebliche Vorteile bringen, wenn in besonders gesicherten Bereichen charakteristische Behandlungsdaten zusätzlich gespeichert werden. Gegenwärtig ist dies jedoch noch nicht vorgesehen.

Die Bearbeitung der vierteljährlich beim Treuhänder eingehenden großen Mengen an Patientendaten in Form von Meldebögen oder auch übersandten Disketten stellt einen erheblichen Arbeitsaufwand und auch ein Datenschutzrisiko dar. So wurde ein sehr komplexes und ausgeklügeltes Konzept erarbeitet, das auch die Online-Übertragung von Patientendaten durch die Behandlungseinrichtung an den Datentreuhänder und dann der anonymisierten Daten an das Register umfaßte. Dieses Konzept wurde vom Bundesamt für Sicherheit in der Informationstechnik begutachtet. Die Verschlüsselungen auf Grundlage von Kryptoprozessor-Chipkarten erlauben nach Ansicht des BSI einen hinreichenden Schutz, um medizinische Informationen sowohl über ISDN als auch über Internet zu übertragen. Die Gefährdung der Projektgeschäftsstelle gegen "Hacker" soll durch geeignete Maßnahmen wie "Firewalls" oder ISDN-D Kanal Filter verringert werden.

Bundes-Gesundheitssurvey 1997/98

Unbeschadet der Zuständigkeit des Bundesbeauftragten für den Datenschutz bat uns das in Berlin ansässige Robert-Koch-Institut - Bundesinstitut für Infektionskrankheiten und nicht übertragbare Krankheiten - um datenschutzrechtliche Beratung zum Bundes-Gesundheitssurvey 1997/98. Im Rahmen dieser Untersuchung sollen über 7.000 Personen im Alter von 18 bis 79 Jahren bundesweit zu gesundheitsrelevanten Themen befragt und einer medizinischen Untersuchung unterzogen werden. Die Datenerhebung selbst wird im Auftrage des Robert-Koch-Instituts durch ein privates medizinisches Forschungsinstitut durchgeführt. Bei diesem Projekt ist insbesondere das gewählte Anonymisierungsverfahren datenschutzrechtlich interessant, da es entsprechend dem Ablauf der Untersuchung in mehreren Stufen erfolgt. Zunächst wird für die ausgewählten Erhebungsorte eine Stichprobe aus den Melderegistern gezogen. Den Namen dieser Personen wird eine sogenannte "Bruttonummer" zugeordnet. Wenn nun die um ihre Einwilligung gebetenen Personen zustimmen, werden alle nachfolgenden Befragungen und Untersuchungen nur noch mit einer "Nettonummer" versehen. Damit ist sichergestellt, daß bei der Auswertung der Daten nicht mehr in einem einstufigen Verfahren auf die Adresse zugegriffen werden kann. Die beiden Schlüsselbrücken "Namen-Bruttonummer" und "Bruttonummer-Nettonummer" werden jeweils getrennt von den anderen Unterlagen aufbewahrt. Sie dienen dem Robert-Koch-Institut dazu, in einem Zeitraum von ca. 5 Jahren möglicherweise notwendige Nacherhebungen oder Ergänzungsuntersuchungen durchzuführen und die Betroffenen um ihre Mitwirkung zu bitten. Nach Ablauf dieser Frist werden auch diese Schlüsselbrücken gelöscht.

Der Computer und der Tod

"In den Kliniken wächst die Angst" - "Der Todescomputer" - "Tödliche Medizin" - "Ärzte kritisieren" - "Wirbel um neues Softwareprogramm in Kliniken" - "Darf ein Computer über das Leben entscheiden?" - "Entsetzen über Todescomputer - Test auf Intensivstationen" - "Überlebensprognose mit dem Computer" - "Der virtuelle Todesstoß" -.

Praktisch handelt es sich um eine isolierte PC-Anwendung in einem abgeschlossenen Raum in der Intensivstation. Die Daten werden von Krankenschwestern, die am Bett keinen Dienst verrichten dürfen, in zeitlichem Abstand nach der Entlassung des Patienten aus der Intensivstation eingegeben. In der Intensivmedizin ist es weltweit seit Jahren üblich, ein "Patientenscoring" durchzuführen, d. h. die Überlebenschancen der Patienten abzuschätzen und aufgrund der gewonnenen Daten die Behandlung der Patienten zu verbessern. Dies ist bei Krankenhäusern mit besonders schwer erkrankten Patienten von großer Bedeutung. Man versucht seit Jahren, dieses Scoring, das bisher manuell durchgeführt wird, durch automatische Systeme zu ersetzen. In den USA wird seit Jahren das Programm "APACHE" verwendet, das hier jedoch nicht einsetzbar ist. Das Programm "RIYADH" ist eine Neuentwicklung, die von den Autoren während eines Forschungsaufenthaltes in der Hauptstadt von Saudi-Arabien entwickelt worden ist. Da eine unmittelbare Rückkoppelung mit der Behandlung der Patienten nicht beabsichtigt ist, sagte das Krankenhaus die unverzügliche Anonymisierung der Patientendaten zu. Die Anonymisierung der Daten ist absprachegemäß unverzüglich vollzogen worden. In keinem Fall war oder ist daran gedacht worden, die Behandlung eines Patienten vorzeitig zu beenden, weil der Computer seine Überlebenschancen als gering bewertet hat. Eine derartige Vorgehensweise würde gegen das Strafrecht und das ärztliche Standesrecht verstoßen. Sie wäre auch ein Beispiel für eine automatisierte Entscheidung, die nach der EU-Datenschutz-Richtlinie verboten wäre (Art. 15). Die reißerische Berichterstattung, die nicht nur von der Boulevardpresse, sondern auch von anderen Zeitungen praktiziert wurde, erwies sich damit als gegenstandslos. Wir berichten über den Fall, um zu zeigen, daß Mystifizierung und unbegründete Angst vor der EDV ganz nah beieinander liegen und die Tätigkeit des Datenschutzbeauftragten zu einer realistischen Betrachtungsweise beitragen kann.

Krankengeschichten in fremden Händen

Ein Berliner Krankenhaus will die Archivierung der Krankengeschichten auf ein privates Unternehmen übertragen. Dazu schloß es einen Übernahmevertrag, durch den die Archivverwaltung "im Auftrag für das Krankenhaus" durch einen privaten Unternehmer durchgeführt werden sollte. Dieser hätte uneingeschränkten Zugriff auf alle Patientendaten in den Krankengeschichten.

Geplant war, das Krankengeschichtenarchiv auf dem Krankenhausgelände zu lassen, jedoch sollte der Auftragnehmer insbesondere die Verwaltung und Auswahl der Mitarbeiter selbst verantworten und auch die Archivstruktur organisieren. Der Auftragnehmer sollte verpflichtet werden, die Leistungen durch geeignetes Personal auszuführen und die Schulung, Einweisung, Überwachung und die Verpflichtung nach § 5 BDSG zu gewährleisten.

Dieser Vertrag gibt dem Auftragnehmer gegenüber dem Auftraggeber ein hohes Maß an Selbständigkeit. Trotz der verbleibenden Befugnisse des Krankenhauses, jederzeit Zugang zu allen Räumlichkeiten des Archivs zu erhalten und die sonstigen Vorgaben für den betrieblichen Ablauf des Krankenhauses zu unterstützen, fehlt jedoch die unmittelbare Kontrolle der Krankenhausleitung auf die Archivverwaltung, denn die entscheidenden Weisungen über den Datenzugriff, die Datenverwahrung und den Datentransport bleiben beim Auftragnehmer. Wir haben daher von dieser rechtlichen Konstruktion abgeraten. Das Herausverlagern von Archivverwaltungsfunktionen kann nur dann zulässig sein, wenn ein direkter Zugriff auf Patientendaten durch Mitarbeiter des beauftragten Unternehmens ausgeschlossen ist (z.B. durch den Einsatz von Containern, in denen das Archivmaterial vor der Weitergabe verschlossen wird) und wenn darüber hinaus durch eine ärztliche Verantwortung ein hinreichender Schutz vor Beschlagnahme gegeben ist. Denn nur Ärzte genießen zugunsten des Patienten diesen Schutz und das Zeugnisverweigerungsrecht nach der Strafprozeßordnung.

Gedankenlosigkeiten

Immer wieder finden gerade in der Medizin Mängel hinsichtlich der Datensicherheit. So wurden auch in diesem Jahr wieder Befundberichte von einem Krankenhaus, die für den weiterbehandelnden Arzt und die Patientin bestimmt waren, falsch kuvertiert und vertauscht. Auch eine gesetzliche Krankenversicherung leistete sich derartige Fehler: Dem Medizinischen Dienst der Krankenkassen wurde zur Begründung eines bestimmten rechtlichen Standpunktes ein Gerichtsurteil übersandt, in dem alle Versichertendaten aus dem Rechtsstreit und die Identität dieser Person ersichtlich waren. Dieses Urteil wurde vom Medizinischen Dienst, ebenfalls ohne Anonymisierung, an die beschwerdeführende Versicherungsnehmerin weitergeleitet, die uns daraufhin einschaltete. Da es sich im Urteil um den Fall einer manifesten Transsexualität (die einer besonderen Geheimhaltung unterliegt) handelte, war der Vorgang besonders prekär für die Krankenkasse.

Landesversorgungsamt und ärztliche Schweigepflicht

Aus dem ärztlichen Bereich des Landesversorgungsamtes wurde bekannt, daß im Rahmen eines Leistungsverfahrens sämtliche Akten eines Amtsangehörigen, der Leistungen beantragt hatte, vor der Verwaltungsentscheidung dem ärztlichen Leiter bzw. seinem Vertreter vorgelegt werden muß. Im vorliegenden Fall waren diese zugleich Fach- und Disziplinarvorgesetzte des betreffenden Mitarbeiters, so daß ihnen im Ergebnis sämtliche medizinische Unterlagen zum Einblick vorlagen und ihnen die Sachentscheidungskompetenz zukam.

Hierin lag ein schwerer datenschutzrechtlicher Mangel. Die Situation ist der Regelung in
§ 35 Abs.1 Satz 3 SGB I vergleichbar, wonach Sozialdaten der Beschäftigten in der Krankenversicherung und ihrer Angehörigen Personen, die Personalentscheidungen treffen oder an ihnen mitwirken können, weder zugänglich sein dürfen noch von Zugriffsberechtigten weitergegeben werden dürfen. Diese Regelung für die Krankenkasse soll verhindern, daß Dienst- und Fachvorgesetzte Kenntnis von Daten erhalten, die unter dem Schutz der ärztlichen Schweigepflicht stehen, damit diese nicht gegenüber anderen Mitarbeitern schlechtergestellt werden. Die Krankenkassen haben dafür eigene Abteilungen geschaffen, die aus dem üblichen Dienstbetrieb ausgegliedert sind, damit keine innerbetrieblichen Konfliktfälle entstehen können. Das Landesversorgungsamt hat sich noch nicht in der Lage gesehen, entsprechend zu verfahren.

Umstrukturierung der bezirklichen Gesundheitsämter

Von dieser schon im vergangenen Berichtsjahr aktuellen Thematik (vgl. JB 1996, 4.4.2) ist auch dieses Jahr zu berichten. Die Senatsverwaltung für Gesundheit und Soziales hat nunmehr mit wünschenswerter Klarheit von den bezirklichen Gesundheitsämtern gefordert, daß ärztliche Aufgaben immer unter der Fachaufsicht des Amtsarztes stehen müssen, der als Leiter des Gesundheitsamtes letztlich die ärztliche Verantwortung für alle Tätigkeiten des Gesundheitsamtes im ärztlichen Bereich trägt. Gleichwohl verursacht die Umsetzung dieser Grundsatzposition in den Bezirksämtern noch immer Schwierigkeiten, da nicht mit hinreichender Deutlichkeit zwischen der ärztlichen fachlichen Verantwortung des Amtsarztes und der Kooperation zwischen Gesundheitsamt und Sozialamt oder Jugendamt unterschieden wird.