Irgendwie – irgendwo – irgendwann. Zur Gestaltung mobiler Arbeit.

Quelle: GPA-djp

Podiumsdiskussion und Vorstellung der neuen Arbeit&Technik-Broschüre

am 13.11.2018 ab 18:30 Uhr in der ÖGB-Fachbuchhandlung!

Berufliche Mobilität – „working anytime, anywhere“ – wird für immer mehr Beschäftigte, darunter viele junge Berufstätige und BerufseinsteigerInnen, zur selbstverständlichen Jobanforderung. „Mobile Arbeit“ wird oft auf das Arbeiten daheim reduziert. In der heutigen Ausprägung zeichnet sich mobile Arbeit jedoch dadurch aus, dass der Arbeitsort mobil geworden ist oder außerhalb klar abgegrenzter Arbeitszeiten gearbeitet wird. Dank mobiler Endgeräte wie Laptop und Smartphone kann man sich seine Arbeit in die Tasche stecken und fast überall – im Café, im Zug, im Hotel oder an sonstigen Orten – arbeiten.

Diese neuen, von Zeit und Raum losgelösten Formen der Leistungserbringung führen allerdings auch zu neuen Herausforderungen in der Arbeitswelt, insbesondere in der Tätigkeit von Betriebsräten, und der Gesellschaft im Gesamten. Wichtige Schlagworte in diesem Zusammenhang sind jene der „Entgrenzung“ und der „Flexibilisierung“. Vielfach beinhaltet die Diskussion um mobiles Arbeiten Begriffe, die in ihrer inhaltlichen Bedeutung schwer von einander abgegrenzt werden können. Eine Diskussion über die zentralen sich stellenden Fragen ist jedoch dringend geboten: Wie sieht die jetzigen Arbeitsrealität mobil Arbeitender aus? Welche positiven Auswirkungen kann mobiles Arbeiten mit sich bringen? Und welche negativen Aspekte gibt es zu bedenken? Welche Rolle können und sollen BetriebsrätInnen in der modernen Arbeitswelt einnehmen?

Im Rahmen einer einleitenden Podiumsdiskussion sollen die angesprochenen Herausforderungen dargestellt und erörtert werden.

Zeit: 13.11.2018, 18:30 UHR

Ort: ÖGB-Fachbuchhandlung, RathausstraSSe 21

Es diskutieren:

Univ.-Prof. Dr. Jörg Flecker, Institut für Soziologie – Universität Wien

Mag.a Andrea Komar, Leiterin der Bundesrechtsabteilung der GPA-djp

Verena Spitz, stv. Zentralbetriebsratsvorsitzende BAWAG PSK und Vorsitzende des Beirats für Arbeit und Technik (BAT) der GPA-djp

Anschließend wird die neue Broschüre der GPA-djp vorgestellt, zum Abschluss der Veranstaltung gibt es die Gelegenheit, bei erfrischenden Getränken weiter zu diskutieren und sich mit den AutorInnen der Broschüre auszutauschen.

Um Anmeldung unter Arbeitundtechnik@gpa-djp.at wird gebeten!

 

Die EU-Urheberrechtsreform

Quelle: Bilderbox

Was Uploadfilter und Linksteuer mit dem freien Internet zu tun haben

Untätigkeit kann man den EU-Institutionen im Hinblick auf datenschutzrelevante Themen wirklich nicht vorwerfen: Erst Anfang September stimmte das EU-Parlament für ein neues europäisches Urheberrecht, durch welches das Internet nachhaltig verändert werden könnte.

Worum geht es?

Schon seit längerem wird auf EU-Ebene eine neue Richtlinie zur Reform des Urheberrechts für Internetinhalte verhandelt. Schon in der Vergangenheit war ein Entwurf der Kommission vom Parlament abgelehnt worden. Am 12. September wurde schließlich ein neuer Anlauf unternehmen – und der Entwurf tatsächlich vom EU-Parlament angenommen.

Inhaltlich umstritten waren im Vorfeld insbesondere die im Entwurf enthaltenen „Uploadfilter“ und die „Linksteuer“. Bei den Regelungen zu „Uploadfiltern“ geht es wesentlich darum, dass Internetplattformen, die hauptsächlich von jenen Inhalten leben, die von den NutzerInnen zur Verfügung gestellt werden, also etwa Youtube oder Facebook, diese Inhalte künftig auf mögliche Urheberrechtsverletzungen überprüfen müssen. Aufgrund der riesigen Datenmengen, die auf derartige Plattformen hochgeladen werden, können Überprüfungen in sinnvoller Weise jedoch nur maschinell erfolgen – eben mittels bestimmter „Filter“, die die hochgeladenen Inhalte scannen und gegebenenfalls sperren. Schon bisher werden solche Filter auf vielen Plattformen eingesetzt, sind jedoch immer wieder auch Ziel von Kritik. So scheinen die Filter nicht immer treffsicher zu sein und zum Teil auch Inhalte zu blocken, die gar nicht gegen Rechte verstoßen. Befürchtet wird, dass die eingesetzten Filter auch künftig etwa Satire oder bloße Zitate nicht als solche erkennen würden. Auch Plattformen, die Informationen frei zugänglich machen, etwa die Online-Enzyklopädie Wikipedia, könnten von den geplanten rechtlichen Rahmenbedingungen betroffen sein.

Mit der „Linksteuer“ soll hingegen ein EU-weites Leistungsschutzrecht etabliert werden. So soll künftig verhindert werden, dass Artikel im Internet ohne Zustimmung des/der RechteinhaberIn reproduziert werden. Diese Maßnahme richtet sich insbesondere gegen Dienste wie Google News, die systematisch die Inhalte unterschiedlicher Medienplattformen überblicksartig zusammenstellen. So sollen künftig nur noch einzelne Worte aus den entsprechenden Beiträgen in den Links wiedergegeben werden dürfen.

Lob und Kritik

In der öffentlichen Debatte gibt es bislang sehr unterschiedliche Stimmen zum Richtlinienentwurf. Unterstützt wird der Vorstoß insbesondere von Verlagen und traditionellen Medienunternehmen, die in Brüssel offenbar stark für die neuen Regelungen lobbyierten. Doch auch eine lange Liste bekannter MusikerInnen, auch aus Österreich, setzte sich für das neue Urheberrecht ein. Betont wurde dabei, dass auch Künstler und Kreative Anspruch auf den Schutz ihrer Rechte hätten – auch im Internet.

Der deutsche CDU-Politiker und Abgeordnete zum Europäischen Parlament Axel Voss gilt als prominenter Fürsprecher neuer urheberrechtlicher Regelungen in Bezug auf Internetinhalte und trat im Zusammenhang mit dem erneuerten Entwurf der EU-Kommission für eine EU-Urheberrechts-Richtlinie als Berichterstatter auf. Voss freute sich über den Beschluss des Parlaments, konnte anschließend jedoch zunächst gar nicht genau sagen, welche inhaltlichen Punkte nun beschlossen worden waren – bei hunderten Abänderungsanträgen jedoch kaum verwunderlich.

Datenschutz-NGOs wiederum kritisieren die gesetzgeberischen Pläne vehement und sehen die Grundlagen des freien Internets in Gefahr. So könnten die vorgesehen Uploadfilter zur Durchsetzung von Zensurmaßnahmen dienen und die Meinungsfreiheit im Internet einschränken. Die NGO epicenter.works spricht gar von einer „katastrophalen Weichenstellung“ und sieht die geplanten Regelungen als nicht mit den Grundrechten vereinbar an. Die Regelungen würden hauptsächlich die Interessen großer Internetkonzerne wie Google stärken, die ihre Marktmacht künftig noch intensiver ausspielen könnten. Stattdessen wird eine „ausgewogene Lösung“ gefordert, die sowohl auf die Bedürfnisse von KünstlerInnen und RechteinhaberInnen Rücksicht nimmt, als auch das Internet als offene Plattform erhält.

Wie geht es nun weiter?

Der nun erfolgte Beschluss des EU-Parlaments bedeutet lediglich, dass nun der sogenannte „Trilog“ startet. Parlament, Kommission und Rat verhandeln also zu dritt über die Inhalte der neuen Richtlinie, bevor der gesamte Text nochmals dem EU-Parlament zur Abstimmung vorgelegt wird. Bis das neue EU-Urheberrecht wirklich in Kraft tritt, kann es also noch dauern.

Another brick in the wall: Die E-Privacy-VO

Quelle: Bilderbox

Nach dem Inkrafttreten der DSGVO am 25.5.2018 steht bereits das nächste datenschutzrechtliche Großprojekt der EU auf dem Programm: Die E-Privacy-Verordnung.

Die E-Privacy-VO sollte ursprünglich gemeinsam mit der DSGVO in Kraft treten – dazu kam es jedoch nicht, sie steckt nach wie vor im Gesetzgebungsverfahren fest. Während des österreichischen EU-Ratsvorsitzes im zweiten Halbjahr 2018 gewinnt das Thema nun wieder an Brisanz.

Die ursprünglichen Pläne der EU-Kommission

Ursprünglich legte die EU-Kommission bereits im Jänner 2017 einen Verordnungsentwurf vor. Dessen Ziele: ein wirksamerer und besserer Schutz der Privatsphäre und der verarbeiteten personenbezogenen Daten im Zusammenhang mit der elektronischen Kommunikation. Nach Auffassung der Kommission ist ein „wirksamer Schutz der Vertraulichkeit der Kommunikation unverzichtbar für die Ausübung der Rechte auf freie Meinungsäußerung und Informationsfreiheit sowie andere damit verbundene Rechte wie derjenigen auf Schutz personenbezogener Daten oder auf Gedanken-, Gewissens- und Religionsfreiheit.“ Die E-Privacy-VO sollte somit die Bestimmungen der mittlerweile in Kraft getretenen DSGVO ergänzen.

Die wesentlichen Regelungsinhalte

Als einen zentralen Punkt legt der Verordnungsentwurf fest, dass die Endgeräte (also etwa Computer oder Smartphone) von InternetnutzerInnen und alle Informationen, die mit diesen Geräten in Verbindung stehen, Teil der Privatsphäre der NutzerInnen sind. Bisher ist es üblich, das Nutzungsverhalten im Internet oder diverse andere Umstände (bis hin zur Größe des Bildschirms, von dem aus gesurft wird), mittels als „Cookies“ bezeichneter Programme nachzuvollziehen und zu überwachen. In dieselbe Richtung geht das „Tracking“ der im Internet surfenden Personen – es wird also erhoben, welche Websites zuvor und welche anschließend aufgerufen werden. Aus der Zusammenschau der so erhobenen Daten lassen sich detaillierte NutzerInnenprofile erstellen. Dafür soll, geht es nach der Kommission, künftig eine Einwilligung der NutzerInnen erforderlich sein. Gemäß dem Grundsatz „Datenschutz durch Technikgestaltung“, der datenschutzfreundliche Grundeinstellungen vorschreibt, müssen derartige Programme, die das Nachvollziehen von Nutzungsverhalten möglich machen, also grundsätzlich deaktiviert sein.

Auch im Bereich der elektronischen Kommunikation, etwa in Bezug auf Dienste wie Whatsapp oder andere Online-Messenger und Telefonieanbieter wie Skype, soll es zu Veränderungen kommen. Daten, die im Zusammenhang mit Online-Kommunikation stehen, auch sogenannte „Meta-Daten“ über die Umstände der Kommunikation, sollen grundsätzlich nur mit Zustimmung der NutzerInnen oder unter ganz bestimmten, eng gefassten Bedingungen verarbeitet werden dürfen, um die Privatsphäre der kommunizierenden Personen effektiv zu schützen. Ein Abgreifen von Daten, die auf den Endgeräten gespeichert sind bzw. ein „Abhören“ oder Erfassen des Inhalts und der Umstände der Unterhaltung wäre somit unzulässig.

Widerstand und Kritik

Gegen die geplante Verordnung laufen insbesondere VerlegerInnen und VertreterInnen der Werbewirtschaft Sturm. Sie befürchten, künftig nicht mehr so zielgerichtet wie bisher im Internet werben zu können und daher Einnahmen zu verlieren. Das ist wohl auch der Grund, warum in Brüssel seit Monaten aggressives Lobbying für abgeschwächte Formulierungen in der Verordnung und von der Werbeindustrie ein „Spiel auf Zeit“ betrieben wird. Dieses wiederum wird von Datenschutz-NGOs wie epicenter works massiv kritisiert. Zwar habe die DSGVO erste Rahmenbedingungen für die Datenverarbeitung geschaffen, die E-Privacy-VO sei jedoch ein weiterer wichtiger Baustein auf dem Weg zu umfassender Privatsphäre im Internet.

Was die österreichische Regierung jetzt tun könnte (und was sie wirklich tut)

Angesichts des stockenden Gesetzgebungsprozesses auf EU-Ebene kommt Österreich während seiner EU-Ratspräsidentschaft nun eine bedeutende Rolle zu. So könnten durch kluge Vermittlung Österreichs Verhandlungsprozesse wieder in Gang und die E-Privacy-VO auf den Weg gebracht werden. Bisher zeichnet sich die österreichische Bundesregierung, im Gleichklang mit großen EU-Staaten wie Deutschland und Frankreich, jedoch nicht durch besonders datenschutzfreundliches Verhalten aus, sondern scheint neben einer Reihe von innerstaatlichen Maßnahmen, wie etwa der mit 1.9.2018 in Kraft tretenden Ausweitung der Höchstarbeitszeitgrenzen, auch in puncto Datenschutz die Wünsche der Industrie erfüllen zu wollen. So wurde erst jüngst vorgeschlagen, die Bestimmungen zum „Datenschutz durch Technikgestaltung“ komplett zu streichen.

Ausblick

Angesichts der umfangreichen Konflikte, die rund um das Thema Datenschutz ausgefochten werden, ist wohl kaum mit einer raschen Beschlussfassung zu rechnen. Es bleibt an dieser Stelle wohl zu hoffen, dass sich die LobbyistInnen und VertreterInnen der großen Verlagshäuser und der Werbeindustrie nicht durchsetzen und ihre Blockadehaltung aufgeben müssen. Erst dann wäre der Weg frei für weitere datenschutzrechtliche Verbesserungen auf EU-Ebene, die angesichts des Grundrechts auf Privatsphäre dringend geboten sind.

Umsetzung der DSGVO in Betrieb und Betriebsrat

Quelle: Bilderbox

„Wie weit seid ihr mit der DSGVO?“

Die heurige BAT-Klausur  stand unter dem Motto „Willkommen, Datenschutz-Grundverordnung!“. Die BetriebsrätInnen und Mitglieder des BAT zogen Bilanz über den Stand der Umsetzung der DSGVO in ihren Betrieben und ihren Betriebsräten.

Die BetriebsrätInnen sollten sich dabei Gedanken über zwei Fragen machen. Zunächst sollten sie den Stand der Umsetzung der DSGVO innerhalb ihres Unternehmens und ihrer Betriebsratskörperschaft insgesamt einschätzen. In der Folge Sollten sie konkrete Umsetzungsschritte bewerten und analysieren, ob diese bereits erfolgt oder noch ausständig sind.  Es zeigte sich insgesamt ein differenziertes Bild. In einigen Betrieben stecken die datenschutzrechtlichen Angelegenheiten in den „Kinderschuhen“, einige habe die ersten Schritte bereits gewagt und wieder andere zählen sich zu den „Frontrunnern“, die schon seit Jahren an einer Umstellung ihrer Datenschutz-Praxis arbeiten.

Verschiedenes wurde in Sachen DSGVO in Angriff genommen…

Konkrete Umsetzungsschritte wurden in vielen Unternehmen, wo BAT-Mitglieder arbeiten, von ArbeitgeberIn und Betriebsrat bereits erfüllt. So ist beispielsweise bereits in den allermeisten Betrieben einE DatenschutzbeauftragteR bestellt worden. Verarbeitungsverzeichnisse sind in beinahe jedem Unternehmen fertig und vollständig. Damit sind zwei wichtige Neuerungen der DSGVO bereits in den meisten Fällen umgesetzt .

…und was kann der Betriebsrat – gemeinsam mit dem/der ArbeitgeberIn – machen?

In vielen Betrieben wurden – je nach Arbeitsaufgabe gestaltete – Schulungen für die KollegInnen abgehalten, wie mit personenbezogenen Daten umzugehen ist. In vielen Unternehmen hatte man sich bislang wenig Gedanken zu Datenlöschung gemacht. Also wurden Löschkonzepte wurde entweder überarbeitet oder neu eingeführt. Datenweitergaben an Dritte, aber auch innerhalb des Unternehmens, wurden überprüft, ob sie im Sinne der DSGVO stattfinden; das heißt Daten dürfen nur weitergegeben werden, wenn das zweckgebunden, sparsam und mit Information der Betroffenen geschieht. Ebenso ein breites Thema in der Umsetzung waren die Zustimmungen der Beschäftigten zu Datenanwendungen. Viele Arbeitgeber verlangen nun – eher unnötiger Weise – eigene Zustimmungs- und Geheimhaltungserklärungen von den Beschäftigten, um sich abzusichern. Betriebsräte haben diese Vorgehensweise hinterfragt.

Kleine Betriebsratskörperschaften sind mit ihren betriebsrätlichen Datenanwendungen mitunter in die Verarbeitungsverzeichnisse des/der ArbeitgeberIn mit einbezogen. In den meisten Betriebsräten wurde ein konkretes Datenschutz-Prozedere entwickelt und Verantwortliche definiert, die die Einhaltung des Datenschutzrechts im Betriebsratsbüro sicherstellen sollen. Es wurden die Beschäftigten im Intranet/ per Email/ auf einem geschützten Bereich der Homepage über die innerbetrieblichen datenschutzrechtlichen Regelungen informiert und aufgeklärt. Die Berechtigungskonzepte für Datenzugriffe wurden in vielen Betrieben überarbeitet; also die Frage gestellt: wer hat wo und unter welchen Umständen Zugang zu personenbezogenen Daten der MitarbeiterInnen und ist das zweckmäßig? Und last – but not least – wurden bestehende Betriebsvereinbarungen daraufhin überprüft, ob sie mit der DSGVO übereinstimmen und in vielen Fällen adaptiert.

Nicht alle Schritte sind schon abgeschlossen, nicht alle Schritte sind für alle Betriebe relevant und passend, aber es existieren jedenfalls konkrete Lern-Schritte in Richtung eines gelebten Beschäftigtendatenschutzes. BetriebsrätInnen beschäftigen sich also intensiv mit der Umsetzung der Bestimmungen der DSGVO und befinden sich auf einem guten Weg – wir werden sie dabei weiterhin begleiten.

Was sie schon immer über die DSGVO wissen wollten

Toni Hegewald/pixelio.de

häufig gestellte Fragen zum Beschäftigten-Datenschutz

und die Antworten darauf

Seit 25.5.2018 ist die Europäische Datenschutzgrundverordnung in Kraft und gilt in der gesamten Europäischen Union. Dadurch erhält das Thema Beschäftigtendatenschutz großen Auftrieb. Der Umgang mit den personenbezogenen Daten von Beschäftigten (z.B. Personalakte, Vordienstzeiten, Heiratsurkunden, Gehalt, Fotos, etc.) wirft Fragen auf.

Wir haben die häufigsten Fragen, die bei unserer Beratungstätigkeit in den letzten Monaten gestellt wurden, für euch zusammengefasst.

Was bedeutet Beschäftigtendatenschutz?

Die DSGVO bestimmt erstmals, dass es überhaupt einen eigenen Beschäftigtendatenschutz gibt – bislang hatte nur Deutschland einen solchen rechtlich vorgesehen. Der Artikel 88 zur „Datenverarbeitung im Beschäftigungskontext“ stellt nun klar, dass es einen Unterschied macht, ob personenbezogene Daten im Arbeitsverhältnis oder in anderen Angelegenheiten (z.B. als KonsumentIn oder StaatsbürgerIn, etc.) verarbeitet werden. Im Artikel 88 der DSGVO ist nun festgehalten, dass es auf gesetzlicher wie auch auf kollektivvertraglicher oder betrieblicher Ebene möglich ist, eigene Regelungen bezüglich der Beschäftigtendaten festzulegen. Die Themen, die sozialpartnerschaftlich geregelt werden können, umfassen: Regelung zur Einstellung oder Beendigung des Arbeitsverhältnisses, zur Erfüllung des Arbeitsvertrages, Gesundheit und Sicherheit am Arbeitsplatz und vieles mehr.

Was sind „sensible Daten“ (die nun in der DSGVO „besondere Kategorien personenbezogener Daten“ genannt werden), die besonders zu schützen sind?

Die „besonderen Kategorien personenbezogener Daten“ sind Daten über eine Person, die sehr heikel sind – vor allem, weil sie schnell zu Diskriminierung führen können. Besondere Kategorien sind: politische Meinung, Gewerkschaftszugehörigkeit, ethnische oder rassische Herkunft, Gesundheitsdaten, sexuelle Orientierung, biometrische und genetische Daten sowie religiöse oder weltanschauliche Überzeugungen.

Im Allgemeinen ist es laut DSGVO verboten, diese Daten zu verwenden – außer unter besonders geschützten Umständen oder, weil ein Gesetz es vorschreibt. Diese Daten können nur dann verwendet werden, wenn die betroffene Person ausdrücklich und ohne Zwang eingewilligt hat, oder eine gesetzliche Vorschrift es verlangt (z.B. Arbeits- und Sozialversicherungsrecht), oder aufgrund der öffentlichen Gesundheitsvorsorge. Dazu gehören auch die notwendigen arbeitsmedizinischen Daten.

Was ist das Grundrecht auf Datenschutz?

Das Recht auf Schutz der personenbezogenen Daten zählt zu den Grundrechten, so wie zum Beispiel auch das Recht auf die freie Meinungsäußerung, oder das Recht auf Erwerbsfreiheit, oder das Verbot von Sklaverei und Folter. Durch die Grundrechte haben die Bürgerinnen und Bürger einen besonderen Schutz vor staatlichem und privatem Zugriff. Durch das Grundrecht auf Datenschutz sollen die Menschen selbst bestimmen können, welche Informationen über ihre Person an wen weitergeben werden.

Was sind eigentlich die Ziele der DSGVO?

Mit der DSGVO sollte die alte EU-Richtlinie zum Datenschutz von 1995 aktualisiert werden. In der DSGVO sollen die individuellen Grundrechte der Menschen gewahrt werden und zugleich soll die DSGVO den freien Datentransfer für Unternehmen innerhalb der EU sicherstellen. Man kann sich vorstellen, dass das ein breites Spektrum an Anliegen und Interessen umfasst und daher ein ziemlicher „Spagat“ gemacht werden musste.

Was bedeutet das „Marktortprinzip“?

Dieses legt fest, dass jede Geschäftstätigkeit auf dem Territorium der EU der DSVGO unterliegt. Dies hat zur Folge, dass auch nicht in der EU ansässige AnbieterInnen von Apps oder digitalen Dienstleistungen sich an die DSVGO halten müssen. Daher müssen Nicht-EU Unternehmen, die in der EU tätig sind, eine/n VertreterIn benennen, der/die AnsprechpartnerIn für die nationale Datenschutzbehörde ist. Die neue DSGVO ist an das EU-weite Wettbewerbsrecht angelehnt und es gilt daher das Marktortprinzip.

Was sind die Grundprinzipien der DSVGO?

Jede Datenverwendung muss einen rechtmäßigen Zweck verfolgen. Die Zweckbindung der personenbezogenen Daten ergibt sich aufgrund gesetzlicher, kollektivvertraglicher oder privatrechtlicher Vorschriften bzw. Verträge (Rechtmäßigkeit). Schreibt zum Beispiel der Kollektivvertrag ein Jubiläumsgeld vor, so muss dem BR das Eintrittsdatum, den Namen und das Monatsgehalt des betroffenen Kollegen/der betroffenen Kollegin bekannt sein, weil sonst eine Auszahlungskontrolle für den BR nicht möglich wäre.

Dabei ist zu beachten, dass ausschließlich für den Zweck notwendige personenbezogene Daten verwendet werden (Sparsamkeitsprinzip). Bezogen auf das Jubiläumsgeld wird der BR wie oben angeführt den Namen, das Eintrittsdatum sowie das Monatsgehalt der betroffenen Person wissen müssen.

Erlischt der Zweck für den die notwendigen personenbezogenen Daten benötigt wurden, so sind die Daten ebenfalls zu löschen (Datenminimierung), außer man muss sie aus gesetzlichen Vorschriften noch aufbewahren (z.B. Steuerrecht). Damit der BR überprüfen kann, ob der AN das jeweilige zustehende Jubiläumsgeld erhalten hat, wird er die dafür notwendigen Daten solange aufbewahren müssen, bis der Anspruch auf Jubiläumsgeld erloschen ist. Verlangt der AN Auskunft, über welche und zu welchem Zweck seine Daten verwendet werden, so muss nun auch die vorgesehene Speicherdauer angegeben werden (Transparenz). Dabei ist immer auf die Richtigkeit der verwendeten Daten zu achten.

Auch muss der Verantwortliche (= meist der/die ArbeitgeberIn) nachweisen können, dass sämtliche Grundsätze bei der Datenverwendung eingehalten werden (Rechenschaftspflicht).

Müssen ArbeitnehmerInnen ihnen von dem/der ArbeitgeberIn vorgelegte „Datenschutz- und Geheimhaltungserklärungen“ unterschreiben?

NEIN. Dies ist datenschutzrechtlich nicht erforderlich. Die hier geforderte Geheimhaltung und Einhaltung des Datenschutzes ergibt sich ohnehin aus dem Arbeitsverhältnis und der Loyalität, die ArbeitnehmerInnen den ArbeitgeberInnen schulden.

Beschäftigte werden häufig mit „Datenschutzerklärungen“ (§ 6 DSG 2018) konfrontiert, die Konventionalstrafen bei Nichteinhaltung des Datenschutzes androhen. Das zu unterschreiben führt zu einer Änderung des Einzelvertrages. Dieser Passus sollte also jedenfalls gestrichen werden. Im Zweifelsfall bei uns in der GPA-djp beraten lassen.

Einer Unterschrift im Sinne von „ich habe die Belehrung gelesen und halte personenbezogene Daten aus dem Arbeitsverhältnis geheim“ steht nichts im Wege. Das ist dann eine allgemeine Kenntnisnahme von Geheimhaltungsverpflichtungen, die ohnehin aus der Loyalitätspflicht im Arbeitsverhältnis entsteht. Auch die Zustimmung zu einer Datenweitergabe an den/die ArbeitgeberIn betreffend personenbezogener Daten, die zur Abwicklung des Dienstverhältnisses erforderlich sind, ist wohl nicht problematisch.

Müssen alle bestehenden Betriebsvereinbarungen zu Datenverarbeitungs- oder Kontrollsystemen neu geschrieben werden?

Nein, sie müssen nur der neuen DSGVO angepasst werden. Hier ist vor allem darauf zu achten, dass die Verweise auf gesetzliche Vorschriften noch richtig sind. Wenn beispielsweise in einer BV bereits von einem/r betrieblichen Datenschutzbeauftragte/n die Rede war, muss diese Regelung jetzt überprüft werden, ob nicht in der DSGVO vielleicht etwas Anderes steht. Auch allfällige Verweise auf den Gesetzestext des alten Österreichischen Datenschutzgesetzes (DSG 2000) müssen dem neuen Datenschutzgesetz 2018 angepasst werden. Die Verpflichtungen Betriebsvereinbarungen gemäß Arbeitsverfassungsgesetz §§ 96-97 abzuschließen, bleiben wie sie sind.

Was hat es mit der Datenschutz-Folgenabschätzung auf sich?

Diese muss erfolgen, wenn aus der Datenverwendung durch den Verantwortlichen ein großes Risiko für Eingriffe in die Grundfreiheiten der Betroffenen entsteht, wie z.B. beim permanenten GPS-Tracking oder der Videoüberwachung der ArbeitnehmerInnen. Ebenfalls notwendig ist eine solche Folgenabschätzung bei der systematischen und umfassenden Bewertung persönlicher Aspekte von Personen (z.B. profiling), oder der Verwendung von besonderer Datenkategorien.

Welche Mitspracherechte hat der Betriebsrat bei der Folgenabschätzung?

Grundsätzlich hat der/die ArbeitgeberIn die Pflicht im Sinne des § 91 Abs 2 ArbVG den Betriebsrat zu informieren, welche Arten von personenbezogene ArbeitnehmerInnendaten er aufzeichnet und welche Verarbeitungen und Übermittlungen er vorsieht. Auf Verlangen des Betriebsrates kann dieser die Grundlagen der Verarbeitung und Übermittlung der Daten überprüfen. Daher muss bei einer Folgenabschätzung der Betriebsrat von Anfang an informiert und einbezogen werden.

Außerdem steht in der DSGVO, dass bei der Folgenabschätzung „der Standpunkt der Betroffenen oder ihrer Vertreter“ einzuholen ist. Also muss wohl auch der Betriebsrat mit an Bord genommen werden.

Was ist neu bei Datentransfer in Drittstaaten und welche Rechte hat der Betriebsrat/ die Betriebsrätin?

Da für alle Mitgliedsstaaten der EU die DSGVO, so wie sie ist, anzuwenden ist (sie muss also nur in bestimmten Angelegenheiten noch zusätzlich in nationalstaatliches Recht umgesetzt werden, wie z.B. bei Datenverarbeitung im Beschäftigungskontext, den Aufgaben der Datenschutzbehörden oder der Bestellung von betrieblichen Datenschutzbeauftragten), haben alle EU-Mitgliedsstaaten das gleiche Datenschutzniveau und bedarf es keiner zusätzlichen besonderen Regelungen für Datentransfer innerhalb der EU.

Bei Datentransfer außerhalb der EU müssen zusätzlich rechtliche Maßnahmen getroffen werden, denn Drittstaaten müssen erst „beweisen“, dass personenbezogene Daten bei ihnen genauso gut geschützt sind, wie innerhalb der EU.

Die DSGVO enthält einige rechtliche Möglichkeiten. Manche davon gibt es schon länger (z.B. Standardvertragsklauseln oder einen Angemessenheitsbeschluss, wie er für alle Länder des EWR-Raumes sowie Israel, Chile gegeben ist) andere sind neu hinzugekommen (z.B. Zertifizierungen). Für Datentransfer in die USA können sich dort ansässige Unternehmen dem so genannten „Privacy Shield“ unterwerfen (Auf der Seite des US-amerikanischen Handelsministeriums https://www.privacyshield.gov/list kann man diese Firmen aufgelistet finden).

Alle diese Transfermöglichkeiten in Dritt-Staaten folgen aber strengen Auflagen und müssen von der nationalen Datenschutzbehörde oder dem Europäischen Datenschutzausschuss genehmigt worden sein.

Bei den Mitspracherechten des Betriebsrates in diesem Fall sei auch hier auf die Informationsrechte gemäß § 91 Abs 2 ArbVG verwiesen. Zusätzlich kann der Betriebsrat, wenn durch den Datentransfer personenbezogene Daten oder besondere Kategorien personenbezogener Daten von ArbeitnehmerInnen betroffen sind, den Abschluss einer Betriebsvereinbarung im Sinne des § 96a ArbVG verlangen. Solange eine solche Betriebsvereinbarung nicht abgeschlossen ist, können die Daten nicht transferiert werden (außer die Schlichtungsstelle des Arbeits- und Sozialgerichts hat nach deren Anrufung durch den Arbeitgeber/ die Arbeitgeberin ihre Zustimmung erteilt).

Was muss beachtet werden bei der Nutzung von Firmen eigenen Handys und Computern?

Die Geschäftsführung kann einseitig Regeln zum allgemeinen Datenschutz im Betrieb festlegen. (Wenn die Datenschutzbehörde diese genehmigt, können sie auch als Grundlage für Datentransfer in Dritt-Staaten dienen.) Diese Datenschutzvorschriften können auch Regelungen bezüglich der privaten Nutzung von Handys und Laptops beinhalten. Trotzdem muss mit dem Betriebsrat eine Betriebsvereinbarung (BV) über die Nutzung von Diensthandys und Laptops abgeschlossen werden (§ 96a ArbVG) . Es ist ratsam auch die private Nutzung der IKT-Geräte in einer BV zu regeln. Es sollte klar vereinbart sein, welche Social Media oder Apps verwendet werden dürfen und welche Einsichtsrechte seitens des Unternehmens bestehen. Die GPA-djp bietet Muster-Vereinbarungen und Beratung durch den/die betriebsbetreuende/n Regionalsekretär/in auch zu diesem Thema an.

Welche Mitspracherechte hat der Betriebsrat bei Branchen- oder konzernweiten Verhaltensrichtlinien?

Konzerne oder ganze Branchen können sich auf einheitliche Datenvorschriften einigen und von der nationalen Datenschutzbehörde genehmigen lassen. Solche Vorschriften sind dann auch Rechtsgrundlage für Datentransfers in Nicht-EU-Länder, wenn also zum Beispiel Daten von MitarbeiterInnen an die Konzernzentrale in Florida oder in der Ukraine geschickt werden. Diese Vereinbarungen müssten natürlich die Grundprinzipien der DSGVO beinhalten (z.B. Zweckbindung, Speicherfristen, datenschutzfreundliche Technikgestaltung). Die DSGVO selbst sieht explizit keine speziellen Mitbestimmungsrechte des Betriebsrates vor.

Allerdings ist auch hier auf die Informations- und Mitbestimmungsrechte zu verweisen sobald personenbezogene Daten von ArbeitnehmerInnen betroffen sind (§§ 89, 90, 91, 92, 96 und 96a ArbVG) . Also jeder einzelne Betrieb hat seinen Betriebsrat über Weitergabe personenbezogener ArbeitnehmerInnen-Daten in Drittländer im Vorhinein zu informieren (§ 91 ArbVG). Auf Verlangen des Betriebsrates sind entsprechende Beratungsgespräche zu führen und die Prüfung der Grundlagen für die Übermittlung und Verarbeitung zu ermöglichen (§§ 91, 92 ArbVG). Dabei muss festgestellt werden, ob Betriebsvereinbarungen abzuschließen sind (§§ 96 und 96a ArbVG).

Wann muss ein/e betriebliche/r Datenschutzbeauftragte/r eingeführt werden?

Wenn die Kerntätigkeit eine umfangreiche, regelmäßige und systematische Datenverarbeitung ist (z.B. Verkehrsüberwachung mit Kameras) bzw. wenn besondere Kategorie von personenbezogenen Daten verarbeitet werden (z.B. Gesundheitsdaten). Behörden haben immer einen zu bestellen. Viele Unternehmen  – vor allem international tätige – entscheiden sich im Zweifelsfall für die Ernennung eines/einer Datenschutzbeauftragten, da sie sich damit besser absichern können.

Was ist die Aufgabe des/ der betrieblichen Datenschutzbeauftragten?

Aufgabe des/der Datenschutzbeauftragten ist die Kontrolle der Einhaltung des DSGVO, Beratung des Managements, die Schulung und Information der ArbeitnehmerInnen, KundInnen und GeschäftspartnerInnen. Er/Sie ist Schnittstelle und AnsprechpartnerIn für die Datenschutzbehörde.

Kann der/ die betriebliche Datenschutzbeauftragte auch gleichzeitig der/ die IT-Sicherheitsbeauftragte eines Betriebes sein?

Grundsätzlich ja, im Gesetz ist das nicht verboten. Doch erscheint es wenig sinnvoll, da MitarbeiterInnen der IT in erster Linie für die Daten- und Netzsicherheit zuständig sind. So könnten in manchen Bereichen durchaus Interessenskonflikte entstehen.

Haftet der/ die Datenschutzbeauftragte falls Bußgelder verhängt werden?

Nein, da sie oder er nur berät, kontrolliert und schult, aber nicht entscheidet wie mit personenbezogene Daten umgegangen wird. Der/die betriebliche Datenschutzbeauftragte kann nicht bestimmen, wie das Unternehmen mit personenbezogenen Daten umgeht, nur beraten, schulen, und Ähnliches. Daher haftet er/sie auch nicht – außer er/sie missachtet seine/ihre Befugnisse, überschreitet sie, verletzt selbst Datenschutzbestimmungen, oder verhält sich sonst wie strafbar.

Gilt die DSGVO auch bei Akten in Papierform oder bei einzelnen Blättern im Hängeordner?

Ja, auch die „nichtautomatisierte Verarbeitung personenbezogener Daten in einem Dateisystem“ (z.B. ein Personalverwaltungsakt) unterliegt der DSGVO (vgl. Art 2 Abs 1). Also müssen auch analog aufbewahrte Daten gemäß den Vorgaben der DSGVO behandelt werden. Der Ordner mit der Aufschrift „Diverses“, in dem seit Jahren unsortiert Telefonnotizen landen, der Ordner „Privat“ oder die lose Sammlung von Visitenkarten zählen allerdings nicht dazu, weil sie nicht systematisch geordnet sind.

Müssen sich auch Betriebe, die gar nicht aus der EU sind, an die DSGVO halten?

Ja, wenn sie hier Waren oder Dienstleistungen anbieten. Selbst wenn sie „nur“ Daten sammeln oder „nur“ das Verhalten von Menschen in der EU beobachten, müssen sie die Grundprinzipien einhalten und die Grundrechte der Menschen wahren, egal ob sie im EU-Raum über eine reale Niederlassung verfügen oder nicht (siehe Art 3 und EG 22-25). Dieses neue Prinzip ist auch unter dem Titel „Marktortprinzip“ bekannt.

Gibt es in der DSGVO ein Privileg für Konzerne, damit diese Datentransfers einfacher durchführen können?

JEIN, es wurden mit der DSGVO mehrere Möglichkeiten innerhalb des Konzerns geschaffen, die den internationalen Datentransfer erleichtern sollen. Es gibt aber keine generelle „Freigabe“ für Konzerne, damit diese die personenbezogenen Daten der ArbeitnehmerInnen ohne Schranken durch die „Weltgeschichte“ schicken dürfen.

Wie ist das mit Datenverarbeitungen im Betriebsratsbüro?

Wer jetzt neugierig geworden ist und Betriebsrat oder Betriebsrätin ist und sich auf der Homepage der GPA-djp einloggt, kann zusätzlich Antworten zur Datenverarbeitung im Betriebsratsbüro bekommen.

Neue Datenschutzregeln in Kalifornien

Quelle: Bilderbox

Die DSGVO wird nun in anderen Teilen der Welt zum Vorbild genommen

In Europa herrschte in den letzten Wochen und Monaten große Aufregung über das Inkrafttreten der EU-Datenschutzgrundverordnung (EU-DSGVO), deren Entstehungsgeschichte unter anderem auf diesem Blog  intensiv begleitet wurde. So wurden Vorwürfe erhoben, die gesetzlichen Neuerungen, die die DSGVO mit sich brachte, würden große bürokratische Hürden insbesondere für kleine und mittelständische Unternehmen aufstellen.   die Vorteile für Einzelpersonen, die sich nun unmittelbar auf die Bestimmungen der Verordnung berufen und ihre Rechte in Bezug auf den Schutz ihrer personenbezogenen Daten besser durchsetzen können, oftmals weniger diskutiert.

Für stärkeren Datenschutz wurde kampagnisiert…

Inzwischen scheinen die Inhalte der DSGVO jedoch bereits über das Gebiet der Europäischen Union hinaus auszustrahlen. Die Verordnung wird in anderen Teilen der Welt geschätzt und zum Vorbild für ähnliche legislative Maßnahmen genommen. So konstituierte sich in den vergangenen Monaten im US-Bundesstaat Kalifornien eine BürgerInneninitiative und machte sich für ein strengeres Datenschutzrecht auf bundesstaatlicher Ebene stark. Der Auslöser für die Beschäftigung mit dem Thema Datenschutz war der Initiatorin zufolge ein privates Gespräch mit einem Google-Mitarbeiter. Dieser habe eingeräumt, die Menschen würden sich wohl stärker um ihre Privatsphäre sorgen, wenn ihnen bekannt wäre, was Google alles über sie weiß.

Gefordert wurde insbesondere ein Widerspruchsrecht zum Verkauf von NutzerInnendaten durch Technologieunternehmen wie Google oder Facebook an Dritte sowie eine Verantwortlichkeit jener Unternehmen für den Fall von data breaches. Zudem sollte NutzerInnen gegenüber offengelegt werden, welche ihrer Daten verarbeitet und an wen sie verkauft werden. Entsprechend ablehnend reagierten die zu einem Teil auch in Kalifornien ansässigen Technologiekonzerne und starteten unter hohem finanziellem Aufwand eine Gegenkampagne.

…und dieser letztlich auch umgesetzt.

Unter dem Druck der Initiative wurde im vergangenen Juni tatsächlich der California Consumer Privacy Act of 2018  beschlossen und soll mit 2020 in Kraft treten. Mit einer im Vergleich zu den Forderungen der Initiative nicht unwesentlichen Änderung: Unternehmen müssen bloß Auskunft darüber geben, an welche „Kategorie“ von Unternehmen NutzerInnendaten weiterverkauft werden, die EmpfängerInnen der Daten müssen jedoch nicht benannt werden.

Zumindest im Sinne der KonsumentInnen werden ab 2020 in Kalifornien also die Regeln über den Datenschutz gestärkt. Zwar werden die hohen Standards, die von der EU-DSGVO vorgegeben werden, nicht erreicht und insbesondere auch nicht dieselbe Fülle an individuellen Rechten gewährt. Immerhin wird künftig aber auch in Kalifornien für Unternehmen, die mit dem Verkauf von NutzerInnendaten Geschäfte machen, der Rechtfertigungsdruck steigen.

Auswertung von Krankenständen und Pflegefreistellungen

Quelle: Clara Fritsch (CC)

Betriebsrat verhindert Weitergabe von Krankenstands-Auswertungen

aus dem Alltag eines datenschützenden Betriebsrats

Interview mit einem Angestellten-Betriebsrat

Lieber Max Mustermann, bei euch im Betrieb war der Schutz von Gesundheitsdaten der Beschäftigten nicht ganz so, wie man sich das vorstellt. Was war da los?

Bei uns war schon lange das Gerücht am Laufen, dass unsere Krankenstände nicht nur administrativ erfasst werden, sondern auch Beschäftigte miteinander verglichen wurden. Mir kam als Betriebsrat zu Ohren, dass seit Jahren die Anzahl der Krankenstandstage, Kuren und Pflegefreistellungen der Mitarbeiterinnen und Mitarbeiter namentlich von der Personalabteilung ausgewertet werden und dann an die Abteilungsleiter weitergegeben. Da dachte ich mir: Das darf doch nicht sein. Das geht doch niemanden etwas an, warum oder wie lange ich in Krankenstand oder Pflegefreistellung gewesen bin.

Wie hast du davon konkret erfahren?

Das Gerücht über diese Weitergabe der Auswertungen gab es schon lange. Es dauerte jedoch einige Zeit, bis ich solch eine Liste zu Gesicht bekam. Die Beschäftigten wollten nicht einmal dem Betriebsrat davon etwas erzählen, weil sie dann befürchten „in die Auslage gestellt“ zu werden. Obwohl die Mitarbeiterinnen und Mitarbeiter im Recht sind, weil ja ihre Krankenstandsdaten so nicht ausgewertet werden dürften, möchten sie nicht selbst als „undichte Stelle“ gelten.

In welchem Umfang wurden denn diese Daten erfasst? War das nur in Einzelfällen, wenn man den Verdacht hatte, jemand „feiert krank“, oder war das häufiger der Fall?

Das war ganz regelmäßig. Die Listen wurden monatlich erstellt. Vielleicht ist es deshalb vielen auch „normal“ erschienen, weil das schon zur Routine dazu gehört hat. Da denkt man sich dann als Beschäftigter: „Das gehört so.“ Alle Direktoren und Abteilungsleiter erhielten für ihre Mitarbeiterinnen und Mitarbeiter diese Zusammenstellungen.

Du wolltest also dieses Vorgehen verhindern, zugleich aber niemanden persönlich mit hineinziehen.

Mir war wichtig, die Kolleginnen und Kollegen zu schützen, von denen ich die Informationen hatte. Ich wollte die Auswertungen stoppen aber auch verhindern, dass flächendeckend die Frage gestellt wird, wer denn den Betriebsrat informiert hat. Leider ist das bei uns gang und gebe, dass der Kontakt mit dem Betriebsrat nicht erwünscht ist und die Geschäftsführung das auch sehr deutlich zum Ausdruck bringt.

Mir war auch wichtig, die Personalabteilung nicht „vor den Vorhang zu stellen“.

Was hast du dann unternommen?

Ich bin zuerst einmal in die Personalabteilung und habe auf die Unzulässigkeit solcher Auswertungen hingewiesen. Da bekam ich von der Personalabteilung Antworten wie: „das ist ja nicht aussagekräftig“, „das haben wir schon lange so“, „die Statistik führt eh zu keinen Konsequenzen“, „der Abteilungsleiter muss das wissen, um planen zu können“ und Ähnliches.

Mein Ziel war es aber, diese Auswertungen zu stoppen!

Nach einigen Anläufen und Gesprächen mit der Personalabteilung ist es mir dann doch gelungen. Ich bin über ein halbes Jahr immer wieder zu Terminen in die Personalabteilung marschiert, habe mich aber schlussendlich durchgesetzt: Diese Auswertungen wurden eingestellt.

Was war denn das ausschlaggebende Argument? Womit hast du sie schlussendlich überzeugt?

Ich habe ihnen darlegen können, dass diese Auswertungen keine rechtliche Grundlage haben. Es gibt kein Recht des Managements, keine Verpflichtung der Direktoren, Gesundheitsdaten der Mitarbeiterinnen und Mitarbeiter auszuwerten. Warum jemand auf Kur geht, geht niemanden etwas an. Eine Planbarkeit ist für die Geschäftsführung auch gegeben, wenn sie nicht wissen, warum ich wo auf Kur bin. Das musste erst geklärt werden, dass solche Auswertungen nichts mit Fürsorgepflicht zu tun haben, sondern ungesetzlich sind.

Man kann sagen: Da hast du einen wirklich langen Atem gebraucht.

Das kann man wohl sagen.

Übrigens, die Auswertungen finden wirklich nicht mehr statt, wie mir Beobachter berichten.

Danke für das Interview

 

 

12-Stunden-Tag? NEIN Danke!

arbeiten bis zum Umfallen? Lieber nicht!

was die Regierung zur Arbeitszeit plant – und was die Gewerkschaft dagegen unternimmt

Möchten sie Magenschmerzen, Schlafstörungen, Alkoholprobleme und weniger selbst bestimmte Freizeit? Dann hat diese Regierung genau das richtige Paket für sie geschnürt. Es ist nämlich erwiesen, dass längere Arbeitstage massive Auswirkungen auf die Gesundheit haben.

Per Initiativantrag  – also ohne ausreichende Möglichkeit zur Stellungnahme geschweige denn vorherige Verhandlungen – sollen am 4.Juli 2018 im Parlament die täglichen Arbeitszeiten auf 12 Stunden, die wöchentlichen auf 60 Stunden erhöht und die Durchrechnungszeiträume auf den St. Nimmerleinstag verschoben werden. Und wer das Regierungsvorhaben bis zum Schluss weiter liest, sieht eine – datenschutzrechtlich nicht ganz unbedenkliche – Gesetzesänderung für die Krankenkassen: eine Analyse aller Versicherten soll „ungewöhnliche“ Krankenstände besser erkennen können – man könnte es auch „Spy-Software“ nennen.

Die Regierung sagt: 12 Stunden am Tag, 5 Tage die Woche, 9 Wochen am Stück; das ist modern.

Die Gewerkschaft stellt fest: Arbeitszeiten gehören verkürzt, nicht verlängert. In Notsituationen und mit Zustimmung des Betriebsrates ist ein 12-stündiger Arbeitstag auch jetzt schon möglich – aber mit entsprechendem Ausgleich. Das jetztige Vorhaben ist ein riesiger Rückschritt.

Die Regierung sagt: Das sind flexible Arbeitszeiten.

Die Gewerkschaft stellt fest: Flexibilität muss auf beiden Seiten bestehen und darf nicht zum Wunschkonzert für ArbeitgeberInnen werden. Die Möglichkeit zu Mehr- und Überstundenarbeit bestehen bereits jetzt – wenn der Kollektivvertrag es vorsieht bzw. die Arbeitsmediziner bestätigen, dass es unbedenklich ist. Damit sind längere Arbeitszeiten besser abgesichert als bei dem neuen Vorhaben.

Die Regierung sagt: Überstunden sind freiwillig.

Die Gewerkschaft hält fest: Das ist in dem neuen Vorhaben nicht wirklich festgehalten. Die ArbeitnehmerInnen müssten begründen, warum sie nicht länger bleiben wollen und der Arbeitgeber bestimmt, ob er den Grund akzeptiert oder nicht. Wer oft ablehnt, wird den Job wohl nicht lange behalten. Außerdem wird in Österreich schon jetzt mehr gearbeitet als in den meisten anderen EU-Ländern geleistet.

Die Regierung sagt: Überstunden werden weiterhin ausbezahlt.

Die Gewerkschaft stellt fest: Bei Gleitzeit werden die Überstundenzuschläge nicht mehr fällig.

Die Regierung sagt: Mit dem Risiko- und Auffälligkeitsanalyse-Tool können Missbräuche bei Krankenständen besser aufgedeckt werden.

Die Gewerkschaft hält fest: Damit steigt der Rechtfertigungsdruck, weil den Beschäftigten generell einmal unterstellt wird, dass sie „krank feiern“. Außerdem werden damit Gesundheitsdaten für Zwecke verwendet, für die sie nicht gesammelt wurden.

Es ist eindeutig: diese Vorlage ist ein Angriff auf die Geldbörsen, die Gesundheit und das Familienleben bzw. die Freizeit der Arbeitnehmerinnen und Arbeitnehmer.

Dagegen wird von Seiten der Gewerkschaft mobilisiert:

Am 25.6. findet um 16 Uhr im ÖGB eine Versammlung 

für alle Betriebsräte und Betriebsrätinnen Wiens zu der Attacke der Regierung auf die Arbeitszeit statt. In allen anderen Bundesländern finden zwischen 21. und 25.6. ebensolche Veranstaltungen statt. Welche Bundesländer sich wann und wo versammeln, steht hier.

Am 30.6. wird um 14 Uhr eine Demo am Westbahnhof

gegen den 12-Stunden-Tag statt finden. Zahlreiche Beschäftigte und BetriebsrätInnen haben schon angekündigt, dass sie da ihrer Empörung Ausdruck verleihen werden.

Der ÖGB richtet von Montag, 25.6. bis Freitag, 5.7., Mo-Fr von 9:00 bis 18:00 Uhr eine Hotline ein für alle Arbeitnehmerinnen und Arbeitnehmer, die sich zu dem Regierungsvorhaben informieren wollen: 0800 22 12 00 60.

Wer möchte, kann die Kampagne unterstützen, indem man die Email-Signatur ändert. Hier gibt es die Grafik dazu zum Download.

Auf einer eigenen Seite findet ihr alle Informationen und Materialen , Einschätzungen, Analysen, Demoaufruf, etc.

Eine Richtigstellung der Falschmeldungen betreffend der 4-Tage-Woche von Regierungsseite hat die GPA-djp zusammengestellt.

Zeigen wir alle gemeinsam der Regierung, WAS wir VON ihreM aRBEITSZEITGESETZ HALTEN!

Willkommen Datenschutzgrundverordnung

wie sieht die betriebliche Umsetzung für Betriebsräte aus?

ein Rückblick mit zahlreichen Informationsmaterialien auf eine gelungene Veranstaltung

Fünf Jahre hat es gedauert, bis die Europäische Datenschutzgrundverordnung (DSGVO) fertig war. Zwei Jahre hatte sie Zeit zu reifen bzw. die EU-Länder hatten Zeit, sich auf die DSGVO vorzubereiten. Am 25.5.2018 – also vor knapp zwei Wochen – ist sie nun zum Leben erweckt worden.

Wäre die DSGVO ein Nahrungs- oder Genussmittel, könnte man aufgrund von Werdegang und Reifegrad auf ein sehr hochklassiges Produkt schließen. In punkto Betroffenenrechte und Transparenz kann man ihr dieses hohe Gütesiegel wohl auch zugestehen. In anderen Punkten erzielt sie eher weniger gute Wertungen. Ob sie insgesamt gut verdaulich ist, wird erst die Zukunft weisen.

Die GPA-djp hat sich in Kooperation mit der AK Wien und der vida, am 30.5.2018 angesehen, wie die DSGVO in der betrieblichen Praxis umgesetzt wird. Wer sich die Fotos zur Veranstaltung ansehen möchte, klickt hier.

Eröffnung und Keynotes

Nachdem Renate Blauensteiner (Vizepräsidentin der Arbeiterkammer Wien) die zahlreich Gekommenen begrüßt und auf die Digitalisierung als neue Herausforderung eingegangen war, eröffnete Agnes Streissler-Führer (Geschäftsführungsmitglied der GPA-djp) die Veranstaltung. Eine Metapher von ihr begleitete uns durch den Tag: „Die DSGVO ist die Straßenverkehrsordnung der digitalen Welt. Es geht darum, gemeinsam Verkehrsregeln weiterzuentwickeln, damit es nicht zu Unfällen kommt und der Verkehr flüssig bleibt. “ Immer wieder kam man auf diese Metapher zurück: „wenn sich nur einer an die Verkehrsregeln hält und alle anderen nicht, kann es nicht funktionieren“ oder „man muss die Regeln von Zeit zu Zeit anpassen“ waren Statements, die in den Pausen zu hören waren.

Andreas Krisch (Geschäftsführer der Datenschutzagentur , ausgebildeter Datenschutzbeauftragter und Kenner der internationalen Datenschutz- & Privacy-Szene) beschrieb in seiner Keynote die technischen Aspekte der DSGVO und ihre jeweiligen Wirkungen betriebsintern und nach außen.

Thomas Riesenecker-Caba (Geschäftsführer der FORBA, mit Sicherheit einer der erfahrensten Berater zum Thema Beschäftigtendatenschutz in Österreich) gab einen Einblick in die DSGVO-gemäße Datenverarbeitung im Betriebsratsbüro.

Nachmittags Gab’s die Gelegenheit, sich in acht verschiedenen Workshops mit einzelnen Themen näher auseinanderzusetzen

Die Workshops wurden intensiv als Informations- und Diskussionsforen genutzt. Nachdem eine Person aber bekanntlich „mit einem Hintern nicht auf zwei Kirtagen tanzen kann“ und somit sieben Workshops verpasst hat, fassen wir einige Eindrücke zusammen, geben euch hier die verwendeten Unterlagen (so sie zur Verfügung gestellt wurden) und hoffen, damit Neugierde und Wissensdurst ein wenig zu stillen.

Workshop rot: Recht haben Recht bekommen

Markus Schapler (Rechtsschützer in der GPA-djp) gab Auskunft darüber, wie BetriebsrätInnen ihre Mitbestimmungs-, Informations- und Beratungsrechte gegenüber der Unternehmensführung durchsetzen können.

Workshop lila: Datenschutz und Demokratie

Werner Reiter und Andreas Czak (von epicenter.works) informierten hoch kompetent und engagiert rund um das Thema „digitale Selbstverteidigung„. Ihre Präsentationen zeigen wie die digitale Welt funktioniert und wie sich der/die Einzelne darin zurechtfinden kann. Wie schütze ich mich im Alltag vor zu großer Überwachung durch Internet-Riesen und wie schütze ich mein Kind vor dem sozialen Druck, „datenklauenden“ Apps zu benutzen? Walter Peissl führte das perfekte Protokoll vom Workshop epicenterworks.

Workshop grün: Datenschutzmanagement, Erfahrungen bei IBM

Tom Gödel (Betriebsrat bei IBM) gewährte einen Insider-Blick hinter die Kulissen des großen IT-Konzerns und seine Vobereitung auf die DSGVO – auch im Betriebsratsgremium selbst. Die wunderbaren Protokollnotizen zu diesem Workshop verfasste Irene Krenn.

Workshop türkis: der betriebliche Datenschutzbeauftragte

Sebastian Klocker (Datenschutzagentur) erklärte die Aufgaben und Befugnisse von betrieblichen Datenschutzbeauftragten, wie die DSGVO das vorsieht. Michael Gogola fasste die Inhalte sehr informativ zusammen.

Workshop blau: die Rahmen-Betriebsvereinbarung zur DSGVO

Eva Angerler (Abteilung Arbeit & Technik) wartete mit einer speziell auf die DSGVO abgestimmten Rahmenbetriebsvereinbarung und einer dazu passenden Checkliste für Betriebsvereinbarungen nach der DSGVO auf. Wozu kann sie eingesetzt werden? Was wird mit der Rahmen-BV abgedeckt? Welche Formulierungen sind hilfreich und wichtig?

Workshop orange: sag mir wo die Daten sind

Karin Koller (Rechtsschützerin in der GPA-djp) unternahm einen detektivischen Streifzug durch die unendlichen Weiten der personenbezogenen Daten in einem Unternehmen und gab Tipps, wo man die Daten suchen und finden könnte.

Workshop gelb: das Verarbeitungsverzeichnis des Betriebsrats

Thomas Riesenecker-Caba (FORBA) und Martina Chlestil (AK Wien) stellten umfangreiche juristische Informationen und das Verarbeitungsverzeichnis für Betriebsräte zur Verfügung und gaben konkrete Hilfestellung, wie das Dokument gemäß DSGVO auszufüllen ist.

Workshop rosa: Social Media, Arbeitsrecht, Urheberrecht und Datenschutz

Robert Steier (Leiter der Rechtsabteilung bei vida) gab umfassende Auskunft über die Rechtslage wenn der Betriebsrat das Internet nutzt. Paul Hösch hat fleißig protokolliert und viel Wertvolles rund um Bilder, Fotos und Homepages der Betriebsräte festgehalten.

Robert Steier kam zu der Conclusio: „Viele verschiedene Rechtmaterien spielen in der digitalen Welt mit. Manches davon wird nun unter der DSGVO verhandelt, obwohl es eigentlich nur sehr am Rande damit zu tun hat. Da wird mit einem Gesetzestext viel mittransportiert, das eigentlich ganz normale Betriebsratsarbeit ist.“

In diesem Sinne hoffen wir, einigen Teilnehmenden einige Unsicherheiten genommen zu haben und freuen uns auf weitere Zusammenarbeit, denn:

eine/r alleine kann seine/ ihre Privatsphäre nicht schützen, dazu braucht es viele

Urteile deutscher Arbeitsgerichte zur Mitbestimmung

Quelle: Bilderbox

Ein datenschutzrechtlicher Blick zu den NachbarInnen in Deutschland…

Natürlich ist ein Urteil aus dem Nachbarland keine Garantie dafür, dass ein/eine RichterIn in Österreich das genauso sehen würde. Nachdem sich aber die Rechtslage sehr ähnelt – was bei und Arbeitsverfassungsgesetz heißt, läuft in Deutschland unter dem Namen Betriebsverfassungsgesetz – ist doch eine gewisse Aussagekraft vorhanden.

Der Outlook-Kalender als Überwachungsmaßnahme?

Microsoft Outlook wird in vielen Unternehmen als Mailprogramm und internes Kommunikationstool verwendet. Das ist rechtlich problematisch.

Dabei steht weniger die Email-Funktion im Fokus als die Kalenderfunktion. So ist es möglich und durchaus üblich, dass Gruppenkalender eingerichtet werden, auf die sämtliche Mitglieder einer Abteilung zugreifen, um einerseits zu sehen, wann ein/eine bestimmter/bestimmte MitarbeiterIn verfügbar ist und andererseits auch selbst Termine in fremden Kalendern eintragen zu können.

Mit einer Rechtsfrage rund um den Einsatz eines Outlook-Kalenders hatte sich Anfang 2017 auch das deutsche Landesarbeitsgerichts Nürnberg (Urteil vom 21.02.2017, GZ 7 Sa 441/16) zu befassen. Im konkreten Fall wurde ein Arbeitnehmer von seinem Vorgesetzten angewiesen, den Outlook-Gruppenkalender zur Verwaltung seiner betrieblichen Termine zu verwenden. Das Problem dabei: Auch der Vorgesetzten nutzte diesen Kalender, weshalb der Arbeitnehmer dieses Ansinnen ablehnte. In der Folge wurde der Arbeitnehmer abgemahnt woraufhin er Klage erhob.

Wurde das Mitbestimmungsrecht des Betriebsrats gewahrt?

Er brachte vor, mithilfe des Gruppenkalender lasse sich ein Verabredungsprofil erstellen, überdies stelle der Kalender nach deutscher Rechtslage eine mitbestimmungspflichtige technische Einrichtung dar. Jedoch sei der Outlook-Kalender ohne eine Betriebsvereinbarung eingeführt worden und somit unrechtmäßig. Der Kläger könne also nicht zu einer Verwendung verpflichtet werden und die Abmahnung sei daher aus dem Personalakt zu entfernen.

Der Arbeitgeber, entgegnete, es bestehe sehr wohl eine Betriebsvereinbarung über die Nutzung von Informations- und Kommunikationstechnologie, in der geregelt sei, dass der Arbeitgeber Zugang zu allen relevanten dienstlichen Informationen habe.

Ein Outlook-Gruppenkalender ist zustimmungspflichtig

Das Gericht bestätigte, dass die beklagte Partei den Kläger zu Unrecht abgemahnt habe. Der Gruppenkalender ist nach Ansicht des Gerichts ein Überwachungsinstrument und er ist objektiv geeignet, Verhaltens- oder Leistungsinformationen der ArbeitnehmerInnen zu erheben und aufzuzeichnen. Dabei kommt es auf eine subjektive Überwachungsabsicht des/der ArbeitgeberIn nicht an. Die von der beklagten Partei erwähnte Betriebsvereinbarung regelt in erster Linie die private Nutzung von Informations- und Kommunikationstechnologie und kann daher nicht als vorweggenommene Zustimmung des Betriebsrates zur Einführung des Outlook-Kalenders gewertet werden.

Keine Privatsphäre bei Apple?

Die Videoüberwachung am Arbeitsplatz ist fast schon ein „klassisches“ datenschutzrechtliches Problem Der Technologieriese Apple überwacht in seinen Stores MitarbeiterInnen bei der Arbeit. Das Arbeitsgericht Frankfurt (Urteil vom 08.11.2013, GZ 22 Ca 9428/12) erkannte das als unzulässig.

Schadenersatz für umfassende Überwachung?

Ein Arbeitnehmer, der in einem Hamburger Store als „Genius“, also als Techniker, der die Geräte von KundInnen reparierte, beschäftigt war, klagte das Computerunternehmen und brachte vor, dass dieses seine Beschäftigten dauerhaft bei der Arbeit filmen würde. So seien Kameras in allen Räumen installiert, überwacht würden nicht bloß auf die Verkaufsflächen, sondern auch den hinteren, nicht für die Öffentlichkeit zugänglichen Bereich des Geschäfts. Dort befinden sich sowohl die Arbeitsplätze der TechnikerInnen sowie ein auch als Pausen- und Umkleideraum genutztes Besprechungszimmer. Ferner loggen sich die MitarbeiterInnen hier ins Zeiterfassungssystem ein. Die Überwachung bezog sich nach Meinung des Klägers also nicht nur auf die Arbeitstätigkeit als solche, sondern auch auf Pausen und Zeiten des Umkleidens.

Beim Kläger sei aufgrund der umfassenden Videoüberwachung eine psychische Belastung in Form eines latenten Überwachungs- und Anpassungsdrucks eingetreten, welche zu Angst, Misstrauen und Unsicherheit geführt sowie die Unbefangenheit seines menschlichen Verhaltens beeinträchtigt und das Gefühl des Ausgeliefert-Seins bewirkt habe, weshalb er Schmerzengeld begehrte.

Apple hat sich eine Zustimmungserklärung unterschreiben lassen

Apple Deutschland bestritt die Videoüberwachung nicht und erklärte, die Überwachung diene der Aufklärung möglicher Diebstähle, Unterschlagungen und ähnlicher Straftaten, nicht jedoch der gezielten Überwachung der MitarbeiterInnen. Außerdem habe der Kläger freiwillig ein Formular zur Einwilligung in die Videoüberwachung unterschrieben, das allerdings im Personalakt des Klägers nicht mehr aufgefunden und daher auch nicht als Beweismittel vorgelegt werden konnte.

Abgesehen davon, dass die tatsächliche Zustimmung also nicht nachgewiesen werden konnte, ist es auch höchst zweifelhaft, ob diese überhaupt gültig gewesen wäre. Schließlich handelt es sich im Arbeitsverhältnis immer um ein Machtungleichgewicht, wo nur selten von tatsächlicher „Freiwilligkeit“ die Rede sein kann.

Umfassende Videoüberwachung am Arbeitsplatz ist nicht erlaubt

Das Arbeitsgericht Frankfurt entschied, dass die allumfassende Videoüberwachung am Arbeitsplatz einen schwerwiegenden und grundsätzlich nicht erlaubten Eingriff in das allgemeine Persönlichkeitsrecht darstellt. Sie ist also unzulässig. Das Gericht sprach dem Kläger Schmerzengeld in der Höhe von EUR 3500,00 zu. Dass die Videokameras offen und nicht verdeckt angebracht waren und sich der Kläger zeitweise aus dem Sichtbereich der Kameras bewegen konnte, ändert an der Unzulässigkeit nichts. Da nicht nur öffentliche, sondern auch nicht-öffentliche Bereiche des Geschäfts überwacht wurden, könne sich Apple auch nicht darauf berufen, mit den Kameras einen Abschreckungseffekt der Öffentlichkeit gegenüber erzielen zu wollen.

„Bei uns tät‘ es das nicht geben“

In Österreich ist eine derartige Kamerainstallation an sich rechtswidrig. Sie widerspricht folgendem Gesetzestext aus dem DSG 2018: „Unzulässig ist 1. eine Bildaufnahme ohne ausdrückliche Einwilligung der betroffenen Person in deren höchstpersönlichen Lebensbereich, 2. eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern,…“

Eine Kamera in Umkleideräumen, Toiletten oder Pausenräumen kommt somit gar nicht in Frage und sie darf grundsätzlich nur zum Schutz von Personen oder Sachen verwendet werden.

Überdies würde ein österreichisches Gericht wohl in Fragen von Datenschutzverletzungen wohl auch kein Schmerzengeld zusprechen.

Für die umfassende Videoüberwachung, der Apple Deutschland seine MitarbeiterInnen unterwirft, wurde Apple im Jahr 2013 übrigens mit dem datenschutzrechtlichen Negativpreis Big Brother Award ausgezeichnet.