Category Archives: Beratung

Ein Resümee der diesjährigen BAT-Tagung

Quelle: GPA-djp

Digitalisierung mitgestalten – Wie (geht) das?

Die Tagung des Beirats für Arbeit & Technik vom  10.10.2018

 

Im Rahmen der diesjährigen BAT-Tagung haben sich die Mitglieder des Beirats für Arbeit & Technik mit der Frage auseinandergesetzt, wie man als BetriebsrätIn die Digitalisierung im Unternehmen mitgestalten kann. Welche Herausforderungen treten auf? Wie sieht’s mit der Mitbestimmung und das Recht des BR auf Information aus? Welche Schritte kann dieser setzen?

Treffpunkt war bei einem der bekanntesten Jugendstil-Gebäude Wiens: die BAWAG P.S.K. am Georg-Coch-Platz. Nach den Plänen von Otto Wagner erbaut, wurde das mit Steinplatten verzierte Gebäude 1906 eröffnet. Das hinter den Kassensälen befindliche Museum Wagner:Werk konnte in der Mittagspausen besucht werden. Möglicherweise eine der letzten Möglichkeiten, den großen Kassensaal mit den Schaltern aus dunklem Holz, den schönen Glaskacheln am Boden und dem beeindruckenden Glasdach zu besichtigen, da das Gebäude verkauft wurde und die Bawag P.S.K zum neuen Stammsitz am Wiener Hauptbahnhof umziehen wird.

Digi-Check

Zunächst ging es bei der diesjährigen BAT-Tagung um die Digitalisierung in der GPA-djp – genauer gesagt um den Digi-Check der GPA-djp. Die BAT-Mitglieder durften als „Versuchskaninchen“ und TesterInnen noch vor Veröffentlichung dieses Online-Tool für BetriebsrätInnen auf Herz und Nieren testen – was sich die BAT-Mitglieder naturgemäß nicht zweimal sagen ließen.

Das Online-Tool bietet BetriebsrätInnen über die Beantwortung bestimmter Fragen die Möglichkeiten herauszufinden, wo ihre Betriebe in Sachen Digitalisierung im Vergleich zu anderen stehen und wo es möglicherweise noch Verbesserungspotential gibt. Die Ergebnisse können dann mit den dafür besonders geschulten Digi-CheckerInnen der GPA-djp besprochen und gemeinsam Verbesserungsstrategien erarbeitet werden. Ausgerollt wird dieses Tool voraussichtlich Anfang nächsten Jahres.

Rückschau – Prozess – Zukunft

Der Nachmittag stand im Zeichen der persönlichen Erfahrungen mit den Digitalisierungsstrategien und –projekten in den eigenen Unternehmen. In Gruppenarbeiten wurden die bisher umgesetzten Projekte (bspw. Videokonferenz-Tools, elektronische Aktenablagesysteme etc.) und die anstehenden und zukünftigen Pläne besprochen und die Möglichkeiten der Mitgestaltung jedes Einzelnen / jeder Einzelnen diskutiert.

„Wenn ich morgen in meinen Betrieb zurückkehre und dieses Projekt in Umsetzung geht, was brauche ich dazu…?“

Bestimmt im Unternehmen der Algorithmus, ob man ein/e gute/r oder schlechte/r ArbeitnehmerIn ist? Ein Programm überprüft die Arbeit in Echtzeit, wertet die Fehler aus und leitet sie weiter? Umso höher die Fehlerquote, umso zahlreicher die Überprüfungsschleifen? Jeder Klick wird aufgezeichnet und bewertet?

In einem zweiten Schritt ging es darum, sich in der Gruppe für eines dieser zukünftigen Projekte im Bereich der Digitalisierung zu entscheiden und sich konkrete Handlungsschritte zu überlegen, die der/die BRIn bei der Umsetzung benötigen könnte.

Dabei ging es teilweise erstmal darum, überhaupt rechtzeitig über die geplanten Änderungen informiert zu werden. Dann ist für BetriebsrätInnen natürlich die Beschaffung aller relevanten Informationen rund um das Projekt unumgänglich und auch die Befragung von ExpertInnen – bspw. jenen der GPA-djp –  könnte ein wichtiger Schritt sein. Dabei kann auch die Broschüre „Arbeitswelt 4.1.“ eine wichtige Ressource sein. Außerdem ist es wichtig seine MitstreiterInnen (bspw. ZBR) und sein Gegenüber zu kennen und das Gespräch mit diesen zu suchen. Selbstverständlich sind auch KollegInnen zu informieren und das Projekt im Betrieb zu thematisieren. All diese Schritte wurden den ganzen Nachmittag über diskutiert und so mögliche Schritte zur Mitgestaltung bei Digitalisierungsprojekten erarbeitet.

Wie lautet also die Bilanz der diesjährigen BAT-Tagung? Die Digitalisierung geht voran, ob‘s uns gefällt oder nicht – aber wie die digitale Transformation in den Unternehmen von statten geht, da haben die BetriebsrätInnen und die MitarbeiterInnen ordentlich etwas beizutragen und mitzureden!

Die Broschüren zum Weiterlesen

 

Umsetzung der DSGVO in Betrieb und Betriebsrat

Quelle: Bilderbox

„Wie weit seid ihr mit der DSGVO?“

Die heurige BAT-Klausur  stand unter dem Motto „Willkommen, Datenschutz-Grundverordnung!“. Die BetriebsrätInnen und Mitglieder des BAT zogen Bilanz über den Stand der Umsetzung der DSGVO in ihren Betrieben und ihren Betriebsräten.

Die BetriebsrätInnen sollten sich dabei Gedanken über zwei Fragen machen. Zunächst sollten sie den Stand der Umsetzung der DSGVO innerhalb ihres Unternehmens und ihrer Betriebsratskörperschaft insgesamt einschätzen. In der Folge Sollten sie konkrete Umsetzungsschritte bewerten und analysieren, ob diese bereits erfolgt oder noch ausständig sind.  Es zeigte sich insgesamt ein differenziertes Bild. In einigen Betrieben stecken die datenschutzrechtlichen Angelegenheiten in den „Kinderschuhen“, einige habe die ersten Schritte bereits gewagt und wieder andere zählen sich zu den „Frontrunnern“, die schon seit Jahren an einer Umstellung ihrer Datenschutz-Praxis arbeiten.

Verschiedenes wurde in Sachen DSGVO in Angriff genommen…

Konkrete Umsetzungsschritte wurden in vielen Unternehmen, wo BAT-Mitglieder arbeiten, von ArbeitgeberIn und Betriebsrat bereits erfüllt. So ist beispielsweise bereits in den allermeisten Betrieben einE DatenschutzbeauftragteR bestellt worden. Verarbeitungsverzeichnisse sind in beinahe jedem Unternehmen fertig und vollständig. Damit sind zwei wichtige Neuerungen der DSGVO bereits in den meisten Fällen umgesetzt .

…und was kann der Betriebsrat – gemeinsam mit dem/der ArbeitgeberIn – machen?

In vielen Betrieben wurden – je nach Arbeitsaufgabe gestaltete – Schulungen für die KollegInnen abgehalten, wie mit personenbezogenen Daten umzugehen ist. In vielen Unternehmen hatte man sich bislang wenig Gedanken zu Datenlöschung gemacht. Also wurden Löschkonzepte wurde entweder überarbeitet oder neu eingeführt. Datenweitergaben an Dritte, aber auch innerhalb des Unternehmens, wurden überprüft, ob sie im Sinne der DSGVO stattfinden; das heißt Daten dürfen nur weitergegeben werden, wenn das zweckgebunden, sparsam und mit Information der Betroffenen geschieht. Ebenso ein breites Thema in der Umsetzung waren die Zustimmungen der Beschäftigten zu Datenanwendungen. Viele Arbeitgeber verlangen nun – eher unnötiger Weise – eigene Zustimmungs- und Geheimhaltungserklärungen von den Beschäftigten, um sich abzusichern. Betriebsräte haben diese Vorgehensweise hinterfragt.

Kleine Betriebsratskörperschaften sind mit ihren betriebsrätlichen Datenanwendungen mitunter in die Verarbeitungsverzeichnisse des/der ArbeitgeberIn mit einbezogen. In den meisten Betriebsräten wurde ein konkretes Datenschutz-Prozedere entwickelt und Verantwortliche definiert, die die Einhaltung des Datenschutzrechts im Betriebsratsbüro sicherstellen sollen. Es wurden die Beschäftigten im Intranet/ per Email/ auf einem geschützten Bereich der Homepage über die innerbetrieblichen datenschutzrechtlichen Regelungen informiert und aufgeklärt. Die Berechtigungskonzepte für Datenzugriffe wurden in vielen Betrieben überarbeitet; also die Frage gestellt: wer hat wo und unter welchen Umständen Zugang zu personenbezogenen Daten der MitarbeiterInnen und ist das zweckmäßig? Und last – but not least – wurden bestehende Betriebsvereinbarungen daraufhin überprüft, ob sie mit der DSGVO übereinstimmen und in vielen Fällen adaptiert.

Nicht alle Schritte sind schon abgeschlossen, nicht alle Schritte sind für alle Betriebe relevant und passend, aber es existieren jedenfalls konkrete Lern-Schritte in Richtung eines gelebten Beschäftigtendatenschutzes. BetriebsrätInnen beschäftigen sich also intensiv mit der Umsetzung der Bestimmungen der DSGVO und befinden sich auf einem guten Weg – wir werden sie dabei weiterhin begleiten.

Was sie schon immer über die DSGVO wissen wollten

Toni Hegewald/pixelio.de

häufig gestellte Fragen zum Beschäftigten-Datenschutz

und die Antworten darauf

Seit 25.5.2018 ist die Europäische Datenschutzgrundverordnung in Kraft und gilt in der gesamten Europäischen Union. Dadurch erhält das Thema Beschäftigtendatenschutz großen Auftrieb. Der Umgang mit den personenbezogenen Daten von Beschäftigten (z.B. Personalakte, Vordienstzeiten, Heiratsurkunden, Gehalt, Fotos, etc.) wirft Fragen auf.

Wir haben die häufigsten Fragen, die bei unserer Beratungstätigkeit in den letzten Monaten gestellt wurden, für euch zusammengefasst.

Was bedeutet Beschäftigtendatenschutz?

Die DSGVO bestimmt erstmals, dass es überhaupt einen eigenen Beschäftigtendatenschutz gibt – bislang hatte nur Deutschland einen solchen rechtlich vorgesehen. Der Artikel 88 zur „Datenverarbeitung im Beschäftigungskontext“ stellt nun klar, dass es einen Unterschied macht, ob personenbezogene Daten im Arbeitsverhältnis oder in anderen Angelegenheiten (z.B. als KonsumentIn oder StaatsbürgerIn, etc.) verarbeitet werden. Im Artikel 88 der DSGVO ist nun festgehalten, dass es auf gesetzlicher wie auch auf kollektivvertraglicher oder betrieblicher Ebene möglich ist, eigene Regelungen bezüglich der Beschäftigtendaten festzulegen. Die Themen, die sozialpartnerschaftlich geregelt werden können, umfassen: Regelung zur Einstellung oder Beendigung des Arbeitsverhältnisses, zur Erfüllung des Arbeitsvertrages, Gesundheit und Sicherheit am Arbeitsplatz und vieles mehr.

Was sind „sensible Daten“ (die nun in der DSGVO „besondere Kategorien personenbezogener Daten“ genannt werden), die besonders zu schützen sind?

Die „besonderen Kategorien personenbezogener Daten“ sind Daten über eine Person, die sehr heikel sind – vor allem, weil sie schnell zu Diskriminierung führen können. Besondere Kategorien sind: politische Meinung, Gewerkschaftszugehörigkeit, ethnische oder rassische Herkunft, Gesundheitsdaten, sexuelle Orientierung, biometrische und genetische Daten sowie religiöse oder weltanschauliche Überzeugungen.

Im Allgemeinen ist es laut DSGVO verboten, diese Daten zu verwenden – außer unter besonders geschützten Umständen oder, weil ein Gesetz es vorschreibt. Diese Daten können nur dann verwendet werden, wenn die betroffene Person ausdrücklich und ohne Zwang eingewilligt hat, oder eine gesetzliche Vorschrift es verlangt (z.B. Arbeits- und Sozialversicherungsrecht), oder aufgrund der öffentlichen Gesundheitsvorsorge. Dazu gehören auch die notwendigen arbeitsmedizinischen Daten.

Was ist das Grundrecht auf Datenschutz?

Das Recht auf Schutz der personenbezogenen Daten zählt zu den Grundrechten, so wie zum Beispiel auch das Recht auf die freie Meinungsäußerung, oder das Recht auf Erwerbsfreiheit, oder das Verbot von Sklaverei und Folter. Durch die Grundrechte haben die Bürgerinnen und Bürger einen besonderen Schutz vor staatlichem und privatem Zugriff. Durch das Grundrecht auf Datenschutz sollen die Menschen selbst bestimmen können, welche Informationen über ihre Person an wen weitergeben werden.

Was sind eigentlich die Ziele der DSGVO?

Mit der DSGVO sollte die alte EU-Richtlinie zum Datenschutz von 1995 aktualisiert werden. In der DSGVO sollen die individuellen Grundrechte der Menschen gewahrt werden und zugleich soll die DSGVO den freien Datentransfer für Unternehmen innerhalb der EU sicherstellen. Man kann sich vorstellen, dass das ein breites Spektrum an Anliegen und Interessen umfasst und daher ein ziemlicher „Spagat“ gemacht werden musste.

Was bedeutet das „Marktortprinzip“?

Dieses legt fest, dass jede Geschäftstätigkeit auf dem Territorium der EU der DSVGO unterliegt. Dies hat zur Folge, dass auch nicht in der EU ansässige AnbieterInnen von Apps oder digitalen Dienstleistungen sich an die DSVGO halten müssen. Daher müssen Nicht-EU Unternehmen, die in der EU tätig sind, eine/n VertreterIn benennen, der/die AnsprechpartnerIn für die nationale Datenschutzbehörde ist. Die neue DSGVO ist an das EU-weite Wettbewerbsrecht angelehnt und es gilt daher das Marktortprinzip.

Was sind die Grundprinzipien der DSVGO?

Jede Datenverwendung muss einen rechtmäßigen Zweck verfolgen. Die Zweckbindung der personenbezogenen Daten ergibt sich aufgrund gesetzlicher, kollektivvertraglicher oder privatrechtlicher Vorschriften bzw. Verträge (Rechtmäßigkeit). Schreibt zum Beispiel der Kollektivvertrag ein Jubiläumsgeld vor, so muss dem BR das Eintrittsdatum, den Namen und das Monatsgehalt des betroffenen Kollegen/der betroffenen Kollegin bekannt sein, weil sonst eine Auszahlungskontrolle für den BR nicht möglich wäre.

Dabei ist zu beachten, dass ausschließlich für den Zweck notwendige personenbezogene Daten verwendet werden (Sparsamkeitsprinzip). Bezogen auf das Jubiläumsgeld wird der BR wie oben angeführt den Namen, das Eintrittsdatum sowie das Monatsgehalt der betroffenen Person wissen müssen.

Erlischt der Zweck für den die notwendigen personenbezogenen Daten benötigt wurden, so sind die Daten ebenfalls zu löschen (Datenminimierung), außer man muss sie aus gesetzlichen Vorschriften noch aufbewahren (z.B. Steuerrecht). Damit der BR überprüfen kann, ob der AN das jeweilige zustehende Jubiläumsgeld erhalten hat, wird er die dafür notwendigen Daten solange aufbewahren müssen, bis der Anspruch auf Jubiläumsgeld erloschen ist. Verlangt der AN Auskunft, über welche und zu welchem Zweck seine Daten verwendet werden, so muss nun auch die vorgesehene Speicherdauer angegeben werden (Transparenz). Dabei ist immer auf die Richtigkeit der verwendeten Daten zu achten.

Auch muss der Verantwortliche (= meist der/die ArbeitgeberIn) nachweisen können, dass sämtliche Grundsätze bei der Datenverwendung eingehalten werden (Rechenschaftspflicht).

Müssen ArbeitnehmerInnen ihnen von dem/der ArbeitgeberIn vorgelegte „Datenschutz- und Geheimhaltungserklärungen“ unterschreiben?

NEIN. Dies ist datenschutzrechtlich nicht erforderlich. Die hier geforderte Geheimhaltung und Einhaltung des Datenschutzes ergibt sich ohnehin aus dem Arbeitsverhältnis und der Loyalität, die ArbeitnehmerInnen den ArbeitgeberInnen schulden.

Beschäftigte werden häufig mit „Datenschutzerklärungen“ (§ 6 DSG 2018) konfrontiert, die Konventionalstrafen bei Nichteinhaltung des Datenschutzes androhen. Das zu unterschreiben führt zu einer Änderung des Einzelvertrages. Dieser Passus sollte also jedenfalls gestrichen werden. Im Zweifelsfall bei uns in der GPA-djp beraten lassen.

Einer Unterschrift im Sinne von „ich habe die Belehrung gelesen und halte personenbezogene Daten aus dem Arbeitsverhältnis geheim“ steht nichts im Wege. Das ist dann eine allgemeine Kenntnisnahme von Geheimhaltungsverpflichtungen, die ohnehin aus der Loyalitätspflicht im Arbeitsverhältnis entsteht. Auch die Zustimmung zu einer Datenweitergabe an den/die ArbeitgeberIn betreffend personenbezogener Daten, die zur Abwicklung des Dienstverhältnisses erforderlich sind, ist wohl nicht problematisch.

Müssen alle bestehenden Betriebsvereinbarungen zu Datenverarbeitungs- oder Kontrollsystemen neu geschrieben werden?

Nein, sie müssen nur der neuen DSGVO angepasst werden. Hier ist vor allem darauf zu achten, dass die Verweise auf gesetzliche Vorschriften noch richtig sind. Wenn beispielsweise in einer BV bereits von einem/r betrieblichen Datenschutzbeauftragte/n die Rede war, muss diese Regelung jetzt überprüft werden, ob nicht in der DSGVO vielleicht etwas Anderes steht. Auch allfällige Verweise auf den Gesetzestext des alten Österreichischen Datenschutzgesetzes (DSG 2000) müssen dem neuen Datenschutzgesetz 2018 angepasst werden. Die Verpflichtungen Betriebsvereinbarungen gemäß Arbeitsverfassungsgesetz §§ 96-97 abzuschließen, bleiben wie sie sind.

Was hat es mit der Datenschutz-Folgenabschätzung auf sich?

Diese muss erfolgen, wenn aus der Datenverwendung durch den Verantwortlichen ein großes Risiko für Eingriffe in die Grundfreiheiten der Betroffenen entsteht, wie z.B. beim permanenten GPS-Tracking oder der Videoüberwachung der ArbeitnehmerInnen. Ebenfalls notwendig ist eine solche Folgenabschätzung bei der systematischen und umfassenden Bewertung persönlicher Aspekte von Personen (z.B. profiling), oder der Verwendung von besonderer Datenkategorien.

Welche Mitspracherechte hat der Betriebsrat bei der Folgenabschätzung?

Grundsätzlich hat der/die ArbeitgeberIn die Pflicht im Sinne des § 91 Abs 2 ArbVG den Betriebsrat zu informieren, welche Arten von personenbezogene ArbeitnehmerInnendaten er aufzeichnet und welche Verarbeitungen und Übermittlungen er vorsieht. Auf Verlangen des Betriebsrates kann dieser die Grundlagen der Verarbeitung und Übermittlung der Daten überprüfen. Daher muss bei einer Folgenabschätzung der Betriebsrat von Anfang an informiert und einbezogen werden.

Außerdem steht in der DSGVO, dass bei der Folgenabschätzung „der Standpunkt der Betroffenen oder ihrer Vertreter“ einzuholen ist. Also muss wohl auch der Betriebsrat mit an Bord genommen werden.

Was ist neu bei Datentransfer in Drittstaaten und welche Rechte hat der Betriebsrat/ die Betriebsrätin?

Da für alle Mitgliedsstaaten der EU die DSGVO, so wie sie ist, anzuwenden ist (sie muss also nur in bestimmten Angelegenheiten noch zusätzlich in nationalstaatliches Recht umgesetzt werden, wie z.B. bei Datenverarbeitung im Beschäftigungskontext, den Aufgaben der Datenschutzbehörden oder der Bestellung von betrieblichen Datenschutzbeauftragten), haben alle EU-Mitgliedsstaaten das gleiche Datenschutzniveau und bedarf es keiner zusätzlichen besonderen Regelungen für Datentransfer innerhalb der EU.

Bei Datentransfer außerhalb der EU müssen zusätzlich rechtliche Maßnahmen getroffen werden, denn Drittstaaten müssen erst „beweisen“, dass personenbezogene Daten bei ihnen genauso gut geschützt sind, wie innerhalb der EU.

Die DSGVO enthält einige rechtliche Möglichkeiten. Manche davon gibt es schon länger (z.B. Standardvertragsklauseln oder einen Angemessenheitsbeschluss, wie er für alle Länder des EWR-Raumes sowie Israel, Chile gegeben ist) andere sind neu hinzugekommen (z.B. Zertifizierungen). Für Datentransfer in die USA können sich dort ansässige Unternehmen dem so genannten „Privacy Shield“ unterwerfen (Auf der Seite des US-amerikanischen Handelsministeriums https://www.privacyshield.gov/list kann man diese Firmen aufgelistet finden).

Alle diese Transfermöglichkeiten in Dritt-Staaten folgen aber strengen Auflagen und müssen von der nationalen Datenschutzbehörde oder dem Europäischen Datenschutzausschuss genehmigt worden sein.

Bei den Mitspracherechten des Betriebsrates in diesem Fall sei auch hier auf die Informationsrechte gemäß § 91 Abs 2 ArbVG verwiesen. Zusätzlich kann der Betriebsrat, wenn durch den Datentransfer personenbezogene Daten oder besondere Kategorien personenbezogener Daten von ArbeitnehmerInnen betroffen sind, den Abschluss einer Betriebsvereinbarung im Sinne des § 96a ArbVG verlangen. Solange eine solche Betriebsvereinbarung nicht abgeschlossen ist, können die Daten nicht transferiert werden (außer die Schlichtungsstelle des Arbeits- und Sozialgerichts hat nach deren Anrufung durch den Arbeitgeber/ die Arbeitgeberin ihre Zustimmung erteilt).

Was muss beachtet werden bei der Nutzung von Firmen eigenen Handys und Computern?

Die Geschäftsführung kann einseitig Regeln zum allgemeinen Datenschutz im Betrieb festlegen. (Wenn die Datenschutzbehörde diese genehmigt, können sie auch als Grundlage für Datentransfer in Dritt-Staaten dienen.) Diese Datenschutzvorschriften können auch Regelungen bezüglich der privaten Nutzung von Handys und Laptops beinhalten. Trotzdem muss mit dem Betriebsrat eine Betriebsvereinbarung (BV) über die Nutzung von Diensthandys und Laptops abgeschlossen werden (§ 96a ArbVG) . Es ist ratsam auch die private Nutzung der IKT-Geräte in einer BV zu regeln. Es sollte klar vereinbart sein, welche Social Media oder Apps verwendet werden dürfen und welche Einsichtsrechte seitens des Unternehmens bestehen. Die GPA-djp bietet Muster-Vereinbarungen und Beratung durch den/die betriebsbetreuende/n Regionalsekretär/in auch zu diesem Thema an.

Welche Mitspracherechte hat der Betriebsrat bei Branchen- oder konzernweiten Verhaltensrichtlinien?

Konzerne oder ganze Branchen können sich auf einheitliche Datenvorschriften einigen und von der nationalen Datenschutzbehörde genehmigen lassen. Solche Vorschriften sind dann auch Rechtsgrundlage für Datentransfers in Nicht-EU-Länder, wenn also zum Beispiel Daten von MitarbeiterInnen an die Konzernzentrale in Florida oder in der Ukraine geschickt werden. Diese Vereinbarungen müssten natürlich die Grundprinzipien der DSGVO beinhalten (z.B. Zweckbindung, Speicherfristen, datenschutzfreundliche Technikgestaltung). Die DSGVO selbst sieht explizit keine speziellen Mitbestimmungsrechte des Betriebsrates vor.

Allerdings ist auch hier auf die Informations- und Mitbestimmungsrechte zu verweisen sobald personenbezogene Daten von ArbeitnehmerInnen betroffen sind (§§ 89, 90, 91, 92, 96 und 96a ArbVG) . Also jeder einzelne Betrieb hat seinen Betriebsrat über Weitergabe personenbezogener ArbeitnehmerInnen-Daten in Drittländer im Vorhinein zu informieren (§ 91 ArbVG). Auf Verlangen des Betriebsrates sind entsprechende Beratungsgespräche zu führen und die Prüfung der Grundlagen für die Übermittlung und Verarbeitung zu ermöglichen (§§ 91, 92 ArbVG). Dabei muss festgestellt werden, ob Betriebsvereinbarungen abzuschließen sind (§§ 96 und 96a ArbVG).

Wann muss ein/e betriebliche/r Datenschutzbeauftragte/r eingeführt werden?

Wenn die Kerntätigkeit eine umfangreiche, regelmäßige und systematische Datenverarbeitung ist (z.B. Verkehrsüberwachung mit Kameras) bzw. wenn besondere Kategorie von personenbezogenen Daten verarbeitet werden (z.B. Gesundheitsdaten). Behörden haben immer einen zu bestellen. Viele Unternehmen  – vor allem international tätige – entscheiden sich im Zweifelsfall für die Ernennung eines/einer Datenschutzbeauftragten, da sie sich damit besser absichern können.

Was ist die Aufgabe des/ der betrieblichen Datenschutzbeauftragten?

Aufgabe des/der Datenschutzbeauftragten ist die Kontrolle der Einhaltung des DSGVO, Beratung des Managements, die Schulung und Information der ArbeitnehmerInnen, KundInnen und GeschäftspartnerInnen. Er/Sie ist Schnittstelle und AnsprechpartnerIn für die Datenschutzbehörde.

Kann der/ die betriebliche Datenschutzbeauftragte auch gleichzeitig der/ die IT-Sicherheitsbeauftragte eines Betriebes sein?

Grundsätzlich ja, im Gesetz ist das nicht verboten. Doch erscheint es wenig sinnvoll, da MitarbeiterInnen der IT in erster Linie für die Daten- und Netzsicherheit zuständig sind. So könnten in manchen Bereichen durchaus Interessenskonflikte entstehen.

Haftet der/ die Datenschutzbeauftragte falls Bußgelder verhängt werden?

Nein, da sie oder er nur berät, kontrolliert und schult, aber nicht entscheidet wie mit personenbezogene Daten umgegangen wird. Der/die betriebliche Datenschutzbeauftragte kann nicht bestimmen, wie das Unternehmen mit personenbezogenen Daten umgeht, nur beraten, schulen, und Ähnliches. Daher haftet er/sie auch nicht – außer er/sie missachtet seine/ihre Befugnisse, überschreitet sie, verletzt selbst Datenschutzbestimmungen, oder verhält sich sonst wie strafbar.

Gilt die DSGVO auch bei Akten in Papierform oder bei einzelnen Blättern im Hängeordner?

Ja, auch die „nichtautomatisierte Verarbeitung personenbezogener Daten in einem Dateisystem“ (z.B. ein Personalverwaltungsakt) unterliegt der DSGVO (vgl. Art 2 Abs 1). Also müssen auch analog aufbewahrte Daten gemäß den Vorgaben der DSGVO behandelt werden. Der Ordner mit der Aufschrift „Diverses“, in dem seit Jahren unsortiert Telefonnotizen landen, der Ordner „Privat“ oder die lose Sammlung von Visitenkarten zählen allerdings nicht dazu, weil sie nicht systematisch geordnet sind.

Müssen sich auch Betriebe, die gar nicht aus der EU sind, an die DSGVO halten?

Ja, wenn sie hier Waren oder Dienstleistungen anbieten. Selbst wenn sie „nur“ Daten sammeln oder „nur“ das Verhalten von Menschen in der EU beobachten, müssen sie die Grundprinzipien einhalten und die Grundrechte der Menschen wahren, egal ob sie im EU-Raum über eine reale Niederlassung verfügen oder nicht (siehe Art 3 und EG 22-25). Dieses neue Prinzip ist auch unter dem Titel „Marktortprinzip“ bekannt.

Gibt es in der DSGVO ein Privileg für Konzerne, damit diese Datentransfers einfacher durchführen können?

JEIN, es wurden mit der DSGVO mehrere Möglichkeiten innerhalb des Konzerns geschaffen, die den internationalen Datentransfer erleichtern sollen. Es gibt aber keine generelle „Freigabe“ für Konzerne, damit diese die personenbezogenen Daten der ArbeitnehmerInnen ohne Schranken durch die „Weltgeschichte“ schicken dürfen.

Wie ist das mit Datenverarbeitungen im Betriebsratsbüro?

Wer jetzt neugierig geworden ist und Betriebsrat oder Betriebsrätin ist und sich auf der Homepage der GPA-djp einloggt, kann zusätzlich Antworten zur Datenverarbeitung im Betriebsratsbüro bekommen.

Das ideale Weihnachtsgeschenk

…unter dem Weihnachtsbaum des Betriebsrats…

…sollte dieses Werk heuer keinesfalls fehlen!

Was die Autorin dieses Blogs so macht, wenn sie gerade keine Blog-Artikel schreibt, nicht zur Datenschutzgrundverordnung (DSGVO) referiert, Betriebsvereinbarungen begutachtet oder zum Beschäftigtendatenschutz berät?

Sie schreibt gemeinsam mit Datenschutz-Experten ( Andreas Krisch und Thomas Riesenecker-Caba) und Kolleg_innen aus den (Länder-)Arbeiterkammern (wie Martina Chlestil und Nina Rothenender) und anderen Fachgewerkschaften (wie Susi Haslinger) Beiträge zu Fachpublikationen wie dieser:

Beschäftigtendatenschutz, Handbuch für die betriebliche Praxis

Von der Grundsatzfrage „Wozu das alles?“ bis hin zu detaillierten rechtlichen Fragen, was denn nun tatsächlich die Aufgaben eines/einer betrieblichen Datenschutzbeauftragten sind, wird in diesem Band auf alles eingegangen, was mit dem Beschäftigtendatenschutz in Zusammenhang steht. Ob es um eine Betriebsvereinbarung, den Datentransfer zur Konzernmutter in einem Nicht-EU-Mitgliedsland oder die Frage der Bußgelder geht, der Ratgeber gibt umfassend darüber Auskunft, was sich durch die neue Rechtslage ändern wird – und was beim Alten bleibt. Einschlägige Rechtsprechung ist ebenso enthalten wie die häufigsten technischen Systeme und deren datenschutzrechtliche Tücken. Am politischen Werdegang der europäischen Gesetzgebung Interessierte kommen ebenso auf ihre Rechnung, wie juristisch ambitionierte oder IT-affine Leser_innen.

Kurzum:

eine Leseempfehlung

für datenschützende Betriebsräte und Betriebsrätinnen, betriebliche Datenschutzbeauftragte und alle, die wissen wollen, was die neue Rechtslage für ArbeitnehmerInnen bringt. Hier geht’s zur Bestellung.

drum prüfe, wer was auf facebook postet

der Betriebsrat redet bei Social-Media mit –
bestimmt!

Die Beteiligung von ArbeitnehmerInnen in Kommunikationsforen des Unternehmens ist mit einer Betriebsvereinbarung zu regeln – so das Urteil des deutschen Bundesarbeitsgerichts vom 13.12.2016. Die erste und zweite Instanz waren 2013 bis 2015 noch zu dem Schluss gekommen, dass hier keine Mitwirkungsrechte des Betriebsrates bestünden. Der Jubel der zuständigen Rechtsanwaltskanzlei währte nur kurz. Im Dezember 2016 entschied das Bundesarbeitsgericht Erfurt, dass hier sehr wohl Mitbestimmungsrecht gegeben ist.

Nachdem hierzulande eine ähnliche Gesetzgebung herrscht, ist davon auszugehen, dass es sich mit der betrieblichen Mitbestimmung nicht anders verhält. (Zum Glück, sonst hätten wir von der Abteilung Arbeit & Technik unsere Beratungspraxis schwer überdenken müssen.)

deutsches Bundesarbeitsgericht bestätigt: Betriebsrat hat auch bei Facebook Mitbestimmungsrecht

Immer wieder geraten ArbeitnehmerInnen wegen ihrer „Meinungsäußerungen“ auf Facebook und anderen Foren in die Bredouille. Eine beleidigende Bemerkung über den Chef, ein Statement über die langweilige Arbeit, eine flapsige Bemerkung über die letzte Kundin. Die Äußerungen sind vielfältig, die Folgen oft schwerwiegend. Im schlimmsten Fall kann eine Entlassung drohen – wie in diesem Blog berichtet. In manchen Fällen geht diese auch durch – wie in diesem Blog berichtet.

Der Wahn ist kurz, die Reu‘ ist lang

dichtete weiland Friedrich Schiller in „die Glocke“.

Damit die ArbeitnehmerInnen mit ihren halbprivaten Postings nicht alleine dastehen und sich außer auf ihren Menschenverstand auch noch auf ihre Interessenvertretung verlassen können, sollten Betriebsvereinbarungen die Sache regeln. Die die GPA-djp rät seit Langem, die betriebliche Verwendung von Social Media in einer BV zu regeln.

Wichtige Punkte, die der Betriebsrat/ die Betriebsrätin bei einer BV mitgestalten kann:

  • freiwillige Beteiligung der Beschäftigten
  • Posting-Zeit = Arbeitszeit
  • vorherige Einschulung (auch zum Abschluss der BV, also darüber wozu der Social-Media-Auftritt verwendet werden kann/ soll/ darf)
  • keine personenbezogenen Auswertungen der Beiträge (zB wer besonders häufig schreibt, wer besonders lobend schreibt, wer besonders viele andere zum Mit-Diskutieren bringt, etc.)

Es soll an dieser Stelle nicht verschwiegen werden, dass in dem eingangs erwähnten Fall aus dem deutschen Blutspendedienst des Roten Kreuzes, der Betriebsrat jegliches Kommentieren untersagte. Das ist nun nach Meinung der Autorin doch etwas zu weit gegriffen. Dass auch auf SocialMedia Mitwirkungspflichten bestehen, ist hingegen ganz naheliegend.

Zu Risiken und Nebenwirkungen berät sie gerne ihre für sie zuständige RegionalsekretärIn.

 

Whats Up oder doch Down?

gekuendigt_smartphoneeignet sich WhatsApp für die betriebliche Kommunikation?

Emails schreiben war gestern, heutzutage werden Kommunikations- bzw. Instant-Messaging-Dienste verwendet, um Texte, Töne und (bewegte) Bilder auszutauschen. Die am weitesten verbreitete App dieser Art heißt: „WhatsApp“.

Gegründet 2009 werben die Erfinder der WhatsApp für die Echtzeit-Kommunikation mit Freundinnen und Freunden ganz ohne Werbung. Schnell, schneller, am schnellsten ist die Zahl der zumindest einmal im Monat aktiven Nutzer_innen weltweit auf 800 Millionen gewachsen (Stand 2015, Quelle das Unternehmen selbst). 2014 wurde die Firma von facebook gekauft, womit der Datenaustausch zwischen diesen beiden „Social-Media-Riesen“ ermöglicht wurde – sehr zum Missfallen von Datenschützer_innen.

Eine App, die derartig Zuspruch findet, findet über kurz oder lange ihren Weg auch in die betriebliche Kommunikation. Nicht nur die weite Verbreitung und damit weitreichende Verfügbarkeit verlocken zu ihrer Anwendung. Auch die einfache Handhabung (kann ohnehin schon jedeR und Einschulungen fallen somit weg), die vielseitige Nutzbarkeit (jegliche Art von Daten können verschickt werden), die Echtzeit-Datenübertragung oder die nicht vorhandenen Kosten (der Dienst ist gratis) sind Argumente für die Verwendung. Zugleich tauchen natürlich zahlreiche Fragen auf, wie die nach der (Weiter-)Verwendung der Daten (was wird alles vom Anbieter ausgewertet?), dem Abgreifen zusätzlicher personenbezogener Daten (zB IP-Adresse, Standort, Telefonverzeichnis) oder dem Umgang mit Urheberrechten (zB an versendeten Fotos).

Um die im Titel gestellte Frage gleich vorweg zu nehmen:

eine Kündigung per WhatsApp ist nicht gültig

Dieses Urteil verkündete der Oberste Gerichtshof (OGH) am 28.10.2015. (Bald hast du Geburtstag, liebes Urteil). In dem Urteil ging es um folgenden Sachverhalt: Einer Zahnarztangestellten wurde das Foto ihrer Kündigung mit WhatsApp zugestellt, worauf sie den Rechtsweg beschritt. In erster Instanz wurde die Kündigung als rechtskräftig erachtet. Der OGH gab der Angestellten jedoch Recht, mit folgender Begründung: ein Massengerdienst erfüllt nicht das im Kollektivvertrag festgelegte Gebot der Schriftlichkeit. (Ein weiterer Beweis, wofür Kollektivverträge sinnvoll sind.) Der OGH stellt fest:

Ein bloß über „WhatsApp“ auf das Smartphone des Empfängers übermitteltes Foto der Kündigungserklärung erfüllt [das Gebot der Schriftlichkeit] schon deshalb nicht, weil es der Empfänger der Nachricht ohne weitere Ausstattung und technisches Wissen nicht ausdrucken kann.

Denkt man diese Argumentation weiter, werden wohl auch andere per WhatsApp übermittelte Arbeitsanweisungen kein geeignetes Mittel sein. In der Beratung tauchen immer wieder diesbezüglich Anfragen auf. Zum Beispiel in der Filiale einer Handelskette, wo (nicht-anwesende) Vorgesetzte, die Mitarbeiterinnen aufforderten, Fotos von den eingeräumten Regalen per WhatsApp zu schicken.

Fragen eines arbeitenden Betriebsrats dazu:

  • muss ich dazu mein Privathandy verwenden?
  • muss ich dabei meinen Echtnamen verwenden?
  • werden die Fotos (mit Personenbezug) ausgewertet?
  • werden die Fotos (mit Personenbezug) weitergeschickt?
  • wird damit die Leistung der Mitarbeiter_innen kontrolliert?

sollte eine dieser Fragen mit „ja“ beantwortet werden, ist ein Veto dringend empfohlen. Beharrt die Geschäftsführung auf dieser Art der Kommunikation, ist der Abschluss einer Betriebsvereinbarung erforderlich.

Der deutsche Datenschutzbeauftragte Johannes Caspar rät seinen Landsleuten, sich von WhatsApp zu verabschieden, und statt dessen ähnliche Dienste zu verwenden. Treema (Schweiz), Telegram (USA) oder Wire (Schweiz) sind passende Alternativen. Sie legen mehr Wert auf die Privatsphäre ihrer Nutzerinnen (zB bzgl der Weitergabe von Standortdaten, der Verschlüsselung von Kommunikationsinhalten, etc.) und ermöglichen – zumindest teilweise – individuelle Einstellungen.

Was sie immer schon über Betriebsvereinbarungen wissen wollten

Leitfaden Betriebsvereinbarungneue Publikation des ÖGB Verlags

Betriebsvereinbarungen sind das Kernstück der betrieblichen Mitbestimmung. In der Betriebsvereinbarung können BetriebsrätInnen gemeinsam mit der Geschäftsführung festlegen, wie die Arbeitskräfteüberlassung gehandhabt wird, wie Personalinformationssysteme und Personalbeurteilungssysteme aussehen dürfen, wie – und ob überhaupt – bestimmt Kontrollsysteme eingeführt werden dürfen, was in Sozialplänen vereinbart wird, wie die Arbeitszeit verteilt wird, wie akkordähnliche Löhne bestimmt werden, wie Freiräume für Arbeitszeitgestaltung auf betrieblicher Ebene genutzt werden dürfen,  und vieles mehr.

Variantenreichtum

Um hier nicht den Überblick über die verschiedenen Möglichkeiten der betriebsrätlichen Einflussnahme zu verlieren, hilf diese Neu-Veröffentlichung aus dem ÖGB-Verlag.

aus der Praxis für die Praxis

hat ein AutorInnen-Kollektiv das gleichnamige Buch aus dem Jahre 1995 völlig neu bearbeitet, den gesetzlichen Vorgaben angepasst (die sich in den letzten 20 Jahren doch einigermaßen geändert haben) und mit Beispielen aus der Beratungspraxis angereichert.

Ein wenig Vorgeschmack für diejenigen, die wissen wollen, worauf sie sich mit dieser Lektüre einlassen, bieten die „Checkliste: der Weg zur Betriebsvereinbarung“ oder der Überblick über Arten von Betriebsvereinbarungen.

Ergänzt mit einem Web-Auftritt und einem e-book ist die Publikation insgesamt eine ideale Papier-digital-Kombination, die Theorie und Praxis der Betriebsvereinbarung unter einem Buchdeckel / in einem online-Portal vereint und in keinem Betriebsratsbüro fehlen sollte.

(Ende der Werbeeinschaltung)

Bürgerkarten sind kein Unternehmenseigentum

card_vs_mobileunselbständig Beschäftigte können nicht gezwungen werden,
ihre privaten Bürgerkarten beruflich zu verwenden

Das Sozialministerium Service (früher Bundessozialamt) verlangt mit 1. Jänner 2016 von einigen Projektträgern, ihre privaten Bürgerkarten / Handysignaturen zu verwenden, um die Verwaltung der Projekte im Verwaltungssystem des Netzwerks Berufliche Assistenz (NEBA) abzuwickeln. Dabei werden sowohl von KlientInnen als auch von ArbeitnehmerInnen personenbezogene Daten an das Sozialministerium Service übertragen.

Zahlreiche BetriebsrätInnen aus den betroffenen Betrieben, wie Volkshochschulen, Volkshilfe oder Jugend am Werk haben seitdem die GPA-djp kontaktiert und nachgefragt, ob das so hingenommen werde müsse.

Wir möchten dazu folgendes feststellen:

· AN können nicht gezwungen werden, den privaten Besitz für dienstliche Zwecke zu verwenden. Das Grundrecht auf Schutz der Privatsphäre und auf Datenschutz sowie die Fürsorgepflicht des AG verhindern, dass AN ihre Bürgerkarte oder die entsprechende Handysignatur für berufliche Zwecke einsetzen müssenSollten Arbeitgeber ihr Weisungsrecht hier in Anspruch nehmen wollen, wäre das rechtswidrig und muss vom AN nicht befolgt werden. (Einschlägige Rechtsgrundlagen dazu sind: Art 8 MRK Privatsphäreschutz, § 16 ABGB Persönlichkeitsschutz, § 1157 ABGB und § 18 AngG Fürsorgepflicht).

· Eine Verwendung von personenbezogenen Daten, also auch ihre Überlassung an das Sozialministerium, ist betriebsvereinbarungspflichtig (ersetzbare Zustimmung lt § 96a Abs 1 Z 1). Ohne eine solche BV dürfen die Daten gar nicht an das Ministerium gehen.

· Nach dem Datenschutzgesetz ist der Auftraggeber, also der Verein/ Projektträger, auch dazu verpflichtet, die Datenverwendung zu melden (§ 17 Abs 1). Eine rechtlich zulässige Datenverwendung ist also erst dann gegeben, wenn sie im DVR-online eingetragen wurde.

· Aus datenschutzrechtlicher Sicht ist außerdem zu hinterfragen, worin der konkrete Verwendungszweck für die Übermittlung der Daten besteht, wer Einsichtsrechte besitzt, wie die Löschpflichten gehandhabt werden etc. – kurz das Sozialministerium Service treffen hier ebenso wie den Arbeitgeber/ Verein Informationspflichten gegenüber den Betroffenen lt. § 1 Abs 3 und § 24 DSG und gegenüber den Betriebsräten lt. § 91 ArbVG.

· Eine besondere Problematik in diesem Zusammenhang ist darin zu sehen, dass hier eine Dreieckskonstruktion vorliegt, da die Trägerorganisation einen Vertrag mit dem Sozialministerium hat und daher Anweisungen vom ihrem Vertragspartner erhält, die sie dann als AG gegenüber den AN umzusetzen hat. Das Sozialministerium Service kann den AN keine Weisungen erteilen, da es nicht deren AG ist, es kann aber entsprechenden Druck auf ihre Vertragspartner ausüben und mit Vertragsauflösung drohen, was allerdings aus Gewerkschaftssicht wenig wünschenswert ist.

Da das DSG 2000 den Grundsatz der Verwendung des „gelindesten Mittels“ enthält stellt sich weiters die Frage ob die Übermittlung der Daten an einen Server des Sozialministerium Services das gelindeste – dh am wenigsten in die Privatsphäre der AN und KlientInnnen eingreifende – Mittel darstellt.

Das Problem wurde bei einem Termin mit BM Hundstorfer von der GPA-djp eingebracht. Wir erwarten also in Kürze eine Info aus dem Ministerium dazu. Auch bei unseren in Kürze statt findenden regionalen Betriebsräte-Konferenzen werden wir uns überlegen, welche weiteren Schritte dazu möglich und notwendig sind.

 

Neuauflage und Überarbeitung der Broschüre „Datenschutz ohne Kontrolle ist wie Suppe essen mit der Gabel“

Datenschutz ohne Kontrolle ist wie Suppe essen mit der GabelDie 2010 erschienene Broschüre der GPA-djp wurde überarbeitet und aktualisiert. Sie enthält eine Reihe von Praxis-Tipps sowie Informationen zum ArbeitnehmerInnen-Datenschutz und richtet sich vor allem an BetriebsrätInnen, denen auf Grund des maßgeblichen Regelungsinstruments des betrieblichen Datenschutzes, nämlich der Betriebsvereinbarung, eine bedeutende und entscheidende Rolle hinsichtlich der Wahrung der datenschutzrechtlichen Interessen der ArbeitnehmerInnen zukommt.

weiterlesen …

Informationsmappe zum Whistleblowing

Whistleblowing_Mappe_900

funkelnagelneue Mappe mit Informationen rund um Whistleblowing

Special edition: mit Arbeitsbehelfen, Checklisten, rechtlichen Entscheidungen und Muster-Betriebsvereinbarung (und um die Antwort auf eine häufig gestellte Frage gleich vorweg zu nehmen: ja, ein Whistleblowing-System kann nur in Verbindung mit einer Betriebsvereinbarung eingeführt werden. Das hat uns die Datenschutzbehörde im November 2013  – nicht zum ersten Mal aber diesmal explizit auf Betriebsvereinbarungen abgestimmt – schriftlich gegeben.)

Achtung: bevor sie die Betriebsvereinbarung unterschreiben fragen sie den/ die GewerkschafterIn ihres Vertrauens.

Es handelt sich bei der Info-Mappe um ein gelungenes Stück Teamwork. Ein besonderer Dank gebührt den AutorInnen Ingo Heeb, Claudia Kral-Bast, Andreas Rauch und Verena Spitz, sowie den KollegInnen aus der Bundesrechtsabteilung für das juristische Know-how und all jenen BAT- Mitgliedern, die fachliches Input bei unserer Klausur 2013 – wo alles begann – beigesteuert haben.

viel Vergnügen beim Lesen, Studieren und Umsetzen der Info-Mappe „Whistleblowing“