Arbeitnehmerdatenschutz in Deutschland wird stiefmütterlich behandelt, das zeigt sich nun wieder in der Antwort der Bundesregierung auf eine Kleine Anfrage des stellvertretenden Fraktionsvorsitzenden der Linken, Jan Korte. Bisher ist der Beschäftigtendatenschutz nur fragmentiert in verschiedenen Gesetzen geregelt, im Bundesdatenschutzgesetz wird er in einem einzigen Paragraphen abgehandelt, und das, obwohl das stark asymmetrische Verhältnis von Arbeitnehmer und Arbeitgeber genaue Regelungen erforderlich machen würde. Das haben zahlreiche Datenschutzskandale in Unternehmen der letzten Jahre gezeigt, etwa bei Lidl, der Deutschen Bahn oder Daimler.
Kein Interesse an der Beschäftigung mit massiven Datenschutzverstößen
Korte fragt zunächst am konkreten Beispiel des Datenschutzskandals bei Daimler. Dort wurde 2014 in Abstimmung mit dem Betriebsrat erlassen, dass die Daten der Angestellten regelmäßig mit Terrorlisten abgeglichen werden, wie im Januar 2015 bekannt wurde. Dabei ist unklar, mit Hilfe welcher Terrorlisten Daimler hier arbeitet.
Auch die Bundesregierung will nicht wissen, mit welchen Datenbanken und Listen hantiert wird, und verweist darauf, dass privatwirtschaftliche Unternehmen keinen Zugriff auf Listen von Sicherheitsbehörden hätten. Mehr will man sich jedoch auch nicht kümmern, man sieht „zurzeit keinen Handlungsbedarf“ wegen der haltlosen Terrorismusverdächtigungen gegen eine ganze Belegschaft an Arbeitnehmern, über die Presseberichterstattung hinaus sei man nicht informiert, man sehe auch keinen Anlass, „sich zum internen Verfahren der Daimler AG zu äußern“, das massive Grundrechtsverletzungen an Beschäftigten demonstriert.
Dabei wirft der Fall Daimler doch auch klar die Frage auf, wo die Daten zur Klärung eines Terrorismusverdachtes herkommen, wenn nicht, wie von der Regierung abgestritten, vom Bundesamt für Wirtschaft und Ausfuhrkontrolle oder anderen Bundes- und Landesbehörden. Spätestens an dieser Frage sollte ein Interesse bestehen, denn die Unklarheit betrifft den eventuellen unberechtigten Datenabfluss aus öffentlichen Stellen. Doch, so fasst Korte knapp zusammen:
Ich frage mich: 1. Mit welchen Daten gleicht die Privatwirtschaft denn dann ab? 2. Wer kontrolliert das Ganze? Die Antwort der Bundesregierung darauf ist simpel: 1. Keine Ahnung und 2. Niemand.
Die EU solls richten
Trotz der augenscheinlichen Schutzlücken plant die Regierung keine eigenen Initiativen, sie verlässt sich lieber darauf, dass die kommende EU-Datenschutzgrundverordnung die Sache früher oder später regeln wird:
Erst nach der endgültigen Annahme der […] (Datenschutz-Grundverordnung) kann beurteilt werden, ob und gegebenenfalls welche Regelungen im Bereich der Datenverarbeitung im Beschäftigungskontext auf nationaler Ebene möglich und erforderlich sein werden.
Korte kommentiert das knapp:
Festzuhalten bleibt: Wenn es ungemütlich wird, verweist die Bundesregierung auf Europa.
Dabei existiert das Problem nicht erst seit gestern. Korte merkt an, dass seit beinahe 20 Jahren der Innenausschuss des Bundestags feststellt, dass der Beschäftigtendatenschutz explizit geregelt werden muss. „Getan hat sich trotz zahlloser Datenschutzskandale nichts. Dass die Große Koalition ihre Untätigkeit hinter den anhaltenden Verhandlungen über die Europäische Datenschutzgrundverordnung versteckt, bedarf eigentlich keiner Kommentierung mehr.“
Man kann ja später nachregeln…
Nachregeln will man eventuell in konkreten Fällen, um das deutsche Datenschutzniveau zu halten und „über das europäische Niveau hinausgehende Standards zu ermöglichen“. Was genau das deutsche Datenschutzniveau im unterbeachteten Arbeitnehmerdatenschutz dabei sein soll, bleibt zweifelhaft, und es stellt sich die Frage, warum man bisher daran scheitert, adäquate Regelungen einzuführen, sich aber gleichzeitig dafür einsetzt, dass in der kommenden EU-Datenschutzgrundverordnung nur Mindeststandards gesetzt werden sollen:
Ferner setzt sich die Bundesregierung im Rahmen ihrer Möglichkeiten auch im laufenden Trilogverfahren weiterhin dafür ein, dass die Datenschutz-Grundverordnung für die Datenverarbeitung im Beschäftigungskontext nur Mindeststandards setzt und die Mitgliedstaaten darüber hinausgehende Regelungen erlassen können.
Niemand hat die Absicht, den Datenschutz zu schwächen. Wirklich?
Ein hohes Maß an Ignoranz zeigt sich auch in der Antwort auf die allgemein gehaltene Frage, welche EU-Mitgliedsstaaten „nach Kenntnis der Bundesregierung“ im Prozess des Entwurfs und der Verhandlungen der Datenschutzgrundverordnung versuchen, Datenschutzprinzipien aufzuweichen. Die Antwort:
Nach Beobachtung der Bundesregierung verfolgt kein Mitgliedstaat die Absicht,
zentrale Datenschutzprinzipien aufzuweichen.
Assoziationen mit „Niemand hat die Absicht, eine Mauer zu errichten!“ drängen sich auf, und die Aussage wird umso ironischer, wenn man sich die Position unserer Regierung selbst ansieht. Mehr als einmal haben wir darüber berichtet, dass genau sie sich unter massivem Lobbydruck zu Ende der Verhandlungen immer wieder für schwächeren Datenschutz eingesetzt hat.
Damit sind sie in bester Gesellschaft, auf der Plattform lobbyplag.eu kann man sich ein Bild davon machen, dass Staaten, die sich für eine effektive Stärkung des Datenschutzniveaus einsetzen, deutlich in der Minderheit sind, was auch viele Datenschutzbeauftragte der Länder monieren, wie auch Korte feststellt:
Ende 2015 soll die Europäische Datenschutzgrundverordnung angeblich in einem beschließbaren Zustand sein. Zumindest aus Perspektive der Bundesregierung. Fragt man die Datenschutzbeauftragten, sieht das ganz anders aus. Da sind die geplanten Regelungen zur Aufweichung der Grundprinzipien von Datensparsamkeit oder auch der Zweckbindung der Verarbeitung von personenbezogenen Daten nur zwei Beispiele, die zurecht scharf kritisiert werden. Aber auch hier sieht die Koalition weder Probleme noch Handlungsbedarf.
Solange Deutschland also hier nicht glaubwürdig agiert, bleibt kein Anlass zu dem Glauben, mit Verabschiedung der EU-Datenschutzgrundverordnung werde auch der Beschäftigtendatenschutz durch Zauberhand auf ein akzeptables Niveau gehoben. Verantwortung auf die EU abzuschieben, reicht hier auf keinen Fall aus.