Source: http://sicherheitsmelder.de/xhtml/articleview.jsf?id=DF0BF5C6E458.htm
Timestamp: 2019-07-16 19:18:29+00:00

Document:
Ermittlungen im Unternehmen und Datenschutz
Unternehmen werden unabhängig von ihrer Größe, Struktur oder Anzahl der Mitarbeiter zunehmend mit Vorfällen konfrontiert, die zu wirtschaftlichen Schäden und Imageverlust führen oder Existenz gefährdend sein können. Umso unverständlicher ist daher die Einstellung manch eines Unternehmers in Sachen Sicherheit und Datenschutz. Das kann mit mangelnder Kenntnis möglicher Präventionsmaßnahmen zusammenhängen oder es wird einfach nur am falschen Ende gespart. Und dann gibt es auch Unternehmen, die in Sachen Ermittlungen oder Prävention über das Ziel hinausschießen.
Beispiele aus der Praxis, verbunden mit Datenschutzskandalen, standen in letzter Zeit ausreichend im Blickpunkt der Öffentlichkeit.
Präventionsmaßnahmen gegen Korruption, Geheimnisverrat, Mitarbeiterkriminalität und andere arbeitsrechtliche Verfehlungen im Unternehmen müssen umgesetzt werden, ohne dabei gegen den Datenschutz zu verstoßen oder Gefahr zu laufen, Schadensersatzleistungen, Image- oder Reputationsschäden, Bußgelder und andere Nachteile, die den Unternehmen schaden, zu riskieren. Mit den Änderungen des Bundesdatenschutzgesetzes sind betriebsinterne Ermittlungen schwieriger geworden. Die Grenzen zwischen Legalität und illegalem Handeln sind fließend.
Geschäftsführer und Vorstände als Sachverwalter fremden Vermögens sind unter Androhung persönlicher Haftung verpflichtet, für die Einhaltung der gesetzlichen Bestimmungen und unternehmensinternen Verhaltensregeln zu sorgen, Schäden durch geeignete, erforderliche und zumutbare Maßnahmen abzuwenden oder zumindest so gering wie möglich zu halten.
Zieht man die Entscheidung des BGH (BGHZ 135,244, ARAG/Garmenbeck) heran, bedeutet das, dass die Geschäftsleitung bei Straftaten zum Nachteil des Unternehmens in aller Regel den Sachverhalt aufklären und etwaige Schäden geltend machen muss. Lediglich in der Wahl der Aufklärungsmittel bestehen noch Handlungsspielräume. Das bedeutet z.B. bei Verdacht von Mitarbeiterdelikten, dass schnelle und umfassende Aufklärung des Sachverhaltes in tatsächlicher und rechtlicher Hinsicht zu erfolgen hat. Darunter fallen auch:
Beweissicherungspflicht,
arbeitsrechtliche Maßnahmen,
Durchführung von Sicherheits- und Schwachstellenanalysen zur Verhinderung von Wiederholungen.
Zur Umsetzung möglicher Präventionsmaßnahmen besteht zwar keine ausdrückliche Pflicht, für bestandsgefährdende Risiken gem. § 91 Abs. 2 AG, schon:
Tatsächlich bestehen Interessenskonflikte zwischen der Aufklärungs- und Ermittlungspflicht des Geschäftsführers oder Vorstandes, dem Interesse des kriminellen Mitarbeiters (z.B. möglichst lange unentdeckt zu bleiben, finanzielle Bereicherung, unangenehmen Konsequenzen zu entgehen u.a.), und dem Interesse der redlichen, ehrlichen Mitarbeiter (z.B. Schutz vor sozialschädlichen Folgen und des allgemeinen Persönlichkeitsrechts mit Intim-, Privat- und Sozialsphäre, das betrifft auch unberechtigte und vor allem anonymen Verdächtigungen und Beschuldigungen sowie Art. 5 GG, Meinungsfreiheit, und Art. 12 GG, Berufsfreiheit). Es kann zur Kollision von schutzwürdigen Aufklärungs- und Verfolgungsinteresse des Arbeitgebers mit den Persönlichkeitsrechten der Mitarbeiter kommen. Das Bundesdatenschutzgesetz macht diese Interessenkollision zum eigentlichen Problem. § 32 Abs. 1, Satz 2 BDSG:
"Art und Weise der Aufdeckung muss erforderlich sein, und schützenswürdige Interessen der Beschäftigten dürfen nicht überwiegen. Art und Ausmaß dürfen nicht unverhältnismäßig sein."
Das wiederum bedeutet eine umfassende Güterabwägung unter Berücksichtigung der besonderen Umstände des konkreten Falles.
Durchführung betriebsinterner Ermittlungen
Betriebsinterne Ermittlungen unterliegen einschlägigen Bestimmungen, wie:
Arbeits- und Mitbestimmungsrechte nach dem Betriebsverfassungsgesetz
(§§ 75 Abs. 2, 80 Abs. 1 Nr. 1, 87 Abs.1 Nr. 6, 80 Abs. 2 S. 1, 87 Abs. 1 Nr. 1, 111 BetrVG).
Grundrechte nach Art. 2 Abs.1 i.V.m. Art. 1 Abs.1 sowie Art. 10 Abs. 1 GG.
Strafvorschriften nach § 206 StGB, § 148 Abs. 1 Nr. 1 i.V.m. § 89 S. 1, S. 2 TKG,
§§ 201, 201 a, 202 a, 240 StGB, §§ 43, 44 BDSG).
Datenschutzgesetz (§§ 4, 32, 28, 6 b BDSG, § 88 TKG, § 22 KUG, §§ 14, 15 TMG).
Bei Verstößen drohen Rechtsfolgen, z.B. für vorsätzliches oder fahrlässiges Unterlassen,
Schadensersatzpflicht (§ 43 Abs. 2 GmbHG, § 93 Abs. 2 AktG), (Fristlose) Kündigung, Abberufung und Geldbuße (§ 130 OWiG).
Es gibt umfangreiche Rechtssprechung (Quellen/Urteile: Dr. Volker Hees, Düsseldorf, www.hlfp.de), u.a. zu mangelnder Aufsichtskontrolle, Auswahl von Aufsichtspersonen, ungenügenden Rechtskenntnissen, fehlenden Belehrungen und Anweisungen, ungenügender oder fehlender Organisation und Kontrollsystemen, Kündigung wegen mangelhaftem Risikomanagement und Führen verdeckter, schwarzer Kassen.
Maßgeblich für betriebsinterne Ermittlungen ist § 32 Abs. 1 BDSG. Bei präventivem Handeln ("Compliance"), also Maßnahmen, die allgemein auf die Verhinderung von Straftaten und sonstigen Rechtsverstößen gerichtet sind, ist § 32 Abs. 1 Satz 1, 2. Variante BDSG heranzuziehen, wenn personenbezogene Daten von Beschäftigten (§ 3 Abs. 11 BDSG) erhoben, verarbeitet oder genutzt werden. Alle nicht präventiv ausgerichteten Maßnahmen zur Aufdeckung von Straftaten müssen einer umfassenden Prüfung und Dokumentation nach § 32 Abs. 1 Satz 2 BDSG unterzogen werden, wenn sie datenschutzrechtlich Bestand haben sollen.
In jedem Einzelfall ist sowohl in der Prävention, wie auch in der Repression eine Interessenabwägung zwischen dem Arbeitgeber und dem schutzwürdigen Interesse des Betroffenen (Arbeitnehmer) erforderlich.
Ein überwiegendes Interesse des Arbeitgebers besteht bei der Aufdeckung von Straftatbeständen, die das Unternehmen schützen (Betrug, Untreue, Geheimnisverrat, Wirtschafts-, Bank- und Finanzkriminalität, Insider-Geschäfte) und bei Verstößen gegen die Menschenrechte.
Man kann von einem überwiegenden Interesse des Arbeitnehmers ausgehen, wenn es sich um einfache Bagatelldelikte handelt, kein erheblicher Schaden eingetreten ist, die Privat- und/oder Intimsphäre des Mitarbeiters betroffen ist oder es sich lediglich um Verletzung von internen Ethik-Regeln handelt.
Bei Missachtung der Datenschutzgesetze drohen außer einem Beweisverwertungsverbot, Unterlassungs- und Ersatzansprüchen des Arbeitnehmers, Geldbußen bis 300.000 Euro durch die Aufsichtsbehörde (§ 34 Abs. 2 und 3 BDSG sowie Geld- oder Freiheitsstrafen bis zwei Jahre (§ 44 BDSG).
Betriebsinterne Ermittlungen sind mit den Änderungen des Bundesdatenschutzgesetzes schwieriger geworden. Der Datenschutz ist bei Präventionsmaßnahmen gegen Kriminalität und arbeitsrechtliche Verfehlungen zu beachten. Es kann zur Kollision von schutzwürdigen Aufklärungs- und Verfolgungsinteressen des Arbeitgebers mit Persönlichkeitsrechten der Mitarbeiter kommen. Bei Missachtung des Datenschutzes drohen Beweisverwertungsverbot, Unterlassungs- und Ersatzansprüche des Arbeitnehmers, Geld- und Freiheitsstrafen.
Sachbereich: D4 Fachspezifische Themen - Private Ermittlungen

References: BGH 
 § 91
 Art. 5
 Art. 12
 § 32
 Art. 2
 Art. 1
 Art. 10
 § 206
 § 148
 § 89
 § 88
 § 22
 § 93
 § 32
 § 32
 § 32