Source: https://www.yumpu.com/de/document/view/50309837/gesprach-mit-der-deutschen-bahn-ag-a-1-4-ber-die-
Timestamp: 2020-01-22 23:55:58+00:00

Document:
GesprÃ¤ch mit der Deutschen Bahn AG Ã¼ber die ...
Gespräch mit der Deutschen Bahn AG über die Geschäftsbeziehungendes Unternehmens mit der Network Deutschland GmbH am 28. Oktober2008Teilnehmer:Herr Dr. B. -Herr W.Herr Dr. S.Herr H.Frau S.Herr H.1. Hinweis nach § 38 Abs. 3 Satz 2 und 3 Bundesdatenschutzgesetz(BDSG)Die Vertreter der Deutschen Bahn AG wurden nach § 38 Abs. 3 Satz 3 BDSG überdas Auskunftsverweigerungsrecht gegenüber der Aufsichtsbehörde nach § 38BDSG informiert. Danach kann der Auskunftspflichtige die Auskunft auf solcheFragen verweigern, deren Beantwortung ihn selbst oder einen der in § 383 Abs. 1Nr. 1 bis 3 Zivilprozessordnung (ZPO) bezeichneten Angehörigen der Gefahrstrafrechtlicher Verfolgung oder eines Verfahrens nach dem Gesetz über Ordnungswidrigkeitenaussetzen würde.2. Verhältnis Bekämpfung von Wirtschaftskriminalität und Korruptionzum DatenschutzIn ihrer Eingangserklärung stellte die Aufsichtsbehörde nicht in Zweifel, dass dieDeutsche Bahn AG wie alle anderen verantwortlichen Stellen auch ein berechtigtesInteresse daran hat, Wirtschaftskriminalität und Korruption zu bekämpfen.Dies ändert aber nichts daran, dass die Maßnahmen zur Verhinderung und Aufdeckungvon Kriminalität datenschutzkonform sein, also die schutzwürdigen Interessender Betroffenen in ausreichender Form berücksichtigen müssen.3. Arbeitsweise der Network Deutschland GmbH (allgemein)Die Network Deutschland GmbH ist nach Aussage der Vertreter der Deutschen
Bahn AG ein kleines Unternehmen mit vier bis sechs Mitarbeitern, die von derAusbildung her Mathematiker oder Informatiker seien. Das Unternehmen sei fürdie Deutsche Bahn AG insbesondere aufgrund ihrer internationalen Kontakte interessantgewesen, so habe die Muttergesellschaft der Network DeutschlandGmbH ihren Sitz in Großbritannien, hierdurch sei das verhältnismäßig kleine Unternehmenauch in der Lage gewesen, internationale Ermittlungen durchzuführen.Die Network Deutschland GmbH habe je nach Auftrag weitere Stellen für Unterstützungsdiensteeingeschaltet. Hierbei könne es sich um Arbeiten von Detektiven,aber auch von Spezialisten wie Sprachwissenschaftler usw. gehandelt haben.Die Network Deutschland GmbH wurde von der Deutschen Bahn AG für die verschiedenstenFälle eingeschaltet, ihr Leistungsspektrum war sehr groß.4. Wie kam der Geschäftskontakt zur Network Deutschland GmbH 1998zustande?Der Kontakt zur Network Deutschland GmbH kam im Rahmen eines Seminars zustande,in welchem Herr G., der Vorgänger von Herrn Dr. B., Herrn K. von derNetwork Deutschland GmbH kennen lernte. Hauptgrund für den Beginn der Zusammenarbeitwaren die internationalen Kontakte und Möglichkeiten der NetworkDeutschland GmbH (s. o.). Bei dem ersten Auftrag ging es um die Prüfungdes Verfahrens bei der Vergabe eines Neuauftrags für den Bau eines Schiffes.Hier bestand der Verdacht auf Manipulationen.5. AuftragserteilungDie Aufträge wurden ausschließlich mündlich erteilt, entsprechend der Praxis beider Deutschen Bahn AG gibt es auch kein kaufmännisches Bestätigungsschreiben.Nach Auffassung der Vertreter der DB AG seien auch keine schriftlichen Aufträgeerforderlich gewesen, da die Aufträge nicht ausgeschrieben wurden. DieVertreter der Aufsichtsbehörde waren überrascht darüber, dass die DeutscheBahn AG Aufträge im Wert von über 800.000 Euro nur mündlich erteilt. Die Vertreterder Deutschen Bahn AG haben auch dann keine schriftlichen Aufzeichnungengefertigt, wenn vor einem Großprojekt ein Workshop stattgefunden hatte.Aufzeichnungen wurden dann nur von den Vertretern der Network DeutschlandGmbH gemacht. Bei den Großprojekten und bei kleineren Projekten, die zu Verdachtsfällenführten, wurden von der Network Deutschland GmbH Gutachten erstellt.Diese enthielten eine Aufgabenbeschreibung und die Zielsetzung des Auf-
trages. Bei kleineren Projekten, die ergebnislos blieben oder zu einer Entlastungdes Betroffenen führten, wurde kein schriftlicher Bericht erstellt. Dies sei nachAussage der Vertreter der Deutschen Bahn AG aus Fürsorgegesichtspunkten gegenüberden Betroffenen erfolgt, eine Aussage, die von der Aufsichtsbehörde inZweifel gezogen wird. Für einen Betroffenen kann es auch hilfreich sein, wenn beieinem unbegründeten Verdacht seine Unschuld schriftlich dokumentiert wird.6. Datenübermittlung an die Network Deutschland GmbH bei AuftragserteilungBei der Auftragserteilung oder auch im Laufe der Auftragsbearbeitung wurdenpersonenbezogene Daten von der Deutschen Bahn AG an die Network DeutschlandGmbH übermittelt. Der Umfang der übermittelten Datensätze richtete sichnach den jeweiligen Aufträgen. Hierzu führte Herr Dr. B. aus, die Datenübermittlungsei je nach Verdachtsmomenten und in angemessener Menge erfolgt, beider Revision sei eine ausreichende Sensibilität im Umgang mit Daten vorhanden.Von der Möglichkeit, in geeigneten Fällen Daten zu anonymisieren, hat die Revisionallerdings keinen Gebrauch gemacht.7. Wie viele und welche Personen waren von den jeweiligen Ermittlungenbetroffen?Bei den Großprojekten waren teilweise mehr als Tausend Personen, insbesondereMitarbeiter betroffen, bei den Kleinprojekten insgesamt ca. 500. Genauere Zahlengebe es nach Mitteilung der Vertreter der DB AG nicht. Es wurden Mitarbeiter,Ehepartner von Mitarbeitern, Lieferanten und sonstige Vertragspartner überprüft,nicht jedoch Fahrgäste.8. Konkrete VerdachtsmomenteDie Network Deutschland GmbH wurde eingeschaltet, wenn ein konkreter Verdachtfür eine Tat vorlag. Die Überprüfung betraf dann aber auch Personen, gegendie kein konkreter Verdacht vorlag. Verdachtsmomente waren somit tat- undnicht täterbezogene.9. Einzelne Berichtea) Projekt Rubens/TOPROVerdacht: VorteilsannahmeÜberprüft wurden vier Mitarbeiterinnen und Mitarbeiter. Dazu wurden die Festplattender PCs und deren im Netz gespeicherten Dateien kopiert. Die Maßnahme
erfolgte ohne Kenntnis der Betroffenen. Zusätzlich wurden deren Büros nach entsprechendemBeweismaterial durchsucht (Seite 2).Rechercheergebnis waren u. a.- kein auffallender Lebensstil,- Vielzahl von Konten sowie- Ermittlungen innerhalb des dienstlichen Bereichs der Betroffenen (Zitat von Äußerungenwie z. B.: „Setzt sich für Projekt X ein“ - Seite 40). Untersucht wurdenferner private Geld- und Kontenbewegungen (Seite 38) sowie Reisetätigkeitenund Familienverhältnisse (ebenso Seite 38) und Analyse der im Internet besuchtenSeiten der Überprüften (Seite 34).b) Projekt BabylonVerdacht auf LieferantenaffinitätZu diesem Zweck wurden Adressvergleiche durchgeführt. Mitarbeiterdaten (Anschriften,Name und Personalnummer, Kontonummer und Kreditinstitut) wurdenauf Übereinstimmungen überprüft. Die Mitarbeiterdaten wurden nach sogenanntenBewertungsgraden aufgeführt (Anlage 1 zu dem Projekt).Bewertungsgrad 1 - 220 MitarbeiterBewertungsgrad 2 - 96Bewertungsgrad 3 - 94Bewertungsgrad 4 - 249Bewertungsgrad 5 - 83Mit Kontonummer und Kreditinstitut wurden 125 Mitarbeiterdaten überprüft. ImBerichtsauftrag findet sich der Passus: „Nach Abschluss dieses Teils wurde derAuftrag dahingehend erweitert, neben Adressen auch die Bank- und Telefonverbindungenin die Untersuchungen einzubeziehen“ (Seite 1)Nach Mitteilung von Herrn Dr. B. wurden jedoch keine Telefonverbindungen überprüft.c) Projekt Theodor Heuss / FährschiffVerdacht: Unregelmäßigkeiten bei Vergabe und AusschreibungEs wurden Vertragsdaten wie Datum und Tageszeit dokumentiert.
d) Projekt ThymianVerdacht auf VorteilsannahmeÜbermittlung der Deutschen Bahn AG an die Network Deutschland GmbH von folgendenDaten: Name, Funktion und Anschrift sowie bei zwei Mitarbeitern die Gehaltsgruppe.Insgesamt wurden vier Mitarbeiterinnen und Mitarbeiter überprüft.Die Berichte von Network geben Auskunft zu:- Familienstand,- finanzielle Verhältnisse, insbesondere zu Immobilien, Fahrzeugen- beruflichen Werdegang sowie- über Ermittlungen zum Ehegatten (Seite 2, 3 und 5).e) Projekt TwisterHier wurden offensichtlich keine personenbezogenen Daten bzw. Mitarbeiterdatenverwendet.f) Projekt UhuVerdacht: Urkundsdelikt, falsche Verdächtigung, üble NachredeEin Mitarbeiter hatte unter einem falschen Namen Herrn Mehdorn eines Steuerdeliktsbezichtigt und sich in einem Schreiben an mehrere Finanzbehörden gewandt.Dabei offenbarte er Informationen, zu denen etwa 40 Mitarbeiter Zuganghatten. Es wurden der Name, der Vorname und die Personalnummer der Betroffenenübermittelt, außerdem wurden zahlreiche dienstliche E-Mails der Betroffenenohne ihr Wissen an die Network Deutschland GmbH übermittelt. Diese Schreibenenthielten auch personenbezogene Daten Dritter, die Revision hat auf eine Anonymisierungdieser Daten verzichtet.Die Network Deutschland GmbH ließ ein Schriftstilgutachten durchführen, diesesführte zu dem Ergebnis, dass ein bestimmter Mitarbeiter mit großer Wahrscheinlichkeitdie Strafanzeige verfasst hatte. Allerdings wurde das Prüfergebnis vonden Arbeitsgerichten nicht anerkannt. Die Kündigung wurde von den Arbeitsgerichtenals unwirksam angesehen. Alle überprüften Mitarbeiter wurden sprachlichbewertet, einem Mitarbeiter wurde ein niedriges Sprachniveau attestiert, er würdewohl nicht besonders gerne schreiben. Da die Revision wahllos E-Mails der Betroffenenan die Network Deutschland GmbH übermittelt hat, enthielten dieSchreiben auch Informationen wie die Kontonummer der Ehefrau, Schreiben anden Betriebsrat, Besprechung beim Betriebsrat etc..
g) Projekt AltmühlHier wurden ehemalige Mitarbeiter kontrolliert, die zu einem ehemaligen Tochterunternehmenwechselten, nachdem sie vorher für den Verkauf dieses Unternehmenszuständig waren.h) Projekt EichhörnchenZielgruppe waren die Top-Tausend-Führungskräfte der Deutschen Bahn AG undihre Ehepartner. Geprüft wurden 774 Mitarbeiter und 500 Ehepartner. Ziel derÜberprüfung war es, dass wirtschaftliche Engagement dieses Personenkreises außerhalbder Deutschen Bahn Gruppe zu untersuchen. Für die Überprüfung wurdender Network Deutschland GmbH folgende personenbezogene Daten übergeben:Name, Personalnummer, Anschrift, Telefonnummer, Name des Ehepartners(die Daten über die Partner stammen aus einer Datei für verbilligte Fahrkarten).Die Network Deutschland GmbH recherchierte in Handelsregistern, Firmendatenbankenetc.. Im Ergebnis erhielt die Deutsche Bahn AG eine tabellarische Zusammenstellungfolgender Daten: Name, Vorname, Art der Zuordnung, Funktion, Personalnummer.Außerdem erhielt die Deutsche Bahn AG detaillierte Angaben zuden erzielten Treffern, also Position, Firmensitz, Gründungsdatum, Stammkapital,Jahresumsatz, Bonität, Mitarbeiterzahl, bei Gesellschaften auch Name und Vornameder Gesellschafter sowie Zweck und Ausrichtung des Unternehmens.i) Projekt TraviataZiel war die Feststellung des Verbleibs aller Triebfahrzeuge aus dem Fehlbestand.Untersucht wurden 26 Excel- und Word-Dateien, u. a. Listen von Recyclingfirmenmit Adressen und Ansprechpartnerdaten, Schreiben an Recyclingunternehmen,Schreiben mit der Liste gültiger Lieferanschriften von Zerlegfirmen, Liste einesMitarbeiters, der u. a. mit dem Verkauf von Fahrzeugen beschäftigt war. Als Ergebniserhielt die Deutsche Bahn AG einen Bericht über die Orte, in denen diemeisten Triebfahrzeuge verschwunden sind.10. Telefonverbindung, Bank- und SteuerdatenDie Deutsche Bahn AG legte Wert auf die Feststellung, dass Telefon-, Bank- undSteuerdaten anders als im Telekom-Fall nicht ausgewertet worden seien. Allerdingsräumten die Vertreter der Deutschen Bahn AG auf Nachfrage ein, dass siebezüglich der Umsetzung der Aufträge keine Vorgaben gemacht haben, entscheidendwar nur das Ergebnis. Insofern kann die Deutsche Bahn AG zumindest nicht
ausschließen, dass die Network Deutschland GmbH auch Telefonverbindungen,Bank- und Steuerdaten ausgewertet hat. So ist ihr auch nicht bekannt, ob undwenn ja in welchen Fällen Unteraufträge verteilt wurden, hierzu war die NetworkDeutschland GmbH jedenfalls unbeschränkt berechtigt.11. VerfahrensverzeichnisDie Zusammenarbeit mit der Network Deutschland GmbH findet keinen Niederschlagin dem Verfahrensverzeichnis nach § 4 g i. V. m. § 4 e BDSG.12. Informationen an den betrieblichen DatenschutzbeauftragtenDer betriebliche Datenschutzbeauftragte wurde über die Zusammenarbeit mitder Network Deutschland GmbH und die Datenflüsse zwischen der DeutschenBahn AG und der Network Deutschland GmbH nicht informiert. Es wurde auchnicht überprüft, ob eine Vorabkontrolle nach § 4 d Abs. 5 BDSG erforderlich ist.13. Beteiligung des BetriebsratsDer Betriebsrat wurde in keinem der Fälle der Zusammenarbeit mit der NetworkDeutschland GmbH beteiligt. Zur Begründung wurde vorgetragen, man habeZweifel an der Zuverlässigkeit bzw. Diskretion des (zu geschwätzigen) Betriebsrats.14. RechtsgrundlagenDie Aufsichtsbehörde geht davon aus, dass die Network Deutschland GmbH teilsDatenerhebung, -verarbeitung und -nutzung für eigene Zwecke betrieb, teils einegeschäftsmäßige Datenerhebung und -speicherung zum Zwecke der Übermittlung(Detekteitätigkeit). Die Datenübermittlung an die Network DeutschlandGmbH erfolgte nach Aussage von Herrn Dr. S. nach § 28 Abs. 1 Satz 1 Nr. 2BDSG. Die Aufsichtsbehörde räumt ein, dass dies die einzige in Frage kommendeNorm sei. Allerdings sei etwa kein berechtigtes Interesse der verantwortlichenStelle an Datenübermittlungen anzunehmen, wenn die Daten auch anonym hättenübermittelt werden können. Bei den schutzwürdigen Interessen der Betroffenensei auch zu berücksichtigen, dass das arbeitsrechtliche Schutzrecht die Einschaltungdes Betriebsrats oder datenschutzrechtliche Schutzrechte wie die Vorabkontrolledes betrieblichen Datenschutzbeauftragten nicht umgesetzt wurden,auch habe die Deutsche Bahn AG personenbezogene Daten an eine Stelle übermittelt,deren Arbeitsweise ihr unbekannt war.
15. Umsetzung des § 33 BDSG bei der Network Deutschland GmbHund/oder der Deutschen Bahn AGWeder die Network Deutschland GmbH noch die Deutsche Bahn AG haben nachAbschluss des Verfahrens die Betroffenen, deren Täterschaft sich nicht bestätigthat, nach § 33 BDSG benachrichtigt. Dies habe man laut Mitteilung der Vertreterder DB AG für nicht erforderlich gehalten, da die zu Unrecht Verdächtigten anschließendnicht benachteiligt worden wären.16. Zusammenarbeit mit CreditreformDie Deutsche Bahn AG arbeitet im Bedarfsfall mit der Creditreform zusammen.Die Gesprächspartner waren sich darin einig, dass Datenflüsse zwischen derDeutschen Bahn AG und der Creditreform nur dann datenschutzrelevant sind,wenn die Crefo-Auskunft Informationen über natürliche Personen enthält. DieÜbermittlung erfolgt im automatisierten Abrufverfahren, eine Aufzeichnung desberechtigten Interesses, wie es § 29 Abs. 2 letzter Satz BDSG fordert, wird nichtdurchgeführt. Man könne allerdings anhand der Aktenlage feststellen, aus welchemGrunde die Abfrage bei Creditreform erfolgte. Zum berechtigten Interesseführte Herr Dr. B. aus, dass die Deutsche Bahn AG für die Auskunft bezahlen würde,also könne man davon ausgehen, dass ein berechtigtes Interesse vorhandensei.17. Bekämpfung der Korruption und Wirtschaftskriminalität heuteDie Compliance-Abteilung hat die Aufgabe der Bekämpfung der Wirtschaftskriminalitätund der Korruption übernommen. Die Aufsichtsbehörde bat darum, ihr zudiesem Bereich das Verfahrensverzeichnis zuzuleiten.
Seite 2 und 3: Bahn AG ein kleines Unternehmen mit
Seite 4 und 5: erfolgte ohne Kenntnis der Betroffe
Seite 6 und 7: g) Projekt AltmühlHier wurden ehem
Seite 8: 15. Umsetzung des § 33 BDSG bei de
Magazin: GesprÃ¤ch mit der Deutschen Bahn AG Ã¼ber die ...

References: § 38
 § 38
 § 38
 § 383
 § 4
 § 4
 § 4
 § 28
 § 33
 § 33
 § 29
 § 33