Source: http://docplayer.org/5089097-Bekanntgabe-des-zugangscodes-an-die-vorstandsmitglieder-und-ueberwachung-der-angestellten-durch-den-arbeitgeber.html
Timestamp: 2018-02-23 17:02:15
Document Index: 321327612

Matched Legal Cases: ['Art. 60', 'Art. 100', 'Art. 2', 'Art. 4', 'Art. 3', 'Art. 4', 'Art. 22', 'Art. 3', 'Art. 89', 'Art. 5', 'Art. 26', 'BGE']

Bekanntgabe des Zugangscodes an die Vorstandsmitglieder und Überwachung der Angestellten durch den Arbeitgeber - PDF
Download "Bekanntgabe des Zugangscodes an die Vorstandsmitglieder und Überwachung der Angestellten durch den Arbeitgeber"
1 Autorité cantonale de la transparence et de la protection des données ATPrD Kantonale Behörde für Öffentlichkeit und Datenschutz ÖDSB Kantonale Datenschutzbeauftragte Chorherrengasse 2, 1700 Freiburg Kantonale Behörde für Öffentlichkeit und Datenschutz Chorherrengasse 2, 1700 Freiburg Route des Cliniques 17, 1701 Freiburg Verein Z T , F Referenz: Bekanntgabe des Zugangscodes an die Vorstandsmitglieder und Überwachung der Angestellten durch den Arbeitgeber ( ) ( ) Die Fragen, die Sie uns stellen, lassen sich in datenschutzrechtlicher Hinsicht wie folgt formulieren: 1. Ist es im Hinblick auf den Datenschutz zulässig, den Vorstandsmitgliedern einen Zugangscode bekannt zu geben (namentlich durch den Präsident) und ihnen so den Zugriff auf die im Computersystem gespeicherten Daten zu ermöglichen? 2. Ist der Arbeitgeber befugt, ohne besonderen Grund auf das Computersystem seiner Angestellten zuzugreifen und ohne ihr Wissen Daten einzusehen sowie ihre Internetnutzung und Telefonanrufe zu kontrollieren? Nachdem wir einige Erkundigungen eingezogen haben, können wir Ihre Fragen wie folgt beantworten (Artikel 31 Abs. 2 Bst. b des Gesetzes vom 25. November 1994 über den Datenschutz, DSchG), wobei wir uns eine allfällige umfassendere Stellungnahme vorbehalten. Wir stellen fest, dass das angesprochene Problem nicht eigentlich den Datenschutz betrifft, sonder eher eine Frage der Beziehung zwischen Arbeitgeber und Arbeitnehmer sowie des Arbeitsrechts ist. Wir beschränken uns daher darauf, unter dem datenschutzrechtlichen Gesichtspunkt auf Ihre Fragen einzugehen und den arbeitsrechtlichen Aspekt offen zu lassen. Sie haben es abgelehnt, dass wir uns mit diesen Fragen auch an den Vorstand wenden. Unsere Stellungnahme wäre gegebenenfalls im Lichte weiterer Argumente zu ergänzen.
2 Zunächst gehen wir auf die Frage der Bekanntgabe von Daten (in diesem Fall der Zugangscode) an die Vorstandmitglieder ein (A), danach auf die Frage der Überwachung von Angestellten durch den Arbeitgeber (B). A. Bekanntgabe des Zugangscodes an die Vorstandsmitglieder 1. Allgemeines Der Verein Z besteht seit ( ). Er ist ein privater, nicht gewinnorientierter Verein (im Sinne von Art. 60 OR), dessen Mitglieder öffentliche Dienste, Kollektivmitglieder und natürliche Personen sind (Statuten ). Nach unseren Informationen ist der Verein mit einer Betriebsbewilligung (Art. 100 des Gesundheitsgesetzes vom 16. November 1999; Verfügung vom 9. Februar 2004 der Direktion für Gesundheit und Soziales des Kantons Freiburg). Damit erfüllt der Verein öffentliche Aufgaben, und das DSchG ist auf sie anwendbar (Art. 2 Abs. 1 Bst. b DSchG). Personendaten dürfen nur dann bekannt gegeben werden, wenn eine gesetzliche Bestimmung es vorsieht oder wenn im Einzelfall das öffentliche Organ, das die Daten anfordert, diese für die Erfüllung seiner Aufgabe benötigt (Art. 4 und 10 Abs. 1 Bst. a DSchG). Dabei ist zu bemerken, dass für die Bearbeitung besonders schützenswerter Personendaten eine besondere Sorgfaltspflicht gilt (Art. 3 und 8 DSchG), so etwa in Fällen von Adoption, Vaterschaftsanerkennung, bei Angaben über den Gesundheitszustand von Eltern und Kindern usw. Wir prüfen also, ob diese Bedingungen erfüllt sind. 2. Gesetzliche Grundlage und Aufgabenerfüllung des öffentlichen Organs (Art. 4 und 10 Abs. 1 Bst. a DSchG) Diese Bekanntgabe ist in keiner gesetzlichen Bestimmung vorgesehen. Da es sich jedoch um einen privaten Verein handelt, ist in den Statuten eine Bestimmung über die Vorrechte des Vorstands enthalten. So ist der Vorstand insbesondere befugt, die Tätigkeiten zu kontrollieren (Art. xxx der Statuten). Nach Artikel xxx dieser Statuten muss die Tätigkeit des Mitarbeiters in einem vom Vorstand erlassenen Pflichtenheft umschrieben sein. Der Mitarbeiter steht den Klienten zur Verfügung. Seine Hilfe und Unterstützung kann freiwillig in Anspruch genommen werden, er macht Hausbesuche und bietet Beratungen an. Nach den uns vorliegenden Statuten ist der Zugriff auf die im Computersystem der Z enthaltenen Daten nicht geregelt, so dass dieser Aspekt nach den datenschutzrechtlichen Grundsätzen zu beurteilen ist. Bei der Bearbeitung von Personendaten muss das öffentliche Organ die geeigneten organisatorischen und technischen Massnahmen treffen, um die Daten gegen jedes unerlaubte Bearbeiten und jede Verletzung der Vertraulichkeit zu schützen (Art. 22 Abs. 1 DSchG und 3 Abs. 1 des Reglements vom 29. Juni 1999 über die Sicherheit der Personendaten, DSR). Der Schutz ist gegenüber jeder Person innerhalb und ausserhalb der Verwaltung sicherzustellen (Art. 3 Abs. 2 DSR). Im vorliegenden Fall sind die Daten im Computersystem des Vereins mit einem Zugangscode geschützt, der in keinem Fall unbefugten Dritten bekannt gegeben werden darf.
3 Die Vorstandsmitglieder sind nicht berechtigt, die Daten der Personen zu bearbeiten, die die Dienste der Mitarbeiter in Anspruch nehmen. Demnach sollten sie auch keinen Zugriff auf diese Daten haben, die naturgemäss sensibel sein können. Sie sollten sich auf die Daten beschränken, die für die Kontrolle der Tätigkeit des Mitarbeiters notwendig sind, entsprechend den Statuen und ihrem Pflichtenheft, was keinen unbeschränkten Zugriff auf die besagten Daten voraussetzt. Sofern diese Informationen zur Erfüllung der statutarischen oder gesetzlichen Aufgaben nicht notwendig sind, müsste den Vorstandsmitgliedern den Zugriff auf diese Daten verwehrt werden. 3. Grundsatz der Verhältnismässigkeit Nach dem Grundsatz der Verhältnismässigkeit müssen die Daten und die Art ihrer Bearbeitung für den Zweck des Bearbeitens erforderlich und geeignet sein. Demnach beschränken sich die Daten auf das, was zur Erfüllung der Aufgabe des Organs, das sie anfordert, nötig ist. Im vorliegenden Fall übt der Vorstand gemäss den Statuten eine Kontrolle über die Tätigkeit der Mitarbeiter aus. Offenbar entspricht aber das gegenwärtige Vorgehen wie von Ihnen beschrieben (Zugriff auf sämtliche Informationen des Vereins über die Bekanntgabe des Zugangscodes) nicht dem oben ausgeführten Grundsatz der Verhältnismässigkeit. Die Vorstandsmitglieder sollten von Ihnen lediglich verlangen, ihnen die notwendigen Informationen zu liefern, die für ihre Kontrolle von Nutzen sind, ohne sich jedoch einen unbeschränkten Zugriff auf alle in den Dateien des Vereins enthaltenen persönlichen Informationen zu erlauben. Als Mitarbeiter (diplomierter Krankenpfleger mit Zusatzausbildung) sind Sie gemäss Artikel 89 Abs. 1 des freiburgischen Gesundheits-gesetzes vom 16. November 1999 an das Berufsgeheimnis gebunden, da Sie in einem Beruf des Gesundheitswesens arbeiten. Für Ihr Tätigkeitsgebiet gelten wahrscheinlich besondere Vorschriften in Bezug auf das Berufsgeheimnis. Vorläufig beziehen wir uns jedoch auf die im kantonalen Gesundheitsgesetz vom 16. November 1999 enthaltenen Vorschriften über das Berufsgeheimnis (Art. 89; SGF ). 4. Grundsatz der Zweckbindung (Art. 5 DSchG) Nach dem Grundsatz der Zweckbindung dürfen Personendaten nur zu dem Zweck bearbeitet werden, für den sie beschafft wurden, oder zu einem Zweck, der mit diesem nach Treu und Glauben vereinbar ist. Es scheint nicht mit dem Grundsatz der Zweckbindung vereinbar zu sein, den Vorstandsmitgliedern ein unbeschränktes Zugriffsrecht in Bezug auf besonders schützenswerte Personendaten zu gewähren, wenn Sie nicht informiert werden, wozu der Vorstand die beschafften Daten genau verwenden will. Nach dem gegenwärtigen Stand unserer Informationen scheint der Zugriff auf die im Computersystem des Vereins gespeicherten Personendaten über einen gemeinsamen Zugangscode der Mitarbeiter und der Vorstandsmitglieder und in datenschutzrechtlicher Hinsicht nicht zulässig zu sein.
4 B. Überwachung der Angestellten durch den Arbeitgeber Die rechtlichen Grenzen für die Überwachung der Angestellten leiten sich hauptsächlich aus dem Arbeitsrecht, der Gesetzgebung über den Datenschutz und dem Strafrecht ab. Die Privatsphäre ist auch durch das Telekommunikationsgeheimnis geschützt. Der Eidgenössische Datenschutzbeauftragte hat sich mit dem Thema der Überwachung der Angestellten am Arbeitsplatz bereits befasst (s. Leitfaden über Internet- und -Überwachung am Arbeitsplatz, hrsg. vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten, Bern, Stand Juli 2002, S. 23 ff.). Ihm zufolge hat der Arbeitgeber das Recht, anonyme oder pseudonyme Kontrollen vorzunehmen, wenn er solche Kontrollen vorher ankündigt, beispielsweise in einem internen Reglement über die Überwachung (das allen Angestellten zugänglich sein muss). Eine Überwachung ist so genannt «anonym», wenn nicht festgestellt werden kann, wie die einzelnen Mitarbeitenden im Internet surfen. Stellt der Arbeitgeber einen Missbrauch fest, kann er personenbezogene Kontrollen durchführen. Allerdings sind personenbezogene Kontrollen nur dann erlaubt, wenn erstens ein Überwachungs-reglement vorliegt, in dem klar bestimmt ist, dass sich der Arbeitgeber das Recht vorbehält, personenbezogene Kontrollen vorzunehmen, und wenn zweitens der Arbeitgeber bei einer anonymen oder pseudonymen Überwachung einen Missbrauch festgestellt hat oder einen Missbrauch vermutet. Ein Missbrauch liegt dann vor, wenn ein Mitarbeiter die Vorschriften des Nutzungsreglements missachtet oder wenn er falls es kein Nutzungsreglement gibt seine Treuepflicht gegenüber dem Arbeitgeber oder das Verhältnismässigkeitsprinzip verletzt. Es wird jedoch empfohlen, den betreffenden Mitarbeiter zuerst zu verwarnen, bevor personenbezogene Kontrollen durchgeführt werden. Auch wenn diese Voraussetzungen erfüllt sind, müsste die Auswertung in pseudonymisierter Form erfolgen (z.b. Zuteilung einer Ziffernfolge als Pseudonym), damit die Aktivitäten der betreffenden Person von den Informatikdiensten anonym untersucht werden können. Eine permanente personenbezogene Überwachung von Angestellten ist hingegen in der Schweiz verboten (Art. 26 ArGV3). Mit diesem Verbot sollen die Angestellten vor ständiger und gezielter Verhaltensüberwachung am Arbeitsplatz geschützt werden (BGE 130 II 425). Nur zur Information möchten wir Sie auch auf die Verordnung vom 20. August 2002 über die Überwachung der Nutzung des Internets durch das Staatspersonal (SGF ) hinweisen obwohl sie nur für das Staatspersonal des Kantons Freiburg gilt -, die in Artikel 7 und 8 genaue Vorschriften über anonyme Gesamtkontrollen sowie personenbezogene Kontrollen enthält. So hat also der Arbeitgeber das Recht, anonyme oder pseudonyme Kontrollen durchzuführen, wenn er solche Kontrollen vorher ankündigt, beispielsweise in einem internen Überwachungsreglement (das für alle Mitarbeitenden zugänglich sein muss). Stellt der Arbeitgeber einen Missbrauch fest, hat er das Recht, personenbezogene Kontrollen durchzuführen. Eine permanente personenbezogene Überwachung der Angestellten ist hingegen in der Schweiz verboten. Demzufolge kommen wir zu folgenden Schlüssen: 1. Nach dem gegenwärtigen Stand der Informationen scheint der Zugriff auf die im Computersystem des Vereins gespeicherten Personendaten über einen gemeinsamen Zugangscode der Mitarbeiter und der Vorstandsmitglieder in datenschutzrechtlicher Hinsicht nicht zulässig zu sein.
5 2. Der Arbeitgeber hat das Recht, anonyme oder pseudonyme Kontrollen durchzuführen, wenn er solche Kontrollen vorher ankündigt, beispielsweise in einem internen Überwachungsreglement (das für alle Mitarbeitenden zugänglich sein muss). Stellt der Arbeitgeber einen Missbrauch fest, hat er das Recht, personenbezogene Kontrollen durchzuführen. Eine permanente personenbezogene Überwachung von Angestellten ist hingegen in der Schweiz verboten. Ich hoffe, dass Ihnen meine Bemerkungen von Nutzen sind, und stehe Ihnen für weitere Auskünfte gerne zur Verfügung. Freundliche Grüsse Anonymisierte Kopie an die Kontaktperson der GDS