Datenschutz contra Mitarbeiter IT Abteilung

Hallo zusammen,

in meinem Aufgabenbereich als SBV muss ich mich gerade intensiver mit dem Datenschutz beschäftigen, ins besonders mit dem Thema, wer hat Einblick in meine gespeicherte personenbezogene Daten besonderer Kategorie nach Art.9 DS-GVO?

Zur erforderlichen Datenspeicherung steht ein eigenes Laufwerk auf dem Netzwerkserver des Dienstgebers zur Verfügung. Zugriff auf dieses Laufwerk hat mein erster Stellvertreter, ich als SBV und auch alle Mitarbeitenden der IT Abteilung (halbes Dutzend Mitarbeitende) könnten derzeitig einen barrierefreien Einblick nehmen. Das mein Stellvertreter einen Zugriff hat, wird stets mit dem Mitarbeitenden abgesprochen und war bisher auch immer so in Ordnung.

Im Rahmen der Beratungstätigkeit muss ich auch abfragen, ob die Daten des Mitarbeitenden für die erforderliche Dauer auf diesem Laufwerk gespeichert werden dürfen. Ordnungsgemäß kläre ich auch darüber auf, wer Zugriff auf diese Daten hat. Das ein Mitarbeitender nicht möchte, dass seine Daten gespeichert werden, kam eigentlich selten vor. In einem solchen Fall wird halt eine Papierakte geführt, welche natürlich auch unter Verschluss gehalten wird oder ein passwortgeschützter USB Stick verwendet. Beides ist aber für meinen Stellvertreter wenig praktikabel, da dieser seinen Arbeitsplatz 30 Km entfernt hat.

Das bisherige Bild verändert sich gerade, denn immer mehr Mitarbeitenden wünschen nicht, dass ihre Daten gespeichert werden, da eben die Mitarbeitenden der IT Abteilung einen Zugriff haben könnten. Hier sei erwähnt, dass das Image der IT Abteilung seit Jahren schlechter wird. Auch gehe ich davon aus, dass die IT Mitarbeitenden tatsächlich keinen barrierefreien Zugang zu den Daten haben dürfen. Im Rahmen der Laufwerkspflege lässt sich ein Zugriff aber nicht vollständig ausschließen.

Kennt ihr das Problem?
Welche Lösung habt ihr bei euch?

Gruß
Phönix

Hallo,

das alle Mitarbeiter der IT unkontrolliert Zugriff auf die SBV-Daten haben, ist völlig inakzeptabel.
Selbst wenn Du in Einzelfällen sogar eine Zustimmung der betroffenen hast, ist aus meiner Sicht fraglich, ob eine derart weitreichende und nicht wirklich bestimmte Zustimmung rechtswirksam ist.
ich sehe Dich da in ständigem Konflikt mit § 179 Abs. 7 SGB IX,
https://www.gesetze-im-internet.de/sgb_9_2018/__179.html
dessen Verletzung in § 237b SGB IX strafbewehrt ist.

Ich bin zwar kein IT-Experte, aber unsere IT hat mir eine völlige Abschottung unserer Dateien sowie unseres speziellen Verwaltungsprogramms eingerichtet. Darüberhinaus habe ich mit unserer IT auch vereinbart, daß unsere Daten ausschließlich bei uns vor Ort in einem physischen Server gespeichert werden und nicht in irgendeiner "Cloud".
Bei Problemen vergeben wir, die SBV, eine temporäre Freigabe für die Einsicht zur Fehlersuche und -behebung.

Laut Auskunft unserer IT ist das auch relativ einfach und unkompliziert einzurichten.

By the way, da dies gerne vergessen wird: Diese Notwendigkeit der Abschottung gilt auch für Mail- und Kalenderprogramme. Bereits der Zweck eines Aufsuchens der SBV - zB zur Erstberatung - ist ein schützenswertes Datum. Bei den gängigen Mail- und Kalenderprogrammen sind idR viel zu viele Zugriffs- und Leserechte für Dritte voreingestellt.

--
&Tschüß

Wolfgang

Das bisherige Bild verändert sich gerade, denn immer mehr Mitarbeitende wünschen nicht, dass ihre Daten gespeichert werden, da halbes Dutzend der IT Abteilung einen Zugriff haben könnten.

Hallo,

eine Speicherung auf diesem Server würde ich als betroffener sbM kategorisch ablehnen unter diesen Umständen bzw. sofort widerrufen.

Gruß,
Cebulon

Hallo Phönix,

die Frage des unberechtigten Zugriffs auf sensible Daten der SBV ist ein wichtiges Thema.
Naturgemäß verfügen Administrator*innen über weitgehende Zugriffsberechtigungen, die auch erforderlich sind - Administrator*innen sollen im Zweifel alles steuern/regeln können.

Technisch ließe sich sicherlich auch die Administration ausschließen - beispielsweise durch Nutzung eines verschlüsselten Containers, in dem die vertraulichen Daten gespeichert sind. Hierfür bietet sich z. B. eine Software wie TrueCrypt an. Aber auch eine passwortgeschützte ZIP-Datei wäre möglich.

Die Rechtsprechung hat sich mit Blick auf entsprechende Befürchtungen des Betriebsrates bereits positioniert:

Das BAG dazu in seinem Beschl. v. 20.4.2016 (7 ABR 50/14): "Der Betriebsrat darf einen separaten, vom Proxy-Server des Arbeitgebers unabhängigen Internetzugang nicht allein deshalb für erforderlich halten, weil über den zentral vermittelten Internetzugang technisch die Möglichkeit besteht, die Internetnutzung und den E-Mail-Verkehr zu überwachen. Ebenso wenig wie die rein theoretische Möglichkeit der sachfremden Nutzung des Internetanschlusses durch Betriebsratsmitglieder dem Anspruch des Betriebsrats auf einen Internetzugang von vornherein entgegensteht, kann dem Arbeitgeber ohne das Vorliegen konkreter Anhaltspunkte unterstellt werden, dass er die Internetaktivitäten des Betriebsrats einschließlich des E-Mail-Verkehrs unzulässigerweise kontrolliert und damit den Grundsatz der vertrauensvollen Zusammenarbeit (§ 2 I BetrVG) missachtet."

Verneint hat das LAG Köln die Kostenübernahme für eine Verschlüsselungssoftware des Betriebsrates (Beschluss vom 9. 7. 2010 - 4 TaBV 25/10): "Zudem würde sich der Administrator nach § 202 a StGB strafbar machen. Gegen unberechtigten Zugang besonders gesicherte Daten sind auch solche, die durch Passwörter geschützt sind (vgl. Lackner, StGB, § 202 a Rdnr. 4 m. w. Nachw.). Der entsprechende strafrechtliche Schutz gilt auch gegenüber jeder sonstigen dritten, nicht vom Betriebsrat ermächtigten Person, insbesondere auch gegenüber jedem weiteren Mitarbeiter oder Organmitglied der Ag. Dass „Microsoft Ofice” einen Schutz durch Passwörter möglich macht, ist unstreitig. So hat die Ag. vom Ast. unbestritten vorgetragen, dass das System zwei Sicherheitsstufen gewährleistet: Es können Dokumente und Verzeichnisse, die in der Organisationseinheit „Betriebsrat” geschrieben und hinterlegt werden, ausschließlich von Betriebsratsmitgliedern eingesehen werden. Darüber hinaus kann das einzelne Betriebsratsmitglied, das ein Dokument erstellt und hinterlegt hat, über ein persönliches Passwort eine zusätzliche Sicherung schaffen. Mit dieser Sicherung über ein persönliches Passwort ist das einzelne Dokument bzw. Verzeichnis gesichert. Nach Darlegung der Ag. gilt dieses selbst gegenüber dem Administrator, was jedoch nach dem oben Gesagten dahinstehen kann.

Angesichts dieses arbeits- und strafrechtlichen Schutzes gegen ausforschende Eingriffe des Administrators ist es nicht ersichtlich, warum der Betriebsrat darüber hinaus einer Verschlüsselungsfunktion der Software bedürfte."

Abseits der strafrechtlichen Verantwortung ist bei einem unbefugten Datenzugriff durch die IT-Administration auch eine fristlose Kündigung ohne vorherige Abmahnung zulässig (LAG Köln, Urteil vom 14.5.2010 - 4 Sa 1257/09).

--
Gruß
Matthias

Hallo,
sämtliche IT-Mitarbeiter müssen eine besondere Verpflichtung zum Datenschutz unterschreiben.
Es werden sämtliche ZUgriffe auf Dateien automatisch protokolliert. Welcher User hat wann auf die Datei zugegriffen. Dieses Logbuch können die Admins einsehen, ausdrucken, aber nicht verändern oder löschen
VG
Hotte

--
Richard v. Weizsäcker:
"Nicht Behindert zusein,ist wahrlich kein Verdienst, sondern ein Geschenk, das jedem von uns jeder Zeit genommen werden kann."

Hey,
Wieso hat dein 1. Stellvertreter dauerhaften Zugriff auf die Daten?
VG
Hotte

--
Richard v. Weizsäcker:
"Nicht Behindert zusein,ist wahrlich kein Verdienst, sondern ein Geschenk, das jedem von uns jeder Zeit genommen werden kann."

Das der 1.Stellvertrer erst im Verhinderungsfall der SBV einen Zugriff auf die Daten haben darf, ist bekannt.

Würde von deiner Seite weitere Umstände dagegensprechen, wenn Dienstgeber, SBV mit Stellvertreter und die betroffenen Mitarbeiten einvernehmlich eine abweichende Vereinbarung treffen, Stichwort Bedarfsvertretung?

Gruß
Phönix

Das der 1.Stellvertrer erst im Verhinderungsfall der SBV einen Zugriff auf die Daten haben darf, ist bekannt.

Würde von deiner Seite weitere Umstände dagegensprechen, wenn Dienstgeber, SBV mit Stellvertreter und die betroffenen Mitarbeiten einvernehmlich eine abweichende Vereinbarung treffen, Stichwort Bedarfsvertretung?

Gruß
Phönix

Dann wurde eine abweichende Vereinbarung getroffen, die eindeutig gegen das Gesetz verstößt, u.a. Datenschutz.
Ich weiss nicht, wie es die anderen Forumsteilnehmer sehen, aber ich finde diese Vereinbarung als absolut unzulässig
VG
Hotte

--
Richard v. Weizsäcker:
"Nicht Behindert zusein,ist wahrlich kein Verdienst, sondern ein Geschenk, das jedem von uns jeder Zeit genommen werden kann."

Ist die Gesetzestreue der SBV in allen Bereichen absolut einzuhalten?

Manchmal muss man sich auch an den praktischen Erfordernissen orientieren, auch wenn ein Gesetz vielleicht anderes bestimmt. Solange sich Dienstgeber, SBV / 1.Stellvertreter und Mitarbeitender einig sind, dass der Einsatz des 1.Stellvertreters im Rahmen einer Bedarfsvertretung im Dienst des Menschen steht, ist dies für mich unproblematisch und nicht verwerflich.

Ein weiteres Beispiel sind z.B. Kopplungsgeschäfte mit dem Dienstgeber. Wenn ein solche Deal im Sinne der Mensch mit Schwerbehinderung oder Gleichstellung ist, warum nicht?

Gruß
Phönix

Ist die Gesetzestreue der SBV in allen Bereichen absolut einzuhalten?

Manchmal muss man sich auch an den praktischen Erfordernissen orientieren, auch wenn ein Gesetz vielleicht anderes bestimmt. Solange sich Dienstgeber, SBV / 1.Stellvertreter und Mitarbeitender einig sind, dass der Einsatz des 1.Stellvertreters im Rahmen einer Bedarfsvertretung im Dienst des Menschen steht, ist dies für mich unproblematisch und nicht verwerflich.

Ein weiteres Beispiel sind z.B. Kopplungsgeschäfte mit dem Dienstgeber. Wenn ein solche Deal im Sinne der Mensch mit Schwerbehinderung oder Gleichstellung ist, warum nicht?

Gruß
Phönix

Hey
eine sehr intresante Einstellung.
Je nach Bedarf hält man sich an Gesetze und fordert auch die Einhaltung und wenn es reinpasst, werden Gesetze wissentlich missachtet.
VG
Hotte

--
Richard v. Weizsäcker:
"Nicht Behindert zusein,ist wahrlich kein Verdienst, sondern ein Geschenk, das jedem von uns jeder Zeit genommen werden kann."

Man könnte es auch anders umschreiben, als Einzelfallentscheidungen im Sinne des Menschen! Man orientiert sich am Gesetz, lässt aber dem Dienstgeber und sich selbst noch Handlungs- oder Interpretationsspielräume. Sich strikt ans Gesetz zu halten, bringt keinen weiter!

Gruß
Phönix

Sich strikt ans Gesetz zu halten, bringt keinen weiter!

An sich würde ich dir darin sogar zustimmen, aber hier passt es nun wirklich nicht, weil du quasi in einem Atemzug Datenschutz als heiligen Gral erklärst und zugleich als ziemlich nachrangig, wenn er deine Arbeit kompliziert:
Du pochst akribisch aufs Gesetz in Sachen Datenschutz (!) wegen eventuellen Einblick-Möglichkeiten der IT, aber im gleichen Thread pfeifst du aufs Gesetz in Sachen Datenschutz (!) wegen sogar ganz sicheren Einblick-Möglichkeiten des Stellvertreters ... (*)

Du verstehst hoffentlich, warum hier der Eindruck entsteht, dass du dir selber recht massiv widersprichst und es dir nicht wirklich um den Datenschutz gehen kann, sondern nur ums Prinzip an sich, außer es beeinträchtigt deinen Komfort!

(*) Deine Einholung von Einverständnisse aller Betroffenen hat einen entscheidenden Haken: du kannst in keiner Weise vermeiden, dass immer wieder mal Daten in den Ordner und somit zur Kenntnis des Stellvertreters gelangen, für die du noch kein ausdrückliches Einverständnis der Zugänglichmachung gegenüber deinem Stelli einholen konnstest, nämlich wenn "neue Namen" in den Listen des AG auftauchen oder mal wieder ein Gleichstellungsantrag von einem MA hereinflattert (sofern du den Vorgang auch im Ordner ablegst), der bislang nicht zu deinen Schäfchen gehörte ...

Ein differenziertes Betrachten kann hilfreich sein?

Auf der einen Seite haben wir Mitarbeitende, die ihre Bedenken hinsichtlich der Datenspeicherung mitteilen, ohne die Möglichkeit von Absprachen und damit mit Handlungszwang zur Veränderung für die SBV.

Auf der anderen Seite eine Arbeitsweise, welche unter den Beteiligten abgesprochen ist bzw. wird. Es ist dabei natürlich hilfreich, dass mein 1.Stellvertreter als ordentliches MAV Mitglied eine Kopie der Anzeige zur Ausgleichsabgabe sowie des Namensverzeichnisses erhält und er darüber hinaus weitere Informationsechte und Möglichkeiten aus diesem Mandat hat.

Gruß
Phönix

Ein differenziertes Betrachten kann hilfreich sein?

Meistens. Und von vornherein mitgeteilte Details wären dabei hilfreich oder sogar zwingende Voraussetzung, wenn die anfangs weggelassenen Details signifikant für das Verständnis der Schilderung der Situation sind.

Ich schätze, den Ausflug zum Einblick für den Stellvertreter haben wir damit durch, also zurück zur IT:
Eine Lösung, dass die IT dir den Ordner einrichtet und - auf deine schriftliche Info/Aufforderung - dort auch Stellvertreter als weitere Berechtigte hinzufügt oder entfernt (wofür sie wiederum administrative Berechtigungen eben auch für diesen SBV-Ordner benötigt), dürfte durchaus branchenüblich und normal sein.
Es geht auch anders, aber an sich so ziemlich immer (deutlich?) umständlicher und aufwändiger, mithin leider auch fehleranfälliger. Auch wäre dabei zu überlegen, wie die IT dann ihrem Auftrag nachkommen kann, Datensicherheit und -verfügbarkeit mittels Backup sicherzustellen.

Die wohl beste Option für dich wäre dann vermutlich die zuvor schon genannte Option mit den verschlüsselten Containern (via VeraCrypt o.ä.). Dann könnte die IT den Ordner an sich sehen und dort ggf. auch den Container, Letzteren aber nur "von außen", sie hätte also keinen Zugriff und Einblick auf die Strukturen innerhalb des Containers.
Je nach eingesetzter Technik kommen natürlich auch andere Möglichkeiten in Betracht, den Inhalt des SBV-Ordners zu verschlüsseln.

Für die bisherigen Rückmeldungen und Einschätzungen bedanke ich mich und meine Vermutung, dass die Mitarbeitenden der IT keinen Zugriff auf personenbezogene Daten besonderer Kategorie haben dürfen, hat sich nicht nur hier bestätigt.

Nun werde ich Rahmen eines Lastenheftes die Anforderungen ausformulieren und denn an den Dienstgeber übermitteln. Als SBV kann es dann doch nicht meine Aufgabe sein, technische Lösungen an die IT heranzutragen. Wie die Anforderung gelöst wird, kann die IT dann in einem Pflichtheft darstellen.

Ob ich die Lösung nach der Umsetzung dann auch den Mitarbeitenden vermitteln kann, bleibt abzuwarten.

Gruß
Phönix

Für die bisherigen Rückmeldungen und Einschätzungen bedanke ich mich und meine Vermutung, dass die Mitarbeitenden der IT keinen Zugriff auf personenbezogene Daten besonderer Kategorie haben dürfen, hat sich nicht nur hier bestätigt.

Nun werde ich Rahmen eines Lastenheftes die Anforderungen ausformulieren und denn an den Dienstgeber übermitteln. Als SBV kann es dann doch nicht meine Aufgabe sein, technische Lösungen an die IT heranzutragen. Wie die Anforderung gelöst wird, kann die IT dann in einem Pflichtheft darstellen.

Ob ich die Lösung nach der Umsetzung dann auch den Mitarbeitenden vermitteln kann, bleibt abzuwarten.

Gruß
Phönix

Hey,
wie stellts du dir die Lösung oder Vorgehensweise bei technische Probleme vor, wenn die IT-Mitarbeiter keinen Zugriff mehr haben?
VG
Hotte

--
Richard v. Weizsäcker:
"Nicht Behindert zusein,ist wahrlich kein Verdienst, sondern ein Geschenk, das jedem von uns jeder Zeit genommen werden kann."

Es wird verschiedene Lösungen geben, von denen auch schon welche hier beschrieben wurden. Aber es ist nicht meine primäre Aufgaben für die IT Lösungen zu suchen, ich stell nur die Anforderungen. Wie die dann umgesetzt werden, ist Aufgabe des Dienstgebers.

Gruß
Phönix

Es wird verschiedene Lösungen geben, von denen auch schon welche hier beschrieben wurden. Aber es ist nicht meine primäre Aufgaben für die IT Lösungen zu suchen, ich stell nur die Anforderungen. Wie die dann umgesetzt werden, ist Aufgabe des Dienstgebers.

Gruß
Phönix

Hey
vor meiner Wahl zur SBV hatte ich ca. 20 Jahre als DV-Systembetreuer inkl. Hotline Service gearbeitet. Ohne bestimmte Zugriffsrecht hätte cih sehr viele Fehler und Störungen nicht beheben können.
Deine Forderung ist, das die IT-Mitarbeiter keinerlei Zugriffsrechte auf bestimmte Dateien haben.
Aus Sicht eines (ehemahligen) Itler sehe ich 2 Antwortmöglichkeiten
1. Forderung wird aus Datensicherheitsgründen abgelehnt, um jederzeit Störungen und/oder Fehler schnell und problemlos beheben zu können
2. Forderung wird stattgegeben, verbunden mit dem Hinweis das eine Systembetreung der betroffenen Dateien nicht mehr möglich ist.

Wäre schön, wenn du über das Ergebnis das Forum informieren würdest.
VG
Hotte

--
Richard v. Weizsäcker:
"Nicht Behindert zusein,ist wahrlich kein Verdienst, sondern ein Geschenk, das jedem von uns jeder Zeit genommen werden kann."

Im ersten Beitrag hatte ich bereits darauf hingewiesen, dass sich im Rahmen der Laufwerkspflege ein Zugriff wohl nicht vollständig ausschließen lässt. Der Dienstgeber wurde von mir in einem ersten Gespräch über die Anforderung informiert und auch dieser sieht hier ebenfalls einen Handlungsbedarf, denn es geht eben nicht nur um eine Lohnabrechnung, welche vielleicht eingesehen werden kann.

Gruß
Phönix

RSS-Feed dieser Diskussion

Forum für die SBV

Datenschutz contra Mitarbeiter IT Abteilung (Allgemeines)