5) Die Kontrolle der automationsunterstützten Personaldatenverarbeitung

Eine Kontrolle der auf den Arbeitnehmer sich beziehenden Personaldaten ist nur durch die Transparenz der Datenverarbeitung möglich, der durch ein zweistufiges Verfahren im DSG entsprochen werden soll. In der ersten Stufe ist die automationsunterstützte Datenverarbeitung entweder durch Eintrag in das Datenregister (§ 23 DSG) oder direkt durch die Verständigung des Betroffenen (§ 22 DSG) bekanntzumachen. Von der Verständigung der Betroffenen wurde in der Praxis häufig Gebrauch gemacht, weil scheinbar das Kontrollbedürfnis über ein Register nicht entsprechend vorhanden ist bzw vom DSG selbst nicht geweckt wird. Zusätzlich wirft auch das Datenschutzregister wiederum datenrechtliche Probleme auf, da die Registrierungsvorschriften im  besonderen Maße auf eine Übereinstimmung mit dem Grundrecht auf Geheimhaltung zu überprüfen sind.[1]) Doch auch bei einer lediglichen Verständigung der Betroffenen sind selbige über Bestand und wesentlichen Inhalt der Verarbeitung (Verarbeitungszweck, verarbeitete Datenkategorien, regelmäßige Übermittlungsvorgänge) zu informieren.

In der zweiten Stufe haben die Betroffenen die Möglichkeit, auf Antrag Auskunft über die sie betreffenden Daten, deren Herkunft sowie deren Empfänger zu erhalten (§ 25 DSG), weil die ledigliche Information über die Datenerhebung keinen allgemeinen Überblick vermitteln kann.[2]) Dieser Anspruch auf Auskunft ist auch verfassungsrechtlich festgelegt (§ 1 Abs 3 DSG) und konkurriert mit dem arbeitsrechtlichen Einsichtsrecht in die Personalakte (vgl § 89 Abs 1, 4 ArbVG). Leider ist das Einsichtsrecht im Individualarbeitsrecht nicht ausdrücklich geregelt, so dass es schwierig ist, die auftretenden Konkurrenzen zu untersuchen. Grundsätzlich kann eine solche Einsichtnahme einem überwiegenden Interesse des Arbeitgebers oder eines Dritten entgegenstehen. Die sich daraus ergebende mögliche Einsichtsverweigerung stützt sich auf das Grundrecht auf Datenschutz, das in Verfolgung des Geheimhaltungsaspektes auch eine einfachgesetzliche Umsetzung im DSG erfahren hat (§ 25 Abs 5 DSG).

In seiner Summe versetzt dieses System den Arbeitnehmer in die Lage, sich korrigierender Kontrollmittel zu bedienen. Auch hier ist ein Recht auf Richtigstellung (§ 26 DSG) und ein Recht auf Löschung von Daten (§ 27 DSG) verfassungsrechtlich verankert (§ 1 Abs 4 DSG). Es ist besonders darauf hinzuweisen, dass bei der Richtigstellung von Daten nicht in einer Art Vorfrage über strittige Ansprüche aus dem Arbeitsvertrag zu entscheiden ist.[3]) Genauso wenig sollen hier Werturteile des Arbeitgebers überprüft oder bekämpft werden.[4]) Beide Anliegen gehören nicht zum Datenschutz! Denn der Zweck einer Richtigstellung von Daten wird wohl darin liegen, Widersprüche zwischen Daten und Rechtstatsachen zu beseitigen.

Die Löschungspflicht ist nun im Zusammenhang mit § 17 DSG zu sehen, weil Daten dann zu löschen sind, wenn sie rechtswidrig erfasst oder gespeichert wurden. Die Maßstäbe dafür ergeben sich aus § 17 des DSG. Mit dem Anspruch auf Löschung korrespondiert natürlich der Anspruch des Betroffenen auf die Beseitigung eines gesetzwidrigen Zustandes (§ 28 Abs 2 DSG), dem gegebenenfalls durch Löschung nachzukommen ist.

War eine Datenverarbeitung niemals rechtmäßig, entsteht nach § 27 Z 1 DSG eine unmittelbare Löschungspflicht. Sind Daten ursprünglich rechtmäßig verarbeitet worden, fällt aber mit Verlauf der Zeit der “berechtigte Zweck” gem § 17 DSG des Arbeitgebers auf Speicherung und Verarbeitung der Daten weg, kann per Antragstellung des Betroffenen nach § 27 Z 2 DSG eine Löschung verlangt werden. 

[1]) Duschanek, Arbeitsverhältnis und Datenschutz, ZAS 1983, 88.

[2]) Schrank, Betriebsverfassungsrechtlich zustimmungsfreie Personaldatenverarbeitung, ZAS 1990, 38.

[3]) Grillberger, Rechtliche Grenzen der Ermittlung von Arbeitnehmerdaten im Arbeitsrecht und Datenschutzgesetz, in: FS - Floretta 386.

[4]) Duschanek, Arbeitsverhältnis und Datenschutz, ZAS 1983, 89.