#40 - Verbotene Hotelkommunikation - Zustimmung zu Datenverwendung ist keine Einwilligung

00:00:06:

00:00:18: Herzlich willkommen zu einer neuen Folge von Mein Darfenschutztheater, dem Podcast von meine Berater.

00:00:27: Servus lieber Mörfel!

00:00:29: Grüß dich liebe Birgit bei einer Jube-Lems-Folge.

00:00:32: Ja Nummer vierzig!

00:00:34: Das ist ungefähr diese Zahl wo die Leute immer glauben so alt bist du?

00:00:37: Also jung bist

00:00:38: du ja beziehungsweise die jungen glauben jetzt sehr alt.

00:00:41: Aber ja, vierzig ist auch eine Zahl.

00:00:43: Auch fünfzig kann ich bestätigen.

00:00:45: Oder das ist schon ein

00:00:46: paar Jahre

00:00:48: her?

00:00:48: Ja, aber heute sind wir bei unserer vierzigsten Folge und werden einen etwas beleuchten.

00:00:56: um zu einer Hotelkommunikation.

00:00:58: Der Titel heute verbotene Hotelk Kommunikation oder Zustimmung zur Datenverwendung ist keine Einwilligung.

00:01:07: Allein schon der Satz regt zum Nachdenken an.

00:01:10: durchaus Das ist ja auch begründet.

00:01:12: Die Zustimmung zur Datenverarbeitung ist keine Einwilligung!

00:01:16: Sehr

00:01:16: cool, wir werden das Ganze auch heute auflösen in zwanzig bis dreißig Minuten.

00:01:22: Wir bleiben heute so lang wie können weil wir haben eine klimagekühlte Podcastfolge vor uns.

00:01:29: Den Luxus haben heute nicht alle, auch wir nachher nicht mehr, wenn wir nach Hause gehen.

00:01:33: Deswegen freue ich mich solange wir hier stehen und uns über diesen Fall unterhalten können.

00:01:40: Herzlich willkommen, liebe Damen und Herren, liebe Podcast-Fans.

00:01:45: Ja das ist heute wieder Mörffis Folge.

00:01:47: deshalb werde ich mich Nobel zurückhalten.

00:01:50: Ich habe jetzt einmal ein Feedback bekommen.

00:01:52: jetzliche Grüße auch an dieser stelllernen Herrn der sich jetzt sicher betroffen fühlen wird ohne Namen zu nennen.

00:01:58: wir sind ja Datenschutzkonform unterwegs dass ihm der Mörfe immer so leidtut in unseren Folgen weil er hat das Gefühl immer wieder vorkommenden Datenschutzmaterial hat hier unterbuttert.

00:02:15: Gut, ich werde versuchen das heute umzutrennen.

00:02:19: Genau!

00:02:19: Ist nicht mein Ansinnen soll auch nichts darüber kommen ist auch im echten Leben nicht so?

00:02:24: Nein natürlich stehen hier zwei Alphatiere an den Mikrofonen.

00:02:28: es ist völlig klar...

00:02:29: Ich höre gerne zu also ich gebe's ja zu.

00:02:31: Ja ich höre dir auch gerne zu und deshalb freue mich wenn du jetzt den Sachverwalt schildert.

00:02:35: Wenn du mich endlich sprechen lässt oder Ich gebe mir

00:02:39: mein Bestes.

00:02:41: Wir starten ins Hotel bzw zu einem Fall in welchem ein ehemaliger Hotelmitarbeiter sich beschwert hat, weil seine privaten Daten im konkreten Telefonnummer und E-Mail Adresse in einer internen Mitarbeiterplattform verarbeitet wurden – und nicht nur das!

00:02:59: Sie waren sichtbar für alle Kolleginnen und Kollegen.

00:03:02: War ein Foto auch dabei?

00:03:04: Ja es war eines dabei aber das ist jetzt nichts und genau zu sein konkret der Fall, der da besprochen wird.

00:03:12: Es war dabei aber die Person hat selbst hochgeladen.

00:03:15: deswegen ist es etwas ausgeklammert.

00:03:17: Aber ja du hast recht!

00:03:18: Das war auch ein Bild dabei das von der Person selbst hoch geladen worden ist.

00:03:24: Ja in unserem fall gehts eben darum dass der Beschwerdeführer in dem Fall musste weil es war ein verpflichtendes Internet-Tool diese Kontaktdaten Insgesamt eintragen.

00:03:36: er selber, wie man hören werden hat es nicht eingetragen.

00:03:38: Er hat dann die Firma gemacht und die Person hat der Datennutzung zugestimmt.

00:03:44: Da hast du sozusagen ein Hackertl gegeben bzw am Anfang seiner Karriere war dann ein Konvolut an Informationen, die dann unterschrieben worden sind.

00:03:56: da war auch eine Datenschutzinformation dabei Und bevor das erste Mal dann dieses Tool benutzt wurde, gab es einen Hackadel zur Datennutzung zustimmen.

00:04:08: Das hat er auch gemacht.

00:04:10: Dort war aber nicht genau definiert was dann alles passiert.

00:04:13: Ja,

00:04:13: d.h.,

00:04:14: das Hotel hat sich gedacht... Ich brauche eine Kommunikationsplattform, damit

00:04:19: sich

00:04:20: alle untereinander erreichen können.

00:04:22: Wie wir vorhin schon ausgeführt haben das ist ja super und die Plattform heißt nämlich nicht WhatsApp?

00:04:27: Ja genau!

00:04:27: Die heißt auch nicht irgendwie anders sondern es ist ein also nicht öffentlich sondern es is wirklich ein geschlossener Kreis an Personen, die in diesem Hotel arbeiten.

00:04:37: Ja, und es hat natürlich dazu gedient.

00:04:39: Das war auch die Argumentation, warum diese Plattform verwendet wurde – dass man sich zu Umzeiten erreichen kann, weil in Hotels gibt's ja teilweise einen vierundzwanzig-Stundenbetrieb, wenn's ein größeres ist natürlich….

00:04:53: oder Küche, Bäckerei wird schon sehr früh gearbeitet.

00:04:56: Der Nachtpartier bleibt dann sehr lange.

00:04:58: also das heißt dass sich die Mitarbeiter in den untereinander aber auch ihre Führungskräfte erreichen konnten zum Beispiel auch wenn jemand kurz richtig erkrankt ist, dass jemand anderer dann kontaktiert werden konnte.

00:05:10: Das war so der das Ansinnen des Hotels und ich musste das Hotel sehr loben weil sie die wirklich was dazu gedacht haben.

00:05:18: Die haben diese eigene Plattform Genommen, das kostet ja auch Geld.

00:05:22: Das war nicht gratis damit sie in einem geschützten Rahmen bleiben und die Mitarbeiter Daten nur untereinander zu sehen sind aber nicht öffentlich?

00:05:30: Ja also zusammenfassend die Beschwerdegegnerin, wenn wir jetzt es genau zitiert, also das Hotel hat sich mit mehreren Argumenten der Versuch zur rechtfertigen.

00:05:39: erstens wie gesagt dass die geschlossene Benutzergruppe dann das Konto wird nach dem Austritt natürlich geschlossen, das heißt die Daten danach gelöscht.

00:05:46: Sie haben auch einen exellen Datenschutzbeauftragten sind nicht wir und grundsätzlich die Eigenverwaltung der Daten.

00:05:54: Ja, das heißt es wird einfach vom Hotel bzw.

00:05:58: vom Auftragsverarbeiter dann verwaltet alles was da drin ist und dadurch dass die Betriebliche Erreichbarkeit gegeben sein muss oder Sollte vor allem.

00:06:09: Und das ist einfach von sechs Uhr in der Früh bis zwei Uhr war eben die Argumentation, wir brauchen irgendeine Möglichkeit um diesen Kontakt herzustellen.

00:06:17: wenn beispielsweise jemand kurzfristig krank wird und dann jemand anderer einspringen muss braucht man diese Kommunikationsformen

00:06:26: Genau und das haben wir glaube ich nicht erwähnt.

00:06:29: Ich habe dir gut zugehört, aber ich glaube nicht dass wir das erwähnten haben, dass sie sein Fall der von der österreichischen Datenschutzbehörde ausgetragen wurde.

00:06:36: Richtig!

00:06:37: Das haben wir noch nie erwähnte?

00:06:38: Ja

00:06:38: also der ausgeschiedene.

00:06:39: Mittlerweile ist der Beschwerdeführer und hat sich eben an die Datenschutzbehörden gewarnt und hat gesagt mein ehemaliger Dienstgeber des Hotels sowieso Unrechtmäßig meine Daten verarbeitet, möglicherweise tun sie das immer noch.

00:06:55: Weil meine privaten Kontaktdaten wurden in dieser Applikation, in diesem Kommunikationstool verarbeitete und nur dazu mein Foto und das will ich eigentlich alles gar nicht und es ist eine Verletzung meiner Privatsphäre.

00:07:10: So war die Initiative für diesen Fall eine Beschwerde dieses ehemaligen Mitarbeiters bei der Österreichischen Datenschutzbehörde.

00:07:19: Genau!

00:07:20: Und wie gesagt, das Hotel hat sich dann zurückgezogen auf das berechtigte Interesse und wir werden gleich auflösen, wie es damit weitergeht.

00:07:30: Genau!

00:07:30: Das hotel hat sich gewährt – klar haben wir erst ein bisschen was dazu gesagt – die haben das auch gut argumentiert, haben heute das Berechtigte Interesse ins Spiel gebracht.

00:07:41: und dann haben sie auch noch gesagt und zwar hat er die Datenschutzbehörde explizit nachgefragt.

00:07:47: Es gab selbstverständlich ein Dokument Datenschutzinformationen sowieso Hotel, das hat der Beschwerdeführer auch erhalten am Beginn seines Arbeitsverhältnisses.

00:07:59: Also auch da wieder alles gut gemacht von der Datenschutzinformation die man den Mitarbeitenden an Beginn geben sollte bis hin zu des berechtigte Interesse überlegt und der Vorzip verzichtet eigentlich.

00:08:13: mir soll es mal sagen warum sind wir heute hier?

00:08:15: Genau!

00:08:16: Wir haben aber vorher gesagt dass die Daten in der Eigenverantwortung des Mitarbeiters lagen.

00:08:24: Dazu hat dann der Beschwerdeführer, also der Mitarbeiter gesagt das ist nur bedingt richtig weil dieses Foto das wir schon erwähnt haben durfte und konnte vor allem auch selbst hochgeladen werden.

00:08:35: Das war nicht automatisch da aber diese privaten Kontaktdaten wurden nicht von Beschwerdeführern eingetragen sondern vom Arbeitgeber selbst.

00:08:44: Und da hat das Hotel anfangs argumentiert, dass haben die Mitarbeiter alle selber eingetragen.

00:08:50: Was aber infallt dann in der Untersuchung durch die Datenschutzbehörde widerlegt wurde also auf dieser Plattform?

00:08:57: Die Namen-Kontaktdaten der Mitarbeitenden, die hat schon das Hotel eingetragen.

00:09:01: Genau.

00:09:02: und das was du erwähnt hast mit diesem Dokumentenflut bei Dienstantritt wo dann diese Einwilligung im Arbeitsverhältnis usw.. eben als nicht freiwillig und damit unwächsam gilt.

00:09:14: Das kann man auch nachlesen, wenn man will im Erwägungsgrund.

00:09:17: Ich habe es mit Zahlen, die zwar eigentlich aus der Einwilligung okay ich hab nachgeschaut aber ich finde das lustig weil das wirklich ja uns immer wieder irgendwo streift diese nicht wirklich freiwillige Einwilligung und deswegen habe ich mir das gedacht.

00:09:34: Ich lese das einmal nach und dort können sie es auch sehr gerne nachlese.

00:09:38: Ja und dass ist eben dieses Thema Im Dienstverhältnis, wenn ich von meinen Mitarbeitenden Daten verarbeite muss ich mir halt wirklich die Rechtsgrundlagen gut überlegen.

00:09:50: Erfüllung des Dienstvertrages scheidet aus, wenn es um die Kommunikation geht.

00:09:55: Klar Einwilligung meist nicht freiwillig weil es eine Drucksituation ist.

00:10:01: Wenn der Dienstgeber kommt und sagt du machst das jetzt unterschreib da Stimme zu Wird man sagen können, ja ist das jetzt freiwillig oder nicht?

00:10:09: Und wenn ein Hotel sagt alle Mitarbeiter müssen über so eine Kommunikationsplattform erreichbar sein.

00:10:14: Ich meine wo bleibt da die Freiwilligkeit auf der Strecke?

00:10:17: Genau!

00:10:18: Das heißt ich muss als Berechtigte in der Resse strapazieren wie wir das schon öfter gemacht haben und gut dokumentieren und argumentieren.

00:10:26: Das hätte man auch tun können.

00:10:29: Das haben sie auch getan.

00:10:31: es scheitert wie so oft an Kleinigkeiten.

00:10:34: Auch das ja.

00:10:35: also Der Verfahrensgegenstand, den haben wir jetzt einmal schön eng umrissen.

00:10:38: Es fehlt das Fotoflach weil es selbst hochgeladen werden konnte und am Ende bleibt diese sogenannte Sichtbarmachung von dem privaten Datentelefonnummer- und E-Mailadresse.

00:10:51: Ja, das schauen uns jetzt genau an!

00:10:53: Und er hat eben dann gesagt ich habe von August, April bis Februar, zu February, es war ein halbes Jahr wenn die richtig reichen.

00:11:02: Ich habe sie nicht so mit den Zahlen.

00:11:04: war ich dort beschäftigt und in dieser Zeit, in diesem halben Jahr haben alle anderen Mitarbeitenden, egal ob ich die Kante habe mit denen zu tun hatte oder nicht.

00:11:14: Meine Namen, den haben Sie vielleicht eh gewusst aber zusätzlich meine private Telefonung und meine private E-Mail Adresse in diesem Tool auf dieser Plattform gesehen und das ist eine Verletzung meiner Privatsphäre.

00:11:26: Um gleich einmal zu dem Tool zu kommen da gab es auch einen Auftragsverarbeitervertrag.

00:11:30: klarerweise, das ist ebenfalls sehr löblich.

00:11:34: So anschaut, dann sieht man in dem das dort verschiedene Daten auch in Kategorien erfasst worden sind.

00:11:42: Unter anderem gab es da sogenannte Grundlegende-Daten und freiwillige Profiltaten.

00:11:47: Und bei den grundlegenden Daten waren unter anderem die beruflichen Kontaktdaten drin.

00:11:51: Also die Grundlegendaten bestanden aus mehreren Bestandteilen Name zum Beispiel Positionen im Unternehmen geschlecht und zusätzlich eben diesen beruflichen Kontaktdaten.

00:12:02: Eben die Telefonnummer- und E-Mail-Adresse, da kommen wir wieder zu einem den wir schon oft erwähnt haben nämlich das Bodelskern, nämlich die berufliche Kontaktdate.

00:12:12: Und dann gab es eben die Freiwilligen wie zum Beispiel das Lichtbild oder Geburtstag

00:12:17: usw.,

00:12:17: also insgesamt von der Auftragsverarbeiter, von der Erklärung dasselbe.

00:12:22: Das war sehr gut aufgebaut.

00:12:23: und die Daten, die da insgesamt genannt wurden, die waren ja alle richtig von Seiten der Auftragsverarbeitung her.

00:12:33: Ja ... Und ich glaube es ist ein Missverständnis da!

00:12:36: Aha,

00:12:37: und zwar?

00:12:37: Es tut mir wirklich leidwerflich.

00:12:41: Ich glaub du hast grad was vermixt.

00:12:44: Ein bisschen.

00:12:44: Dann entmixe mich.

00:12:45: Ja, ich entmixe also.

00:12:47: ich löse jetzt diesen Cocktail ein bisschen auf Und zwar war es so, wenn der Endnutzer sich das erste Mal eingeloggt hat in diese Plattform.

00:12:55: Dann kam ein Datenschutzhinweis und in diesem Datenschutzhinweis stand das alles drin was du gerade erwähnt hast.

00:13:01: Das hat mit dem Auftragsfahrweitervertrag jetzt gar nicht so viel zu tun weil den sieht ihr ja in Mitarbeiter auch nicht.

00:13:07: Also der Datenschutzhinweis war da.

00:13:10: Das heißt, auch der Anbieter dieses Tools hat sich etwas dabei gedacht und hat Datenschutzinformationen für den Endnutzer zur Verfügung gestellt.

00:13:19: Und die konnte auch dieser Betroffene, also der Beschwerdeführer dort zur Kenntnis nehmen?

00:13:25: Ja.

00:13:25: Und das waren aber dann am Ende auch die Daten, die wirklich erhoben, also gespeichert wurden...

00:13:30: Genau!

00:13:31: ...und dort verarbeitet wurden.

00:13:32: Genau, verarbeitete wurden.

00:13:35: Wir werden es nur dann auflösen, warum da ein paar

00:13:38: Dinge

00:13:39: nicht gepasst

00:13:39: haben.

00:13:40: Ja und das muss man sich vorstellen.

00:13:42: Man stellt den Mitarbeitenden sowas zur Verfügung, dann kommt der Datenschutzhinweis und jeder geneigte Datenschützer und jede Geneigte datenschützerin wird sie denken jo eh super!

00:13:52: Nur wer ist eigentlich verpflichtet diese Informationen zur Verfügung zu stellen?

00:13:56: Jawohl nicht der Auftragsverarbeiter Weil der muss natürlich mit dem Verantwortlichen in seinem Vertrag vereinbaren, welche Daten werden verarbeitet.

00:14:05: Die Datenschutzhinweise die muss da verantwortliche veröffentlichen.

00:14:10: Was sich aus dem Fall nicht ergibt ist hätte der Verantwortliche diese abändern können oder selber hochladen.

00:14:17: aber bei allem was da gemacht wurde und was der Plattformanbieter auch mitten denkt kann ich mir nicht vorstellen dass der Verantwortlich dann nicht eingreifen hätte können.

00:14:27: Genau.

00:14:27: Diese grundlegenden Daten, das waren die verpflichtend einzutragen waren dass man überhaupt die Plattform nutzen konnte.

00:14:34: und dann eben diese freiwilligen da war das Lichtbild dabei und diese frei willigen Daten hat der Beschwerdeführer hochgeladen nämlich sein Foto.

00:14:44: Ja und diese wie wir schon eingeteilt haben entscheidende Formulierung war einfach diese verarbeitete Kategorie als beruflich zu deklarieren, was ja auf Seiten des Auftragsverarbeiters ja richtig ist.

00:14:59: Wieso?

00:14:59: Weil dort der stellt ein Tool zur Verfügung in den beruflichen Kontaktdaten grundsätzlich erfasst werden.

00:15:07: Das ist ja richtig!

00:15:08: Meinst du?

00:15:08: Ja freilich!

00:15:10: Es kann ja sagen so wie es er programmiert hat dass dort berufliche Kontaktdate gespeichert werden ist okay.

00:15:17: Ja aber er hätte einfach das Wort beruflicher weglassen können.

00:15:20: Schau mal als erstes Ich weiß ja als Auftragsverarbeiter nicht, wenn ich jetzt den verantwortlichen Satur zur Verfügung stöhe mit welchen E-Mailadressen, Telefonnummern oder sonstigen Kontaktdaten wird das genutzt werden.

00:15:32: Das könnten alle sein?

00:15:34: Freilich könnten es alles sein aber vielleicht ist der Programmierer dieser Software davon ausgegangen dass die berufliche Kontaktdate sind.

00:15:40: Aber

00:15:43: das kann durchaus sein.

00:15:45: Grundsätzlich notwendig, damit man die Plattform nutzen kann ist eine Telefonnummer und die E-Mail Adresse.

00:15:51: Ob sie privat ist oder ob es beruflich ist spielt ja gar keine Rolle!

00:15:57: Na, aber da sind wir bei einem Punkt, den wir nicht entscheiden können.

00:16:00: Nämlich was hat sich die entwickelnde

00:16:03: Partei

00:16:03: gedacht dabei?

00:16:04: und vielleicht haben sie sich gedacht nachdem dieser berufliche Kontext ist,

00:16:08: schreiben

00:16:08: wir rein beruflichen Kontaktdaten?

00:16:10: Ja genau!

00:16:10: Ich meine das hätte diese quasi Vorname

00:16:14: beruflicher

00:16:14: Kontaktdagen, das hätte gar nicht sein müssen.

00:16:16: Aber vielleicht war das bewusst gewählt weil es ein berufliger Kontext is und deswegen sage ich nur aufseitens des Auftragsverarbeiters, ob das ja alles passt.

00:16:26: Das Thema war dann, für mich gesehen zumindest das der Verantwortliche was anders gemacht hat und was anderes da eingefüllt hat.

00:16:35: Wie berufliche Kontaktdaten?

00:16:37: Ich denke dass man da... ich muss jetzt ein bisschen klug scheißen als Auftragsverarbeiter sich auch mit dem verantwortlichen grundsätzlich dazu abstimmen sollte.

00:16:46: Mit welchen Daten wird's denn ihr des nutzen?

00:16:49: weil es ist schon himmelschreiender Unterschied ob man beruflich oder private Kontaktdate verwendet.

00:16:56: Ich bin z.B.

00:16:57: der auf dem Standpunkt der Dienstgeber, muss keine privaten Kontaktdaten von seiner Dienstnehmerin verarbeiten außer für ein Notfall.

00:17:06: Im Regelfall nicht?

00:17:07: Wie bei den Notfallliste haben wir auch im Unternehmen ... Da stehen die

00:17:11: Angehörigen drin!

00:17:15: Entweder stellt man eben berufliche Kontaktarten zur Verfügung, was aber allerdings und der Beschwerdeführer war eine Reinigungskraft.

00:17:23: An dem scheitert das Reinigungskräfte Menschen in der Produktion oder halt an anderen Stellen in einem Unternehmen zumeist

00:17:30: weder

00:17:32: ein Diensthandi haben noch eine beruflichen E-Mail Adresse.

00:17:36: also Man hätte als Auftragsvorwerter schon ein bisschen weiter denken können, welche Jobs

00:17:41: gibt es da.

00:17:42: Wir subsumieren alle Auftragverarbeiter, bitte kommuniziert zu uns!

00:17:46: Wir denken einen Schritt weiter und werden sie gerne dabei unterstützen, dass wir das richtig aufsetzen wieder korrekterweise... angemerkt hast.

00:17:56: Ja und wir gehen dort unseren Kunden manchmal wirklich auf die Nerven, weil wir prüfen Auftragsverarbeiterverträge sehr genau und reiten immer darauf herum welche Datenkategorien werden verarbeitet?

00:18:08: Weil wir prügen ja auch solche Kommunikationstools und da fragen wir immer haben alle ihre Mitarbeitenden eine Diensthände oder nicht?

00:18:16: und wenn nicht dann muss ich mir halt überlegen ob ich dann nicht die privaten Daten drin dann verarbeite.

00:18:22: Das bringt mich gleich zum Zweck der Verarbeitung.

00:18:25: Der war tentenziell auch gegeben, aber dort wurde er nur sehr allgemein gehalten und es hat etwas dringend gefällt.

00:18:33: Das war das konkrete berichtigte Interesse.

00:18:36: Also auch hier wieder das nächste Mosaik-Ständchen, das den Fall in eine gewisse Richtung rollen lässt...

00:18:44: Wird du nichts beitrigen?

00:18:46: Nein!

00:18:47: Auch das hat hier gefehlt wurde dementsprechend auch als fehlende erkannt.

00:18:54: Es ist sehr schlau so

00:18:55: zu... Ja, ich müsste das Ende jetzt nicht mehr eingefallen.

00:18:58: es ist die Klimandlage ausgeschaltet und man merkt sie gerade steigen wieder.

00:19:02: Dass das Hirn kocht.

00:19:04: also das heißt wir haben bis zu dem Punkt wo man sich dann eingeloggt hat und die Datenschutzhinweise gelesen hat als Mitarbeiter-Mitarbeiterin bis dorthin eigentlich fast alles richtig gemacht.

00:19:16: Dann hat es halt zum Habern angefangen und deshalb hat sich die Datenschutzbehörde auch zuständig gefühlt, als diese Beschwerde dann ins Haus geflattert ist.

00:19:26: Ja wie schon im Titel gesagt haben wir etwas nämlich ein Hackerl gehabt oder nicht wir sondern der Mitarbeiter.

00:19:34: und genau gesetzt Wir haben einen Hackel gehabt, da ist der Mitarbeiter dann gesetzt und ich wollte zuerst noch sagen.

00:19:41: Da ist dann gestanden gelesen und akzeptiert wie man sie oft auch im Internet sieht wenn es um datenschutzrechtliche Informationen geht.

00:19:49: Und das ist grundsätzlich beweisrechtlich dokumentiert aber nicht datenschatzrechtlich wirksam.

00:19:55: und das ist der schöne Unterschied.

00:19:57: Wow!

00:19:59: Sehr schöne Sprache mir gefällt.

00:20:01: Also keine Einwilligung.

00:20:03: Diese Frage schauen wir uns dann in der rechtlichen Beurteilung an.

00:20:09: Das heißt, es bleibt beim Widerspruch zwischen beruflichem und ... privaten Daten.

00:20:14: Die Beruflichen waren angekündigt, die Privaten wurden dann tatsächlich verarbeitet.

00:20:19: In den Datenschutzinformationen, die der Arbeitnehmer bekommen hat war das so nicht erwähnt.

00:20:25: und auch in den Datenschutz hinweisen, die er mit einem Hackerl zur Kindnis genommen und akzeptiert hat standen sie auch nicht drinnen weil auch da stand drinnen wir verarbeiten ihre beruflichen Kontaktdaten.

00:20:36: Genau

00:20:37: Ja.

00:20:39: Und dann hat die Datenschutzbehörde gemeint?

00:20:42: Zusammenfassend gesagt.

00:20:43: Erstens einmal hat sie festgestellt, dass es sich um personenbezogene Daten handelt.

00:20:48: Das ist ja mal schön, weil sonst würden wir jetzt nicht ausstehen.

00:20:50: Auch um eine Verarbeitung ist in der DSGV und deswegen haben wir da diesen Fall quasi virtuell noch einmal neu eröffnet.

00:20:58: Ohne das wird man schon beim Sommerspritzer sitzen?

00:21:00: Ja zumindest!

00:21:03: Und dass klarerweise das Hotel rechtlich verantwortlich und nicht hinter dem Auftragsverarbeiter, das ich verstecken kann ist auch ein Punkt den manchmal so mancher Verantwortliche vielleicht nicht so gerne hört oder liest.

00:21:17: Genau und das kommt immer wieder vor, dass sich die Verantwortlichen – wir sehen es ja auch oft in unserer Praxis – darauf verlassen.

00:21:25: Da sagt dann zum Beispiel der Toolanbieter, der häufig auftragsverarbeitet ist.

00:21:29: Das Tool ist total DSGVO-konform.

00:21:31: Das mag vielleicht sogar stimmen am Ende des Tages bleibt aber der Verantwortliche auch dafür verantwortlich, dass die Datenschutzhinweise, die Informationspflichten, dass das alles ordnungsgemäß formuliert ist und erfüllt wird, und sich die Rechtsgrundlage überlegt.

00:21:49: Und nur weil der Auftragsverarbeiter in die App Kästchen hineinprogrammiert hat wo man ein Hakel setzen kann dass er setzt auf gar keinen Fall eine datenschutzrechtlich wirksame Einwilligung.

00:22:02: Das heißt das hast du mal schon gesagt Die Zustimmung ersetzt nicht die Einwilligung.

00:22:07: für mich ist es immer noch Widerspruch.

00:22:09: In dem fall wenn ich halt

00:22:13: Kenntnisnahme, dass man etwas gelesen hat.

00:22:16: Das heißt du nur ich hab's gelesen?

00:22:17: Ja und das ist ja auch schon... Ist nicht

00:22:19: verstanden, ganz wichtig!

00:22:20: Nein, das ist nicht dabei Und

00:22:21: meistens hat man es nicht gelesen, sondern hackt ihn nur an.

00:22:23: Joa, man würde nicht lesen, man würd' es nutzen.

00:22:26: So wie überall.

00:22:27: Das ist ganz logisch.

00:22:28: Ich glaub neunundzig, neunperiodisch Prozent der Personen dem Internet anhacklen.

00:22:32: ich habe die bla bla bla akzeptiert, verstanden oder gelesen werden das nie gemacht haben.

00:22:38: Wir lesen sie ja noch wenn wir dafür zuhört wären.

00:22:40: Genau.

00:22:41: Ja, das is so.

00:22:41: Es ist ja unser Beruf.

00:22:43: Jedenfalls, das ist eh schon häufig ausjudiziert worden und wir haben das auch schon öfter erwähnt.

00:22:48: Ein Hackerl ich nehme eine Datenschutzerklärung zur Kenntnis oder ich will die ein ohne richtige Aufklärung.

00:22:55: Das ist alles für nichts.

00:22:57: und was man eben nicht mehr machen sollte ist dass wenn man Datenschutzhinweise zur Verfügung stellt dort einen Häkchen setzen lässt.

00:23:05: verpflichtend weil dann glaubt die Person, die dieses Tool nutzt.

00:23:09: Ich hab da jetzt in irgendeinem was eingewilligt.

00:23:11: Das ist irreführend und das sollte ... Das braucht man gar nicht.

00:23:14: Also der Harder-Programmierer dann fünf Minuten weniger zu tun weil er kein Hackerl.

00:23:20: Weil er nicht die Möglichkeit eines Sätzen eines Hackers ... War das Deutsch?

00:23:25: Programmieren muss.

00:23:26: Programmieren war's.

00:23:27: Ja!

00:23:27: Ja es war ganz deutsch.

00:23:28: Ja, das war ziemlich, ziemlich deutsch.

00:23:30: gut.

00:23:31: Es war nichts nicht eigentlich.

00:23:32: Wir scheiden jetzt offiziell die Einwilligung aus als

00:23:36: weil sie nicht eingeholt wurde?

00:23:37: Ja,

00:23:37: also auch das und bleiben dann beim letzten möglichen Rechtfertigungsgrund den berechtigten Interesse.

00:23:44: Genau!

00:23:45: Und wie immer arbeitet sich die Datenschutzbehörde dadurch.

00:23:48: ihre drei Stufen, die wir fast in jeder da... Drei

00:23:51: kumulative Voraussetzungen, das du schon heißt.

00:23:53: Die haben man fast jeder letzten Folge auch erwähnt.

00:23:57: Also die Wahrnehmung eines berechtigtem Interesses durch den verantwortlichen Alldurchtritte, die Erforderlichkeit als zweiten Punkt Und der wichtigste in den meisten Fällen für mich zumindest, dass das Überwiegen der Grundrechte und Grundfreiheiten nicht dem Interesse überwiegt.

00:24:14: Genau.

00:24:14: Den Berechtigten des Verantwortlichen.

00:24:17: Und da hat die Behörde wieder mal etwas sehr Schönes geschrieben – ich liebe ja diese Sprache wie Sie wissen!

00:24:23: Die Behörderäumt ein, dass es das Erreichbarkeitsinteresse des Hotels grundsätzlich ein berechtigtes Interesse sein kann.

00:24:31: Das glaube ich auch.

00:24:32: Also die Mitarbeiter erreichen zu können, da hat man sicher ein berichtigtes Interesse dran.

00:24:37: Also kann man Stufe eins abhaken?

00:24:39: Ja!

00:24:39: Weil das ist wie man so schön sagt, ist ja recht.

00:24:43: Genau.

00:24:44: Dann haben wir den zweiten Punkt, den wir auflösen können...

00:24:48: Ja und da fingt es jetzt an zu bröseln.

00:24:52: Der

00:24:54: zweite Punkt und da zitiert die Datenschutzbehörde das rezente Urteil des EUGH vom neunten Jänner fünfundzwanzig, wo sie es hingemess ausführt dass der Verantwortliche verpflichtet ist, wenn er etwas aufs berechtigte Interesse stützt bereits am Beginn der Datenverarbeitung den Betroffenen oder die Betroffene darüber entsprechend informieren muss.

00:25:20: Und das ist natürlich also zum Zeitpunkt der Erhebung der Daten, muss diese Information vorlegen.

00:25:26: und das war definitiv nicht der Fall weil die Datenschutzhinweise, die vom Auftragsverarbeiter noch dazu waren wie wir wissen, das nicht hergegeben haben.

00:25:35: Die werden sehr allgemein gehalten Genau und deswegen wird das nicht tauglich.

00:25:40: Ja, dann haben wir noch diese Unterscheidung gehabt zwischen grundlegenden Daten und freiwilligen Daten und das Ganze nicht erklärt, nicht richtig definiert.

00:25:54: Was heißt nicht richtig?

00:25:55: Definiert gut man könnte auch gleich sagen falsch definiert weil in diesen Datenschutz hinweisen noch dazu drin entstand es werden die beruflichen Daten verarbeitet.

00:26:03: Das

00:26:03: sowieso und das eigentliche Argument ist am Schluss vorgebracht wurde, nämlich das Erreichbarkeitsargument.

00:26:12: Das ist erst im Verfahren aufgedacht.

00:26:14: Ja richtig!

00:26:14: Das hat es vorher gar nicht gegeben.

00:26:16: Das heißt des worauf man sich stützt warum er die Daten überhaupt braucht... hat es nirgends gegeben.

00:26:22: Das ist plötzlich aufgedaucht im Verfahren

00:26:25: selbst.".

00:26:25: Und das ist auch so etwas, ich muss mir ja überlegen wofür erhebete Daten und diesen Zweck muss sich beschreiben?

00:26:32: Ja genau!

00:26:33: Ich muss die betroffenen Personen über den Zweck informieren.

00:26:37: und wenn sie reingeschrieben hätten wir haben ein Erreichbarkeitsinteresse weil von sechs bis zwanzig Uhr nach bis zwei in der Früh Menschen, die für uns tätig sind, die müssen einander erreichen.

00:26:50: Wir begründen das aufs berechtigte Interesse und dann vielleicht auch noch die Datenschutzhinweise richtig gewesen wären nämlich von den Datenkategorien her.

00:27:03: Wären wir heute nicht im Studio?

00:27:04: Nein, dann wäre es sehr eng geworden.

00:27:06: Für

00:27:06: einen Beschwerdenführer?

00:27:07: Ja!

00:27:08: Nicht im

00:27:08: Studio?!

00:27:09: Nein!

00:27:09: Da haben wir genug Platz!

00:27:10: Ja, genug Platz.

00:27:13: Das heißt... ...wir kommen schon in die Tür gerade.

00:27:15: Wir sind schon ziemlich weit.

00:27:17: Wir sehen schon den Zielraum.

00:27:20: Vielleicht war es ja irgendein Hotel in einem Skigebiet, was weiß man?

00:27:23: Ja oder wo sie Fußball spielen weil das ist auch gerade sehr

00:27:28: in.

00:27:29: Und nachdem es kein Geheimnis ist wir sind ja mitten im Ende Joni deswegen ist er so warm und mitten in der FußballWM.

00:27:37: schauen wir wie weit Österreich kommt!

00:27:38: Und es wird sehr lustig wenn Sie liebe Damen lieben hier an sich das im Dezember irgendwann an und denken was waren vielleicht die FußballWMs haben wir schon alles wieder vergessen.

00:27:48: Ja, was dann natürlich auch immer noch ein Abwägungskriterium ist weil ich das auch sehr gerne Marc und noch erwähnen möchte sind die vernünftigen Erwartungen bei den vernünftigen Erwartung der Datenverarbeitung.

00:28:00: da muss sich mich in die Person deren Daten nicht verarbeite hineinversetzen.

00:28:06: kann diese Person vernünftigerweise mit einer Datenverarbeitung rechnen.

00:28:12: Diese vernünptige Erwartung schließt für mich aus, dass ein Mitarbeiter deine Mitarbeiterin damit rechnenn muss das die privaten Kontaktdaten permanent nämlich verarbeitet werden also wenn sich bei uns jemand bewirbt wir kriegen einen Lebenslauf steht zu hundert Prozent dort eine private Telefonnummer drin und wir kriegen die Bewerbung ja zu ninety-nine Prozent per E-mail, also haben wir dann auch private E-Mail Adresse.

00:28:37: Die verarbeiten wir für die Abwicklung des Bewerbungsverfahrens und dann ... Da

00:28:42: kann die Person davon der Bewerber davon ausgehen das wird sie verarbeiten.

00:28:46: Ja genau.

00:28:47: Das wäre so der Klassiker.

00:28:49: vernünftige Wartung!

00:28:50: Und dann verwenden man vielleicht die Telefonnummer noch zur Terminvereinbarung für ein Bewerbunggespräch und danach gibt es eigentlich keine Veranlassungen mehr eine ... private Telefonnummer zu verwenden, wenn man die Personen angestellt hat.

00:29:06: Außer es ist ein Notfall!

00:29:07: Und dann sind wir vielleicht im lebenswichtigen Interesse drin und haben wieder Rechtsgrundlage.

00:29:11: Genau.

00:29:12: Beziehungsweise... Wenn man sagt, die Personalabteilung hat's für irgendwelche Gründe ja aber sicher keine Veröffentlichungen an alle anderen Dienstnehmer.

00:29:19: Richtig

00:29:19: das noch dazu?

00:29:20: Ja.

00:29:21: Und da kommt mal etwas wo wir vorher schon diskutiert haben.

00:29:25: ich habe ja gemeint dass muss nicht jeder sehen weil Nicht jeder im Unternehmen muss mit jeder anderen Person E-Mails oder Telefonnate austauschen, also jemandem anrufen können.

00:29:37: Wenn ich das so handhabe – wenn das das war eine App, wenn ich dort drauf drücke und wenn ich darauf drücke dann sehe wie die Telefon Nummer ist wird es völlig ausreichen.

00:29:45: Dann könnte ich nämlich auch nachvollziehen... Das

00:29:48: verstehe ich, was du vorher gemeldet

00:29:49: hast!

00:29:49: Wer hat wann welche Telefon-Nummer sich freischalten lassen um sie zu sehen?

00:29:54: damit es eben nicht missbrauchlich verwendet wird.

00:29:56: und dann soll man wieder einen Schritt der Datenminimierung näher.

00:29:58: Und

00:30:00: ich habe mir zu dem Thema überlegt, dass man nach dem Need to Know Prinzip vielleicht ein extra Berechtigungskonzept hinterlegen könnte wo man sich nur innerhalb einer Abteilung anrufen kann und erreichen kann

00:30:13: oder nur der Vorgesetzte das Recht hat die Telefonnummern einzusenden.

00:30:19: Ja,

00:30:19: das Henke kann auch organisatorisch davon abwenden jetzt krank bin und wenn muss ich das melken?

00:30:24: Wenn der Vorgesetzte gerade auf Urlaub ist und so weiter...

00:30:27: Aber ja!

00:30:27: Man könnte es einschränken ohne insgesamt den Zweck zu verlieren dass jemand im Falle des Ausfalls, dass jemand andere einspringen kann.

00:30:36: Jetzt verstehe endlich was du euch erwähnt hast.

00:30:39: Das war mir nicht ganz ehrlich.

00:30:41: Auch in Podcaststudio.

00:30:42: Genau.

00:30:43: Was heißt?

00:30:45: wir kommen schon zum Fazit.

00:30:46: Ja, das Fazit.

00:30:49: Das

00:30:49: Fazit ist die Datenschutzbehörde hat da Beschwerde

00:30:52: stattgegeben?

00:30:53: Statt gegeben genau und am Ende des Tages haben auch ein Fazit für unsere Kunden dass ein guter betrieblicher Grund allein jetzt nicht immer ausreicht im Datenschuz.

00:31:05: Das berechtigte Interesse muss bei der Datenerhebung ganz wichtig schon konkret genannt werden, nicht allgemein sonst fällt es als Rechtsgrundlage weg.

00:31:15: Und entscheidend ist auch, was man ankündigt mit dem Übereinstimmte.

00:31:18: Was man dann tatsächlich tut.

00:31:20: Also in dem Fall wie wir gesehen haben beruflich und beratet sollte man nicht verwechseln.

00:31:24: Das heißt wer im Datenschutz in der Information von den beruflichen Kontaktdaten spricht darf nicht plötzlich die Privaten offenlegen.

00:31:31: Genau!

00:31:33: Und das Biergitz Fazit nach dem Fazit ist heute eine Interpretation?

00:31:38: Wie leicht es gewesen wäre das rechtskonform umzusetzen und dazu stellen.

00:31:44: Das heißt, der Verantwortliche hätte müssen bei den Datenschutzinformationen die ganz am Anfang an die Mitarbeitenden ausgeteilt werden, Tasche reinschreiben, private Kontaktdaten werden für die Erreichbarkeit verwendet.

00:31:58: ich habe ein Erreichbarkeitsinteresse und dann die Datenschutzinweise in dieser App auch noch entsprechend überarbeiten das die auch dem der Realität entsprechen Und dann wäre jeder darüber informiert gewesen welche Daten verarbeiten, zu welchem Zweck und die Grundlage ist berechtigtes Interesse.

00:32:17: Und dann wäre alles super gewesen!

00:32:19: Bevor wir ganz am Schluss sind noch das Fazit drei an alle Auftragsverarbeiter.

00:32:24: hört sich das an weil ihr tut es euch dann auch leichter mit den Verantwortlichen wenn solche Sachen schon vorher selbst auswählbar oder individualisierbar sind.

00:32:37: Gute Abstimmung mit dem Verantwortlichen schützt vielleicht vor Verfahren.

00:32:43: Der Beschwerde wurde ja stattgegeben, Strafe glaube ich nicht, wie ist man?

00:32:48: Es war ein normales Verwaltungsverfahren, es ergibt sich nicht dass ein Verwaltungstrafverfahren eingeleitet worden wäre.

00:32:55: Gut und wenn sie mich nicht auskennt bitte uns fragen und sonst bleibt uns nur zu sagen Wären Sie wieder rein, wenn es das nächste Mal

00:33:03: heißt?

00:33:04: Mein Datenschutztheater der Podcast von meine Pirate.

00:33:23: Produziert

00:33:25: das Pod Deine Podcast-Agentur.