„Bring your own device“ –
Rechtsgrundlagen für die Verwendung
privater IT-Geräte der Arbeitnehmerinnen
Diplomarbeit
zur Erlangung des Grades einer Magistra der
Rechtswissenschaften an der Rechtswissenschaftlichen
Fakultät der Leopold-Franzens-Universität Innsbruck
eingereicht bei:
Univ.-Prof. Dr. Gert-Peter Reissner
Institut für Arbeits- und Sozialrecht,
Wohn- und Immobilienrecht und Rechtsinformatik
von
Karin Bolai Tien
Innsbruck, Oktober 2015
Eidesstattliche Erklärung
Ich erkläre ehrenwörtlich, dass ich die vorliegende Arbeit
selbstständig und ohne fremde Hilfe verfasst, andere als die
angegebenen Quellen nicht verwendet und die den benützten
Quellen wörtlich oder inhaltlich entnommenen Stellen als
solche kenntlich gemacht habe.
……………………………………………………………………….
Innsbruck, am 31.10.2015
Vorwort
Das Zusammenwirken von Recht, Technik und Informationssicherheit stellt die
Arbeitswelt vor Herausforderungen, die das Verhältnis von Arbeitgeberinnen und
Arbeitnehmerinnen beeinflusst.
Die Arbeitgeberin kann das Arbeiten im Internet und mit betrieblicher Hardware auch
für private Zwecke erlauben. In manchen Fällen, wie in dieser Arbeit behandelt, werden die
Arbeitsmittel von den Arbeitnehmerinnen selbst mitgebracht und eingesetzt. Mit der
Verwendung eigener Privatgeräte am Arbeitsplatz, wird der Arbeitgeberin die Pflicht
auferlegt, die Unternehmensdaten zu schützen. Gleichzeitig bietet sich in diesem
Zusammenhang eine Kontrollmöglichkeit für die Arbeitgeberin. Durch die privaten Geräte
am Arbeitsplatz hat sie Einsicht in die Daten der Arbeitnehmerinnen, die sich auf dem
Privatgerät befinden.
Auch besteht die Schwierigkeit darin, ein Gerät, welches für private Einsatzgebiete
produziert wurde, an die Sicherheitsanforderungen des Datenschutzes in einem Betrieb
anzupassen. Werden Vorkehrungen nicht getroffen, kann das private mobile Gerät eine
Sicherheitslücke darstellen. Mobile Geräte werden verwendet, da diese ortsunabhängig
einsetzbar und gleichzeitig Knotenpunkt für mehrere Funktionen sind. Demnach wird der
klassische Rechnerarbeitsplatz mit kontrollierten Web- und Datenzugang oft ergänzt oder
vollständig abgelöst von einer Reihe mobiler Geräte. Der Trend zu einem dezentralen
Arbeitsplatz nimmt zu. In diesem Zusammenhang taucht das Schlagwort „Bring your own
device“ mit Datensicherheit, Unternehmenskultur und IT-Architektur auf.
Diese Arbeit soll einen Überblick über die rechtlichen Rahmenbedingungen bieten,
die dieses Phänomen begleiten. Auch für die Zukunft hat sich die gezeigt, dass die Nutzung
von technischen Hilfsmitteln, die im Eigentum der Arbeitnehmerinnen stehen, keinesfalls
bei den leicht erkennbaren Tablets, Smartphones und Zwischengrößen aller Art stehen
bleiben wird. Die Abgrenzung zwischen Privaten- und Unternehmensdaten wird
schwieriger. Der Umgang in einem Unternehmen mit „Bring your own device“ hat
bedeutsame Auswirkungen auf das Arbeitsrecht und das Datenschutzrecht.
III
Hinweis
Zur Verbesserung der Textstruktur wird die eingeschlechtliche Bezeichnung
verwendet, somit sind alle Personen- und Funktionsbezeichnungen, die in dieser Arbeit in
der weiblichen Form verwendet werden, sinngemäß auch in der männlichen Form gemeint.
IV
Inhaltsverzeichnis
Vorwort....................................................................................... III
Inhaltsverzeichnis ..................................................................... V
Abkürzungsverzeichnis .......................................................... VII
I.
Einleitung ............................................................................. 1
1.
Technische Entwicklung der mobilen Endgeräte .......................... 1
2.
Problemstellung................................................................................ 6
II.
Arbeitsrechtliche Rahmenbedingungen ............................ 9
1.
Rechtsgrundlagen für die Einbringung mobiler Geräte ................ 9
1.1.
Inhalte von Nutzungsvereinbarungen im weiteren Sinne .........................12
1.1.1.
Abgrenzung dienstliche oder private Daten .................................................. 13
1.1.2.
Unterscheidung dienstliche oder private Nutzung ........................................ 14
1.2.
Inhalte von Nutzungsvereinbarungen im engeren Sinne .........................15
1.2.1.
Art und Umfang des Zugriffsrechtes ............................................................. 16
1.2.2.
Kostentragung für Hardware, Software, Netzzugang ................................... 22
1.3.
Beendigung der Nutzung mobiler Geräte ................................................23
1.3.1.
Auflösung der Nutzungsvereinbarung ........................................................... 23
1.3.2.
Verstoß gegen Nutzungsvereinbarung ......................................................... 25
1.3.3.
Rechtsfolgen unzulässiger Nutzung ............................................................. 26
2.
Schutzvorschriften für den Einsatz............................................... 28
2.1.
Bildschirm- und Büroarbeitsplätze ...........................................................28
2.2.
Anforderung an mobile Bildschirmarbeit ..................................................29
3.
Haftung und Schadenersatz .......................................................... 30
3.1.
Beschädigung der AN-Geräte .................................................................31
3.1.1.
Sonderfall: Fernlöschung ohne Begründung ................................................ 32
3.2.
Schadensfälle durch die AN-Geräte ........................................................33
3.3.
Haftung bei Schäden an Dritten ..............................................................36
4.
Datensicherheit als AN-Pflicht....................................................... 37
4.1.
Verwahrung und Meldepflicht bei Verlust ................................................37
4.2.
Vertraglicher Schutz der Daten insbesondere Geheimnisschutz .............37
4.3.
Technische und organisatorische Schutzmaßnahmen ............................42
V
5.
Kontrolle der AN durch den Einsatz der mobilen Geräte ............ 43
5.1.
Überwachung und Kontrolle des mobilen Endgerätes ............................45
5.1.1.
Individualrechtliche Schranken ..................................................................... 45
5.1.1.1.
Persönlichkeitsrecht und Menschenwürde ............................................ 46
5.1.1.2.
Rechtfertigung einer Überwachung des mobilen Endgerätes ............... 47
5.1.2.
Kollektivrechtliche Schranken ....................................................................... 50
5.1.2.1.
Notwendige Mitbestimmung des BR ...................................................... 52
5.1.2.2.
Einführung von Kontrollmaßnahmen ..................................................... 54
III. Datenschutzrechtliche Rahmenbedingungen ................. 57
1.
Begriffsbestimmungen ................................................................... 57
1.1.
Grundrecht auf Datenschutz ...................................................................61
1.1.1.
1.2.
Prinzipien des Datenschutzrechts ................................................................. 63
ArbeitnehmerInnendatenschutz...............................................................64
1.2.1.
Rechte der Betroffenen ................................................................................. 65
1.2.1.1.
Widerspruchsrecht ................................................................................. 66
1.2.1.2.
Auskunftsrechte ..................................................................................... 66
1.2.1.3.
Recht auf Richtigstellung oder Löschung .............................................. 67
IV.
Resümee .......................................................................... 68
V.
Literaturverzeichnis ....................................................... 71
VI.
Online Quellen ................................................................ 83
VI
Abkürzungsverzeichnis
ABGB
Allgemeines Bürgerliches Gesetzbuch
Abs
Absatz
AG
Arbeitgeber(In)
AK
Arbeiterkammer
AktG
Aktiengesetz
AN
Arbeitnehmer(In)
AngG
Angestelltengesetz
Anwbl
Österreichisches Anwaltsblatt
APK
Android application package
App
Application
ArbVG
Arbeitsverfassungsgesetz
Art
Artikel
ASchG
ArbeitnehmerInnenschutzgesetz
ASG
Arbeits- und Sozialgericht
AV
Arbeitsvertrag
AVRAG
Arbeitsvertragsrechts-Anpassungsgesetz
AZG
Arbeitszeitgesetz
Bd
Band
BGBl
Bundesgesetzblatt
BR
Betriebsrat
bspw
beispielsweise
BS-V
Bildschirmarbeitsverordnung
BWG
Bundesgesetz über das Bankwesen
BYOD
Bring your own device
bzgl
bezüglich
bzw
beziehungsweise
C’t
Magazin für Computertechnik
Dako
Datenschutz konkret
dBKA
Deutsches Bundeskriminalamt
DHG
Dienstnehmerhaftpflichtgesetz
DRdA
Das Recht der Arbeit
dRdA
(deutsche) Recht der Arbeit
VII
DSG
Datenschutzgesetz BGBl I Nr. 165/1999
DSK
Datenschutzkommission
ecolex
Fachzeitschrift für Wirtschaftsrecht
E-Government
electronic government
E-Mail
Elektronische Post
EMRK
Europäische Menschenrechtskonvention
ENISA
European Union Agency for Network and Information
Security
EuGH
Europäische Gerichtshof
EWG
Europäische Wirtschaftsraum
gem
gemäß
GewO
Gewerbeordnung 1859
GmbHG
Gesetz über Gesellschaften mit beschränkter Haftung
GPS
global positioning system
HDMI
High Definition Multimedia Interface
HMD
Praxis der Wirtschaftsinformatik
Hrsg
Herausgeber
iDPLA
iPhone/iPad Developer Program License Agreement
IKT
Informations- und Kommunikationstechnik
Inc.
Corporation
infas
Informationen aus Arbeits- und Sozialrecht
iOS
Betriebssoftware von Apple
IoT
Internet of the things
iSd
Im Sinne der/des
IT
Informationstechnik
iVm
Verbindung mit
iwS
Im weiteren Sinne
JB
Jahrbuch
JBl
Juristische Blätter
JSt
Journal für Strafrecht
KI
Kriminalistisches Institut
lit
Buchstabe
LStR
Lohnsteuerrichtlinien
LTE
Long Term Evolution
M2M
Machine to machine
mA
meiner Ansicht
MDM
Mobile Device Management
8
mE
meines Erachtens
mMn
meiner Meinung nach
MR
Medien und Recht
NFC
Near Field Communication
Ob
ObA
ÖBB
ObS
Aktenzeichen des Obersten Gerichtshofes
für Zivilsachen
Aktenzeichen des Obersten Gerichtshofes
für Arbeitsrechtssachen
Österreichische Bundesbahn
Aktenzeichen des Obersten Gerichtshofes
für Sozialrechtssachen
OGH
Oberster Gerichtshof
ÖJZ
Österreichische Juristen Zeitung
OLG
Oberlandesgericht
OS
Operating System
OTA
Over-the-air
PC
Personal computer
PDA
Personal digital assistent
PIN
Persönliche Identifikationsnummer
QR
Quick Response
RdW
Recht der Wirtschaft
REM
Recht der elektronischen Massenmedien
RFID
radio-frequency identification
RL
Richtlinie
Rsp
Rechtsprechung
RTR
Aufsichts- und Schlichtungsstelle für den österreichischen
Rundfunk- und Telekommunikationsmarkt
Rz
Randzahl
SCADA
Supervisory Control and Data Acquisition
StGB
Strafgesetzbuch
StGG
Staatsgrundgesetz
TAN
Transaktionsnummer
UGB
Unternehmensgesetzbuch
uo
und oder
usw
und so weiter
UWG
Bundesgesetz gegen den unlauteren Wettbewerb
VO
Verordnung
9
vv
vice versa
wbl
Wirtschaftsrechtliche Blätter
WLAN
Wireless Local Area Network
WPBI
Wirtschaftspolitische Blätter
WuM
Wirtschaftsinformatik und Management
Z
Ziffer
ZAS
Zeitschrift für Arbeits- und Sozialrecht
zB
Zum Beispiel
ZIIR
Zeitschrift für Informationsrecht
ZPO
Zivilprozessordnung
10
I. Einleitung
1.
Technische Entwicklung der mobilen Endgeräte
Die Entwicklung der Smartphones begann bereits 1973, damals noch bezeichnet als
Mobiltelefon. Die Telekommunikationsindustrie unterlag einer rasanten Entwicklung,
insbesondere
durch
den
Elektroingenieur
Dr.
Martin
Lawrence
Cooper
und
Industriedesigner Rudy Krolopp, beide zu dieser Zeit tätig für die Firma Motorola
Corporation. Ihre Entwicklung war der erste Protoyp eines klassischen Mobiltelefons,
namens DynaTAC 8000X1. Weiter schritt der Prozess 1994 voran, da eine innovative
Integration einer kapazitiven Benutzerinnenoberfläche entwickelt wurde. Die Neuheit
BellSouth2 „Simon Personal Communicator“, kreiert von International Business Machines
Corporation IBM und hergestellt durch Mitsubishi Electric Corporation, konnte mit dieser
durch Berühren am Bildschirm Informationen verarbeiten.
Rund vierunddreißig Jahre nach DynaTAC am 9.1.2007 wurde das erste Smartphone
des
Unternehmens
Apple
Inc.,
unter
der
Produktbezeichnung
„iPhone“,
der
Weltöffentlichkeit vorgestellt. Das „iPhone“ hatte ein ansprechendes Design und ein
anwenderinnenfreundliches Betriebssystem mit dem Bezeichnung „iOS“. Ab diesem
Meilenstein der Geschichte der Smartphones wurde das Kommunikationsgerät zu einem
Allzweckwerkzeug.
Heute
integriert
es
im
Gebrauchsalltag
bereits
Kamera,
Tonaufnahmegerät, Navigationsgerät, MP3-Player, Wecker, Spielkonsolen und sogar die
Taschenlampe. Die Kernaufgabe der Telefonie und Nachrichtenübertragung wird mit jedem
voranschreitenden Jahr intuitiver und der Schwerpunkt weiter auf E-Mail- und InstantMessaging-Dienste3 gesetzt. Neben der Vervielfältigung der Funktionen von Smartphones
wurde in den letzten Jahren ein breites Angebot am Markt an Herstellerinnen und
Betriebssystemen bemerkbar. Deshalb ist die Bandbreite, an verwendeten Marken und
Updateversionen, fragmentiert. Eine einfache Auswahl, nur eines Modells als Firmenhandy,
kann durch das große Angebot selten allen Präferenzen der Arbeiterinnen genügen.
1
Motorola Inc., Communications Divison Motorola Annual Report 1973,
http://www.motorolasolutions.com/content/dam/msi/docs/en-xw/static_files/1973_Motorola_Annual_Report.pdf
(17.8.2015).
2 International Business Machines Corporation, Simon User Manuals,
http://research.microsoft.com/en-us/um/people/bibuxton/buxtoncollection/a/pdf/Simon%20User%20Manuals.pdf
(17.8.2015).
3 Dazu näher Rundfunk und Telekom Regulierungs-GmbH, Kommunikationsbericht 2014,
http://www.parlament.gv.at/PAKT/VHG/XXV/III/III_00194/imfname_437412.pdf (17.8.2015).
1
Eingesetzt werden die Smartphones im Unternehmensumfeld, um Mitarbeiterinnen
es zu ermöglichen, abseits vom Festnetztelefon oder stationären „Voice over IP“ Systemen,
in Kontakt zu Kundinnen oder Arbeitskolleginnen zu treten. Sie können auch Termine und
Aufgaben am Gerät ersichtlich machen, sowie Zugriffe auf Datensätze durchführen.
Vorrangig befand sich das Firmenhandy im Eigentum der Arbeitgeberin. Die Überlassung
von Dienstgeräten, auch zum Einsatz im Privatleben, wurde über Nutzungsvereinbarungen
geregelt.
Neben einer neuen Generation an Hardware und Betriebssystemen, ist auch die
Weiterentwicklung der Anwendungssoftware, eine Herausforderung für die Datensicherheit
geworden. Diese Software, auch genannt „Mobile Application“ (Kurzform: Apps), dient dazu
Anwendungen
auf
den
mobilen
Gerät
auszuführen.
Diese
Apps
werden
auf
Internetplattformen, meist durch die Betriebssystemherstellerinnen, vertrieben. In
angebotenen Online-Stores haben Besitzerinnen eines Smartphones die Möglichkeit diese
Programme zu beziehen und sich infolgedessen diese über einen Installationsvorgang
verwendungsbereit
zur
Verfügung
zu
stellen.
Die
Plattformbetreiberinnen,
wie
beispielsweise Apple Inc. mit „App Store“, regeln mit firmeneigenen Vorgaben die
Entwicklung einer App. Diese "iPhone/iPad Developer Program License Agreement", auch
abgekürzt als iDPLA4, legen Bedingungen festgelegt, die die kostenpflichtige Registrierung
von Entwicklerinnen, Lizenzrechte, Urheberrechte und Datenschutzbestimmungen
betreffen. Auch Google Inc. mit „Google Play“ hat Bestimmungen5 für die Entwicklung von
Android-Apps und legt damit auch Voraussetzungen für Design, Cloud und Backup
Dienstleistungen fest.
Plattformbetreiberinnen legen demnach den Grundbaustein für die benötigte
Datensicherheit
bei
eingesetzten
Apps.
Sicherheitslücken6,
in
Bezug
auf
Identitätsfeststellung der Entwicklerinnen, gefälschte Bewertungen der Apps für ein
besseres
Ranking
und
unzureichende
Kontrollen,
können
trotz
Kontrolle
der
Plattformbetreiberinnen entstehen.
4
Apple Inc., iPhone/iPad Developer Program License Agreement,
https://developer.apple.com/programs/terms/ios/standard/ios_program_standard_agreement_20140909.pdf (18.8.2015).
5 Google Inc., Legal Notice, http://developer.android.com/legal.html (18.8.2015).
6
Dazu näher European Union Agency for Network and Information Security (ENISA), Appstore security: 5
lines of defence against malware, http://www.enisa.europa.eu/activities/Resilience-and-CIIP/criticalapplications/smartphone-security-1/appstore-security-5-lines-of-defence-against-malware/at_download/fullReport
(18.8.2015).
2
Eine weitere Möglichkeit Apps zur Verfügung zu stellen, ist der Vertrieb ohne die
klassische Bereitstellung oder eines separaten Verteilungskanals in den Online-Stores.
Hierzu werden die programmierten Dateien, wie im Fall für Androidsysteme als „Android
application package“ (APK) Format oder für iOS als „iPhone application archive“ (IAP),
weiter gegeben. Firmenintern7 können ausgewählte Apps an eine gesonderte
Personengruppe zur Verfügung gestellt werden oder die Verteilung über den Firmenserver
an sämtliche Mitarbeiterinnen erfolgen.
Abbildung 1: Mobile Kommunikation mit Einbindung privater Smartphones
Zu unterscheiden ist, neben den Verteilungsansätzen der Apps, auch deren
Entwicklerumgebung. Bei der bereits angeführten Option der Verbreitung von Apps, über
die Online-Stores oder der internen Verteilung, handelt es sich um eine „Native App“ oder
„Hybrid App“. Beide unterscheiden sich darin, wie weit das Programm der App, das
Betriebssystem miteinbinden kann, damit sind Funktionen des Gerätes gemeint, auf die die
App Zugriff haben kann oder nicht.8 Bei der „Hybrid App“ wird ein nativer Rahmen9
geschaffen, in dem schlussendlich die programmierte „Web-App“ ihrer Funktionen einen
7
Plattformen zur firmeninternen Verteilung von Apps werden auch als Enterprise App-Stores bezeichnet.
Funktionen, wie bspw Push-Benachrichtigungen oder das Scannen von QR-Codes.
9 Der native Rahmen lädt im Hintergrund eine webbasierte Anwendung, nutzt die Funktionen des mobilen
Gerätes und leitet Informationen weiter.
8
3
Handlungsspielraum verleiht. Auch für sich alleine kann die dritte Variante, eine sogenannte
„Web-App“, mit Zugriff über das Internet entwickelt werden. Diese kann vollständig
unabhängig zum Betriebssystem im Browser aufgerufen werden. Nachteil einer „Web-App“
ist die benötigte Internetkonnektivität und der eingeschränkte Zugang zu Funktionen des
Gerätes. Zur Ergänzung sei an dieser Stelle noch die „Multi-Channel-Apps“ erwähnt. Diese
können von jedem mobilen und stationären Gerät abgerufen werden und sind unabhängig
vom verwendeten Betriebssystem.
Demnach ist das hervorstechende Kennzeichen, in der Unterscheidung der App
Formate10, der volle oder teilweise Zugriff auf die Funktionen der Smartphones, um Hardoder Softwarekomponenten nutzen zu können. Je flexibler ihre Unabhängigkeit zum
eingesetzten Betriebssystem, desto mehr Anwenderinnen können sie nutzen. Es ist für
Arbeitgeberinnen wichtig zu erfahren, welches Betriebssystem eingesetzt wird, da bereits
die Plattformbetreiberinnen unterschiedliche Sicherheitsanforderungen haben, um Apps
zur Verteilung zuzulassen. Jedes Betriebssystem erfordert eigene Softwareentwicklung
und zugeschnittene Sicherheitsstandards. Die AG kann sich dazu entscheiden ihre FirmenApps selbst zu verteilen oder dies einer Plattformbetreiberin zu überlassen.
Eine Geräteverwaltung kann über Programme erfolgen, die Inhalte auf dem Gerät
kontrollieren können.11 Das „Mobile Device Management“ (MDM) gleicht einem virtuellen
Kontrollzentrum, das von Fernlöschung über Remote-Zugriff das gesamte Gerät steuern
kann.
Somit
kann
eine
MDM-Lösung12
eine
einheitliche
Regelung
von
Unternehmensrichtlinien gestalten und durchsetzen. Mitunter ist es über diese
Kontrollfunktion möglich, sowohl die Arten der Verbindung, wie WLAN oder Bluetooth eines
mobilen Endgerätes einzusehen und diese zu stoppen. Die Kamerafunktion kann ebenso
aktiviert oder deaktiviert und die Nutzung von bestimmten Apps eingestellt werden. Wenn
die Wahl auf den vollständigen Zugriff des Gerätes fällt, ist es schwierig persönliche Daten
der AN zu isolieren.
Die Arbeitgeberin kann entweder den Zugriff auf das gesamte Gerät verlangen oder
den Datenaustausch durch eine „Container“ Strategie lenken. Bei einer Container Lösung
wird ein virtueller verschlüsselter Bereich geschaffen, der private und unternehmensinterne
10
Martens/Hein, Daten wachsen Beine: Auswahlkriterien für mobile BI-Apps, CFO aktuell 2014, 34 (35).
Weitere mögliche Aufgaben von MDM: Verschlüsselungen von Nachrichten, Softwareverteilung
organisieren, verwendete Geräte listen und Containerlösungen beaufsichtigen.
12 Kreuzhuber/Teufl/Zefferer, Sicherheitsanalyse mobiler Plattformen Version 1.0 vom 22.4.2014,
http://www.a-sit.at/pdfs/Technologiebeobachtung/studie_sicherheitsanalyse_mobile_plattformen_v1.0.pdf
(21.8.2015).
11
4
Daten trennt. Meist wird in diesem abgeschotteten Umfeld die Firmen-Apps zur Verfügung
gestellt.13 Bei einem separaten abgeschotteten Datenbereich des Unternehmens
vereinfacht sich die Kontrolle über unternehmenssensiblen Dateien und die Durchsetzung
von Datenschutzrichtlinien.
Abbildung 2: Trennung der Daten mit Containerlösungen
Klassische mobile Geräte, wie Smartphones, Tablets, werden bereits heute ergänzt,
durch am Körper getragene technische Hilfsmittel. Beispielsweise Uhren14, sogenannte
„Smartwatches“, die mit Smartphones verbunden sind, verfügen über einen Bildschirm und
können auch Nachrichten empfangen.15 Oft werden durch Sportmessgeräte (bspw
Fitnesstracker), die sich mit den mobilen Geräten synchronisieren, Gesundheitsdaten
erstellt. Ebenso sind bereits in vielen alltäglichen Gegenständen16 Messgeräte
eingearbeitet werden, die Daten aufzeichnen und auswerten.
Die Vernetzung zwischen mobilen und auch stationären Geräten wird mit „Internet of
the Things“ und der Kommunikation von „Machine-to-Machine“ voranschreiten.17 Durch den
Einsatz der mobilen Geräte und technische Hilfsmittel am Arbeitsplatz wird das Recht auf
Geheimhaltung personenbezogener Daten in der Arbeitswelt berühren.
13 Teufl/Zefferer, Bedrohungsanalyse und Sicherheitsanforderungen für M-Government Applikationen
Angriffspotentiale und Schutzfunktionen, Version 2.0 vom 1.7.2011,
https://online.tugraz.at/tug_online/voe_main2.getvolltext?pCurrPk=58566 (21.8.2015).
14 Lehner/Grabmann/Ennsgraber, Crowdfunding - Innovationsmotor oder Irrweg? Auswirkungen auf
Geschäftsmodelle junger Unternehmen, CFO aktuell 2015, 156 (158).
15 Problematisch für den Datenschutz, da ein PIN bspw nicht nur auf dem Smartphone, sondern auch auf der
Uhr angezeigt wird.
16 zB Google Glass, textile Flächengebilde mit integrierten Messsensoren.
17 Burgstaller, Editorial IoT und M2M: Wo bleibt der Datenschutz und die Informationssicherheit? ZIIR 2015,
121 (121).
5
2.
Problemstellung
Die Einbringung privater Gegenstände und deren Einsatz während der Arbeitszeit,
um beruflich notwendige Erledigungen zu erfüllen, ist im Arbeitsrecht keine Neuheit. Es
werden bereits beispielsweise Laptops18, Fahrzeuge19 und Arbeitskleidung20 von
Mitarbeiterinnen zur Verfügung gestellt. Bisher war der klassische Stand-PC, der
Firmenlaptop, das Firmenhandy für den Arbeitseinsatz allein ausgerichtet. Hingegen sind
private mobile Geräte nicht unbedingter Weise auf den Einsatz im Unternehmensumfeld
ausgelegt.
Die nächste Besonderheit gründet sich in der Eigentumsfrage. AN sind die
Eigentümerinnen der Geräte, sie wählten diese unter Anbetracht ihrer persönlichen
Präferenzen. Die Dispositionsfreiheit über die mobilen Geräte obliegt der AN. Privatgeräte
sind für den Privatkonsum hergestellt worden und bieten selten ausreichende
Schutzmechanismen für den Datenschutz betrieblicher Informationen. Somit ist der
Datenschutz ein zentrales Thema beim Einsatz privater Endgeräte.21
Diese Arbeit wird das Problem des Aufwandersatzes erörtern, inwieweit die AG
verpflichtet ist, Ausgaben für den Kauf und das Betreiben der Geräte zu ersetzen. Der
Kostenfaktor spielt eine bedeutende Rolle. Es fallen die Kosten der Anschaffung, Reparatur
und Wartung an. Die Entwicklungskosten für Sicherheitssysteme oder Software gegen
Schadprogramme müssen ebenso in die Kostenfrage miteinbezogen werden.22 Auch wird
darauf eingegangen, welche Regelungen für einen Schadensfall getroffen werden können.
Wann und wie die Nutzung überhaupt erlaubt und in welcher Form die Erlaubnis widerrufen
werden kann.
Die technischen Lösungen, wie bereits beschrieben, mit Vollzugriff oder
Containerlösung, bestimmen die Intensität der Eingriffe auf die Daten der Privatgeräte. Die
AG kann in einem Zulassungsverfahren festlegen, ob eine Unterscheidung, im Hinblick auf
Gerätespezifikationen, gemacht wird. Demnach welche aktuellen Versionen von
Betriebssystemen erlaubt werden und welche Geräte den unternehmenseigenen
18
Dazu näher Zankel, Bring your own device: Problemfelder der Übertragung von Arbeitgeberpflichten aus
der Sicht des Arbeits- und des Datenschutzrechts, ASoK 2013, 423 (423).
19 Dazu näher Gerhartl, Schäden am dienstnehmereigenen Kraftfahrzeug, ASoK 2013, 56 (59).
20 Dazu näher Mitschka/Steiner, Beistellungs- und Kostentragungspflicht für Arbeitskleidung, ZAS 2014/50,
304 (306).
21 Kohlbacher, Spielräume bei der Vertragsgestaltung, ZAS 2015/22, 136 (139).
22 Pollirer, Checkliste - Bring Your Own Device (BYOD), Dako 2014/17, 12 (13).
6
Standards23 genügen. Ihre Regelung kann auch die Frage klären, inwiefern es erheblich ist,
wenn es sich um eine modifizierte Betriebssystemvariante24 handelt.
Für Geräteinhaberinnen ist es von besonderem Interesse absehen zu können, welche
Datensicherheitsmaßnahmen getroffen werden müssen. Da eine Verletzung dieser
arbeitsvertragliche Konsequenzen nach sich ziehen können. Arbeitnehmerinnen haben
Schutzrechte, die ihnen bei schwerwiegender rechtswidriger Datenverwendung zur
Verfügung stehen.25 BYOD ist ein Balanceakt, zwischen einer Reglementierung, um Daten
der AG zu schützen und dennoch die Nutzbarkeit der Geräte im privaten Umfeld aufrecht
zu erhalten. Ein Mittel hierfür ist bspw die Verwendung von „White“- und „Blacklists“, diese
legen die Freigabe für die Nutzung bestimmter Apps fest.26 Arbeitnehmerinnen müssen für
sich entscheiden, in welchem Ausmaß sie sich den Regelungsinteresse der AG
unterwerfen.
Das mobile Endgerät kann Träger unternehmensrelevanter Daten sein. Diese gilt es
von
internen
und
externen
Angriffen
zu
schützen.
Gleichzeitig
darf
diese
Vorsichtsmaßnahme keine generelle Ausnahme bilden, um ein Nährboden für
Kontrollmaßnahmen der AG gegenüber der AN darzustellen. Hier bekommt auch das
Kollektivrecht ein bedeutende Rolle zugeschrieben, da gegebenenfalls den Informationsund Mitbestimmungsrechte des Betriebsrats Rechnung getragen werden muss.
Da Dispositionshandlungen über das Gerät nicht ohne Zustimmung der Eigentümerin
ergehen können, muss auch ein Austausch, Verkauf oder eine notwendige Entsorgung
ebenso
Inhalt
einer
Nutzungsvereinbarung
sein.27
Auch
sind
Arbeitnehmerinnenschutzbestimmungen beim Einsatz von BYOD beachtenswert, die
Verantwortung über den Gesundheitsschutz von Bewegungsapparat und Sehkraft,
obliegen auch bei Nutzung privater Geräte der Arbeitgeberin.
Chancengerechtigkeit in den Zugangs- und Nutzungsmöglichkeiten von digitalen
Medien ist auch im Bereich der Hardware und Software ein relevantes Thema. Es ist wichtig
älteren Generationen an AN eine realistische Teilnahme zu ermöglichen. Auch Menschen
23
Bspw Prozessorleistung, Speicherkapazität, erforderliche Schnittstellen, Bildschirmauflösung.
Modifikationen des Betriebssystems können tiefergehende Einstellungen ermöglichen und
Herstellerinnenrichtlinien umgehen, hier wird auf „jail-break“ für iOS und „Root“ für Android angesprochen.
25 Dohr/Pollirer/Weiss/Knyrim, Kommentar zum Datenschutzgesetz² (2014) § 33 ErläutRV (Stand: 7.7.2015,
rdb.at).
26 „Black-“ und „Whitelist“ Protokolle sollen eine Anleitung sein, um anzugeben, welche Programme nicht
installiert werden dürften und welche erlaubt sind. Fallweise das Verbot von bestimmten Apps, die Daten in
Clouds automatisch speichern.
27 Walter/Dorschel, Mobile Device Management – rechtliche Fragen, WuM 2012/3, 22 (23).
24
7
mit Einschränkungen im Bewegungsapparat oder Sinnesbehinderung soll eine barrierefreie
Kommunikation28 gelingen dürfen.
Laut der Mobile Marketing Association29 durchgeführten Befragung setzen 62 % der
Österreicherinnen ihr Privathandy ausschließlich in ihrer Freizeit ein. Ein Drittel benutzt die
Geräte, während der geschäftlichen Tätigkeit und außerhalb der Arbeit. Nur mehr ein
Prozent setzt das Handy rein beruflich ein. Ist es erlaubt Apps auf den Firmenhandys zu
installieren, achten bereits knapp mehr als die Hälfte auf die Zugriffsrechte, die die Apps
verlangt. Auch reagieren Mitarbeiterinnen, bei einem zu großem Ausmaß an
Zugriffsrechten, mit einer Nichtinstallation darauf. Zwar besitzen 2015 noch nicht einmal
zehn Prozent eine „Smartwatch“, doch war einer der weiteren genannten Gründe, für die
Kaufentscheidung, die Einsetzbarkeit in der Arbeit.
Die Bewusstseinsbildung eines verantwortungsvollen Umgangs mit neuen Medien
und Geräten30 entwickelt sich je nach Alter, Erfahrung und technischen Möglichkeiten. Das
mobile Gerät wird zu einem allzeit einsetzbaren Werkzeug, das einerseits stark die Identität
der einzelnen Trägerinnen widerspiegelt, aber auch die AG einem Risiko aussetzt. Die
Geräte können durch die handliche Größe schneller verloren gehen. Mit dem
ortsunabhängigen Einsatz sind diese gefährdet zerstört oder gestohlen zu werden. Selbst
durch unsachgemäße Verwendung kann sogar die Betriebssoftware nachhaltig beschädigt
und das Gerät unbrauchbar werden. Ein Schaden durch einen Datenverlust ist nicht leicht
zu beziffern.31
Auf den ersten Blick steigt die Mitarbeiterinnenzufriedenheit, bei der freien Wahl ihrer
Geräte32, doch besteht die Schwierigkeit darin, Datensicherheit zu gewährleisten. Die
informationelle
Selbstbestimmung33
kann
durch
die
Weisungs-
und
Kontrollunterworfenheit34 der AN gegenüber der AG auch im Arbeits- und Datenschutzrecht
nur schwer durchgesetzt werden.
28
Siehe Web Accessibility Initiative, Richtlinien für barrierefreie Webinhalte, http://www.w3.org/WAI/intro/wcag
(16.10.2015).
29 Mobile Marketing Association, Mind Take Research GmbH Communications Report 2015,
http://www.mmaaustria.at/html/img/pool/mobilecommunicationsreport2015.pdf (3.9.2015).
30 Ghazal, Schutz der Persönlichkeit im Internet, in Jaksch-Ratajczak (Hrsg), Aktuelle Rechtsfragen der
Internetnutzung (2010) 43 (69).
31 Dohr/Pollirer/Weiss/Knyrim, DSG², Anhang V., Spezieller Datenschutz, 17. Arbeitnehmerdatenverarbeitung,
D. Mobile IT-Geräte im Arbeitsumfeld, 3. IT-Geräte im Eigentum des Mitarbeiters Bring Your Own Device
(Stand: 7.7.2015, rdb.at).
32 Dazu näher Bartz/Schmutzer, New World of Work, WPBI 2015/1, 163 (171).
33 Grabenwarter, Das Recht auf informationelle Selbstbestimmung im Europarecht und im Verfassungsrecht,
AnwBl 2015, 404 (405).
34 Dazu näher Auer-Mayer, Die Grenze zwischen selbständiger und unselbständiger Tätigkeit aus
sozialversicherungsrechtlicher Sicht dargestellt am Beispiel der IT-Branche, ZAS 2015/2, 4 (8).
8
II. Arbeitsrechtliche Rahmenbedingungen
1.
Rechtsgrundlagen für die Einbringung mobiler Geräte
Unternehmerinnen setzen materielle und immaterielle Güter ein, um ihre
angebotenen Dienstleistungen oder Produkte am Markt anbieten zu können. Als Grundsatz
im Arbeitsrecht muss die AG zur Erbringung der Arbeitsleistung verpflichtend die
Arbeitsmittel bereitstellen.35
Unter mobilen IT-Geräten sind in der Arbeitswelt alle, für einen mobilen Einsatz
geeignete Geräte, zu verstehen, so etwa Notebooks, Personal Digital Assistants (PDAs),
Tablet-PCs und Smartphones. Der Begriff mobile IT-Geräte umfasst jene technischen
Vorrichtungen, die geeignet sind ortunabhängig eingesetzt zu werden. Vorrangig wurden in
dieser Form Laptops, Notebooks, Personal Digital Assistants, als tragbare Rechner
eingesetzt. Peripheriegeräte ergänzen mobile Geräte, diese sind entweder intern verbaut
oder extern verbunden. Die betriebliche Nutzung von mobilen Endgeräten wird durch
Smartphones, Tablet-PCs, Wearables verstärkt. Abhängig von Leistungsstärke und
erforderlichen Hardwarekomponenten können mobile Geräte Arbeitsschritte erleichtern
oder beschleunigen. Es muss unterschieden werden, zwischen einem aktiven Einsatz und
einer reinen passiven Datensammlung. Es existieren mobile Geräte, deren Hauptaufgabe
es ist, zum heutigen Standpunkt der Technik, entweder Gesundheitsdaten („Life Tracking“)
zu sammeln oder als Schlüsselfunktion, die Weiterleitung von Informationen und
Zugangsdaten (zB Mobile TANs auch auf die Smartwatch, Türöffner) zu ermöglichen. Im
Arbeitsumfeld ist dies beachtlich, da sich diese wiederum mit den Geräten, welche indirekt
verbunden sind zur AG, synchronisiert werden können.
Das Bereitstellen von Arbeitsmittel durch die AN kann vereinbart werden.36 Die
Grenze einer Bereitstellungspflicht zeigt sich in der unangemessenen Abwälzung des
wirtschaftlichen Risikos auf die AN. Ob nun Mitarbeiterinnen ihre privaten Mittel einsetzen,
ist kein zwingendes Indiz für eine Abgrenzung zu einem freien Dienstvertrag oder
Werkvertrag. Als Teil des Unternehmerinnenrisikos, ist es eine Auswahl der Arbeitsmittel
zu treffen, deren Eignung zu überprüfen und die Wartung zu gewährleisten. Ebenso obliegt
es der AG das Risiko des Untergangs des Arbeitsmittels zu tragen.37 Die Einsatz- und
35
Mit Ausnahmen bei einem freien Dienstvertrag oder Werkvertrag.
Rebhahn in Neumayr/Reissner (Hrsg), Kommentar zum Arbeitsrecht² (2011) § 1151 ABGB Rz 114.
37 Rebhahn in ZellKomm² § 1151 ABGB Rz 116.
36
9
Arbeitsbereitschaft einer AN wird nicht daran gekoppelt eigene Arbeitsmittel zur Verfügung
zu stellen. Es besteht keine Verpflichtung zB besondere Schutzkleidung oder technische
Vorrichtungen zur Erbringung der geschuldeten Arbeit mitzunehmen.
Bei der Einbringung privater mobiler Geräte in die Unternehmenssphäre können
diese
einer
Schädigung
unterliegen.
Ein
Ersatzanspruch
wird
durch
das
Schadenersatzrecht des Zivilrechts nach §§ 1293 ff ABGB38 geregelt sind. Fußend auf die
Erfordernis der Rechtswidrigkeit, sowie des Verschuldens, kann die Haftung nach § 1014
ABGB ebenso relevant werden. Da das Gerät eingesetzt wird, um eine Arbeitsleistung zu
erbringen, dabei im Sinne der AG in ihrem Interesse und zu ihrem Nutzen verwendet wird,
erhöht sich das Haftungsrisiko der AG. Voraussetzung hierfür, ist das Erreichen der
Erheblichkeitsschwelle, also ein regelmäßiger Einsatz, sowie ein Mehrwert für die AG, der
durch das eingesetzte Privateigentum entsteht.39 Die Risikohaftung nach § 1014 ABGB ist
abdingbar.40
Prinzipiell besteht kein Rechtsanspruch auf den Einsatz der privaten mobilen
Geräte.41 Liegt keine Regelung oder ausdrückliche Erlaubnis vor, kann sich beim Einsatz
der Geräte eine betriebliche Übung abzeichnen. Eine betriebliche Übung präsentiert sich in
der Arbeitswelt in einer vielseitigen Art und Weise. Sämtliche Vereinbarungen, die in einem
AV getroffen werden können, sind potentielle Regelungsinhalte, die durch eine betriebliche
Übung einen AV ergänzen können.42 Ohne Grund an der Vorgehensweise im Betrieb zu
zweifeln, wie beispielsweise die regelmäßige private Nutzung des Internets am Arbeitsplatz,
wird das von der AG geduldete Verhalten zu einem verbindlichen Bestandteil der
Einzelarbeitsverträge. Es verfestigt sich die Annahme einer betrieblichen Übung, wenn die
AG der Duldungshandlung, als weiteres Kriterium, auch billigend entgegen sieht.43 Das
Weisungsrecht, als Konkretisierung der übernommenen Pflichten, vermag keine
Verpflichtung der AN aufzuerlegen, ihr mobiles Privatgerät einzusetzen. Die Beistellpflicht
der AG, um benötigte Betriebsmittel am Arbeitsplatz verfügbar zu machen, obliegt nur ihr.
Somit kann das Einsetzen der privaten Mobilgeräte der AN keine Hauptleistung darstellen
oder durch eine Weisung erweitert werden. Primär ist die Orientierung des Umfangs, der
vereinbarten Leistung, durch einen Arbeitsvertrag festzulegen.44 Sollte dieser keinen
38
JGS 1811, 946.
Knallnig, Verwendung privater Arbeitsmittel des AN (insb Privatfahrzeug), in Reissner/Neumayr (Hrsg),
Zeller Handbuch Arbeitsvertrags-Klauseln (2010) Rz 32.11.
40 OGH 4.9.1996, 9 ObA 2136/96z, DRdA 1997/28, 273 (Kerschner) = ASoK 1997, 59.
41 Huger/Laimer, BYOD und Arbeitsrecht, ecolex 2014, 303 (305).
42 Vinzenz, Die betriebliche Übung, JAP 2012/2013/25, 266 (226).
43 Vinzenz, JAP 2012/2013/25, 227.
44 Reissner in Reissner (Hrsg), Kommentar Angestelltengesetz² (2015) § 6 Rz 5 ff.
39
10
Aufschluss darüber geben, wie mit der Zurverfügungstellung von Arbeitsmitteln zu
verfahren ist, wird auf die Ortsüblichkeit abgestellt (zB Programmiererinnen nehmen
vorzugsweise ihre eigene Tastatur mit). Die Angemessenheit wird ebenso als Maßstab
herangezogen, mit einer anschließenden Interessensabwägung.
Doch kann sich eine Pflicht zur Bereitstellung eigener Geräte in bestimmten Fällen
ergeben. Diese Beistandspflicht wird abgeleitet aus der Treuepflicht, um bereits drohende
oder nachhaltige Beeinträchtigungen zu verhindern.45 Das Fundament Treuepflicht und
arbeitsvertraglich festgelegte Regelungen, gegliedert in die Haupt- und Nebenpflichten46,
werden in die Unterlassungspflicht (zB Geheimhaltungspflicht und Konkurrenzverbot) und
Handlungspflicht (zB Notarbeitspflicht und Meldepflicht) eingeteilt. Diese Elemente können
wesentlich werden, sofern sich eine Situation einstellt, die ein Einsetzen privater Geräte
erforderlich macht. ME liegt eine solche vor, wenn eine Cyberattacke47 den Betrieb betrifft
und bedroht. Nach den erforderlichen Charakteristika des § 20 Abs 1 AZG48 müssen
dadurch außergewöhnliche und schwerwiegenden nachteilige Konsequenzen entstehen.
Daraus kann sich ein Betriebsnotstand ergeben, welcher vorliegt, wenn es sich nicht um
ein allgemeines Betriebsrisiko handelt. Der Auslöser, eines solchen Zustandes, muss
tatsächlich unvorhersehbar sein und ein unmittelbares Handeln notwendig machen.49 Eine
Notarbeitspflicht mit den mobilen Privatgeräten bei einer Cyberattacke auf das
Firmennetzwerk und somit ein Stillstand der firmeneigenen Hardware, kann mAn Ausdruck
einer Beistandspflicht sein.
Es gibt folgende Situationen in denen sich der Einsatz mobiler Endgeräte am
Arbeitsplatz wieder finden kann:
-
Dienstgebrauch ohne Regelung
-
Ausdrückliche Erlaubnis
-
Nutzungsvereinbarung
-
Betriebsvereinbarung
-
Nutzungserlaubnis in bestimmten Fällen (zB auf einer Dienstreise)
-
Inanspruchnahme bei Notstand
-
Einsatz trotz Nutzungsverbot (Schatten-IT)
45
Vgl Mosler in Neumayr/Reissner (Hrsg), Zeller Kommentar zum Arbeitsrecht² (2011) § 19d AZG Rz 32.
Rebhahn/Kietaibl in Neumayr/Reissner (Hrsg), Zeller Kommentar zum Arbeitsrecht² (2011) § 1153 ABGB
Rz 34.
47 Gezielter Angriff auf die IT-Infrastruktur eines Unternehmens.
48 BGBl 1969/461.
49 Pfeil in Neumayr/Reissner (Hrsg), Zeller Kommentar zum Arbeitsrecht² (2011) § 20 AZG Rz 8.
46
11
1.1. Inhalte von Nutzungsvereinbarungen im weiteren Sinne
Die Verwendung von privaten IT-Geräten kann nur in bestimmten Fällen erlaubt sein
oder die regelmäßige Nutzung vereinbart werden. Der Aufwandersatz betrifft entweder die
eingesetzte Hardware uo die Kosten zur Telefonie. Ein Aufwandsersatz für entstandene
Kosten, die in direktem Zusammenhang mit den erbrachten Erledigungen für die AG steht,
ist zu leisten.50 Ob eine abnutzungsbedingte Wertminderung bei mobilen Endgeräten
aufgeteilt werden kann oder die Abgeltung der Kosten über den Datenverbrauch, liegt an
der beruflichen Notwendigkeit und dem Ausmaß der Nutzung.51
Bei Übernahme der Kosten für Telefonie und Datenvolumen durch die AG, sollte
darauf geachtet werden, welche Person Rechnungsträgerin ist und den Vertrag abschließt,
da pauschal vereinbarter Kostenersatz eine Relevanz in der Lohnsteuerpflicht auslösen
kann.52 Die Privatautonomie wird nur beschränkt durch die eindeutige Sittenwidrigkeit,
wenn etwa angefallene Roaming-Gebühren, während einer Dienstreise, als tatsächlicher
Aufwand in keinem Verhältnis zum Ersatz stehen. Wird aber hingegen mehr ausbezahlt,
als ein angemessener Ausgleich vonnöten ist, kann dieser Überschuss als Entgelt
angesehen werden.53 Herrscht keine eindeutige Regelung, über den Ersatz von Auslagen
(auch bei Barauslagen, wie zB Zukaufen eines Roamingpaketes oder eines HDMI
Adapterkabel für eine Kundinnenpräsentation), kann durch Duldung oder Zustimmung von
seitens der AG auf den Kostenersatz nach § 1014 ABGB zurückgegriffen werden. Diese
Ersatzpflicht kann, anders als die Risikohaftung, nicht abbedungen werden kann.
Sollte keine firmeneigene Sicherheitssoftware oder Versicherung zum Einsatz
kommen, können auch die Kosten für einen solchen Dienst Teil einer Zusatzleistung sein.
Darauf Rücksicht zu nehmen ist dabei, dass nur Schäden im Privatbereich abgedeckt sind,
da die meisten Dienste eine kommerzielle Nutzung untersagen. Liegt ein Wechsel in der
IT-Infrastruktur vor und mit diesem auch eine Neuaufstellung der Hardwaregeräte, kann
eine
Teilkündigung
der
Nutzungsvereinbarung
erfolgen
und
ein
Wegfall
der
Geschäftsgrundlage für den Ersatz des Aufwands.54
50
OLG Wien 24.10.1997, 9 Ra 249/97x, ARD 4904/12/98.
LStR 2002, Lohnsteuerrichtlinien 2002, Rz 339.
52 Schuster, Werbungskosten und Sachbezug Bring Your Own Device! Zur Verwendung eigener Arbeitsmittel
als Dienstnehmer, SWK 2012/25, 1065 (1067).
53 Knallnig in ZellHB AV Klauseln Rz 32.14.
54 Knallnig in ZellHB AV Klauseln Rz 32.26.
51
12
1.1.1. Abgrenzung dienstliche oder private Daten
Ab dem Moment des Einsatzes der mobilen Devices am Arbeitsplatz, kommt es zu
einer Vermengung der betrieblichen und privaten Daten. Eine Grenze zu ziehen, ist auch
in diesem Anwendungsfall nicht neuartig, bereits bei der Privatnutzung von E-Mail Konten
der AG, ist eine Differenzierung zwischen den persönlichen und den betrieblichen
Nachrichten zu vorzunehmen. Da auch berufliche und private E-Mails auf den Privatgeräten
bearbeitet werden, unterliegen diese dem Briefgeheimnis, vor allem bei einer privaten
Kennzeichnung. Unabhängig davon, ob diese verschlüsselt wurden oder nicht, gelten auch
die Bestimmungen nach § 118 StGB55 dem Briefgeheimnis und dem Fernmeldegeheimnis
nach Art 10a StGG, da sie der geschützten Privatsphäre unterliegen.56 Eine Durchbrechung
des Leseschutzes der Nachrichten kann nur zum Zweck der Verfolgung einer schweren
Straftat zulässig sein.57 Sinn der Aufschlüsselung in private und dienstliche Nachrichten ist,
den unbeschränkten Zugriff der AG auf die Firmendaten zu gewährleisten, ohne
datenschutzrechtliche Schutzvorschriften zu verletzen. Des Weiteren gilt es, der AN eine
Möglichkeit zu bieten, ihre privaten Daten zu sichern (auch auf den abgetrennten
betrieblichen Bereichen), da ansonsten bei Datenschädigung oder vorzeitigen Löschen
Aufwandsentschädigungen und Ersatzansprüche58 denkbar sind. Sämtliche Angaben zum
Inhalt von privaten Nachrichten sind vor Zugriffen durch das Kommunikationsgeheimnis zur
Gänze geschützt.59 Somit ist die Unterscheidung in Privat- und Unternehmensdaten und
deren Umgang ein wesentlicher Punkt einer Nutzungsvereinbarung.
Das Kriterium der Arbeitszeit, als Abgrenzungsmerkmal, in der Frage der
Datenherkunft, führt zu keinem Ergebnis. Private Daten können auch während der
Arbeitszeit (zB Fitnesstracker) entstehen und betriebliche Informationen, außerhalb des
Büros, sich auf den mobilen Geräte einfinden (zB Kundin sendet Datenpaket, Over-the-air
Update60). Übrig bleibt eine technische Lösung zur Trennung der betrieblichen und privaten
Daten, entweder mittels Boxensystem
(abgetrennte Datenbestände)
oder
einer
Virtualisierungslösung61. Der Einsatz von privaten Devices mit uneingeschränktem Zugriff
seitens der AG auf sämtliche Daten bleibt datenschutzrechtlich bedenklich.
55
BGBl I 112/2015.
Laimer/Mayr, Zum Spannungsverhältnis von Arbeitgeber- und Arbeitnehmerinteressen rund um die EDVNutzung, DRdA 2003, 410 (412).
57 Jahnel, Datenschutz im Internet Rechtsgrundlagen, Cookies und Web-Logs, ecolex 2001, 84 (86).
58 Dazu näher Goricnik, Die Kontrolle der Internet-Nutzung und des E-Mail-Verkehrs, in Grünanger/Goricnik
(Hrsg), Arbeitnehmer-Datenschutz und Mitarbeiterkontrolle (2014) 139 (151).
59 Brodil, Kontrolle und Datenschutz im Arbeitsrecht, ZAS 2009/21, 121 (125).
60 Kabelloses Installieren von Updates über Schnittstellen wie WLAN oder Mobilfunknetz.
61 Nur Zugriff auf Firmennetzwerk, ohne Lokalspeicherung von betrieblichen Daten auf dem Gerät.
56
13
1.1.2. Unterscheidung dienstliche oder private Nutzung
Durch die Mischform von zwei Lebensbereichen, nämlich der Arbeit und der Freizeit,
verbunden in einem oder mehreren Geräten, verschwimmen die Grenzen zur Beurteilung,
welcher tatsächlich vorliegt. Grundsätzlich ist durch die mobile Arbeitswelt eine
Flexibilisierung62 in Ort, Zeit und Arbeitsgerät entstanden. Projekte und Aufgaben können
zu den unterschiedlichsten Zeiten, an außergewöhnlichen Orten und auf einer großen
Auswahl an Bildschirmen bearbeitet und erledigt werden.
Die Erreichbarkeit über Privatgeräte hat Einfluss auf die Arbeitszeit, infolge dessen
auf einem arbeitsrechtlich relevanten Gebiet. Die Erholung in der Freizeit, Krankenstand
und Urlaub wird im Arbeitsrecht in verschiedenen Gesetzesgrundlagen beachtet. Auch
dient die Feststellung der geleisteten Arbeitsstunden, als Basis für eine Berechnung der
Entlohnung. Werden Anrufe der AG auf einem mobilen Privatgerät angenommen oder ihre
Nachrichten beantwortet, liegt eine Überstunde vor, selbst wenn die AN nicht durch
Weisung oder Vereinbarung dazu verpflichtet wurde, in ihrer Freizeit diese Arbeiten zu
erledigen. Kontaktaufnahmen durch Dritte unterstehen keiner AG Anordnung und können
beim freiwilligen Annehmen nicht als Arbeitsleistung gewertet werden, wenn dazu keine
vertragliche Verpflichtung besteht.
Die Unterscheidung nach § 20a AZG splittet die Arbeitsbereitschaft in Erreichbarkeit
und Rufbereitschaft auf. Rufbereitschaft wird gesetzlich definiert, als freie Wahl des
Aufenthaltsortes, der Freizeitverwendung und der Zurverfügungstellung einer notwendigen
Arbeitsfähigkeit.
Kommt
es
während
einer
Rufbereitschaft
zu
einer
konkreten
Arbeitsleistung, wie das Annehmen eines Anrufes, so ist es als Arbeitszeit zu qualifizieren.
Dies
hat
somit
Einfluss
auf
die
Tageshöchstarbeitszeit
und
Ruhezeiten,
ist
demensprechend angemessen zu entlohnen. Beim Einsatz von mobilen Geräten sollte eine
Vereinbarung getroffen werden, die eine Abrechnung für kurzfristige Unterbrechungen der
arbeitsfreien Zeit regelt. Die Pflicht zur Erreichbarkeit stellt, ohne vertragliche Grundlage,
keine Nebenpflicht dar.63 Nach Risak64 liegt keine Rufbereitschaft vor, wenn eine Nachricht
der AN beantwortet wird, da ein voller Einsatz der Arbeitsleistung beim Beantworten nicht
notwendig wird.
62
Maier, Ein Plädoyer für ein Ende der Ausgrenzung der Digitalen Welt, Information Technology IT 2010/6,
360 (362).
63 Risak, Arbeiten in der Grauzone zwischen Arbeitszeit und Freizeit: Dargestellt am Beispiel der
"Dauererreichbarkeit" am Smartphone, ZAS 2013/50, 296 (300).
64 Risak, Rufbereitschaft, ZAS 2013/57, 339 (339).
14
Somit wird bei der Feststellung, ob eine dienstliche oder private Nutzung vorliegt,
primär darauf abgestellt, inwieweit eine fremdbestimmte Arbeitszeit oder selbstbestimmte
Freizeit vorliegt.65 Auch außerhalb der Arbeitszeit ist die AN an gewisse Handlungs- und
Unterlassungspflichten gebunden.66 Es kann in Nutzungsvereinbarungen genauer geregelt
werden, welche Pflichten die AN zum Schutze betrieblicher Daten in der Freizeit zu erfüllen
hat (zB White/Blacklist Apps).
1.2. Inhalte von Nutzungsvereinbarungen im engeren Sinne
Eine Nutzungsvereinbarung soll dazu dienen genauere Regeln festzulegen, die die
Handhabung privater Geräte im Arbeitsverhältnis erleichtert. Ist eine Erlaubnis zum Einsatz
erfolgt, müssen für beide Seiten die damit verbundenen Pflichten verdeutlicht werden.67
Eine Konkretisierung von Folgen einer Überschreitung der Nutzungsvereinbarung oder
einer unerlaubten Schatten-IT68 können ebenso festgelegt werden. Die AN wird großes
Interesse daran haben, wie bspw bei einer erhöhten Telefonkostenabrechnung der
Aufwand rückerstattet wird, wie lange sie Zeit hat, um ein verlorenes Gerät wieder zu
beschaffen und welche Zugriffe sie zu dulden hat.69 Die AG als datenschutzrechtliche
Auftraggeberin treffen Verpflichtungen des Datenschutzgesetzes. Bei geplanten Zugriffsund Kontrollrechten in der „Informations- und Kommunikationstechnik“ IKT spielt nicht nur
das Arbeitsrecht eine bedeutende Rolle, sondern auch der Sorgfaltsmaßstab des § 347
UGB70 (in weiterer Folge ggf. auch § 70 Abs 1 AktG71 und § 25 Abs 1 GmbHG72). Deshalb
ist die AG, im Sinne des IT Sicherheitshandbuchs, zum Schutze des Inhalts auf tragbaren
Geräten verpflichtet. Es sind zweckentsprechende Gegenmaßnahmen anzudenken, um ein
Schutzniveau zu erreichen, das Integrität und Vertraulichkeit als umgesetztes Ziel
formuliert.73
65
Rebhahn in ZellKomm² § 1151 ABGB Rz 105.
Rainer, Regelungen über außerdienstliches Verhalten, in Reissner/Neumayr (Hrsg), Zeller Handbuch
Arbeitsvertrags-Klauseln (2010) Rz 60.08.
67 Franck, Bring your own device – Rechtliche und tatsächliche Aspekte, RDV 2013/4, 185 (191).
68 Ohne Kenntnis der AG oder der IT Abteilung eingesetzte Geräte, die mit betrieblichen Daten in Berührung
kommen.
69 Dohr/Pollirer/Weiss/Knyrim, DSG², Anhang V., Spezieller Datenschutz, 17. Arbeitnehmerdatenverarbeitung,
D. Mobile IT-Geräte im Arbeitsumfeld, 2. Unternehmenseigene Smartphones und Tablet-PCs (Stand:
7.7.2015, rdb.at).
70 dRGBl 1897, 219.
71 BGBl 1965/98.
72 RGBl 1906/58.
73 Österreichisches Informationssicherheitshandbuch Version 4.0, Smartphone Sicherheit,
https://www.sicherheitshandbuch.gv.at/2013/index.php (28.9.2015).
66
15
1.2.1. Art und Umfang des Zugriffsrechtes
Seitens der AG muss entschieden werden, welches Zugriffsystem zum Einsatz
kommen soll, welche Geräte unter dem Sammelbegriff „Bring your own device“ für die
betriebliche Arbeit geeignet sind und welche mobilen Devices nicht zugelassen werden.
Es kann der Zugriff auf alle privaten Daten erfolgen, da Firmensoftware und
Sicherheitstools direkt auf dem mobilen Endgerät installiert werden. Die Daten werden nach
außen mittels Verschlüsselung74 geschützt, aber dennoch kann die AG sämtliche Inhalte
und Funktionen des Gerätes registrieren. Da die Geräte für Endkonsumentinnen abgesetzt
werden, wird ein Aufwand zur Sicherung der Firmendaten unumgänglich sein. Der
Vollzugriff auf Apps, lokal auf die gespeicherten medialen Inhalte, Verbindungsdaten,
Hardwarefunktionen, ohne Trennung der Datenbestände, ist datenschutzrechtlich kritisch
zu betrachten. Sollte die Nutzung des Gerätes auf Kosten der Datensicherheit im privaten
Umfeld nicht mehr einsetzbar sein (zB Blacklist von nichtvertrauenswürdigen Apps, die
beliebt in ihrer Benützung sind) wird auch von Seiten der Anwenderin, entweder die
Sicherheitsbestimmung umgangen oder die Vereinbarung zur Nutzung hinfällig. Bei einer
Lösung mit der virtualisierten Arbeitsumgebung kommt es zu keiner Datenspeicherung auf
dem Privatgerät. Der Datenaustausch erfolgt über eine simulierte virtuelle Oberfläche, die
auf einer physischen Einheit zwischen Hardware und Anwendung läuft. Die Inhalte können
von
jedem
mobilen
Endgerät
mit
Zugangskennung
abgerufen
werden.
Die
Arbeitsumgebung ist nur abhängig von einer stetigen Internetverbindung, wenn über einen
simulierten Desktop gearbeitet wird. Die Verarbeitung und Speicherung der Daten liegt
unter der Kontrolle der AG, da das mobile Endgerät nur als Medium zur Verarbeitung der
Informationen funktioniert. Bei Verlust oder Diebstahl befinden sich keine Daten auf dem
Gerät.
Des Weiteren kann das Konzept verfolgt werden, zwei Profile auf dem Gerät zu führen
und die Daten getrennt zu speichern. Hierzu muss eine Regelung festgelegt werden, die
die Mitarbeiterin dahingehend verpflichtet ihr gesamtes betriebliches Aufgabengebiet über
dieses Konto abzuwickeln.75 Auch besteht die Möglichkeit, zwischen den zwei virtuellen
Umgebungen, die Interaktion zueinander zu verhindern und dennoch durch eine technische
Umsetzung es zulassen, dass diese nebeneinander Programme ausführen können. Mit
diesem Lösungsansatz können auch Apps verwendet werden, die dem höheren
Sicherheitsstandard des Unternehmens nicht ausreichen, für den Privatgebrauch aber
74
75
Dazu näher Silent Circle, Mobile Device mit PrivatOS Blackphone, https://www.silentcircle.com (9.9.2015).
Dohr/Pollirer/Weiss/Knyrim, DSG², Anhang V., 17.D.2 (Stand: 7.7.2015, rdb.at).
16
interessant sind. Bei der Container-Lösung wird die Arbeitsumgebung der Programme
verschlüsselt und durch die AG gesteuert. Der AN steht es somit frei für welche Apps sie
sich in ihrer Freizeit entscheidet, solange die Sicherheit auf den abgetrennten
Datenbereichen gewährleistet ist.76
Abbildung 3: Technische Umsetzungsmöglichkeiten und Auswirkungen auf Privatdaten
Da der betriebliche Einsatz des Gerätes, Einschnitte in der privaten Verwendung
bedeutet, ist es für die AN wichtig aufgeklärt zu werden, welche Strategie der
Datensicherung
und
Kontrolle
gewählt
wird.
Je
nach
Wahl
der
technischen
Umsetzungsmöglichkeit wird das Gerät völlig oder teilweise durch die AG kontrolliert
werden können. Dabei werden die Geräte an einer zentralen Stelle erfasst und die
Datenpflege betreut. Sofern die AG Firmen-Apps einsetzt, werden diese mittels MDM
aktualisiert oder hinzugefügt, Sicherungen erstellt und Schutzmechanismen der
Unternehmensanwendung integriert. Der AG ist es technisch möglich Daten auf dem Gerät
zu löschen. Welche Sicherheitsstandards tragend werden, steht in Abhängigkeit zu der
gewählten Plattform, die nötig ist, um Daten zwischen AN und AG auszutauschen und in
welchem Ausmaß sensible Dateien verarbeitet werden. Der Wert der Daten wird als KernAssets bezeichnet, diese gelten als bedrohte Objekte.77
76
Walter, BYOD Ein Praxisratgeber, HMD 2014, 84 (85).
Österreichisches Informationssicherheitshandbuch Version 4.0, Smartphone Sicherheit,
https://www.sicherheitshandbuch.gv.at/2013/index.php (28.9.2015).
77
17
Inhalte einer Nutzungsvereinbarung können nach ihrem Regelungsgegenstand
eingeteilt werden.78 Zur Übersicht in dieser Arbeit werden vier Gruppen mit einem jeweils
unterschiedlichen Schutzziel angeordnet. Für die Datensicherheit kommen insbesondere
Verhaltensgebote und Vorsichtsmaßnahmen zum Tragen. Bei der Softwarebetreuung wird
darauf abgestellt Eingriffe auf das Gerät im Detail zu regeln und in welchen Zeiträumen
damit zu rechnen ist. Zugriffskontrollen sollen Aufzeichnungen darüber führen, um welche
Personen und Daten es sich handelt, die Zugang zu unternehmenssensiblen Informationen
ausüben. Ein Großteil der Schutzmaßnahmen kann als Präventivmaßnahme aufgesetzt
werden, die Schäden durch die Verwendung der Privatgeräte unterbinden.
Datensicherheit:
-
Verbot von Manipulationen des Betriebssystems des mobilen Endgerätes
(Jailbreak für iOS oder das Rooten bei Android)
-
Verwaltung und Überwachung von Sicherheitszertifikaten und
Sicherheitsrichtlinien79
-
Regelmäßige Sicherungen und Wiederherstellung
-
Zurücksetzen von Passwörtern, Zugangsdaten
-
Konfigurieren bestimmter Einstellungen am Gerät
-
Ausstattung (zB Sichtschutzfolie)
Softwarebetreuung:
-
Installation von firmeneigener Anwendung
-
Verwendung einer Sicherheitssoftware
-
Updates und Wartungszeiträume
-
White-/Blacklist
-
Kein Installieren von Apps aus unbekannten Quellen (eigenverantwortliche
Überprüfung der Vertrauenswürdigkeit)
-
Kein Einsatz von Schwarzmarkt-Apps (zB Aptoide)
Zugriffskontrolle:
78
79
-
Identifikation des Gerätes und der Nutzerin
-
Fernzugriff und Fernlöschung
-
Sperren des Gerätes
-
Verbindungsstatus
-
Kontrolle der Speicherkapazität
Dazu näher Pilarski/Freier/Schumann, MDM - Eine strukturierte Marktanalyse, HMD 2015, 373 (375).
Dazu näher Föck, Sicherheitsrichtlinien für den Einsatz mobiler Endgeräte, HMD 2014, 94 (95).
18
-
Herausgabepflicht bei Verdacht einer Straftat
-
Aufzeichnung der Arbeitszeit und Telefonkosten
-
Verbot des Einsatzes von bestimmten Hardwarekomponenten während der
Arbeitszeit (zB GPS, Aufnahmegerät, Kamera uvm)
Schutzmaßnahmen:
-
Umfang einer zulässigen privaten Nutzung während der Arbeitszeit
-
Unerlaubte Webinhalte während der Arbeitszeit (zB pornografische Websites)
-
Passwortregelung
-
Berichterstattung bei Abhandenkommen des Gerätes (Festlegen des Zeitraums
zwischen Verlust und Meldung an die AG)
-
Bekanntgabe eines Hacking-Angriffes
-
Rechtzeitiges Aufzeigen beim Wechsel des Gerätes oder Verkauf (zur
endgültigen Bereinigung der digitalen Spuren)
-
Teilnahme an Schulungen
-
Umgang mit Schatten-IT80
-
Prävention gegen Internetsucht81
-
Schutz vor Cybermobbing82
Im privaten Umfeld soll festgelegt werden, inwiefern Dritte (zB Familienangehörige,
Arbeitskolleginnen) Zugriff haben dürfen auf das mobile Gerät. Die Regelung über das
Ausleihen, auch in Alltagssituationen, muss klar definiert sein (zB kurzes Telefonat einer
Unbekannten oder befreundeten Person). Wenn sich eine weitere AG der Arbeitsleistung
der AN bedient, benötigt es ebenso Regelungen, die die Sicherung der Datenbestände
auch am zweiten Arbeitsplatz gewährleisten kann.83
Eine absolute Sicherheit, nur durch eine technische Umsetzung, wird für beide Seiten
nicht erreicht werden können. Eine manuelle Manipulation kann nicht verhindert werden.
Mitarbeiterinnen können Schutzvorkehrungen umgehen und wiederum die AG unbemerkt
auf Privatdaten zugreifen.84
80
Siehe Walterbusch/Fietz/Teuteberg, Schatten-IT: Implikationen und Handlungsempfehlungen für Mobile
Security, HMD 2014, 24 (26).
81 Dazu näher Kreil, Entlassung wegen Privatnutzung von Internetdiensten am Arbeitsplatz, in JakschRatajczak (Hrsg), Aktuelle Rechtsfragen der Internetnutzung (2010) 131 (149).
82 OGH 26.11.2012, 9 ObA 131/11x, ZAS 2013/46, 279.
83 Jandt/Steidle, On Device Fits All? - Ein Endgerät für mehrere Arbeitgeber, CR 2013, 338 (338).
84 Siehe Disterer/Kleiner, Bring Your Own Device, HMD 2013, 92 (99).
19
Die Festlegung eines Zeitfenster, in der die Meldung des Verlustes von statten zu
gehen hat, unterstützt die AG darin, ihre Daten zu schützen. Es ist zu vereinbaren, ab
welchem Zeitpunkt, nach dem Abhandenkommen des Gerätes, eine Fernlöschung in Frage
kommt. Falls auch private Daten davon betroffen sind, kann in einer Nutzungsvereinbarung
geregelt werden, wie die Erlaubnis zum Löschen dieser einzuholen ist. MA ist vor jeder
Fernlöschung eine gesonderte Erlaubnis der AN einzuholen, da sich auch im Laufe der
Verwendungsdauer eines Gerätes die Eigenschaften der Daten ändern. Beim Erstellen der
Nutzungsvereinbarung werden sich meist vorerst wenig bedeutsame Daten auf dem Gerät
befinden. Nach und nach kann die Qualität der Daten zunehmen, wie bspw die Speicherung
bedeutungsvoller privater Dokumente oder Mediendateien (zB Dokumentation eines
privaten Verkehrsunfalls).
Auch
die
Fernlöschung
hindert
Dritte
nicht
daran,
dennoch
Zugriff
auf
Unternehmensdaten zu erlangen. Unberechtigte Personen, die in den Besitz des Gerätes
gelangt sind, können die Verbindung zur AG unterbrechen und die geschützten Bereiche
entschlüsseln. Deshalb ist es unumgänglich in diesem Bedrohungsszenario umgehend zu
reagieren. Die zeitliche Komponente in einem Verlustfall ist wesentlich, um den Schritt zur
Löschung rechtzeitig anzuwenden, bevor das Gerät aus dem Zugriffsbereich der AG
entfernt wird.85 Die AN treffen grundsätzlich Anzeige- und Meldepflichten, die als
Nebenpflichten
auch
eine
Abwendung
oder
Verhinderung
von
negativen
Beeinträchtigungen der AG und Unternehmensabläufen beinhaltet. Demnach müssen auch
jene Fälle angezeigt werden, die Schäden in der IT-Architektur verursachen könnten und
ein solcher liegt beim Verlust, selbst in der Freizeit, mAn vor. Wobei eine generelle
Verpflichtung Kolleginnen zu melden, wenn diese gegen die Nutzungsbestimmungen
verstoßen, kennt das Arbeitsrecht nicht.86
Entscheidend für die Sicherheit sind die Auswahlkriterien für die Zulassung des
betrieblichen Gebrauchs. Viele ältere Modelle bekommen von Herstellerinnen keine nötigen
Updates87 mehr, weshalb diese nicht geeignet sind. Die Systemvoraussetzungen (Leistung,
Betriebssystem, uvm) und Formerfordernissen (zB Schnittstellen, Bildschirmgröße,
Helligkeit, Pixeldichte) haben einen bedeutenden Einfluss auf die Sicherheit von
Anwenderinnen- und Unternehmensdaten.
85
Merz, Sichere mobile Unternehmensanwendungen, HMD 2014, 45 (47).
Rebhahn/Kietaibl in ZellKomm² § 1153 ABGB Rz 39.
87 Aktualisierung von Software mit Verbesserungen für den Einsatz oder Schließen von Sicherheitslücken.
86
20
Es spielt auch eine Rolle, wie Menschen mit besonderen Bedürfnissen ihre
Hardwaregeräte (zB Tablet mit Blindenschrift88) einbinden können. Die Möglichkeit speziell
angefertigte Geräte auch nutzen zu dürfen, ist für AN eine Zugangserleichterung, um in der
betrieblichen
Kommunikation
barrierefrei
teilnehmen
können.89
zu
Auch
einer
Altersdiskriminierung der Generationen "vor 1980" (Digital Immigrants90) kann durch die
Option zur Teilnahme an Schulungs- und Weiterbildungsmaßnahmen verhindert werden.
Die interne Kommunikation soll keine Ausgrenzung bestimmter Personengruppen im
Betrieb unterstützen. Durch die mögliche Bereitstellung von eigener Firmensoftware wird
auch die Art und Weise, wie Personen die Benutzung (User-Experience, Usability) einer
Computeranwendung
handhaben,
beeinflusst.
Wichtige
Elemente91
werden
auf
stereotypisierende Weise implementiert, ohne auf eine diskriminierungsfreie Gestaltung92
(Bildsprache, geschlechtssensible Sprache) von Apps zu achten.
Auch ist die Frage zu klären, ob modifizierte Betriebssysteme auf den Geräten
zugelassen werden, wie bspw „Root“ oder „Jail-Break“. Die Manipulation der
Betriebssysteme muss nicht in jedem Fall negativ behaftet oder bedrohlich sein, besondere
Schutzmechanismen gegen Spyware93 können erst bei einem tiefergehenden Zugriffsrecht
für die Nutzerin ersichtlich werden. Wird eine Abänderung der Betriebssysteme dennoch
als Verstoß gegen eine Nutzungsvereinbarung festgelegt, sind zugleich auch die
Konsequenzen
daraus
zu
definieren.
Eine
Einteilung
von
Apps,
die
eine
Sicherheitsbedrohung darstellen, kann als Übersicht für die AN dienen. Somit kann sie
entweder mit höherer Sorgfalt ihre Einstellungen, die Zugriffsrechte der Apps auf die Daten
im Einzelnen justieren oder deren Installation vollends untersagen. Die sogenannten
„White“- und „Black“-List94 sind eine erhebliche Einschränkung zur Nutzung des Gerätes im
privaten Umfeld. Die Option einer vorherigen Überprüfung der Sicherheitszertifizierungen
der App kann auch in Betracht gezogen werden. Hierzu muss die AN abwarten bis diese
den Installationsvorgang, nach Freigabe durch die AG, abschließen darf.
88
Siehe BlitabTechnology, Brailleschrift Textvisualisierung mit physischen Signalen auf mobilen Geräten,
http://blitab.com/ (10.9.2015).
89 Bundeskanzleramt Österreich, Digitale Integration in Österreich Handlungsfelder und Beispiele 2008,
http://www.bka.gv.at/Docs/2010/3/29/Digitale_Integration_De.pdf (29.9.2015).
90 Siehe Fischlmayr, Verändert digitale Kommunikation Unternehmen? Oder: Sollen sich Unternehmen den
"Digital Natives" anpassen? ASoK 2011, 235 (237).
91 Bspw das Produktdesign, die Funktionalitäten oder Kommunikationsabläufe.
92 Erharter/Xharo, Welche Aspekte sind für die Gestaltung von Websites und Apps von Bedeutung? in
Marsden/Kempf (Hrsg), Gender-UseIT Gendability (2014) 129 (128).
93 Programme, die Daten des mobilen Gerätes unbekannterweise und ohne Zustimmung weiterleiten.
94 Vgl Knyrim/Horn, Bring Your Own Device - Ein Trend hält Einzug in Österreichs Unternehmen, ecolex 2013,
365 (366).
21
Da die mobilen Geräte im Eigentum der AN stehen, können diese die Gerät
weitergegeben oder selbstständig entsorgen, dann sind alle darauf gespeicherten Daten
und Einstellungen zu löschen. Dazu eignet sich ein „Factory Reset“, hierzu wird das Gerät
in den Auslieferungszustand versetzt, also sämtliche Daten gelöscht und die angelegten
Profile entfernt. Die Nutzungsvereinbarung kann hier eine entsprechende Verpflichtung des
Mitarbeiters vorsehen oder eine Herausgabepflicht, damit dies durch die AG selbst oder
eine IT-Spezialistin durchgeführt werden kann.
Die Gleichstellung der Privatgeräte, mit ausgegebenen Firmengeräten, birgt den
gänzlichen Verzicht auf eine Selbstbestimmtheit über den Umgang mit Daten am eigenen
Gerät.95 Je restriktiver die Schutzmaßnahmen und Regelungsinhalte ausfallen, um
Geschäfts- und Betriebsgeheimnisse (Assets) zu schützen, desto mehr können
gesammelte Daten Rückschlüsse zulassen, über die die einzelne AN in vielen Fällen keine
Möglichkeit besitzt, deren Interpretation oder Verwendung zu entscheiden.96
1.2.2. Kostentragung für Hardware, Software, Netzzugang
Die Nutzungsvereinbarung soll aufarbeiten, im welchen Umfang sich die AG an den
anfallenden Kosten zum betrieblichen Einsatz der mobilen Geräte beteiligt. Festzuhalten ist
die Aufteilung der Aufwendungen zur Anschaffung und inwieweit die AG die entstehenden
Kosten
für
den
betrieblichen
Einsatz
deckt
(insbesondere
wenn
technische
Mindestanforderungen nötig sind, um eine Integration in die eigene IT-Infrastruktur zu
ermöglichen).97
Die Gebühren für die Telefonie und das Verbrauchen des Datenvolumens, als auch
die meist jährlich anfallende Servicepauschale, werden durch die Privatgeräte am
Arbeitsplatz zur Kostenfrage. Es ist ein Verteilungsschlüssel zur Verrechnung der
verbrauchten Ressourcen für den Arbeitseinsatz festzuhalten. Der AG obliegt es ein
Ersatzgerät zur Verfügung zu stellen, wenn das Privatgerät durch eine Beschädigung oder
einer Wartung nicht benutzt werden kann.
Wenn das Gerät durch den Arbeitseinsatz beschädigt wird, ist ebenso ein Ersatzgerät
bereitzustellen. Die vereinbarten Regelungen sind ein Anhaltspunkt für den Fall eines
Wilk, Meins oder Deins – Private Endgeräte im Unternehmenseinsatz, HMD 2014, 5 (8).
Zerbes, Spitzeln, Spähen, Spionieren- Sprengung strafprozessualer Grenzen durch geheime Zugriffe auf
Kommunikation (2010) 40.
97 Tichy, BYOD - Was steckt wirklich dahinter? ecolex 2014, 300 (301).
95
96
22
Ausfalles des privaten Mobilegerätes.98 Bei übermäßigem Gebrauch, des oft durch die
Mobilfunkanbieterin
angebotenen
unbegrenzten
Datenvolumens,
wird
die
Downloadgeschwindigkeit reduziert und kann damit das Arbeiten mit dem mobilen Endgerät
einschränken. Existiert eine Begrenzung an der Anzahl an Minuten oder Nachrichten, die
verbraucht werden können, ist der anfallende Mehraufwand zu begleichen. Demnach sind
Zusatzpakete, die zugekauft werden, Teil des Aufwandersatzes. Hierzu ist ein betrieblicher
Bezug zu den anfallenden Kosten Voraussetzung, die AG ist nicht dazu verpflichtet Kosten
für den Freizeitgebrauch zu decken.
Bei unlimitierten Telefonie- und Datenvolumen, die durch den Privatgebrauch selten
ausgeschöpft werden, entsteht grundsätzlich der AN kein zusätzlicher Aufwand, der durch
die AG ausgeglichen werden muss. Da es sich aber um eine Leistung handelt, die im
Zusammenhang mit der Erfüllung der Arbeitsleistung steht und einen geldwerten Aufwand
darstellt, muss dieser entschädigt werden.99 Diese Arbeitsmittelvergütung kann auch als
Pauschalbetrag abgegolten werden, solange sich diese im Bereich der tatsächlich
angefallenen Kostenhöhe bewegt, fällt diese nicht unter den Begriff des Entgelts.
1.3. Beendigung der Nutzung mobiler Geräte
1.3.1. Auflösung der Nutzungsvereinbarung
Bei Auflösung der Nutzungsvereinbarung oder Beendigung des Arbeitsverhältnisses
sind auch nachvertragliche Interessen beider Seiten zu beachten. Mitunter kann eine
datenschutzrechtliche Löschungspflicht für die Daten, die am Privatgerät gespeichert sind,
relevant werden. Denn durch die Auflösung des Arbeitsverhältnisses fällt der erforderliche
Zweck zur Datenverarbeitung auf dem Gerät weg.100
Grundsätzlich ist bei Entfall des Erfordernisses zur Speicherung der Datensatz zu
löschen. Gesetzliche Aufbewahrungsfristen können das Speichern der Daten, über das
Arbeitsverhältnis
hinaus,
verlangen.
Diese
Bestimmungen
finden
sich
in
sozialversicherungsrechtlichen Gesetzesmaterialien, den abgabenrechtlichen Vorschriften
Brandstetter/Windisch-Altieri, BYOD erlauben und regeln – Richtlinien für die Nutzung privater Endgeräte
am Arbeitsplatz, personal manager 2013/2, 29 (31).
99 Pačić, Aufwandersatz, in Reissner/Neumayr (Hrsg), Zeller Handbuch Arbeitsvertrags-Klauseln (2010) Rz
33.06.
100 Wulf/Burgenmeister, IT-Compliance beim Einsatz privater Hard- und Software am Arbeitsplatz (BYOD),
Compliance Berater 2014/10, 374 (375).
98
23
und jenen des Zivilrechts nach § 1486 Z 5 ABGB. Für die Entgeltansprüche und den
Aufwandersatz wird demnach eine längere Dokumentationspflicht abverlangt. Die absolute
Frist der Verjährung nach § 207 Abs 2 BAO101 tritt nach fünfzehn Jahren ein. Wird das
Arbeitsverhältnis beendet, sind all jene Daten zu löschen, die nicht in den notwendigen
Bereich des ASVG102 und der BAO fallen. Wobei jene Stammdaten gespeichert werden
müssen, um auch noch nach dreißig Jahren ein Dienstzeugnis ausstellen zu können. Erst
dann greift das Recht auf eine endgültige Löschung sämtlicher Daten der AN,103 verankert
in § 27 DSG104.
Eine
Datenlöschungsklausel
kann
die
Pflichten
der
AN
nach
Auflösung
konkretisieren. Die AN kann dazu verpflichtet werden, ihre persönlichen Daten als privat zu
kennzeichnen. Ist eine Kennzeichnung der Daten erfolgt, entscheidet die AN selbst über
deren Aufbewahrung. Erst nach dem Aushändigen einer Sicherungskopie ihrer Privatdaten
unterliegen diese einer Löschungspflicht für die AG. Ebenso ist die AG dazu berechtigt ihre
Daten auf Speichermedien zu sichern oder eine Kopie der betriebsbezogenen Daten zu
erhalten.
Die
beidseitige
Herausgabepflicht
unterstützt
die
Rückführung
von
Datenmaterialien.105
Es ist auch denkbar einen Widerruf der Nutzung zu vereinbaren. Auf dem Grundsatz
der beiderseitigen Freiwilligkeit106 basierend, kann auch ein einseitiger Widerruf107 in einer
Nutzungsvereinbarung geregelt werden. Liegen sachliche Gründe vor, die einen weiteren
dienstlichen Einsatz eines Privatgerätes entgegenstehen, kann ein Widerruf erfolgen. Auch
ist beim Aussetzen der Arbeit für einen absehbaren Zeitraum (zB Präsenzdienst,
Vaterschaftskarenz) das Ausüben des Widerrufsrechts berechtigt.108 Das Widerrufsrecht
kann vereinbart werden, solange keine Bestandteile des Entgelts betroffen sind, die eine
wesentliche Schmälerung darstellen oder eine gewichtige Interessensbeeinträchtigung.109
101
BGBl 1961/194.
BGBl 2000/101.
103 Vgl Brodil, Löschung von Arbeitnehmerdaten, ZAS 2014/ 54, 335 (335).
104 2000 BGBl I 1999/165.
105 Knallnig in ZellHB AV Klauseln Rz 32.27.
106 Dazu näher Mertinz, Arbeitsrecht im Außendienst, ASoK 2015, 97 (104).
107 Siehe Körber, Die Privatnutzung von Dienstfahrzeugen, ZAS 2005/13, 67 (71).
108 Vgl Rauch, Private Nutzung firmeneigener Mobiltelefone und PKW, ASoK 2011, 175 (176).
109 G. Kuras, Möglichkeiten und Grenzen einzelvertraglicher Gestaltungen im aufrechten Arbeitsverhältnis,
ZAS 2003/19, 100 (109).
102
24
1.3.2. Verstoß gegen Nutzungsvereinbarung
Die AN kann Handlungen setzen, die einen Verstoß gegen die vereinbarten
Nutzungsmodalitäten für den Gebrauch der Privatgeräte darstellen. Sofern die
Veranlassung in der Sphäre der AN liegt, kann auch eine Vertragsklausel aufgesetzt
werden, die eine Missachtung oder Verletzung als einen Entlassungsgrund, neben jener
der gesetzlich verankerten, zulässt.110
Auch außerdienstliche Verhaltensweisen können einen Entlassungsgrund bilden. Ist
ein betriebliches Interesse objektiv gefährdet und hat das Verhalten der AN Einfluss, auf
die Art und Weise der Verwendung des mobilen Gerätes, kann dies eine Grundlage für
einen vertraglich festgelegten Verstoß sein. Eine Konkretisierung der möglichen
Pflichtverstöße
ist
sinnvoll,
111
Vertrauensunwürdigkeit
um
abzustecken,
ab
wann
die
Grenze
der
erreicht wird (zB sorgloses Liegenlassen eines betrieblich
eingesetzten Privatgerätes ohne Passwortschutz während einer Fachmesse). Das
Miteinbeziehen eines Nebentätigkeitsverbots, in die Nutzungsvereinbarung für mobile
Geräte, kann ausschlaggebend sein, um zu verhindern, dass das Gerät für
Nebenbeschäftigungen eingesetzt wird. Werden beispielsweise zwei unterschiedliche
betriebliche
Softwaresysteme
auf
einem
Gerät
betrieben,
können
technische
Komplikationen auftreten. Es kann deshalb eine Meldepflicht112 vereinbart werden, um im
Vorfeld abzuklären, in welchem Ausmaß das Gerät für Nebentätigkeiten eingesetzt werden
darf. Die AG muss informiert werden, um rechtzeitig eruieren zu können, welche
Unternehmensdateien betroffen sind und Sicherheitsvorkehrungen daraufhin anzupassen.
Bei einer grundlosen Auflösung des Arbeitsverhältnisses und den dabei entstandenen
Schaden, kann auch eine vereinbarte Konventionalstrafe zum Tragen kommen.113
Konventionalstrafen können nur durch eine vereinbarte Handlung ausgelöst werden, sie
sollen
dazu
dienen
eingetretene
Schäden
aus
einer
Vertragsverletzung
zu
pauschalieren.114 Auch für den Schadensbeweis erleichtert die Konventionalstrafe, bei
einer zeitwidrigen, unberechtigten oder von der AN verschuldeten Auflösung des
Arbeitsverhältnisses, die Frage des Verschuldens und der Schadenshöhe.115 Vor allem im
Bereich der IT sind diese nicht immer sofort erkennbar oder aufwandslos zu beziffern.
110
Neumayr, Vereinbarung vorzeitiger Lösungsrechte, in Reissner/Neumayr (Hrsg), Zeller Handbuch
Arbeitsvertrags-Klauseln (2010) Rz 12.07.
111 Dazu näher Rainer, Regelung über außerdienstliches Verhalten, in Reissner/Neumayr (Hrsg), Zeller
Handbuch Arbeitsvertrags-Klauseln (2010) Rz 60.15.
112 Dazu näher Heinz-Ofner, Vertragliches Nebentätigkeitsverbot, in Reissner/Neumayr (Hrsg), Zeller
Handbuch Arbeitsvertrags-Klauseln (2010) Rz 61.27.
113 Mayr, Kommentar zum Arbeitsrecht, § 1162a ABGB E 7 (Stand: 1.10.2015).
114 Brenn in Reissner (Hrsg), Angestelltengesetz² (2015) § 38 Rz 3.
115 Reissner in Marhold/Burgstaller/Preyer (Hrsg), Kommentar AngG § 38 Rz 27.
25
1.3.3. Rechtsfolgen unzulässiger Nutzung
"Jeder weiß, dass wir unsere privaten Telefone benutzen, obwohl es verboten ist."
(Philipp Rösler, während einer Reise in Silicon Valley im Mai 2013)116
Neben einer Erlaubnis für die uneingeschränkte Verwendung mobiler Privatgeräte an
der Arbeitsstätte, kann dies auch nur für bestimmte Zwecke (zB Dienstreise) oder
Zeiträume (zB während Bildungskarenz) bewilligt werden. Auch ist ein Totalverbot möglich
oder eine Beschränkung für ausgewählte Räumlichkeiten (zB Produktionsstraßen).
Personen, die dagegen verstoßen, verletzen ihre vertraglichen Pflichten. Liegt ein wichtiger
Auflösungsgrund vor, obliegt es der AG im Rahmen des Entlassungsschutzes das
Dauerschuldverhältnis einseitig zu lösen (gem §§ 25 ff AngG117, §§ 82 ff GewO 1994118 und
§§ 1162 ff ABGB). Eine Rechtfertigung der Auflösung ist ein Schlüsselpunkt für weitere
arbeitsrechtliche Folgen (Abfertigung, Urlaubsansprüche uvm). In Einzelfällen hat die Rsp
bereits im Zusammenhang mit IT-Geräten entschieden.
Im Fall119 einer unerlaubten Datenübertragung und gleichzeitigen Vorbereitung für
Konkurrenztätigkeiten hat die Rsp eine Entlassung als gerechtfertigt bestätigt. Hier wurden
Einflussfaktoren herangezogen, die sich an der Stellung der betroffenen Arbeitskraft im
Unternehmen, Umfang und Bedeutung des Verstoßes und Umstände, die dazu geführt
haben, orientieren. Es wurde eine Abwägung der einzelnen Aspekte vorgenommen, die
hier zum Ergebnis führt, dass das Kopieren von Geschäftsunterlagen für private Zwecke,
um eine Konkurrenztätigkeiten vorzubereiten, gegen das Datengeheimnis verstößt. Diese
sind vor dem Zugriff einer unberechtigten Person zu schützen. Wogegen das Mitnehmen
von Datensätzen für eine Bearbeitung von zu Hause120 aus, nicht zwingendermaßen eine
Vertrauensunwürdigkeit begründet. Solange die Daten nicht unberechtigten Personen
zugänglich sind, verletzt es nicht das Datengeheimnis. Hier ist nach der Rsp kein Verhalten
nachzuweisen, welches einen Entlassungsgrund rechtfertige.
Selbst wenn Daten manipuliert oder gelöscht werden, die während der Arbeitszeit
eigenständig generiert wurden, kann dies unter Umständen zur Entlassung führen. Zwar
spielte sich der Streitfall121 in der Konstellation „Entlassung wegen Löschung einer
116
Die Welt, Rösler wird im Silicon Valley ein bisschen keck vom 22.5.13
http://www.welt.de/politik/deutschland/article116397994/Roesler-wird-im-Silicon-Valley-ein-bisschen-keck.html
(30.9.2015).
117 BGBl 1921/292.
118 BGBl 194.
119 OGH 11.2.2004, ObA 91/03b, ARD 5504/2/2004.
120 OGH 18.9.2003, ObA 87/03g, ARD 5461/7/2003.
121 OGH 25.10.2011, 8 ObA 218/01v, ZAS 2002/16, 143.
26
Privatdatei vom Dienstrechner“ ab, doch ist es mE denkbar, eine Problemstellung
herbeizuführen, bei der das Löschen einer Unternehmensdatei auf einem Privatgerät,
ebensolche arbeitsrechtliche Konsequenzen nach sich zieht. Insbesondere, wenn eine
Löschung von Betriebsdaten mit Absicht zur Behinderung einer Aufklärung vorgenommen
wird und gegen eine Anweisung der AG ausgeführt wurde.
Aus dem Entlassungsrecht haben sich Grundsätze gebildet, anhand derer festgestellt
wird, ob die Qualifikation der berechtigten Entlassung vorliegt. Hier ist von tragender
Bedeutung, die objektive Sichtweise einer geeigneten Maßfigur heran zuziehen. Mit der
Voraussetzung der Vorlage eines wichtigen Grundes und der folgenden Unzumutbarkeit
einer Weiterbeschäftigung kann sich eine Entlassung rechtfertigen.122 In einer
Nutzungsvereinbarung können Verstöße, ausgelöst durch das Verhalten der AN, mit der
Folge einer Entlassung vereinbart werden. Vertraglich zulässige Entlassungstatbestände
müssen in Abstimmung zu den bereits bestehenden gesetzlichen Tatbeständen stehen und
können auch betriebs- und branchenspezifische Anforderungen miteinbezieht.123 Für den
Einsatz mobiler Privatgeräte bedeutet dies, dass insbesondere, wenn sensible
Unternehmensdaten
124
Wettbewerbsvorteil
verarbeitet
werden,
deren
Schutz
in
Abhängigkeit
zum
in einem Fachgebiet steht, ein spezifischer Entlassungstatbestand
vereinbart werden kann.
Im Fall125 einer Mitarbeiterin, die aufgrund einer vertraglichen Vereinbarung dazu
aufgefordert war, das Firmengerät nicht für Privatgespräche zu nutzen, wurde durch die
Rsp eine gerechtfertigte Entlassung bestätigt. Beim Pflichtverstoß wurde kein Privatgerät
verwendet, doch lässt sich die Argumentation der Rsp, um die Entlassung zu rechtfertigen,
mA nach auch für den unerlaubten betrieblichen Einsatz eines privaten Gerätes heran
ziehen. Ziel ist immer den Schutz der Leistungsfähigkeit und Sicherheit der internen
Kommunikation über das Firmennetzwerk zu bewahren.126 Sollte dies durch den Einsatz
eines mobilen Device, durch die AN gefährdet werden, kann eine vorzeitige Auflösung von
Seiten der AG aus wichtigem Grund erfolgen. Insbesondere, wenn dies einem
ausdrücklichen
Verbot
unterliegt
und
als
Verstoß
gegen
eine
betriebliche
Ordnungsvorschrift127 zu erkennen ist.
122
Friedrich, Grundfragen des Entlassungsrechts: Wesen des wichtigen Grundes und unverzügliche
Geltendmachung, ASoK 2008, 453 (455).
123 Neumayr in ZellHB AV Klauseln Rz 12.12.
124 zB Verbot von Privatgeräte in einer Produktionshalle um Fertigungstechniken vor Betriebsspionage zu
schützen.
125 OGH 23.11.2006, 8 Ob A 69/06i, ecolex 2007/130 = ZAS 2007/109.
126 Hartmann, Der Internetzugang am Arbeitsplatz im Fokus einer Gesetzesnovelle, JB Datenschutzrecht
(2010) 211 (217).
127 Dazu näher Pfeil in ZellKomm² § 27 AngG Rz 133.
27
Die heutige technische Ausstattung der Geräte mit Sensoren, drahtlosen
Verbindungsarten und Aufnahmemöglichkeiten erleichtern eine unkomplizierte Weitergabe
von betrieblichen Daten. Die Einfachheit der Bedienung und in vielen Fällen Sorglosigkeit
im Umgang mit Daten, durch die Gerätebetreiberinnen, macht eine Konkretisierung
möglicher Verstöße in Nutzungsvereinbarungen unumgänglich. Somit können AN ihr
Nutzerinnenverhalten überhaupt erst anpassen und Präventivmaßnahmen im Interesse
beider Vertragsparteien vornehmen.
2.
Schutzvorschriften für den Einsatz
Einen Großteil der Arbeitszeit verbringen viele AN vor Bildschirmgeräten. Diese
Arbeitshaltung nimmt Einfluss auf
den gesamten Bewegungsapparat und das
Sehvermögen von Menschen. Mit gesetzlichen Vorschriften wird den negativen Folgen
versucht entgegen zu wirken. Beim Arbeiten mit Bildschirmgeräten regelt die
Bildschirmarbeitsverordnung
(BS-V)128
und
das
ArbeitnehmerInnenschutzgesetz
(AschG)129 Sicherheitsvorkehrungen, um die Gefahr der Gesundheitsgefährdung zu
senken. Es existieren auch spezifische Sonderreglungen für Heimarbeiterinnen,
Bundesbedienstete und Arbeitnehmerinnen in der Land- und Forstwirtschaft. Ergonomisch
gestaltete Arbeitsplätze wirken gesundheitlichen Beeinträchtigungen entgegen und
erleichtern die Arbeitsbedingungen, bei längeren Arbeiten an Bildschirmarbeitsplätzen.130
2.1. Bildschirm- und Büroarbeitsplätze
Das ArbeitnehmerInnenschutzgesetz normiert einen Bildschirmarbeitsplatz als
Eingabe- und Datenerfassungsvorrichtungen. Bildschirmarbeitsplätze unterliegen der
Pflicht nach Stand der Technik gestaltet zu werden und ergonomischen Anforderungen zu
genügen. Deren Schutzvorschriften werden erweitert durch § 67 Abs 4 ASchG und gelten
auch
für
regelmäßig
eingesetzte
tragbare
Datenverarbeitungsgeräte.
Für
Bildschirmarbeitsplätze finden sich besondere Maßnahmen, die die Gefahren der
physischen und psychischen Belastung minimieren, sowie das Wahrnehmungsorgan Auge
128
BS-V BGBl II 1998/124.
BGBl 1994/450.
130 Mosler, Arbeitnehmerschutzrecht, in Jahnel/Mader/Staudegger (Hrsg), IT-Recht³ (2012) 465 (468).
129
28
schützen sollen. Neben der verwendeten Hardware, ist auch die Software in die
Schutzbestimmungen aufgenommen worden.131
Somit soll die zur Verfügung gestellte Software, nach § 68 Abs 2 ASchG, zur Tätigkeit
passen und benutzerinnenfreundlich sein. Die Software soll einen Überblick über Abläufe
bieten, in deren Geschwindigkeit und Format anpassbar sein. Für zutreffend halte ich die
Ansicht nach Mosler132, der den undefinierten Begriff der Benutzerinnenfreundlichkeit
kritisiert und das Fehlen von verbindlichen Prüfmustern aufzeigt, die es ermöglichen diese
Kriterien nachvollziehbar beurteilen zu können. Es liegt jedoch eine Verpflichtung der
Arbeitgeberin vor, die eingesetzte Software, somit auch die verwendeten Firmen-Apps nach
ergonomischen Gesichtspunkten an die Nutzerinnen anzupassen.
2.2. Anforderung an mobile Bildschirmarbeit
Die Anforderungen an Bildschirmarbeitsplätze werden neben dem ASchG
konkretisiert durch die Bildschirmarbeitsverordnung zum Gesundheitsschutz der AN. Diese
definiert Bildschirmarbeitsplätze als Arbeitsmittel und listet in § 3 Abs 1 Z 1-8 BS-V jene
Anforderungen auf, die Formatgröße, Helligkeit, Pixeldichte, Reflexion sowie Erkennbarkeit
betreffen.
Die Unterweisungspflicht der Arbeitgeberin nach § 13 BS-V bezieht sich auf jede
wesentliche Veränderung der Organisation des Arbeitsplatzes. ME liegt dies beim Einsatz
von mobilen IT-Geräten vor und demnach muss ein bestimmungsgemäßer Gebrauch durch
eine Unterweisungspflicht berücksichtigt werden.
Nach Mosler133 werden in Rahmen der tragbaren Datenverarbeitungsgeräte Laptops
und Notebooks angeführt, wobei er offen lässt, ob mit der Bezeichnung „Ähnliche Geräte“
auch Mobile Geräte im Sinne der Smartphones, Tablets und Wearables gemeint sind.
Wesentlich
ist
die
Einordnung
der
mobilen
Privatgeräte
als
tragbare
Datenverarbeitungsgeräte iSd der BS-V deshalb, da diese infolge dessen unter ein höheres
Schutzniveau fallen. Die EG-Richtlinie134 über die „Durchführung von Maßnahmen zur
Verbesserung der Sicherheit und des Gesundheitsschutzes der Arbeitnehmer bei der
131
Nöstlinger, ArbeitnehmerInnenschutz² (2013) 232.
Mosler, Arbeitnehmerschutzrecht 476.
133 Mosler, Arbeitnehmerschutzrecht 471.
134 RL 89/391/EWG, ABl 1990 L 156, 14.
132
29
Arbeit“ gibt keinen direkten Hinweis darauf. Weswegen der EuGH sich in dieser
Auseinandersetzung mit Begriff „tragbare Datenverarbeitungsgeräte“ in der Rechtssache135
„Dietrich/Westdeutscher Rundfunk“ befasst hat. Zwar wurde dieser nicht dahingehend
konkretisiert, dass eindeutig mobile Geräte wie Tablets, Smartphones usw darunter zu
verstehen sind, doch begründet er eine weite Begriffsauslegung mit dem Ziel auch auf neue
Technologien in der Arbeitswelt zu reagieren.
Auch
Lambach/Prümper136
für
legt
der
EuGH
den
Begriff
„tragbare
Datenverarbeitungsgeräte“ der Richtlinie über die Mindestvorschriften, bezüglich der
Sicherheit und des Gesundheitsschutzes bei der Arbeit an Bildschirmgeräten, dahin
gehend aus, dass mobile IT-Geräte ebenso erfasst sind.
3.
Haftung und Schadenersatz
Beim Einsatz mobiler Privatgeräte der AN können Schäden entstehen. Entweder an
den Geräten selbst oder durch die Geräte am Eigentum der AG, Mitarbeiterinnen oder
Kundinnen. Bei Beeinträchtigungen und wirtschaftlichen Nachteilen, verursacht durch die
AN, an dem Vermögen der AG, greift das allgemeine Schadenersatzrecht des ABGB und
im Geltungsbereich des Dienstnehmerinnenhaftpflichtgesetz (DHG) eine Beurteilung nach
dem Mäßigungsrecht. Wird im Zusammenhang mit den Geräten der AN, ein Schadensfall
realisiert (zB durch eingeschleuste Schadprogramme), kann sich auch die AG
schadenersatzpflichtig machen. Da die AN ihre Privatgeräte im Interesse der AG einsetzt,
erhöht sich deren Risiko, während der vertraglich geschuldeten Tätigkeit, einen
Schadensfall
zu
erleiden.
Dienstnehmerhaftpflichtgesetz
Dieses
erhöhte
bedachtsam
Risiko
miteinbezogen,
wird
weshalb
durch
das
bei
einer
entschuldbaren Fehlleistung der AN, die AG ebenfalls den Schaden auszugleichen hat. Die
Fehlleistung und der entstandene Schaden, bei der Erbringung der Arbeitsleistung, müssen
hierfür im direkten Zusammenhang zum Arbeitsverhältnis stehen (zB Spielen einer privaten
App während der Arbeitszeit). Sollte durch den Einsatz der mobilen Endgeräte, auch eine
dritte Person einen Schaden erlitten haben, kann eine Haftung der AG dennoch entstehen.
Schäden können im Bereich der IT in vielen Fällen nicht eindeutig zugeordnet werden, da
mehrere Faktoren zusammenspielen. Oft kann auch erst durch die Kombination eines
Fehlverhaltens der AN und der AG ein Schaden entstehen (zB unzureichendes Passwort
135
EuGH 6.7.2000, Rs C-11/99, Dietrich/Westdeutscher Rundfunk (Bildschirmarbeitsplatz), Slg 2000, I-5589.
Lambach/Prümper, Mobile Bildschirmarbeit: Auswirkungen der Bildschirmrichtlinie 90/270/EWG und der
BildscharbV auf die Arbeit an mobil einsetzbaren IT-Geräten, RdA 2014, 345 (354).
136
30
der AN und Sicherheitslücke der Firmensoftware der AG erleichtert eindringen der
Schadsoftware von außen)137. In der IT kann ein Schaden weitreichende Folgen mit sich
ziehen, demnach kann ein gänzlicher Stillstand des Betriebes zustande kommen.
3.1. Beschädigung der AN-Geräte
Prinzipiell hat die AG notwendige Betriebsmittel zur Verfügung zu stellen, doch
können auch die AN ihre Privatgeräte am Arbeitsplatz einsetzen. Bei dieser betrieblichen
Verwendung kann ein Schaden an der Hard- oder Software entstehen. Hier greift die
Risikohaftung des § 1014 ABGB, die verschuldensunabhängig die AG für Sachschäden zur
Verantwortung heranzieht. Grund für die verschuldensunabhängige Haftung ist der
betriebliche Einsatz des Privateigentums im Interesse der AG. Die Verjährung für einen
angemessenen Ersatzanspruch nach § 1486 Z 5 ABGB liegt bei drei Jahren.138 Wenn die
Geräte nur für die persönliche Entlastung139 eingesetzt werden, obwohl die AG anderweitige
zur Verfügung gestellt hat, wird dies (zB Einsatz der Smartphonekamera im Labor, obwohl
Kompaktkamera zu Dokumentationszwecken bereit steht) dem persönlichen Bereich der
AN
zugerechnet.
Das
Ausmaß
für
den
Schadenersatz
beinhaltet
keine
abnützungsbedingten Schäden, sondern nur jene die tatsächlich im Zusammenhang mit
der Arbeitsleistung zustande kommen. Solange kein Vorsatz der Schädigung der AN vorlag,
kann Ersatz gefordert werden.
Sollte die AN ein Verschulden am Schaden des eigenen Gerätes treffen, wird auf den
Grad der Fahrlässigkeit Bedacht genommen. Bei einer entschuldbaren Fehlleistung wird
§ 2 Abs 3 DHG140 herangezogen und die gesamte Ersatzpflicht trifft dennoch die AG. Eine
schlechte Einweisung für die Benützung der technischen Mittel und unter Umständen eine
schadhafte firmeneigene Software kann eine Rolle spielen, bei der Verteilung der
Haftungsfrage.141 Ob die Risikohaftung im Arbeitsrecht vollkommen abdingbar ist, kann
nicht einheitlich beantwortet werden, da die Rsp diese, bisher nur grundsätzlich bestätigt.142
137
Siehe Der Standard, Unternehmen werden gezielt gehackt,
http://derstandard.at/2000014276193/Virenjaeger-Unternehmen-werden-gezielt-gehackt (8.10.2015).
138 Greifeneder, Vereinbarungen über die AG-Haftung bei Schädigung in der Sphäre des AN, in
Reissner/Neumayr (Hrsg), Zeller Handbuch Arbeitsvertrags-Klauseln (2010) Rz 68.01.
139 Siehe OGH 18.2.1986, 4 Ob 180/85, DRdA 1988/6, 132 (Jabornegg) = ZAS 1987/10, 85 (Kerschner); 9
ObA 504/87, DRdA 1991/2, 27 (Jabornegg) = Arb 10.664; 9 ObA 222/90, DRdA 1991, 153 = Arb 10.901.
140 DHG BGBl 1965/80.
141 Vgl Löschnigg, Arbeitsrecht12 (2015) Rz 6/799.
142 OGH 4.9.1996, 9 Ob A 2136/96z, DRdA 1997/28.
31
Bei einer Regelung zur Abdingbarkeit der Risikohaftung gilt die Grenze der
Sittenwidrigkeit.143
Das Unternehmerinnenrisiko soll nicht auf die AN abgewälzt werden können, von
diesem Schutzgedanken ist das DHG geprägt und unterstützt die AN bei einer
entschuldbaren Fehlleistung. Da § 1014 ABGB analog angewandt wird, ist dessen
Abdingbarkeit nicht zwingendermaßen auch von dieser erfasst.144 Somit entgehen AN dem
Drängen der AG ihre Privatgeräte einzusetzen, da Schäden an diesen auch von ihr bei
keinem Verschulden bzw einer entschuldbaren Fehlleistung getragen werden müssen.
Grundsätzlich haftet die AG nicht, wenn sich Schäden am Eigentum der AN
realisieren, die dem allgemeinen Lebensrisiko zugerechnet werden können. Mobile Geräte
sind alleine durch ihren Wert einer Raub- und Diebstahlsgefahr ausgesetzt. Diese erhöht
sich mit dem Einsatz am Arbeitsplatz, hier ist eine Abgrenzung zum allgemeinen
Lebensrisiko schwer zu ziehen.145
3.1.1. Sonderfall: Fernlöschung ohne Begründung
Mit Sicherheitstools werden sensible Daten gesichert und auch eine Fernlöschung
kann angewendet werden.146 Eine Fernlöschung147 bedeutet das Lokalisieren des Gerätes,
eine Verbindungsaufnahme zu diesem und die Löschung von Daten ohne physischen
Zugriff auf das Gerät selbst. Diese Löschung kann, entweder von der AG selbst oder der
AN durchgeführt werden. Nach dem Bekanntwerden eines Diebstahls oder bei Annahme
eines Verlustes kann, getragen durch die Festlegung in einer Nutzungsvereinbarung, eine
Meldepflicht ausgelöst werden. Nach der Anzeige an die AG, entscheidet diese gemeinsam
mit der AN, ob eine Löschung notwendig ist.148 Müssen im Zuge der Datensicherheit149 auch
AN Daten gelöscht werden, hat dieser Zugriff der AN mitgeteilt zu werden.
143
Windisch-Graetz in ZellKomm² § 1014 ABGB Rz 19.
Löschnigg/Reissner, Arbeitgeberhaftung für Sachschäden auf der Dienstreise, ecolex 1991, 110 (113).
145 Vgl Kerschner, Die geraubte Fotoausrüstung Serie: "Der praktische Fall" DRdA 1986, 230 (234).
146 Arning/Moos/Becker, Vertragliche Absicherung von Bring Your Own Device: Was in einer
Nutzungsvereinbarung zu BYOD mindestens enthalten sein sollte, CR 2012, 591 (592).
147 Wird auch als Remote-Löschung oder Remote Wipe bezeichnet.
148 Goricnik/Riesenecker-Caba, Datenschutz und Datensicherheit beim betrieblichen Einsatz mobiler "smarter"
Endgeräte, Dako 2014/16, 34 (35).
149 Vgl Dürager, Datenschutzrechtliche Aspekte der mobilen Kommunikation im Unternehmen: "Bring your
own device" - ein Risiko für den Arbeitgeber? in Jahnel (Hrsg), JB Datenschutzrecht und E-Government
(2012) 137 (147).
144
32
Eine nicht autorisierte Fernlöschung, entweder durch eine Verwechslung von Geräten
oder ohne Vorliegen eines Verlustes, liefert bereits die Tatbestandsmerkmale des § 126a
StGB der Datenbeschädigung150. Dies birgt die Gefahr für die Geräteinhaberin, dass das
Gerät unbrauchbar wird. Technisch ist es möglich ein Gerät zu sperren, Daten zu löschen
und als schwerwiegendster Eingriff die Funktionsfähigkeit151 des Gerätes zu stören. Wird
nicht nur das Gerät gesperrt und die Daten gelöscht, sondern eine schwere Störung152 der
Funktionsfähigkeit herbeiführt wird (sog Kill Switch, verhindert unbefugtes Zurücksetzen
des Gerätes in den Auslieferungszustand, ohne Anmeldedaten zum Konto der
Herstellerinnen nicht aufhebbar), kann das Gerät, trotzt Flugmodus und das Umgehen der
Diebstahlsicherung, deaktiviert werden. Wird diese Funktion ausgeübt, Daten der AN
grundlos gelöscht, ihr Gerät funktionsunfähig, hat die AG Ersatz des Gerätes und der
Wiederbeschaffungswert der Privatdaten zu leisten.153
3.2. Schadensfälle durch die AN-Geräte
Die Schadenszufügung durch die AN muss die typischen Elemente (Schaden,
Verschulden, Rechtswidrigkeit, Kausalität) zur Schadenersatzpflicht des §§ 1293 ff ABGB
enthalten.154 Sollte gegen eine Nutzungsvereinbarung, ein gesetzlich geregeltes
Rechtsgebot verstoßen uo Sorgfaltspflichten außer Acht gelassen worden sein, ist die AN
dazu verpflichtet für ihre schuldhaft verursachten Schäden aufzukommen.155
Das DHG greift, sofern die Schädigung im Lauf der Erbringung einer Arbeitsleistung
erfolgt ist. Die Haftungserleichterung zugunsten der AN entfaltet sich in einer
Aufschlüsselung der Verschuldensgrade (mit Abstufungen im Mäßigungsrecht nach § 2
DHG entschuldbare Fehlleistung, grobe Fahrlässigkeit, sowie Vorsatz). Verschuldensgrade
sind nach allgemeinen Grundsätzen des Zivilrechts einzuordnen.156 Die Beweisregeln
führen die AG in die Lage Schaden und Verursachung darlegen zu müssen. Hier hat die
AN die nicht vorhandene Zurechenbarkeit, des ihr unterlaufenen Fehlverhaltens, zu
beweisen hat.157 Gerade im Bereich der Vereinigung von Privat- und Unternehmensdaten
150Dohr/Pollirer/Weiss/Knyrim,
DSG², Anhang V., 17.D.2 (Stand: 7.7.2015, rdb.at).
Bspw durch Zerstörung des Prozessors mit einer zu großen Stromzufuhr aus dem Akku „overvolting“ oder
Diebstahlschutz auf Hardware-Ebene mit Manipulation der Schaltkreise.
152 Dazu näher Dürager/Leiter, Wirtschaftsstrafrecht, in Napokoj (Hrsg), Risikominimierung durch Corporate
Compliance (2010) Rz 1087.
153 Vgl Öhlböck/Esztegar, Rechtliche Qualifikation von Denial of Service Attacken, JSt 2011, 126 (129).
154 Reissner, Lern- und Übungsbuch Arbeitsrecht5 (2015) 320.
155 Löschnigg, Arbeitsrecht12 Rz 6/750.
156 Reissner, Arbeitsrecht5 (2011) 323.
157 Mayr, Arbeitsrecht (2015) § 2 DHG E 13 (Stand: 1.10.2015).
151
33
auf einem einzigen Gerät, ist eine Abgrenzung schwierig, zwischen einer Tätigkeit, die der
geschuldeten Arbeit zugewiesen werden kann und einer die eine private Handlung darstellt.
Insofern ist die Feststellung, ob eine private oder berufliche Handlung gesetzt wird,
ausschlaggebend
für
die
Haftungserleichterung
des
DHG.
Bereits
bei
einer
Arbeitsunterbrechung, zwischen den auszuführenden Tätigkeiten zugunsten der AG
Interessen und dem gleichzeitigen Schadenseintritts, liegt eine private Aktivität vor.158 Eine
Haftung unter Arbeitskolleginnen ist nach den allgemeinen Bestimmungen des
Schadenersatzrecht abzuhandeln, wobei hier eine Haftungserleichterung nicht zum Tragen
kommt.159
Ein Verstoß gegen das DSG wird auch bei Schädensfällen durch die AN relevant.
Schäden aus einer unsachgemäßen Verarbeitung können Schutzbestimmungen des
Datenschutzrechts betreffen. Mit der Entscheidung Daten für einen bestimmten Zweck zu
verarbeiten, ohne im Auftrag der AG zu handeln, kann die AN als Auftraggeberin
angesehen werden. Demnach kann sie gegebenenfalls dazu verpflichtet werden,
Schadenersatz nach § 33 Abs 1 DSG zu leisten, wenn durch ihre Missachtung des DSG
eine
betroffene
Person
zu
Schaden
gekommen
ist.160
Ferner
wird
die
AN
schadenersatzpflichtig, wenn ein schutzwürdiges Geheimhaltungsinteresse in einer Weise
verletzt wird, die vergleichbar einer Bloßstellung des § 7 Abs 1 MedienG ist161, selbst wenn
die Veröffentlichung nicht in Form eines für jederfrau zugängliches Medium vonstattengeht.
Hier können Fälle der unerlaubten Verbreitung von pikanten Nachrichten oder Bilder der
Arbeitskolleginnen eine Schadenersatzpflicht auslösen.
Mit der Vernetzung zwischen betrieblichen Rechnern, privaten Geräten und dem
Internet, ist ein Einschleusen von Schadprogrammen (zB Öffnen eines Email Anhangs),
selbst bei einer sorgfältigen Sicherheitsvorkehrung, im Bereich des Möglichen. Die
Nutzungsvereinbarung legt fest, welche Verhaltensregeln die AN zu erfüllen hat. Das
Ergebnis ist der Schutz von sensiblen Daten (zB Geschäftsgeheimnisse), das Funktionieren
des betrieblichen Computernetzwerks und das Aufrechterhalten der Funktionsfähigkeit der
damit verbundenen Hardwarekomponenten. Ihre Haftung steht in Abhängigkeit zur
vereinbarten Regelung der Nutzung. Sobald eine Tätigkeit am Privatgerät ausgeführt wird,
die nicht Gegenstand einer Leistungserbringung für die AG ist (zB Download von Apps,
158
Windisch-Graetz in ZellKomm² § 2 DHG Rz 13.
Windisch-Graetz in ZellKomm² § 3 DHG Rz 6.
160 Berka, Welchen Beitrag leistet das Datenschutzrecht zum Persönlichkeitsschutz? in
Berka/Grabenwarter/Holoubek (Hrsg), Persönlichkeitsschutz in elektronischen Massenmedien, REM Bd 9
(2012) 79 (88).
161 Siehe Dohr/Pollirer/Weiss/Knyrim, DSG², § 33, E23.2 (Stand: 7.7.2015, rdb.at).
159
34
privates Surfen im Internet usw), unabhängig davon ob sich dies während der Arbeitszeit
ereignet, greift das DHG nicht mehr. Hier muss die AN für die verursachten Schäden
Verantwortung übernehmen.
Bei der Beurteilung, ob eine entschuldbare Fehlleistung vorlag, sollte die Gefährdung,
während einer vertraglich geschuldeten Tätigkeit, als Folge der Erfüllung einer Arbeitspflicht
eingetreten sein. Einflussgebend ist die Absehbarkeit einer Gefahr, inwieweit die AN davon
auszugehen hatte. Installiert die AN eine als Gefahrenquelle bezeichnete App, entgegen
einer Black-List, so liegt mA bereits keine entschuldbare Fehlleistung mehr vor. Auch das
Öffnen von Anhängen am mobilen Gerät ohne die Identität der Absenderin zu kennen oder
das Installieren von Apps aus unbekannten Quellen sind ähnlicher Konstellationen, in
denen eine entschuldbare Fehlleistung schwer zu beweisen sein wird. Die AG hat der AN
Sicherheitsvorkehrungen zur Seite zu stellen, um den Schutz für ihr betriebliches Netzwerk
und auch den Schutz der Daten der AN zu unterstützen.162
Bei einem vorsätzlichen Einsetzen von Schadprogrammen, in Gewinn- oder
Schädigungsabsicht, hingegen greift der Straftatbestand des § 118a StGB Widerrechtlicher
Zugriff
auf
ein
Computersystem.
Diese
Schadprogramme
werden
meist
zu
Spionagezwecken eingesetzt und sollen Sicherheitsvorkehrungen umgehen. Auch können
die Delikte nach § 126a StGB der Datenbeschädigung und der Störung der
Funktionsfähigkeit eines Computersystems nach § 126b StGB verwirklicht werden.163
Neben strafrechtlichen Folgen können Vermögensschäden entstehen und bei einem
Ausfall der Hardware, sogar ein Stillstand des Betriebs drohen. Diese Schäden hat die AN
nach § 1324 ABGB zu ersetzten.
Zur Wiederherstellung von beschädigten oder gelöschten Daten, sowie zur
Beweissicherung kann die Computerforensik Aufschluss geben, sofern nicht spezielle
Formatierungs- und Löschprogramme zum Einsatz gekommen sind.164
162
Laimer/Mayr, Zum Spannungsverhältnis von Arbeitgeber- und Arbeitnehmerinteressen rund um die EDVNutzung, DRdA 2003, 410 (410).
163 Reindl-Krauskopf, Cyberstrafrecht im Wandel, ÖJZ 2015/19, 112 (114).
164 Willer/Hoppen, Computerforensik – Technische Möglichkeiten und Grenzen, CR 2012, 610 (615).
35
3.3. Haftung bei Schäden an Dritten
Bei Schäden an Dritten erfolgt das schädigende Verhalten, während der Erbringung
der Arbeitsleistung. Ist ein Vertragsverhältnis gegeben, zwischen der AN und der AG,
richten sich die Konsequenzen aus der Schädigung nach §§ 3 f DHG. Gilt die AG als
Geschäftsherrin, die AN als ihre Erfüllungsgehilfin, kommt die Haftung nach § 1313a ABGB
zur Anwendung. Die Risikohaftung nach § 1014 ABGB wird analog angewandt, wenn es
sich um Schäden durch die AN an Dritten handelt.165
Eine Inanspruchnahme der AG durch die geschädigte Dritte Person, kann einen
Regressanspruch gegen die AN nach sich ziehen. Dieser richtet sich nach den
Prüfelementen des DHG. Vv wird ein Rückforderungsanspruch der AN gegen die AG,
mittels
einer
Vergütung
geltend
gemacht,
begründet
sich
dies,
durch
eine
Schadenersatzforderung einer dritten Person, im Vorfeld.166 Nach § 1313a ABGB kann
somit die dritte Person Schadenersatz verlangen, sollten Daten beschädigt worden sein,
ein Verstoß gegen das DSG vorliegen oder Hardware durch die Schädigung nicht mehr
einsetzbar sein.167 Die Verjährungsfrist beträgt drei Jahre ab Kenntnis der Schädigung. 168
Der Sorgfaltsmaßstab des § 25 Abs 1 GmbHG und des § 84 AktG umspannt auch die
Vertraulichkeit von Unternehmensdaten. Die Aktualität der Sicherheitsvorkehrung von ITSystemen, nach Stand der Technik, ist zu gewährleisten. Daten dritter Personen dürfen,
weder an Unberechtigte heraus zu geben werden, noch einer Beschädigung ausgesetzt
sein.169 Sobald ein Verlust des Privatgerätes einer AN, inklusive die darauf gespeicherten
Daten einer dritten Person, der AG bekannt ist, ist diese gemäß § 24 Abs 2a DSG durch
die AG darüber zu informieren.170 Sofern die Datensicherheit durch angemessene
Vorkehrungen beachtet worden ist und ein größtmögliches Schutzniveau erreicht wurde,
kann die Verletzung der Geheimhaltungspflicht der AG nicht als Grundlage zur
Schadenersatzforderung angebracht werden.171
165
Löschnigg, Arbeitsrecht12 Rz 6/768.
Löschnigg, Arbeitsrecht12 Rz 6/768.
167 Windisch-Graetz in ZellKomm² § 3 DHG Rz 3.
168 Löschnigg, Arbeitsrecht12 Rz 6/785.
169 Hasberger, IT-Sicherheit und Haftung, ecolex 2007, 508 (510).
170 Dohr/Pollirer/Weiss/Knyrim, DSG², Anhang V., 17.D.3 (Stand: 7.7.2015, rdb.at).
171 Dürager, Datenschutzrechtliche Aspekte 151.
166
36
4.
Datensicherheit als AN-Pflicht
4.1. Verwahrung und Meldepflicht bei Verlust
Da sich unternehmensrelevante Daten auf den Geräten der AN befinden, ist deren
Zustand vor Missbrauch und Schädigung, auch durch die AN, zu schützen. Eine
Meldepflicht von pflichtwidrigen Verhalten der Arbeitskolleginnen und daraus resultierende
Behinderungen von Betriebsabläufen, trifft nur die AN, wenn diese eine Stellung im Betrieb
innehat, in der ihr eine Aufsichtsfunktion zukommt. Dann hat sie im Zuge ihrer
Anzeigepflicht über pflichtwidriges Verhalten anderer AN und Gefährdungen des
Geschäftsbetriebs eine Meldung an die AG abzugeben. Die generelle Anzeigepflicht lässt
sich durch die Treuepflichten ableiten, wobei besonders der Fall des Verlustes und des
Diebstahls hervorzuheben ist.172
Der Schutz des Gerätes am Arbeitsplatz ist zu gewährleistet (zB vor Flüssigkeiten,
Staub uvm) und ebenso in der privaten Sphäre, um einen Ausfall entgegen zu wirken (zB
offensichtliches Liegenlassen im PKW). Der Persönlichkeitsschutz der AN und die damit
verbundene Fürsorgepflicht der AG, trifft auch die vermögensrelevanten Interessen der
Privatgeräte, um diese vor Schäden zu bewahren.173 Die zumutbare Fürsorgepflicht174 kann
auch vermögensorientiert betrachtet werden, somit befinden sich die, der AN eingebrachten
mobilen Endgeräte, auch durch die Anerkennung der Rsp, wohlgleich nicht wörtlich
normiert, im Schutzradius des § 1157 ABGB. Geeignete Aufbewahrungsmöglichkeiten an
der Arbeitsstätte, um die Geräte zu sichern, sind Teil der Fürsorgepflicht der AG.175
4.2. Vertraglicher Schutz der Daten insbesondere Geheimnisschutz
Informationen beeinflussen den Wettbewerb. Die AG wird in den meisten Fällen ihr
ausgeprägtes Geheimhaltungsinteresse, ihrer Geschäfts- und Betriebsgeheimnisse, an
ihre AN kommunizieren, demnach ist ihr Geheimhaltungswillen nach außen getragen. Ist
der Personenkreis beschränkt und gelangen die Informationen, entgegen einem
schutzwürdigen wirtschaftlichen Interesse, an unberechtigte Personen, kann dies die
172
Mayer, Anzeigepflicht des Arbeitnehmers AG über Missstände im Betrieb, ZAS 2010/31, 186 (186).
Egermann, Gibt es eine generelle Förderungs- und Aufklärungspflicht des Arbeitgebers? ZAS 2005/20,
111 (115).
174 Vgl OGH 8.8.2007, 9 Ob A 90/07m, DRdA 2009/3.
175 Pačić, Fürsorgeplicht der Arbeitgebers im Lichte der Rechtssprechung, ZAS 2010/26, 144 (147).
173
37
Arbeitgeberin in eine nachteilige Lage bringen. Durch die unerlaubte Weitergabe oder
unbeabsichtigte Verteilung von Betriebsgeheimnissen (zB Kenntnisse technischer Natur)
und Geschäftsgeheimnissen (zB betriebswirtschaftliches Kompetenzen) werden der
Öffentlichkeit oder Unberechtigten Details über den Betrieb offenbart.
Neben
den
arbeitsvertraglichen
Konsequenzen,
erlangen
auch
weitere
Gesetzesgrundlagen bei einem Verstoß, gegen die unerlaubte Weitergabe von geschützten
Daten, eine Bedeutsamkeit. Das Strafrecht, das Bankwesengesetz und das Gesetz gegen
den unlauteren Wettbewerb (UWG)176 schützen die unerlaubte Weitergabe von Daten. Das
UWG bietet der AG einen Schutzbereich, der darauf abgestellt ist, Geheimnisse, während
aufrechten Arbeitsverhältnis, vor einer unerlaubten Freigabe zum Zwecke des Wettbewerbs
zu bewahren. Ebenso unterliegt es dem UWG, wenn vor und nach dem Ende des
Arbeitsverhältnisses gesetz- und sittenwidrig Geschäfts- oder Betriebsgeheimnisse
beschafft werden. Auch wird sanktioniert wenn diese verwertet oder Unberechtigten
mitgeteilt werden. Die Verletzung eines Geschäfts- oder Betriebsgeheimnisses können nur
Personen bewerkstelligen, wenn sie durch ihre Tätigkeit im Betrieb davon Kenntnis erlangt
haben und gesetzlich dazu angehalten waren dieses zu wahren. Erst dann betrifft die
Handlung das Verwertungs- und Offenbarungsverbot des § 122 StGB, weswegen eine
vertragliche Bindung zum Schutze der unternehmenssensitiven Informationen nach § 11
UWG als Privatanklagedelikt anzusehen ist.177
Konventionalstrafen können vereinbart werden, die auch ein zeitliches Schutzfenster
definieren, in dem der Verstoß gegen die Verschwiegenheit, sanktioniert wird. Nach
§ 82 lit e GewO 1859 und § 27 Z 1 Fall 3 AngG kann die Verletzung der
Verschwiegenheitspflicht sogar einen Entlassungsgrund bilden. Die Allgemeine Pflicht zur
Verschwiegenheit wird abgedeckt durch die Treuepflicht, da diese ein berechtigtes und
schutzwürdiges Interesse der AG darstellt. Einen strengeren Maßstab lässt man
ausgewählten
Berufsgruppen
(zB
Anwältinnen,
Wirtschaftstreuhänderinnen
uvm.)
zukommen, der auch nachvertragliche Wirkungen entfalten kann. Im Bereich des
Datenschutzes muss eigens eine Vereinbarung getroffen werden, die sich nach dem DSG
richtet, wenn Mitarbeiterinnen eingesetzt werden, die Zugriffsrechte auf personenbezogene
Daten haben.178
176
BGBl 1993/532.
Dürager/Leiter, Wirtschaftsstrafrecht Rz 1093.
178 Löschnigg, ArbeitnehmerInnendatenschutz, in Jahnel/Mader/Staudegger (Hrsg), IT-Recht³ (2012)
497 (515).
177
38
Eine Geheimnisschutzklausel stützt die AG dahingehend, einen unkontrollierten
Datenfluss
nicht
in
Richtung
Dritter
oder
Mitbewerberinnen
zu
lenken.
Die
Geheimnisschutzklausel ermöglichte es den Umfang und betroffene Materialien festlegen,
Daten ihrer Belegschaft zu schützen, selbst wenn das Arbeitsverhältnis bereits aufgelöst
wurde. Eine Datenschutzklausel findet Eingang in einer arbeitsvertraglichen Regelung,
wenn diese der Wahrung des Datengeheimnisses dient.
Strafrechtlich relevante Tatbestände betreffen nicht nur nach § 122 StGB die
Preisgabe von Geschäfts- oder Betriebsgeheimnissen oder die Wirtschaftsspionage nach
§§ 123 f StGB. Das Internet-Strafrecht beinhaltet eine Reihe von Verstößen gegen das
StGB und in weiterer Folge eine Gefährdung des Geheimnisschutzes. Im Strafrecht werden
nach § 74 Abs 1 Z 8 StGB unter Computersysteme Vorrichtungen verstanden, die einer
automatisierten Datenverarbeitung dienen.179
Computerstraftaten, die mit einem mobilen Gerät begangen werden können:
-
§ 118a StGB Widerrechtlicher Zugriff auf ein Computersystem (zB Eingabe von
Zugangscodes bis der richtige PIN entdeckt wird, heimlicher Zugriff auf
Computer180)
-
§ 119 StGB Verletzung des Telekommunikationsgeheimnis
-
§ 119a StGB Missbräuchliches Abfangen von Daten
-
§ 120 StGB Missbrauch von Tonaufnahmen oder Abhörgeräte
-
§ 126c StGB Missbrauch von Computerprogrammen und Zugangsdaten (zB
Veröffentlichung von Zugangsdaten)
-
§ 126b StGB Störung der Funktionsfähigkeit eines Computersystems (zB
Erpressung von Lösegeld, damit das Mobile Device entsperrt wird)
-
§ 126a StGB Datenbeschädigung (zB Berechtigte kann keinen Zugriff mehr auf
die Daten ausüben, da diese unwiederbringlich zerstört worden sind)
-
§ 148a StGB Betrügerischer Datenverarbeitungsmissbrauch (zB Manipulation
der Firmensoftware)
-
§ 225a StGB Datenfälschung (zB Manipulation von Daten um AG zu täuschen,
wie das Verfälschen von Arbeitsaufzeichnungen181)
Da in Betrieben virtuelle Systeme einen hohen Stellenwert haben, sind diese ein
Einfallstor für Manipulationen, die auch über den Einsatz von Privatgeräten am Arbeitsplatz
179
Sonntag, Einführung in das Internetrecht: Rechtsgrundlage für Informatiker² (2014) 347.
Siehe OGH 30.9.2005, 9 ObA 134/05d, RdW 2006/283, 300.
181 Siehe OGH 28.8.2003, 8 ObA 69/03k, RdW 2004/139, 176; 22.10.2010, 9 ObA 40/10p, RdW 2011/166,
164 = ARD 6125/4/2011.
180
39
verübt werden können. Produktionsstraßen und Kommunikationsabläufe, die bereits über
mobile Steuerungssoftware (zB SCADA-Systeme Supervisory Control and Data
Acquisition)182 überwacht, reguliert und visualisiert werden können, sind Ziele von
Störangriffen. Unabhängig von der Eingabe eines Menschen, sind Computersysteme
bereits fähig miteinander Informationen über Maschinen auszutauschen. Dieser Prozess
wird als Maschine-zu-Maschine-Kommunikation (M2M) bezeichnet und findet Anwendung
im Bereich der Logistik um Arbeitsschritte zu automatisieren. Mit dieser Möglichkeit werden
Bestellungen, Aufträge, Produktion bedarfsorientiert und autonom gesteuert und eine
beträchtliche Datenmenge aus mehreren Quellen mittels einer Datenbank (Big Data183)
verarbeitet.
Ist ein Betrieb ausgestattet mit hochentwickelten IT-Systemen,184 wird die
Anforderung den Geheimnisschutz zu wahren, auch das Verhalten der einzelnen AN
betreffen. Das Arbeiten mit Privatgeräten birgt ein Sicherheitsrisiko. Der Nachweis von
Strafdelikten ist aufwändig und oftmals begleitet von negativen Folgen, wie der
Rufschädigung. Vertragliche Regelungen können mit einer Geheimnisschutzklausel, auch
nach der Beendigung des Arbeitsverhältnisses, eine Geheimhaltungsverpflichtung
aufrechterhalten.
Bei
einem
Verstoß
gegen
die
daraus
resultierende
Verschwiegenheitspflicht kann eine Konventionalstrafe festgelegt werden.185
Im Gebiet der Cyber-Kriminalität stehen sich Betriebe einer großen Anzahl an
Bedrohungen ihrer Daten und einer möglichen Schädigung ihrer IT-Infrastruktur gegenüber.
Oftmals werden AN darin verwickelt oder die Verstöße von ihnen begangen. Es werden
sensible Daten abgefangen, Identitäten vorgetäuscht, gefälschte Waren verkauft, im
schlimmsten Fall sogar der Vertriebskanal für Drogentransporte missbraucht (Fall:
Niederländische Hacker schmuggeln zwei Tonnen Kokain und Heroin durch Manipulation
der Ankunftszeiten der Container mittels Email mit Schadprogramm an Hafenmitarbeiter
von Antwerp186). Vermehrt werden absichtlich Sicherheitslücken aufgedeckt, um damit eine
Erpressung durchzuführen oder sich Zugang zu Kundinnendaten über den Zugriff auf
Mitarbeiterinnen zu verschaffen (Fall: virtueller Bankraub von hundert Banken mit
182
Bundeskanzleramt Österreich, Bericht Cyber Sicherheit 2015, Schwachstellen,
https://www.bka.gv.at/DocView.axd?CobId=58898 (5.10.2015).
183 Dazu näher Feiler/Fina, Datenschutzrechtliche Schranken für Big Data, MR 2013, 303 (308).
184 Siehe Wulf/Burgenmeister, Industrie 4.0 in der Logistik – Rechtliche Hürden beim Einsatz neuer
Vernetzungs-Technologien, CR 2015, 404 (406).
185 Knallnig, Geheimhaltungsvereinbarung, Datenschutzklausel, in Reissner/Neumayr (Hrsg), Zeller Handbuch
Arbeitsvertrags-Klauseln (2010) 63.16.
186 Bloomberg Business, Belgium Arrests Drug-Probe Suspects for Hacking Port Web Sites,
http://www.bloomberg.com/news/articles/2013-06-17/belgium-arrests-drug-probe-suspects-for-hacking-portweb-sites (5.10.2015).
40
Schadprogramm Carbanak in Höhe von rund einer Milliarde Dollar mit Betroffenen aus 30
Ländern187). Auch Rechtsanwaltskanzleien werden, mit bezahlten Hackergruppen,
vermehrt zu Angriffszielen, da sie oft Knotenpunkt sehr wichtiger Informationen sind und
bemerkenswert schwache Sicherheitshürden188 aufweisen (zB unverschlüsselter E-Mail
Verkehr, vertrauliche Informationen im Intranet).
Sollten mobile Endgeräte zum Einsatz kommen, wird nicht nur von außen die
Datensicherheit und in Folge dessen Geschäfts- und Betriebsgeheimnisse gefährdet,
sondern auch durch ein Verhalten, gesetzt von Mitarbeiterinnen. Mit dem Konzept ihre
Privatgeräte zu verwenden, koppeln sich zwei Schwachstellen. Einerseits sind die
Anwenderinnen
beeinflussbar
durch
soziale
Kontakte
(zB
Ausnutzen
des
Passwortschutzes bei Wiederverwendung) und andererseits ist das vielschichtige
komplexe Feld der mobilen Geräte mit dem Risiko einer Einbringung von Schadsoftware
oder einem unkontrollierten Datenverlust schwer einzuschätzen.189
Durch die Pflicht zur Geheimhaltung müssen AN auch Vorkehrungen treffen, die
dieser dienlich sind. Sie können dazu verpflichtet werden, innerhalb einer gewissen Frist
die neuesten Updates zu installieren, nicht leicht zu erratende und periodisch wechselnde
Zugangsdaten (PIN Codes) zu verwenden oder wie bereits angeführt eine höhere Sorgfalt
bei der Auswahl von Apps einzuhalten. Der Gebrauch einer Antivirensoftware kann
ebenfalls Teil einer einzuhaltenden Schutzmaßnahme sein. Auch ist es hilfreich
Schulungen und Informationsblätter anzubieten, Belehrungen190 durchzuführen und
Sensibilisierungsmaßnahmen zu treffen. Aufklärung im Bereich Datensicherheit und
Geheimnisschutz unterstützen technische Maßnahmen und erschweren den Verlust von
unternehmenssensiblen Daten.191
Je nach eingesetzter Strategie (zB MDM oder Sandboxing) zur betrieblichen
Einbindung von mobilen Geräten, ist das erforderliche Mitwirken der AN stärker ausgeprägt.
Bei einer klassischen Einbindung der Geräte, mittels Vollzugriff, wird das gesamte Gerät
verschlüsselt. Die einzuhaltenden Schutzfunktionen, die die AN betrifft, sind physischer
Natur, wie das sichere Verwahren in der Öffentlichkeit. Demnach ist es erforderlich keine
187
Zeit Online, Kriminalität: Hacker erbeuten von Banken eine Milliarde Dollar,
http://www.zeit.de/digital/internet/2015-02/banken-hackerangriff-cyberkriminalitaet (5.10.2015).
188 Siehe Cede, Rechtsanwaltskanzleien als Beispiel hybrider Bedrohung, in Dengg/Schurian (Hrsg),
Vernetzte Unsicherheit – Hybride Bedrohungen im 21. Jahrhundert (2015) 211.
189 Vgl Bundeskanzleramt Österreich, Bericht Cyber Sicherheit 2015, Schwachstellen,
https://www.bka.gv.at/DocView.axd?CobId=58898 (9.9.2015).
190 Dazu näher Dohr/Pollirer/Weiss/Knyrim, DSG² § 14 Rz 8 (Stand: 2.7.2014, rdb.at).
191 Schmidt/Knyrim, Der Mensch ist die größte Schwachstelle, Dako 2015/18, 26 (26).
41
Zugangserleichterung für unberechtigte Personen zu schaffen oder die Weitergabe des
Gerätes an nicht vertrauenswürdige Personen zu praktizieren. Es muss kein tatsächliches
Eindringen in ein System, mittels technischer Fertigkeiten von statten gehen, sondern auch
das Beeinflussen sozialer Kontakte, um an Informationen zu gelangen, bietet einen Weg
Sicherheitsvorkehrungen zu umgehen.192 Dieses Vorgehen wird „Social Engineering“
genannt und wird auch im privaten Umfeld eingesetzt.193
Durch die Größe und Mobilität194 der privaten Endgeräte erhöht sich das Risiko diese
zu verlieren. Ein Angriff auf die Daten ist leichter durchzuführen, da ihre Sicherheitshürden
oft niedriger ausfallen und dennoch eine Verbindung zum Firmennetzwerk besteht.195
4.3. Technische und organisatorische Schutzmaßnahmen
Mit dem Kompromiss zwischen finanziell vertretbarem Aufwand und der Pflicht zur
Sicherung der Daten von Mitarbeiterinnen, sowie Dritter, ist die AG angehalten, nach dem
Stand der Technik Vorkehrungen zu treffen. Diese müssen einen ausreichenden Schutz für
die verarbeiteten Informationen vor Manipulation, Zerstörung und Missbrauch darstellen.196
Diesbezüglich
obliegt
es
ihrer
Verantwortung
197
dokumentieren und ein Datensicherheitshandbuch
diese
Sicherungsmaßnahmen
zu
zu erstellen. Auch für jene Geräte, die
mobil von ihren AN eingesetzt werden, ist ein solches anzulegen, um die Maßnahmen
abbilden zu können.198
Unter technischen Maßnahmen werden Vorkehrungen bezeichnet, die ITSicherheitsmaßnahmen (zB Firewall, Authentifizierungsstufen, usw.) beinhalten, aber auch
personellen Zugangsschutz und Gebäudeschutz. Zu den organisatorischen Maßnahmen
werden Richtlinien, Schulungen und Verhaltensanweisungen gezählt. 199
192
Koch, Strafrechtliche Probleme des Angriffs und der Verteidigung in Computernetzwerken (2007) 30.
Vgl Pierrot, Hacker, in Ernst (Hrsg), Hacker, Cracker und Computerviren: Recht und Praxis der
Informationssicherheit (2004) Rz 39.
194 Dazu näher Lemke/Brenner, Einführung in die Wirtschaftsinformatik (2015) 14.
195 Goricnik/Riesenecker-Caba, Dako 2014/16, 34.
196 Dürager, Datenschutzrechtliche Aspekte 146.
197 Siehe Jahnel, Datenschutzrecht: Grundrecht auf Datenschutz, Zulässigkeitsprüfung, Betroffenenrechte,
Rechtsschutz (2010) Rz 5/17.
198 Vgl Dürager, Datenschutzrechtliche Aspekte 150.
199 Bundeskanzleramt Österreich, Bericht Cyber Sicherheit 2015, Schwachstellen,
https://www.bka.gv.at/DocView.axd?CobId=58898 (5.10.2015).
193
42
Folgende Maßnahmen können eingesetzt werden:
Technische Maßnahmen
-
Organisatorische Maßnahmen
Verwaltung und Überwachung
-
Schulungen
von Sicherheitszertifikaten
-
Passwortmanagement
Herstellen regelmäßiger
-
Verbot „Jail-Break“ und „Root“
Sicherungen
-
Black-/Whitelist
-
Ausstattung (zB Sichtschutzfolie)
-
Verlustmeldung
-
Konfiguration Geräteeinstellung
-
Beschränken von unbekannten
-
Gebrauch Sicherheitssoftware
-
Authentifizierung der Nutzerin
-
Remote-Control
-
kryptographisch Verfahren
-
Einschränkung Hardware (zB
-
Quellen
Kamera)
Ein aktives Passwortmanagement kann bereits das Ändern von PIN-Codes der SIM-Karte
in regelmäßigen Abständen sein, das Verwenden von Fingerprints, eine gesonderte
Freigabe der Apps, mit einem Kennwort oder einer Multi-Faktor-Authentifizierung200.
Ebenso ist es zweckmäßig die Freigabe bestimmter Datenbestände für einen
eingegrenzten Personenkreis vorzusehen.201 Eine Beschränkung der Zugriffserlaubnis,
mittels Verteilung von befristeten Zugangsberechtigungen und Zeitbeschränkungen (zB
kein Zugriff am Wochenende, im Urlaub), ist nach Anwendungsfall zugleich denkbar.
5.
Kontrolle der AN durch den Einsatz der mobilen Geräte
Die Grenzen einer Überwachung eines Computerarbeitsplatzes ist in der Literatur
bereits aus Sicht des Datenschutzes und dem Arbeitsrecht beleuchtet worden. Mit dem
Einsatz mobiler Privatgeräte stellt sich die Frage, wie weit eine Kontrolle, auf einem mobilen
Privatgeräte, das tatsächlich ebenso in der Freizeit zum Einsatz kommt, Anwendung finden
darf?
200
Unter einer Multi-Faktor-Authentifizierung wird verstanden, mehrere Stufen der Identitätsfeststellung
einzusetzen, um ein größeres Vertrauen in die Authentizität zu schaffen zB Pin und Fingerscan.
201 Dürager, Datenschutzrechtliche Aspekte 147.
43
Kontrollmaßnahmen finden sich im Arbeitsrecht naturgemäß, aufgrund der
vertraglichen Rechtsbeziehung zwischen AN und AG, zur Überwachung der geleisteten
Schuld und zum Schutz der Belegschaft vor Gefahren, die am Arbeitsplatz drohen
können.202 Hier kollidieren die Interessen der AG den Arbeitsablauf zu bestimmen,
gegenüber der kontrollunterworfenen AN, mit dem verfassungsrechtlich verankerten Schutz
der Privatsphäre203. Die Privatsphäre ist betroffen, da sich Daten auf dem mobilen Gerät
befinden, die keinen betrieblichen Zusammenhang aufzeigen, die personenbezogen sind,
in vielen Fällen sensible Daten darstellen. Als Mehrzweckgerät sind mobile Geräte auch in
Anwendungsbereichen zu finden, die nicht direkt mit der beruflichen Tätigkeit im
Zusammenhang stehen (Urlaub, Sportaktivitäten, Lokalbesuche uvm). Aus diesem Grund
sind diese Geräte, durch ihren erweiterten Nutzungsradius, einem höheren Risiko
ausgesetzt, entweder entwendet oder mit einer Schadsoftware infiziert zu werden. Dies gibt
Anlass die Position des Gerätes und den Datenverkehr der Privatgeräte genauer zu
betrachten. Durch Informationen der stetigen Internetverbindung, dem Freischalten von
GPS, der Kamera/Video- und Tonaufnahmefunktion, Kommunikation über Bluetooth oder
NFC lassen sich Rückschlüsse ziehen, welche Position die Inhaberin des Gerätes innehat
und zu welchen Zeiten sie auf bestimmte Daten Zugriff erlangte.204
Das Ansammeln von personenbezogener Daten, mittels technischer Unterstützung
mit Ziel einer Kontrolle, fällt nach Rebhahn205 unter das DSG. Da diese Maßnahme eine
intensivere Kontrolle darstellt, als das Aufzeichnen von Informationen, durch eine
Befragung oder persönlicher Beobachtung. Am Arbeitsplatz ist die Hemmschwelle hoch,
sensible Informationen bekannt zu machen, die nachteilig ausgelegt werden können. In der
Freizeit aber, bewegt sich die AN auch im Internet frei. Sie greift auf Telebanking,
Diagnoseseiten Kontaktportale oder Onlineshops unbefangen zu. Softwareprogramme206
für „Problem-Mitarbeiterinnen“ oder jene AN, die sich in der Kündigungsfrist befinden, sind
im Stande Prozesse der Geräte auszuwerten und diese zu überwachen (Anrufe,
Nachrichten, Emails, Medienbetrachtung, installierte Apps und deren Mitteilungen, uvm).
Ebenso ist zur Auswertung von Gesundheitsdaten (wie im ÖBB Datensammelskandal207)
das mobile Endgerät eine interessante Quelle (Schritte, Wegstrecken, Ruhezeiten,
202
Brodil, Nutzung und Kontrolle von neuen Medien im Arbeitsrecht, ecolex 2001, 853 (854).
Siehe Brodil, Die Kontrolle der Nutzung neuer Medien im Arbeitsverhältnis, ZAS 2004/28, 156 (160).
204 Bundeskanzleramt Österreich, Digitale Integration in Österreich Handlungsfelder und Beispiele 2008,
http://www.bka.gv.at/Docs/2010/3/29/Digitale_Integration_De.pdf (29.9.2015).
205 Rebhahn, Mitarbeiterkontrolle am Arbeitsplatz: Rechtliche Möglichkeiten und Grenzen (2009) 46.
206 Dazu näher FlexySpy, http://www.flexispy.com/de/employee-monitoring.htm (6.10.2015).
207 Siehe Brodil, Datenschutzrechtliche Aspekte der Verwendung von Gesundheitsdaten im Arbeitsverhältnis,
ecolex 2010, 122 (123).
203
44
Gewicht, Stresslevel, Essen, Ernährung usw)208, welches scheinbar spielerisch in den
Arbeitsalltag und für die Freizeit integriert wird. Geräte oder technische Vorrichtungen, die
fähig sind Daten zu sammeln, in der Tasche zur Arbeit getragen oder unter der Haut209,
werden als Kontrollmaßnahme gewertet, sobald sie geeignet210 sind die AN zu kontrollieren
und
eine
Überwachung
zuzulassen.
Beispiel
einer
Grenze,
einer
erlaubten
Überwachungsmaßnahme, ist die Protokollierung des Internetverlaufs einer AN, hier ist das
Aufzeichnen von Umfang und Zeitraum erlaubt, doch keine Auswertung der Internetadresse
selbst, da diese den Inhalt miterfasst.211
5.1. Überwachung und Kontrolle des mobilen Endgerätes
5.1.1. Individualrechtliche Schranken
Zur Anwendung von Kontrollmaßnahmen wird auf eine Güterabwägung zwischen
dem Interesse der AG und dem schutzwürdigen Persönlichkeitsrechten der AN abgestellt.
Es muss ein Kontrollziel vorhanden sein, das sachlich gerechtfertigt ist und mit geeigneten,
verhältnismäßigen
Maßnahmen
erreicht
werden
kann.
Werden
durch
die
Überwachungsmaßnahme personenbezogene Daten der AN verarbeitet, unterliegt die
Kontrolle auch dem DSG 2000 und somit dem Recht auf Datenschutz.212 Unter dem Begriff
Kontrollmaßnahmen wird die Erhebung von Verhaltensmuster, Eigenschaften der AN durch
die AG verstanden und benötigt die Zustimmung nach § 10 AVRAG.213 Private Daten
(Verkehrsdaten) dürfen generell nicht eingesehen oder kontrolliert werden und nur mit
Zustimmung gespeichert werden.214 Eine Kontrolle außerhalb des Arbeitsplatzes und der
Dienstzeit muss einem immanenten Kontrollinteresse (besondere Gefahrensituation)
entgegenstehen und darf nur stichprobenartig abgehandelt werden, ohne dabei die
Privatsphäre zu verletzen.215
208
Bspw Global Corporate Challenge, https://www.gettheworldmoving.com (6.10.2015) oder Corporate
Wellness by Jawbone™, https://groups.jawbone.com (6.10.2015).
209 Dazu näher Hagen in Der Standard, Mit einem Chip unter der Haut die Bürotür öffnen,
http://derstandard.at/2000022105112/Mit-einem-Chip-unter-der-Haut-die-Buerotuer-oeffnen (6.10.2015).
210 Vgl Reissner in ZellKomm2 § 96 ArbVG Rz 22.
211 Stiger, Die Zulässigkeit der Protokollierung der Internetzugriffe von Dienstnehmern durch den Dienstgeber
aus arbeits-, datenschutz- sowie telekommunikationsrechtlicher Sicht, in Forgó/Feldner/Witzmann/Dieplinger
(Hrsg), Probleme des Informationsrecht (2003) 407 (417).
212 Gerhartl, Persönlichkeitsschutz im Arbeitsverhältnis (2009) 149.
213 Löschnigg, ArbeitnehmerInnendatenschutz, in Jahnel/Mader/Staudegger (Hrsg), IT-Recht³ (2012) 497
(513).
214 Felten/Mosler, IKT am Arbeitsplatz, in Jahnel/Mader/Staudegger (Hrsg), IT-Recht³ (2012) 481 (495).
215 Rebhahn, Mitarbeiterkontrolle 106.
45
5.1.1.1. Persönlichkeitsrecht und Menschenwürde
Der Schutz von Menschenwürde und Persönlichkeitsrechten setzt sich auch im
Berufsleben fort.216 Der Individualschutz, als Grundrecht für AN, gründet in der
Generalklausel des § 16 ABGB, die eine Verletzung des Persönlichkeitsrechts untersagt.
Inwiefern eine Überwachungsmaßnahme tatsächlich in das Persönlichkeitsrecht eingreift,
ist letztlich eine Frage der Interessensabwägung, als Gegenüberstellung beider
Interessenslagen.217 Im Arbeitsrecht findet sich als Konsequenz der Fürsorgepflicht der AG
(§ 1157 ABGB, § 18 AngG) ein Gebot zur Wahrung der Persönlichkeitsrechte.
Menschenwürde wird nach Rebhahn218 in drei Komponenten, aufgeschlüsselt, die
beeinträchtigt werden können, entweder an der Person selbst als physische Kontrolle, nach
Art und Weise der eingesetzten Maßnahme und der Intensität. Tragend nach der
Ausführung Tomandls219 ist die Gesamtbetrachtung des Begriffs Menschenwürde, als
Generalklausel, um eine ungehinderte Entfaltung der Menschen, auch im beruflichen
Umfeld, ohne ständige Furcht einer Überwachung zu schützen. Sicherlich steht es im
Interesse der AG ihre Daten zusammen zu tragen, auszuwerten und deren Benützung zu
regeln, dennoch besteht ihr Recht nicht in einer geheimen Kontrolle, da auch eine
immerwährende Furcht vor Überwachung und Kontrolle, außerhalb einer dienstlichen
Grundlage, die freie Entwicklung eines Menschen empfindlich einschränken.
Ein unbemerkter Einsatz von Überwachungssoftware (Spyware, Monitoring-Tools) ist
selbst bei einem Verbot der Privatnutzung der mobilen Privatgeräte am Arbeitsplatz nach
dem Grundsatz der „Datenverarbeitung nach Treu und Glauben“ unzulässig, da einer
Informationspflicht gem § 24 DSG nachzukommen ist, die die AN in Kenntnis davon setzt
welche Daten zu welchem Zweck ermittelt werden.220 Eine Zustimmung der AN zu
Kontrollmaßnahmen ist im Anbetracht der verdünnten Willensfreiheit als sittenwidrig
anzusehen, sofern ihre Einwilligung durch ein Ausnützen der Position der wirtschaftlichen
Überlegenheit der AG zustande kommt.221 Eine Zustimmung nach dem DSG würde
wirksam abgegeben werden, wenn es sich nicht um eine unverhältnismäßige
216
Heilegger, Überwachung und Datenschutz im Arbeitsverhältnis, infas 2009, 139 (140).
Rebhahn, Mitarbeiterkontrolle 15.
218 Rebhahn, Mitarbeiterkontrolle 20.
219 Tomandl, Rechtsprobleme bei der Einführung und Anwendung von Kontrollmaßnahmen, ZAS 1982/5, 163
(168).
220 Goricnik, Arbeitnehmer-Datenschutz 154.
221 Rebhahn/Kietaibl in ZellKomm² § 879 ABGB Rz 15.
217
46
Kontrollmaßnahme handelt, Anwendung (zB Auswertung), Speicherdauer der Daten
ausdrücklich, nach Information über die Datenverwendung, erklärt wurde.222
5.1.1.2. Rechtfertigung einer Überwachung des mobilen Endgerätes
Die Interessensabwägung, zwischen den betrieblichen Interessen der AG und der
Privatsphäre der AN, unterliegt einem dualen Maßstab, dem zulässigen Kontrollziel und
dem
Verhältnismäßigkeitsprinzips,
Demzufolge
ist
der
Einsatz
des
da
kein
allgemeines
gelindesten
Mittels
Zugriffsrecht
gerechtfertigt,
besteht.223
wenn
das
Kontrollinteresse weder willkürlich noch mit unnötiger Eingriffsintensität verfolgt wird.224
Durch die Bewegungssensoren und die Einordbarkeit welche WLAN Netze verwendet
worden sind, bzw bei eingeschalteten GPS, ist der Radius zurück gelegter Strecken
nachzeichenbar geworden (zB Verreisen im Krankenstand ohne ärztliche Empfehlung).
Somit können diese Daten Aufschluss geben, inwiefern eine körperliche Beeinträchtigung
vorliegt und unterliegen, als Teil der Privatsphäre, einem Anspruch auf Geheimhaltung. Die
Lehre diskutiert die Beschränkung keine Diagnose zu erhalten, sondern nur Auskunft über
den Verhinderungsgrund (Arbeitsunfall, Krankheit, Kuraufenthalt uvm). Wie Mazal225
ausführt liegt es im Interesse der AG Ausmaß und Einschränkung der Tätigkeit zu erfahren,
um Anspruchsvoraussetzungen für die Entgeltfortzahlung rechtlich zu beurteilen. Auch
sieht
Tomandl226
Abstufungsmöglichkeiten
im
Grad
der
Arbeitsunfähigkeit
aus
medizinischen Gründen, um die AN dennoch zumutbare Tätigkeiten verrichten zu lassen.
Werden nun Daten des mobilen Gerätes zum Schutze von Diebstahl oder Angriffen
(Vermeidung von Datenverlusten bei der Übertragung von Unternehmensdaten über
öffentliche Mobilfunknetze und WLAN-Netzwerke) ausgewertet, die einen Rückschluss
zulassen auf den Aufenthaltsort, kann dies zur Problematik führen, dass diese dem
Grundrecht der Geheimhaltung nach Art 8 EMRK, auch bei Standortermittlung und
abgeleiteter Bewegungsprofile, unterliegen.227
222
Goricnik, Arbeitnehmer-Datenschutz 160.
Brodil, Individualrechtliche Fragen der Kontrolle des Arbeitnehmers, in Resch (Hrsg), Die Kontrolle des
Arbeitnehmers vor dem Hintergrund moderner Medien (2005) 74.
224 Brodil, Kontrollmaßnahmen aus arbeitsrechtlicher und datenschutzrechtlicher Sicht, in Bogendorfer (Hrsg),
Datenschutz im Unternehmern (2011) 62.
225 Mazal, Der Informationsanspruch des Arbeitgebers bei EFZ im Krankheitsfall, ecolex 2010, 118 (119).
226 Tomandl, Alternativen zur Krankschreibung, ecolex 1991, 865 ff.
227 Grünager/Goricnik, Ermittlung von Standortdaten im Arbeitsverhältnis, in Grünager/Goricnik (Hrsg),
Arbeitnehmer-Datenschutz und Mitarbeiterkontrolle (2014) 139 (172).
223
47
Bei der datenschutzrechtlichen Zulässigkeitsprüfung, ohne Verletzung eines
schutzwürdigen
Geheimhaltungsinteresses
für
eine
Videoüberwachung
nach
§ 50a Abs 3 ff DSG, sieht die Gesetzgebung Ausnahmen vor, wenn es sich um ein
lebenswichtiges Interesse handelt, ausgerichtet darauf öffentlich wahrgenommen zu
werden (zB Sportkampf) oder eine ausdrückliche Zustimmung vorliegt. Hier kann eine
Videoüberwachung ohne Interessensabwägung angedacht werden, wogegen § 50a Abs 5
DSG
ein Verbot
Mitarbeiterinnen
zu
normiert,
eine
Videoüberwachung
installieren.228
Eine
zur
Leistungskontrolle von
Videoüberwachung,
mit
Aktivieren
der
Gerätekamera bei einer Gefahrenabwehr (gerichtlich bedrohte Strafhandlung zB
Diebstahl), kann bei einer Rechtfertigung durch eine Interessensabwägung, ohne
Verletzung eines schutzwürdigen Geheimhaltungsinteresses, mittels Remote-Zugriff
zulässig sein (zB Foto der Diebin erstellen).
Die Generierung von Daten und deren Eignung zur Interpretion, in weiterer Folge
auch Kontrolle durch die AG, gehen Hand in Hand, sobald eine Beeinträchtigung von
Persönlichkeitsrechten vorliegt, die die Menschenwürde verletzt, kann keine betriebliche
Interessensabwägung stattfinden, um die Kontrollmaßnahme zu gerechtfertigen.229
Hinweis auf eine erlaubte Überwachung zur Gewährleistung der Systemfunktionalität,
wengleich private oder berufliche Kommunikation betroffen sind, gibt Groricnik230, da diese
nicht abgetrennt bei der Bedrohung des IT-Systems betrachtet werden können, wenn die
AG auch Eigentümerin ist des Gerätes. Im Fall des Einsatzes privater IT-Geräte fällt die
Argumentation dahingehend aus, dass die betrieblichen Daten im Eigentum der AG
stehen231 und wiederum dementsprechend Schutzmaßnahmen zu treffen sind, selbst wenn
das Speichermedium privater Natur ist.
Das „Modell der stufenweise Kontrollverdichtung“ nach Kotschy/Reimer232 zeigt, dass
eine
generelle
Auswertungen
und
ständige
Protokollführung
ohne
konkreten
Missbrauchsverdacht unverhältnismäßig die Menschenwürde verletzten und zielt darauf ab
die Erfordernisse zur Zulässigkeit einer Kontrollmaßnahmen zu verdeutlichen:
228
Grünanger, Videoüberwachung am Arbeitsplatz, in Grünager/Goricnik (Hrsg), Arbeitnehmer-Datenschutz
und Mitarbeiterkontrolle (2014) 113 (126).
229 Goricnik, Arbeitnehmer-Datenschutz 147.
230 Goricnik, Arbeitnehmer-Datenschutz 155.
231 OGH 22.10.2012, 9 Ob A 110/12k, ZAS-Judikatur 2013/8 (27).
232 Kotschy/Reimer, Die Überwachung der Internet-Kommunikation am Arbeitsplatz, Ein Diskussionsbeitrag
aus datenschutzrechtlicher Sicht, ZAS 2004/29, 167 (169).
48
Abbildung 4: Modell der stufenweisen Kontrollverdichtung siehe Kotschy/Reimer in Die Überwachung
der Internet-Kommunikation am Arbeitsplatz, ZAS 2004, 169
Somit ist die Intenstiät der Überwachung des mobilen Devices abhängig von der
erlaubten Nutzung am Arbeitsplatz (zB Totalverbot), wobei ein Zugriff auf Privatdaten also
zur personenbezogenen Überwachung auf konkrete Bewegegründe gestützt, sowie
verhältnismäßig und der AN angekündigt worden ist.233 Eine Speicherung von
Verkehrsdaten ist für technische Erfordernisse ist erlaubt.234
Eine Elektronische Zutrittskontrolle ist auch mit einem mobilen Device möglich, da
über Datenübertragungen auf kurzer Distanz mittels Funktechnik (zB RFID, NFC oder
Bluethooth 4.0) Informationen ausgetauscht werden können, die Berechtigungen
übermitteln, um bspw entweder Türen oder Schrankschließsysteme zu öffnen. Sofern eine
gerechtfertigte Notwendigkeit besteht, sind jene Daten, die dadurch ermittelt werden
können zulässig, ein Missbrauch jedoch, um ein Bewegungsprofil und damit verbunden
eine Leistungsbewertung abzufragen, stellen ein unverhältnismäßiges Mittel einer Kontrolle
dar.235 Die Elektronische Arbeitszeitkontrolle kann auch mit Erfassen des mobilen Gerätes
ab Einstieg in das Firmennetzwerk geregelt werden oder per Log-In der Nutzerin auch
außerhalb der Arbeitsstätte (oder dem Aufrufen von Unternehmes-Apps). Solange die AN
233
Thiele, Internet am Arbeitsplatz, Erste arbeitsrechtliche Konfliktfäll, ecolex 2001, 613 ff.
Haidinger, Datenschutz am Arbeitsplatz: Was und wie weit darf der Arbeitgeber kontrollieren? Dako
2014/18 40 (41).
235 Kotschy, Datenschutz in systemischer Einordnung zum Arbeitsrecht, in Brodil (Hrsg), Datenschutz im
Arbeitsrecht (2010) 1 (9).
234
49
selbst die Aufzeichnung des Arbeitsbeginn und –ende bestimmen kann und keine weiteren
Ortungsdaten mitdokumentiert werden, muss die Zeiterfassung nach § 8 Abs 3 Z4 DSG für
die Vertragserfüllung erforderlich sein, um einer Zulässigkeit nicht entgegen zu stehen.236
Ein Indoor-Routing, also eine Positionsbestimmung innerhalb geschlossener Räume (mit
Hilfe der Auswertung von Sensoren der Beschleunigung, Mobilfunkstandards wie LTE,
Kompass, Luftdruck-Sensor, Barometer, Beschleunigungssensoren, Gyroskop und GPS)
sollte demnach nicht das gelindeste Mittel zur Aufzeichnung der Arbeitszeit gelten.
5.1.2. Kollektivrechtliche Schranken
Das
Mitbestimmungsrecht
des
Betriebsrats
richtete
sich
nach
dem
Arbeitsverfassungsgesetz. Die Betriebsinhaberin hat dem BR mitzuteilen welche
personenbezogenen Daten verarbeitet werden und wie deren Übermittelungen ausgestaltet
werden.
Bei
Einführung
bzw
Einsatz
von
flächendeckenden,
generellen
Kontrollmaßnahmen und technischen Systemen zur Kontrolle der AN nach § 96 Abs 1 Z3
ArbVG, bedarf es einer notwendigen nicht ersetzbaren Zustimmung des BR237 und da dies
eine gesetzlich definierte Maßnahme ist, kann dies nur durch eine Betriebsvereinbarung
festgelegt werden.238 Die Zustimmungserfordernis ist demnach an die Beschränkung oder
Verletzung von Persönlichkeitsrechten, Fürsorgepflichten und der mittelbaren Drittwirkung
der Grund- und Freiheitsrechte geknüpft, welche als Menschenwürde definiert wird. Eine
Verletzung derer, selbst bei Vorliegen der Zustimmung des BR, führt zu einer
Gesetzwidrigkeit der Kontrollmaßnahme.239 Ein Berühren der Menschenwürde hingegen
löst
die
Zustimmungspflicht
aus,
die
bei
Nichterfolgen
Beseitigungs-
und
Unterlassungsansprüche auslösen.240
Nach Rebhahn241 ist ein Vorgehen gegen eine unzulässige Kontrolle schwierig, da
eine effektive Verbotsdurchsetzung gesetzlich schwach gestützt wird und eine gerichtlich
strafbare Relevanz, erst bei einem unerlaubten Abhören erreicht werden würde.
Verwaltungsstrafen sehen die Bestimmungen nach § 96 und § 96a ArbVG nicht vor und
jene des § 52 DSG, sowie eine Feststellungsklage durch die Datenschutzkommission, erlag
236
Grünager/Goricnik, Arbeitnehmer-Datenschutz 203.
Dohr/Pollirer/Weiss/Knyrim, DSG², Anhang V., 17.C. Zustimmungspflichtige Maßnahmen
Arbeitnehmerdatenverarbeitung.
238 Reissner, Kontrollmaßnahmen und Kontrollsysteme, in Reissner/Neumayr (Hrsg), Zeller Handbuch
Betriebsvereinbarungen (2014) RZ 3.03.
239 Gerhartl, Persönlichkeitsschutz 196.
240 Rebhahn, Mitarbeiterkontrolle 23.
241 Rebhahn, Mitarbeiterkontrolle 27.
237
50
auch
keiner
sonderlich
bedeutenden
Rolle
in
der
Praxis.
Selbst
bei
Unterlassungsansprüchen242 der einzelnen AN bei widerrechtlicher Schädigung nach § 32
Abs 2 DSG, bestehend auf § 16 ABGB, wird die Abschreckung, durch die persönliche
Abhängigkeit im Arbeitsverhältnis, eine Barriere darstellen. Auch § 33 DSG zielt der
Schadenersatzanspruch auf
das Vorhandensein eines schwer zu beweisenden
Vermögensschaden ab, immaterielle Schäden werden nur bei öffentlicher Verwendung und
nicht durch einen Eingriff ersetzt. Der BR kann eine Verletzung des Mitbestimmungsrechts
durch eine kollektive Feststellungsklage nach § 54 ASGG anstreben, Unterlassungs- sowie
Beseitigungsansprüche mit § 50 Abs 2 ASGG erwirken. Für einzelne AN kann der BR keine
datenschutzrechtliche Ansprüche geltend machen.243
Gesondert ist auf die Tatsache zu verweisen, wie der Umgang mit rechtswidrig
erlangte Informationen im Zivilprozess Auswirkungen entfalten kann. Diese unterliegen
keinem Beweisverwertungsverbot im Zivilprozess, solange gegen keine Grundrechte
verstoßen worden ist.244 Rebhahn245 kritisiert das Ignorieren des Grundrechtes auf
Geheimhaltung in Verfahren zwischen Privaten und setzt bildlich in Szene wie dadurch das
Zivilprozessrecht über dem im Verfassungsrecht verankerten Grundrechtsschutz gehoben
wird und demnach ein Nährboden für Verstöße vorprogrammiert wird. Er zielt auf den Fall
der Entlassung wegen Löschung einer Privatdatei vom Dienstrechner246 ab und hinterfragt
weshalb das Ablegen der Privatdatei durch die beklagte Partei (hier: Arbeitgeber) den OGH
nicht dazu bewog zu beurteilen, ob die Speicherung überhaupt zulässig war. Auch trifft
Hattenberger247 den Punkt der Kritik mit dem Herausstreichen des Widerspruchs des
Verbots der Verwendung von Protokolldaten für eine Kontrolle, aber Zulassung im
Zivilprozess, um einen Entlassungstatbestand zu konkretisieren. Oder der Untersagung der
Installation von Vorrichtungen, ohne Kenntnisnahme der AN zur Kontrolle, wenn doch die
daraus erworbenen Daten als Beweis zur Entlassungsbegründung herangezogen werden
können.
Auch sieht Grünanger/Goricnik248 im Datenschutzrecht ein Beweisverwertungsverbot
zu befürworten. Hingegen führen Graf/Schöberl249 in Anbetracht der hM nach Fasching250,
242
Dazu näher Rassi, Die Durchsetzung des Unterlassungsanspruchs, ÖBl 2015/44, 207.
OGH 29. 6. 2006, 6 Ob A 1/06z.
244 Dohr/Pollirer/Weiss/Knyrim, DSG², § 8 Anm 16, 2 (Stand: 2.7.2014, rdb.at).
245 Rebhahn, Mitarbeiterkontrolle 29.
246 OGH 25.10.2011, 8 ObA 218/01v, ZAS2002/16, 143 (Brodil).
247 Hattenberger, Die Bedeutung des Datenschutzrechts für das Arbeitsrecht, in Resch (Hrsg), Die Kontrolle
des Arbeitnehmers vor dem Hintergrund moderner Medien (2005) 13 (45).
248 Vgl Grünager/Goricnik, Arbeitnehmer-Datenschutz 51.
249 Vgl Graf/Schöberl, Beweisverwertungsverbote im Arbeitsrecht? ZAS 2004/30, 172 ff.
250 Vgl Fasching, Lehrbuch des österreichischen Zivilprozeßrechts² (1990) Rz 934 ff.
243
51
Rechenberger251, Kodek252 aus es werden die rechtswidrig erlangten Beweismaterialien
keine Auswirkung haben auf deren Zulässigkeit im Zivilprozess, solange diese gegen
Grundrechte nicht verstoßen (wobei nach hL eine Verletzung des Datenschutzrecht ohne
Folgen eines Beweisverwertungsverbot ausfällt).
Daneben
sprechen
sich
Dohr,
Pollirer,
Weiss
und
Knyrim253
für
eine
Interessensabwägung aus und unterstützen ein Beweisverwertungsverbot im Kern des
Privat- und Familienlebens, da sie eine Abstufung nach der Sensibilität der Daten
vornehmen.
5.1.2.1. Notwendige Mitbestimmung des BR
Sobald eine auf Dauer angelegte Überwachung mit technischer Umsetzung geeignet
ist das Verhalten der AN zu kontrollieren liegt eine Kontrollmaßnahme vor.254 Damit ist der
Kreis weit zu ziehen, denn mobile Geräte hinterlassen digitale Spuren255. Grundlegend
berührt eine Maßnahme der Kontrolle die Menschenwürde, sofern diese geeignet ist
Persönlichkeitsrechte zu beeinträchtigen.256 Es folgt eine Interessensabwägung, die
zugunsten der betrieblichen Interessen ausfallen kann, um das legitime Kontrollziel zu
verfolgen.
Das Leistungsverweigerungsrecht soll bei gravierenden Eingriffen (zB sittenwidrige
Videoüberwachung in Sanitäranlagen) in das Persönlichkeitsrecht der AN Abhilfe schaffen
und sie auch bis hin zur Arbeitsverweigerung stützen. Bei einer entsprechenden
Unzumutbarkeit sogar als gerechtfertigter Austrittsgrund gelten.257 Nach Rebhahn258 kann
dies auch bei einer zustimmungspflichtigen Maßnahme ohne Einverständnis des BR als
Grund angesehen werden die Arbeitsleistung zu verweigern. Selbst wenn eine Weisung
der AG vorliegt muss diese nicht befolgt werden.259
251
Vgl Rechberger in Fasching/Konecny, Kommentar zu den Zivilprozessgesetzen², § 266 ZPO Rz 70 ff.
Kodek, Rechtswidrig erlangte Beweismittel im Zivilprozeß, ÖJZ 2001, 285 (286).
253 Dohr/Pollirer/Weiss/Knyrim, DSG², § 8 Anm 16, 2.2 (Stand: 2.7.2014, rdb.at).
254 Reissner, ZellKomm², § 96 ArbVG Rz 21.
255 Dazu näher Staudinger, Wo Internet-User ihre Spuren hinterlassen, in Jaksch-Ratajczak (Hrsg), Aktuelle
Rechtsfragen der Internetnutzung (2009) 233 ff.
256 Goricnik, Persönlichkeitsschutz bei der Ermittlung und Benützung von Standortdaten im Arbeitsverhältnis,
wbl 2012, 301 (305).
257 Jabornegg in Strasser/Jabornegg/Resch (Hrsg), ArbVG § 96 Rz 41.
258 Rebhahn, Mitarbeiterkontrolle 24.
259 OGH 20. 4. 1995, 8 ObA 340/94, RdW 1996, 28= ARD 4661/10/95 = infas 1995.
252
52
Die Zustimmung des BR ist in folgenden Fällen erforderlich bzw ersetzbar:
Abbildung 5: Zustimmungserfordernis des BR bei Überwachungsmaßnahmen
Zusammenfassend kann die Zustimmungserfordernis aufgeschlüsselt werden in
nachfolgende Bereiche im Sinne von Stiger260: jene Kontrollmaßnahmen, welche
sittenwidrig (Verletzung der Menschenwürde) sind erlangen auch durch die Zustimmung
des BR keine Rechtmäßigkeit. Beim Berühren der Menschenwürde muss die Freigabe der
Maßnahme mit § 96 ArbVG als zustimmungspflichtige BV geregelt werden. Für
Kontrollmaßnahmen nach § 96a ArbVG ist die Zustimmung des BR ersetzbar, sowie nach
§ 97 ArbVG, wenn Ordnungsvorschriften, Benützungsregeln betroffen sind. Auch kann der
BR bei freiwilligen BVs betreffend der Arbeitsplatzgestaltung, Sicherung miteingebrachter
Geräte, Aufwandsentschädigungen vertragliche Regelungen treffen.
260
Stiger, Protokollierung der Internetzugriffe 413.
53
5.1.2.2. Einführung von Kontrollmaßnahmen
Nach Erfüllen der Informationspflicht gem § 92 Abs 2 ArbVG über eine Überwachung
an den BR, muss sich die Maßnahme einer Zulässigkeitsprüfung, hinsichtlich
Verhältnismäßigkeit (Gibt es ein gelinderes Mittel?), rechtmäßigen Zweck (Erforderlichkeit
des Eingriffes in das Persönlichkeitsrecht der AN), keinem Verletzen schutzwürdiger
Geheimhaltungsinteressen,
nach
dem
DSG
unterziehen.
Eine
Kontrolle
der
Internetnutzung fällt als technisches System unter § 96 Abs 1 Z 3 ArbVG und die
Zustimmungserfordernis wird durch das Ausmaß der Betroffenheit der Menschenwürde in
Abhängigkeit gestellt. Sofern die Maßnahme die Menschenwürde berührt (hier insb
Speicherung und Dokumentation von aufgerufenen Websites, E-Mails) wird eine
Zustimmung, von Seitens des BR als Betriebsvereinbarung und nach § 17 ABGB der
betroffenen AN, erforderlich.261 Eine umfassende Aufnahme aller Tätigkeiten im Internet
und deren Auswertung verletzt die Menschenwürde und kann weder durch eine BV oder
Zustimmung der AN legitimiert werden. Es können auch Maßnahmen ergriffen werden, die
weder die Menschenwürde noch die Persönlichkeitsrecht der AN berühren und demnach
unter den § 96a Abs 1 Z1 ArbVG fallen, wenn bspw bei begründeten Verdacht eine
Überprüfung erfolgt und dabei BR und die betroffene AN einbezogen werden würden (zB
personenbezogenes Erfassen des Einloggen und Zeitdauer, ohne Auswertung der
angewählten Websites).
Ein Erfassen von Standortdaten bezieht sich laut § 96 Abs 1 Z 3 ArbVG auf die
objektive Eignung, nicht auf den tatsächlichen Einsatz. Somit sind mobile Endgeräte, die
für betriebliche Einsätze heran gezogen werden technische Vorkehrungen, die eine
Kontrollmöglichkeit hervorbringen. Hier setzt auch Grünanger/Goricnik262 die technische
Umsetzung in Szene, demnach wird das mobile Gerät nicht als Kontrollmöglichkeit
angesehen, wenn es sich um einen abgeschlossener Bereich handelt, der weder durch die
AG erweiterbar ist, noch ohne Wissen der AN manipuliert werden kann. Diese Anforderung
erfüllen mMn momentane Strategien zum Einsatz von mobilen Privatgeräten nicht, weder
der Vollzugriff auf die Geräte, noch die Virtualisierungslösungen und das Sandboxing bieten
absolute Sicherheit vor der (unbekannten, ungewollten) Kontrolle der AG. Die hL geht bei
einer Überwachung der Standortdaten von einer Berührung der Menschenwürde aus,263
weshalb eine solche Maßnahme einem Zustimmungserfordernis des BR unterliegt.
261
Goricnik, Arbeitnehmer-Datenschutz 148.
Grünanger/Goricnik, Arbeitnehmer-Datenschutz 192.
263 Vgl Reissner in ZellKomm² § 96 ArbVG Rz 22.
262
54
Eine Videoüberwachung in besonderen Fällen (bei Diebstahl, Verlust), als
anlassbezogene Echtzeitüberwachung für eine Beweissicherung, würde weder einer
Leistungskontrolle unterliegen noch einer Verletzung der Menschenwürde der AN
bedeuten, doch sind sie nach Grünanger264 nicht im Regelungsbereich des § 96 Abs 1 Z 3
und § 96a ArbVG und können deshalb nicht Inhalt einer BV sein, da es sich nicht um ein
erforderliches „System“ handelt.
Eine Zugangskontrolle, durch eine Ermittlung biometrischer Daten der AN wie zB
Fingerscan oder Gesichtserkennung, kann auch bei einem mobilen Gerät als
Authentifizierungsmaßnahme, zum Freischalten mancher Firmen-Apps oder um in einem
bestimmtes Netzwerk
einsteigen zu können, gestaltet
werden.
Im
Fall
eines
Krankenhauses, das biometrische Daten einsetzte, um Mitarbeiterinnen Zugang zu
Räumlichkeiten zu gewähren, qualifizierte der OGH als zustimmungspflichtige Maßnahme
gem § 96 Abs 1 Z 3 ArbVG.265
Um nach § 96a Abs 1 Z 2 ArbVG Fragebögen zur Beurteilung von Mitarbeiterinnen
als technisches System einzuführen, bedingt dies die Zustimmung des BR, wenn die
betriebliche Verwendung gerechtfertigt ist.266
Sobald die Telefon-/Kommunikationsdaten der mobilen Geräte (Anrufliste, Dauer,
Datenverbrauch uvm.) ausgewertet werden können, liegt ein Kontrollsystem iSd Art 96 Abs
1 Z 3 ArbVG vor, das die Menschenwürde berührt. Sollte die technische Umsetzung
ausgestaltet werden, ohne ein Erfassen der gewählten Rufnummern, wird dies als
Maßnahme des § 96a Abs 2 ArbVG angesehen.267
Zur Aufdeckung von Straftaten, die im Zusammenhang mit der Vertragserfüllung
stehen oder bei Verdacht auf eine Straftat, ist es nach Brodil268 zulässig eine Kontrolle
auszuführen, insbesondere wenn es sich um eine schwere Vertragsverletzung handelt
(Geheimnisschutz), hier kann eine Einsichtnahme sogar in private E-Mails erfolgen. Auch
sieht Rebhahn269 eine Sicherstellung von Aufzeichnungen, die als privat gekennzeichnet
worden sind, aber den Hinweis auf Betriebsgeheimnisse geben, als gerechtfertigt, solange
dies von einer neutralen Position (zB BR) vorgenommen wird. Auch mit einem mobilen
264
Grünanger, Arbeitnehmer-Datenschutz 132.
OGH 20.12.2006, 9 Ob A 109/06d.
266 OGH 20. 8. 2008, 9 Ob A 95/08y.
267 Haidinger, Datenschutz am Arbeitsplatz: Was und wie weit darf der Arbeitgeber kontrollieren? Dako
2014/18, 40 (41).
268 Brodil, Die Kontrolle der Nutzung neuer Medien im Arbeitsverhältnis, ZAS 2004/28, 156 (161).
269 Rebhahn, Mitarbeiterkontrolle 42.
265
55
Gerät können Computerstraftaten begangen werden, beispielsweise die Datenfälschung
(zB
Umprogrammieren
von
Speicherkarten),
als
nachgebildetes
Delikt
der
Urkundenfälschung. Auch das missbräuchliche Abfangen von Daten nach § 119a StGB (zB
Man-in-the-middle-Angriffe), Datenbeschädigung gem § 126a StGB (zB denial-of-serviceAttacke, Viren und Würmer, Passwort ändern) oder § 123 StGB Auskundschaften von
Geschäfts- und Betriebsgeheimnisse.270
Bei einer Überwachung des Internetzugriffs werden Daten zusammen getragen, die
einen Rückschluss auf die Person zulassen (zB Zugriff auf Firmenapp am Wochenende),
auch sind Tools, die fähig sind bestimmte Internetseiten zu verbieten, auf einem Privatgerät
nicht sonderlich hilfreich (zB Facebook wird außerhalb der Arbeitszeit gesperrt). Sollten
demnach Kontrollen eingesetzt werden, die personenbezogene Daten aufzeichnen, ist die
Privatsphäre berührt und eine Zustimmung des BR nach § 96 Abs 1 Z 3 ArbVG von
Nöten.271
270
271
Sonntag, Internetrecht² 349 ff.
Stiger, Protokollierung der Internetzugriffe 418.
56
III. Datenschutzrechtliche Rahmenbedingungen
Unternehmerinnen, die einen betrieblichen Einsatz privater IT-Geräte erlauben,
gehen ein Risiko ein, Daten zu verlieren oder den Datenfluss nicht mehr überblicken zu
können. Datenlisten von Kundinnen oder deren zugesendeten Daten unterliegen der Pflicht
der AG geschützt zu werden. Ebenso die Informationen über die Belegschaft. Das Interesse
die eigenen unternehmenssensiblen Daten nicht unkontrolliert zugänglich zu machen, ist
Teil der Motivation der AG, Datensicherheitsmaßnahmen umzusetzen. Gleichzeitig liefert
das Datenschutzrecht Bestimmungen, deren Einhaltung auch im Arbeitsverhältnis
anzuwenden sind272 und nicht immer deckungsgleich mit dem Wunsch der AG, die
vollständige Kontrolle über sämtliche Abläufe in ihrem Betrieb zu erlangen.
1.
Begriffsbestimmungen
In der Begriffsbestimmung der Daten müssen diese differenziert werden zur
Information, da Daten bereits Informationen darstellen. Diese werden eingesetzt zur
Kommunikation, Interpretation und Verarbeitung.273 Somit sind Informationen mit
Bedeutungen
belegt,
die
maschinenlesbar
codiert
werden.
Entweder,
wie
im
datenschutzrechtlichen Begriff nach ihrem Sinn (semantische Ebene, Einteilung von
Symbolen und deren Interpretation) oder nach der Codierung als Zeichenmenge
(syntaktische Ebene, Beziehung zwischen Zeichen). Daten sind Informationen, die in Form
von einer Anzahl an Zeichen, durch die Informationstechnik und Lesegeräte, verarbeitet
werden können. Sie müssen allgemein keine besondere Bedeutung haben, auch deren
Inhalt ist in vielen Fällen nicht von bedeutender Relevanz, ihr Wert richtet sich nach jener
der
Betrachterin
(im
Schadenersatzrecht
wird
der
Wiederbeschaffungswert274
herangezogen). Eine weitere Unterscheidung ist die Gruppe jener Daten, die als Software
anzusehen ist und jene, die als Anwenderinnendaten, also durch eine menschliche Leistung
erstellt oder durch Einsatz von Geräten (zB Aufnahmen) generiert werden. Mit der Vielzahl
an Speichermöglichkeiten ist die Lokalisierung von Daten nicht mehr nur einer
Datenträgerin oder Speichermedium zuzuordnen, auch sind Synchronisationsdienste,
meist zur Sicherung von Dateien im Einsatz, wie im „Cloud Computing“.275 Eine
272
Siehe Brodil, Kontrolle und Datenschutz im Arbeitsrecht, ZAS 2009/21, 121 (123).
Sonntag, Informationstechnologie Grundlagen, in Jahnel/Mader/Staudegger (Hrsg), IT-Recht3 (2012) 1 (5).
274 Dazu näher Öhlböck/Esztegar, Rechtliche Qualifikation von Denial of Service Attacken, JSt 2011, 126
(129).
275 Zech, Daten als Wirtschaftsgut: Überlegungen zu einem „Recht des Datenerzeugers“, CR 2015, 137 (138).
273
57
automationsunterstützte Datenanwendung liegt dann vor, wenn Abläufe zusammengefasst
werden, die einen Gesamtzweck verfolgen und durch ein IT-System verarbeitet werden.
Nach Dürager276 benötigt es eine logische Einheit, die sich aus den einzelnen Schritten
ergeben muss.
Ferner
wird
unterschieden
zwischen
personenbezogenen
Daten,
indirekt
personenbezogenen Daten, anonymen und sensiblen Daten. Unter personenbezogenen
Daten konkretisiert § 4 Z 1 DSG, jegliche Angaben über eine Person oder ein Unternehmen,
die eine Verbindung zu den Betroffenen herstellen lassen.277 Indirekt personenbezogene
Daten sind verschlüsselte Daten, die sich nicht ohne Umgehen von Schutzbestimmungen
zuordnen lassen (zB Gesundheitsdaten, Entschlüsselungsprogramme, Beschaffen von
Namen um sie Kontonummern zuweisen zu können usw.). Anonyme Daten geben keinen
Aufschluss darüber, welche Personenidentität betroffen ist und sind keine schutzwürdigen
Daten nach dem DSG, da kein Datenschutz erforderlich ist.278 Ein allgemeines
Verwendungsverbot279 trifft sensible Daten, also jene, die Auskunft über eine natürliche
Person geben, wenn sie deren politische Meinung, Gewerkschaftszugehörigkeit,
Gesundheitszustand, ethnische und rassische Herkunft, religiöse Meinung, und
Sexualleben preisgeben.280 Die Unterscheidung von Verkehrs- und Inhaltsdaten281 gliedert
sich in deren Informationsgehalt, sind diese konzentriert auf die Kennzeichnung der
Kommunikationsquelle (zB Dateigröße, Log-Files), nicht ausreichend aufschlussreich
genug, die Nutzerin genauer durchleuchten zu können (zB Interpretation der Website wie
zB www.playgirl.com) und nicht einsetzbar, um sensiblen Daten freizulegen, liegen
Verkehrsdaten vor.282
Es werden all jene Vorgänge dem DSG unterworfen, welche eine Verbindung
zwischen personenbezogenen Daten und eine Datenanwendung herstellen lassen. Der
Überbegriff der Datenanwendung beinhaltet die Bezeichnung „Datenverarbeitung“ und
„Datenübermittlung“. Damit werden Handlungsweisen erfasst, die das Ermitteln, Speichern,
Aufbewahren, Kennzeichnen, Erfassen, Abfragen, Nützen, Löschen, uvm. von Daten nach
§ 4 Z 9 und Z 12 DSG betrifft. Jene Person, die eine freie Entscheidungswahl treffen kann,
wie diese Daten verwendet werden, wird im Datenschutzrecht als Auftraggeberin angeführt.
276
Vgl Dürager, Datenschutzrechtliche Aspekte 141.
Dohr/Pollirer/Weiss/Knyrim, DSG² § 4 Anm 2 (Stand: 2.7.2014, rdb.at).
278 Dohr/Pollirer/Weiss/Knyrim, DSG² § 4 Anm 2 (Stand: 2.7.2014, rdb.at).
279 Dazu näher Dohr/Pollirer/Weiss/Knyrim, DSG² § 9 Anm 3 (Stand: 2.7.2014, rdb.at).
280 Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz
natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, ABl 1995
L281, 40.
281 Siehe Brodil, Die Registrierung von Vermittlungsdaten im Arbeitsverhältnis, ZAS 2004/4, 17 (20).
282 Gerhartl, Persönlichkeitsschutz 151.
277
58
Als „Herrin der Daten“ bestimmt sie die Abläufe der Datenübermittlung und Verarbeitung.283
Sie kann eine juristische oder eine natürliche Person sein und dennoch als die
Auftraggeberin angesehen werden, selbst wenn sie die Daten zur Verarbeitung an eine
Dienstleisterin, also an eine Dritte, weiter gibt. Neben der Figur der Auftraggeberin, geht
das DSG auch von einer Betroffenen und einer Dienstleisterin aus. Dienstleisterinnen (als
natürliche oder juristische Person) erbringen gem § 153 GewO Dienstleistungen, die sie
berechtigt eine automatische Datenverarbeitung einzusetzen, um die der AG überlassenen
Daten, zur Herstellung eines Werkes, zu nutzen. 284
Beim Einsatz von mobilen Endgeräten am Arbeitsplatz ist das DSG wesentlich, um
feststellen, welche Daten betroffen sind und wer die Rolle der Auftraggeberin innehat.
Verarbeitet oder erstellt die AN private Daten für sich ist sie die Auftraggeberin, da sie die
Entscheidung trifft, wie die Daten eingesetzt werden. Während ihrer geschuldeten
Arbeitszeit, übernimmt sie für die AG die Datenanwendung, auch auf ihrem Privatgerät. Sie
ist im Fall der Übernahme von Daten der AG und Weiterverarbeitung, als auch Erstellung,
zweckgebunden und muss sich orientieren an der Anweisung, wie die Daten zu behandeln
sind. Auch sind die Daten, weder einer freien Weitergabe durch die AN ausgesetzt, noch
verlassen diese den vorbestimmten Arbeitsbereich. Die eingesetzten Daten sind jene der
AG und werden in ihrem Auftrag behandelt, sie unterliegen ihrer Verfügungsgewalt und
bestimmen sie deshalb zur Auftraggeberin. Somit unterliegt die Datenanwendung dem
Zweck der AG, weswegen sie, auch beim Einsatz mobiler Privatgeräte durch die AN, die
Auftraggeberin ist.
Ebenso fällt die AN aus der Qualifikation als Dienstleisterin heraus, da keine
Werksherstellung, sondern Arbeitsleistung geschuldet wird. Obwohl die AN weder eine
Auftraggeberin noch eine Dienstleisterin ist, sind Vorgänge betroffen, die durch die AN
vorgenommen werden und dem DSG unterliegen, wie beispielsweise nach § 4 Z 9 DSG die
Datenverarbeitung (Ermitteln, Verfassen, Speichern, Sortieren, Verknüpfen, Löschen
usw.). Betroffene sind all jene Personen, deren Daten durch die dienstliche Anordnung
verarbeitet werden.285
283
Siehe Dohr/Pollirer/Weiss/Knyrim, DSG² § 4 E13 (Stand: 2.7.2014, rdb.at).
Dohr/Pollirer/Weiss/Knyrim, DSG² § 4 Anm 6 (Stand: 2.7.2014, rdb.at).
285 Dürager, Datenschutzrechtliche Aspekte 142.
284
59
Abbildung 6: Rollenverteilung im DSG
Im Falle einer Datenanwendung ist eine Interessensabwägung notwendig, zwischen
dem berechtigten schutzwürdigen Interesse der Betroffenen und jenen der dritten Person,
sollte nicht klar abzugrenzen sein, ob sensible Daten vorliegen, wird deren Vorhandensein
angenommen.286
Unter dem schutzwürdigen Geheimhaltungsinteresse, wird im DSG verstanden, wenn
Daten (also nicht-sensible Daten, im Zweifelsfall liegen sensible Daten vor) verwendet
werden sollen und geregelt unter welchen Voraussetzungen dies zulässig ist.287 Somit
unterliegen
bereits
personenbezogene
Daten
einem
schutzwürdigen
Geheimhaltungsinteresse, deren Einsatz unter folgenden Grundlagen erlaubt ist:
-
Ausdrückliche, gesetzliche Genehmigung oder Verpflichtung
-
(konkludente) Zustimmung durch die Betroffene mit jederzeitigem Widerrufsrecht
-
Erfordernis der Verwendung aufgrund lebenswichtigen Interesse der Betroffenen
(zB bei Verkehrsunfall Blutgruppe)
-
Interessensabwägung zwischen Betroffener und Auftraggeberin
Bei indirekt personenbezogene Daten oder veröffentlichte Daten (zB Firmenbuch)
besteht kein schutzwürdiges Geheimhaltungsinteresse, aber ein Widerspruchsrecht nach
286
287
Dohr/Pollirer/Weiss/Knyrim, DSG² § 8 Anm 9 (Stand: 2.7.2014, rdb.at).
Sonntag, Internetrecht² 242.
60
§ 28 DSG.
Sensible
Daten
unterliegen
immer
einem
schutzwürdigen
Geheimhaltungsinteresse und können nur taxativ nach § 9 DSG verarbeitet werden, wie
beispielsweise:
-
Selbstständige Veröffentlichung durch die Betroffene
-
Ausdrückliche Zustimmung
-
Lebenswichtiges Interesse
-
Zur Wahrung eines wichtigen öffentlichen Interesses
Das Schutzwürdige Geheimhaltungsinteresse entfaltet bei Zustimmung, der
Betroffenen
und
Verarbeitung
von
nicht-sensiblen
Daten,
keine
nachteiligen
Konsequenzen. Wenn dieses ohne Zustimmung, aber mit berechtigtem Interesse erfolgt
ist, insbesondere bei gewöhnlichen betrieblichen Tätigkeiten, also notwendig zur Erfüllung
arbeitsvertraglicher Pflichten der AN (Bekanntgabe von Kontaktdaten wie zB Name und
Qualifikation),
dann
ist
dies
ebenso
gerechtfertigt.
Bei
keinem
unmittelbaren
Zusammenhang zwischen Herausgabe an Daten, über eine AN und deren beruflicher
Tätigkeit, benötigt es deren Zustimmung.288
1.1. Grundrecht auf Datenschutz
Die Privatsphäre ist verfassungsrechtlich geschützt, demnach sind selbst staatliche
Eingriffe gesetzlich als Ausnahmen geregelt.289 Werden Daten bearbeitet, ohne
Bewusstsein290 für deren Wertigkeit und Sicherungsmöglichkeiten, besteht die Gefahr einer
ungewollten Preisgabe, durch unberücksichtigte Sicherheitslücken. Die Verteidigung
gegenüber
Überwachungsmaßnahmen
(zB
Vorratsdatenspeicherung,
Predictive
Policing291) oder Cybercrime (zB Daten- und Identitätsdiebstahl, Erpressung, Spionage)
lässt die Wahrung der Privatsphäre, zu einer elementaren Aufgabe des Datenschutzrechts
herangewachsen.
288
Greifeneder, Vereinbarung über die Veröffentlichung von Informationen über den An, insb im Inter- oder
Intranet, in Reissner/Neumayr, Zeller Handbuch Arbeitsvertrags-Klausel (2010) Rz 57.20.
289 Hattenberger, Der staatliche Griff nach der Privatsphäre, in Gruber/Rippitsch/Wintersteiner (Hrsg), JB
Friedenskultur Menschenrechte und Frieden (2009) 80 (83).
290 Dazu näher Adolf, Involuntaristische Mediatisierung, in Ortner/Pfurtscheller/Rizzolli/Wiesinger (Hrsg),
Datenflut und Informationskanäle (2014) 19 (25).
291 Dazu näher Schürmann, Bundeskriminalamt Nordrhein-Westfalen, Predictive Policing, Forum KI am
25.6.2015,
http://www.bka.de/nn_256028/SharedDocs/Downloads/DE/Publikationen/ForumKI/ForumKI2015/kiforum2015
SchuermannPositionspapier,templateId=raw,property=publicationFile.pdf/kiforum2015SchuermannPositionsp
apier.pdf (14.10.2015).
61
Die Verfassungsbestimmung mit dem Grundrecht auf Datenschutz wurzelt im
höchstpersönlichen Recht auf Achtung des Privat- und Familienlebens nach Art 8 EMRK.
Der
Anspruch
auf
Geheimhaltung
von
personenbezogenen
Daten,
bei
einem
schutzwürdigen Interesse, wird bereits im § 1 DSG geregelt. Nur durch eine Ausnahme
kann eine Datenanwendung erfolgen, ohne das schutzwürdige Geheimhaltungsinteresse
zu verletzen (zB Zustimmung, überwiegenden berechtigen oder lebensnotwendiges
Interesse, gesetzliche Ermächtigung).292
Neben dem DSG spielt das Telekommunikationsgeheimnis nach Art 10a StGG eine
Rolle, im Schutz der Geheimhaltung von personenbezogenen Daten. Auch unterliegen
Inhaltsdaten, dem Schutz des Geheimnisschutz des Telekommunikationsgesetzes nach §
93 Abs 3 TKG und dies kommt indirekt zur Anwendung zwischen AG und AN.293
Bislang wurde noch keine gesetzliche Materie geschaffen, das ein eigenständiges
Arbeitnehmerinnendatenschutzrecht bildet, weshalb sich jeder Eingriff einer allgemeinen
Verhältnismäßigkeitsprüfung und einer Interessensabwägung nach dem DSG unterziehen
muss.294
Abbildung 7: Zulässigkeitsprüfung nach Jahnel in Jahnel/Mader/Staudegger (Hrsg), IT-Recht³ (2012)
292
Knyrim, Datenschutzrecht: Praxishandbuch für richtiges Registrieren, Verarbeiten, Übermitteln,
Zustimmen, Outsourcen, Werben uvm² (2012) 8.
293 Brodil, Kontrolle und Datenschutz im Arbeitsrecht, ZAS 2009/21, 121 (124).
294 Rebhahn, Mitarbeiterkontrolle 18.
62
Selbst wenn eine AN ihr privates Gerät nicht beruflich einsetzt, werden ihre Daten auf
den Privatgeräten anderer AN verarbeitet. Dem erhöhten Risiko eines Verlustes muss die
AG entgegenwirken, mit angemessenen Sicherheitsmaßnahmen, um auch den Schutz
ihrer Daten, Daten Dritter und jener der AN vor strafrechtlich relevanten Einwirkungen (zB
Diebstahl, Datenmanipulation), Verlust und Beschädigung zu schützen.295
1.1.1. Prinzipien des Datenschutzrechts
Das Recht auf Geheimhaltung, als Grundpfeiler des Datenschutzrechts, formuliert die
Wahrung des Datengeheimnisses gem § 15 DSG und verpflichtet die AG, jene Daten
geheim zu halten, die durch das Beschäftigungsverhältnis zugänglich wurden oder
anvertraut worden sind. Auch können sich AN weigern, eine nicht erlaubte Datenweitergabe
durchzuführen und vertraglich verpflichtet werden das Datengeheimnis zu unterstützen.296
Mit dem Grundsatz der rechtmäßige Verarbeitung nach Treu und Glauben soll ein
faires Gleichgewicht geschaffen werden, zwischen der Informationsbeschaffung der AG
und dem Schutz der Daten der AN. Es wird darauf abgezielt, eine gewisse Transparenz der
Verarbeitung der Daten zu schaffen, da in vielen Fällen diese nicht auf den ersten Blick
erkennbar ist (zB Firmen-App wird installiert). Die Offenlegung des Datengebrauchs
gegenüber der Betroffenen nach § 6 Abs 1 Z 1 DSG und die Aufklärung über deren Rechte,
soll die Publizität sicherstellen.297 Eine Zweckgebundenheit soll eine Datensammelwut
unterbinden, auch deren Verbleib auf längere Zeit ist nicht gerechtfertigt, sobald der Anlass
der Datenerhebung wegfällt. Die Beschränkung von Umfang, Dauer der Speicherung und
Zweck dienen der Datenarmut, um den Wesentlichkeitsgrundsatz einzuhalten.
Die Zulässigkeit einer Datenverwendung richtet sich nach den im DSG festgelegten
Grundsätze, es soll ein erforderlicher Eingriff sein, der die Privatsphäre und das
schutzwürdige Geheimhaltungsinteresse nur in jenem Ausmaß berührt, der vertretbar und
gem § 7 Abs 3 DSG angebracht ist.
295
Dohr/Pollirer/Weiss/Knyrim, DSG², Anhang V., 17.D.3 (Stand: 7.7.2015, rdb.at).
Gerhartl, Persönlichkeitsschutz 93.
297 Hattenberger, Kontrolle des Arbeitnehmers 31.
296
63
1.2. ArbeitnehmerInnendatenschutz
Die über das Arbeitsumfeld hinaus gehende Überwachung der AN ist grundsätzlich,
trotz Treuepflichten oder weiteren vertraglichen Obliegenheit, untersagt. Nur als
Stichprobe, mit ausreichenden Rechtfertigungsgründen, ist eine solche Überwachung
möglich. Mit einem mobilen Endgerät jedoch bleibt die Verbindung und damit auch die
Kontrollmöglichkeit auch in der Freizeit der AN bestehen.298 Eine Überwachung muss das
gelindeste Mittel darstellen und Folge eines begründeten Verdachts einer Gefährdung der
Interessen der AG. Sobald kein innerer Zusammenhang, zwischen dem Verhalten der AN
in ihrer Freizeit und dem arbeitsvertraglichen Verhältnis zur AG besteht, ist eine
Kontrollmaßnahme nicht zuzulassen.299
Verstöße gegen das DSG werden mit Verwaltungsstrafen geahndet, welche entweder
eine tatsächliche Verletzung darstellen, eine potentielle Gefahr begünstigen oder ein
Betroffenenrecht
erschweren.
Bei
konkreten
Verletzungen
können
bis
zu
fünfundzwanzigtausend Euro verhängt werden, bei Gefährdung und Beeinträchtigung von
Betroffenenrechten zehntausend Euro. Eine Verletzung liegt vor, wenn sich Personen am
Arbeitsplatz, vorsätzlich die Einsichtnahme in personenbezogene Daten verschaffen. Dies
liegt bspw vor, wenn kein zügiges Ausloggen aus einem fremden Account, das
Aufrechterhalten eines widerrechtlichen Zugangs praktiziert oder ein Datengeheimnis
durchbrochen wird (zB Verwendung der Daten für anderen Zweck). Eine Gefährdung bildet
ein gröbliches Vernachlässigen von erforderlichen Sicherheitsmaßnahmen zum Schutz der
Daten, ein leichtfertiger Umgang mit Daten (kein Virenprogramm verwenden, kein WLAN
Passwort, usw.) oder eine gezielte Durchsuchung von Videoüberwachungsmaterial, ohne
Protokollierung.300
In dem EuGH Urteil301 zur Thematik, Umgang von Fotos, sowie Videoaufnahmen von
AN ist ersichtlich, dass eine Abgrenzung zwischen sensiblen und nicht-sensiblen
personenbezogenen Daten schwer zu treffen ist. Hier wurden die Interessen der AG zur
Weiterverarbeitung in den Vordergrund gestellt. Das Urteil verweist auf die Regelungen der
nicht-sensiblen Daten in der EG-DatenschutzRL und zeigt an, dass es sich um nichtsensible Daten handelt.302
298
Rebhahn, Mitarbeiterkontrolle 103.
Majoros, Social Networks und Arbeitsrecht, ecolex 2010, 829 (832).
300 Sonntag, Internetrecht² 263.
301 EuGH 11.12.2014, C-212/13, Ryneš/Tschechische Datenschutzbehörde, Rn 34.
302 Knyrim/Horn, Die Zulässigkeit der Verwendung von Mitarbeiteraufnahmen, Dako 2015/4, 7 (7).
299
64
Selbst bei Umgründungen, Verschmelzungen, Abspaltungen kann der Datenschutz
der personenbezogenen Daten der Mitarbeiterinnen eine Relevanz entwickeln. Durch die
informationelle Selbstbestimmung der Betroffenen, in Bezug auf ihre Datenbestände, kann
dies Einfluss nehmen, auf die teilweise oder gänzliche Gesamtrechtsnachfolge, bei der
Daten übertragen werden.303 Demnach ist darauf zu achten, ob es sich um sensible Daten
handelt oder jene, die nicht vertraglich verpflichtend erhoben wurden. Nach Fetl/Mosing304
unterliegt dieser Vorgang einer Einzelfallprüfung.
Im Zuge eines Datenlecks, eines Angriffes von innen oder außen, einer technischen
Störung oder eines Verstoßes einer Drittanbieterin oder Kundin, können Daten entwendet,
unrechtmäßig verwendet, beschädigt werden, die die AN betreffen.
Sobald der Betroffenen (zB AN, Kundin) ein Schaden droht, ist diese in geeigneter
Form zu informieren.305 Der (nicht nur rein finanzielle) Schaden muss zumindest über die
Geringfügigkeit hinausgehen, wobei aber nicht die Folgeschäden (zB Imageschaden bei
Hackangriff auf Ashley Madison306 oder Fiat Chrysler307) miteinbezogen werden, sondern
nur der Wert der bedrohten Daten. Die Datenschutzbehörde muss über die Angriffe oder
Datenverluste nicht informiert werden.
1.2.1. Rechte der Betroffenen
Nach der Offenlegungs- und den Informationspflichten gem § 23 DSG ist auf Anfrage
der AN mitzuteilen, welche Anwendungen vorgenommen werden. Die Informationspflicht
betreffend § 24 DSG, sieht eine Aufklärung der Betroffenen vor. Es ist zu erörtern, welche
Daten ermittelt werden, zu welchem Zweck die Datenerhebung dient und welche Person
diese Datenerhebung (Identität der Auftraggeberin) ausführt. Erst durch Kenntnis einer
Datenverarbeitung können betroffene AN überhaupt erst ihre Rechte, begründet auf dem
DSG,
wahrnehmen.308
Da
digitale
Sammlungen
von
Informationen,
über
Nutzerinnenverhalten, nur in einem engen dienstlichen Zusammenhang zur beruflichen
Tätigkeit erstellt werden dürfen, haben AN ein Einsichtsrecht. Die sogenannte digitale
Personalakte beinhaltet Angaben zur Person. Diese Daten können durch die AN überprüft
303
Feltl/Auer, Zur datenschutzrechtlichen Relevanz von Umstrukturierungsvorgängen, SWK 17/2009, 55 (57).
Fetl/Mosing, Grundrecht auf Datenschutz bei Verschmelzung und Spaltung, GesRZ 2007, 233 (243).
305 Sonntag, Internetrecht² 238.
306 Futurezone, Gehackte Nutzerdaten von Seitensprung-Portal im Darkweb, http://futurezone.at/digitallife/gehackte-nutzerdaten-von-seitensprung-portal-im-darkweb/147.811.484 (16.10.2015).
307 News ORF, Der Alptraum aller Autohersteller, http://orf.at/stories/2291458/2291245/ (16.10.2015).
308 Jahnel, Datenschutzrecht, in Jahnel/Mader/Staudegger (Hrsg), IT-Recht³ (2012) 415 (444).
304
65
werden. Abgeleitet von § 1 Abs 3 DSG wird es der AN ermöglicht, eine Erklärung dazu
abzugeben und die Richtigkeit des Inhalts entweder zu bestätigen oder eine Richtigstellung
zu fordern.309
1.2.1.1. Widerspruchsrecht
Das Widerspruchsrecht nach § 28 DSG schützt vor Veröffentlichung oder
Datenanwendung, wenn diese gesetzlich nicht vorgesehen ist. Somit hat das
Widerspruchsrecht keinen Einfluss auf die Zulässigkeit der Ermittlung der Daten, es sollen
nur jene Daten gelöscht werden, gegen die Widerspruch erhoben worden ist, weshalb auch
kein Schadenersatz daraus abgeleitet werden kann.310
In bspw öffentlich zugänglichen Register und Datenbanken kann dieses Begehren
jederzeit, ohne Begründung, abgegeben werden und die Löschung muss binnen acht
Wochen erfolgen.
1.2.1.2. Auskunftsrechte
Gem § 26 DSG wird der AN ein Auskunftsrecht zur Seite gestellt, sie hat dem zur
Folge einen Anspruch, nach einer Anfrage mitgeteilt zu bekommen, welche Daten, aus
welchem Anlass, zu welchem Zweck erforderlich, verarbeitet worden sind. Die Auskunft
kann kostenpflichtig sein, sofern bereits eine Auskunft im selben Jahr erteilt wurde und
verweigert werden, wenn Dritte oder Interessen der AG dadurch gefährdet werden.311 Das
Auskunftsbegehren ist binnen acht Wochen schriftlich abzugeben, wobei dies nur über
personenbezogene Daten offenzulegen ist. Indirekte Daten (zB Online-Zeiten auf
bestimmten Apps) müssen nicht dargelegt werden, da diese ohne die Identität der
Betroffenen feststellen zu können, ermittelt worden sind. Die Daten, über die ein
Auskunftsgesuch abgelegt worden ist, dürfen vier Monate lang nicht vernichtet werden.312
Sollte dem Auskunftsrecht nicht entsprochen werden, kann die Beschwerde nach § 31 DSG
309
Goricnik, Datenverwendung in der Personalverwaltung und Personalführung, in Grünanger/Goricnik,
Arbeitnehmer-Datenschutz und Mitarbeiterkontrolle (2014) 205 (255).
310 Dohr/Pollirer/Weiss/Knyrim, DSG² § 28 ErläutRV (Stand: 2.7.2014, rdb.at).
311 Gerhartl, Persönlichkeitsschutz 93.
312 Sonntag, Internetrecht² 235.
66
an die Datenschutzbehörde erfolgen, welche bei Verletzungen des Datenschutzes
zuständig ist.313
1.2.1.3. Recht auf Richtigstellung oder Löschung
Nach § 27 Abs 1 Z 1 DSG ist es von Nöten unrichtige Daten zu korrigieren, die AG ist
aufgefordert diese Richtigzustellen oder eine Richtigstellung durch die AN zuzulassen, da
sich deren Anspruch darauf auf § 27 Abs 2 Z 2 DSG gründet. Ebenso ist die Aktualität
bedeutend, da Daten laufend angepasst werden müssen (zB neues Smartphone wird
verwendet).314 Nach dem Antragsprinzip ist die Unrichtigkeit der AN zu korrigieren oder die
nicht zulässig ermittelten Daten zu löschen, wobei wiederum, indirekte Daten aus diesem
Raster fallen. Es ist der AN mitzuteilen, inwiefern die Löschung oder Richtigstellung erreicht
wurde, sollte dies technisch nicht umsetzbar sein, muss eine Ausbesserung mit einem
Vermerk belegt werden. Dieser wird auch als Vermerk festgelegt, wenn die Unrichtigkeit
der Daten nicht belegt werden kann und darf nur aufgrund einer gerichtlichen Anordnung
oder mit Zustimmung der AN entfernt werden.
313
314
Sonntag, Internetrecht² 258.
Hattenberger, Kontrolle des Arbeitnehmers 35.
67
IV. Resümee
Mobile Geräte werden in der Arbeitswelt eingesetzt, entweder mit einer Bereitstellung
durch die AG oder AN. Eine Bereitstellungspflicht für die AN sieht das Arbeitsrecht
prinzipiell nicht vor. Da die Geräte, geprägt von einem weitläufigen und ortunabhängigen
Einsatzfeld, viele Arbeitsabläufe im täglichen Gebrauch erleichtern, besteht der Wunsch
der AN diese am Arbeitsplatz einzusetzen.
Mobile Gerät unterliegen einer stetigen Weiterentwicklung ihrer Hard- und Software
durch die Herstellerinnen und Programmiererinnen. Seit dem ersten iPhone und dessen
Präsentation 9.1.2007 ist nicht ein Jahrzehnt vergangen und dennoch hat das mobile Gerät
die Arbeitsweise, Kommunikation und Freizeitgestaltung verändert. Die unbekannte Größe
Datenschutz, Schutz vor Kontrolle, Entdecken und beweisen von Verstößen, scheint
technisches Grundwissen und oft auch tiefgreifende Expertise zu benötigen. Der Kompass
einer informellen Selbstbestimmung315 entwickelt sich erst langsam. Die Motivation an
Netzwerken teilzuhaben, leichteren Informationszugang und schnellerem Ausführen von
Aufgaben, liefern Argumente, um in der Arbeitswelt integriert zu werden. Mitarbeiterinnen
müssen scheinbar Einschnitte hinnehmen, damit sie ihre Geräte am Arbeitsplatz einsetzen
dürfen. Der virtuelle Raum umspannt die Arbeits- und Freizeit, ein aktives Abgrenzen ist
hierbei nötig. Einerseits um die Kosten einzuordnen, andererseits die Arbeitszeit zu
dokumentieren. Nutzungsvereinbarungen können die ersten Schritte des Einsatzes privater
Mobilgeräte sein. Diese können einzelvertraglich, spezifisch auf die Branche oder auf den
Arbeitsplatz zugeschnitten werden. Es müssen kollektivrechtliche Bedingungen für
Überwachungsmaßnahmen beachtet werden. Das mobile Werkzeug wird als geeignetes
Medium angesehen, selbst ohne Absicht der AG, als Hilfsmittel zur Kontrolle eingesetzt zu
werden.
Mit dem Einsatz von mobilen Geräten am Arbeitsplatz, die im Eigentum der AN
stehen, kann sich ein Risiko ergeben wichtige Daten zu verlieren. Dieser Gefahr sind
Dienstgeräte ebenso ausgesetzt, nur unterliegt ein solches, der völligen Kontrolle der AG.
Bei BYOD hingegen, kann die Eigentümerin des Gerätes Einstellungen vornehmen, die die
Datensicherheit erschweren, Programme benutzen, deren Zugriffsrechte auf das Gerät
schwer
315
einzuschätzen
sind.
Daten
werden
durch
oft
kostenlose
Dazu näher EuGH 6.10.2015, Rs C‑362/14, Schrems/Data Protection Commissioner.
68
Apps
an
Werbenetzwerke316
verteilt,
Spyware-Programme
sind
für
Nutzerinnen
schwer
auszumachen. Zumal ist die Hardware (zB Diebstahl, Beschädigung), aber auch die
Software (zB Schad-Programme, Datenschutzverstöße) ein Angriffspunkt. Ein hieraus
resultierender Schaden ist schwer abzuschätzen. Selbst die Fernlöschung kann umgangen
und die gestohlenen Daten noch Jahre später verwendet, weiter gegeben oder
wiederherstellt werden. Deshalb ist eine Regelung für Verlustfälle, in Form einer
Nutzungsvereinbarung wesentlich, da die AG bei einer zeitnahen Verlustmeldung, eine
realistische Chance wahrnehmen kann, die Daten selbst zu vernichten. Sollte das nicht
mehr möglich sein, sind Personen, deren Daten betroffen sind zu informieren. Dadurch
kann ein Vertrauensverlust entstehen und die Reputation darunter leiden.
Der Zugriff der AG auf das Privatgerät legt einen Einblick auf die Privatdaten der AN
frei. Vermehrt zeigen sich in diesem Spannungsverhältnis eine Annäherungen der Literatur
die Komplexität des Individualrechts, Kollektivrechts, Datenschutzes und weitere
Rechtsgebiete (zB Urheberrecht, Steuerrecht, Strafrecht, uvm) gesamtheitlich zu
betrachten. Insbesondere wird der Schutz der Daten, vor der AG oder Dritten, in den
Vordergrund gestellt. Ein nicht existentes Arbeitnehmerinnendatenschutzrecht lässt eine
Schnittmenge mehrerer Ansätze zu: ein vollkommendes Unterwerfen des Privateigentums
der AN zum Interesse der AG, mit unterschiedlich abgeschwächter Intensität an Kontrollund Schutzmechanismen am Gerät, abgesichert durch Nutzungsvereinbarungen oder ein
bewusster Umgang der Datenverarbeitung nach dem Grundsatz für die AG der
„Datensparsamkeit“ und zum Eigenschutz der Privatsphäre durch die AN die
„Datenvermeidung“.317
Eine absolute Datensicherheit gibt es nicht. Gegenwärtig gibt es nur Auskunft- und
Widerspruchsrechte, keine transparente Kontrollmöglichkeit der AN, um nachvollziehen zu
können, welches Zugriffsrecht die AG auf ihrem Gerät wahrnimmt. Eine Kontrolle der AG,
ob die Datenverwendung nach dem, nach außen getragenen Zweck, tatsächlich zum
Einsatz kommt, ist technisch schwer umzusetzen. Der Schutz von indirekten Daten, die in
manchen Fällen leicht zu sensiblen Daten werden können, ist mA nicht ausreichend.
Demnach bleibt ein intransparentes Vertrauensband, zwischen der AG und der AN,
zwischen der Aufraggeberin und der Betroffenen. Dies steht in Abhängigkeit dazu, welche
Person zügiger IT-Wissen aufbaut und einer digitale Selbstverteidigung oder einer
vorteilhafteren Datenanwendung fähig ist.
Siehe Barczok/Eikenber/Wischnjak, Schnüffel-Apps durchleuchten, C’t Wissen Überwachung abwehren
2015, 12 (13).
317 Hattenberger, Die Kontrolle des Arbeitnehmers 68.
316
69
Vielleicht trägt die Sorge, über den Schutz von Unternehmensdaten, dazu bei, die
Sensibilität über die Wertigkeit von Daten im Allgemeinen zu fördern. In Folge dessen auch
Aufklärung über den Wert der Daten der AN. Denn mit wenigen Schritten können daraus
Informationen abgelesen werden, die sich dazu eigenen, in die arbeitsrechtliche
Vertragsbeziehung, zwischen ihr und der AG, hinein zu strahlen. Ein besonders heraus
stechendes
Beispiel
ist
dafür
die
Darlegung
des
nicht
vorhandenen
Beweisverwertungsverbots von widerrechtlich erlangten Daten.
BYOD wird aus Sicht der AG, in Hinblick ihres Datengeheimnisses für Geschäfts- und
Betriebsdaten, vielleicht als „Bring your own desaster“ angesehen, von Seiten der AN kann
dies als „Bring your own data“ bezeichnet werden. Die Verlinkung und Vermengung der
privaten Daten mit jenen der AG, ist ein Prozess, der sich weiter fortsetzen wird.
70
V. Literaturverzeichnis
Adolf, Marian
-
in Ortner / Pfurtscheller / Rizzolli / Wiesinger (Hrsg), Datenflut und
Informationskanäle (2014)
Arning, Marian / Moos, Flemming / Becker, Maximilian
-
Vertragliche Absicherung von Bring Your Own Device: Was in einer
Nutzungsvereinbarung zu BYOD mindestens enthalten sein sollte, CR 2012,
592
Auer-Mayer, Susanne
-
Die Grenze zwischen selbständiger und unselbständiger Tätigkeit aus
sozialversicherungsrechtlicher Sicht dargestellt am Beispiel der IT-Branche,
ZAS 2015/2, 4
Barczok, Achim / Eikenber, Ronald / Wischnjak, David
-
Schnüffel-Apps durchleuchten, C’t Wissen Überwachung abwehren 2015, 12
Bartz, Michael / Schmutzer, Thomas
-
Mobilität: New World of Work – Warum kein Stein auf dem anderen bleibt,
WPBI 2015/1, 163
Berka, Walter
-
in Berka / Grabenwarter / Holoubek (Hrsg), Persönlichkeitsschutz in
elektronischen Massenmedien, Bd 9 (2012)
Brandstetter, Franz / Windisch-Altieri, Bettina
-
BYOD erlauben und regeln – Richtlinien für die Nutzung privater Endgeräte
am Arbeitsplatz, Personal Manager 2/2013, 29
Brenn, Christoph
-
in Reissner (Hrsg), Kommentar zum Angestelltengesetz, 2. Auflage (2015)
Brenner, Walter / Lemke, Claudia
71
-
Einführung in die Wirtschaftsinformatik: Verstehen des digitalen Zeitalters
(2015)
Brodil, Wolfgang
-
Datenschutzrechtliche Aspekte der Verwendung von Gesundheitsdaten im
Arbeitsverhältnis, ecolex 2010, 122
-
Die Kontrolle der Nutzung neuer Medien im Arbeitsverhältnis, ZAS 2004/28,
156
-
Die Registrierung von Vermittlungsdaten im Arbeitsverhältnis, ZAS 2004/4, 17
-
in Bogendorfer (Hrsg), Datenschutz im Unternehmen (2011)
-
in Resch, Reinhard (Hrsg), Die Kontrolle des Arbeitnehmers vor dem
Hintergrund moderner Medien (2005)
-
Kontrolle und Datenschutz im Arbeitsrecht, ZAS 2009/21, 121
-
Löschung von Arbeitnehmerdaten, ZAS 2014/54, 335
-
Nutzung und Kontrolle von neuen Medien im Arbeitsrecht, ecolex 2001, 853
Burgenmeister, Clemens / Wulf, Hans Markus
-
IT-Compliance beim Einsatz privater Hard- und Software am Arbeitsplatz
(BYOD), 2014/10, 374
Burgenmeister, Clemens / Wulf, Hans Markus
-
Industrie 4.0 in der Logistik – Rechtliche Hürden beim Einsatz neuer
Vernetzungs-Technologien, CR 2015, 404
Burgstaller, Peter
-
Editorial IoT und M2M: Wo bleibt der Datenschutz und die
Informationssicherheit? ZIIR 2015, 121
Cede, Christoph R.
-
in Dengg / Schurian (Hrsg), Schriftenreihe der Landesverteidigungsakademie:
Vernetzte Unsicherheit – Hybride Bedrohungen im 21. Jahrhundert, Bd 15
(2015)
Disterer, Georg / Kleiner, Carsten
-
Bring Your Own Device, HMD 2013, 92
72
Dohr, Walter / Pollirer, Hans / Weiss, Ernst / Knyrim, Rainer, Datenschutzgesetz
-
Onlinekommentar zum Datenschutz, 2. Auflage (Stand 7.7.2015, rdb.at)
Dorschel, Joachim / Walter, Thorsten
-
Mobile Device Management – rechtliche Fragen, WuM 2012/03, 22
Dürager, Sonja
-
in Jahnel (Hrsg), Datenschutzrechtliche Aspekte der mobilen Kommunikation
im Unternehmen, JB Datenschutzrecht und E-Government (2012)
Dürager, Sonja / Leiter, Dominik
-
in Napokoj (Hrsg), Risikominimierung durch Corporate Compliance (2010)
Egermann, Clemens
-
Gibt es eine generelle Förderungs- und Aufklärungspflicht des Arbeitgebers?
ZAS2005/3, 111
Erharter, Dorothea / Xharo, Elka
-
in Marsden / Kempf (Hrsg), Gender-UseIT Gendability: Welche Aspekte sind
für die Gestaltung von Websites und Apps von Bedeutung? (2014)
Fasching, Hans
-
Lehrbuch des österreichischen Zivilprozeßrechts, 2. Auflage (1990)
Feiler, Lukas / Fina, Siegfried
-
Datenschutzrechtliche Schranken für Big Data, MR 2013, 303
Felten, Elias / Mosler, Rudolf
-
in Jahnel / Mader / Staudegger (Hrsg), IT-Recht, 3. Auflage (2012)
Feltl, Christian / Auer, Maximilian
-
Zur datenschutzrechtlichen Relevanz von Umstrukturierungsvorgängen, SWK
17/2009, W 55
Feltl, Christian / Mosing, Max W.
73
-
Grundrecht auf Datenschutz bei Verschmelzung und Spaltung, GesRZ 2007,
233
Fischlmayr, Ingrid
-
Verändert digitale Kommunikation Unternehmen? Oder: Sollen sich
Unternehmen den "Digital Natives" anpassen? ASoK 2011, 235
Föck, Michael
-
Sicherheitsrichtlinien für den Einsatz mobiler Endgeräte, HMD 2014, 94
Franck, Lorenz
-
Bring your own device – Rechtliche und tatsächliche Aspekte, RDV 2013/4,
185
Friedrich, Michael
-
Grundfragen des Entlassungsrechts: Wesen des wichtigen Grundes und
unverzügliche Geltendmachung, ASoK 2008, 453
Gerhartl, Andreas
-
Schäden am dienstnehmereigenen Kraftfahrzeug, ASoK 2013, 56
-
Persönlichkeitsschutz im Arbeitsverhältnis: Kontrolle - Gleichbehandlung Datenschutz (2009)
Ghazal, Nadya
-
in Jaksch-Ratajczak (Hrsg), Aktuelle Rechtsfragen der Internetnutzung (2010)
Goricnik, Wolfgang
-
in Goricnik / Grünanger (Hrsg), Arbeitnehmer Datenschutz und
Mitarbeiterkontrolle (2014)
-
Persönlichkeitsschutz bei der Ermittlung und Benützung von Standortdaten im
Arbeitsverhältnis, wbl 2012, 301
Goricnik, Wolfgang / Riesenecker-Caba, Thomas
-
Datenschutz und Datensicherheit beim betrieblichen Einsatz mobiler "smarter"
Endgeräte, Dako 2014/16, 34
74
Grabenwarter, Christoph
-
Das Recht auf informationelle Selbstbestimmung im Europarecht und im
Verfassungsrecht, AnwBl 2015, 404
Graf, Caroline / Schöberl, Elisabeth
-
Beweisverwertungsverbote im Arbeitsrecht? ZAS 2004/30, 172
Greifeneder, Martin
-
in Neumayr / Reissner (Hrsg), Zeller Handbuch Arbeitsvertrags-Klauseln
(2010)
Grünanger, Josef
-
in Goricnik / Grünanger (Hrsg), Arbeitnehmer Datenschutz und
Mitarbeiterkontrolle (2014)
Hartmann, Thomas
-
Der Internetzugang am Arbeitsplatz im Fokus einer Gesetzesnovelle, JB
Datenschutzrecht (2010)
Hasberger, Michael
-
IT-Sicherheit und Haftung, ecolex 2007, 508
Hattenberger, Doris
-
in Resch (Hrsg), Die Kontrolle des Arbeitnehmers vor dem Hintergrund
moderner Medien (2005)
-
in Gruber / Rippitsch / Wintersteiner (Hrsg), JB Friedenskultur
Menschenrechte und Frieden (2009)
Heidinger, Viktoria
-
Datenschutz am Arbeitsplatz: Was und wie weit darf der Arbeitgeber
kontrollieren? Dako 2014/18, 40
Heilegger, Gerda
-
Überwachung und Datenschutz im Arbeitsverhältnis, infas 2009, 139
Heinz-Ofner, Silke
75
-
in Neumayr / Reissner (Hrsg), Zeller Handbuch Arbeitsvertrags-Klauseln
(2010)
Hoppen, Peter / Willer, Christoph
-
Computerforensik – Technische Möglichkeiten und Grenzen, CR 2012, 610
Huger, Martin / Laimer, Hans Georg
-
BYOD und Arbeitsrecht, ecolex 2014, 303
Jabornegg, Peter
-
in Strasser / Jabornegg / Resch (Hrsg), Kommentar zum
Arbeitsverfassungsgesetz – ArbVG (2013)
Jahnel, Dietmar
-
Datenschutz im Internet Rechtsgrundlagen, Cookies und Web-Logs, ecolex
2001, 84
-
Datenschutzrecht: Grundrecht auf Datenschutz, Zulässigkeitsprüfung,
Betroffenenrechte, Rechtsschutz (2010)
Jandt, Silke / Steidle, Roland
-
On Device Fits All? - Ein Endgerät für mehrere Arbeitgeber, CR 2013, 338
Kerschner, Ferdinand
-
Die geraubte Fotoausrüstung (Serie: "Der praktische Fall"), DRdA 1986, 230
Knallnig, Barbara
-
in Neumayr / Reissner (Hrsg), Zeller Handbuch Arbeitsvertrags-Klauseln
(2010)
Knyrim, Rainer
-
Datenschutzrecht: Praxishandbuch für richtiges Registrieren, Verarbeiten,
Übermitteln, Zustimmen, Outsourcen, Werben uvm, 2. Auflage (2012)
Knyrim, Rainer / Horn, Bernhard
-
Bring Your Own Device - Ein Trend hält Einzug in Österreichs Unternehmen,
ecolex 2013, 365
76
-
Die Zulässigkeit der Verwendung von Mitarbeiteraufnahmen, Dako 2015/4, 7
Knyrim, Rainer / Schmidt, Katharina
-
Der Mensch ist die größte Schwachstelle, Dako 2015/18, 26
Koch, Alexander
-
Strafrechtliche Probleme des Angriffs und der Verteidigung in
Computernetzwerken (2007)
Kodek, Georg
-
Rechtswidrig erlangte Beweismittel im Zivilprozeß, ÖJZ 2001, 281
Kohlbacher, Elisabeth
-
Spielräume bei der Vertragsgestaltung, ZAS 2015/22, 36
Körber, Katharina
-
Die Privatnutzung von Dienstfahrzeugen, ZAS 2005/13, 67
Kotschy, Waltraut
-
in Brodil (Hrsg), Datenschutz im Arbeitsrecht Mitarbeiterüberwachung versus
Qualitätskontrolle, Wiener Oktobergespräche (2009)
Kotschy, Waltraut / Reimer, Sebastian
-
Die Überwachung der Internet-Kommunikation am Arbeitsplatz: Ein
Diskussionsbeitrag aus datenschutzrechtlicher Sicht, ZAS 2004/29, 167
Kreil, Linda
-
in Jaksch-Ratajczak (Hrsg), Aktuelle Rechtsfragen der Internetnutzung (2010)
Kuras, Gerhard
-
Möglichkeiten und Grenzen einzelvertraglicher Gestaltungen im aufrechten
Arbeitsverhältnis, ZAS 2003/19, 100
Laimer, Barbara / Mayr, Klaus
-
Zum Spannungsverhältnis von Arbeitgeber- und Arbeitnehmerinteressen rund
um die EDV-Nutzung, DRdA 2003, 410
77
Lambach, Inés Calle / Prümper, Jochen
-
Mobile Bildschirmarbeit: Auswirkungen der Bildschirmrichtlinie 90/270/EWG
und der BildscharbV auf die Arbeit an mobil einsetzbaren IT-Geräten,
RdA 2014
Lehner Othmar M. / Grabmann Elisabeth / Ennsgraber Carina
-
Crowdfunding - Innovationsmotor oder Irrweg? Auswirkungen auf
Geschäftsmodelle junger Unternehmen, CFO aktuell 2015, 156
Löschnigg, Günther
-
Arbeitsrecht, 12. Auflage (2015)
-
in Jahnel / Mader / Staudegger (Hrsg), IT-Recht, 3. Auflage (2012)
Löschnigg, Günther / Reissner, Gert-Peter
-
Arbeitgeberhaftung für Sachschäden auf der Dienstreise, ecolex 1991, 110
Maier, Ronald
-
Ein Plädoyer für ein Ende der Ausgrenzung der Digitalen Welt, Information
Technology IT 2010/6, 360
Majoros, Thomas
-
Social Networks und Arbeitsrecht, ecolex 2010, 829
Martens, Thomas / Hein, Christoph
-
Daten wachsen Beine: Auswahlkriterien für mobile BI-Apps, CFO aktuell 2014,
34
Mayer, Susanne
-
Anzeigepflicht des Arbeitnehmers AG über Missstände im Betrieb, ZAS
2010/31, 186
Mayr, Klaus
-
Onlinekommentar zum Arbeitsrecht (Stand: 1.10.2015)
Mazal, Wolfgang
78
-
Der Informationsanspruch des Arbeitgebers bei EFZ im Krankheitsfall, ecolex
2010, 118
Mertinz, Anna
-
Arbeitsrecht im Außendienst, ASoK 2015, 97
Merz, Peter
-
Sichere mobile Unternehmensanwendungen, HMD 2014, 45
Mitschka, Miriam / Steiner, Peter
-
Die Beistellungs- und Kostentragungspflicht für Arbeitskleidung: Zugleich ein
Beitrag zur Risikoverteilung im Arbeitsverhältnis, ZAS 2014/50, 304
Mosler, Rudolf
-
in Neumayr / Reissner (Hrsg), Zeller Kommentar zum Arbeitsrecht, 2. Auflage
(2011)
-
in Jahnel, Dietmar / Mader, Peter / Staudegger, Elisabeth (Hrsg), IT-Recht, 3.
Auflage (2012)
Neumayr, Matthias
-
in Neumayr / Reissner (Hrsg), Zeller Handbuch Arbeitsvertrags-Klauseln
(2010)
Nöstlinger, Walter
-
ArbeitnehmerInnenschutz, 2. Auflage (2013)
Öhlböck, Johannes / Esztegar, Balazs
-
Rechtliche Qualifikation von Denial of Service Attacken, JSt 2011, 126 (129)
Öhlböck, Johannes / Esztegar, Balazs
-
Rechtliche Qualifikation von Denial of Service Attacken, JSt 2011, 126
Pačić, Jasmin
-
in Neumayr / Reissner (Hrsg), Zeller Handbuch Arbeitsvertrags-Klauseln
(2010)
79
-
Die Fürsorgepflicht des Arbeitgebers im Lichte der Rechtsprechung,
ZAS2010/3, 144
Pfeil, Walter J.
-
in Neumayr / Reissner (Hrsg), Zeller Kommentar zum Arbeitsrecht, 2. Auflage
(2011)
Pierrot, Olivier
-
in Ernst (Hrsg), Hacker, Cracker und Computerviren Recht: Praxis der
Informationssicherheit (2004)
Pilarski, Björn / Freier, Pascal / Schumann, Matthias
-
Mobile Device Management - Eine strukturierte Marktanalyse, HMD 2015, 373
Pollirer, Hans
-
Checkliste - Bring Your Own Device (BYOD), Dako 2014/6, 13
Rainer, Linda
-
in Neumayr / Reissner (Hrsg), Zeller Handbuch Arbeitsvertrags-Klauseln
(2010)
Rassi, Jürgen C.T.
-
Die Durchsetzung des Unterlassungsanspruchs, ÖBl 2015/44, 207
Rauch, Thomas
-
Private Nutzung firmeneigener Mobiltelefone und PKW, ASoK 2011, 175
Rebhahn, Robert
-
in Neumayr / Reissner (Hrsg), Zeller Kommentar zum Arbeitsrecht, 2. Auflage
(2011)
-
Mitarbeiterkontrolle am Arbeitsplatz: Rechtliche Möglichkeiten und Grenzen
(2009)
Rebhahn, Robert / Kietaibl, Christoph
-
in Neumayr / Reissner (Hrsg), Zeller Kommentar zum Arbeitsrecht, 2. Auflage
(2011)
80
Rechberger, Walter
-
in Fasching / Konecny (Hrsg), Kommentar zu den Zivilprozessgesetzen, 2.
Auflage (2011)
Reindl-Krauskopf, Susanne
-
Cyberstrafrecht im Wandel, ÖJZ 2015/19, 112
Reissner, Gert-Peter
-
in Reissner (Hrsg), Kommentar zum Angestelltengesetz, 2. Auflage (2015)
-
in Marhold / Burgstaller / Preyer (Hrsg), Kommentar zum Angestelltengesetz
(2013)
-
Lern- und Übungsbuch Arbeitsrecht, 5. Auflage (2015)
-
in Neumayr / Reissner (Hrsg), Zeller Handbuch Betriebsvereinbarungen
(2014)
Risak, Martin
-
Arbeiten in der Grauzone zwischen Arbeitszeit und Freizeit: Dargestellt am
Beispiel der "Dauererreichbarkeit" am Smartphone, ZAS 2013/50 300
-
Rufbereitschaft, ZAS 2013/57, 339
Schuster, Stefan
-
Werbungs-kosten und Sachbezug, Bring Your Own Device! Zur Verwendung
eigener Arbeitsmittel als Dienstnehmer, SWK 2012/15, 1065
Sonntag, Michael
-
Einführung in das Internetrecht: Rechtsgrundlage für Informatiker, 2. Auflage
(2014)
-
Jahnel / Mader / Staudegger (Hrsg), IT-Recht, 3. Auflage (2012)
Staudinger, Martin
-
in Jaksch-Ratajczak (Hrsg), Aktuelle Rechtsfragen der Internetnutzung (2009)
Stiger, Andreas
-
in Forgó / Feldner / Witzmann / Dieplinger (Hrsg), Probleme des
Informationsrechts (2003)
81
Thiele, Clemens
-
Internet am Arbeitsplatz: Erste arbeitsrechtliche Konfliktfäll, ecolex 2001, 613
Tichy, Wolfgang
-
BYOD - Was steckt wirklich dahinter? ecolex 2014, 300
Tomandl, Theodor
-
Rechtsprobleme bei der Einführung und Anwendung von Kontrollmaßnahmen,
ZAS 1982/5, 163
-
Alternativen zur Krankschreibung, ecolex 1991, 865
Vinzenz, Verena
-
Die betriebliche Übung, JAP 2012/2012/25, 226
Walter, Thorsten
-
BYOD Ein Praxisratgeber, HMD 2014, 85
Walterbusch, Marc / Fietz, Adrian / Teuteberg, Frank
-
Schatten-IT: Implikationen und Handlungsempfehlungen für Mobile Security,
HMD 2014, 24
Windisch-Graetz, Michaela
-
in Neumayr / Reissner (Hrsg), Zeller Kommentar zum Arbeitsrecht, 2. Auflage
(2011)
Zankel, Sebastian
-
Bring Your Own Device! Problemfelder der Übertragung von
Arbeitgeberpflichten aus der Sicht des Arbeits- und des Datenschutzrechts,
AsoK 2013, 423
Zech, Herbert
-
Zech, Daten als Wirtschaftsgut: Überlegungen zu einem „Recht des
Datenerzeugers“, CR 2015, 137
82
VI. Online Quellen
Apple Inc., iPhone/iPad Developer Program License Agreement,
URL https://developer.apple.com/programs/terms/ios/standard/ios_program_standard_agreement_20140909.pdf
BlitabTechnology, Brailleschrift Textvisualisierung mit physischen Signalen
URL http://blitab.com/
Bloomberg Business, Belgium Arrests Drug-Probe Suspects for Hacking Port Web
Sites, URL http://www.bloomberg.com/news/articles/2013-06-17/belgium-arrests-drug-probe-suspects-for-hackingport-web-sites
Bundeskanzleramt Österreich, Bericht Cyber Sicherheit 2015, Schwachstellen
URL https://www.bka.gv.at/DocView.axd?CobId=58898
Bundeskanzleramt Österreich, Digitale Integration in Österreich Handlungsfelder und
Beispiele 2008
URL http://www.bka.gv.at/Docs/2010/3/29/Digitale_Integration_De.pdf
Corporate Wellness by Jawbone, Fitnessarmband
URL https://groups.jawbone.com/
Die Welt, Rösler wird im Silicon Valley ein bisschen keck
URL http://www.welt.de/politik/deutschland/article116397994/Roesler-wird-im-Silicon-Valley-ein-bisschen-keck.html
European Union Agency for Network and Information Security (ENISA), Appstore
security: 5 lines of defence against malware,
URL http://www.enisa.europa.eu/activities/Resilience-and-CIIP/critical-applications/smartphone-security-1/appstoresecurity-5-lines-of-defence-against-malware/at_download/fullReport
FlexySpy, Mobile Überwachungs- Spionagesoftware
URL http://www.flexispy.com/de/employee-monitoring.htm
Futurezone, Gehackte Nutzerdaten von Seitensprung-Portal im Darkweb,
URL http://futurezone.at/digital-life/gehackte-nutzerdaten-von-seitensprung-portal-im-darkweb/147.811.484
83
Global Corporate Challenge, Gesundheitsprogramm zur Verhaltensänderungen der
Mitarbeiterinnen mit Datensammlung von Bewegungspensum, Ernährung, Schlaf und
psychologisches Wohlbefinden
URL https://www.gettheworldmoving.com/
Google Inc., Legal Notice,
URL http://developer.android.com/legal.html
Hagen, Lara in Der Standard, Mit einem Chip unter der Haut die Bürotür öffnen
URL http://derstandard.at/2000022105112/Mit-einem-Chip-unter-der-Haut-die-Buerotuer-oeffnen
International Business Machines Corporation, Simon User Manuals,
URL http://research.microsoft.com/en-us/um/people/bibuxton/buxtoncollection/a/pdf/Simon%20User%20Manuals.pdf
Kreuzhuber, Sandra / Teufl, Peter / Zefferer Thomas, Sicherheitsanalyse mobiler
Plattformen 1.0 vom 22.4.2014,
URL http://www.a-sit.at/pdfs/Technologiebeobachtung/studie_sicherheitsanalyse_mobile_plattformen_v1.0.pdf
Mobile Marketing Association, Mind Take Research GmbH Communications Report
MMA 2015,
URL http://www.mmaaustria.at/html/img/pool/mobilecommunicationsreport2015.pdf
Motorola Inc., Communications Divison Motorola Annual Report 1973,
URL http://www.motorolasolutions.com/content/dam/msi/docs/en-xw/static_files/1973_Motorola_Annual_Report.pdf
News ORF, Der Alptraum aller Autohersteller
URL http://orf.at/stories/2291458/2291245/
Österreichisches Informationssicherheitshandbuch Version 4.0 vom 15.10.2014
URL https://www.sicherheitshandbuch.gv.at/2013/index.php
Rundfunk und Telekom Regulierungs-GmbH, Kommunikationsbericht 2014,
URL http://www.parlament.gv.at/PAKT/VHG/XXV/III/III_00194/imfname_437412.pdf
84
Schürmann, Dieter, Bundeskriminalamt Nordrhein-Westfalen, Predictive Policing,
Forum KI am 25.6.2015
URL
http://www.bka.de/nn_256028/SharedDocs/Downloads/DE/Publikationen/ForumKI/ForumKI2015/kiforum2015Schuerman
nPositionspapier,templateId=raw,property=publicationFile.pdf/kiforum2015SchuermannPositionspapier.pdf
Silent Circle, Mobile Device mit PrivatOS Blackphone
URL https://www.silentcircle.com/
Teufl, Peter / Zefferer Thomas, Bedrohungsanalyse und Sicherheitsanforderungen für
M-Government Applikationen Angriffspotentiale und Schutzfunktionen 2.0 vom
1.7.2011,
URL https://online.tugraz.at/tug_online/voe_main2.getvolltext?pCurrPk=58566
Web Accessibility Initiative, Richtlinien für barrierefreie Webinhalte,
URL http://www.w3.org/WAI/intro/wcag
Zeit Online, Kriminalität: Hacker erbeuten von Banken eine Milliarde Dollar,
URL http://www.zeit.de/digital/internet/2015-02/banken-hackerangriff-cyberkriminalitaet
Alle URLs wurden zuletzt am 19.10.2015 geprüft.
85

Offizielle Ergebnisliste - Uradni rezultati DSG

Vorführwagen der AMAG Emmenbrücke

Einzugsermächtigung - Zweckverbandes Abfallwirtschaft

WER WIR SIND - Opera Mediaworks GmbH

DR. TOM BILLING

Expose

Prüfungsliteratur – Bachelor

Erich Gumplmaier (Hrsg.), Zur Zukunft der - Arbeiterkammer

Literaturempfehlungen - Refugee Law Clinic Leipzig

Geschäftsstelle der deutschsprachigen EDK