Beschäftigtendatenschutz beim EDV-Dienstleister

Die druckbare Version wird nicht mehr unterstützt und kann Darstellungsfehler aufweisen. Bitte aktualisieren Sie Ihre Browser-Lesezeichen und verwenden Sie stattdessen die Standard-Druckfunktion des Browsers.

Diese Seite sammelt Best-Practice-Lösungen zum Beschäftigtendatenschutz bei EDV-Dienstleistern, etwa bei Callcentern, Backoffice-Diensten u.ä.

Daten der MA eines Dienstleisters bei Dritten

Dieser Beitrag soll eine "Best Practice" Lösung darstellen, für den Sachverhalt, dass die Mitarbeiter eines Dienstleisters in der Software oder der technischen Infrastruktur eines Auftraggebers arbeiten. Im speziellen Beispiel geht es um ein Auftragsdaten verarbeitendes Callcenter. Die Methoden lassen sich aber übertragen auf ähnlich gelagerte Fälle.

Entstanden ist die Lösung aus einer Frage im Datenschutzforum BfDI. Der Beitrag ist hier nachzulesen. Dieser Beitrag ist lediglich eine Praxishilfe und erhebt keinen Anspruch auf Vollständigkeit.


Legende:

AG = Auftraggeber des Callcenters,
CC = Callcenter (= Auftragsdatenverarbeiter für den AG),
AN = Arbeitnehmer beim Callcenter,
VACD = TK Anlage des AG
Kunde = Gesprächspartner des AN aber Vertragspartner des AG

Sachverhalt: AG beauftragt CC mit einem Prozess. Die AN arbeiten dabei

a) in der Anwendung des AG (z.B. SAP).
b) auf der VACD des AG.


Fragestellung: Was ist datenschutzrechtlich zu beachten? Die AN erzeugen bei der Nutzung der Anwendungen oder der VACD des AG personenbezogene Daten, die zur Leistungsbewertung herangezogen werden können. Im Falle der VACD steht noch das Thema Aufzeichnung und Monitoring (Mithören) durch den AG im Raum. Die AN stehen ja in keinem direkten rechtlichem Verhältnis zum AG, insofern ist dieser als Dritter zu betrachten.

Lösungen/Antworten/best Pracitce:

  • Arbeiten in der Anwendung des AG

Hier sind die Interessen des AG ggü. den schutzwürdigen Interessen der AN als vorrangig zu betrachten. Zum einen lässt sich das ableiten aus §28 I Nr. 2 und 3 BDSG, zum anderen obliegt dem AG eine gewisse Pflicht zur Datenschutzkontrolle und ggf. gesetzliche Speicherfristen (sofern es sich um Vertragsschlüsse o.ä. handelt).

Die Logins zur Anwendung können also auf Forderung des AG personalisiert sein.

Nicht gestattet ist es dem AG diese Daten zur Leistungsbewertung heranzuziehen. Etwa in Form von wer macht wie viele Abschlüsse pro Stunde, wer überzieht seine Pausen etc.

  • Nutzung VACD

Auch hier erzeugt der AN Daten in Form von "wann eingelogged, wann ausgelogged, wie lange pro Vorgang telefoniert usw." Diese Daten erzeugt die VACD primär aus technischen Gründen. Beste Vorgehensweise ist also, dass der AG dem CC ein Kontingent an Blanko-Logins zur Verfügung stellt,und CC diese wiederum an die AN verteilt. Dabei protokolliert CC welcher Login welchem AN zu welcher Zeit zugeordnet war. Dadurch sind die Daten für den AG erst einmal als anonym zu betrachten. Diese Vorgehensweise schlägt zwei Fliegen mit einer Klappe: Der AN hat einen gewissen Schutz, der AG hat die Sicherheit nicht in Zukunft durch Löschansprüche Löcher in seine VACD-Daten zu reißen und Reportings bleiben damit konsistent.

Dabei bleibt natürlich ein gewisses Restrisiko bestehen, dass der AG durch zusammenführen verschiedener Daten wieder einen Personenbezug herstellen kann (etwa die Kombination der Daten aus der VACD mit den Vorgängen in SAP, oder im Laufe der Zeit lernt der AG ja auch vor Ort im CC den ein oder anderen AN kennen...)

Ich persönlich lasse hier in den Verträgen immer einige Klauseln ergänzen dass der AG dies unterlässt. Problem hierbei: Wie wasserdicht so etwas wirklich ist und inwieweit man als CC in einer solchen Konstellation überhaupt Vertretungsberechtigt ist für den AN.

  • Monitoring (Mithören)

Die Rede ist hier vom Mithören zu Qualitätssicherungszwecken (sagt der AN was er soll, reagiert er richtig auf den Kunden,...) mittels einer technischen Einrichtung fernab vom AN. Dies ist auch eine Verhaltenskontrolle (nebenbei: im CC dies weit häufiger genutzt wird um zu prüfen ob ein Thema wie geplant beim Kunden ankommt und weniger als Arbeitskontrolle ggü. dem AN), die, wenn überhaupt, nur dem CC zusteht, nicht jedoch dem AG als Dritten. Monitoring aus Gründen der Datenschutzkontrolle (Pflichten aus der ADV) kann man dem AG nicht absprechen.

  • Aufzeichnung

Die Aufzeichnung ist das heikelste Thema. Diese ist nur mit Einwilligung des AN möglich. Zu diesem Zweck sollten die AN eine Einwilligung ggü. dem AG abgeben, damit dieser Aufzeichnungen anfertigen darf. Die Einwilligung muss transparent, zweckgebunden und freiwillig abgegeben werden. Die technische Abbildung auf der VACD muss also sicher stellen, dass es eine Gruppe von AN gibt, die nicht aufgezeichnet werden (unabhängig davon ob der Kunde der Aufzeichnung eingewilligt hat oder nicht!). Der Widerruf oder die nicht abgegebene Einwilligung darf nicht zu Nachteilen für den AN führen. Des weiteren sollte auf eine Löschfrist der Aufzeichnungen geachtet werden. In meinen Fällen regle ich 30 Tage, das erscheint mir angemessen.

Sonderfall: Neben der Aufzeichnung zu Zwecken der Qualitätssicherung (meist im Inbound, Kunde ruft an) gibt es noch häufig den Fall dass im Outbound (Kunde wird angerufen) aufgezeichnet wird. Dies immer am Gesprächsende um nochmal zusammen zu fassen das der Kunde die Bestellung wirklich will und er dies bestätigt oder um die Einwilligung des Kunden festzuhalten das er in Zukunft wieder angerufen werden darf (hier zweiter Sonderfalls: §28 IIIa BDSG: schriftliche Bestätigung nicht vergessen!). In diesen Fällen löscht man natürlich nicht nach 30 Tagen, sondern eher nach 2 Jahren. Lässt sich m.E. damit begründen da hier ja ein Schuldverhältnis entsteht und außerdem der AN nicht mit seinem vollen Namen etc. auftaucht (in der Regel).


Dieser Text wurde aus dem Datenschutz-Wiki der BfDI übernommen. Bearbeitungen vor dem 16.April 2016 stehen unter der Lizenz Creative Commons Namensnennung 3.0 Deutschland.