Hunderte Fälle beschäftigen Saar-Datenschützer
Die Chefin Monika Grethel listet kuriose Beispiele auf, etwa Homeoffice in Paraguay für eine Kommune im Saarland.
SAARBRÜCKEN Oh, wie schön ist, nein, nicht Panama, sondern Paraguay. Das hat sich eine Mitarbeiterin einer nicht namentlich genannten saarländischen Kommune gedacht. Auswandern, das wär’s doch. Weil man aber auch im tropischen Südamerika von etwas leben muss, wollte die Frau weiterhin für die Kommune arbeiten – im Homeoffice. Arbeiten von zu Haus ist seit der Corona-Pandemie zwar nichts Ungewöhnliches mehr. Dass jemand aber für eine Saar-Gemeinde aus gut 10 000 Kilometer Entfernung auf dem Laptop tippt und Videokonferenzen hält, ist doch die Ausnahme.
Trotzdem „traf dieses Ansinnen beim Arbeitgeber zunächst augenscheinlich auf Wohlwollen“. So heißt es im Jahresbericht 2021 des Unabhängigen Datenschutzzentrums Saarland. Warum? „Da dieser sich an uns wandte mit der Bitte um Hinweise, wie eine solche Konstellation datenschutzrechtlich abgebildet werden könne, da die Mitarbeiterin auch Zugang zu personenbezogenen Daten habe“. Weil Paraguay nun mal nicht Europa ist, braucht es bestimmte Voraussetzungen. In Behördendeutsch lautet das Angemessenheitsbeschluss: „Dass personenbezogene Daten in einem bestimmten Drittland einen mit dem Europäischen Datenschutzrecht vergleichbaren adäquaten Schutz genießen“müssen. Gibt es diesen Beschluss nicht, sei die Datenübermittlung in ein Drittland nur zulässig, sofern gemäß der Datenschutzgrundverordnung (DSVGO) „Garantien zur Gewährleistung eines angemessenen Schutzniveaus ergriffen werden oder wenn die Datenübermittlung ausnahmsweise für bestimmte Fälle zugelassen ist“.
Für Paraguay trifft aber weder das eine noch das andere zu, meint Landesdatenschutzbeauftragte Monika Grethel. Ihre Behörde hat die Kommune darauf aufmerksam gemacht.
Nach einiger Zeit „wurde uns auf Nachfrage mitgeteilt, dass man seitens der Kommune von dem Vorhaben mittlerweile Abstand genommen habe“. Ob die Mitarbeiterin trotzdem ausgewandert ist, sei nicht bekannt. Hätte sie statt nach Paraguay nach Uruguay auswandern wollen, „wären die Erfolgsaussichten möglicherweise höher gewesen“, zieht Grethel ihr Fazit. Denn dort gibt es einen Angemessenheitsbeschluss.
Dieser Fall ist nur einer von Hunderten, die die Datenschützer im Saarland 2021 bearbeitet haben. Und wie im Jahr zuvor waren es vor allem die Auswirkungen der Corona-Pandemie, mit denen sie sich beschäftigten mussten. Kontaktnachverfolgung, Datenverarbeitung in Testzentren, die Abfrage des Impfstatus am Arbeitsplatz sind nur einige Beispiele. In der Corona-Krise hätten sehr kurzfristig rechtliche Rahmenbedingungen geschaffen werden müssen, um mit der dynamischen Entwicklung der Pandemie Schritt zu halten, heißt es. Das habe teils erhebliche Eingriffe in das informationelle Selbstbestimmungsrecht der Bürgerinnen und Bürger bedeutet.
So gingen beim Datenschutzzentrum 537 Beschwerden und 499 gemeldete Datenschutz-Verletzungen ein. Das Zentrum sprach 16 Verwarnungen aus, gab sechs Anweisungen sowie Anordnungen und verhängte 14 Geldbußen. Hinzu kamen 400 Beratungen. 140 Seiten dick ist der mittlerweile 30. Bericht der Behörde.
Datenschutzrechtliche Mängel haben die Prüfer etwa bei der OnlineTerminvergabe für Impftermine in den Zentren des Landes festgestellt. So sei auf der Internetseite nicht das Gesundheitsministerium als Verantwortlicher für die Einhaltung des Datenschutzes genannt worden. Auch hätte der Hinweis gefehlt, auf welcher Rechtsgrundlage das Ministerium die
Personendaten verarbeitet. Daraufhin habe das Ministerium nachgebessert und die Plattform datenschutzkonform aufgelegt. Dennoch: „Eine frühzeitige Einbindung des Datenschutzzentrums in derartige Prozesse wäre wünschenswert“, appelliert Grethel.
Für viel Unmut habe die Testpflicht an den Schulen gesorgt. Die Schüler testeten sich in der Regel alle gleichzeitig in der Klasse. Trat ein positiver Fall auf, musste der Schüler zunächst in einen gesonderten Raum, bis er von seinen Eltern abgeholt wurde, oder nach Zustimmung dieser allein nach Hause gehen durfte. Einige Eltern hatten sich an den das Datenschutzzentrum gewandt, weil sie befürchteten, „ihre Kinder würden als ‚mit dem Coronavirus infiziert‘ stigmatisiert und ein besonders schützenswertes Gesundheitsdatum würde somit der kompletten Klassengemeinschaft bekannt gegeben“, heißt es in dem Bericht. Die Datenschützer aber verweisen auf die Möglichkeit, „den erforderlichen Testnachweis in der Schule auch durch einen Nachweis aus einem anerkannten Testzentrum zu erbringen“. Deswegen sei die klassenweise Testung in der Schule datenschutzrechtlich nicht zu beanstanden.