Ist ein Datenmissbrauch in Unternehmen möglich?

Was dürfen die Unternehmen mit persönlichen Daten tun und wie kann man dieses Handeln kontrollieren?

Täglich gibt man seine Daten an Unternehmen weiter, insbesondere wenn man mit ihnen geschäftlich zu tun hat. „Was dürfen die Unternehmen mit den persönlichen Daten tun und wie kann man dieses Handeln kontrollieren?“, fragt man sich dann. Dabei kann es sich oft um Unternehmen handeln, die man sich als Vertragspartner "freiwillig" ausgewählt hat. In bestimmten Fällen geht es jedoch auch um Unternehmen oder Geschäftsleute, mit denen man eher "unerwünscht" zu tun hat. Beispielsweise aus unserer anwaltlichen Praxis ist uns bekannt, dass vorallem Abmahnfälle zu den unerwünschten Rechtsbeziehungen zwischen den Beteiligten gehören. Ein Rechtsanwalt sollte bei seiner Arbeit vorallem im Auge haben, in welchem Umfang es nötig ist, persönliche Daten des Mandanten, der Zeugen oder Sachverständigen der Gegenseite mitzuteilen und wann nicht - Datensparsamkeit -.

Datenschutz bei freiwilligen Geschäftsbeziehungen?

Schon bei Unternehmen, die man auswählen kann, ist schwierig zu beurteilen, was diese Unternehmen mit persönlichen Daten tun dürfen und wie weit man dies überprüfen oder eingrenzen kann. Es ist bereits bei solchen freiwilligen Geschäftsbeziehungen schwer abzugrenzen, wann ein Unternehmen Daten erlaubt gebraucht und ab wann ein Unternehmen oder Konzern persönliche Daten des Kunden unerlaubt benutzt, also missbraucht.

Dies kann am Beispiel eines Bankkonzerns im Verhältnis zu ihren Kunden erläutert werden. Zum einen muss eine Bank notwendigerweise die persönlichen Daten ihrer Kunden haben, um ein Konto zu unterhalten (Nummernkonten in der Schweiz seien hier ausgenommen). Andererseits könnte diese Bank die selben Daten aber auch für andere Zwecke verwenden, um Werbung für weitere Produkte aus ihrem Konzern zu machen oder für Dinge, die sie verkauft. In Frage kommen hier zum Beispiel Versicherungen, Finanzprodukte, Anlageobjekte oder Kredite. Oftmals vertreiben auch nicht die normalen Kundenberater solcher Dinge, die nicht zum klassischen Bankgeschäft gehören. In diesem Fall stellen sich die Fragen. Dürfen die persönlichen Daten der Bankkunden überhaupt für solche Zwecke verwendet werden? Dürfen nur die normalen Kundenbetreuer die Daten bekommen oder auch angeblich selbständige Versicherungsvertreter bzw. Kreditvermittler? Muss der Bankkunde zustimmen, bevor die Daten für solche Zwecke verwendet werden? Muss der Kunde zustimmen, bevor die Daten weitergegeben werden an Kreditvermittler, Versicherungsvertreter bzw. andere Menschen oder Unternehmen, die nur mit der Bank verbunden sind? Worüber muss der Kunde für eine solche Einwilligung aufgeklärt werden? Wie genau muss eine solche Einwilligung gefasst sein, um wirksam zu sein?

Einen solchen Fall mussten auch das Landgericht Köln und das Oberlandesgericht Köln beurteilen. Zum Maßstab nahmen die Gerichte hier § 4a Bundesdatenschutzgesetz (BDSG). Das Landgericht war der Meinung, dass die Einwilligung wirksam sei. Insbesondere urteilte es, dass der Bankkunde seine Einwilligung freiwillig abgebe. Gleichzeitig deutete es aber auch an, dass es auch Situationen geben könne, bei denen eine solche Freiwilligkeit fehlen würde:

[LG Köln, Urteil vom 15.12.2010, Aktenzeichen (Az.) 26 O 119/10, juris, Textziffern (Tz.) 28-30 = auf NRWE (Rechtsprechungsdatenbank NRW), Hervorhebungen nicht im Original].

Diese Entscheidung wurde auch durch das Oberlandesgericht Köln (OLG Köln) bestätigt. Auch das höhere Gericht nahm an, das der Bankkunde freiwillig seine Einwilligung erklärt habe [OLG Köln, Urteil vom 17. Juni 2011, Az. 6 U 8/11, Tz. 21 = auf NRWE (Rechtsprechungsdatenbank NRW)]

In dem Fall waren beide Gerichte also der Meinung, dass kein Datenmissbrauch vorliegen würde. Für das Landgericht und das Oberlandesgericht hatte die Bank nach Ansicht der Gerichte nicht damit gedroht, das Bankkonto nicht mehr weiter zu führen, wenn keine Einwilligung erfolge, oder ähnliche Drohungen ausgesprochen. Die vielen weiteren von den Gerichten geprüften Punkte zeigen aber, wie schwierig es ist, erlaubten Datengebrauch von (unerlaubten) Datenmissbrauch abzugrenzen.

Datenschutz bei unfreiwilligen "Geschäftsbeziehungen" bzw. Rechtsbeziehungen?

Schon im Fall, bei dem sich jemand seinen Vertragspartner unter mehreren aussuchen kann, ist es also nicht immer einfach, nachzuvollziehen, was genau mit den eigenen persönlichen Daten geschieht und welchem Datengebrauch man genau zugestimmt hat. Wenn man dagegen sich seinen möglichen Vertrags-‘Partner‘ oder Geschäfts-‘Partner‘ noch nicht einmal aussuchen kann und ihn daher auch nicht wirklich wechseln kann, hat man möglicherweise noch weniger Einfluss darauf, was mit den eigenen persönlichen Daten geschieht. Man könnte dann eventuell zwar auch Auskunft verlangen, welche Daten gespeichert sind und was mit ihnen geschehen ist. Ob diese Auskunft auch der Wahrheit entspräche, könnte man allerdings auch im jeweiligen Einzelfall wahrscheinlich nicht mit hunderprozentiger Sicherheit nachvollziehen.

Auch aus diesem Grund sollte man daher lieber von einem eigenen Rechtsanwalt helfen lassen, wenn man von einer fremden Rechsanwaltskanzlei oder einem Inkassounternehmen Post bekommt oder selbst Post versenden möchte, beispielsweise bei einer angeblichen Rechtsverletzung. Nur der eigene Rechtsanwalt ist auch dazu verpflichtet, die Interessen seines Mandanten wahrzunehmen. Der Rechtsanwalt sollte dabei auch immer im Auge haben, wann wirklich es nötig ist, (weitere) persönliche Daten des Mandanten, der Zeugen oder Sachverständigen der Gegenseite mitzuteilen - Datensparsamkeit -. Dabei ist es besonders sinnvoll, sich einen Rechtsanwalt mit Schwerpunkt im IT-Recht zu suchen. Denn zum Recht der Informationstechnologie gehört auch das Datenschutzrecht.

Insbesondere zu Präventivmaßnahmen gegen einen nicht auszuschließenden Datenmissbrauch, sollte ein Rechtsanwalt bei "unfreiwilliger Rechtsbeziehung" beraten können.

Hier geht es weiter zum Artikel: Xing-Kontakte können Geschäftsgeheimnisse des Arbeitgebers sein?