Drucksache 17/5200
– 132 –
Entscheidend kommt es bei einem Projekt dieser Größenordnung darauf an, ob die BA als Auftraggeberin wegen
der besonderen Schutzbedürftigkeit der Sozialdaten der
Arbeitsuchenden höchste Anforderungen an die technischen und organisatorischen Maßnahmen stellt, die der
Auftragnehmer zu treffen hat.
Maßstab ist insoweit die zur Auftragsdatenverarbeitung
von Sozialdaten am 11. August 2010 in Kraft getretene
Spezialnorm des § 80 SGB X (vgl. Nr. 11.1.2). Diese Vorschrift gilt auch für Altverträge, die entsprechend anzupassen sind.
Ich habe den Vertrag der BA mit der Deutschen Post AG
vom 13. Mai/29. Mai 2009 hierauf überprüft und keine
gravierenden Mängel festgestellt. Zu wenigen Einzelpunkten bin ich noch im Gespräch mit der BA.
Ein digitaler Posteingangsservice wird bereits seit einigen
Jahren von der Deutschen Post AG angeboten. Auch wenn
das insoweit tätige Tochterunternehmen nicht meiner datenschutzrechtlichen Kontrollbefugnis unterliegt – zuständig wäre hier die Aufsichtsbehörde des Landes BadenWürttemberg –, hatte ich bei einem Informationsbesuch
im Juni 2007 den Eindruck gewonnen, dass im Zusammenhang mit der Verarbeitung und Speicherung personenbezogener Daten datenschutzrechtliche Vorgaben eingehalten wurden. Seither sind mir keine Anhaltspunkte
bekannt geworden, dass das Unternehmen gegen Datenschutzbestimmungen verstößt.
Wer seine Briefe dennoch nicht durch das Scan-Zentrum
öffnen lassen will, hat alternativ die Möglichkeit, die
Briefe weiterhin an die BA-Hausanschrift und nicht an die
spezielle Großempfängerpostleitzahl zu adressieren. Die
Öffnung, Sichtung und Steuerung des Schriftgutes soll
nach Mitteilung der Bundesagentur in diesen Fällen weiterhin durch ihre Mitarbeiter erfolgen.
Ich werde das beabsichtigte Verfahren weiterhin kritisch
begleiten und einer Überprüfung vor Ort unterziehen.
11.5.4
Einzelfälle
– Information über Arbeitslosigkeit eines Kunden der
Agentur für Arbeit an eine Krankenversicherung ohne
dessen Zustimmung
Ein freiwillig weiterversicherter Petent wies mich darauf hin, dass er im Rahmen seiner Arbeitslosenmeldung bei der Agentur für Arbeit auch einen Nachweis
über seine private Kranken- und Pflegeversicherung
erbracht hatte. Die Agentur für Arbeit informierte daraufhin die Versicherung über die Arbeitslosigkeit des
Petenten, was diese dem Betroffenen mitteilte.
Hierin liegt ein Datenschutzverstoß, denn die Agentur
für Arbeit hätte die Angaben zur Arbeitslosigkeit des
Petenten an die Versicherung nur mit dessen Einwilligung weitergeben dürfen. Zwar lag eine solche Erklärung noch aus einem früheren Leistungsbezug vor, die
Einwilligung des Petenten hätte aber aktuell eingeholt
werden müssen. Dass dies nicht geschah, werte ich als
Verstoß gegen § 4a BDSG.
BfDI 23. Tätigkeitsbericht 2009-2010
Deutscher Bundestag – 17. Wahlperiode
Ich habe die BA gebeten, die Agenturen für Arbeit
darauf hinzuweisen, dass ohne eine aktuelle Einwilligung des Leistungsbeziehers Angaben zur Arbeitslosigkeit an Versicherungen nicht mitgeteilt werden dürfen.
Da die BA den Verstoß einräumt und meine Hinweise
künftig berücksichtigen will, habe ich von einer Beanstandung gemäß § 25 BDSG abgesehen.
– Übermittlung von Sozialdaten durch die BA an potentielle Arbeitgeber
Mehrere Petenten, die ihr Bewerberprofil zur Stellensuche auf der Internet-Plattform der BA anonym veröffentlicht hatten, beschwerten sich darüber, dass sie
Anrufe von Zeitarbeitsfirmen erhielten, die Einblick in
das Bewerberprofil der Petenten hätten. Auf Nachfrage der Betroffenen, wie die Firmen an deren Kontaktdaten gelangen konnten, gaben die Agenturen für
Arbeit an, einige Firmen hätten Zugang zu den gleichen personenbezogenen Daten wie die Arbeitsagentur selbst. Die Petenten hatten aber in die Weitergabe
ihrer Daten nicht eingewilligt.
Für die Übermittlung der freiwilligen Angaben wie
Telefonnummer und E-Mail-Adresse sehe ich keine
Rechtsgrundlage. Die BA hat auf meine Kritik hin zugesagt, die Übermittlung von Daten an potentielle Arbeitgeber im Rahmen der Vermittlung umzustellen.
Bisher wurden bei der Buchung eines Vermittlungsvorschlages im Vermittlungsprogramm VerBIS bei
gemeinsamer Nutzung des Jobbörsen-Accounts unabhängig vom Veröffentlichungsstatus des Bewerberangebots die Kontaktdaten des Kunden offenbart, weil
dies im Zusammenhang mit der Vermittlung i. S. v.
§ 35 SGB III für erforderlich erachtet wurde.
Dies wird die BA nun ändern und diese Kontaktdaten
nur bei einer entsprechenden Einwilligung des Kunden für eine externe Veröffentlichung übermitteln. Es
wird beim Kunden explizit abgefragt, ob er mit der externen Kommunikation einverstanden ist. Das Ergebnis soll in einem gesonderten Vermerk dokumentiert
werden. Diese Einwilligungserklärung wird durch
Mitarbeiter der BA in der Eingangszone oder im Servicecenter generiert, die Eingabe wird protokolliert
und wäre auch innerhalb von 90 Tagen im Falle von
Beschwerden überprüfbar.
Stimmt der Kunde nicht zu, sind auch im Vermittlungsprozess Kontaktdaten wie Telefonnummer und
E-Mail-Adresse nicht einsehbar und können mithin
nicht mehr ausgedruckt werden.
Die Vordrucke Vermittlungsvorschlag, die Leitfäden für
die Servicecenter, Arbeitspakete etc. sollen nach Angaben der BA entsprechend angepasst werden.
– Vordruck „Entbindung von der Schweigepflicht gegenüber dem Psychologischen Dienst der Agentur für
Arbeit“
Ein Zentrum für Psychiatrie hat mir mitgeteilt, dass
Agenturen für Arbeit dort umfangreiche medizinische