Bekanntlich verfügte die Datenschutzkommission (DSK) in der zitierten E, der eine Meldung für eine Datenanwendung mit der Bezeichnung „Hinweisgebersystem“ zu Grunde lag, die Registrierung dieser Datenanwendung unter bestimmten Auflagen. Da bei einer derartigen Datenanwendung auch strafrechtlich relevante Daten eingemeldet werden können, ist eine Vorabkontrolle gem § 18 Abs 2 Z 2 DSG von Nöten; auf Grund der Ergebnisse des entsprechenden Prüfungsverfahrens kann die DSK dem datenschutzrechtlichen Auftraggeber Auflagen oder Bedingungen durch Bescheid erteilen, soweit dies zur Wahrung der geschützten Interessen der von der Datenanwendung Betroffenen notwendig ist (§ 21 Abs 2 DSG). Die im vorliegenden Bescheid erteilten Auflagen entsprachen grundsätzlich denen, die die DSK in stRsp für die Registrierung von derartigen Datenanwendungen, auch „Whistleblower-Hotlines“ genannt, bzw für die Genehmigung der Übermittlung oder Überlassung von Daten aus solchen Datenanwendungen in das Nicht- EWR-Ausland (gem § 13 Abs 1 DSG) erteilt.

In ihrer Glosse führen Knyrim/Riedl dazu aus, dass die DSK ihre Judikatur aber nunmehr um die Auflage erweitert habe, für die Einführung eines Hinweisgebersystems eine angemessene BV abzuschließen. Tatsächlich sprach die DSK aus, dass die Registrierung unter der aufschiebenden Bedingung verfügt werde, dass eine dem Sachverhalt angemessene BV abgeschlossen werde. In ihrer Begründung führt die DSK dazu an, dass sie regelmäßig davon ausgehe, dass es sich bei554 Kontrollsystemen wie dem gegenständlich einzuführenden um solche handle, die den Mitwirkungsrechten der §§ 96, 96a ArbVG unterliegen. Diese Bestimmungen seien nicht disponibel und daher unabhängig von der Einschätzung des BR einzuhalten, um dadurch auch die „Rechtmäßigkeit“ der Datenanwendung als Voraussetzung für die datenschutzrechtliche Genehmigung herzustellen. Entgegen den Ausführungen von Knyrim/Riedl findet sich in der Begründung der DSK aber nicht die Behauptung, es handle sich gegenständlich um eine „die Menschenwürde berührende“ Kontrollmaßnahme; maW engt die DSK die Rechtsnatur der abzuschließenden BV insofern nicht ein, verlangt also nicht unbedingt eine solche nach § 96 Abs 1 Z 3 ArbVG, sondern verlangt nur eine „dem Sachverhalt angemessene BV“. Damit wird offenkundig auf die nähere Ausgestaltung der vom AG angebotenen Begleitmaßnahmen zum Schutz der Betroffenenrechte abgestellt, quasi (unausgesprochen) in Entsprechung der „Wandlungsthese“ des OGH zur Abgrenzung zwischen Betriebsvereinbarungen gem § 96 Abs 1 Z 3 und gem § 96a Abs 1 Z 1 ArbVG (vgl dazu näher Risak, Betriebliche Mitbestimmung bei der Mitarbeiterkontrolle, in

[Hrsg], Datenschutz im Arbeitsrecht [2010] 35 [49 f]).

Wie die Arbeitsgerichte das Thema einer Betriebsvereinbarungspflicht für ein solches Hinweisgebersystem sehen werden, bleibt – wie Knyrim/Riedl zu Recht betonen – abzuwarten; als grober Kompass zur Beurteilung kann mE die Ansicht von Mazal dienen, der danach differenziert, ob es sich um die Etablierung von „Kontrolle“ (durch jeden AN gegenüber jedem anderen AN) oder um die bloße „Definition eines Mechanismus“ handelt, der dazu dient, bei Vorliegen eines konkreten Verdachtes auf Unregelmäßigkeiten die Entscheidungsträger zu alarmieren (Mazal, Whistleblowing – kollektivarbeitsrechtliche Aspekte, ecolex 2009, 1033 [1034]); es wird mE also entscheidend darauf ankommen, ob den AN nur die Möglichkeit einer Meldung von Unregelmäßigkeiten (oder eines entsprechenden Verdachtes) über einen bestimmten definierten Kanal eingeräumt wird oder die AN zu einer entsprechenden Meldung verpflichtet sind bzw werden, welche Differenzierung auch die DSK vorliegenden Falles akzentuiert, wenn sie zu Recht ausführt, dass das „Bestärken“ und „Anhalten“ von Mitarbeitern, mögliche Verletzungen des Verhaltenskodex mitzuteilen, nicht nur als bloße Möglichkeit der Meldung zu werten ist. Bei diesem Fall der Meldepflicht (insb unter Arbeitskollegen, aber auch hinsichtlich der Meldepflicht von Vorgesetzten, die also nicht – je nach Sachverhalt – zunächst einmal, zB in minderschweren oder erstmaligen Fällen, versuchen könnten, Ordnungswidrigkeiten in ihrem Verantwortungsbereich auch ohne Befassung des Compliance Officers im Unternehmen abzustellen) würde es sich mE jedenfalls um eine Kontrollmaßnahme handeln, die die Menschenwürde kraft ihrer „Kontrolldichte“, die über die dem Arbeitsverhältnis wesensimmanente Kontrolle durch Vorgesetzte hinausgeht, berührt (vgl dazu OGH8 ObA 288/01pDRdA 2003/37 [Preiss]) bzw die Menschenwürde dadurch berührt, dass in den AN das dauernde Gefühl einer potentiellen Überwachung entsteht (vgl Löschnigg, Arbeitsrecht¹¹ [2011] Rz 9/109 mwN). Speziell zu Whistleblowing-Hotlines vertritt auch Reissner in ZellKomm² § 96 ArbVG Rz 25 dieselbe Ansicht, wenn er ausführt, dass die Kommunikation solcher Hotlines als Aufforderung der Mitarbeiter zur Meldung jedes Verdachtsmomentes zu einer Qualifikation als Kontrollmaßnahme iSd § 96 Abs 1 Z 3 ArbVG führt. Auch Knyrim/Kurz/Haidinger (Whistleblowing-Hotlines: Mitarbeiter „verpfeifen“ zulässig?ARD 5681/5/2006, 7), Spring („Whistleblowing“ – „Verpfeif“-Maßnahmen aus datenschutzrechtlicher Sicht, ecolex 2007, 139) und Leissler (Datenschutzrechtliche Zulässigkeit von Whistleblowing-Hotlines, in

[Hrsg], Jahrbuch Datenschutzrecht 2010, 179 [190]) weisen auf die idR erforderliche Zustimmung des BR gem § 96 Abs 1 Z 3 ArbVG hin. Bei der tatsächlichen bloßen Einräumung der Möglichkeit einer Meldung, die elektronisch aufgezeichnet wird, wäre (subsidiär) die (ersetzbare) Zustimmung des BR gem § 96a Abs 1 Z 1 ArbVG von Nöten (so auch Aschauer, Whistleblowing im Arbeitsrecht [2012] 274).

Da Hinweisgebersysteme wie das fallgegenständliche schon aus ihrer inneren Logik heraus idR auf eine Meldepflicht bzw -möglichkeit aller Mitarbeiter angelegt sind (darüber hinaus kommen grundsätzlich alle Mitarbeiter als Zeugen oder Auskunftspersonen in Betracht), greift diesbezüglich auch der von Knyrim/Riedl zitierte von Reis (und mittlerweile auch von Brodil, Betriebsverfassungsrechtlich determinierter Datenschutz?ZAS 2013/45, 271 f) erhobene Einwand (Reis, Zur Zulässigkeit von Whistleblowing-Hotlines, RdW 2009/351, 398 f) nicht, eine Meldung betreffe nur leitende Angestellte, die nicht dem betriebsverfassungsrechtlichen AN-Begriff unterliegen; daran vermag auch die idR verfügte Auflage der DSK nichts zu ändern, dass nur die Daten von leitenden Angestellten im Konzern übermittelt werden dürfen, da die zu Grunde liegende Datenanwendung des Hinweisgebersystems eben auch nicht-leitende AN erfasst und die von der DSK verfügte Auflage eine BV für die Registrierung eben dieser Datenanwendung, die über die Übermittlung von Daten leitender Angestellter hinausgeht, verlangt.

Wenn Knyrim/Riedl weiters die diesbezügliche Kompetenz der DSK zur Entscheidung in arbeitsrechtlichen Fragen bezweifeln (so mittlerweile auch Brodil, ZAS 2013/45, 272), ist darauf hinzuweisen, dass die Verfügung der aufschiebenden Bedingung des Abschlusses einer BV keine Entscheidung einer arbeitsrechtlichen Frage ist; die entsprechende betriebsverfassungsrechtliche Rechtsansicht der DSK in der Begründung ihres Bescheides kann vielmehr durchaus als die Auslegung einer generellen Norm verstanden werden, zu der die DSK natürlich befugt ist (vgl Hengstschläger/Leeb, AVG § 38 Rz 14 [Stand 1.7.2005, rdb.at]); unproblematisch wäre aber auch die Sichtweise als Entscheidung über eine präjudizielle betriebsverfassungsrechtliche Vorfrage iSd § 38 AVG:

Vorfragen entstehen deshalb, weil die Rechtsordnung eine Einheit darstellt und ihre Bestimmungen in allen Beziehungen zur Geltung zu kommen haben, die sachliche Zuständigkeit zu ihrer Handhabung jedoch entweder zwischen Gerichten und Verwaltungsbehörden oder zwischen Verwaltungsbehörden untereinander verteilt ist. Der Vorfragenbegriff und damit § 38 AVG setzt dabei nicht voraus, dass die (mög555liche) Entscheidung der anderen Behörde (bzw des Gerichtes) unmittelbar ein Element des Tatbestandes zum Gegenstand hat, die Beurteilung eines durch Auslegung ermittelten, vorgelagerten Kriteriums eines Tatbestandsmerkmales genügt (Hengstschläger/Leeb, AVG § 38 Rz 2 mwN).

§ 38 AVG findet auch auf Vorfragen Anwendung, die von einem Gericht als Hauptfrage zu entscheiden sind (Hengstschläger/Leeb, AVG § 38 Rz 4). Es bestehen nach Ansicht des VfGH auch – im Hinblick auf Art 94 B-VG – keine verfassungsrechtlichen Bedenken gegen eine derartige Aufgabenteilung zwischen ordentlichen Gerichten und Verwaltungsbehörden. Vielmehr sei es „unvermeidlich, dass Verwaltungsbehörden Vorfragen beurteilen, deren Lösung als Hauptfrage den Gerichten obliegt und umgekehrt, und es ist auch nicht ausgeschlossen, dass ein und dieselbe Rechtsfrage je nach ihrem Zusammenhang einmal von einem Gericht und einmal von einer Verwaltungsbehörde beantwortet wird; es wird aber dann nicht in zwei verschiedenen Verfahren über dieselbe (konkrete) Rechtssache, sondern – teilweise – unter Beantwortung gleicher (abstrakter) Rechtsfragen über unterschiedliche Sachen entschieden“ (zB VfGH

, B 381/83). Unzulässig wäre nur, dass über ein und dieselbe Frage sowohl Gerichte als auch Verwaltungsbehörden, sei es im gemeinsamen Zusammenwirken, sei es im instanzenmäßig gegliederten Nacheinander, entscheiden dürfen; jede verfahrensrechtliche Verflechtung von Gerichten und Verwaltungsbehörden zu einer organisatorischen Einheit wäre unzulässig (VfGH

6

12

2003

, G 147/01). Davon kann bei der gegenständlich geäußerten betriebsverfassungsrechtlichen Rechtsansicht der DSK und der daraus resultierenden Verfügung einer entsprechenden Auflage natürlich keine Rede sein. Zumal abhängig von der konkreten Ausgestaltung des Hinweisgebersystems auch die Anrufung der Schlichtungsstelle gem § 96a Abs 2 ArbVG in Betracht kommen kann, dh ein „Vetorecht“ des BR (bei Anwendbarkeit des § 96 Abs 1 Z 3 ArbVG) verhindert werden kann, scheiden auch allfällige Bedenken hinsichtlich eines unverhältnismäßigen Eingriffs in das verfassungsrechtlich geschützte Eigentumsrecht des AG (Art 5 StGG, Art 1 des 1. ZProtMRK) aus, sodass die gegenständliche E der DSK mE auch verfassungsrechtlich in keinster Weise zu beanstanden ist.

Zur Erteilung auch arbeits- bzw betriebsverfassungsrechtlicher Auflagen ist die Datenschutzbehörde rein datenschutzrechtlich deshalb befugt (bzw verpflichtet), da die zu prüfende rechtliche Befugnis des Auftraggebers als Voraussetzung der Rechtmäßigkeit einer Datenverarbeitung gem § 7 Abs 1 DSG auch dessen entsprechende arbeits- bzw betriebsverfassungsrechtliche Befugnis hierfür mitumfasst; vgl dazu schon die E zum DSG 1978 DSK 12.4.1984, 175.526/29- DSK/84 infas 1984, A 52 sowie die neueren E zum DSG 2000 DSK 8.3.2006, K178.209/0006-DSK/2006 und DSK 23.5.2007 K178.239/0006-DSK/2007 zur Erteilung der Genehmigung zum internationalen Datentransfer unter der Bedingung des Bestehens von zu Grunde liegenden Betriebsvereinbarungen („§ 1 Abs 2 DSG 2000 trägt für die Zulässigkeit der Verwendung personenbezogener Daten durch private Auftraggeber die Interpretation der Rechtsordnung in ihrer Gesamtheit auf, um zu bestimmen, ob einem privaten Auftraggeber ein ‚berechtigtes Interesse‘ an einer der Art nach bestimmten Datenverwendung zuerkannt werden kann“).

Aus den dargestellten Gründen ist der E der DSK mE deshalb vollinhaltlich zuzustimmen.556