1232/J XXIII. GP

Eingelangt am 06.07.2007
Dieser Text ist elektronisch textinterpretiert. Abweichungen vom Original sind möglich.

Anfrage

der Abgeordneten Mag. Johann Maier

und GenossInnen

an den Bundesminister für Finanzen

betreffend „Einsatz von Überwachungssoftware in öffentlichen Dienststellen“

Der Datenschutzrat hat sich mehrfach mit dem Einsatz von Überwachungssoftware in
öffentlichen Dienststellen auseinandergesetzt. Herausgestellt hat sich dabei, dass im
Bundesbereich noch keine einheitlichen Regelungen über den Einsatz von Software zur Kontrolle
der Sicherung der Funktionstüchtigkeit der EDV-Systeme und zur Gewährleistung der
Datensicherheit bestehen. In einer außerordentlichen Sitzung vom 21. Juli 2004 wurde
einstimmig nachstehender Beschluss gefasst:

„Es wurde festgestellt, dass die einzelnen Ressorts äußerst unterschiedliche Vorgangsweisen
hinsichtlich der gesetzten Kontrollmaßnahmen haben. Aus der Diskussion mit den Vertretern der
Ressorts ging hervor, dass die einzelnen Ressorts ein großes Problembewusstsein zu dieser
Thematik besitzen, derzeit aber noch gewisse Interpretationsspielräume offen sind.
Aus diesem Grund ersucht der Datenschutzrat die Bundesverwaltung, sich mit dieser
Problematik auseinanderzusetzen und das Verhalten aller Ressorts abzustimmen, um eine
einheitliche und datenschutzrechtlich korrekte Vorgangsweise in dieser besonders heiklen
Materie zu erarbeiten.

Der Datenschutzrat verweist in diesem Zusammenhang insbesondere auf folgende rechtlichen
Grundsätze und gesetzliche Bestimmungen: Bei einer Abwägung rechtlicher Interessen sind in
erster Linie grundrechtlich garantierte Positionen zu berücksichtigen. Dies sind das Grundrecht
auf Datenschutz und die Wahrung des Telekommunikationsgeheimnisses.
Weiters sind die Grundsätze der Fürsorgepflicht des Dienstgebers und die Treuepflicht des
Dienstnehmers zu beachten.

Im Bewusstsein, dass der Staat als Dienstgeber einem strengeren Maßstab als der private
Arbeitgeber unterliegt, wurde diesem Erfordernis durch den Gesetzgeber in § 79c Beamten
Dienstrechtsgesetz 1979, BGBl. Nr. 333/1979 idgF und 29n Vertragsbedienstetengesetz 1948,
BGBl. Nr. 86/1948 idgF Rechnung getragen, welche einheitlich bestimmen, dass die Einführung
und Verwendung von Kontrollmaßnahmen und technischen Systemen, welche die
Menschenwürde berühren unzulässig ist.

Das bedeutet, dass im öffentlichen Bereich nur solche Kontrollmaßnahmen erlaubt sind, die
nicht die Menschenwürde berühren.

Weiters weist der Datenschutzrat auf § 9 Abs. 2 lit. f Bundes-Personalvertretungsgesetz hin, das
im Hinblick auf den Datenschutz als wichtiges Mitwirkungsrecht für Bundesbedienstete gesehen
wird. Darin wird bestimmt, dass mit dem Dienststellenausschuss Einvernehmen bei der
Einführung von Systemen zur automations-unterstützten Ermittlung, Verarbeitung und
Übermittlung von personenbezogenen Daten der Bediensteten, die über die Ermittlung von
fachlichen Voraussetzungen hinausgehen, herzustellen ist.

Der Datenschutzrat ersucht daher das Bundeskanzleramt, dem Datenschutzrat innerhalb eines
Jahres einen mit den Ressorts koordinierten Bericht darüber zu erstatten, wie diese Anregung
des Datenschutzrates in den einzelnen Ressorts umgesetzt wurde. In diesem Bericht wäre auch
darauf einzugehen, welche Vorkehrungen getroffen werden, damit die technischen
Möglichkeiten, die mit zugekaufter kommerzieller Software zur Mitarbeiterüberwachung gegeben
sind, nicht oder nur unter besonders strengen gesetzlichen Kautelen angewendet werden."

In weiterer Folge wurde dem DSR durch das BKA ein mit den Ressorts koordinierter Bericht
vorgelegt, der auch als Zwischenbericht im Datenschutzrat diskutiert wurde.
Nicht zuletzt aufgrund der vom Datenschutzrat aufgezeigten gegenständlichen Problematik
wurde überdies im Jänner 2005 im Bundeskanzleramt eine Plattform „Datenschutz im
öffentlichen Dienst - Verhaltensregeln betreffend den Verbrauch der IT-Ausstattung"
eingerichtet. Konkrete Ergebnisse sind nicht bekannt.

Bedauerlicherweise hat sich aber an der Vorgangsweise der Ressorts zum Softwareeinsatz bis
zum Jahr 2007 nicht viel geändert. In der Sitzung des DSR vom Juni 2007 unter dem Vorsitz von
Dr. Harald Wögerbauer wurde gegenüber den Vertretern des BKA als
Koordinierungsministerium das Anliegen des DSR neuerlich vorgebracht und einstimmig urgiert.

In der Dienstrechts-Novelle 2007 wurden über die Bestimmung des § 9 Abs. 2 lit. f Bundes-
Personalvertretungsgesetz hinaus zusätzlich datenschutzrelevante Bestimmungen in das Bundes-
Personalvertretungsgesetz aufgenommen, die den Einsatz von Überwachungssoftware in
öffentlichen Dienststellen betreffen. Konkret handelt es sich hierbei um den § 9 Abs. 3 lit. n und
den § 14 Abs. 3 Bundes-Personalvertretungsgesetz.

Gemäß § 9 Abs. 3 lit. n Bundes-Personalvertretungsgesetz ist dem Dienststellenausschuss
schriftlich mitzuteilen, welche Arten von personenbezogenen Daten der Bediensteten
automationsunterstützt aufgezeichnet und welche Verarbeitungen und Übermittlungen
vorgesehen werden.

Nach § 14 Abs. 3 Bundes-Personalvertretungsgesetz ist bei der Einführung von
Kontrollmaßnahmen bezüglich des Umganges von Bediensteten mit automationsunterstützten
Datenverarbeitungssystemen im Sinne des § 10 Bundes-Personalvertretungsgesetz das
Einvernehmen mit dem Zentralausschuss herzustellen.

Die unterzeichneten Abgeordneten richten daher an das oben genannte Mitglied der
Bundesregierung nachstehende

Anfrage:

1. In welcher Form und in welchem Umfang wurde in Ihrem Ressort dem Anliegen und den
Anregungen des Datenschutzrates seit 2004 Rechnung getragen?

2. Welche Vorkehrungen wurden bislang getroffen, damit die technischen Möglichkeiten,
die mit zugekaufter kommerzieller Software zur Mitarbeiterüberwachung gegeben sind,
nicht oder nur unter besonders strengen gesetzlichen Kontrollen angewendet werden?

3. Wurde kommerzielle Software oder so genannte Behördentrojaner zur
Mitarbeiterüberwachung angekauft?

Wenn ja, welche Software und welche Behördentrojaner, zu welchen Zwecken?

4. Wurde im Ressort ein Datenschutzbeauftragter bestellt, der weisungsungebunden im
Interesse der Bediensteten die Einhaltung von Datenschutzvorschriften sicherstellt?
Wenn ja, welche Aufgaben hat dieser im Einzelfall wahrzunehmen?

5. In welchen Fällen wurde seit 2000 mit Organen der Personalvertretung
(Dienststellenausschuss, Zentralausschuss) zur Einführung von Systemen zur
automationsunterstützten Ermittlung, Verarbeitung und Übermittlung von
personenbezogener Daten der Bediensteten verhandelt und Einvernehmen erzielt?

6.         Unter dem Begriff „Überwachungssoftware" werden in erster Linie legale im Einsatz
befindliche Datensicherungs- und Systemfunktionalitätssicherungs-Maßnahmen
verstanden. Es handelt sich hierbei vor allem auch um zulässigerweise installierte
Kontrollsoftware zur Sicherung der Funktionsführung des EDV-Systems und des
Datenschutzes. Unter anderem wurden in der Sitzung vom 21. Juli 2004 der Virenschutz,
die Verhinderung des Zugriffs auf Webseiten mit dienstlich unzulässigem, weil illegal
oder anstößigem Inhalt, sowie die Fernwartung bzw. das Aufzeichnen von Login-
Versuchen, die bei mehreren fehlerhaften Versuchen zum Abbruch führen, angeführt.
Sind aus Sicht des Ressorts noch weitere Softwarekomponenten gemäß diesem
Verständnis anzuführen?

Wenn ja, welche?

7. Welche Organisationseinheit oder Person entscheidet über die Beschaffung bzw. den
Einsatz von solchen Softwareprodukten bzw. wie sieht der diesbezügliche Ablauf aus?

8. Sind die Organe der Personalvertretung und/oder der/die Datenschutzbeauftragte in solche
Abläufe gemäß Frage 7 eingebunden?

9. Welche Organisationseinheit oder Person entscheidet unter welchen Rahmenbedingungen
über die Einsicht in die durch solche Softwareprogramme gesammelten Daten und/oder
über die Durchführung von Auswertungen bzw. wie sieht der diesbezügliche Ablauf aus?

10. Sind die Organe der Personalvertretung und/oder der/die Datenschutzbeauftragte in solche
Abläufe gemäß Frage 9 eingebunden?

11. Welche Vorkehrungen werden in Ihrem Ressort getroffen, damit die technischen
Möglichkeiten, die mit zugekaufter kommerzieller Software zur Mitarbeiterüberwachung
gegeben sind, nicht oder nur unter der Maßgabe der rechtlichen Rahmenbedingungen
angewendet werden?

12. Erfolgt in Ihrem Ressort bei der Verwendung von personenbezogenen Daten für
dienstrechtliche oder disziplinarrechtliche Angelegenheiten eine Prüfung, ob die

verwendeten Daten rechtmäßig (insbesondere datenschutzkonform) ermittelt, verarbeitet
oder übermittelt wurden?

13. Erfolgt in Ihrem Ressort bei der Verwendung von personenbezogenen Daten für
dienstrechtliche oder disziplinarrechtliche Angelegenheiten eine Prüfung, zu welchem
Zweck vorhandene Daten ermittelt, verarbeitet oder übermittelt wurden?

14. Haben die Bediensteten in Ihrem Ressort die Möglichkeit, sich vollständig darüber zu
informieren, welche ihrer Person zugeordneten oder zuordenbare Daten ermittelt,
gespeichert, verarbeitet oder übermittelt werden und zu welchem Zweck dies erfolgt?
Wie erfolgt diese Information und durch wen?

15. Haben die Bediensteten in Ihrem Ressort die Möglichkeit, die ihrer Person zugeordneten
oder zuordenbaren Daten richtig zu stellen oder löschen zu lassen?

Wenn ja, wie erfolgt dies und durch wen?

16. Werden Sie sich für eine einheitliche und datenschutzrechtlich korrekte Vorgangsweise in
der österreichischen Bundesverwaltung einsetzen?

17. Treten Sie dafür ein, dass in Zukunft einheitliche Regelungen über den Einsatz von
Software zur Kontrolle der Sicherung der Funktionstüchtigkeit der EDV-Systeme und zur
Gewährleistung der Datensicherheit im Bundesbereich geschaffen werden?