Datenschutz

Datenschutz in Internal Investigations

Arbeitsweg

• Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
• Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen.
• Tragende Normen verifizieren: DSGVO Art. 5, 6, 7, 9, 12-22, 25, 28, 30, 32, 33-34, 35, 51-58, 77-83, BDSG §§ 22-25, 26, 30; StPO §§ 53, 97, 102, 110, 136, 137, 152, 153a, BGB §§ 280, 626, BRAO § 43a, GwG, AntiDopG, HinSchG; StPO; HinSchG — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
• Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail).
• Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.

Rechtlicher Rahmen

Internal Investigations sind datenschutzrechtlich hochriskant. Jede Verarbeitung personenbezogener Daten von Mitarbeitern, Verdächtigen oder Zeugen bedarf einer Rechtsgrundlage nach der DSGVO (eur-lex.europa.eu) und dem BDSG (gesetze-im-internet.de). Die Kernorm für Beschäftigtendaten ist § 26 BDSG, der für die Verarbeitung zur Aufdeckung von Straftaten spezifische Voraussetzungen aufstellt (gesetze-im-internet.de). Verstöße gegen die DSGVO können zu Bußgeldern bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes führen (Art. 83 DSGVO) und Beweisverwertungsverbote auslösen.

Ziel dieses Skills

Dieser Skill stellt für jede Untersuchungsmaßnahme eine DSGVO-konforme Rechtsgrundlage sicher, dokumentiert die Interessenabwägung und verhindert, dass Datenschutzverstöße das Ermittlungsergebnis oder den Bericht kompromittieren.

Arbeitsprogramm

1. Rechtsgrundlagen im Überblick

• § 26 Abs. 1 S. 2 BDSG: Verarbeitung zur Aufdeckung von Straftaten – tatsächliche Anhaltspunkte erforderlich, Verhältnismäßigkeit wahren (gesetze-im-internet.de).
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigtes Interesse des Unternehmens – Dreistufentest (Interesse, Notwendigkeit, Abwägung mit Betroffeneninteressen).
• Art. 6 Abs. 1 lit. c DSGVO: Rechtliche Verpflichtung (z. B. BaFin-Anforderungen, HinSchG-Pflichten).
• Betriebsvereinbarung als Erlaubnisgrundlage nach § 26 Abs. 4 BDSG.

2. E-Mail-Auswertung

• Zulässigkeit: § 26 BDSG bei konkretem Straftatverdacht; reine Verhaltensüberwachung ohne Verdacht regelmäßig unzulässig.
• Technische Anforderung: Suche über Schlüsselwörter (keyword search) ist weniger eingriffsintensiv als vollständiges Lesen aller E-Mails.
• Private Nutzung: Erlaubnis privater E-Mail-Nutzung schafft erhöhten Schutzanspruch (BAG-Rechtsprechung; vgl. § 88 TKG a. F. / § 3 TTDSG).
• Betriebsrat: Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG bei systematischer Überwachung.

3. Chat-Logs und Collaboration-Tools

• Teams, Slack, WhatsApp: grundsätzlich wie E-Mail zu behandeln.
• Besonderheit: Ende-zu-Ende-Verschlüsselung (WhatsApp Business) kann Auswertung erschweren oder unmöglich machen.
• Retention-Policies der Plattformen beachten (z. B. 30-Tage-Löschung in Teams standardmäßig).
• Legal Hold muss vor Löschfrist aktiviert werden.

4. Forensik-Maßnahmen

• Vollständige Image-Erstellung von Laptops, Servern: eingriffsintensivste Maßnahme.
• Verhältnismäßigkeit: Ist ein vollständiges Image erforderlich, oder reicht eine gezielte Datensicherung?
• Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Scope auf relevante Zeiträume, Ordner und Personen eingrenzen.
• Drittstaatentransfer: Forensik-Dienstleister mit US-Rechtsträger → DSGVO-Kapitel V, Standardvertragsklauseln (SCC) nach Schrems II (EuGH C-311/18, curia.europa.eu).

5. Betroffenenrechte und Ausnahmen

• Auskunftsrecht (Art. 15 DSGVO): Betroffener kann Auskunft über alle über ihn gespeicherten Daten verlangen – auch Interviewprotokolle.
• Ausnahme: Art. 23 DSGVO i. V. m. § 29 BDSG erlaubt Einschränkung der Betroffenenrechte, wenn Auskunft Untersuchung gefährden oder Rechte anderer verletzen würde.
• Löschungsrecht (Art. 17 DSGVO): Entfällt während laufender Untersuchung (Art. 17 Abs. 3 lit. e DSGVO), ist aber nach Abschluss zu beachten.
• Löschkonzept für Untersuchungsdaten nach Abschluss erstellen.

6. Drittstaatentransfer

• US-Cloud-Dienste (AWS, Azure, M365): DSGVO-Kapitel V prüfen; EU-US-Data-Privacy-Framework 2023 aktuell anwendbar, aber Schrems-III-Risiko im Blick behalten.
• Forensik-Dienstleister mit US-Mutterfirma: DPA (Data Processing Agreement) und SCC abschließen.
• US-DOJ oder SEC-Anfrage: Herausgabe personenbezogener Daten in die USA bedarf DSGVO-Rechtsgrundlage (Art. 49 Abs. 1 lit. e DSGVO bei Strafverfolgung möglich, aber eng).

7. Datenpannen und Meldepflicht

• Datenpanne während Untersuchung (z. B. Leak des Berichts): Art. 33 DSGVO – Meldung an Aufsichtsbehörde binnen 72 Stunden.
• Art. 34 DSGVO: Information der Betroffenen bei hohem Risiko.
• Dokumentationspflicht (Art. 33 Abs. 5 DSGVO) auch ohne Meldepflicht.

8. Dokumentation

• Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) für die Untersuchung.
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO) bei Hochrisikomaßnahmen (vollständige Forensik, Massenauswertung).
• DSB einbinden (Art. 38 DSGVO).

Normenregister

Norm	Inhalt	Quelle
§ 26 BDSG	Beschäftigtendatenschutz	gesetze-im-internet.de
Art. 6 DSGVO	Rechtsgrundlagen	eur-lex.europa.eu
Art. 17 DSGVO	Löschungsrecht	eur-lex.europa.eu
Art. 33 DSGVO	Meldepflicht Datenpannen	eur-lex.europa.eu
Art. 35 DSGVO	Datenschutz-Folgenabschätzung	eur-lex.europa.eu
EuGH C-311/18	Schrems II	curia.europa.eu

Ausgabeformate

• DSGVO-Rechtsgrundlagen-Matrix: Maßnahme × Rechtsgrundlage × Risikostufe
• Interessenabwägung (Art. 6 Abs. 1 lit. f DSGVO) als Memo
• Datenschutz-Folgenabschätzung (DSFA) für Forensik-Maßnahmen
• Drittstaatentransfer-Analyse
• Löschkonzept nach Abschluss der Untersuchung

Rechtsprechungszitate nur mit Gericht, Datum, Aktenzeichen und frei prüfbarer Quelle.