Aufklärung der Datenschutzaffäre bei der Deutschen Bahn AG

[Deutscher Bundestag Drucksache 17/2229 17. Wahlperiode 18. 06. 2010 Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums der Justiz vom 17. Juni 2010 übermittelt. Die Drucksache enthält zusätzlich – in kleinerer Schrifttype – den Fragetext. Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Sabine Leidig, Jan Korte, Herbert Behrens, weiterer Abgeordneter und der Fraktion DIE LINKE. – Drucksache 17/1916 – Aufklärung der Datenschutzaffäre bei der Deutschen Bahn AG Vo r b e m e r k u n g d e r F r a g e s t e l l e r Unter dem Vorstandsvorsitzenden der Deutschen Bahn AG (DB AG) Hartmut Mehdorn „unterzog (…) die Bahn im Zuge von Korruptionsbekämpfung ihre Beschäftigten systematisch einer Rasterfahndung“ (stern vom 2. April 2009). Die Daten von mehr als 170 000 Mitarbeiterinnen und Mitarbeitern wurden mit Tausenden Partner-Firmen abgeglichen. Dabei gab es im Zeitraum 2000 bis 2008 „mehrere Wellen solcher Screenings – ohne Wissen von Belegschaft und Betriebsrat“ (WELT KOMPAKT vom 26. März 2009). Der größte Teil dieser Ausspähaktionen wurde von dem Unternehmen Network Deutschland GmbH durchgeführt, das lediglich auf Basis von mündlichen Vereinbarungen aktiv war (Bericht des Berliner Beauftragten für Datenschutz und Informationsfreiheit vom 28. Oktober 2008). Es ging bei den verschiedenen Bespitzelungen in einigen Fällen auch darum, Kritiker der Bahnprivatisierung zu identifizieren. ,Bei der Aktion „leakage“ wollten die konzerninternen Sicherheitsleute wissen, ob Bahnmitarbeiter Journalisten oder Kritiker des geplanten Bahnbörsengangs mit Informationen versorgten (…). Von März 2005 bis Oktober 2008 wurden täglich rund 145 000 Mails automatisch auf bestimmte Adressaten hin kontrolliert. Eine elektronische Streikinfo der Gewerkschaft Deutscher Lokomotivführer (GDL) fischte das Unternehmen aus dem Verkehr.‘ (stern vom 2. April 2009). Im Mai 2009 wurde bekannt, dass die Bahn im gleichen Zeitraum mindestens 1,3 Mio. Euro für versteckte Werbung zugunsten des Bahnbörsengangs in Medien, für Blogs und Internetforen ausgab. In diesem Zusammenhang wurde durch die von der DB AG bezahlte Agentur EPPA die Website „meinebahndeinebahn.de“ aufgebaut, die sich als Bürgerinitiative für die Bahnprivatisierung und faktisch als börsenfreundliches Gegenstück zur Website www.deinebahn.de der Kritikerinnen und Kritiker des Bahnbörsengangs, dem Bündnis „Bahn für Alle“, ausgab (ap vom 28. Mai 2009). Die letztgenannten manipulativen Maßnahmen waren – so Bahnchef Dr. Rüdiger Grube – „mit dem Grundsatz eines transparenten (…) Dialogs mit der Öffentlichkeit in keiner Weise vereinbar“ (ap vom 28. Mai 2009). Die zuvor skizzierten Ausspähaktivitäten waren offensichtlich gesetzeswidrig. Die Verantwortlichen bei der DB AG waren sich dessen bewusst und versuchten Belege zu vernichten: ,Im Verkehrsausschuss des Bundestages erklärten KPMG-Sonderermittler, dass Wolfgang Schaupensteiner (Anm.: der damalige Korruptionsbeauftragte der DB AG) (…) am 20. Januar (2009) die Vernichtung der „Ereignisdatenbank Ermittlungen“ angeordnet (habe), in der seit 2001 alle Fälle von Verstößen gegen Unternehmensrichtlinien erfasst wurden.‘ (Stuttgarter Zeitung vom 29. Mai 2009). Da der damalige Vorstand der Deutschen Bahn AG nicht gewillt war, die erforderliche Aufklärung zu organisieren, entzog der Aufsichtsrat des Konzerns am 18. Februar 2009 dem Vorstand diese Aufgabe und beschloss eine Sonderermittlung unter Führung des Aufsichtsrats, ausgeführt durch die Wirtschaftsprüfungsgesellschaft KPMG AG sowie die beiden ehemaligen Bundesminister und Juristen Gerhart R. Baum und Prof. Dr. Herta Däubler-Gmelin. Ende März 2009 trat Hartmut Mehdorn als Folge der Datenaffäre als Vorstandsvorsitzender der DB AG zurück. Am 13. Mai 2009 stellte der Aufsichtsrat die Empfehlungen der Sonderermittler zur Abstimmung. Unter anderem wurde dabei beschlossen, dass der neue Vorstand in Verantwortung des Vorstandsvorsitzenden Dr. Rüdiger Grube die umfassende und vollständige Aufklärung aller Aspekte der Affäre übernimmt und abschließt. Die Sonderermittler hatten mitgeteilt, dass sie zum Stichtag der Berichtsabfassung sehr viele Unterlagen noch nicht gesehen hatten. Im Ausschuss für Verkehr, Bau und Stadtentwicklung des Deutschen Bundestages konstatierte der neue Bahnchef Dr. Rüdiger Grube am 20. Mai 2009, dass noch viele Unterlagen ungesichtet sind und dringend weiterer Aufklärungsbedarf besteht. Auf der Sitzung desselben Ausschusses vom 24. Februar 2010 äußerte Dr. Rüdiger Grube die Hoffnung, dass die Untersuchungen in der Datenaffäre „möglichst schnell abgeschlossen werden“. 1. Betrachtet die Bundesregierung die Datenaffäre bei der Deutschen Bahn AG als vollständig aufgeklärt und aufgearbeitet (Begründung)? Die Bundesregierung betrachtet die Datenaffäre bei der Deutschen Bahn AG durch die vom Aufsichtsrat beauftragte Sonderuntersuchung der KPMG sowie der Rechtsanwälte Prof. Dr. Herta Däubler-Gmelin und baum reiter & collegen und die weiteren in diesem Zusammenhang durchgeführten Untersuchungen als aufgearbeitet. Der Vorstand der DB AG hat die notwendigen organisatorischen und personellen Konsequenzen aus den Feststellungen gezogen. Die staatsanwaltschaftlichen Ermittlungen zur Datenaffäre sind noch nicht abgeschlossen. 2. Was hat die Bundesregierung, vermittelt über ihre Vertreter im Aufsichtsrat, getan, um sicherzustellen, dass der Vorstand und der Aufsichtsrat die Beschlüsse vom 13. Mai 2009 nach weiterer Aufklärung in der Ausspähaffäre umsetzen? 3. Wann hat sich der Aufsichtsrat der Deutschen Bahn AG nach dem 13. Mai 2009 mit der Aufarbeitung und den Konsequenzen aus der Datenaffäre befasst? Die Fragen 2 und 3 werden wegen ihres Sachzusammenhangs gemeinsam beantwortet. Der Aufsichtsrat der DB AG und insbesondere der Prüfungs- und Complianceausschuss des Aufsichtsrates der DB AG haben sich auch nach dem 13. Mai 2009 mehrfach mit der Umsetzung seiner Beschlüsse befasst. Damit haben auch die Bundesvertreter ihre aktienrechtlichen Überwachungs- und Kontrollbefugnisse vollumfänglich wahrgenommen. Die Einzelheiten unterliegen der Verschwiegenheitspflicht nach den §§ 116, 93 des Aktiengesetzes (AktG). 4. Wer hat auf Grundlage welcher Erkenntnisse geprüft, ob einzelne Mitglieder des alten Vorstandes schadensersatzpflichtig sind, und wem gegenüber wurde in welcher Höhe der Schadensersatzpflicht nachgekommen? 5. Ist die Aussage von Gerd Becht, Vorstandsmitglied der Deutschen Bahn AG in der Zeitung „DER TAGESSPIEGEL“ vom 25. Mai 2010, dass es keinen Beleg dafür gäbe, dass sich der Vorstand etwas zuschulden hätte kommen lassen, so zu verstehen, dass die Prüfung der Schadensersatzhaftung des alten Vorstandes abgeschlossen ist? Wenn ja, warum wird dies vor dem Hintergrund noch laufender Ermittlungen (ebd.) so gesehen? Wenn nein, wann ist mit einer abschließenden Bewertung zu rechnen? Die Fragen 4 und 5 werden wegen ihres Sachzusammenhangs gemeinsam beantwortet. Der Aufsichtsrat der DB AG hat in seiner Sitzung am 13. Mai 2009 die PwC AG Wirtschaftsprüfungsgesellschaft, Berlin (PwC) mit der Durchführung einer externen Prüfung zur möglichen aktienrechtlichen Verantwortung des Vorstandes wegen Vernachlässigung der Pflicht zur Gewährleistung der Rechtskonformität im Zeitraum vom 1. Januar 1995 bis 9. Februar 2009 gemäß § 93 AktG beauftragt. Die PwC ist in ihrem diesbezüglichen Schlussbericht zu dem Ergebnis gekommen, dass ein Verschulden der heutigen oder ehemaligen Vorstandsmitglieder nicht festgestellt werden könne. Am 9. September 2009 hat der Aufsichtsrat der DB AG abschließend festgestellt, dass auf der Basis des Schlussberichts der PwC keine rechtlichen Schritte in dieser Angelegenheit gegenüber heutigen oder ehemaligen Mitgliedern des Vorstandes zu ergreifen seien. 6. Fühlt sich der im April 2010 neu bestimmte Aufsichtsrat der Deutschen Bahn AG der vollständigen Aufklärung der Datenaffäre verpflichtet, und welche Schritte hat er dazu bislang unternommen? Der im März 2010 neu gewählte Aufsichtsrat wird dem Thema Datenschutz auch weiterhin einen hohen Stellenwert einräumen. 7. Gibt es Aussagen des neuen Aufsichtsratsvorsitzenden, welche Schritte er in dieser Angelegenheit zu unternehmen gedenkt? Der neue Aufsichtsratsvorsitzende hat auch öffentlich mehrfach darauf hingewiesen, dass er den Themen Datenschutz und Compliance sehr hohe Bedeutung beimisst. 8. Welche Ermittlungen in welchen konkreten Verdachtsfällen laufen derzeit noch (siehe Interview mit dem Bahnvorstandsmitglied Gerd Becht in der Zeitung DER TAGESSPIEGEL vom 25. Mai 2010)? Die Staatsanwaltschaft Berlin führt im Zusammenhang mit der Datenaffäre ein Ermittlungsverfahren. Der Hinweis im Interview bezog sich auf ein damit in keinem Zusammenhang stehendes Ermittlungsverfahren der Staatsanwaltschaft Frankfurt am Main. 9. Werden die Ergebnisse der Aufarbeitung der Datenaffäre bei der Deutschen Bahn AG in einem Endbericht öffentlich gemacht analog zu den Zwischenberichten vom Mai 2009 (Begründung)? Die Ergebnisse der Datenaffäre wurden am 13. Mai 2009 den Aufsichtsräten der DB AG und der DB Mobility Logistics AG vorgestellt. Hierbei handelte es sich bereits um den Abschlussbericht. 10. Wann hat die Deutsche Bahn AG das vom Berliner Beauftragten für Datenschutz und Informationsfreiheit verhängte Bußgeld in Höhe von 1,1 Mio. Euro bezahlt? Die DB AG hat das verhängte Bußgeld im November 2009 bezahlt. 11. Laufen weitere Ermittlungen des Berliner Beauftragten für Datenschutz und Informationsfreiheit und/oder des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, und wenn ja, welche? Das Verfahren des Berliner Datenschutzbeauftragten ist abgeschlossen. Das Verfahren des Bundesdatenschutzbeauftragten ist noch nicht abgeschlossen. 12. In welchen Fällen ermitteln die Sonderermittler der KPMG AG derzeit? Sonderermittlungen der KPMG im Zusammenhang mit der Datenaffäre finden nicht mehr statt. Die KPMG unterstützt die DB AG aktuell bei der Untersuchung eines Korruptionsverdachts, der in keinem Zusammenhang mit der Datenaffäre steht. 13. Führen auch die beiden Anwälte Gerhart R. Baum und Prof. Dr. Herta Däubler-Gmelin weitere Ermittlungen durch? Wenn ja, bis wann voraussichtlich? Wenn nein, wann endete das Mandat? Nein. Mit der Einreichung des Abschlussberichts im Mai 2009 endete das Mandat. 14. Auf der Basis welcher Beschlüsse oder Vereinbarungen haben die Sonderermittler seit Mai 2009 weitere Ermittlungen durchgeführt? Nach dem Mai 2009 haben die Sonderermittler im Zusammenhang mit der Datenaffäre keine Ermittlungen mehr durchgeführt. Sie haben die DB AG allerdings bei der Aufarbeitung der Ermittlungsergebnisse unterstützt. 15. Haben die Sonderermittler nach dem Mai 2009 von weiteren „Überwachungsmethoden“ im Prüfungszeitraum ab 1995 bei der Deutschen Bahn AG erfahren? Im Nachgang zu einem „SPIEGEL“-Bericht im Januar 2010 (Ausgabe 02/10) hat die DB AG mit den Sonderermittlern über die Relevanz einer einmaligen daktyloskopischen Untersuchung (d. h. mit einem Verfahren zur Feststellung von Fingerabdrücken) diskutiert. 16. Hat der neue Vorstand der Deutschen Bahn AG einen umfassenden Überblick über sämtliche die Datenaffäre betreffenden Unterlagen in Papier- und elektronischer Form? Der Vorstand hat einen umfassenden Überblick über die wesentlichen Ergebnisse der Ermittlungen. 17. Haben die Sonderermittler sämtliche die Datenaffäre betreffenden Unterlagen – in Papier- und elektronischer Form – zur Bewertung eingesehen? 18. Um welche Quantität von relevanten Unterlagen handelt es sich? Die Fragen 17 und 18 werden wegen ihres Sachzusammenhangs gemeinsam beantwortet. Die Sonderermittler haben auf der Grundlage ihres Aufklärungsauftrages der DB AG aufgegeben, welche Dokumente für die Ermittlungen benötigt werden. Anhand dieser Anforderungen hat die DB AG alle Dokumente zur Verfügung gestellt. Dabei handelte es sich um Millionen Seiten in Papier- und elektronischer Form. 19. Ist gesichert, dass zwischenzeitlich alle Unterlagen (Personalakten, Verfahrensakten, Disziplinarakten etc.), die mit illegal erhobenen Daten versehen waren, um diese Daten „bereinigt“ sind? Wenn ja, wer hat die Bereinigung und Löschung vorgenommen? Wenn nein, warum nicht? Auf Veranlassung des Vorstands der DB AG wurde im vergangenen Jahr eine sog. Datenquarantäne eingerichtet. Der Konzerndatenschutzbeauftragte, dem als Vertrauensperson der Mitarbeiter und als neutrale Instanz das Thema überantwortet worden war, hat mit der KPMG ein entsprechendes Projekt aufgesetzt und mit dem Datenschutzbeauftragten des Landes Berlin, Dr. Alexander Dix, abgestimmt. Im Rahmen dieses Projektes wurden alle unzulässig erhobenen Daten sowie alle zulässig erhobenen, aber nicht mehr benötigten, Daten in eine sichere Datenquarantäne verbracht. Zur Wahrung der Interessen Betroffener wurden die genannten Daten dem Zugriff der DB AG entzogen. Auf Wunsch der Staatsanwaltschaft Berlin wurde bislang auf eine endgültige Löschung verzichtet. 20. Ist die Information zutreffend, dass es bei der Deutschen Bahn AG einen Datenquarantäneraum gibt, und wenn ja, wie ist er gesichert, und welchen Zweck erfüllt er? 21. Welche und wie viele Unterlagen, Akten und elektronische Daten, werden in diesem Quarantäneraum gelagert? 22. Wer kennt den genauen Inhalt und die genaue Menge der erfassten Unterlagen in dem Datenquarantäneraum, und gibt es für diesen ein detailliertes Verzeichnis? 23. Ist der zuständige Berliner Beauftragte für Datenschutz und Informationsfreiheit über den genauen Bestand des Quarantäneraums informiert? 24. Sind die Sonderermittler über den Datenquarantäneraum informiert, und haben diese sämtliche in diesem Raum befindlichen Unterlagen durchsehen können? 25. Existiert ein Verzeichnis, wer, wann und mit wem den Datenquarantäneraum betritt, um Akten herein- und herauszunehmen? Die Fragen 20 bis 25 werden wegen ihres Sachzusammenhangs gemeinsam beantwortet. Es existieren mehrere sog. Quarantäneräume für Unterlagen in Papierform, die verschlossen und versiegelt sind. Weiterhin gibt es einen Quarantäneserver für elektronische Daten mit einem sicheren Zugriffskonzept. Alle Datenquarantäneräume sind mit Siegeln der KPMG gesichert, die Schlüssel werden von namentlich bekannten Mitarbeitern verwahrt. Ein Verzeichnis über den Zutritt wird geführt. Die KPMG führt ein vollständiges Verzeichnis der Siegel und deren Verwendung. Aus datenschutzrechtlichen Gründen ist darauf verzichtet worden, ein Inhaltsverzeichnis der eingelieferten Daten und Unterlagen zu führen. Auf Wunsch der Staatsanwaltschaft Berlin wurde bislang auf eine endgültige Löschung verzichtet, um etwaige Beweismittel nicht vor Beendigung der dortigen Ermittlungen zu vernichten. Das Gesamtkonzept der Datenquarantäne wurde mit dem Konzerndatenschutzbeauftragten und dem Datenschutzbeauftragten des Landes Berlin, Dr. Alexander Dix, sowie mit der KPMG abgestimmt. Eine eigene Durchsichtsmöglichkeit für die Sonderermittler bestand nicht. Die Sonderermittler waren jedoch über Existenz und Funktion des Datenquarantäneraums informiert. Insbesondere war die KPMG bei der Einrichtung einbezogen. 26. Gibt es inzwischen nähere Erkenntnisse über das Abhören von Mitarbeitern der Deutschen Bahn AG, die Dr. Rüdiger Grube in der Sitzung des Ausschusses für Verkehr, Bau und Stadtentwicklung am 24. Februar 2010 weiterhin „nicht ausschließen“ konnte? 27. Welcher Art sind diese Erkenntnisse ggf. (z. B. Zeitraum, Umfang)? Die Fragen 26 und 27 werden wegen ihres Sachzusammenhangs gemeinsam beantwortet. Erkenntnisse über das Abhören von Mitarbeitern liegen nicht vor. 28. Ist es zutreffend, dass bei einzelnen Unternehmen der Deutschen Bahn AG „seit Mitte der neunziger Jahre fortlaufend Krankheitsdiagnosen von Mitarbeitern in EDV-Systemen erfasst wurden“ (Süddeutsche Zeitung vom 19. März 2010), und wenn ja, bei wie vielen Mitarbeitern wurden solche Daten erfasst, um welche Unternehmen handelt es sich, und auf welchen Wegen sind die Unternehmen an die Krankheitsdiagnosen gelangt? Nach Bekanntwerden der systematischen Vorgehensweise zur Erfassung von krankheitsbezogenen Daten in der DB Sicherheit GmbH fanden im August 2009 Ad-hoc-Revisionen in 28 Konzerngesellschaften aller Vorstandsressorts der DB AG statt. Ergebnis war, dass in allen geprüften Gesellschaften keine mit den Vorgängen bei der DB Sicherheit GmbH vergleichbaren Unregelmäßigkeiten festzustellen waren. 29. Wurden diese Diagnosedaten inzwischen in allen relevanten Personalakten und sonstigen Systemen gelöscht respektive geschwärzt? 30. Wer hat diese Löschungen ggf. wann veranlasst und durchgeführt? Die Fragen 29 und 30 werden wegen ihres Sachzusammenhangs gemeinsam beantwortet. Die Löschung bzw. Schwärzung von Diagnosedaten in Personalakten oder sonstigen Systemen ist in den überprüften Konzerngesellschaften durch die zuständigen Personalabteilungen bis Ende des ersten Quartals 2010 abgeschlossen worden. 31. Wurden alle von der Datenaffäre Betroffenen über den Bestand von sie betreffenden, unrechtmäßig erhobenen personenbezogenen Daten informiert? Wenn ja, auf welche Weise, und in welchem Umfang? Wenn nein, warum nicht? 32. Wurden alle diejenigen, die von unrechtmäßigen Maßnahmen betroffen waren und über die Dokumente im Quarantäneraum vorliegen, hierüber informiert? Wenn ja, von wem, und auf welche Weise? Wenn nein, warum nicht? 33. Wie viele Personen waren außer bei den Screenings insgesamt von besonderen unrechtmäßigen Einzelüberwachungsmethoden betroffen? 34. Wie viele betroffene Mitarbeiterinnen und Mitarbeiter haben sich bei den Sonderermittlern gemeldet, damit ihre jeweiligen Einzelfälle aufgearbeitet werden? Die Fragen 31 bis 34 werden wegen ihres Sachzusammenhangs gemeinsam beantwortet. Eine belastbare Aussage über die Anzahl der Betroffenen wurde im Rahmen der Ermittlungen nicht festgestellt. Die den Sonderermittlern, d. h. der KPMG sowie den Rechtsanwälten Gerhart R. Baum und Prof. Dr. Herta Däubler-Gmelin bekannten, von der Datenaffäre betroffenen Personen wurden im Zeitraum von April bis Juni 2009 mit persönlichen Schreiben sowohl der Sonderermittler als auch des Vorstandsvorsitzenden, Dr. Rüdiger Grube, kontaktiert. Dabei handelte es sich um 635 Mitarbeiterinnen und Mitarbeiter. In diesen Schreiben wurden die Betroffenen darüber informiert, dass die Ermittler im Zuge der Untersuchungen der bekannt gewordenen Screeningaktionen auf die Namen der Betroffenen gestoßen seien. Von den 635 angesprochenen Mitarbeitern haben 350 das Angebot zur gemeinsamen Aufarbeitung angenommen. 35. An wie viele Betroffene wurden Entschädigungen gezahlt, und in welcher Gesamthöhe? In einzelnen Fällen wurden verschiedene Maßnahmen zur Wiedergutmachung eingeleitet und durchgeführt. In allen bekannten Fällen erfolgte eine persönliche Entschuldigung des Vorstandsvorsitzenden der DB AG. Entschädigung in Geldform wurde in einem Fall gezahlt. Die Höhe der Zahlung unterliegt der Vertraulichkeit. 36. Hat der neue Vorstand oder haben die Sonderermittler Verantwortliche für die Datenverstöße respektive Rechtsverstöße identifizieren können, und wurden diesen gegenüber Schadenersatzforderungen geltend gemacht? Wenn ja, gegenüber wie vielen Personen, und in welcher Höhe? Wenn nein, warum nicht? 37. Gegen wie viele Verantwortliche hat die Deutsche Bahn AG Strafanzeige gestellt, und in welchem Verfahrensstand befinden sich diese ggf.? 38. Gegen wie viele Verantwortliche wurde von anderer Seite Strafanzeige gestellt, wie viele wurden davon durch die zuständigen Datenschutzbeauftragten und wie viele durch Mitarbeiter der Deutschen Bahn AG veranlasst, und in welchem Verfahrensstand befinden sich diese ggf.? Die Fragen 36 bis 38 werden wegen ihres Sachzusammenhangs gemeinsam beantwortet. Der Aufsichtsrat der DB AG hat am 9. September 2009 abschließend festgestellt, dass auf Basis des Schlussberichts der PwC keine rechtlichen Schritte in dieser Angelegenheit gegenüber heutigen oder ehemaligen Mitgliedern des Vorstandes zu ergreifen seien. Neben der nahezu vollständigen Auswechslung des Vorstands hat sich die DB AG von einigen Managern und Mitarbeitern unterhalb der Ebene des Vorstands durch die Vereinbarung von Aufhebungsverträgen bzw. Kündigungen getrennt. Die DB AG hat sich dabei die Geltendmachung von Schadensersatzansprüchen explizit vorbehalten. Der Vorstand der DB AG hat im Anschluss an die Sonderuntersuchung ein Gutachten beauftragt, welche weiteren Maßnahmen zu ergreifen wären, insbesondere die Stellung von Strafanträgen und Strafanzeigen. Entsprechend der Empfehlung des Gutachtens hat die DB AG den Sachverhalt der Staatsanwaltschaft umfassend vorgelegt und Strafanzeige sowie Strafanträge gestellt. Die staatsanwaltschaftlichen Ermittlungen sind noch nicht abgeschlossen. Soweit bekannt, wurden auch von dritter Seite Strafanzeigen gestellt. 39. Wie ist der Hinweis zu der neuen Datenschutzbeauftragten der Deutschen Bahn AG Chris Newiger zu verstehen: „Wenn künftig etwas schiefläuft beim Datenschutz, trägt sie die Verantwortung. Grube ist dann fein raus.“ (FINANCIAL TIMES DEUTSCHLAND vom 23. März 2010)? Dies ist keine Aussage der Konzerndatenschutzbeauftragten. Vielmehr handelt es sich um eine wertende Schlussfolgerung des Journalisten der „FINANCIAL TIMES DEUTSCHLAND“. 40. Warum soll die neue wirksame Konzernbetriebsvereinbarung zum Schutz der Persönlichkeitsrechte der Mitarbeiterinnen und Mitarbeiter des DB Konzerns zum Arbeitnehmerdatenschutz erst im Herbst 2010 abgeschlossen werden (siehe DER TAGESSPIEGEL vom 25. Mai 2010)? 41. Wird diese für die Nutzung sämtlicher Informationstechnik (wie BKU- Rechner, E-Mail-Accounts etc.) gelten (Begründung)? 42. Welche Aspekte sind im Eckpunktepapier zum Arbeitnehmerdatenschutz zwischen der Deutschen Bahn AG und Arbeitnehmervertretern benannt, und wann wurden diese vereinbart? Die Fragen 40 bis 42 werden wegen ihres Sachzusammenhangs gemeinsam beantwortet. Die Grundsätze zum Beschäftigtendatenschutz sind in der Vereinbarung zu Eckpunkten für einen Arbeitnehmerdatenschutz im DB AG-Konzern vom 24. November 2009 dargelegt. Diese hat der Vorstand der DB AG am 24. November 2009 mit dem Konzernbetriebsrat abgeschlossen. Die Vereinbarung hat die Wirkung einer Konzernbetriebsvereinbarung und beinhaltet die Verpflichtung des Konzerns zu den wesentlichen Bereichen des Beschäftigtendatenschutzes. Das derzeit noch in Verhandlung befindliche Gesamtregelungswerk der Konzernbetriebsvereinbarung Arbeitnehmerdatenschutz für die Beschäftigtendaten in sämtlicher Informationstechnik wird hinsichtlich der Detailregelungen im Herbst 2010 vollständig abgeschlossen sein. Das bereits vorliegende Eckpunktepapier legt die Konzerngrundsätze zum Arbeitnehmerdatenschutz für die als nächsten Schritt abzuschließende Konzernbetriebsvereinbarung fest und gilt bis zu deren Inkrafttreten. Es regelt eine Vielzahl von Punkten, insbesondere die Voraussetzungen und Modalitäten der Erhebung und des Umgangs mit personenbezogenen Daten von Beschäftigten und Bewerbern. Diese Regelungen werden auch durch organisatorische Vorkehrungen, Beteiligungsrechte der Arbeitnehmervertretungen sowie Maßnahmen zur Datensicherung im Rahmen der elektronischen Datenverarbeitung flankiert. 43. Wurde bereits ein neues Ombudssystem oder ein vergleichbares System bei der Deutschen Bahn AG eingerichtet? Wenn nein, warum nicht? Wenn ja, inwiefern sind diese Systeme neu oder wie wurden die Erfahrungen aus den Datenmissbräuchen bei der Konzeption, Struktur und sonstigen Ausgestaltung berücksichtigt und umgesetzt? Die DB AG hat in der Folge der Datenaffäre den Vorschlägen der Sonderuntersuchung folgend ein neues Vorstandsressort Compliance, Datenschutz und Recht geschaffen. Dabei wurden insbesondere die Bereiche Datenschutz und Compliance sowie der Umgang mit Hinweisen auf Rechtsverstöße völlig neu geordnet und personell verstärkt. Ein Teil der Neuausrichtung ist ein neues Hinweismanagementsystem, in das auch ein Ombudssystem eingebunden ist. 44. Wurde ein neues Compliance-System implementiert? Wenn nein, warum nicht? Wenn ja, inwiefern sind diese Systeme neu oder wie wurden die Erfahrungen aus den Datenmissbräuchen bei der Konzeption, Struktur und sonstigen Ausgestaltung berücksichtigt und umgesetzt? Der DB AG-Konzern hat als Konsequenz aus der Datenaffäre und aufgrund der Empfehlungen der Sonderermittler insbesondere zahlreiche organisatorische Maßnahmen umgesetzt, darunter z. B. folgende: – Einrichtung und Besetzung eines Vorstandsressorts Compliance, Datenschutz und Recht; – Erweiterung des Prüfungsausschusses des Aufsichtsrats der DB AG zum Prüfungs- und Complianceausschuss; – Einrichtung eines Konzerndatenschutzbeirates, die erste Tagung des Gremiums erfolgte im Mai 2010; – Aufbau eines dezentralen Compliance Management Systems mit weltweit verankerten Compliance Officers, die lokal vor Ort als erste Ansprechpartner zum Thema Compliance fungieren sollen und Teil des Compliance Reporting Systems sind, Auswahl und Ernennung der Compliance Officer sind eingeleitet; – Aufbau eines dezentralen Datenschutz Management Systems. 45. Gehört die Einrichtung eines Systems oder Verfahrens des „Whistleblowings“ zu einer der umgesetzten Erfahrungen bzw. ist dieses vorgesehen? Auch für die Zukunft ist ein Hinweismanagement vorgesehen. Es befindet sich derzeit noch in Abstimmung mit dem Konzernbetriebsrat und wird datenschutzrechtliche Belange mit einer besonderen Sensibilität berücksichtigen. 46. In welchen Abteilungen haben wann wie viele Fortbildungen zu rechtlichen Grundlagen und betrieblicher Praxis des Datenschutzes stattgefunden? Die o. g. Eckpunktevereinbarung zum Arbeitnehmerdatenschutz im DB AG- Konzern vom 24. November 2009 wurde allen leitenden Angestellten des DB AG-Konzerns zugesandt, um diese für die Einhaltung des Datenschutzes zu sensibilisieren. Durch den Konzernbetriebsrat wurde die Eckpunktevereinbarung allen Betriebsräten des DB AG-Konzerns zur Verfügung gestellt. Arbeitgeber- und Arbeitnehmerseite führten am 2. Dezember 2009 ergänzend eine gemeinsame Fachkonferenz zum Thema „Konsequenzen aus der Datenschutzaffäre – Missbrauch künftig ausgeschlossen?“ durch, um den Auftakt für die Informationskampagne der Führungskräfte und Betriebsräte zu bilden. Seit Juni 2009 sind 34 Schulungen/Fortbildungsmaßnahmen durchgeführt worden. Zielgruppen waren insbesondere Funktionen, die als Multiplikator tätig werden: Ansprechpartner Datenschutz, Personalleiter, Geschäftsführer, Regionalleiter, Abteilungsleiter, Führungskräfte, Teamleiter, Ausbildungsleiter, Projektleiter, IT-Manager sowie Auszubildende. Gesamtherstellung: H. Heenemann GmbH & Co., Buch- und Offsetdruckerei, Bessemerstraße 83–91, 12103 Berlin, www.heenemann-druck.de Vertrieb: Bundesanzeiger Verlagsgesellschaft mbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.betrifft-gesetze.de ISSN 0722-8333]