Kartellrechts-Compliance und Datenschutz

Incompliant Compliance: Kartellrechts-Compliance-Prüfungen im Minenfeld der Datenschutzgesetze
Wenn die Kartellrechts-Compliance-Prüfung Unternehmen oder Geschäftsbereiche in der EU betrifft, darf der Rechtsrahmen der Europäischen Datenschutzgesetze nicht übertreten werden

Dr. Volker Soyez:

Kartellrechts-Compliance-Prüfungen fallen teilweise in den Bereich der Datenschutzgesetze, Bild: Lorenz

Von Dr. Volker Soyez / Jan Dhont, Lorenz Brüssel

(25.08.08) - Kartellrechts-Compliance-Programme sprießen derzeit wie Pilze aus dem Boden. Unternehmen haben verstanden, dass Kartellrechts-Compliance-Programme ein integraler Bestandteil unternehmerischen Risikomanagements sind. Es herrscht allgemeines Bewusstsein, dass kein Industriezweig und kein Unternehmen immun ist gegen die Kartellrechtsrisiken. Die Zeiten sind vorbei, in denen Unternehmen keine Gedanken auf Kartellrechts-Compliance verschwendet haben und sich dadurch erheblichen Risiken ausgesetzt haben – insbesondere der Gefahr empfindlicher Bußgelder. Unternehmen haben vielmehr erkannt, dass die Analyse und Kontrolle der relevanten Kartellrechtsrisiken im Unternehmen eine notwendige unternehmerische Pflicht darstellen.

Der Weg zur Identifizierung möglicher Kartellrechts-Verstöße und -Risiken in den eigenen Reihen führt regelmäßig über Kartellrechts-Compliance-Prüfungen (neudeutsch: Antitrust Audits). Solche Prüfungen beinhalten eine umfassende und detaillierte Analyse der wirtschaftlichen Tätigkeit des Unternehmens unter besonderer Berücksichtigung der Beziehungen zu Wettbewerbern, Zulieferern und Kunden. Eine der wichtigsten Komponenten solcher Kartellrechts-Compliance-Prüfungen ist die Durchsicht und Auswertung von Unternehmensdaten und -dokumenten, einschließlich interner und externer Kommunikation – vor allem E-Mail-Kommunikation. Je mehr relevante Daten ein Unternehmen für die Prüfung verfügbar machen kann, desto wasserdichter wird das Ergebnis der Prüfung letztendlich sein.

Heutzutage existieren die meisten der relevante Daten in elektronischer Form, so dass diese zunächst von den Unternehmens-Servern und -Computern heruntergeladen und kopiert werden müssen, bevor mit der Durchsicht und Auswertung begonnen werden kann. Hierzu werden die Daten mittlerweile standardmäßig in virtuelle Datenräume geladen, d.h. auf den Servern eines externen IT Dienstleisters gespeichert. Ein Aussortieren offensichtlich irrelevanter Dateien erfolgt zu diesem Zeitpunkt in der Regel nicht. Vielmehr gilt das Motto "je mehr Daten desto besser", und es bleibt ausschließlich dem "Review.Team" vorbehalten, darüber zu entscheiden, was relevant ist und was nicht. Die einzelnen Mitglieder des Review-Teams sind oft über den Globus verteilt.

Die Verwendung von virtuellen Datenräumen erlaubt es ihnen, unabhängig von ihrem Aufenthaltsort auf die eingespeisten Daten über das Internet zuzugreifen. Dokumente, die als relevant für die Zwecke der Kartellrechts-Compliance-Prüfung identifiziert und markiert wurden, werden dann weiter verarbeitet (d.h. ausgedruckt, kopiert, kategorisiert, klassifiziert, in Mitarbeiterinterviews diskutiert etc.) und letztendlich zur Verteidigung der Unternehmensinteressen verwendet – insbesondere im Rahmen von kartellbehördlichen Ermittlungsverfahren oder im Zivilprozess. Die Individuen, von denen die jeweiligen Daten und Dokumente stammen bzw. auf die sie sich beziehen, werden nur selten über all dies informiert, geschweige denn um Erlaubnis gefragt.

In den USA stößt diese Vorgehensweise auf keine weiteren datenschutzrechtlichen Bedenken, da die US-amerikanischen Datenschutzgesetze im Allgemeinen keine Anwendung finden, soweit Daten betroffen sind, die auf firmeneigenen Servern und Computern gespeichert sind. Solche Daten gelten als "professional" und gerade nicht als "private", so dass der Schutzbereich der US-amerikanischen Datenschutzgesetze nicht eröffnet ist.

Wenn die Kartellrechts-Compliance-Prüfung jedoch Unternehmen oder Geschäftsbereiche in der EU betrifft, ist höchste Vorsicht geboten, um den Rechtsrahmen der Europäischen Datenschutzgesetze nicht zu übertreten. Anders als in den USA sind nach den Europäischen Datenschutzgesetzen der Zugriff und die Nutzung von personenbezogenen Daten auf Unternehmens-Servern und -Computern weitgehend eingeschränkt. Neben den datenschutzrechtlichen Regelungen können sich zusätzliche Beschränkungen für den Bereich der elektronischen Kommunikation (also insbesondere für den Zugriff auf E-Mail-Korrespondenz) ergeben, der durch Telekommunikationsgesetze und in einigen Mitgliedstaaten durch Kollektivarbeitsverträge geregelt wird. Ferner wird der Zugriff auf E-Mails durch die nationalen Regeln über das Fernmeldegeheimnis beschränkt. Das Lokalisieren, Kopieren, Durchsehen, Auswählen und die weitere Verwendung von Unternehmensdaten und -Dokumenten erfordert daher erhöhte Weit- und Vorsicht, damit die Kartellrechts-Compliance-Prüfung nicht den rechtlichen Rahmens sprengt, der durch diese Gesetze abgesteckt wird. Die Bedeutung und Reichweite der Europäischen Datenschutzrechte kann nicht überbetont werden. Verstöße gegen Europäisches Datenschutzrecht können empfindliche Sanktionen in Form von Bußgeldern und in manchen Fällen sogar Gefängnisstrafen nach sich ziehen.

In der Regel ist davon auszugehen, dass Kartellrechts-Compliance-Prüfungen zumindest teilweise in den Anwendungsbereich der Datenschutzgesetze fallen, nämlich soweit der Tatbestand der "Erhebung, Verarbeitung oder Nutzung personenbezogener Daten" betroffen ist (vgl. Art. 3 der Datenschutzrichtlinie 95/46 EC; § 1 Abs. 2 BDSG). Dies ist zumindest immer dann der Fall, wenn die Prüfung auch E-Mail-Korrespondenz von Unternehmensmitarbeitern mit einbeziehen soll, die nach der Entscheidungspraxis der meisten Europäischen Datenschutzbehörden stets als "personenbezogene Daten" zu qualifizieren sind. Der Begriff der "Verarbeitung und Nutzung” wird bekanntlich sehr weit definiert und umfasst de facto alles das, was im Rahmen einer Kartellrechts-Compliance-Prüfung standardmäßig geschieht.

Um nicht mit den einschlägigen Datenschutzgesetzen in Konflikt zu geraten, müssen Unternehmen, die eine Kartellrechts-Compliance-Prüfung durchführen wollen, daher besondere Vorkehrungen treffen und Verhaltensregeln beachten.

Der Zugriff auf personenbezogene Daten ist nur dann zulässig, wenn ein ausreichender Rechtsgrund hierfür besteht. Einen solchen Rechtsgrund können insbesondere die auf Art. 7 f) der Europäischen Datenschutzrichtlinie gestützten nationalen Regelungen in den Mitgliedstaaten sein, nach denen personenbezogene Daten verarbeitet werden dürfen, wenn dies erforderlich ist zur Wahrnehmung eines überwiegenden berechtigten Interesses.

Hier lässt sich argumentieren, dass die Gewährleistung und Kontrolle von Kartellrechts-Compliance im Unternehmen ein solches überwiegendes Interesse darstellt. Zu beachten ist jedoch, dass ein Zugriff auf private E-Mails, Ordner und Dokumente nur in Ausnahmefällen auf die Rechtfertigung des überwiegenden Unternehmensinteresses gestützt werden kann. Sofern sich solche privaten personenbezogenen Daten unter den zu prüfenden Datensätzen befinden (was sich regelmäßig nicht vollständig ausschließen lässt), führt in der Regel kein Weg an einer Einwilligung durch die betroffenen Personen vorbei. Ohne eine solche Einwilligung besteht die ernste Gefahr, dass der Zugriff und die Verarbeitung derartiger Daten rechtswidrig ist. In diesem Zusammenhang ist wichtig, dass nach der Entscheidungspraxis in einigen EU-Mitgliedstaaten (z.B. in Belgien) E-Mails stets als "privat" gelten, so dass eine Prüfung von E-Mails im Geltungsbereich der einschlägigen Datenschutzrechte niemals ohne ausdrückliche Einwilligung des Betroffenen auskommt. Ferner ist zu beachten, dass nach zahlreichen nationalen Telekommunikationsgesetzten eine Einwilligung des Betroffenen ebenfalls erforderlich sein kann, wenn die Kartellrechts-Compliance-Prüfung auch E-Mail-Korrespondenz umfassen soll.

Das Einholen von Einwilligungserklärungen der betroffenen Personen ist daher in der Regel der sicherste Weg, um datenschutzrechtlichen Problemen aus dem Weg zu gehen. Zu bedenken ist insofern, dass datenschutzrechtliche Einwilligungserklärungen hohen Anforderungen unterliegen, die zudem in den verschiedenen EU-Mitgliedstaaten variieren können.

Die Einwilligung ist in nur dann wirksam, wenn sie auf der freien und informierten Entscheidung der betroffenen Personen beruht. Dies setzt voraus, dass die betroffenen Personen auf den vorgesehenen Zweck der Datenverarbeitung bzw. -nutzung hingewiesen werden. Außerdem müssen die Betroffenen darüber aufgeklärt werden, welche persönlichen Konsequenzen sich für diese ergeben können, wenn die Kartellrechts-Compliance-Prüfung belastendes Material hervorbringt. Die Einwilligung bedarf zudem oftmals der Schriftform. Ferner muss die Einwilligung bereits vor dem Zugriff auf die personenbezogenen Daten vorliegen. Eine nachträgliche Genehmigung ist nicht möglich. Die Einwilligung muss außerdem spezifisch und konkret sein. Eine generelle Einwilligung in einem Anstellungsvertrag, in einer "Privacy Policy" oder in den Betriebsregeln des Unternehmens reicht daher nicht aus. Derartige Einwilligungserklärungen werden als nicht spezifisch genug angesehen. Zudem vertreten einige Datenschutzbehörden in der EU den Standpunkt, dass die Freiwilligkeit einer solchen Einverständniserklärung wegen der "assymetrischen" Machtverteilung zwischen Unternehmen und Mitarbeiter nicht angenommen werden könne. In einer erheblichen Zahl von EU-Mitgliedsstaaten steht der Zugang zu privaten E-Mails und Dokumenten zudem unter kollektivarbeitsvertraglichen Vorbehalten wie beispielsweise der Mitbestimmung durch den Betriebsrat. Teilweise ist auch die vorherige Zustimmung durch die zuständige Datenschutzbehörde erforderlich.

Jan Dhont:

Zugriff auf personenbezogene Daten ohne ausreichenden Rechtsgrund unzulässig, Bild: Lorenz

Die betroffenen Personen – also diejenigen Individuen, auf die sich die personenbezogenen Daten beziehen – sind stets über die Verarbeitung bzw. Nutzung ihrer personenbezogenen Daten im Rahmen der Kartellrechts-Compliance-Prüfung zu informieren.

Die insofern erforderlichen Minimalauskünfte sind:
>> die Identität des für die Verarbeitung Verantwortlichen (also in der Regel der Anwälte, die mit der Durchsicht und
>> Aufarbeitung der Daten betraut werden), die Zweckbestimmung der Verarbeitung (also das Aufspüren von
>> Kartellrechtsverstößen im Unternehmen sowie die Identifizierung genereller Kartellrechtsrisiken),
>> die mögliche weitere Verwendung der Daten (z.B. im Rahmen kartellbehördlicher Ermittlungsverfahren oder für Zivilprozesse),
>> und das Bestehen von Widerspruchs-, Auskunfts- und Berichtigungsrechten für die betroffenen Personen.
Ohne eine solche Aufklärung, ist das Durchsehen von Unternehmensdokumenten mit personenbezogenen Daten schlicht illegal.

Die erforderliche Aufklärung muss vor dem Beginn der Kartellrechts-Compliance-Prüfung vorliegen. Die Aufklärung kann grundsätzlich auch in Anstellungsverträgen, der Privacy Policy oder über entsprechende Regelungen in der Betriebsordnung des Unternehmens geschehen, sofern diese ausdrücklich und spezifisch die Möglichkeit des Zugriffs und der weiteren (konkreten) Nutzung von Unternehmensdokumenten mit personenbezogenen Daten für die Zwecke einer Kartellrechts-Compliance-Prüfung vorsehen. Für den Fall, dass die entsprechenden Anstellungsverträge, Privacy Policies oder Betriebsregeln insofern keine Regelung enthalten, ist das zusätzliche vorherige Inkenntnissetzen der Betroffenen unerlässlich, um personenbezogenen Daten rechtmäßig im Rahmen des Kartellrechts-Compliance-Prüfung auswerten und verwenden zu können.

Der Zugriff auf personenbezogene Daten muss ferner den Anforderungen des Verhältnismäßigkeitsgrundsatzes genügen. Das bedeutet insbesondere, dass der Umfang des Zugriffs und der Verarbeitung der personenbezogenen Daten für den (legitimen) Zweck der Kartellrechts-Compliance-Prüfung erforderlich ist und nicht darüber hinausgehen darf. Die Datenverarbeitung muss also stets auf die mildeste noch erfolgversprechende Art und Weise geschehen. Hierzu gehört auch, dass Unternehmen Strategien entwickeln, um die zu prüfenden Datensätze inhaltlich und umfänglich soweit zu reduzieren, wie dies für die erfolgreiche und effiziente Durchführung der Kartellrechts-Compliance-Prüfung erforderlich ist. Dies beinhaltet, dass solche (Kategorien von) personenbezogenen Daten auszuschließen sind, die offensichtlich ohne Relevanz für die Zwecke der Kartellrechts-Compliance-Prüfung sind. Diese Selektierung und Reduzierung des Datenmaterials hat vor Beginn der Datenverarbeitung zu geschehen und erfordert die Schaffung effizienter System-Infrastrukturen, um relevante Daten auf den Unternehmens-Servern und -Computern zu lokalisieren und von irrelevanten Daten zu trennen. Der oben erwähnte "Je mehr desto besser"-Ansatz wird diesen Ansprüchen nicht gerecht.

Zu beachten ist, dass selbst der begründete Verdacht eines Kartellrechtsverstoßes (beispielsweise nachdem ein Ermittlungsverfahren gegen das Unternehmen eingeleitet wurde) nichts an den geschilderten Anforderungen und Formalitäten für die Verarbeitung personenbezogener Daten ändert, da die Datenschutzrechte allgemein dem Bereich der öffentlichen Ordnung zugeordnet werden.

Zusätzliche datenschutzrechtliche Beschränkungen und Anforderungen bestehen, wenn personenbezogene Daten in ein Drittland versendet werden, in dem kein angemessener Datenschutz besteht. Zu diesen Ländern zählt unter anderem auch die USA, so dass diese zusätzlichen Beschränkungen/Anforderungen bereits immer dann relevant werden, wenn der Zugriff auf den virtuellen Datenraum (zumindest teilweise) aus den USA erfolgt. Ein solcher internationaler Datentransfer ist im Grundsatz verboten, es sei den es besteht im konkreten Fall eine besondere Rechtsgrundlage. In diesem Zusammenhang ist erwähnenswert, dass die Verpflichtungen im Rahmen von Discovery-Beweisverfahren (wie zum Beispiel nach Rule 34 der US Federal Rules of Civil Procedure) keine ausreichende Rechtsgrundlage darstellen, wenn nicht zusätzliche Vorkehrungen zum Datenschutz getroffen werden. In diesen Fällen ist besondere Vorsicht geboten, da sowohl ein Verstoß gegen die Discovery-Vorschriften als auch gegen die Datenschutzrechte mit Kriminalstrafen bedroht sein kann.

Unternehmen können die Datenschutzrisiken minimieren und gleichzeitig den Zugang zu Dokumenten mit personenbezogenen Informationen maximieren, wenn sie maßgeschneiderte Datenschutzrichtlinien erlassen. Solche Datenschutzrichtlinien müssen die konkreten Umstände des Zugriffs und der Verwendung der Daten vorsehen, sowie den jeweiligen Standort der personenbezogenen Daten als auch die Regelungsunterschiede in den jeweils einschlägigen Rechtsordnungen berücksichtigen.

Die Entwicklung und Einführung von Datenschutzrichtlinien im Unternehmen verlangt zudem, dass sie Datentransfer-Strategien und Einverständnis-Mechanismen einbeziehen. Unter diesen Voraussetzungen schaffen Datenschutzrichtlinien Klarheit über den Datenschutz-Status von Unternehmensdokumenten mit personenbezogenen Daten und können den Zugriff auf diese erleichtern, sofern die einschlägigen Datenschutzrechte hier einen gewissen Regelungsspielraum einräumen. Während ein "Zero risk"-Ansatz in der Praxis illusorisch ist, wird ein frühzeitiges Kontrollieren und Reduzieren der Datenschutzrisiken dazu führen, dass höhere Punktzahlen sowohl bei der Kartellrechts-Compliance als auch bei der Datenschutz-Compliance erzielt werden. (Lorenz: ra)

Die Autoren

Jan Dhont, Partner
Brüssel - Lorenz, Attorneys at Law

Expertises
>> E-Health und Medizinrecht
>> Europäisches Recht und Planungsrecht
>> Handelsrecht und Verbraucherrecht
>> IT und Datenschutz

Arbeitsprofil
Jan Dhont hat sich im Datenschutzrecht und dem Recht der Privatsphäre sowie Informationstechnologierecht spezialisiert. Er verfügt über weitreichende Erfahrungen im Bereitstellen von Datenschutzlösungen für die pharmazeutische Industrie, Versicherungen, Bankwesen, und Unternehmen der Direktvermarktungsbranche, der Reisebranche, der Personalwerbungs- und Telekommunikationsindustrie.
Herr Dhont berät auch nationale und internationale Mandanten in planungs- und produktzulassungsrechtlichen Fragen, Fragen der Produkthaftung und wirtschaftlichen Transaktionen.

Volker Soyez, Partner
Brüssel - Lorenz, Attorneys at Law

Expertises
>> Antitrust Compliance Programs
>> Europäisches und deutsches Kartellrecht
>> Kartellbußgeldverfahren
>> Vertriebsrecht
>> Arbeitsprofil
>> Antitrust Compliance Programs
>> Europäisches und deutsches Kartellrecht
>> Kartellbußgeldverfahren
>> Vertriebsrecht

Arbeitsprofil
Volker Soyez leitet den Bereich Kartellrecht bei Lorenz.
Er berät Unternehmen in sämtlichen Rechtsfragen des Europäischen und deutschen Kartellrechts. Über weitreichende Erfahrungen verfügt Herr Soyez ins besondere in den Bereichen EG-Kartellbußgeldverfahren sowie in der Erstellung und Durchführung von Kartellrechts-Compliance-Programmen.