8. Data Mining und Data Matching versus Datenschutz

Bei Prüfungen, die sich auf große Datenmengen beziehen, kann die Interne Revision entweder das konventionelle Stichprobenverfahren anwenden oder auf die sogenannte Massendatenanalyse (Data Mining oder Big Data Mining) zurückgreifen.

Das Ziel der Massendatenanalyse ist dabei, aus der Grundgesamtheit diejenigen Datensätze herauszufiltern, die auf Abweichungen, Ausreißer, Regelverstöße etc. hinweisen. Dieses Ziel verfolgt auch die selektive Datenanalyse, jedoch mittels bewusster Auswahl oder Stichprobenprüfung. Die automatisierte Datenanalyse wird daher verstärkt bei internen Ermittlungen eingesetzt. Oft sind von diesen Auswertungen personenbezogene Daten der Beschäftigten betroffen.

Die im Jahr 2009 im Rahmen der Novellierung des BDSG eingefügte Norm des Arbeitnehmerdatenschutzes regelt den Umgang mit den Daten der Beschäftigten im Rahmen des vertraglichen Dienstverhältnisses. Insbesondere gilt § 32 für die Auswertung der Beschäftigtendaten zum Zweck präventiver Kontrollen, die Indizien für etwaige Straftaten liefern können (§ 32 Abs. 1 Satz 1), sowie bei konkretem, dokumentierten Tatverdacht (§ 32 Abs. 1 Satz 2). Die Norm gilt auch für die Auswertungen von Internetnutzungsdaten sowie die E-Mails der Beschäftigten, die bei konkretem Verdacht auf Straftaten durch die unternehmensinternen Ermittler, Interne Revision oder IT-Forensik ausgewertet werden sollen. Bei der Auswertung von E-Mails der Beschäftigten sind besondere Aspekte zu beachten. Der Entscheidungsprozess, ob, wann und unter welchen Voraussetzungen E-Mails von Beschäftigten ausgewertet werden dürfen, wird in diesem Kapitel skizziert. Er orientiert sich an der aktuellen Rechtsprechung und der herrschenden Meinung in der anschlðgigen Literatur.