Entsprechen Open-Space-Büros der DSGVO und dem DSG?

Seit mehreren Jahren besteht ein Trend hin zu Open-Space-Büros, das heisst Arbeitsräumen, bei denen die Büros nicht durch Wände abgetrennt sind. Dies soll die Kommunikation in den Betrieben fördern und gleichzeitig die Mitarbeitenden einander annähern.

Lässt sich eine solche Einrichtung in einer Firma, die Personendaten verarbeitet, mit dem Datenschutz und insbesondere dem Bundesgesetz über den Datenschutz (DSG) oder der Datenschutz-Grundverordnung der Europäischen Union (DSGVO) vereinbaren?

Diesbezüglich wird darauf hingewiesen, dass die Verordnung sogar für Schweizer Firmen gelten kann (zu dieser Problematik: https://wg-avocats.ch/blog/donnees-personnelles).

Laut unserer Analyse sind Open-Space-Büros mit dem Datenschutz nicht unvereinbar, auch wenn man dies meinen könnte. Eine solche Einrichtung ist nicht per se verboten, aber die wichtigsten Datenschutzprinzipien sind einzuhalten. Dies gilt besonders für das Prinzip der Verhältnismässigkeit, von dem in Art. 4 DSG und Art. 5 DSGVO die Rede ist.

Konkret bedeutet dies, dass die Firma eine gewisse Anzahl technischer und organisatorischer Massnahmen ergreifen muss, um die von ihr bearbeiteten Personendaten zu schützen. Dies gilt sowohl gegenüber Dritten als auch gegenüber den eigenen Mitarbeitenden.

Dazu muss sie in erster Linie bestimmen, welche Daten bearbeitet werden, um welche Art von Daten es sich handelt (persönliche, besonders schützenswerte Daten usw.) und welche Mitarbeitenden/Abteilungen für die Bearbeitung Zugang dazu haben müssen.

Zu nennen sind beispielsweise folgende Massnahmen:

• Den Zugang zu den Open-Space-Büros schützen. Dies könnte mit einem System persönlicher Badges am Büroeingang erfolgen.
• Den Zugang für Besucher auf Bereiche der Open-Space-Büros beschränken, in denen keine Personendaten bearbeitet werden, und die Angestellten anweisen, keine Besucher unbeaufsichtigt hereinzulassen, beziehungsweise den Besuchern ganz einfach den Zugang zu den Open-Space-Büros verbieten.
• Innerhalb dieses Bereichs gesicherte «Vertraulichkeitszonen» schaffen (die z.B. abgeschlossen werden können), in die sich die Mitarbeitenden bei Bedarf zurückziehen können.
• Arbeitsbereiche einrichten, die ausschliesslich für diejenigen Abteilungen bestimmt sind, die Personendaten bearbeiten (z.B. Human Resources, Rechtsabteilung usw.) und die dank einem persönlichen Badge nur für diese zugänglich sind.
• Die Mitarbeitenden für den Datenschutz und die Datensicherheit sensibilisieren.

Werden die gesetzlichen Bestimmu