In unserem Beitrag zur Datenverarbeitung im Auftrag gingen wir auch auf das Thema „Datenverarbeitung im Rahmen der gemeinsamen Verantwortung / Joint Controllership“ ein. Heute möchten wir das Thema noch einmal, unter dem Aspekt der Arbeitnehmerüberlassung, aufgreifen und mögliche vertragliche Szenarien darstellen.
Was ist unter dem Begriff „Arbeitnehmerüberlassung“ zu verstehen?
Arbeitnehmerüberlassung, auch oft als Leih- oder Zeitarbeit bezeichnet, ist eine bewährte Methode, um Produktions- und Arbeitsspitzen durch flexibel einsetzbares Personal aufzufangen.
Sowohl Verleiher als auch Entleiher müssen sich bei der Verarbeitung von Daten des Leiharbeitnehmers / der Leiharbeitnehmerin an die Voraussetzungen von § 26 Abs. 1 BDSG halten. Hier besteht ein datenschutzrechtlicher Regelungsbedarf, denn bis zu dem Zeitpunkt der Eingliederung, in die Arbeitsorganisation des Entleihers, liegt die Verarbeitung der Daten ausschließlich in der Verantwortung des Verleihers.
Durch die Eingliederung verarbeitet der Entleiher folglich ebenso personenbezogene Daten des Leiharbeiters.
Beispiele: Abrechnung mit dem Verleiher, der Zeiterfassung sowie der Erfassung von Urlaubs- und sonstiger Fehlzeiten, Erstellung eines Ausweises für Mitarbeitende, die Einrichtung der Zugangsdaten am Computer, usw.
Daher stellt sich die Frage, wie diese Dreieckskonstellation zu bewerten ist und wie sich die Datenschutzeinordnung in der Arbeitnehmerüberlassung regeln lassen kann.
Auftragsverarbeitung, gemeinsame Verantwortlichkeit oder eigene Verantwortlichkeit?
In der Praxis wird häufig eine Vereinbarung zur Auftragsverarbeitung geschlossen, um eine (vermeidlich) schnelle und DSGVO-konforme Datenweitergabe zwischen den Parteien zu ermöglichen.
Die Arbeitnehmerüberlassung bzw. der Einsatz von Zeitarbeitskräften stellt dabei keine Auftragsverarbeitung im Sinne der DSGVO dar, weil Verleiher und Entleiher personenbezogene Daten der Leiharbeitnehmer: innen entweder für eigene oder gemeinsame Zwecke verarbeiten und somit selbst eigene Verantwortliche oder gemeinsam Verantwortliche im Sinne der DSGVO anzusehen sein können.
Zwei verantwortliche Stellen für den Datenschutz
Beide Verantwortlichen stehen in der Pflicht, im Rahmen der Arbeitnehmerüberlassung den Datenschutz zu beachten und entsprechende Maßnahmen zur Umsetzung / Einhaltung der Vorgaben zu etablieren.
Dabei gilt in erster Linie: Daten dürfen nur weitergegeben werden, wenn dafür eine gesetzliche Grundlage vorliegt. Dies muss genau geprüft und auch an den Betroffenen / die Betroffene kommuniziert werden. Nicht notwendige Daten dürfen nicht weitergegeben werden. Die Erforderlichkeit ist in regelmäßigen Abständen zu überprüfen und der Umfang des Datenaustausch ggf. anzupassen.
Schnittstellen – wie erfolgt die Übermittlung von Daten?
Zu prüfen ist, wie die Daten vom Verleiher an den Entleiher vermittelt (und zurück) werden sollen. Im Fokus stehen hier neben der Datensparsamkeit auch die IT-Sicherheit und die Bestimmung von Zugriffsrechten.
Besonderheit Bewerberdatenbank (Bewerbungstool): Hier ist in der Regel eine Zustimmung des/der Betroffenen erforderlich, da im Rahmen der Online-Erfassung, neben den klassischen Bewerberdaten, auch IT-Nutzungsdaten (z.B. IP-Adresse) erfasst werden.
Gemeinsame Verantwortung
In den Fällen, in denen eine gemeinsame Verantwortlichkeit vorliegt, sollten beide Stellen im Interesse der Risikominimierung klar festlegen, wer jeweils welche Verpflichtungen gemäß den Vorgaben der DSGVO erfüllen muss.
Wichtig: Der Vertrag zur gemeinsamen Verantwortung stellt keine Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten dar, sondern setzt diese voraus. Eine Rechtsgrundlage muss sich demnach aus dem Beschäftigungsverhältnis an sich ergeben.
Vereinbarungen zum Datenschutz / gesetzliche Anforderungen
Liegen zwei oder mehr Verantwortliche im Datenschutz vor, so spricht man von einem sogenannten „Joint Controllership“ (gemäß Art. 26 DSGVO).
Eine Vereinbarung, in der die Funktionen und Beziehungen der Beteiligten zu den betroffenen Leiharbeitnehmern sowie ihre Beteiligung an den unterschiedlichen Verarbeitungsphasen erläutert werden, muss geschlossen werden. Ferner ist eine Anlaufstelle zu beschreiben, an die sich die Betroffenen wenden können.
Zum Beispiel können Betroffenenrechte im Fall der Zeitarbeit zum Beispiel durch erweiterte Löschpflichten, einen Übertragbarkeitsanspruch des Leiharbeitnehmers oder gesonderte Vorgaben bei der Speicherung ergänzt werden. Diese müssen immer auch im Einzelfall geprüft und mit den Betroffenen kommuniziert werden.
Fazit
Klare (vertragliche) Regelungen stellen im Bereich Datenschutz den gesetzeskonformen Umgang mit Arbeitnehmerüberlassungen sicher.
Sie benötigen Unterstützung? Dann kontaktieren Sie uns gerne.
Lesen Sie zum Thema „Joint Controllership“ auch das Kurzpapier Nr. 16 der Datenschutzkonferenz.
