Source: https://www.recht-freundlich.de/datenschutz/mindestlohn-datenschutzrechtlich
Timestamp: 2017-09-21 08:47:20+00:00

Document:
In Kategorie(n): Datenschutzrecht - 27. Mai 2015 von Rechtsanwalt Thomas Feil
Seit dem 1.1.2015 gilt der gesetzliche Mindestlohn. Gemäß § 1 Abs. 1 des Gesetzes zur Regelung eines allgemeinen Mindestlohns (MiLoG) hat danach jede Arbeitnehmerin und jeder Arbeitnehmer einen Anspruch auf Zahlung eines Arbeitsentgelts mindestens in Höhe des Mindestlohns durch den Arbeitgeber, dessen Höhe gemäß § 1 Abs. 2 MiLoG brutto 8,50 Euro je Zeitstunde beträgt.
Damit geht ein jahrelanger politischer Streit zumindest temporär zu Ende. Doch davon ab ist – obwohl auf den ersten Blick nicht unbedingt völlig offensichtlich – das Zusammenspiel von Mindestlohn und dem Datenschutz äußerst Interessant. Aus dem neuen Mindestlohngesetz ergeben sich Fragen für den Datenschutz, deren Beleuchtung Thema des vorliegenden Beitrages sein sollen.
Datenschutz und Mindestlohn – Wo ist die Schnittmenge?
Alternative Kontrollmöglichkeiten
Datenschutzrechtliche Eingriffe als bessere Kontrolle?
Bei Datenerhebung: Nicht alle Daten sind notwendig
Die datenschutzrechtliche Relevanz im Einzelnen
Datenschutzrechtliche Auswirkungen auf den Auftraggeber
Datenschutzrechtliche Auswirkungen auf den Auftragnehmer
Das Problem des Auftragnehmers
Vereinfacht gesagt regelt der Datenschutz die Erhebung, Nutzung und Verarbeitung von personenbezogenen Daten, wobei der Zweck des Datenschutzes in § 1 Abs. 1 Bundesdatenschutzgesetz (BDSG) damit umschrieben wird, dass der Einzelne davor geschützt werden soll, dass er durch den Umgang mit seinen personenbezogenen Daten in seinem Persönlichkeitsrecht beeinträchtigt wird. Der Datenschutz ist in Deutschland vorwiegend im BDSG geregelt, wobei die Bundesländer jedoch weitere Landesdatenschutzgesetzte (LDSG) verabschiedet haben. Je nach dem Bereich, der für die Beleuchtung des Datenschutzes relevant ist, können weitere Spezialgesetze den Datenschutz ergänzen oder modifizieren.
Der Schutz ist dabei grundsätzlich sehr weitreichend, nicht zuletzt ist nach oberster deutscher Rechtsprechung davon auszugehen, dass es kein unbedeutendes Datum gibt, sobald es personenbezogen ist. Das BDSG normiert weiterhin in § 3a BDSG den Grundsatz der Datenvermeidung und Datensparsamkeit, nach welchen die Erhebung, Verarbeitung und Nutzung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen an dem Ziel auszurichten sind, so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Hierfür sind insbesondere personenbezogene Daten zu anonymisieren oder zu pseudonymisieren, soweit es möglich ist und keinen unverhältnismäßigen Aufwand erfordert. Zulässig ist die Datenerhebung, -verarbeitung und -nutzung gemäß § 4 BDSG nur, soweit das BDSG selbst oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eine Einwilligung erteilt hat.
In der Praxis wird der grundsätzlich weitreichende Datenschutz jedoch mittlerweile ebenso weitreichend unterlaufen. Insbesondere die Einwilligung des Betroffenen, welche in § 4a BDSG geregelt ist, sorgt dafür, dass die Erhebung, Nutzung und Verarbeitung von Daten heute in einem schier unüberschaubaren Maße stattfindet, denn grade im Internet erteilen Personen durch ihre Handlungen zumindest konkludente – d.h. stillschweigende – Einwilligungen, dass genutzte Dienste ihre Daten weiträumig erheben und nutzen dürfen.
Bezogen auf den Mindestlohn werden solche Einwilligungen jedoch eine eher untergeordnete Rolle spielen. Hier sind vielmehr Rechtsvorschriften des BDSG oder anderen Gesetzen einschlägig, die eine Datenerhebung und -verarbeitung zulässig erscheinen lassen. Doch worin besteht überhaupt die Schnittmenge von Mindestlohn und Datenschutz, zwei Bereichen, die auf den ersten Blick nicht viel miteinander gemein haben?
Aufschluss bringt hierfür schon der Blick auf das Ziel des MiLoG.
Dieses will Arbeitgeber unbedingt mit in die Pflicht nehmen, die Einhaltung des Mindestlohns durchzusetzen. Hierdurch soll die Umgehung des festgelegten Mindestlohnes unterbunden werden, denn erfahrungsgemäß kam es bisher häufig dazu, dass abseits vom Gesetz vereinbarte Mindesttariflöhne und Lohnvereinbarungen umgangen worden sind. Hierfür wurde allzu gerne auf scheinselbständige Arbeitskräfte zurückgegriffen, welche statt mit Arbeitsverträgen mit Dienst- und Werkverträgen ausgestattet wurden, sodass für diese die vereinbarten Tarife nicht galten.
Ein solches Szenario soll für den gesetzlich normierten Mindestlohn unbedingt vermieden werden. Hierfür wurde nicht zuletzt in § 13 MiLoG, § 14 AentG (Gesetz über zwingende Arbeitsbedingungen für grenzüberschreitend entsandte und für regelmäßig im Inland beschäftigte Arbeitnehmer und Arbeitnehmerinnen) bestimmt, dass derjenige Unternehmer, der einen anderen Unternehmer mit der Erbringung von Werk- und Dienstleistungen beauftragt – und damit einen Arbeitsvertrag umgeht – ähnlich wie ein Bürge haftet. Genauer gesagt bedeutet dies in der Folge, dass der Unternehmer dann haftet, wenn der von ihm beauftragte Unternehmer (und dessen Subunternehmer) nicht den gesetzlich normierten Mindestlohn zahlen, unabhängig davon, ob der Auftraggeber hiervon wusste oder nicht. Das Unabhängige Landeszentrums für Datenschutz (ULD) Schleswig-Holstein formuliert dies so, dass die Haftung durch „keine noch so sorgfältige Auswahl und Überwachung gänzlich ausgeschlossen werden“ kann. Es ist also egal, wie sehr der Auftraggeber bei der Wahl für seinen Vertragspartner des Werk- oder Dienstvertrages vorgeht. Zahlt der Vertragspartner oder dessen Subunternehmer den Arbeitnehmern nicht den Mindestlohn, muss der Auftraggeber hierfür haften.
Diese weitreichende Haftung bedeutet ein immenses Risiko für den Auftrag erteilenden Unternehmer. Er muss für seine eigene Kalkulation dafür sorgen, dass sein Haftungs- und Bußgeldrisiko minimiert wird und dafür geeignete Maßnahmen zu ergreifen.
Das MiLoG ist noch recht neu, sodass es zu den hier besprochenen Punkten noch keine Rechtsprechung gibt. Aufmerksamkeit schenken sollte man jedoch den Ausführungen des ULD Schleswig-Holsteins. Dieses weist auf mehrere Möglichkeiten hin, wie ein Auftraggeber seinen Prüfpflichten nachkommen kann. Es ist unter anderem der Meinung, dass sich schon alleine aus dem Preis eines Angebotes ableiten lasse, ob der Auftragnehmer den gesetzlich normierten Mindestlohn zahlt oder eben nicht. Ist das Angebot im Vergleich zu anderen Anbietern überraschend günstig, so liegt der Schluss nahe, dass der potentielle Auftragnehmer die eigenen Kosten soweit als möglich einspart, wofür oft die Gehaltszahlungen an die Arbeitgeber das effizienteste Mittel ist. Nach dem ULD kann anhand des Preises im Angebot eine „Schlüssigkeitsprüfungen“ ergehen, durch welche die Einhaltung des Mindestlohns zumindest einigermaßen überprüft werden kann.
Weiterhin nennt das ULD als praktikable Maßnahmen, dass sich ein Auftraggeber gegenüber dem Haftungsrisiko absichern kann, beispielsweise indem er zumindest einen Teil des Haftungsrisiko durch Bankbürgschaften des Auftragnehmers absichert. Ebenfalls in den Vertrag mit dem Auftragnehmer aufgenommen werden sollte eine vertragliche Zustimmungspflicht des Auftraggebers bei der Einschaltung weiterer Subunternehmer durch den Auftragnehmer. Nur so kann der Auftraggeber darauf einwirken, welche weiteren Unternehmen in der Tätigkeitskette tätig werden und darauf hinwirken, dass nur solche mit einbezogen werden, die den Mindestlohn zumindest nicht offensichtlich umgehen.
Für alle vorgeschlagenen Maßnahmen zur Reduzierung des Haftungsrisikos weist das ULD darauf hin, dass sie vorwiegend so gewählt werden sollten, dass auf die Verarbeitung personenbezogener Daten verzichtet wird. Dies steht im Einklang mit dem Grundsatz der Datenvermeidung und der Datensparsamkeit aus § 3 BDSG.
Damit der Auftraggeber sich jedoch möglichst wenigen Haftungsrisiken gegenübergestellt sieht, kann es für ihn sinnvoll sein, bestimmte Daten bei seinen beauftragten Auftragnehmern zu erheben und hernach zu verarbeiten. Für den Auftraggeber sind solche Daten von gehobenem Wert, welche ihm deutlich machen bzw. beweisen, dass die beauftragten Unternehmen ihren Arbeitnehmern den gesetzlich eingeführten Mindestlohn zahlen. Solche Daten könnten sich beispielsweise in den Lohn- und Gehaltsabrechnungen finden. Hier wird dann auch die datenschutzrechtliche Relevanz deutlich: Ein Unternehmer, welcher einen anderen Unternehmer beauftragt, kann verlangen, für die Kontrolle der Einhaltung des Mindestlohnes die Gehaltsabrechnungen der einzelnen Arbeitnehmer einzusehen. Dass diese Abrechnungen viele personenbezogene Daten enthalten, sollte sofort ersichtlich sein. Neben dem konkreten Gehalt sind schließlich auch vollständiger Name, meist Adresse und oft auch der Familienstand und etwaige steuerbeeinflussende Faktoren aufgelistet, beispielsweise etwaige Kinder oder die Konfession zur Abgabe der Kirchensteuer. Hier leuchtet es ein, dass die datenschutzrechtlichen Regelungen unbedingt angewendet werden müssen, wobei sich diese nicht allein an den Auftraggeber für die Erhebung, Verarbeitung und Nutzung der Daten richten, sondern auch an den Auftragnehmer für die Übermittlung der Daten.
Will ein Auftraggeber also über die alternativen Kontrollmöglichkeiten hinausgehen, um das Haftungsrisiko weiter zu minimieren, wird er auf die Erhebung personenbezogener Daten zurückgreifen. In diesen Fällen muss er sich aber vollumfänglich an die Datenschutzregelungen halten. Zu beachten sind wiederum aufgrund des Grundsatzes der Datenvermeidung und der Datensparsamkeit aus § 3 BDSG, dass nicht alle Daten für die angestrebte Kontrolle nötig sind, die Erhebung bestimmter Daten also unzulässig wäre. Hierzu gehören alle Beschäftigtendaten, welche für die Überprüfung irrelevant sind,. Unzweifelhaft dazu gehören dürften wohl Daten zur Konfessionszugehörigkeit, zum Familienstand und zur Steuerklasse. Das ULD weist weiterhin darauf hin, dass die Anonymisierung oder zumindest Pseudonymisierung der Daten über die erbrachte Arbeitszeit und –entgelte der Zulässigkeit zuträglich ist.
Wie bereits hingewiesen treffen die Regelungen des Datenschutzrechts nicht allein den Auftraggeber, sondern auch den Auftragnehmer. Für die jeweilige Relevanz sollte also zwischen diesen Unterschieden werden.
Der Auftraggeber ist gemäß § 28 Abs.1 Satz 1 Nr. 2 BDSG einer Prüfpflicht unterworfen. Hiernach ist die Erhebung, Speicherung, Veränderung oder Übermittlung personenbezogener Daten oder ihre Nutzung als Mittel für die Erfüllung eigener Geschäftszwecke nur zulässig, soweit es zur Wahrung von berechtigten Interessen des Auftraggebers erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Verarbeitung oder Nutzung überwiegt. Es muss also für den Einzelfall festgestellt werden, ob das Interesse des Auftraggebers – Vermeidung des Haftungsrisikos – das Interesse des Betroffenen, die Daten nicht zu verarbeiten oder nutzen – unter anderem Schutz der Privatsphäre – überwiegt. Dies kann mit den oben ausgeführten Anmerkungen des ULD durchaus der Fall sein, soweit die erhobenen Daten hierfür wirklich notwendig sind und grade auch dann, wenn die Daten pseudonymisiert oder anonymisiert werden. In diesen Fällen kommt der Auftraggeber seiner Prüfpflicht aus § 28 Abs.1 Satz 1 Nr. 2 BDSG wohl nach.
Für den Auftragnehmer besteht ebenfalls eine Prüfpflicht, jedoch für die Übermittlung der Beschäftigtendaten. Gemäß § 32 Abs.1 Satz 1 BDSG dürfen personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist. Erhält der Auftraggeber vom Auftragnehmer beispielsweise vollen Zugriff auf sämtliche arbeitsvertraglichen Daten oder sogar die Personalakten der Arbeitnehmer, wird die Übermittlung wohl als unzulässig anzusehen sein. Der Auftragnehmer muss also genau prüfen, welche Daten er in welchem Umfang übermitteln darf. Kriterium hierfür ist ausdrücklich die „Erforderlichkeit“ der Übermittlung. Dafür wird nur darauf abgestellt, ob die Maßnahme, in diesem Kontext also die Kontrolle der Lohn- und Gehaltsabrechnung, erforderlich ist für die Durchführung des Beschäftigungsverhältnisses. Hier können sich auch schon durchaus Probleme ergeben, wenn nur wenige Daten übermittelt werden. Wie bereits hingewiesen gibt es noch keine Rechtsprechung, an der sich orientiert werden kann. Nach Auffassung des ULD jedoch muss ein Auftraggeber für die Haftungsbegrezung solange auf Maßnahmen zurückgreifen, bei denen eine Erhebung personenbezogener Daten nicht erfolgt, wie dies möglich ist. Solche Maßnahmen stellen insoweit mildere Mittel dar, welche der Erhebung und Verarbeitung personenbezogener Daten vorzuziehen sind. Damit die Übermittlung der Daten also erforderlich ist, müssen zunächst alle anderen, denkbaren Möglichkeiten ausgeschöpft werden, welche eine Einsicht in die Lohn- und Gehaltsabrechnungen der Mitarbeiter von Auftragnehmern überflüssig machen.
Hieraus entsteht jedoch eine nicht zu unterschätzende Problematik: Nach der Auffassung des ULD wäre damit der Zugriff auf Daten unzulässig, wenn irrelevante Daten mit übermittelt werden (hierzu gehören wie bereits beschrieben die Konfessionszugehörigkeit, der Familienstand, aber auch das Geburtsdatum oder die Steuerklasse und weitere Daten). Diese können nämlich grade nicht zur Verringerung des Haftungsrisikos dienen, sodass ihre Übermittlung damit nicht erforderlich ist. Die Übermittlung von Lohn- und Gehaltsabrechnungen vom Auftragnehmer an den Auftraggeber wäre demnach gesetzlich unzulässig. Dabei ist es aber durchaus problematisch, dass der Auftragnehmer als Bürge grade für die Einhaltung der Mindestlohnvorschriften der Auftragnehmer einzustehen hat. Zwar gibt es die oben aufgeführten, alternativen Kontrollmöglichkeiten. Diese sind aber alle nicht gleich effizient wie die Kontrolle der Lohn- und Gehaltsabrechnungen des Auftragnehmers. Nur hierdurch kann zweifelsfrei festgestellt werden, ob mindestens der gesetzlich normierte Mindestlohn gezahlt wird. Dadurch, dass der Gesetzgeber keine entsprechende Rechtsgrundlage im Sinne von § 1 Abs. 3 Satz 1 BDSG geschaffen hat, mit der eine solche umfassende Kontrolle gerechtfertigt werden könnte, steckt der Auftragnehmer also in der Lage, für einen Verstoß haften zu müssen, gegen den er keine völlig geeigneten Kontrollen durchführen kann. Allenfalls eine weitgehende Anonymisierung/Pseudonymisierung mit einer kombinierten Schwärzung aller irrelevanten Daten auf den Gehaltsabrechnungen könnte dazu führen, dass die Übermittlung und Nutzung der Daten als zulässig angesehen wird. Hier liegt jedoch noch eine beträchtliche Rechtsunsicherheit.
Wie also festgestellt, sorgt die Haftungsregelung der § 13 MiLoG, § 14 AentG dafür, dass ein Auftragnehmer zur Minimierung seines Haftungsrisikos bestimmte Kontrollen und Maßnahmen durchführen sollte.
Rechtlich zweifelsfrei zulässig sind dabei allenfalls die vom ULD alternativen Kontrollmöglichkeiten. Eine „Schlüssigkeitsprüfungen“ kann anhand des Angebotspreises ergehen, der Auftraggeber kann sich gegen das Haftungsrisiko absichern indem er zumindest einen Teil des Haftungsrisiko durch Bankbürgschaften des Auftragnehmers absichert. Außerdem sollte in den Vertrag mit dem Auftragnehmer eine vertragliche Zustimmungspflicht des Auftraggebers bei der Einschaltung weiterer Subunternehmer durch den Auftragnehmer aufgenommen werden.
Absehen sollte ein Auftraggeber jedoch davon, umfassenden Einblick in Lohn- und Gehaltsabrechnungen oder gar Personalakten von Arbeitnehmern des Auftragnehmers oder dessen Subunternehmer zu fordern. Hier werden in der Regel Daten mit übermittelt, welche für die Kontrolle nicht notwendig sind, sodass die Übermittlung sowie Nutzung und Verarbeitung der Daten gegen das Datenschutzrecht verstoßen sollte.
Zweifelhaft ist die Zulässigkeit indes bei anonymisierten bzw. pseudonymisierten Übermittlungen von Gehaltsabrechnungen, bei denen irrelevante Daten geschwärzt wurden. Diese können durchaus zulässig sein – allerdings ist hier besonderes Detailwissen des Datenschutzrechts erforderlich, um genau zu erkennen, welche Daten allein für die Kontrolle erforderlich sind. Wählt ein Auftraggeber diesen Weg zur Minimierung seines Risikos, sollte er sich unbedingt von einem Fachmann im Datenschutzrecht beraten lassen.
Sollten Sie in der Situation sein, eine solche Kontrolle durchführen zu müssen, wenden Sie sich gerne an uns. Wir erklären Ihnen detailliert die Möglichkeiten und Risiken der einzelnen Vorgehensweisen und beraten Sie ausführlich über Ihre Optionen. Mit unserer Erfahrung sowohl im Datenschutz- als auch im Arbeitsrecht stehen wir Ihnen mit Rat und Tat zur Seite.
Auftragsdatenverarbeitung und Apotheke

References: § 1
 § 1
 § 1
 § 3
 § 4
 § 4
 § 13
 § 14
 § 3
 § 3
 § 28
 § 28
 § 32
 § 1
 § 13
 § 14