Source: https://www.bits.gmbh/bem-datenschutz/
Timestamp: 2020-07-03 11:00:51+00:00

Document:
BEM – das betriebliche Eingliederungsmanagement | bITs.GmbH
Datenschutzrechtliche Vorgaben - insbesondere bei Beauftragung externer Dienstleister
Daraus folgern der wohl überwiegende Teil der Literatur und soweit für uns ersichtlich auch alle Aufsichtsbehörden für den Datenschutz, die sich zum Thema BEM geäußert haben, dass mit der gesetzlich geforderten Zustimmung der betroffenen Person eine Einwilligung im datenschutzrechtlichen Sinne gem. Art. 7 DSGVO i.V.m. § 26 Abs. 2 BDSG gemeint ist.
In der Praxis ist jedoch in der letzten Zeit insbesondere seitens der externen BEM-Dienstleister verstärkt die Tendenz zu beobachten, die gesetzliche Forderung nach einer Zustimmung der jeweils betroffenen Mitarbeiter nicht im Sinne einer datenschutzrechtlichen Einwilligung zu verstehen, sondern diese lediglich als einen Willensakt oder eine konkludente Erklärung zu sehen. Diese sei nach Auffassung dieser Dienstleister, von etwaigen datenschutzrechtlichen Einwilligungserfordernissen losgelöst. Die Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten im Rahmen des BEM wird durch die Vertreter dieser Auffassung in der gesetzlichen Pflicht zur Durchführung eines BEM-Verfahrens beim Vorliegen der gesetzlichen Voraussetzungen gesehen. Demnach wäre als Rechtsgrundlage für die Durchführung eines BEM-Verfahrens (inkl. der Datenübermittlung an einen BEM-Dienstleister) ausschließlich der Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 167 Abs. 2 S. 1 SGB IX heranzuziehen. Das Zustimmungserfordernis wird lediglich zum Anlass genommen, die betroffenen Personen in den Informationen gem. Art. 13 DSGVO darauf hinzuweisen, dass das BEM-Verfahren freiwillig wäre.
Die DS-GVO definiert zwar – anders als für die Auftragsverarbeitung – keine expliziten Vorgaben, welche datenschutzrechtlichen Vereinbarungen in einem solchen Auftragsverhältnis zu vereinbaren sind. Dennoch liegt es auf der Hand, dass den Auftraggeber eine Sorgfaltspflicht bei der Auswahl des externen BEM-Beauftragten trifft. Gerade deshalb wird auch in der Literatur in einer Controller to Controller-Situation gefordert, die „normale“ Datenübermittlung zwischen den Verantwortlichen, auch wenn sie nicht gemeinsam verantwortlich i.S.d. Art. 26 DSGVO sind, nicht ohne eine vertragliche Vereinbarung durchzuführen (hierzu vgl.: Specht/Mantz/Spittka, Handbuch Europäisches und deutsches Datenschutzrecht, München 2019, § 12 Rn. 68 mit weiteren Nachweisen).
Zudem ist es wichtig, um den Schutz personenbezogener Daten der Beschäftigte im Rahmen des BEM-Verfahrens sicherzustellen, eine datenschutzrechtliche Vereinbarung mit BEM-Dienstleistern abzuschließen, soweit ein solcher beauftragt wird. In dieser Vereinbarung sind alle Rechte und Pflichten der Vertragsparteien festzulegen, um den Schutz der Beschäftigtendaten sicherzustellen.

References: Art. 7
 § 26
 Art. 6
 § 167
 Art. 13
 Art. 26
 § 12