Source: https://www.recht-freundlich.de/datenschutz-recht-dsgvo/arbeitnehmerueberlassung-und-anwendung-der-dsgvo-keine-auftragsverarbeitung-sondern-joint-controllership
Timestamp: 2020-07-05 04:42:19
Document Index: 209998020

Matched Legal Cases: ['Art. 28', 'Art. 26', 'Art. 26', 'Art. 26', 'Art. 13', 'Art. 14', 'Art. 26', 'Art. 26', 'Art. 82', 'Art. 82', 'Art. 26']

Arbeitnehmerüberlassung und Anwendung der DSGVO
In Kategorie(n): Beschäftigtendatenschutz, Datenschutz DSGVO - 07. Januar 2020 von Rechtsanwalt Thomas Feil
Die Arbeitnehmerüberlassung ist nicht nur hinsichtlich der gesetzlichen Anforderungen für die Leiharbeitnehmer bedeutsam, sondern berührt auch verschiedene datenschutzrechtliche Aspekte.
Wenn Leiharbeitnehmer in die Organisation des Entleihers eingegliedert werden und dabei bestimmte Grenzen nicht beachtet werden, kann dies zu einer verbotenen Arbeitnehmerüberlassung führen.
Bezogen auf die Arbeitnehmerüberlassung sind darüber hinaus aber auch datenschutzrechtliche Vorgaben zu beachten. Die DSGVO gilt in ihrer Gesamtheit auch für die Arbeitnehmerüberlassung.
Dies insbesondere, da ein Leiharbeitnehmer arbeitsrechtlich sowohl bei dem Verleiher als auch bei dem Entleiher im gewissen Rahmen eingebunden ist. Wird beispielsweise ein Leiharbeitnehmer in die Arbeitsorganisation des Entleihers eingegliedert, erfolgt eine Verarbeitung personenbezogener Daten.
Beispielsweise werden personenbezogene Daten für die Abrechnung mit dem Verleiher erfasst. Die Arbeitszeit wird dokumentiert oder auch Fehlzeiten sowie Urlaubstage werden dokumentiert.
Auch beim Ausstellen eines Mitarbeiterausweises, der Nutzung von betriebsinterner Informationstechnologie oder dem Ausstellen einer Kantinenkarte gibt es datenschutzrechtliche Verarbeitungen, für die die DSGVO einschlägig ist.
Teilweise wird diskutiert, ob die Arbeitnehmerüberlassung als Auftragsverarbeitung im Sinne von Art. 28 DSGVO gewertet werden kann. Allerdings erfordert die Auftragsverarbeitung, dass der Auftragsverarbeiter personenbezogene Daten nur nach Weisung des Verantwortlichen verarbeiten darf.
Der Auftragsverarbeiter hat hier keine eigene Datenhoheit über personenbezogene Daten. Nur der Verantwortliche bestimmt über die Verwendung und Nutzung der personenbezogenen Daten.
In der Praxis stellt sich die Frage, ob der Verleiher oder der Entleiher bei einer solchen juristischen Konstruktion der Verantwortliche ist und wer der Auftragsverarbeiter ist.
Dagegen ist gemäß Art. 26 DSGVO eine gemeinsame Verantwortlichkeit des Verleihers und Entleihers anzunehmen. Hier hat sich der Begriff „Joint Controllership“ in der Praxis entwickelt.
Gemäß Art. 26 Abs. 1 DSGVO heißt es, dass zwei oder mehrere Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung festlegen. Dann sind sie auch gemeinsam verantwortlich. Gemäß Art. 26 Abs. 1 Satz 2 DSGVO soll dann in einer Vereinbarung in transparenter Form festgelegt werden, wer von beiden Verantwortlichen welche Verpflichtungen gemäß der DSGVO erfüllt.
Besonders verweist der Gesetzgeber dabei auf die Informationspflichten gemäß Art. 13 und Art. 14 DSGVO sowie weitere Verantwortlichkeiten. Auch muss in der Vereinbarung eine Anlaufstelle für die betroffenen Personen angegeben werden (Art. 26 Abs. 1 Satz 3 DSGVO).
Die Regelung in Art. 26 DSGVO, die das Verhältnis der gemeinsam Verantwortlichen festlegt, können nur sinnvoll umgesetzt werden, wenn bei einer Arbeitnehmerüberlassung ein gesonderter Vertrag abgeschlossen wird.
Hier sind die Musterverträge zur Auftragsverarbeitung, die an verschiedenen Stellen im Internet zu finden sind, nicht passend. Insbesondere die konkrete Festlegung von Verantwortlichkeiten ist notwendig, um die Haftungsrisiken in den Griff zu bekommen.
Gerade der Schadensersatzanspruch nach Art. 82 DSGVO führt bei einem Joint Controllership dazu, dass eine Haftung der gemeinsam Verantwortlichen entsteht. Eine klare Regelung des Haftungsausgleichs im Innenverhältnis sollte mit Blick auf Art. 82 Abs. 5 DSGVO erfolgen.
Eine nicht ordnungsgemäße datenschutzrechtliche Umsetzung, sprich das Fehlen einer Vereinbarung nach Art. 26 DSGVO, kann Bußgeldtatbestände und Schadensersatzansprüche von Leiharbeitnehmern auslösen.
Darüber hinaus haben beide Vertragsparteien, sprich der Verleiher und der Entleiher, das Risiko zu tragen, keine illegale Datenverarbeitung umzusetzen.