Source: http://hoganlovells-blog.de/2017/04/03/beschaeftigtendatenschutzrechtliche-anforderungen-an-matrix-strukturen-im-konzern/
Timestamp: 2018-06-18 13:19:00
Document Index: 10509347

Matched Legal Cases: ['§ 32', '§ 28', '§ 28', '§ 28', '§ 32', '§ 4', '§ 4', 'Art. 6', 'Art. 88', '§ 26', 'Art. 26', 'Art. 1']

Beschäftigtendatenschutzrechtliche Anforderungen an Matrix-Strukturen im Konzern – Hogan Lovells Unternehmensblog
Zwecke des Beschäftigungsverhältnisses: Datenübermittlungen sind nach § 32 Abs. 1 Satz 1 BDSG gerechtfertigt, wenn diese zur Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich sind. Nach der Auffassung einiger deutscher Datenschutz-Aufsichtsbehörden ist dies nur dann der Fall wenn das Arbeitsverhältnis einen Konzernbezug hat, der bereits bei Beschäftigungsbeginn im Arbeitsvertrag festgehalten ist, d.h. der Beschäftigte von Beginn an etwa in anderen Konzerngesellschaften eingesetzt werden kann. Dann sei die Übermittlung für diesen Einsatz im Konzern erforderlich. Anderenfalls erfolge die Übermittlung der Daten außerhalb des Vertragszwecks. Diese Auffassung stellt die Praxis jedoch vor erhebliche Herausforderungen. Die Übermittlung von Beschäftigtendaten in Matrix-Strukturen würde nahezu unmöglich gemacht. Richtigerweise muss sich jedoch ein Konzernbezug des Arbeitsverhältnisses nicht zwingend aus dem Arbeitsvertrag selbst ergeben. Auch ein offen kommuniziertes Organigramm, welches die Berichtswege über die Unternehmensgrenzen hinweg darstellt, kann die für einen Konzernbezug erforderliche Transparenz schaffen.
Berechtigte Interessen: Auch eine Rechtfertigung der Übermittlung von Beschäftigtendaten innerhalb einer Matrix-Struktur aufgrund eigener berechtigter Interessen des Arbeitgebers nach § 28 Abs. 1 S. 1 Nr. 2 BDSG oder berechtigter Interessen anderer Konzernunternehmen nach § 28 Abs. 2 Nr. 2 lit. a BDSG kommt in Betracht. Geht man wie hier entgegen der Auffassung einiger Literaturstimmen davon aus, dass § 28 Abs. 1 BDSG richtigerweise neben § 32 Abs. 1 BDSG anwendbar ist, so erfordert eine zulässige Datenübermittlung dennoch stets eine Abwägung der Interessen der verantwortlichen Stelle und des betroffenen Beschäftigten im Einzelfall. Insbesondere sind auch eine transparente Information der Beschäftigten über die Datenübermittlungen, eine Selbstbindung an Datenschutzregeln durch Konzernrichtlinien oder auch der Abschluss eines Datenübermittlungsvertrages (Funktionsübertragung) in der Interessenabwägung zugunsten des übermittelnden Arbeitgebers zu berücksichtigen. Denn diese Maßnahmen erhöhen das Datenschutzniveau für die betroffenen Beschäftigten.
Einwilligungen: Eine Rechtfertigung der Übermittlung von Beschäftigtendaten innerhalb der durch Einwilligungen der Arbeitnehmer in die Übermittlung ist ebenfalls möglich, wenn die Einwilligung die Anforderungen nach § 4a BDSG erfüllt. Vor allem wegen der jederzeitigen freien Widerruflichkeit sind Einwilligungen jedoch im Kontext von Matrix-Strukturen nicht zu empfehlen.
Betriebsvereinbarungen zur Datenübermittlung in der Matrix: Zusätzliche Rechtssicherheit schafft insbesondere auch die Datenübermittlung aufgrund von Betriebsvereinbarungen, die die verhältnismäßige, faire, transparente und zweckgebundene Übermittlung von Beschäftigtendaten regeln. Betriebsvereinbarungen, die den datenschutzrechtlichen Anforderungen genügen, stellen eine „andere Rechtsvorschrift” im Sinne des § 4 BDSG dar.
Erlaubnistatbestände der DSGVO: Auch unter der DSGVO bleibt es im Grundsatz bei dem Erfordernis einer Rechtfertigung der Datenübermittlung im Einzelfall, z.B. nach Art. 6 Abs. 1, 9 Abs. 1 DSGVO oder im Beschäftigungskontext nach Art. 88 Abs. 1 DSGO i.V.m. § 26 Abs. 1 des Entwurfs eines neuen Bundesdatenschutzgesetzes (“BDSG-E”; Informationen zu aktuellen Stand der Gesetzgebung finden Sie hier). Allerdings gelten gewisse Erleichterungen für die erforderliche Interessenabwägung bei Datenübermittlungen im Konzern.
Gemeinsame Verantwortlichkeit: Unter der DSGVO werden Konzernunternehmen, die Beschäftigtendaten innerhalb einer Matrix-Struktur übermitteln, zudem in der Regel als gemeinsame Verantwortliche im Sinne von Art. 26 Art. 1 DSGVO anzusehen sein. Dann tritt an die Stelle eines Datenübermittlungsvertrags ein sogenanntes “Joint Controllership Agreement” zum gemeinsamen Umgang mit Beschäftigtendaten in der Matrix. Darin stellen die teilnehmenden Konzernunternehmen ihre Kooperation in der Matrix-Organisation dar. Sie legen insbesondere fest, wer von ihnen welche datenschutzrechtlichen Verpflichtungen gegenüber den Beschäftigten wahrnimmt. Dies betrifft vor allem die Erfüllung von Betroffenenrechten wie beispielsweise den Informationspflichten gegenüber den Beschäftigten. Die wesentlichen Inhalte des Joint Controllership Agreements müssen den Beschäftigten z.B. im Intranet zur Verfügung gestellt werden.
Dieser Beitrag ist Teil einer Reihe, die sich mit den rechtlichen Herausforderungen von Matrix-Strukturen in Konzernen beschäftigt. Einen Beitrag zu besonderen Haftungsrisiken für Geschäftsleiter bei Matrix-Strukturen können Sie hier abrufen. Einen Kurzbeitrag zu steuerrechtlichen Besonderheiten finden Sie hier. Arbeitsrechtliche Besonderheiten werden hier diskutiert.
Beschäftigtendatenschutz, Bundesdatenschutzgesetz, Compliance, Datenschutzgrundverordnung, Matrix-Struktur