Neue Anforderung der DSGVO, auch relevant für Verarbeitungen im Personalbereich?

Mehr als ein Jahr ist die EU-Datenschutzgrundverordnung (DSGVO) nun in Kraft und entsprechend umzusetzen, aber noch längst besteht nicht zu allen Details Klarheit.

Die Ziele, die Betroffenenrechte und die Transparenz bei der Verarbeitung personenbezogener Daten zu stärken, bedürfen in verschiedenen Aspekten der weiteren Ausgestaltung und der praxisorientierten Erarbeitung.

Bei den Betroffenenrechten nach Art. 12 bis 22 DSGVO wurde insbesondere das Recht auf Datenübertragbarkeit oder Datenportabilität als absolute Innovation gesehen. In den Zeiten der Nutzung datenintensiver Internetplattformen und –portale erscheint es sehr benutzerfreundlich, wenn ermöglicht wird, dass bei einem Wechsel zu einem anderen Anbieter alle Daten mitgenommen werden können. Nutzer, die z.B. auf Facebook zahlreiche Kontakte pflegen und umfangreiche Informationen teilen, könnten davon besonders profitieren. Auf einer neuen Plattform könnten alle bisher vorhandenen Daten einfach eingespielt und so weiter genutzt und geteilt werden.

Im beruflichen Umfeld stellt sich die Frage, ob auch ein Arbeitnehmer beim Wechsel des Arbeitsgebers ein Interesse daran haben könnte, seine Daten mitzunehmen und beim neuen Arbeitgeber in EDV-Systeme zu importieren.

Welche Relevanz dem neuen Betroffenenrecht der Datenportabilität inne wohnt, dies betrachtet der nachfolgende Artikel, mit Fokus auf die Anwendbarkeit im Personalbereich.

1. Datenportabilität – Voraussetzungen und Begriffe

Zum Sachverhalt der Datenportabilität gibt Artikel 20 der DSGVO übersichtlich Auskunft. Bezüglich der datenschutzrechtlichen Grundlagen ist hier geregelt, dass der Anspruch auf Übertragbarkeit besteht, wenn die Verarbeitung auf

- einer Einwilligung gemäß Art. 6 Abs. 1 lit a DSGVO oder
- einer Einwilligung gemäß Art. 9 Abs. 2 lit a DSGVO (Einwilligung bei besonders sensiblen Daten) oder
- einem Vertrag gemäß Art. 6 Abs. 1 lit b DSGVO beruht.

Art. 20 DSGVO regelt das Recht auf Datenübertragbarkeit im Weiteren außerdem folgendermaßen: „Die betroffene Person hat das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und sie hat das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch den Verantwortlichen, dem die personenbezogenen Daten bereitgestellt wurden, zu übermitteln…“

Die Anforderungen an das strukturierte, gängige und maschinenlesbare Format sind an den geltenden Gegebenheiten des Marktes zu orientieren. Dabei gibt wiederum der Erwägungsgrund 68 zur DSGVO an, dass es sich um ein interoperables Format handeln muss, das eine Weiterverwendung ermöglicht. So bietet eine große Freundschaftsplattform das Herunterladen der Informationen im HTML-oder JSOM-Format an.

Dies gilt jedoch nicht für alle Verarbeitungen, sondern nach Art. 20 DSGVO nur dann, sofern die Verarbeitung automatisiert erfolgt. Dokumente in Papierform sind somit nicht betroffen.

Der Anspruch auf Datenübertragbarkeit hat zwei Varianten:

- den Anspruch auf Erhalt der personenbezogenen Daten (Abs.1)
- den Anspruch auf Direktübermittlung an einen von der betroffenen Person benannten anderen Verantwortlichen (Abs.2.)

Bei der Übermittlung an andere Verantwortliche schränkt Abs. 2 des Art. 20 DSGVO ein, dass bei fehlender technischer Machbarkeit auch die Möglichkeit besteht, die Daten alternativ dem Betroffenen selbst zur Verfügung zu stellen.

Inhaltlich bezieht sich das Recht der Datenübertragbarkeit auf personenbezogene Daten, welche

- die Person betreffen und
- von der Person dem Verantwortlichen bereitgestellt wurden

und diese das Recht auf Datenübertragbarkeit nicht ausschließen. Zu den bereitgestellten Daten könnten nach Sicht der Art. 29 Datenschutzgruppe auch Daten gehören, die aus der „Beobachtung“ von Personen gewonnen wurden (vgl. WP 242 der Art. 29 Datenschutzgruppei). Grundsätzlich ist aber davon auszugehen, dass insbesondere Daten, die wissentlich und aktiv von der betroffenen Person zur Verfügung gestellt wurden (vgl. auch Erwägungsgrund 68 zur DSGVO) gemeint sind.

2. Abgrenzung zum Auskunftsrecht / Recht auf Datenkopie

Der Zweck des Auskunftsrechts nach Artikel 15 DSGVO einschließlich des Rechtes auf Zurverfügungstellung einer Kopie der Daten, dient der Umsetzung ausreichender Transparenz für den Betroffenen. Der Gesetzgeber gibt dem Betroffenen damit ein Kontrollrecht über die Verarbeitung seiner gesamten personenbezogenen Daten beim Verantwortlichen. Die Kopie muss nicht, kann aber elektronisch sein. In jedem Fall muss das Auskunftsersuchen in einer für den Betroffenen verständlichen Form (vgl. Art. 12 DSGVO) erfolgen. Die Datenübertragbarkeit nach Art. 20 DSGVO soll den Betroffenen die Verfügungsgewalt über die Daten zurück geben, die der Betroffene dem Verantwortlichen zur Verfügung gestellt hatte. Die Daten sollen durch den Betroffenen einem anderen Verantwortlichen zur weiteren Nutzung übergeben werden können und ihm damit einen (Anbieter-)Wechsel erleichtern. Schließlich unterscheidet das maschinenlesbare Format die im Übertragbarkeitsanspruch enthaltenen Daten vom Recht auf Datenkopie; eine Menschenverständlichkeit ist dabei nicht gefordert. Das Recht auf Datenübertragbarkeit stellt einen vollständig eigenen Anspruch dar, während das Recht auf Datenkopie nur eine Ausprägung des Auskunftsrechts ist.

3. Datenschutzrechtliche Grundlage für die Übermittlung an einen anderen Verantwortlichen

Sollen nun die relevanten Daten an einen anderen Verantwortlichen übermittelt werden (vgl. Art. 20 Abs. 2 DSGVO), kann die Frage gestellt werden, auf welcher datenschutzrechtlichen Basis diese Übermittlung zulässig ist. Grundsätzlich ist bei der Beanspruchung der Übermittlung an einen anderen Verantwortlichen die ausdrückliche Willenserklärung des Betroffenen, und damit seine Einwilligung, anzunehmen. Gleichermaßen können auch die Erfüllung der aus der DSGVO bestehenden gesetzlichen Pflicht zur Übertragung, sowie schließlich ein berechtigtes Interesse des Betroffenen angenommen werden. Datenschutzrechtliche Grundlagen für die Übermittlung liegen somit hinreichend vor.

4. Datenübertragbarkeit im Arbeitsverhältnis

a) Voraussetzung: Beschäftigungsvertrag als Vertrag gemäß Art. 6 Abs. 1 lit b DSGVO

Grundsätzlich erfolgt eine Verarbeitung von personenbezogenen Daten im Beschäftigungsverhältnis auf Basis des § 26 BDSG (Verarbeitung zum Beginn, zur Durchführung und Beendigung des Beschäftigtenverhältnisses). Gleichmaßen liegt einem Beschäftigtenverhältnis auch ein Vertrag zugrunde, zu dessen Umsetzung die personenbezogenen Daten gespeichert werden müssen. So könnte nun einerseits bei der Heranziehung von § 26 BDSG als datenschutzrechtliche Verarbeitungsgrundlage der Anspruch auf Datenübertragbarkeit negiert werden. Würde der Anstellungsvertrag als datenschutzrechtliche Grundlage gesehen, wäre andererseits die Voraussetzung für den Anspruch auf Datenübertragbarkeit gegeben. Obzwar dieses Recht wohl insbesondere für den Wechsel eines Dienstanbieters konzipiert ist, steht gleichwohl seiner Einräumung auch für Arbeitnehmer nichts entgegen(vgl. auch Gola/Heckmann /Gola 13. Aufl.2019, BDSG § 26 Rn.108).

Auch die Art. 29 Datenschutzgruppe führt dazu in ihrer „Leitlinie zum Recht auf Datenübertragbarkeit1“ aus: „In Bezug auf die Daten von Arbeitnehmern ist das Recht auf Datenübertragbarkeit normalerweise nur anwendbar, wenn die Datenverarbeitung auf der Grundlage eines Vertrags erfolgt, dessen Partei die betroffene Person ist.“ In der Leitlinie wird der Beschäftigungsvertrag zwischen Betroffenem und Arbeitgeber als Vertrag nach Art. 6 Abs.1 lit b DSGVO eingestuft, Art. 20 DSGVO ist damit anwendbar und auch im Beschäftigungsverhältnis ist die geforderte Übertragbarkeit von personenbezogenen Daten umzusetzen.

b) Voraussetzung: Einwilligungen nach Art. 6 Abs. 1 lit a oder Art. 9 Abs. 2 lit a DSGVO

Die zweite Möglichkeit der datenschutzrechtlichen Verarbeitungsgrundlage, zu welcher die Datenportabilität gewährleistet werden muss, ist das Vorliegen einer Einwilligung. Einwilligungen müssen nach den Vorgaben des Art.7 DSGVO freiwillig sein. Diese Freiwilligkeit wird im Arbeitnehmer- Arbeitgeberverhältnis oft in Frage gestellt. Wegen des unausgewogenen Kräfteverhältnisses zwischen Arbeitgeber und Beschäftigen könne es keine freiwillige, und damit keine wirksame Einwilligung im Beschäftigtenverhältnis geben. Unabhängig von der Klärung der Frage der Freiwilligkeit von Einwilligungen im Beschäftigungsverhältnis, sollte immer, wenn Einwilligungen von Mitarbeitern als Grundlage einer Datenverarbeitung eingeholt wurden, das Recht auf Datenübertragbarkeit angewendet werden. Ein Beispiel für eine Datennutzung auf Basis einer Einwilligung im Beschäftigtenverhältnis ist die Veröffentlichung von Mitarbeiterfotos im Internet, welche nur vorgenommen werden darf, soweit die Einwilligung des jeweiligen Mitarbeiters vorliegt.

c) Verarbeitung aufgrund von Betriebsvereinbarungen

Das Recht auf Datenportabilität findet keine Anwendung, wenn die Datenverarbeitung auf der Grundlage einer Betriebsvereinbarung beruht. Der Abschluss von Betriebsvereinbarungen legt ebenfalls eine Grundlage für die Datenverarbeitung von Mitarbeiterdaten (Art. 80 DSGVO i.V.m. § 26 BDSG). Betriebsvereinbarungen sind Kollektivvereinbarungen, die aber nicht mit einer (Einzel-)Einwilligung vergleichbar sind. Werden sie zu Datenverarbeitungen abgeschlossen, dann sind sie häufig ein Mittel, um Grenzen der möglichen Auswertung von Arbeitnehmerdaten, die durch die Nutzung von IT-Systemen entstehen, zu setzen.

d) Voraussetzung: elektronische Verarbeitung, vom Mitarbeiter zur Verfügung gestellte Daten

Klassischerweise wird eine elektronische Personalakte, soweit die Daten vom Betroffenen selbst zur Verfügung gestellt wurden, dem Anspruch auf Datenübertragbarkeit unterliegen. Auch die in elektronischen Bewerberportalen durch den Bewerber selbst eingestellten Dateien sind vom Übertragungsanspruch betroffen. Ebenso dürften Daten aus besuchten Weiterbildungen und Seminaren dem Anspruch auf Datenübertragbarkeit unterliegen, soweit sie elektronisch vorliegen. Werden Personalakten jedoch noch papierhaft geführt und Bewerbungen ausschließlich papierhaft angenommen, unterliegen diese nicht dem Anspruch auf Datenportabilität.

Ebenfalls nicht Gegenstand des Auskunftsanspruchs, weil nicht vom Betroffenen zur Verfügung gestellt, sind alle durch die Erstellung der Gehaltsabrechnungen im Unternehmen entstandenen Daten. Auch durch den Arbeitgeber vorgenommene Leistungsbeurteilungen über den Arbeitnehmer unterliegen nicht dem Anspruch auf Datenübertragbarkeit. Gerade diese sind interessanterweise zwar ein ausdrückliches Umgangsmittel zwischen Arbeitgeber und Arbeitnehmer, der Anspruch die Beurteilungen in einem „gängigen elektronischen Format“ zu erhalten, besteht aber nicht, weil die Daten nicht durch den Arbeitnehmer selbst bereit gestellt wurden.

Fazit

Das Recht auf Datenübertragbarkeit in der DSGVO ist als Faktor zur Unterstützung des freien Verkehrs personenbezogener Daten in der EU vorgesehen und soll den Wettbewerb zwischen den Verantwortlichen fördern. Diese Faktoren sind im Personalbereich bei der Verarbeitung personenbezogener Daten nur von untergeordneter Relevanz. Ein Vorteil durch die Datenübertragung für den Mitarbeiter ist nicht klar gegeben, z.B. auch, weil die Daten, die zu Anfang eines Arbeitsverhältnisses vom Arbeitnehmer zur Verfügung gestellt worden sind, für eine neue Bewerbung nicht mehr auf aktuellstem Stand sein dürften. Der Wechsel eines Arbeitnehmers zu einem neuen Arbeitgeber wird durch manche Faktoren bestimmt, wohl kaum aber dadurch, dass dem neuen Arbeitgeber Daten in maschinenlesbarer Form zur Verfügung gestellt werden.

Nach Ansicht der Verfasserin ist davon auszugehen, dass Mitarbeiter nicht umfangreich ihr Recht auf Datenübertragung beanspruchen werden. Dies zeigt die Anzahl der Anfragen von Mitarbeitern dazu seit Mai 2018. Wegen der geringen Anzahl der Anfragen ist unter wirtschaftlichen Gesichtspunkten auch darauf zu achten, dass der Umsetzungsaufwand zur Gewährleistung der Datenportabilität in den Unternehmen überschaubar bleiben muss.

Gleichwohl ist das Recht auf Datenübertragbarkeit auch im Personalbereich, wie in diesem Artikel beschrieben, umzusetzen.

Praxistipps

• Datenübertragbarkeit im Beschäftigtenverhältnis gilt für personenbezogene Daten, die
  - der Arbeitnehmer selbst zur Verfügung gestellt hat und
  - im elektronischen Format vorliegen
• Daten der Gehaltsabrechnung und papierhafte Unterlagen unterliegen nicht dem Übertragbarkeitsanspruch

ARTIKEL 29-DATENSCHUTZGRUPPE WP 242 rev. 01 - 16/DE - Leitlinien zum Recht auf Datenübertragbarkeit