Der Landesbeauftragter für Datenschutz und Informationsfreiheit Baden- Württemberg hat den Tätigkeitsbericht Datenschutz für 2019 veröffentlicht und geht in diesem Bericht auch auf die Arbeitnehmerüberlassung ein.
Fazit: Keine Auftragsverarbeitung bei der Durchführung der Arbeitnehmerüberlassung zwischen Verleiher und Entleiher. Verleiher und Entleiher nutzen personenbezogene Daten der Leiharbeitnehmer meistens für eigene oder gemeinsame Zwecke und sind somit selbst eigene Verantwortliche oder gemeinsam Verantwortliche.
Gut, dass es in diesem Bereich endlich eine ansatzweise konkrete Aussage der Aufsichtsbehörde gibt, und dieses Thema auch Platz in einem Tätigkeitsbericht findet, denn ein so wirtschaftlich bedeutender Bereich wurde bisher von Seiten der Behörden weitgehend ungeklärt gelassen. Wir berichteten bereits in diversen Blogbeiträgen über dieses Thema und Lösungsansätze.
Bisherige Handhabung
Betriebliche Datenschutzbeauftragte haben bereits im Somme 2018 erkannt, dass der Vertrag zur Auftragsverarbeitung nicht auf die Verleiher-Entleiher-Konstellation passt. In der Praxis bestand hier schnell Einigkeit; insbesondere auch über den Vergleich mit der Personalvermittlung, bei der die bayerische Aufsichtsbehörde in Ihren FAQ dargestellt hatte, dass diese keine Auftragsverarbeitung darstellt. Warum sollte es bei der Arbeitnehmerüberlassung anders sein? Denn auch bei der Arbeitnehmerüberlassung sucht der Verleiher potenzielle Kandidaten, die beim Entleiher eingesetzt werden. Der Entleiher stellt die Anfrage beim Verleiher. Der Verleiher bedient sich hierbei, nicht anders als bei der Personalvermittlung, seiner bereits bestehenden Kandidaten und kann darüber hinaus konkrete Stellen ausschreiben. Der wesentliche Unterschied ist, dass der Arbeitsvertrag bei einer Personalvermittlung zwischen dem Arbeitnehmer und dem Arbeitgeber geschlossen wird, der die Personalvermittlung mit der Suche beauftragt hat. Bei der Arbeitnehmerüberlassung besteht der Arbeitsvertrag zwischen Verleiher und dem (Leih)Arbeitnehmer, es findet lediglich der Einsatz beim Entleiher statt. In dem Beispiel Nr. 6 des WP 169 (Article 29 Data Protection Working Party) gibt es die rechtliche Auseinandersetzung hierzu bei Headhuntern und die Einordnung als gemeinsame Verantwortliche.
Vom Prinzip her ist aus datenschutzrechtlicher Sicht bei der Arbeitnehmerüberlassung keine andere Bewertung möglich, und die Äußerung in diesem Tätigkeitsbericht nun sehr begrüßenswert.
Künftige Abgrenzung der Verantwortlichkeiten
Es bleibt allerdings noch der Punkt offen, wann nach Ansicht der Aufsichtsbehörde eine gemeinsame Verantwortlichkeit oder eigene Verantwortlichkeit vorliegt.
In der Praxis könnten hier beide Ansichten vertreten werden, da es vor allem an einer klar stellenden Äußerung der Aufsichtsbehörden hierzu fehlt. So wird einerseits eine eigenständige Verantwortlichkeit angenommen, weil kein gemeinsamer Zweck verfolgt werde. Aus unserer Sicht kann dies nicht pauschal vertreten werden, da sich die Arbeitnehmerüberlassung sehr vielfältig gestaltet, wie in unseren bisherigen Blogbeiträgen dargestellt. Die tatsächliche Situation gebührend widerspiegeln würde der Vertrag nach Art. 26 DSGVO. Allerdings fehlt es grundsätzlich noch an der umfassenden Auseinandersetzung mit weiteren Beispielen für eine gemeinsame Verantwortlichkeit. Bisher erfolgt der Bezug immer nur auf die begrenzte Anzahl von Beispielen in dem Kurzpapier Nr. 16 der unabhängigen Datenschutzbehörden des Bundes und der Länder.
Wünschenswert ist, hier noch weitere Details seitens der Aufsichtsbehörden zu erhalten, welche Abgrenzungskriterien für die eine oder andere Alternative herangezogen werden. Darüber hinaus stellen sich bei der Arbeitnehmerüberlassung noch weitere datenschutzrechtlich relevante Fragen: Vor allem, welche vertraglichen Regelungen erforderlich sind, wenn zwischen dem Verleiher und dem Entleiher noch ein Master zwischen gestaltet ist, der die Organisation und Koordination der Arbeitnehmerüberlassung für den Entleiher wahrnimmt. Ist dieser Master ein Auftragsverarbeiter des Entleihers oder des Verleihers oder gar auch selbst Verantwortlicher?
Mit diesem Tätigkeitsbericht ist allerdings die – wenn auch nur noch äußerst vereinzelnd geführte – Diskussion, ob ein Vertrag zur Auftragsverarbeitung zwischen Verleiher und Entleiher besteht, nun endgültig beendet.