Michael Schmidl. Rechtmäßigkeit internationaler Datentransfers. - Leseprobe -

Transkript

1 Michael Schmidl Rechtmäßigkeit internationaler Datentransfers

2 Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie. Detaillierte bibliografische Daten sind im Internet über abrufbar. ISBN by TÜV Media GmbH, TÜV Rheinland Group, 2011 Gesamtherstellung: TÜV Media GmbH, Köln TÜV, TUEV und TUV sind eingetragene Marken der TÜV Rheinland Group. Eine Nutzung und Verwendung bedarf der vorherigen Zustimmung durch das Unternehmen. Gesamtherstellung: TÜV Media GmbH, Köln 2011 Die Inhalte dieses Werks wurden von Autor und Verlag nach bestem Wissen und Gewissen erarbeitet und zusammengestellt. Eine rechtliche Gewähr für die Richtigkeit der einzelnen Angaben kann jedoch nicht übernommen werden. Gleiches gilt auch für Websites, auf die über Hyperlinks verwiesen wird. Es wird betont, dass wir keinerlei Einfluss auf die Inhalte und Formulierungen der verlinkten Seiten haben und auch keine Verantwortung für sie übernehmen. Grundsätzlich gelten die Wortlaute der Gesetzestexte und Richtlinien sowie die einschlägige Rechtssprechung. PRINCE2, MSP, M_o_R, ITIL, P3O, P3M3 sind eingetragene Marken des Office of Government Commerce (OGC), UK; COBIT ist eine eingetragene Marke der Information Systems Audit and Control Association (ISACA ); Automotive SPICE ist eine eingetragene Marke des Verband der Automobilindustrie (VDA); MISRA und MISRA C sind eingetragene Marken der MIRA Ltd.

3 Rechtmäßigkeit internationaler Datentransfers Zum Inhalt 1 Einführung Typische Konstellationen Beispiele: Muttergesellschaft in den USA oder in Deutschland Typische Datentransfers in den Beispielsfällen Anwendbarkeit deutschen Datenschutzrechts Sachlicher Anwendungsbereich Handeln einer nicht öffentlichen Stelle unter Einsatz von Datenverarbeitungsanlagen Erhebung, Verarbeitung und Nutzung personenbezogener Daten Übermittlungen bei der Auftragsdatenverarbeitung? Dieses E-Book gibt einen Überblick über die Voraussetzungen der Rechtmäßigkeit internationaler Datentransfers. Anhand typischer Szenarien werden die häufigsten Fragen im Zusammenhang mit der Rechtmäßigkeit internationaler Datentransfers besprochen. Die Analyse geht dabei sowohl auf die sachliche als auch auf die örtliche Anwendbarkeit deutschen Datenschutzrechts ein und zeigt auf dieser Grundlage auf, wie internationale Datentransfers auf den beiden für die Prüfung relevanten Stufen, insbesondere in Streitfällen, rechtmäßig gestaltet werden können. Arbeitshilfen: Übersicht wichtiger Adressen im Internet Autor: Michael Schmidl Übermittlungen in der Cloud? Örtliche Anwendbarkeit des BDSG Geltung des BDSG im europäischen Kontext Geltung des BDSG im internationalen Kontext Zulässigkeit der verschiedenen Vorgänge Einwilligung Sonstige Rechtsvorschrift Betriebsvereinbarung als sonstige Rechtsvorschrift SOX als sonstige Rechtsvorschrift Gesetzliche Erlaubnistatbestände Prüfung auf zwei Stufen TÜV Media GmbH Seite 1

4 4.3.2 Zweite Stufe Grundsätzlich: Angemessenes Schutzniveau Stärkung der Rechte der Vertragsparteien durch SV II Abs. 3 im Lichte von 33 BDSG Expansion und internationale Datenübermittlung 1 Einführung 5 Besonderheiten beim Code of Conduct Hintergründe zu Codes of Conduct Codes of Conduct und internationale Datenübermittlung Zusammenfassung Internationale Datentransfers sind aus einer zunehmend globalisierten und vernetzten Wirtschaft kaum noch wegzudenken. Die internationale Datenübermittlung ist dabei nicht Selbstzweck, sondern notwendige Folge der Verwirklichung von aus Sicht der beteiligten Unternehmen übergeordneten wirtschaftlichen Zielen. Die erstmalige Entfaltung oder der Ausbau vorhandener internationaler wirtschaftlicher Betätigungen ist für viele deutsche Unternehmen eine Frage der Existenzsicherung. Gemeinhin gilt es im Zusammenhang mit Expansionsvorhaben eine Fülle betriebswirtschaftlicher und rechtlicher Fragen zu klären, die unmittelbar mit der neuen Tätigkeit vor Ort zu tun haben. Die Einholung von auf den Zielmarkt spezialisiertem Rechtsrat ist dabei eine Selbstverständlichkeit. Im Zusammenhang mit der grenzüberschreitenden Expansion kommt es aber zwangsläufig auch zu entsprechenden Datentransfers, die nicht selten auch personenbezogene Daten betreffen und deren Zulässigkeit in der Regel nach deutschem Recht zu beurteilen ist. Die entsprechenden Fragen werden nicht immer mit der gleichen Selbstverständlichkeit geklärt wie diejenigen, die mit der neuen Tätigkeit im Zielland zu tun haben. Grenzüberschreitende Datentransfers werden auch erforderlich, wenn ein Unternehmen durch eine ausländische Muttergesellschaft in Deutschland neu gegründet oder ein bestehendes deut- Neugründung und Akquisition Seite 2 TÜV Media GmbH

5 Stellen mehrere Unternehmen, die demselben Konzern angehören, jeweils eine eigenständige rechtliche Einheit dar, so gelten bei Übermittlungen zwischen diesen auch die eben genann- Zentralisierung der Datenverarbeitung Grundfragen internationaler Datenübermittlung Kein Konzernprivileg- Leseprobe sches Unternehmen nach dem Erwerb durch eine ausländische Muttergesellschaft in einen international agierenden Konzern eingebunden wird. Die Übermittlung von Mitarbeiterdaten kann in diesen Fällen erforderlich sein, weil die ausländische Muttergesellschaft bestimmte Personalsteuerungsfunktionen innehat. Auch eine zentral bei der Muttergesellschaft betriebene Unternehmensverwaltungssoftware kann Grund für entsprechende Übermittlungen von personenbezogenen Daten sein. Einen weiteren wichtigen Grund für die Erforderlichkeit internationaler Datentransfers stellt die Zentralisierung der Datenverarbeitung in Konzernen dar. Vielfach wird die zentrale Datenverarbeitung, insbesondere in den Bereichen Personaldatenverwaltung und Controlling, von z. B. den USA aus betrieben. Mit der Zentralisierung gehen signifikante Kostenvorteile, etwa für Software, Hardware und Rechenzentrumsleistungen, einher. Die internationale Datenübermittlung führt zu teilweise komplexen Sachverhaltskonstellationen, weil keine international einheitlichen Grundsätze bestehen und erst recht kein einheitliches internationales Datenschutzrecht existiert. Daher divergieren die einzelnen nationalen Rechtsordnungen. Die für die Beurteilung ihrer Rechtmäßigkeit erforderlichen rechtlichen Überlegungen lassen sich jedoch auf zwei Grundfragen reduzieren. Diese korrespondieren mit den zwei Stufen der Überprüfung der Rechtmäßigkeit internationaler Datenübermittlungen. Auf der ersten Stufe und damit korrespondierend im Rahmen der ersten Grundfrage ist die nach 4, 28 ff. Bundesdatenschutzgesetz (BDSG) zu prüfende Rechtmäßigkeit der Datenübermittlung an sich zu betrachten. Auf der zweiten Stufe und korrespondierend damit für die zweite Grundfrage kommt es auf die nach 4b, 4c BDSG zu beurteilende Angemessenheit des Datenschutzniveaus beim Empfänger an. - TÜV Media GmbH Seite 3

6 Tatsächlicher Ablauf entscheidend ten Grundsätze des Datenschutzes. Für die Verarbeitung innerhalb eines Konzerns müssen die Zulässigkeitsvoraussetzungen einer Datenübermittlung vorliegen. Das BDSG kennt (ungeachtet dahin gehender politischer Forderungen und entsprechender Überlegungen auf europäischer Ebene noch immer) kein Konzernprivileg, das den Datenaustausch zwischen konzernangehörigen, aber rechtlich selbstständigen Unternehmen erleichtern oder unter weiteren Zulässigkeitsvoraussetzungen begünstigen würde, die unterhalb dessen liegen, was für eine normale Datenübermittlung erforderlich ist. Ein Unternehmen innerhalb eines Konzerns darf mithin einem anderen Konzernunternehmen nur unter Beachtung der Erlaubnistatbestände des BDSG oder anderer Gesetze Daten übermitteln. Demgegenüber sind rechtlich unselbständige Konzernteile grundsätzlich keine eigenständigen verantwortlichen Stellen, so dass die Übertragung von Daten vom Hauptteil des Unternehmens zu den jeweiligen unselbständigen Teilen keine Übermittlung, sondern lediglich eine Nutzung im Sinne von 3 Abs. 5 BDSG darstellt. Gerade im Rahmen internationaler Datentransfers im Konzern wird häufig versucht, die Datenübermittlungen ins Ausland über das Zwischenschalten von Scheinempfängern in datenschutzrechtlich permissiveren Staaten dem Geltungsbereich des deutschen Datenschutzrechts zu entziehen. Der Scheinempfänger wird dabei so gewählt, dass er sich innerhalb der Europäischen Union ( EU ) oder des Europäischen Wirtschaftsraums ( EWR ) befindet, um von der in 4b Abs. 1 BDSG angeordneten Vermutung der Angemessenheit des Datenschutzniveaus zu profitieren. Für die anschließende Weiterübermittlung an das eigentliche Ziel der Übermittlung soll es dann nur noch auf das für den Scheinempfänger geltende Recht ankommen. In der ständigen Praxis der Aufsichtsbehörden werden solche Scheinempfänger aber jedenfalls dann ignoriert, wenn sich aus den Gesamtumständen erkennen lässt, dass der Übermittelnde von vornherein das eigentliche Übermittlungsziel erreichen wollte. In derlei Fällen wird die Berücksichtigung des Datenschutzni- Seite 4 TÜV Media GmbH

7 Beispielsfall 1: Die Muttergesellschaft Sample Inc. mit Sitz in den USA hat sich einer Safe-Harbor-Zertifizierung (auf die Kritik der deutschen Aufsichtsbehörden an Safe Harbor, vgl. Stellungnahme des Düsseldorfer Kreises vom 29./ , sei hingewiesen) unterzogen und gründet in Deutschland eine Tochtergesellschaft Sample Deutschland GmbH, die in Deutschland Mitarbeiter anstellt (Arbeitsverträge mit der Sample Deutschland GmbH) und mit deren Hilfe den deutschen Markt erschließen und entsprechende Vertriebstätigkeiten entfalten soll. Auf einer zentralen Human-Resources-Datenbank ( HR-Datenbank ) bei der Muttergesellschaft in den USA sol- Beispiel 1: Muttergesellschaft in den USA veaus beim Endempfänger dann im Rahmen der Interessenabwägung von 28 Abs. 1 Satz 1 Nr. 2 BDSG oder 32 Abs. 1 S. 1 BDSG, d. h. bei der Prüfung der ersten Stufe, erfolgen. Für diese Betrachtung wird dem Übermittelnden die gesamte Strecke bis zum Endempfänger zugerechnet. Das Gleiche gilt auch, wenn die Übermittlung dadurch erfolgt, dass dem Endempfänger der Zugriff auf Daten ermöglicht wird, die sich bei dem Scheinempfänger befinden. Dies kann etwa in Betracht kommen, wenn seitens der Muttergesellschaft angeordnet wird, alle Landesgesellschaften mögen ihre Mitarbeiterdaten an eine Landesgesellschaft übermitteln, die diese dann in einer Datenbank für den Zugriff der Muttergesellschaft bereithalten soll. 2 Typische Konstellationen 2.1 Beispiele: Muttergesellschaft in den USA oder in Deutschland Internationale Datenübermittlungen können in den verschiedensten Sachverhaltskonstellationen erforderlich werden. Ohne damit den Versuch einer abschließenden Aufzählung zu unternehmen, treten häufig folgende Szenarien auf: TÜV Media GmbH Seite 5

8 Beispiel 2: Muttergesellschaft in Deutschland Beteiligungserwerb oder Übernahme Typischerweise betroffene Datenkategorien len sämtliche Mitarbeiterdaten verarbeitet und genutzt werden. Die Muttergesellschaft hat Zugriff auf die bei der Tochtergesellschaft befindlichen IT-Systeme. Auch sonstige Tochtergesellschaften der Sample Inc. haben Zugriff auf die HR-Datenbank. Beispielsfall 2: Das seit Langem in Deutschland erfolgreich im Bereich des Spezialmaschinenbaus tätige Unternehmen Spezialmaschinenbau GmbH gründet in den USA eine eigene Niederlassung Machines Inc., die in den USA mit amerikanischen (Arbeitsverträge mit der Machines Inc.), aber ebenso mit entsendeten deutschen (Arbeitsverträge mit der Spezialmaschinenbau GmbH) Arbeitnehmern den amerikanischen Markt erschließen und entsprechende Vertriebstätigkeiten entfalten soll. Bei der Spezialmaschinenbau GmbH wird eine zentrale HR-Datenbank betrieben, auf der sämtliche Mitarbeiterdaten verarbeitet und genutzt werden sollen. Die Muttergesellschaft hat Zugriff auf die bei der Tochtergesellschaft befindlichen IT- Systeme. Sonstige Tochtergesellschaften haben Zugriff auf die HR-Datenbank. In den gewählten Beispielsfällen lässt sich ohne Weiteres anstelle der jeweiligen Gesellschaftsgründung durch die Muttergesellschaft auch an den Erwerb einer Beteiligung oder an die Übernahme einer bereits existierenden Gesellschaft mit anschließender Integration in den Konzern denken. In den gewählten Beispielsfällen wird sich die jeweilige Muttergesellschaft umfassende Kontrollrechte bezüglich ihrer Tochtergesellschaften sichern. Häufig geht dies über eine Kontrolle der rein betriebswirtschaftlichen Messgrößen deutlich hinaus. Vielmehr sollen neben den vollständigen persönlichen Daten aller Arbeitnehmer (z. B. Ausbildungs- und Qualifikationsprofil) einschließlich ihrer Kontaktdaten und etwaiger Notfallkontakte auch alle leistungsbezogenen Daten übermittelt werden. Nicht selten umfassen die Datenkataloge, die sich bei der Muttergesellschaft zu einem Mitarbeiter finden lassen, Seite 6 TÜV Media GmbH

9 Muttergesellschaft in den USA Weiterleitung von Mitarbeiterdaten Dritte und Töchter in anderen Ländern (EU/EWR und andere) daher auch sämtliche Inhalte der Personalakte (z. B. Abmahnungen und Beurteilungen durch den Vorgesetzten) sowie Aussagen zum Krankheitsstand des Mitarbeiters, zu seiner Teilnahme an Schulungen und zu seiner Eignung für interne Förderungsprogramme (Programme für so genannte High Potentials ). 2.2 Typische Datentransfers in den Beispielsfällen Die im Beispielsfall 1 denkbaren Datentransfers lassen sich grafisch wie in Abbildung 1 dargestellt veranschaulichen. Abb. 1: Datentransfers im Beispielsfall 1 1- Empfänger und Zwecke im Beispielsfall Transfer der Mitarbeiterdaten Sondertransfers sowie Verar- beitung und Rückübermittlung Direktaustausch von Mitarbeiterdaten Tochtergesellschaft in Deutschland Abschluss von Arbeitsverträgen und Erfassung der Mitarbeiterdaten Mitarbeiter 1-n Leseprobe - Im Beispielsfall 1 werden die beschriebenen Datenkategorien nach Erhebung ( ) über die deutschen Mitarbeiter in die USA übertragen ( ) und dort in der globalen HR-Datenbank gespeichert, um es der Muttergesellschaft zu ermöglichen, die deutschen Mitarbeiter zu beurteilen und in den Gesamtkontext der globalen Belegschaft einordnen zu können. Auch die Entscheidung über die Teilnahme an Aktienprogrammen der Muttergesellschaft fällt auf Basis der übermittelten Daten in den USA. TÜV Media GmbH Seite 7

10 Matrixstrukturen im Beispielsfall 1 Für die Ressourcenplanung will die Muttergesellschaft über stets aktuelle Profile ihrer Mitarbeiter verfügen, um diese gegebenenfalls auch über Ländergrenzen hinweg einsetzen zu können. Dies zieht die Übermittlung von Mitarbeiterdaten seitens der Muttergesellschaft an Dritte oder Tochtergesellschaften in anderen Ländern nach sich ( ). Häufig ist bei der Muttergesellschaft auch jeweils ein direkter Fachvorgesetzter für die jeweiligen Mitarbeiter der deutschen Tochtergesellschaft angesiedelt oder zumindest die global für alle Mitarbeiter der nationalen Tochtergesellschaften zuständige Personalabteilung. Schließlich kann es auch zu Datentransfers zwischen den einzelnen Tochtergesellschaften ( ) kommen. Die Mitarbeiter der deutschen Tochtergesellschaft, die einen bei der Muttergesellschaft angesiedelten direkten Fachvorgesetzten haben, sind diesem gegenüber in aller Regel berichtspflichtig. Mit dieser direkten Berichtspflicht korrespondiert regelmäßig auch eine entsprechende Weisungsbefugnis des direkten Fachvorgesetzten. Die auf Grundlage der entsprechenden Berichtspflichten und Weisungsbefugnisse geschaffenen rechtsträgerübergreifenden und an funktionalen Zusammenhängen ausgerichteten Strukturen werden häufig auch als Matrixstrukturen bezeichnet. Die innerhalb von Matrixstrukturen erforderlichen Datentransfers gehen in der Regel in den unter Ziffer geführten Datentransfers auf, d. h., es werden Daten von Mitarbeitern der deutschen Tochtergesellschaft an die Muttergesellschaft in den USA übermittelt. Befindet sich der direkte Fachvorgesetzte (bisweilen auch als Matrix-Vorgesetzter bezeichnet) nicht bei der Muttergesellschaft in den USA, sondern bei einer Tochtergesellschaft, so wäre auch eine Matrixstruktur denkbar, die zu Datentransfers zwischen der deutschen Tochtergesellschaft und einer anderen Tochtergesellschaft führt. Zu diesen im Schaubild unter Ziffer geführten Datentransfers kann es beispielsweise kommen, wenn die Muttergesellschaft eine Landesgesellschaft als European Headquarter eingerichtet und für diese länderübergreifende Zuständigkeiten vorgesehen hat. In solchen Fällen Seite 8 TÜV Media GmbH