Sommerakademie Arbeitnehmer Freiwild der Überwachung? Personalvertretung und Datenschutz im internationalen Kontext.

Transkript

1 Sommerakademie 2009 Arbeitnehmer Freiwild der Überwachung? Infobörse 3: Personalvertretung und Datenschutz im internationalen Kontext Frau Meike Kamp Übersicht Datenschutzrechtliche Gestaltungsmacht der Arbeitnehmervertretungen Die Betriebsvereinbarung als Rechtsgrundlage für die konzernweite Datenverarbeitung Datenschutzrechtliche Gestaltungsmacht bis zur Landesgrenze? Konzernweite Datenverarbeitung mit Drittstaatenverkehr Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 2

2 Das BDSG kennt kein Konzernprivileg! Gestaltungsmacht der AV Zulässigkeit der Übermittlung von Arbeitnehmerdaten im Konzern: Problemfall: Einwilligung 28 Absatz 1 Nr. 1 BDSG - Zweckbestimmung des Arbeitsvertrages 28 Absatz 1 Nr. 2 oder 28 Absatz 3 Nr. 1 - Interessenabwägung Betriebsvereinbarung als andere Rechtsvorschrift im Sinne des 4 Absatz 1 BDSG Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 3 Interessenabwägung ( 28 Absatz 1 Nr. 2 / 28 Absatz 3 Nr. 1) Zulässigkeitsvoraussetzungen nach Arbeitsbericht Konzerninterner Datenverkehr : Empfänger kann nur solche Befugnisse zur Datenverwendung erhalten, die dem Arbeitgeber selbst auch zuständen das bedeutet: es kommt nur eine Funktionsübertragung und keine übermittlungszweckfremde freie Nutzbarkeit beim Empfänger ( 28 Absatz 5 Satz 1 BDSG) in Betracht. Übermittlung nur mit klarer Festlegung der Zweckbindung vorab ( 28 Absatz 5 Satz 1 BDSG). Übermittlung nur, wenn personenbezogene Daten für die übernommene Funktion erforderlich sind (pseudonyme/anonyme Daten) Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 4

3 Interessenabwägung ( 28 Absatz 1 Nr. 2 / 28 Absatz 3 Nr. 1) Besondere Maßnahmen im Konzern, um Interessen der Betroffenen Rechnung zu tragen: z.b. konzernweites, verbindliches Datenschutzkonzept Einheitliche Standards zur Gewährleistung und Durchsetzung der Datenschutzrechte Angemessenes Datensicherheitsniveau Transparenter Verarbeitungsverlauf für Arbeitnehmer Arbeitgeber bleibt zusätzlich umfassend datenschutzrechtlicher Ansprechpartner für seinen Arbeitnehmer (Schadensersatz, Auskunft, Löschung etc.) Entsprechende Regelungen müssen verbindlich zwischen Konzernunternehmen geregelt werden (Verträge, Unternehmensregelungen) Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 5 Gestaltungsmöglichkeit: Betriebsvereinbarung Allgemeines: Schaffung einer Rechtsgrundlage nach 4 Absatz 1 BDSG Konkrete Festlegung: Was darf der Arbeitgeber selbst als Maßstab für eine Auslagerung der Tätigkeit? Verpflichtung des Arbeitgeber Empfänger verbindlich auf originäre Übermittlungszwecke zu verpflichten. Ggf. Verpflichtung des Arbeitgeber Kontrollmaßnahmen gegenüber Empfängern auszubedingen. Verstärkung der internen Datenschutzkontrolle: Zwar besteht Allgemeine Wachpflicht nach 80 Absatz 1 Nr. 1 BetrVG; Festlegung in der BV vereinfacht aber Einhaltungsüberwachung. Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 6

4 Gestaltung durch Konzernbetriebsvereinbarung? Zuständigkeit? Gem. 58 Absatz 1 BetrVG: Konzernbetriebsrat zuständig für die Behandlung von Angelegenheiten Die den Konzern oder mehrere Konzernunternehmen betreffen und Die nicht durch einzelne Gesamtbetriebsräte innerhalb ihrer Unternehmen geregelt werden können. BAG-Rechtsprechung: Dringendes Erfordernis für eine konzerneinheitliche Regelung ergibt sich daraus, dass Rechtsgrundlage i.s.d. 4 Absatz 1 BDSG nur durch eine Regelung geschaffen werden kann, die sowohl das die Daten abgebende als auch das die Daten aufnehmende Unternehmen bindet (BAG BB 1996, 2686 (2687). Technische Notwendigkeit für eine konzerneinheitliche Regelung (BAG NZA 2007, 399 und BAG NZA 2008, 1248). Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 7 Gestaltung durch Konzernbetriebsvereinbarung? Abweichende Zuständigkeit durch Datenschutzrecht? Ansicht in der Literatur: Mitbestimmungsrecht auf der Ebene, auf der einseitige Verfügungsgewalt auf Arbeitgeberseite besteht. Regelungskompetenz bestimmt sich nicht nach faktischen Verhältnissen, sondern ergebe sich aus gesetzlichen Vorschriften. Da BDSG kein Konzernprivileg kenne, sondern verantwortliche Stelle der Vertragsarbeitgeber ist, der nach Datenschutzrecht allein über die Daten verfügen kann, hat dieser einseitige Verfügungsmacht. In betriebsverfassungrechtlicher Hinsicht liegt also Regelungskompetenz bei verantwortlicher Stelle i.s.d. BDSG, so dass auf dieser Ebene, d.h. durch Gesamtbetriebsräte, Mitbestimmung auszuüben ist. Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 8

5 Gestaltung durch Konzernbetriebsvereinbarung? Aber: Schutz der Betroffenen! Fehlen eines Konzernprivilegs zum Schutze der Betroffenen, da jede Übermittlung gerechtfertigt sein muss ( 4 Absatz 1 BDSG). BetrVG: Verhandlung auf Augenhöhe und Bindung aller an der Übermittlung beteiligter Unternehmen. BAG: Zuständigkeit des Konzernbetriebsrat zum Schutz der Betroffenen? Konzernweiter Zugriff auf Daten betriebs- und unternehmensübergreifende Regelung erforderlich. Andernfalls könnte ein mögliches Verbot, auf bestimmte versandte Daten zuzugreifen, nicht effektiv vereinbart werden. Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 9 Neuerung durch 32 BDSG n.f.? 32 Satz 1 BDSG n.f. trifft keine abschließende Regelung im Hinblick auf mögliche Zwecke der Verwendung von Arbeitnehmerdaten. Aber: 32 BDSG n.f. enthält eine abschließende Regelung im Hinblick auf Umfang, Art, Intensität und Dauer der Verwendung für den Fall, dass Arbeitnehmerdaten für Zwecke des Beschäftigungsverhältnisses verwendet werden. Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 10

6 Konsequenz für die konzernweite DV? Zwecke des Beschäftigungsverhältnisses sind z.b Datenverwendungen im Zusammenhang mit der Personalverwaltung oder auch mit Kontrollen der Leistung oder des Verhaltens der Beschäftigten (so Entwurfsbegründung): Für die Auslagerung bzw. Übermittlung zum Zwecke der zentralisierten Personalverwaltung ist demnach 32 Satz 1 BDSG n.f. anwendbar. Danach sind solche Datenverwendungen erlaubt, die für die Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich sind. Ist die Übermittlung von Daten im Rahmen der Zentralisierung der Personaldatenverarbeitung für die Durchführung des Beschäftigungsverhältnisses erforderlich?! Jedenfalls: Betriebsvereinbarung als Rechtsgrundlage ( andere Rechtsvorschrift i.s.d. 4 Absatz 1 BDSG) bleibt für konzernweite Datenübermittlungen relevant ( 32 Absatz 3 BDSG n.f.) und wird möglicherweise immer relevanter. Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 11 Datenschutzrechtliche Gestaltungsmacht bis zur Landesgrenze?

7 Konzernweite DV mit internationalem Bezug Übermittlung von Daten in einen unsicheren Drittstaat. Nach BDSG bzw. EU-DSRL nur zulässig, wenn 1. Stufe: Die Datenübermittlung nach BDSG gerechtfertigt ist. 2. Stufe: Beim Empfänger ein angemessenes Datenschutzniveau gegeben ist. Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 13 Angemessenes Datenschutzniveau Sitzstaat des Empfängers gewährleistet angemessenes Datenschutzniveau: z.b. Schweiz, Kanada etc. Empfänger sitzt in den USA und ist dem Safe Harbor Übereinkommen beigetreten. Empfänger weist ausreichende Garantien vor hinsichtlich des Schutzes des Persönlichkeitsrechtes und der Ausübung der damit verbundenen Rechte, z.b. durch Einsatz der Standardvertragsklauseln (EU und Alternative) oder Verbindliche Unternehmensregelungen. Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 14

8 Besonderheit: Übermittlung von Arbeitnehmerdaten Zulässigkeit auf der ersten Stufe? Abschluss einer BV, GBV oder Konzern-BV, die den oben erörterten Anforderungen genügt: Problem: Beim Dritttransfer unzureichend, da Konzernstellen im Drittstaat grundsätzlich nicht daran gebunden. Lösung: Empfänger im Drittstaat müssen sich der BV verbindlich unterwerfen (durch drittbegünstigende vertragliche Regelungen mit den datenexportierenden Stellen in Deutschland). Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 15 Besonderheit: Übermittlung von Arbeitnehmerdaten Ansonsten? Ist der Einsatz der Standardvertragsklauseln (2. Stufe) ausreichend, um auch den Anforderungen nach BDSG auf der ersten Stufe gerecht zu werden? Standardvertrag vom 15. Juni 2001: Arbeitgeber bleibt Ansprechpartner im Hinblick auf Auskunftsanspruch der Betroffenen, Gesamtschuldnerische Haftung von Datenexporteur und Datenimporteur. Konkrete Regelung von Zweckbindung und Zugriffsbefugnissen in Anlagen 2 und 3 zum StV oder Abschluss einer Betriebsvereinbarung, die hier entweder einbezogen wird oder unter die sich der Empfänger unterwirft. Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 16

9 Besonderheit: Übermittlung von Arbeitnehmerdaten Ist der Einsatz der Standardvertragsklauseln (2. Stufe) ausreichend, um auch den Anforderungen nach BDSG auf der ersten Stufe gerecht zu werden? Garantien des Alternativen Standardvertrag vom 27. Dez reichen bei der Datenübermittlung von Arbeitnehmerdaten nicht aus, um den nach deutschem Recht auf der ersten Stufe bestehenden Anforderungen gerecht zu werden. Diese müssen zusätzlich vereinbart werden: Betriebsvereinbarung, GBV, Konzern-BV und Unterwerfung durch Empfänger. Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 17 Besonderheit: Übermittlung von Arbeitnehmerdaten Ist der Beitritt zum Safe Harbor Abkommen (2. Stufe) ausreichend, um auch den Anforderungen nach BDSG auf der ersten Stufe gerecht zu werden? Safe Harbor Beitritt besagt nicht automatisch, dass den Anforderungen der ersten Stufe ausreichend Rechnung getragen wird. Safe Harbor FAQ ist nicht eindeutig zu entnehmen, dass Arbeitgeber immer gegenüber Betroffenen verantwortliche Stelle bleibt. Deswegen: Beteiligte Unternehmen müssen regeln, dass dt. Arbeitgeber gegenüber den AN auch bzgl. Datenverarbeitung in den USA verantwortlich bleibt. BV, GBV, Konzern-BV + Unterwerfung durch Empfänger Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 18

10 Fazit: Gestaltungsmacht endet nicht an der Landesgrenze: Datenschutzrechtliche Anforderungen an den Drittstaatenverkehr können dazu führen, dass Betriebsvereinbarungen auch für Konzernteile im Drittstaat verbindlich werden. Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 19 Vielen Dank für Ihre Aufmerksamkeit! Meike Kamp Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein Tel.: Personalvertretung und Datenschutz, SAK 2009, Meike Kamp 20