12.03.2019 Umgang mit Personaldaten & Datenschutz
Maschmann diskutiert die Zulässigkeit zentraler Verarbeitungsprozesse personenbezogener Entgeltdaten
Kurznachricht zu "Verarbeitung personenbezogener Entgeltdaten und neuer Datenschutz" von Prof. Dr. Frank Maschmann, original erschienen in: BB 2019 Heft 11, 628 - 636. Der Autor stellt fest, dass person ...

Kurznachricht zu "Verarbeitung personenbezogener Entgeltdaten und neuer Datenschutz" von Prof. Dr. Frank Maschmann, original erschienen in: BB 2019 Heft 11, 628 - 636.

Der Autor stellt fest, dass personenbezogene Daten, denen eine Relevanz für das Entgelt zukommt, zu den wichtigsten Informationen im Personalbereich gehören. Die Zulässigkeit der Erhebung, Verarbeitung, Ermittlung und Nutzung personenbezogener Entgeltdaten hat sich nach dem 25.05.2018 DSGVO sowie nach dem DSAnpUG-EU zu richten. Art. 6 Abs. 1 DSGVO enthält bezüglich der Datenverarbeitung ein "Verbot mit Erlaubnisvorbehalt". Erforderlich ist diesbezüglich eine Erlaubnisnorm. Maschmann weist in diesem Zusammenhang darauf hin, dass die Einwilligung der betroffenen Person allein nicht ausreicht, um die Verarbeitung personenbezogener Daten zu rechtfertigen. § 26 Abs. 1 BDSG stellt eine Befugnisnorm dar, sofern die Verarbeitung zur Durchführung des Beschäftigungsverhältnisses notwendig ist. Daneben kommt Art. 6 Abs. 1 lit. f DSGVO zur Anwendung, wenn sich die Verarbeitung nicht vornehmlich auf das Beschäftigungsverhältnis bezieht. Denkbar sind auch Betriebsvereinbarungen nach § 26 Abs. 4 i.V.m. Art. 88 DSGVO. Im weiteren Verlauf wendet sich der Verfasser der Personalstammdatenbank zu. Er weist darauf hin, dass der Arbeitgeber gewisse Stammdaten zwecks Durchführung des Beschäftigungsverhältnisses benötigt. Für die Verarbeitung sensibler Entgeltdaten i.S.v. Art. 9 Abs. 1 DSGVO, z.B. Religions- und Gewerkschaftszugehörigkeit, enthält § 26 Abs. 3 BDSG eine Sonderregelung. Die Speicherung personenbezogener Daten ausgeschiedener Beschäftigten ist in Art. 5 Abs. 1 lit. e DSGVO geregelt.

Sodann erläutert Maschmann die Entgeltberechnung. Er hebt hervor, dass dem Arbeitgeber die Pflicht zukommt, das Arbeitsentgelt korrekt zu berechnen und diesbezüglich eine Bescheinigung in Textform zu erteilen. Diese Übermittlung stellt seinen Anmerkungen zufolge eine erlaubnispflichtige Offenlegung personenbezogener Daten dar, so dass eine Verarbeitungsgrundlage gemäß Art. 6 Abs. 1 DSGVO erforderlich ist. Dies gilt vor allem, wenn konzernintern abgerechnet wird. Sofern die Abrechnung durch einen externen Dienstleister erfolgt, der gewissermaßen als "Auftragsverarbeiter" auftritt, ist für die Übermittlung personenbezogener Entgeltdaten keine eigene Verarbeitungsgrundlage erforderlich. Der Autor hebt hervor, dass viele Konzerne die Abrechnungen mit Hilfe des sog. "Shared Service Center" (SSC) erstellen. Sofern dieses seine Dienste zentral für alle Konzerngesellschaften erbringt, geht der Verfasser von einer datenschutzrechtlich privilegierten Auftragsverarbeitung aus. Wenn die Dienste jedoch über bloße Hilfs- und Unterstützungsfunktionen hinausgehen, sind diese ihm zufolge nicht mehr als Auftragsdatenverarbeitung zu qualifizieren. Hinsichtlich der Abrechnung außerhalb der EU sieht Art. 44 S. 1 DSGVO zwei Voraussetzungen vor: auf der ersten Stufe muss der Datenaustausch zunächst die Bedingungen für eine Übermittlung an einen Empfänger innerhalb der EU genügen, auf der zweiten Stufe sind die besonderen Voraussetzungen des Kapitels V der DSGVO einzuhalten.

Im Anschluss nimmt Maschmann eine Unterscheidung der Abrechnung in sicheren Drittländern, geregelt in Art. 45 Abs. 1 S. 2 DSGVO, von der Abrechnung in unsicheren Drittländern, geregelt in Art. 46 Abs. 1 DSGVO, vor. Im Rahmen der Übermittlung personenbezogener Daten an Belegschaftsvertretungen bestimmen die einschlägigen Vorschriften des Mitbestimmungsrechts nach Anmerkung des Verfassers, welche Entgeltdaten in welcher Weise zur Verfügung gestellt werden müssen. § 26 BDSG ist hier nicht einschlägig. Art. 88 Abs. 2 DSGVO und § 26 Abs. 1 BDSG enthalten insoweit Übermittlungsgrenzen. In diesem Zusammenhang erläutert Maschmann das Problem der Übermittlung personenbezogener Entgeltdaten bei dem Erwerb eines Betriebs oder Unternehmens. Als Hilfsmittel fungiert hier die sog. Due Diligence, bei welcher der Verkäufer die für ihn für die Transaktion notwendigen Informationen mittels eines realen oder virtuellen Datenraums zur Verfügung stellt. Diese sind vom Schutz des Art. 4 Nr. 1 DSGVO umfasst, sofern es sich um personenbezogene Daten handelt. Sollen personenbezogene Daten hierbei unverschlüsselt übermittelt werden, ist nach Ansicht des Verfassers lediglich Art. 6 Abs. 1 lit. f DSGVO als Rechtfertigungsgrundlage in Betracht zu ziehen. Die Offenlegung muss dann zur Wahrung der berechtigten Interessen der Führungskraft gewahrt bleiben. Sofern es im Anschluss zum Vollzug der Unternehmenstransaktion kommt, sind nunmehr alle Entgeltdaten an den Erwerber zu übermitteln, wofür § 26 Abs. 1 BDSG als Rechtsgrundlage dient. Er spricht sich in diesem Zusammenhang dafür aus, die Unterrichtungspflicht gemäß § 13 Abs. 3 DSGVO dahingehend einzuschränken, als dass Art. 14 Abs. 5 lit. b S. 1 Hs. 2 DSGVO nicht nur auf Seiten des Erwerbers, sondern auch auf Seiten des Verkäufers anzuwenden ist. Maschmann erörtert an dieser Stelle die sog. Big Data Auswertungen ("People Analytics"). Hierunter sind Mustererkennungen im Personalwesen zu verstehen, die aus einer strategischen Analyse und Auswertung großer Datenmengen bestehen. Sofern es sich hierbei um personenbezogene Daten handelt, was zu bejahen ist, wenn sich die Daten vergleichsweise schnell "re-individualisieren" lassen, bedarf die Analyse einer Verarbeitungsgrundlage nach Art. 6 Abs. 1 DSGVO. In Betracht zu ziehen ist hierbei nach Anmerkung des Verfassers Art. 6 Abs. 1 lit. f DSGVO, sofern es vordergründig um die Optimierung von Personalkosten geht.

Dieser Beitrag wurde erstellt von RAin Judith Kaul.