§ 12 Grenzüberschreitender Verkehr von Beschäftigtendaten / 3. Ausnahmen (Art. 49 DSGVO)

Rz. 63

Wenn weder ein Angemessenheitsbeschluss nach Art. 45 DSGVO noch geeignete Garantien nach Art. 46 DSGVO gegeben sind, kann die grenzüberschreitende Übermittlung personenbezogener Daten ausschließlich^[58] dann zulässig sein, wenn ein Ausnahmefall des Art. 49 DSGVO vorliegt. Besonders im Kontext mit den USA gewinnt Art. 49 DSGVO derzeit an Bedeutung, da kein Angemessenheitsbeschluss vorliegt und auch geeignete Garantien nach der Schrems II-Entscheidung derzeit kein angemessenes Schutzniveau bieten. Der Ausnahmecharakter von Art. 49 DSGVO wird von Erwägungsgrund 111 ("gelegentlich") unterstrichen. Gemäß EDPB ist der Ausnahmecharakter nicht mehr gewahrt, wenn Art. 49 DSGVO "systematisch und wiederholt"^[59] verwendet wird. Im Beschäftigtenkontext kommen lediglich drei der vorgesehenen Ausnahmefälle von Art. 49 DSGVO in Betracht:

[58] Wortlaut von Art. 49 DSGVO: "[…] nur unter einer der folgenden Bedingungen zulässig".

[59] EDPB, Leitlinien 2/2018 Art 49 DSGVO, 25.5.2018, S. 11.

a) Einwilligung, Art. 49 Abs. 1 lit. a DSGVO

Rz. 64

Damit eine Einwilligung des Beschäftigten die Übermittlung seiner Daten in ein Drittland rechtfertigt, müssen die strengen Voraussetzungen der Art. 4 Nr. 11, 7, 49 Abs. 1 lit. a DSGVO erfüllt sein – was das übermittelnde Unternehmen (etwa der Arbeitgeber) rechtssicher nachweisen können muss (zu dieser Rechenschaftspflicht Art. 5 Abs. 2, 7 Abs. 1 und 24 Abs. 1 DSGVO).

aa) Ausdrücklich

Rz. 65

Zunächst muss die Einwilligung ausdrücklich erfolgen, also zumindest in unmissverständlicher Weise durch eine eindeutig bestätigende Handlung. Dem kann das aktive Anklicken eines Kästchens beim Besuch einer Internetseite ("Opt-On") genügen, nicht aber das bloße Stillschweigen oder das Dulden eines bereits angekreuzten Kästchens ("Opt-Out").^[60] Zudem verlangt Ausdrücklichkeit i.S.v. Art. 49 Abs. 1 lit. a DSGVO richtigerweise eine jeweils im konkreten Einzelfall erteilte Zustimmung,^[61] wofür bereits der Ausnahmecharakter der Norm spricht.

[60] Dazu Erwägungsgrund 32 S. 2 und S. 3 DSGVO.

[61] Plath/von dem Bussche, Art. 49 Rn 7.

bb) Informiert

Rz. 66

Die wirksame Einwilligung bedarf einer informierten Entscheidungsgrundlage, welche wiederum an hohe Anforderungen geknüpft ist. Der Beschäftigte muss darüber unterrichtet werden, welche Risiken mit der grenzüberschreitenden Übermittlung seiner Daten ohne Angemessenheitsbeschluss und ohne geeignete Garantien einhergehen, Art. 49 Abs. 1 lit. a DSGVO. Dies umfasst konkrete Angaben zum genauen Zweck, Empfänger und Zielort der Datenübermittlung.^[62] Ebenso muss der betroffene Beschäftigte über sein Widerrufsrecht nach Art. 7 Abs. 3 DSGVO aufgeklärt werden.^[63]

Die Unterrichtung des Beschäftigten birgt für das übermittelnde Unternehmen große Rechtsunsicherheit: Einerseits muss sie in für juristische Laien verständlicher Sprache erfolgen, darf also nicht zu lang sein. Andererseits darf sie nicht derart vereinfacht bzw. verdichtet werden, dass gesetzlich vorgesehener Unterrichtungsinhalt fehlt.

[62] Eingehend Kühling/Buchner/Schröder, Art. 49 Rn 15 m.w.N.

[63] Gedanke des § 26 Abs. 2 S. 4 BDSG, sowie Art. 7 Abs. 3 S. 3 DSGVO, Art. 13 Abs. 2 lit. c DSGVO.

cc) Freiwillig

Rz. 67

Ein generelles Ungleichgewicht i.S.v. Erwägungsgrund 43 S. 1 DSGVO besteht zwischen Arbeitgebern und Arbeitnehmern richtigerweise nicht, sodass Arbeitnehmer im Grundsatz freiwillig einwilligen können.^[64] Ob die Einwilligung tatsächlich freiwillig erfolgt, dürfte in der Praxis von den Gesamtumständen des konkreten Beschäftigungsverhältnisses abhängig sein. Auch bei der Datenübermittlung dürfte der Gedanke des § 26 Abs. 2 BDSG zutreffen, wonach Freiwilligkeit insbesondere dann vorliegen kann, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen.^[65] Anderer Meinung ist das EDPB und begründet dies mit einem Abhängigkeitsverhältnis.^[66] Dabei bleibt jedoch unklar, worin das grundsätzliche Ungleichgewicht zu sehen ist. Gemäß EDPB mangele es an der Freiwilligkeit, wenn Arbeitnehmer einen Nachteil (auch mittelbar) fürchten müssen, falls sie nicht einwilligten.^[67] Dabei sieht das EDPB die Beweislast beim Arbeitgeber.^[68] Hier stellen Alternativmöglichkeiten bei der Nicht-Einwilligung ein Indiz für die Freiwilligkeit dar.^[69] Das EDPB erkennt gleichzeitig an, dass eine wirksame Einwilligung zumindest möglich ist.^[70]

[64] So bereits BAG vom 11.12.2014 – 8 AZR 1010/13, NZA; 2015, 604 (607) [dort unter Rn 32] zu § 32 BDSG a.F.; Nunmehr allgemein klargestellt von Erwägungsgrund 155 DSGVO.

[65] Ebenso Wybitul/Ströbel/Rueß, ZD 2017, 503, 507.

[66] EDPB, Leitlinien 05/2020 Einwilligung gem. DSGVO, V. 1.1 4.5.2020, Rn 21.

[67] EDPB, Leitlinien 05/2020 Einwilligung gem. DSGVO, V. 1.1 4.5.2020, Rn 24.

[68] EDPB, Leitlinien 05/2020 Einwilligung gem. DSGVO, V. 1.1 4.5.2020, Rn 22.

[69] EDPB, Leitlinien 05/2020 Einwilligung gem. DSGVO, V. 1.1 4.5.2020, Rn 23.

[70] EDPB, Leitlinien 05/2020 Einwilligung gem. DSGVO, V. 1.1 4.5.2020, Rn 22.

dd) Widerruflich

Rz. 68

Der Beschäftigte hat das Recht, seine Einwilligung jeder...