A. Einführung
Rz. 1
In einer global vernetzten Arbeitswelt spielt der grenzüberschreitende Verkehr von Beschäftigtendaten eine bedeutende Rolle. Verbesserte Transport- und Kommunikationsmöglichkeiten erleichtern mobiles, länderübergreifendes Arbeiten. Vor allem während und seit der Corona-Pandemie werden Aufgaben zunehmend grenzüberschreitend aus dem "Home-Office" erledigt. Zudem geht die globale Bündelung von Datenbanken und Personalverwaltungsfunktionen oft mit vielversprechenden Synergieeffekten einher. Viele Geschäftsmodelle beruhen darauf, auf einen weltweiten personellen Kompetenzpool zugreifen zu können – wie etwa im Konzern oder beim Crowdsourcing.
Beschäftigtendaten fallen unter den Begriff der personenbezogenen Daten nach Art. 4 Nr. 1 DSGVO. Die Speicherung dieser Daten stellt eine Art der Verarbeitung nach Art. 4 Nr. 2 DSGVO dar. Nach Art. 2 Abs. 1 DSGVO ist der sachliche Anwendungsbereich der DSGVO somit eröffnet. Mehr zum Begriff der personenbezogenen Daten und des in Deutschland geltenden Datenschutzrechts vgl. § 11 – Datenschutzrecht.
Im grenzüberschreitenden Kontext stellen sich zwei zentrale datenschutzrechtliche Fragen:
| ▪ |
An welchem Beschäftigungsort findet die neue DSGVO überhaupt Anwendung (dazu Rdn 2 ff.)? |
| ▪ |
Dürfen erhobene Beschäftigtendaten länderübergreifend verbreitet werden (dazu Rdn 9 ff.)? |
B. Räumliche Reichweite der DSGVO (Art. 3 DSGVO)
Rz. 2
Art. 3 DSGVO regelt den räumlichen Anwendungsbereich der DSGVO. Dabei besteht das rechtspolitische Ziel darin, alle Sachverhalte mit EU-Bezug einem einheitlichen Datenschutzniveau zu unterwerfen.
I. Niederlassungsprinzip (Art. 3 Abs. 1 DSGVO)
Rz. 3
Die DSGVO findet auf die Verarbeitung personenbezogener Daten Anwendung, soweit diese im Rahmen der Tätigkeit einer EU-Niederlassung stattfindet (Art. 3 Abs. 1 Hs. 1 DSGVO). Jene setzt eine feste Einrichtung in der EU voraus, von der eine tatsächliche Tätigkeit ausgeht. Sobald Personen dauerhaft an einem festen Arbeitsort in der EU arbeiten, wird regelmäßig von einer EU-Niederlassung auszugehen sein. Ein bloßer Briefkasten dürfte allein noch nicht genügen. Unerheblich ist dabei, wo die Datenverarbeitung stattfindet, welche Rechtsform das Unternehmen hat und ob sich der Unternehmenssitz in der EU befindet – wobei freilich ein satzungsmäßiger Sitz in der EU stets zur Annahme einer EU-Niederlassung i.S.v. Art. 3 Abs. 1 DSGVO führt.
Rz. 4
Die EU-Niederlassung muss nach dem Wortlaut von Art. 3 Abs. 1 Hs. 1 DSGVO ("im Rahmen der Tätigkeit") nicht selbst datenverarbeitend sein, damit der räumliche Anwendungsbereich der DSGVO eröffnet ist. Richtigerweise genügt schon die gezielte Förderung der Datenverarbeitung des Nicht-EU-Mutterkonzerns, etwa durch Anzeigenvertrieb. Dieses Ergebnis steht im Einklang mit Art. 3 Abs. 1 Hs. 2 DSGVO, wonach der physische Datenverarbeitungsort gerade keine Rolle spielen soll.
Für das externe Crowdsourcing bedeutet dies: Die Anwendbarkeit von Art. 3 Abs. 1 DSGVO hängt entscheidend davon ab, ob es sich beim Plattformbetreiber bzw. Auftraggeber um eine EU-Niederlassung handelt. Daher fällt die allein in Kalifornien verankerte Plattform auch dann nicht unter Art. 3 Abs. 1 DSGVO, wenn sie Online-Aufträge vergibt, die (auch) in deutschen Wohnzimmern bearbeitet werden. Beschäftigt hingegen eine deutsche Plattform beispielsweise in Indien tätige Software-Entwickler unter Einsatz russischer Server, so kommt Art. 3 Abs. 1 DSGVO zum Tragen.
II. Marktortprinzip (Art. 3 Abs. 2 DSGVO)
Rz. 5
Art. 3 Abs. 2 DSGVO erstreckt den räumlichen Anwendungsbereich der DSGVO auf das sog. "Targeting" von Personen, die sich innerhalb der EU befinden. Danach findet die DSGVO auf zwei Fälle Anwendung, in denen ein außereuropäisches Unternehmen personenbezogene Daten verarbeitet:
1. Anbieten von Waren und Dienstleistungen
Rz. 6
Einerseits genügt für die Anwendbarkeit der DSGVO, "Personen in der Union Waren oder Dienstleistungen anzubieten" und in diesem Zusammenhang personenbezogene Daten zu verarbeiten. Der Waren- und Dienstleistungsbegriff ist hierbei im Sinne der Art. 28 f., 56 ff. AEUV weit zu verstehen. Entscheidend ist, dass die Nicht-EU-Niederlassung über die bloße Zugänglichkeit einer Website hinaus offensichtlich beabsichtigt, Personen in der EU ihre Leistungen anzubieten. Dies muss im Einzelfall etwa anhand der verwendeten Sprache, Währung oder der zu Werbezwecken erwähnten Kunden ermittelt werden.
Crowdsourcing einer Nicht-EU-Niederlassung wird vom insoweit eindeutigen Wortlaut des Art. 3 Abs. 2 lit. a DSGVO nicht erfasst. Denn über die Crowdsourcing-Plattform werden dem Crowdworker gerade keine Dienstleistung angeboten. Im Gegenteil: Über die Plattform sollen Leistungen vom Crowdworker erworben werden.