§ 1a Individualarbeitsrecht – Teil 1 / d) Andere datenschutzrechtliche Erlaubnistatbestände

Rz. 751

Im BDSG 2018 ist kein allgemeiner gesetzlicher datenschutzrechtlicher Erlaubnistatbestand, wie ihn das alte BDSG mit § 28 BDSG a.F. kannte, mehr enthalten. Die Datenverarbeitung von Beschäftigtedaten zu Zwecken des Beschäftigungsverhältnisses richtet sich nach neuem Recht nur nach § 26 Abs. 1 BDSG, nicht aber zusätzlich nach Art. 6 Abs. 1 DS-GVO.^[1690]

[1690] Kort, NZA 2018, 1097, 1100.

aa) Datenübermittlung an Dritte

Rz. 752

Eine Datenübermittlung liegt vor, wenn die verantwortliche Stelle gespeicherte oder durch Datenverarbeitung gewonnene personenbezogene Daten an einen Dritten bekannt gibt. Dritter ist gemäß Art. 4 Ziff. 10 DSGVO jede Person oder Stelle außerhalb der verantwortlichen Stelle. Dies ist innerhalb eines Konzerns jeder andere Rechtsträger. Ein Konzernprivileg kennt der Arbeitnehmerdatenschutz nicht. Die Datenübermittlung ist von der Weitergabe von Daten im Rahmen einer Auftragsdatenverarbeitung (Art. 28 DSGVO) abzugrenzen. Bei der Auftragsdatenverarbeitung hat der Arbeitgeber weiterhin die Verfügungsgewalt über die Daten und ist daher für die Einhaltung gesetzlicher Standards verantwortlich. Regelmäßig stellt die Nutzung von Cloud-Diensten eine Auftragsdatenverarbeitung dar.

§ 26 BDSG regelt das Übermitteln von Daten an Dritte dem Wortlaut der Norm nach nicht. Die Zulässigkeit von Datenübermittlung im Arbeitsverhältnis dürfte sich deswegen nach § 26 Abs. 1 BDSG richten. Zulässig im Rahmen der arbeitsvertraglichen Erforderlichkeit ist etwa die Datenweitergabe an die kontoführende Bank zum Zwecke der unbaren Gehaltszahlung. In Betracht kommt auch die Übermittlung personenbezogener Daten an potentielle Unternehmenskäufer im Rahmen einer arbeitsrechtlichen Due Diligence. Nach § 1 Abs. 3 S. 1 2. Hs. KSchG ist der Arbeitgeber verpflichtet, einem gekündigten Arbeitnehmer auf Verlangen die Sozialdaten aller aus Sicht des klagenden Arbeitnehmers vergleichbaren Mitarbeiter bekanntzugeben. Zulässig dürfte auch die Datenweitergabe an eine zugunsten des Arbeitnehmers abgeschlossene Versicherung oder die Datenübermittlung zum Zwecke der gerichtlichen Verfolgung arbeitsvertraglicher Ansprüche sein. Innerhalb eines echten Leiharbeitsverhältnisses darf der Verleiher den Entleiher über den Verliehenen informieren. Grundsätzlich ist zudem die Betriebsvereinbarung zur Regelung der Weitergabe von Daten bei Konzernsachverhalten das probate Mittel.

Bei der Übermittlung von Daten ins Ausland gilt, dass die Übermittlung in andere EU-Staaten sowie EWR-Staaten nach § 4b BDSG denselben Regelungen unterliegt wie bei einer Übermittlung innerhalb Deutschlands. Hinsichtlich der Übermittlung in Drittstaaten gilt, dass sie dann zu unterbleiben hat, wenn dort kein ausreichendes Datenschutzniveau gewährleistet ist. Ein ausreichendes Schutzniveau wird etwa für die USA seit der Unwirksamkeit von Safe-Harbour nicht mehr anerkannt.