Verleiher und Entleiher = gemeinsam verantwortlich i.S.d. DSGVO?

Wenn Daten von Arbeitnehmern verarbeitet werden, greift das Datenschutzrecht. Wenn ein Arbeitgeber einen Mitarbeiter anstellt, ist das noch verhältnismäßig einfach zu handhaben.

In der Arbeitnehmerüberlassung wird es aber kompliziert:

Leiharbeitnehmer gelten als Beschäftigte, einmal zu ihrem Arbeitgeber (Verleiher), und einmal aber auch zum Entleiher (§ 26 Abs. 8 Nr. 1 BDSG).

Die Frage, ob zwischen Verleiher und Entleiher in Bezug auf die personenbezogenen Daten der Leiharbeitnehmer eine Auftragsverarbeitung vorliegt, kann wohl zwischenzeitlich sicher verneint werden (lesen Sie hier meinen Beitrag).

Diskutiert wird derzeit, ob zwischen Verleiher und Entleiher eine gemeinsame Verantwortlichkeit gegeben ist. In der Literatur findet man viele Meinungen, die das bejahen: Allerdings muss man hinterfragen, ob nicht einer vom anderen einfach abgeschrieben hat… denn, man muss die Arbeitnehmerüberlassung dazu genauer beleuchten, ebenso die Voraussetzungen der gemeinsamen Verantwortlichkeit.

„Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche“ (Art. 26 Abs. 1 DSGVO).

Personalvermittlung = ANÜ?

So sieht das auch die Datenschutzkonferenz jedenfalls in Bezug auf die Personalvermittlung, wo als Beispiel folgender Anwendungsfall genannt wird:

„Personalvermittlungs-Dienstleister, der für einen Arbeitgeber X Bewerber sichtet und hierbei auch bei ihm eingegangene Bewerbungen einbezieht, die nicht gezielt auf Stellen beim Arbeitgeber X gerichtet sind.“

Hierunter könnte man (allenfalls) den Verleiher fallen lassen, der sich konkret auf die Suche macht – denn dann könnte man in der Suche eine „gemeinsame Festlegung“ von Mittel bzw. Zweck der Datenverarbeitung durch Verleiher und Entleiher sehen.

Anders sehe ich es aber, wenn der Entleiher Personal anfragt/bestellt, das der Verleiher bereits beschäftigt, bzw. auch wenn die persönliche Qualifikation nicht sonderlich wichtig ist, und letztlich der Verleiher ein nahezu beliebiges Personal an den Entleiher verleiht.

Wenn nun die Agentur/der Verleiher gemäß § 1 Absatz 1 Satz 6 AÜG den Namen der Leiharbeitnehmer an den Veranstalter/Entleiher übermittelt, würde ich das nicht als „gemeinsame Festlegung“ im Sinne des Art. 26 DSGVO werten: Denn letztlich muss der Verleiher die Daten an den Entleiher übermitteln.

Solange nun die beiden Vertragspartner nicht bspw. eine gemeinsame Internetplattform nutzen, um bspw. dort Daten der Leiharbeitnehmer austauschen, fehlt es an der gemeinsamen Festlegung von Mittel und Zweck mindestens eines Datenverarbeitungsvorgangs. Denn der Zweck ergibt sich aus dem AÜG, und steht nicht zur Dispostion der Vertragspartner – sie können m.E. insoweit nichts „festlegen“ bzw. entscheiden.

Wie gesagt: Anders wäre es, wenn Verleiher und Entleiher vereinbaren, bspw. eine Online-Zeiterfassungssoftware gemeinsam zu nutzen. Dann könnte darin ein Datenverarbeitungsvorgang zu sehen sein, für den beide gemeinsam verantwortlich wären.

In der Literatur wird als Argument für die gemeinsame Verantwortlich vorgebracht, dass der Leiharbeitnehmer oftmals nicht wissen könne, wer nun wie welche seiner Daten verarbeitet. Dieses Argument greift aber für mich nicht: Denn ohne gemeinsame Verantwortlichkeit müssten ja beide – Verleiher und Entleiher – den Leiharbeitnehmer informieren, wer wie welche Daten (nun eben in eigener Verantwortung) verarbeitet.