Häufig stellt sich die Frage, ob Mitarbeiterdaten im Konzernverbund weitergegeben werden dürfen. Insbesondere die im Verbund herrschenden Gesellschaften stellten regelmäßig die Anforderung, Mitarbeiterdaten im Verbund erhalten zu wollen.
Der DS-GVO Gesetzgeber hat in Erwägungsgrund 48 die Unternehmensgruppe erwähnt, aber von einem speziellen Konzernprivileg abgesehen. Der Konzern unterliegt bei der Datenübermittlung den gleichen rechtlichen Bestimmungen wie jedes ander Unternehmen.
Im Datenschutz sind grundsätzlich alle Unternehmen selbst als Verantwortliche Stelle im Sinne des Art. 4 Abs. 7 DS-GVO zu sehen. Eine Datenweitergabe an die Konzern-Mutter stellt immer eine Übermittlung im rechtlichen Sinne dar. Übermittlungen bedürfen immer einer Rechtsgrundlage. Diese ist in der Regel in in Art. 6 DS-GVO zu finden. Als Rechtsgrundlagen kommen in Betracht:
- Einwilligung
- Vertragsverhältnis
- rechtliche Pflicht
- lebenswichtige Interessen des Betroffenen
- Wahrung öffentlicher Interessen
- berechtigte Interesse
Vertrag
Rechtsgrundlage für eine Datenverarbeitung, zu der natürlich auch die Datenübermittlung im Konzern zählen kann, kann der Vertrag sein. Im Arbeitsverhältnis muss zusätzlich zu den in Art. 6 DS-GVO aufgeführten Rechtsgrundlagen auch der Art. 88 DS-GVO iVm. § 26 BDSG geprüft werden.
Herrschende Meinung (Gola/Heckmann BDSG Kommentar, § 26 Rn. 92ff mit weiteren Nennungen) ist, dass bei Konzernbezug des Arbeitsverhältnisses eine Datenweitergabe, insbesondere der Kontaktdaten des Mitarbeiters, innerhalb eines Konzernverbunds möglich ist. Dazu muss aber bereits der Arbeitsvertrag vorsehen, dass bestimmte Personalentscheidungen durch die Konzernmutter vorgenommen werden können.
Berechtigtes Interesse
Der Auffangzweck des berechtigten Interesses ist auch, wie schon in Erwägungsgrund 48 erwähnt, eine mögliche Rechtsgrundlage für die Übermittlung von Kunden- und Mitarbeiterdaten in einer Unternehmensgruppe. Die Rechtmäßigkeit muss immer Fallbezogen erfolgen und soll hier nur exemplarisch am vorgestellten Fall dargestellt werden. Die Prüfung des berechtigten Interesses ist in drei Stufen durchzuführen:
1. Liegt ein berechtigtes Interesse vor
In den Fällen der Datenübermittlung an die Konzernmutter muss sich immer die Frage stellen, welchem Konzernzweck die Datenübermittlung dient. Am Beispiel der Weitergabe des Arbeitsvertrages im Fall LAG Hamm, 17 Sa 1185/20 soll nur hier für andere Fälle die Prüfung exemplarisch vorgestellt werden. Berechtigtes Interesse des Konzerns war in diesem Fall der Gehlatsvergleich. Andere Beispiele für ein solches berechtigtes Interesse könnten Krankentage, Leistungskennzahlen oder Qualitätsquoten im Konzernvergleich sein. Grundsätzlich sind solche berechtigten Konzerninteressen auch im Sinne von Erwägungsgrund 48 denkbar.
2. Erforderlichkeit dieser Datenübermittlung
Neben der Frage des Interesses muss die konkrete Datenübermittlung bzw. der Umfang der Datenübermittlung erforderlich sein, um den Zweck zu erreichen. Bei der Erforderlichkeit stellt sich immer die Frage, ob das Ziel auch mit weniger Daten erreicht werden kann. Im vorliegenden Fall hat das Gericht die Auffassung vertreten, dass ein konzernweiter Gehaltsvergleich auch ohne die Übermittlung der Arbeitsverträge inklusive der Mitarbeiternamen möglich gewesen wäre. Insbesondere dem Grundsatz der Datensparsamkeit müsse auch im Rahmen der Interessensabwägung Rechnung getragen werden.
3. Angemessenheit
Da schon die Erforderlichkeit der Datenverarbeitung für den Zweck nicht gegeben war, konnte eine Prüfung der Angemessenheit im Prinzip schon ausbleiben. Im Rahmen der Angemessenheit muss geprüft werden, ob der Eingriff in die Schutzrechte des Arbeitnehmers in einem ausgewogenen Verhältnis mit den berechtigten Interessen des Konzerns steht. Insbesondere im deutschen Arbeitsrecht kann sich der Arbeitnehmer auf eine besondere Vertraulichkeit des Arbeitgebers verlassen. Je umfassender die Informationsbereitstellung an den Konzern ist, um so gewichtiger ist das Schutzrecht (Recht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 Grundgesetz) des Arbeitnehmers.
Zusammenfassung:
Vor allem vor dem Hintergrund, dass der Konzern in der Regel kein Disziplinarrecht gegenüber dem Mitarbeiter ausüben kann, ist eine Namensnennung von Mitarbeitern insbesondere in Verbindung mit Gehalts-, Gesundheits- oder gar Leistungs- und Verhaltensdaten grundsätzlich unzulässig.
