Kurzbeitrag : Praxisfälle zum Datenschutzrecht XIX: Sonderkonditionen für Auszubildende bei Versicherungsunternehmen aus dem Konzernverbund : aus der RDV 6/2022, Seite 318 bis 322
I. Sachverhalt
Die mit der X-Bank konzernverbundene Y-Versicherung schlägt der Bank vor, dass diese ihr künftig jährlich Namen und Anschriften der neu eingestellten Auszubildenden mitteilen solle, damit die Versicherung die Auszubildenden von X per Briefpost anschreiben, diese über relevante Produkte informieren und ihnen den für eigene Mitarbeiter der Versicherung üblichen Rabatt i.H.v. 25 % anbieten kann. Kann die Bank dem Wunsch der Versicherung nachkommen?
Abwandlung:
Der Betriebsrat hat keine Bedenken, dass alle Auszubildenden das im Ausgangsfall geschilderte Angebot direkt von der Versicherung erhalten. Daher stimmt der Betriebsrat der Weitergabe der Anschriften aller Auszubildenden in einer Betriebsvereinbarung zu. Ändert sich hierdurch die Beurteilung des Sachverhalts?
II. Musterlösung des Ausgangsfalles
1. Kein Konzernprivileg
Nach Erwägungsgrund 40 DS-GVO brauchen personenbezogene Datenverarbeitungen, wozu nach der Legaldefinition der Verarbeitung in Art. 4 Nr. 2 DS-GVO auch die Weitergabe personenbezogener Daten zählt, um zulässig zu sein, einer entsprechenden Rechtsgrundlage (sog. Verbot mit Erlaubnisvorbehalt). Ein „Konzernprivileg“ kennt die DS-GVO insoweit nicht. Selbstständige juristische Einheiten innerhalb eines Konzerns sind datenschutzrechtlich grundsätzlich als eigenständige verantwortliche Stellen i.S.v. Art. 4 Nr. 7 DSGVO anzusehen, und Datenflüsse zwischen diesen bedürfen der Legitimation durch eine Rechtsgrundlage.
2. Durchführung des Beschäftigungsverhältnisses als mögliche Rechtsgrundlage
Als Rechtsgrundlage der Weitergabe der Auszubildendendaten ist zunächst § 26 Abs. 1 S. 1 BDSG zu prüfen.
Nach der genannten Bestimmung personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist.
Festzustellen ist insofern zunächst, dass nach dem weiten Beschäftigtenbegriff des § 26 Abs. 8 BDSG auch „zu ihrer Berufsbildung Beschäftigte“ Beschäftigte i.S.d. BDSG darstellen, § 26 Abs. 8 Nr. 2 BDSG. Mangels konkreten Bezugs der Datenweitergabe zum Ausbildungsverhältnis sind allerdings die Voraussetzungen des § 26 Abs. 1 S. 1 BDSG nicht gegeben. Die Vermittlung vergünstigter Versicherungen gehört nicht zu den Pflichten oder Rechten des Arbeitgebers aus dem Ausbildungsvertrag. Die Datenweitergabe an die Y-Versicherung ist damit nicht i.S.v. § 26 Abs. 1 S. 1 BDSG zur Durchführung des Beschäftigungsverhältnisses erforderlich.
3. Interessenabwägung
Es entspricht herrschender Meinung, dass Verantwortliche im Hinblick auf die Verarbeitung von Beschäftigtendaten für sog. „beschäftigungsfremde Zwecke“, wie sie vorliegend mit der Datenweitergabe an die Y-Versicherung verfolgt werden, potenziell auf Art. 6 Abs. 1 lit. f DS-GVO als Rechtsgrundlage zurückgreifen dürfen.[1] Die genannte Bestimmung gestattet die Verarbeitung personenbezogener Daten, sofern diese zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist und nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen (sog. Interessenabwägung).
Als berechtigtes Interesse kommt hier einerseits das werbliche Interesse der Y-Versicherung, andererseits aber auch das Interesse der X-Bank in Betracht, ihren Auszubildenden als Maßnahme der Mitarbeiterbindung die Möglichkeit zu bieten, innerhalb des Konzerns Versicherungen zu vergünstigten Konditionen abzuschließen. Diese Interessen stellen unzweifelhaft berechtigte Interessen i.S.v. Art. 6 Abs. 1 lit. f DS-GVO dar. Den Umstand, dass die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden kann, statuiert Erwägungsgrund 47 S. 7 DS-GVO sogar explizit. Dies gilt – jedenfalls im Grundsatz – auch für personenbezogene Datenverarbeitungen für Werbezwecke Dritter, denn nach Art. 6 Abs. 1 lit. f DS-GVO sind neben berechtigten Interessen des Verantwortlichen auch entsprechende Interessen Dritter berücksichtigungsfähig.
Keine Hilfe bietet im vorliegenden Fall hingegen Erwägungsgrund 48 DS-GVO. Zwar nennt Erwägungsgrund 48 DSGVO Konzerninteressen explizit als potenzielle berechtigte Interessen i.S.v. Art. 6 Abs. 1 lit. f DS-GVO, beschränkt dies aber auf Verarbeitungen im Zusammenhang mit sog. „internen Verwaltungszwecken“. Eine Privilegierung der Interessen anderer Konzernunternehmen oder der Unternehmensgruppe insgesamt – als Konzerninteresse – ist folglich nicht bezweckt.[2] Der Erwägungsgrund hat primär die Zentralisierung bestimmter Funktionen innerhalb großer Organisationen vor Auge,[3] wie z.B. eine zentrale Kreditoren-/Debitorenstammdatenverwaltung. Datenverarbeitungen im Zusammenhang mit der Werbung für Produkte anderer Konzernunternehmen lassen sich nicht auf Erwägungsgrund 48 DS-GVO stützen.[4]
Im Hinblick auf die festgestellten berechtigten Interessen an der Werbung (Y-Versicherung) bzw. an der Mitarbeiterbindung (X-Bank) bleibt zu prüfen, ob nicht ggf. die Interessen der betroffenen Auszubildenden an einem Unterbleiben der Datenweitergabe an Y überwiegen. Hierfür spricht, dass Auszubildende grundsätzlich erwarten dürfen, nicht mithilfe ihres Arbeitgebers zum Werbeobjekt Dritter zu werden. Das schutzwürdige Interesse der Auszubildenden, dass der Arbeitgeber ihre Daten regelmäßig nur für Zwecke des Beschäftigungsverhältnisses verwendet und nicht Dritten für deren kommerzielle Interessen zur Verfügung stellt, dürfte die dargestellten berechtigten Interessen von Arbeitgeber und Versicherung an einer Datenweitergabe überwiegen.
Hiergegen kann auch nicht wirksam eingewandt werden, dass es durchaus dem Interesse eines Teils des Auszubildenden entsprechen mag, über die Angebote der Y-Versicherung und die Sonderkonditionen informiert zu werden. Dies mag zwar zutreffen, eine entsprechende Information der Auszubildenden kann aber auch ohne Weitergabe der Adressdaten an Y erreicht werden, so dass es insofern an einer Erforderlichkeit i.S.v. Art. 6 Abs. 1 lit. f DS-GVO fehlt. Denkbar ist etwa ein Auslegen bzw. Aushängen entsprechender Printinformationen im Ausbildungsbetrieb, was sogar gänzlich ohne Datenverarbeitung möglich ist, oder eine Information über das Intranet der X-Bank.
Denkbar erscheint auch, dass die X-Bank sich bereit erklärt, die Informationen zu den vergünstigten Versicherungen selbst per Brief an ihre Auszubildenden zu senden. Dies könnte etwa in der Form geschehen, dass Informationsmaterial der Versicherung etwaiger dienstlicher Post, z.B. der Lohn- und Gehaltsabrechnung, beigepackt wird. Soweit insofern eine Verarbeitung personenbezogener Daten erfolgt,[5]ist diese einfacher zu legitimieren als eine Datenweitergabe an die Versicherung. Bei der Möglichkeit, Sonderkonditionen in Anspruch nehmen zu können, handelt es sich, wie bereits ausgeführt, um eine Information, die Teile der Auszubildenden sicher gern erhalten wollen, und im Verhältnis zu der angedachten Datenweitergabe wäre eine rein interne Nutzung der Adressdaten durch X zur Versendung von Information der Versicherung deutlich weniger eingriffsinvasiv.
Der Belästigungseffekt der Beipackwerbung für nicht interessierte Auszubildende ist schließlich überschaubar.
Ergebnis: Eine Weitergabe der Auszubildendendaten an die Y-Versicherung kommt ohne Einwilligung der Auszubildenden nicht in Betracht, da weniger eingriffsinvasive Methoden zur Verfügung stehen, diese zu informieren.
4. Ergänzende Informationen zur Einwilligung
Aufgrund des typischerweise bestehenden Abhängigkeitsverhältnisses im Verhältnis zum Arbeitgeber bedürfen Einwilligungen im Zusammenhang mit Beschäftigungsverhältnissen einer besonderen Prüfung im Hinblick auf die Freiwilligkeit der Erklärung, vgl. § 26 Abs. 2 S. 1 und 2 BDSG. Dies gilt insbesondere im Hinblick auf Auszubildende, die häufig noch minderjährig, jedenfalls aber geschäftlich unerfahren und insoweit besonders schutzbedürftig sind. Dennoch kann auch einem/einer Beschäftigten nicht generell, vor allem nicht außerhalb der Bewerbungssituation, abgesprochen werden, eine freiwillige Entscheidung treffen zu können. Entscheidend ist stets der konkrete Einzelfall. Solange der Arbeitgeber keinen entsprechenden Druck aufbaut und eine Datenweitergabe ohne zu befürchtende negative Konsequenzen abgelehnt werden kann, ergäben sich etwa im vorliegenden Fall keine Bedenken bezüglich der Freiwilligkeit.
Sofern Beschäftigtendatenverarbeitungen auf eine Einwilligung gestützt werden sollen, sind die besonderen nationalen Formanforderungen an Einwilligungen von Beschäftigten zu beachten. Während die DS-GVO keine bestimmte Form für die Einwilligung vorsieht, sondern sogar ein konkludentes Handeln für ausreichend ansieht,[6] verlangt § 26 Abs. 2 S. 3 BDSG, dass die Einwilligung durch Beschäftigte schriftlich oder elektronisch zu erfolgen hat, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Gemäß § 26 Abs. 2 S. 4 BDSG hat der Arbeitgeber die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht nach Art. 7 Abs. 3 DS-GVO in Textform aufzuklären. Fraglich ist, ob mit „schriftlich“ und „elektronisch“ die Schriftform gemäß § 126 BGB bzw. die elektronische Form gemäß § 126a BGB gemeint ist.[7] Zum Teil wird vertreten, dass § 26 Abs. 2 S. 3 BDSG von einem eigenen Schriftlichkeitsbegriff ausgeht, der die Nachweispflicht des Verantwortlichen bezweckt.[8]
III. Abwandlung: Betriebsvereinbarung als Grundlage der Datenweitergabe
Gemäß § 26 Abs. 4 BDSG können Betriebsvereinbarungen grundsätzlich einen datenschutzrechtlichen Erlaubnistatbestand darstellen: „Die Verarbeitung personenbezogener Daten, einschließlich besonderer Kategorien personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses, ist auf der Grundlage von Kollektivvereinbarungen zulässig.“ Eine Betriebsvereinbarung ist eine Kollektivvereinbarung i.S.v. § 26 Abs. 4 BDSG.
Vorliegend stellt sich allerdings die Frage nach der Wirksamkeit der Betriebsvereinbarung. Dies gilt zum einen hinsichtlich der Zuständigkeit des Betriebsrats zur Regelung des fraglichen Sachverhalts. Denn die Weitergabe der Anschriften der Auszubildenden für die beschriebenen Zwecke liegt außerhalb der betrieblichen Sphäre. Der Abschluss von Versicherungen sowie vorhergehende diesbezügliche Kontakte und Angebote betreffen die private Sphäre der Auszubildenden.
Fraglich ist zum anderen, ob die Betriebsparteien wirksam eine Datenverarbeitung gestatten können, die nach den Regelungen von DS-GVO bzw. BDSG – wie zuvor festgestellt – nicht erlaubt wäre. Inwiefern per Betriebsvereinbarung vom Schutzstandard der DS-GVO abgewichen werden kann, ist im Detail umstritten.[9] Für unzulässig erachtet es die herrschende Meinung jedenfalls, wenn die innerbetriebliche Regelung den Schutzstandard der DS-GVO unterschreitet.[10]Möglich sind hingegen innerbetriebliche Regelungen, welche die geltenden Datenschutzvorgaben unter Beachtung des Verhältnismäßigkeitsprinzips für die betrieblichen Gegebenheiten konkretisieren.
Die hier zu beurteilende Betriebsvereinbarung nimmt den Auszubildenden die durch DS-GVO bzw. BDSG an sich vorgesehene Möglichkeit, selbst darüber bestimmen zu können, ob sie betreffende personenbezogene Daten an die Versicherung weitergegeben werden. Insofern kann von einer Konkretisierung bestehender Datenschutzvorgaben keine Rede sein. Vielmehr wird den betroffenen Auszubildenden im konkreten Fall ihr Recht auf informationelle Selbstbestimmung genommen.
Ergebnis: Die Betriebsvereinbarung ist unwirksam (§ 134 BGB) und kommt nicht als Rechtsgrundlage der konzerninternen Weitergabe der Auszubildendendaten in Betracht.
IV. Ergänzende Informationen zum Thema Betriebsvereinbarungen und Datenschutz
Betriebsvereinbarungen spielen in der Praxis eine zentrale Rolle zur Legitimation von Datenverarbeitungen im Beschäftigtenkontext. Dies liegt an den strukturellen Schwächen anderweitiger Instrumente zur Rechtfertigung von Beschäftigtendatenverarbeitungen, z.B. der freiwilligen und jederzeit widerruflichen Einwilligung, vor allem aber an der Doppelfunktion von Betriebsvereinbarungen zur Verarbeitung von Beschäftigtendaten: Denn der Abschluss von Betriebsvereinbarungen ist aufgrund der Mitbestimmungsrechte des Betriebsrates nach § 87 Abs. 1 Nr. 6 BetrVG oftmals unumgänglich, gleichzeitig liefern diese infolgedessen aber auch eine verlässliche datenschutzrechtliche Rechtfertigungsgrundlage für die Verarbeitung von Beschäftigtendaten.[11]
* RAin Yvette Reif, LL.M. ist stellvertretende Geschäftsführerin der Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V. und Mitautorin des Werks Gola/Reif, Praxisfälle Datenschutzrecht, 2. Aufl. 2016.
[1] Gola, Handbuch Beschäftigtendatenschutz, 8. Aufl., Rn. 752 ff.; LfDI BW, Ratgeber Beschäftigtendatenschutz, Stand: April 2020 (4. Aufl.), S. 59 f.
[2] Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Datenschutzrecht, 1. Aufl. 2019, DS-GVO Art. 6 Abs. 1 Rn. 117.
[3] Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Datenschutzrecht, 1. Aufl. 2019, DS-GVO Art. 6 Abs. 1 Rn. 117.
[4] Simitis/Hornung/Spiecker gen. Döhmann/Schantz, Datenschutzrecht, 1. Aufl. 2019, DS-GVO Art. 6 Abs. 1 Rn. 117.
[5] Vgl. Gola/Heckmann/Schulz, DS-GVO/BDSG, 3. Aufl. 2022, DS-GVO Art. 6 Rn. 81: „Ist die Beipack- oder Empfehlungswerbung an individuell ausgewählte Adressaten gerichtet, ist der Anwendungsbereich der DS-GVO eröffnet.“ Erfolgt das Beipacken über eine komplette Versandaktion ohne Rücksicht auf konkrete Empfänger, wird es an einer Verarbeitung personenbezogener Daten fehlen.
[6] Vgl. Art. 4 Nr. 11 DS-GVO: „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung“.
[7] Hitzelberger-Kijima, öAT 2020, 133 (135).
[8] Thüsing/Rombey, NZA 2019, 1399.
[9] Vgl. hierzu auch Praxisfall XVIII: Videoüberwachung im Pausenraum, RDV 2022, 269 (271).
[10] Gola, Handbuch Beschäftigtendatenschutz, 8. Aufl., Rn. 1958 ff., 1966 ff
[11] Klösel/Manhold, NZW 2017, 1425 (1428).