Das Thema
Seit der AÜG-Reform zum 1. April 2017 müssen Entleiher noch genauer darüber Bescheid wissen, welche Leiharbeitnehmer sie wie lange und zu welchen Bedingungen einsetzen. Die neue Offenlegungs- und Konkretisierungspflicht (§ 1 Abs. 1 Satz 5 und 6 AÜG n.F.) führt u.a. dazu, dass Verleiher und Entleiher die Überlassung eines Leiharbeitnehmer im Überlassungsvertrag ausdrücklich als Arbeitnehmerüberlassung bezeichnen und die Person des Leiharbeitnehmers konkretisieren müssen. Zudem müssen Entleiher die Höchstüberlassungsdauer (§ 1 Abs. 1b Satz 1 AÜG n.F.) beachten und den Leiharbeitnehmern grundsätzlich nach neun Monaten dasselbe Gehalt wie der Stammbelegschaft zu zahlen (Equal-Pay-Gebot nach § 8 Abs. 1 AÜG n.F.). Um diesen gesetzlichen Pflichten und Anforderungen nachkommen zu können, müssen die Unternehmen die Identität des jeweiligen Leiharbeitnehmers rechtssicher bestimmen können.
Da den Unternehmen die Erfassung von Vor- und Zuname einschließlich der Anschrift vielfach nicht sicher genug ist, wird oftmals zusätzlich die Sozialversicherungsnummer des Leiharbeitnehmers erhoben. Für die Praxis stellt sich die Frage, ob diese Datenerhebung datenschutzrechtlich überhaupt zulässig ist. Zwar lässt sich die Identität des Leiharbeitnehmers mithilfe der Sozialversicherungsnummer rechtssicher feststellen. Damit ist die Sozialversicherungsnummer ohne Zweifel für die Erfüllung gesetzlicher Pflichten nützlich. Das heißt aber nicht, dass die Verwendung dieser Information datenschutzrechtlich auch erlaubt ist. Denn “zweckmäßig” heißt beim Datenschutz nicht ohne weiteres auch “zulässig”.
Im Ergebnis spricht aber einiges dafür, dass die meisten Arbeitsrichter das hier beschriebene Verarbeiten der Sozialversicherungsnummer als zulässig beurteilen werden.
Im Praxiseinsatz: Der “Ministammdatensatz” eines Leiharbeitnehmers
Neben der Einsatzplanung und den bereits erwähnten Punkten (Höchstüberlassungsdauer, Equal-Pay-Gebot) müssen die Unternehmen auch in Erfahrung bringen, ob, wann und wie lange sie einen Leiharbeitnehmer bereits im Rahmen eines früheren Einsatzes beschäftigt haben. Zu diesem Zweck legen viele Unternehmen “Ministammdatensätze” für ihre Leiharbeitnehmer an – entweder als einfache Excel-Datei oder gleich in einem Personaldatensystem. In diesen Datensätzen speichern sie die Informationen, die für den Einsatz des jeweiligen Leiharbeitnehmern und für die Erfüllung ihrer gesetzlichen Pflichten erforderlich sind – zunehmend eben auch die Sozialversicherungsnummer. Solche Datensätze helfen Unternehmen im Übrigen auch bei der Vorbereitung der nächsten Betriebsratswahlen: Denn wenn ein Entleiher Leiharbeitnehmer länger als sechs Monate einsetzt, dürfen diese auch an den kommenden Betriebsratswahlen teilnehmen. Unternehmen können also die konkrete Erfassung der Leiharbeitnehmer auch dazu nutzen, die vom dem Betriebsverfassungsgesetz geforderten Wählerlisten für Betriebsratswahlen (richtig) zu erstellen.
Welche Anforderungen stellt der Datenschutz am Arbeitsplatz?
Bereits nach dem heute noch geltenden Bundesdatenschutzgesetz (BDSG) müssen Arbeitgeber strenge Vorgaben erfüllen, wenn sie personenbezogene Daten ihrer Beschäftigten verarbeiten. § 4 Abs. 1 BDSG verbietet es grundsätzlich, personenbezogene Daten zu verarbeiten, wenn nicht ein gesetzlicher Erlaubnistatbestand diese Verarbeitung erlaubt. Der Datenschutz am Arbeitsplatz ist seit 2009 in § 32 BDSG geregelt. Erfüllen Arbeitgeber oder Entleiher bei der Verarbeitung der Daten ihrer Beschäftigten die Anforderungen dieser Vorschrift, ist diese Datenverarbeitung zulässig. Leiharbeitnehmer gelten nach § 3 BDSG auch als Beschäftigte. Nach § 32 BDSG dürfen Unternehmen personenbezogene Daten ihrer Beschäftigten nur dann verarbeiten, wenn dies für Zwecke des Beschäftigungsverhältnisses “erforderlich” ist. Nach der Rechtsprechung des Bundesarbeitsgerichts (BAG) setzt diese Erforderlichkeit nach § 32 BSDG eine Abwägung zwischen den Interessen des Arbeitgebers und denen des Beschäftigten voraus. Das BAG legt hier zunehmend strenge Maßstäbe an. Der Arbeitgeber muss die von ihm mit der Datenverarbeitung verfolgten Ziele gegen die damit verbundenen Folgen für das Persönlichkeitsrecht der betroffenen Beschäftigten abwägen. Dabei muss er unter anderem stets die mildeste aller gleich effektiven Datenverarbeitungen wählen. Es darf also nur so viele Daten wie nötig verarbeiten – und auch nur so wenige Daten, wie es zur Erreichung des verfolgten Zwecks erforderlich ist.
Wie würde ein Richter das Verarbeiten der Sozialversicherungsnummer beurteilen?
Da auch die Sozialversicherungsnummer ein personenbezogenes Datum darstellt, würde ein Arbeitsrichter demnach prüfen, ob die Erhebung und Verarbeitung der Sozialversicherungsnummer von Leiharbeitern von § 32 BDSG gedeckt ist. Die Datenerhebung und -verarbeitung wäre demnach dann zulässig, wenn sie für Zwecke des Beschäftigungsverhältnisses geeignet ist (a.), das mildeste aller gleich effektiven Mittel darstellt (b.) und nicht unangemessen in das Recht auf informationelle Selbstbestimmung der Leiharbeitnehmer eingreift (c.).
a) Geeignetheit
Wie bereits dargestellt, dient die Sozialversicherungsnummer den Unternehmern insbesondere dazu, ihren gesetzlichen Pflichten nach dem AÜG (Konkretisierungsgebot, Equal Pay, etc.) nachzukommen. Das Erfüllen rechtlicher Pflichten im Rahmen des Arbeitsverhältnisses ist indes ein typischer Fall einer Datenverarbeitung, die für Zwecke der Durchführung des Beschäftigungsverhältnisses geeignet ist. Gerade bei der Erfüllung gesetzlicher Pflichten aus dem (Leih-)Arbeitsverhältnis billigen Gerichte Unternehmen grundsätzlich einen etwas größeren Spielraum zu als bei Datenverarbeitungen zu anderen Zwecken (bspw. zu reinen Kontrollzwecken).
b) Erforderlichkeit
Zudem würde ein Arbeitsrichter prüfen, ob das Verarbeiten der Sozialversicherungsnummer für den Entleiher das mildeste zur Verfügung stehende Mittel ist. Hier vergleichen die Gerichte allerdings nur Mittel, die gleich effektiv sind. Der Entleiher muss also weder ein teureres Mittel noch eine weniger zweckmäßige oder eine weniger erfolgreiche Art der Datenverarbeitung wählen. Im Fall unseres Entleihers ist das Verarbeiten der Sozialversicherungsnummer ein sehr effektives Mittel, um den jeweiligen Leiharbeitnehmer sicher zu identifizieren. Mit dieser Vorgehensweise können Entleiher Verwechselungen belastbar vermeiden und so ihre gesetzlichen Pflichten nach dem AÜG auf eine effiziente Weise erfüllen. Das Unternehmen könnte hierfür zwar auch die Personalausweis- oder Passnummer des jeweiligen Leiharbeitnehmers verwenden. Solche Informationen genießen aber nach dem deutschen Bundespersonalgesetz bzw. dem Passgesetz einen besonders hohen Schutz. Die Verarbeitung der Personalausweis- oder Passnummer ist daher gerade nicht als milderes Mittel in Betracht zu ziehen.
c) Abwägung
In einem letzten Schritt würde das Arbeitsgericht prüfen, ob der Entleiher unangemessen in das Recht des Leiharbeitnehmers auf informationelle Selbstbestimmung eingreift. Hierzu muss das Gericht den vom Entleiher verfolgten Zweck (die Erfüllung gesetzlicher Pflichten) mit den Folgen der Verwendung der Sozialversicherungsnummer für den Leiharbeitnehmer abwägen. Naturgemäß spielen bei einer solchen Abwägung subjektive Wertungen und Einschätzungen eine sehr große Rolle. Daher kommen Gerichte bei der Bewertung datenschutzrechtlicher Sachverhalte, die auf den ersten Blick gleich gelagert sind, teilweise zu sehr unterschiedlichen Ergebnissen.
Der Erfüllung gesetzlicher Pflichten kommt indes in unserer Rechtsordnung ein ausgesprochen hoher Stellenwert zu. Daher würde ein Gericht dem Entleiher voraussichtlich einen gewissen Einschätzungsspielraum bei der Frage einräumen, auf welche Weise er seinen Pflichten nach dem AÜG nachkommt. Andererseits ist die Sozialversicherungsnummer eine durchaus sensible Information, deren Missbrauch einigen Schaden anrichten kann. Es bleibt aber festzuhalten, dass die fragliche Datenverarbeitung im Ergebnis gerade darauf abzielt, die Interessen des Leiharbeitnehmers zu schützen. Dies gilt vor allem im Hinblick auf das Equal-Pay-Gebot und die Höchstüberlassungsdauer. Diese beiden Regelungen sollen gerade sicherstellen, dass Leiharbeitnehmer nicht dauerhaft als Arbeitnehmer zweiter Klasse behandelt und bezahlt werden.
Im Ergebnis spricht daher einiges dafür, dass die meisten Arbeitsrichter das hier beschriebene Verarbeiten der Sozialversicherungsnummer als zulässig beurteilen werden.
Was ändert sich mit dem neuen Datenschutzrecht?
Ab dem 25. Mai 2018 gilt europaweit ein neues, strengeres Datenschutzrecht. Die EU-Datenschutz-Grundverordnung (DSGVO) sieht künftig bei Datenschutzverstößen Bußgelder von bis zu vier Prozent des konzernweiten Umsatzes vor – oder bis zu 20 Millionen Euro, je nachdem, welcher Betrag höher ist. Der deutsche Gesetzgeber hat kürzlich ein Ausführungsgesetz zur DSGVO verabschiedet. Ein neuer § 26 BDSG regelt danach künftig den Beschäftigtendatenschutz. An der hier beschriebenen Zulässigkeitsprüfung ändert das neue Gesetz allerdings nichts. Denn nach § 26 BDSG-neu sollen die bisherigen Abwägungskriterien weiterhin gelten. Dennoch bringt die DSGVO viele zusätzliche neue Anforderungen für Unternehmen mit sich, vor allem Transparenz- und Dokumentationspflichten. So müssen beispielsweise Entleiher die von ihnen beschäftigten Leiharbeitnehmer umfassend davon unterrichten, auf welche Weise und für welche Zwecke sie deren Daten verarbeiten.
Einen umfassenden Überblick über den neuen Beschäftigtendatenschutz finden sie hier im Unternehmerblog von Hogan Lovells.
RA/FAArb Tim Wybitul
Partner bei Hogan Lovells International LLP (Büro Frankfurt)
Autorenprofile in den sozialen Medien: Twitter, Xing oder LinkedIn
Aktuelle Buchveröffentlichung des Autors zum Thema:
Der hier geäußerten Auffassung ist – jedenfalls mit dieser Begründung – zu widersprechen. Die Erfassung und Verarbeitung der Sozialversicherungsnummer kann allenfalls dann erforderlich sein, wenn der Entleiher in Kontakt mit den Trägern der Sozialversicherung tritt, was üblicherweise nicht der Fall sein dürfte. Dabei ist sicherlich nicht zu bestreiten, dass die Verarbeitung der Sozialversicherungsnummer geeignet wäre, einen im Betrieb eingesetzten Leiharbeitnehmer eindeutig zu identifizieren.
Es fehlt jedoch an der Erforderlichkeit. Weder besteht eine rechtliche Verpflichtung des Entleihers, den in seinen Betrieb überlassenen Leiharbeitnehmer über die Vertragsdokumente mit dem Verleiher hinaus „eindeutig zu identifizieren“. Zur Konkretisierung des zu überlassenden Arbeitnehmers sind der Name und ggf. die Personalnummer des Überlassenen beim Verleiher hinreichend. Dass eine – willkürlich vergebene – Personalnummer des Verleihers oder ein sonstiges nicht-dauerhaftes, d.h. zeitlich auf das Vertragsverhältnis des Leiharbeitnehmers mit dem Entleiher beschränktes Datum weniger schützenswert sein dürfte als ein dauerhaft mit der Person verbundenes (Sozialversicherungsnummer) liegt auf der Hand. Der Umstand, dass ein Verleiherwechsel die Überlassungshöchstdauer rechtlich nicht unterbricht ist gleichwohl nicht hinreichend, die Erfassung der Sozialversicherungsnummer erforderlich zu machen. Ob ein Leiharbeitnehmer bereits von einem anderen Verleiher (zuvor) in den Entleiherbetrieb überlassen war lässt sich in den Vertragsdokumenten zwischen dem neuen Verleiher und dem Entleiher klären. Die Erfassung der Sozialversicherungsnummer durch den Entleiher diente faktisch nur der Überprüfung des (neuen) Verleihers, ob dieser bei Anbahnung der Überlassung gegenüber dem Entleiher wahrheitsgemäße Angaben gemacht hat oder – falls dies durch den Entleiher gar nicht abgefragt würde – der Arbeitserleichterung. Dass die (arbeitsgerichtliche) Rechtsprechung die Überprüfung der Zuverlässigkeit des Verleihers oder Überlegungen zur Arbeitserleichterung als hinreichende Rechtfertigung für die Speicherung eines so sensiblen Datums wie der Sozialversicherungsnummer ansehen wird ist wenig wahrscheinlich. Mildere Mittel sind mit wenig Phantasie schnell zu ermitteln.
Damit gebietet die Vorsicht, auf die Verarbeitung der Sozialversicherungsnummer auf Seiten des Entleihers zu verzichten.