Sie verwenden einen veralteten Browser. Um im Internet auch weiterhin sicher unterwegs zu sein, empfehlen wir ein Update.

Nutzen Sie z.B. eine aktuelle Version von Edge, Chrome oder Firefox

Fit für die DSGVO finden Sie jetzt hier
05. Juni 2020

Arbeitnehmerüberlassung: oft keine Auftragsverarbeitung

DP+
Arbeitnehmerüberlassung: oft keine Auftragsverarbeitung
Bild: iStock.com / rclassenlayouts
0,00 (0)
Auftragsverarbeitung oder gemeinsame Verantwortlichkeit?
In der Personaldienstleistungsbranche sind gemeinsame Verantwortlichkeiten eher die Regel als die Ausnahme. Eine Einzelfallbetrachtung, wie die Beteiligten im konkreten Fall datenschutzrechtlich einzuordnen sind, ist dennoch unentbehrlich.

Verleiher und Entleiher schließen im Rahmen der Arbeitnehmerüberlassung oft einen Vertrag zur Auftragsverarbeitung (AV) ab. Und zwar obwohl im konkreten Fall überhaupt keine Auftragsverarbeitung vorliegt.

Darauf weist auch der aktuelle Tätigkeitsbericht des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) hin (https://ogy.de/tb-bw-2020, S. 95).

Doch warum ist es rechtlich falsch, einen AV-Vertrag abzuschließen?

Beschäftigte beider Parteien

Datenschutzrechtlich sind Leiharbeiter Beschäftigte des Entleihers und des Verleihers. Das ergibt sich aus Art. 88 Datenschutz-Grundverordnung (DSGVO) in Verbindung mit § 26 Abs. 8 Nr. 1 Bundesdatenschutzgesetz (BDSG).

Beide Verantwortliche – also sowohl der Verleiher als auch der Entleiher – müssen sich bei der Verarbeitung von Beschäftigtendaten an die (engen) Voraussetzungen von § 26 Abs. 1 BDSG halten.

Im Umkehrschluss ergibt sich daraus, dass eine Auftragsverarbeitung gemäß Art. 28 DSGVO zwischen Verleiher und Entleiher beim Kernbereich der Arbeitnehmerüberlassung nicht infrage kommt.

Denn der Verleiher verarbeitet die personenbezogenen Daten des Leiharbeitnehmers nicht auf Weisung, nicht unter Kontrolle und auch nicht für Zwecke des Entleihers, wie es Art. 28 DSGVO voraussetzt.

Gemeinsame Verantwortlichkeit ist die Regel

Im Gegenteil: Beide Parteien verarbeiten die Daten eigenständig und für ihre eigenen oder gemeinsamen Zwecke und Absichten – und damit nicht im Auftrag des jeweils anderen.

Das bedeutet, dass die Parteien für einige Verarbeitungen datenschutzrechtl…

Dr. Kevin Marschall
+

Weiterlesen mit DP+

Sie haben noch kein Datenschutz-PRAXIS-Abo und möchten weiterlesen?

Weiterlesen mit DP+
Konzentrieren Sie sich aufs Wesentliche
Profitieren Sie von kurzen, kompakten und verständlichen Beiträgen.
Kein Stress mit Juristen- und Admin-Deutsch
Lesen Sie praxisorientierte Texte ohne Fußnotenapparat und Techniker-Sprech.
Sparen Sie sich langes Suchen
Alle Arbeitshilfen und das komplette Heftarchiv finden Sie online.
Verfasst von
Kevin Marschall
Dr. Kevin Marschall
Dr. Kevin Marschall ist Geschäftsführer der GDPC GbR, einer auf Datenschutz und Informationssicherheit spezialisierten Unternehmensberatung mit Sitz in Kassel. Er berät bei der Umsetzung der DSGVO und ist zudem als externer Datenschutzbeauftragter tätig.
Vielen Dank! Ihr Kommentar muss noch redaktionell geprüft werden, bevor wir ihn veröffentlichen können.