2012/01/28 DSK erteilt Pauschalgenehmigung für Datenübermittlungen nach China
MMag. Michael Krenn
„Matrixorganisation“ als Rechtfertigung für Datenübermittlungen nach China - DSK bestätigt Interesse des Konzerns an Datenübermittlung und erteilt Pauschalgenehmigung - Arbeitsrechtliche und Datenschutzrechtliche Problematik der Übermittlung
Eine neue Entscheidung der DSK K178.414/0006-DSK beschäftigt sich mit Datenübermittlungen im internationalen Konzernverhältnis.
Die Antragstellerin - Teil eines internationalen Konzerns- hatte bei der Datenschutzkommission einen Antrag auf Genehmigung einer internationalen Übermittlung personenbezogener Daten an Konzerngesellschaften in der Volksrepublik China gestellt. Dabei handelte es sich um die Stammdaten der Betroffenen, Informationen betreffend Funktion und Status, die Arbeitsstelle, Beschäftigungsende, Daten des Vorgesetzten, das Arbeitsmodell sowie Daten zu Trainings und Ausbildungen.
Laut Antragstellerin sollte die "Matrixstruktur" des Konzerns die Datenübermittlung rechtfertigen. Demnach würden die Mitarbeiter nicht in einer klassischen hierarchischen Organisation stehen, sondern mehreren Weisungsbeziehungen unterliegen, die sich aus funktionalen Kriterien ergeben. So könne es etwa beim Einkauf, Verkauf oder der Produktwerbung unterschiedliche Berichtslinien und Weisungsbeziehungen geben. Die Mitarbeiter würden einem höherrangigen Mitarbeiter in einem anderen Konzernbetrieb zuarbeiten, der für bestimmte funktionale Tätigkeiten oder Projekte zuständig sei. Mitarbeiter in Österreich könnten somit auch funktional Vorgesetzten aus anderen Konzernunternehmen unterstellt werden.
DSK genehmigt Datenübermittlung nach erstellter Weisung
Auf Vorhalt der Datenschutzkommission erstellte die Antragstellerin eine Weisung, die die Verteilung der rechtlichen Verantwortung zwischen der Antragstellerin und den anderen Konzernunternehmen, in denen einer der "funktional Vorgesetzten" arbeitet, darlegt und klargestellt, dass der "funktional Vorgesetzte" zwar Weisungen erteilen könne, aber nicht die Funktion des Arbeitgebers übernimmt.
Die DSK akzeptierte die Übermittlung der beantragten Daten mit der Begründung, dass die Mitarbeiter mehreren Weisungsbeziehungen unterliegen, die sich aus funktionalen Kriterien ergeben würden. Rechtlich müsse sichergestellt werden, dass auch bei der Kooperation mit anderen Konzernunternehmen etwa bei projektbezogener Arbeit oder im Rahmen einer dauerhaften Matrixorganisation, die grundsätzlichen Rechte zur Verwendung der personenbezogenen Daten der Mitarbeiter beim Arbeitgeber verbleiben müssen.
Da die Datenübermittlung für die Erfüllung zulässiger Aufgaben im Konzern erforderlich sei, liege ein überwiegendes berechtigten Interesses vor, womit die Voraussetzungen des § 8 Abs. 1 Z 4 DSG 2000 für die Zulässigkeit der vorliegenden Übermittlung erfüllt seien.
Arbeitsrechtliche und datenschutzrechtliche Problematik
Die gegenständliche Entscheidung der DSK erweist sich sowohl aus arbeits- als auch aus datenschutzrechticher Sicht problematisch. Seitens der DSK wurde nicht darauf eingegangen, welche spezifischen Interessen, aus denen sich eine datenschutzrechtliche Zulässigkeit der Übermittlung ergeben würde, mit den einzelnen Datenkategorien verbunden sein würden. Im Gegensatz dazu hat die Datenschutzkommission eine pauschale Genehmigung der Übermittlung der Daten erteilt, da dies angeblich auch bei einer Übermittlung ohne Drittstaatsbezug so zu handhaben gewesen wäre. Dies ist aber keineswegs selbstverständlich, da natürlich auch eine Übermittlung von Arbeitnehmerdaten zwischen Gesellschaften im Inland einen spezifischen Zweck erfüllen muss. Alleine das Vorbringen, es käme eben in Form einer „Matrix“ immer wieder zu organisatorischen Verschränkungen zwischen den Gesellschaften, kann nicht ausreichend sein, die pauschale Genehmigung für alle Datenkategorien zu rechtfertigen. Es wurde nichteinmal geprüft, inwieweit die Übermittlung von Datenkategorien wie Beschäftigungszeiten, Daten des Vorgesetzten und Arbeitsmodell nach China Voraussetzung für die Aufgabenerfüllung im Rahmen der „Matrix-Organisation sei.
Darüber hinaus ist zu kritisieren, dass der betreffende Bescheid die Übermittlung nicht einmal auf konkrete definierte Anlässe beschränkt, sondern vielmehr etwas kryptisch von Arbeitskräftemanagement und Nachfolgeplanung spricht. Weiters ist auch Kritik an dem Modell der Matrix an sich zu üben: Letztendlich würde dies bedeuten, dass alleine die Behauptung einer teilweisen Zusammenarbeit über Grenzen der jeweiligen Rechtsträger hinweg, einen begründeten Anlassfall für die Übermittlung beliebiger Arbeitnehmerdaten setzt.
„Matrix-Modell“ als Rechtfertigung für Übermittlung von Arbeitnehmerdaten?
Auch das Arbeitsrecht kennt das durch die DSK abgesegnete „Matrix-Modell“ nicht. Das Weisungsrecht des Dienstgebers gegenüber dem Dienstnehmer ist Ausdruck der persönlichen Eingliederung des Dienstnehmers in eine betriebliche Struktur, was ein wesentlichstes Charakteristikum des Dienstverhältnisses und Abgrenzung zum selbständig Tätigen ist. Beim hier präsentierten Modell soll aber der Betroffene eben gar nicht in den Betrieb des Datenimporteurs eingegliedert werden. Er bleibt bei der österreichischen Gesellschaft angestellt, welche auch sämtliche Dienstegeberpflichten weiterhin wahrnimmt.
An sich spricht nichts dagegen, dass hinsichtlich der Arbeitsverrichtung ein Dienstnehmer auch von anderen Personen als dem Arbeitgeber sachbezogene Anordnungen erhält. Das hat allerdings nichts mit dem persönlichen Weisungsrecht des Dienstverhältnisses zu tun und kann daher die Übermittlung von Arbeitnehmerdaten nicht rechtfertigen. Nach dieser Logik ließe sich auch für Kunden einer Unternehmung Anspruch auf Arbeitnehmerdatenübermittlung ableiten, soferne sie Dienstleistungen in Anspruch nehmen. Alleine der Umstand, dass Datenimporteur als auch Datenexporteur in einem Konzernverbund stehen, vermag an dieser Betrachtung nichts zu ändern.
Resumee
Mit dem gegenständlichen Bescheid hat die DSK ein diffiziles Problem (Rechtfertigt ein auftragsbezogenes Anordnungsrecht von Mitarbeitern ausländischer Konzerngesellschaften die Übermittlung umfassender Arbeitnehmerdaten?) ungenügend behandelt. Es wurde weder überprüft, ob die Übermittlung der genannten Datenkategorien tatsächlich Voraussetzung für die entsprechende Zusammenarbeit verschiedener Konzerngesellschaften ist, noch generell thematisiert, inwieweit ein sachbezogenes Anordnungsrecht die Übermittlung von Arbeitnehmerdaten rechtfertigen kann. Die Gefahr ist, dass derartige Entscheidungen der unkontrollierten Übermittlung von Arbeitnehmerdaten in Drittstaaten Tür und Tor öffnen.
mehr --> Dürfen personenbezogene Daten 'konzernintern' weitergegeben we...
Archiv --> http://ftp.freenet.at/beh/DSK_178.414_0006-DSK_2011.pdf
|
