06.03.2014 Datenschutz und Compliance

Wenn der Chef plötzlich in den USA sitzt

Von: Dr. Jörn Voßbein, UIMC, Wuppertal

Nicht nur Großkonzerne, sondern auch deutsche Mittelständler werden immer öfter Teil einer Firmengruppe. Werden hierbei institutions- und länderübergreifende Teams gebildet, so ist der fachliche Vorgesetzte plötzlich nicht mehr der Linienvorgesetzte, sondern der Leiter eines Bereichs der Muttergesellschaft. Dann werden automatisch auch personenbezogene Daten des Mitarbeiters übermittelt, was datenschutzrechtlich durchaus problematisch ist und zu einem Compliance-Verstoß führen kann.

Dr. Jörn Voßbein, UIMC, Wuppertal kommentiert

Auch wenn dies in der diskutierten EU-Datenschutz-Grundverordnung angedacht ist, so existiert derzeit kein Konzernprivileg. Auch scheint diese Grundverordnung in der jetzigen Form nicht mehrheitsfähig zu sein.

Somit muss weiterhin die Übermittlung von Mitarbeiterdaten an eine andere Gesellschaft, wie bei jeder anderen Datenübermittlung, stets durch eine Rechtsvorschrift legalisiert werden. Hierbei ist z.B. die Einführung eines konzernweiten Telefon- oder E-Mail-Verzeichnisses noch relativ einfach umsetzbar. Diese geschäftlichen Kontaktdaten sind oftmals für die Kommunikation und die Erfüllung der Arbeitsaufgaben erforderlich, so dass ein „berechtigtes Interesse“ gegeben sein kann (§ 28 BDSG).

Dies wird im Rahmen einer Matrix-Organisation schwieriger. Im Gegensatz zum Telefonverzeichnis werden hier oft umfassendere Daten an Vorgesetzte übermittelt, etwa Skill- oder Performance-Informationen, was viel kritischer ist. Kann der Mitarbeiter diese Struktur bei Abschluss des Arbeitsvertrags erkennen und billigt sie durch Unterzeichnung, erhält das Arbeitsverhältnis einen Konzernbezug. Ein Datentransfer ist dann grundsätzlich durch das Beschäftigtenverhältnis abgedeckt (§ 32 BDSG).