Mitarbeiterdaten weitergeben: Dritte und Betriebsrat

Weitergabe von Daten der Mitarbeiter:innen an Dritte

Dürfen Sie personenbezogene Daten innerhalb eines Konzerns, z. B. an ein Tochter- oder Mutterunternehmen weiterleiten?

Bei einer Weitergabe von personenbezogenen Daten an ein anderes Unternehmen, wenngleich es ein Konzernunternehmen ist, ist eine rechtliche Erlaubnis erforderlich. Verantwortliche, die Teil einer Unternehmensgruppe sind und einer zentralen Stelle zugeordnet werden können, können ein berechtigtes Interesse an der Übermittlung personenbezogener Daten innerhalb der Unternehmensgruppe für interne Verwaltungszwecke haben. Dies umfasst insbesondere die Verarbeitung personenbezogener Daten von Kund:innen und Mitarbeiter:innen.
Die Form der rechtlichen Erlaubnis richtet sich regelmäßig nach dem Zweck der Datenverarbeitung:

Beispiele:

• Die Lohnverrechnung wird zentral durch ein konzernzugehöriges Unternehmen abgewickelt. Bei der Übermittlung von personenbezogenen Daten der Mitarbeiter:innen können Sie sich als Daten übermittelnde Tochtergesellschaft auf das berechtigte Interesse stützen. 
• Die Konzernmutter fordert von Ihnen als Tochtergesellschaft sämtliche Daten der Mitarbeiter:innen (z. B. Name, Geburtsdatum, Eintrittsdatum, Position, Gehalt usw.) für einen internen Report. Eine nähere Begründung wird nicht angeführt. Im vorliegenden Fall ist kein berechtigtes Interesse erkennbar und - neben einer allfälligen Einwilligung - auch keine andere rechtliche Erlaubnis für eine Weitergabe der personenbezogenen Daten der Mitarbeiter:innen. Eine Datenübermittlung ist daher zu diesem Zweck nicht zulässig.
  Handelt es sich dabei um anonymisierte oder aggregierte Kennzahlen, ist die Übermittlung jedoch als zulässig zu beurteilen.

Was müssen Sie bei der Übermittlung von personenbezogenen Daten der Mitarbeiter:innen an externe Personal- oder Lohnverrechnung beachten? 

Die Verhaltensregeln für Bilanzbuchhaltungsberufe (Bilanzbuchhalter:innen, Buchhalter:innen, Personalverrechner:innen) qualifizieren diese Berufsberechtigten – insbesondere bei Tätigkeiten innerhalb des Berechtigungsumfangs gemäß Bilanzbuchhaltungsgesetz (BiBuG) – als eigenständige Verantwortliche.

Für die Übermittlung von personenbezogenen Daten von Mitarbeitenden an eine externe Personal- bzw. Lohnverrechnung ist daher eine rechtliche Erlaubnis erforderlich. Diese richtet sich nach der Art der verarbeiteten Daten:

• Bei Datenverarbeitungen, die keine sensiblen Daten betreffen, stützen sich die Verhaltensregeln auf das berechtigte Interesse als rechtliche Erlaubnis.
  

  ---

  Beispiel: Ein Unternehmen übermittelt die Stammdaten seiner Mitarbeitenden (Name, Adresse, Sozialversicherungsnummer, Beschäftigungsausmaß, Gehalt und Bankverbindung) an eine externe Personalverrechnerin, damit diese die laufende Lohn- und Gehaltsverrechnung durchführen kann. Die Verarbeitung dieser Daten kann auf das berechtigte Interesse der Beteiligten an einer ordnungsgemäßen Personalverrechnung gestützt werden.

  ---

• Bei der Verarbeitung sensibler Daten können sich die Verantwortlichen auf erhebliche öffentliche Interessen als rechtliche Erlaubnis stützen.
  

  ---

  Beispiel: Ein Unternehmen übermittelt Informationen über Krankenstände oder die Zugehörigkeit zu einer Gewerkschaft an einen externen Personalverrechner. Die Verarbeitung dieser besonderen Kategorien personenbezogener Daten kann auf erhebliche öffentliche Interessen im Bereich des Arbeits-, Sozialversicherungs- und Steuerrechts gestützt werden.

  ---

Was müssen Sie als Arbeitgeber:in bei Auskunftsansuchen der Polizei beachten? 

Als Verantwortlicher sind Sie verpflichtet zu prüfen, ob eine ausreichende rechtliche Erlaubnis für die Herausgabe der Daten an die Polizei vorhanden ist. Dazu ist es empfehlenswert eine schriftliche Anfrage der Polizei zu verlangen.

• Verpflichtung zur Auskunft aufgrund bestimmter Gesetze: In diesen Fällen besteht eine Auskunftspflicht.
  

  ---

  Beispiele
  Betreiber öffentlicher Kommunikationsdienste (§§ 124, 162 TKG); Betreiber öffentlicher Kommunikationsdienste und Anbieter von Diensten der Informationsgesellschaft (§ 53 Abs. 3a SPG); Organisatoren von Veranstaltungen, an denen hohe Politiker teilnehmen,(§ 55a Abs. 1 Z 2 SPG); Inhaber von Beherbergungsbetrieben (§ 10 Abs. 2 MeldeG).

  ---

• Polizei stützt sich auf ihr allgemeines Ermittlungsrecht (§§ 74, 91, 152 StPO iVm § 38 DSG oder § 54 SPG): In diesen Fällen besteht keine Auskunftspflicht.
  Unter folgenden Voraussetzungen darf das Unternehmen auf Grundlage seines berechtigten Interesses bzw. das eines Dritten (Polizei) dennoch Auskunft erteilen:
  • Ausreichend plausibles Auskunftsersuchen: Damit Sie die Plausibilität prüfen können, müssen Sie wissen, welche Daten Sie übermitteln sollen und wozu die Daten konkret benötigt werden, also z. B. welcher Tatvorwurf gestützt werden soll.
  • Es handelt sich nicht um besonders schutzwürdige Daten
    

    ---

    Beispiele
    bloße Kontaktdaten von Mitarbeiter:innen, Aufenthalt der Mitarbeiter:innen zu einem bestimmten Zeitpunkt im Betrieb.

    ---

    Hinweis

    Richtet sich das Auskunftsersuchen jedoch auf besonders geschützte Daten (insbesondere sensible oder strafrechtlich relevante Daten), wird zu empfehlen sein, auf eine richterliche oder staatsanwaltschaftliche Anordnung zu bestehen.

Grundsätzlich sollten Auskünfte über personenbezogene Daten nicht mündlich, sondern nur schriftlich oder auf anderem technisch gesichertem Weg (z. B. passwortgeschützt) erteilt werden.

Betriebsrat

Sind Sie als Arbeitgeber:in für die Datenverarbeitung des Betriebsrats verantwortlich?

Nein. Der Betriebsrat ist selbst für die Verarbeitung „seiner“ Daten verantwortlich. Wäre er bloßer Auftragsverarbeiter des Unternehmens, wäre er in seiner Tätigkeit an die Weisungen des:der Arbeitgeber:in gebunden, was mit seiner Stellung als Betriebsrat jedoch unvereinbar ist. 

Dürfen Sie dem Betriebsrat Einsicht in die personenbezogenen Daten der Mitarbeiter:innen geben?

Da der Betriebsrat datenschutzrechtlich als eigenständiger Verantwortlicher einzuordnen ist, bedarf sowohl die Weitergabe von Mitarbeiterdaten an den Betriebsrat als auch dessen Einsicht in diese Daten einer entsprechenden Form der rechtlichen Erlaubnis. Die Rechtmäßigkeit richtet sich regelmäßig nach dem Zweck der Datenverarbeitung:

• Rechtliche Verpflichtung: Der Betriebsrat hat dann ein Recht auf Einsicht in personenbezogene Daten von Mitarbeiter:innen, wenn dies gesetzlich so vorgesehen ist:
  • Der Betriebsrat ist berechtigt, in die vom Betrieb geführten Aufzeichnungen über die Bezüge der Mitarbeiter:innen und die zur Berechnung dieser Bezüge erforderlichen Unterlagen Einsicht zu nehmen, sie zu überprüfen und die Auszahlung zu kontrollieren (§ 89 Z 1 ArbVG). Der Betriebsrat darf auch Kopien anfertigen.
    
    Hinweis

    In Hinblick auf den individuellen Arbeitsvertrag oder den Dienstzettel des:der Mitarbeiter:in besteht nach ständiger Rechtsprechung kein Einsichtsrecht.
• Einwilligung:  Der Betriebsrat darf in den Personalakt nur mit Einwilligung des:der betroffenen Mitarbeiter:in Einsicht nehmen (§ 89 Z 4 ArbVG). Auch in allen anderen Fällen, in denen der Betriebsrat Einsicht haben möchte, dieses Recht aber nicht gesetzlich geregelt ist, bedarf die Einsicht der Einwilligung des:der betroffenen Mitarbeiter:in.
  

Besteht ein Einsichtsrecht des Betriebsrats bei Einstellungen neuer Mitarbeiter:innen?

Ja. Der Betriebsrat hat ein gesetzlich vorgesehenes Einsichtsrecht, wenn Sie ihm als Arbeitgeber:in die Einstellung eines:einer neuen Mitarbeiter:in mitteilen und dabei Angaben über

• vorgesehene Verwendung und Einstufung,
• Lohn oder Gehalt sowie
• eine allfällige Probezeit oder Befristung
  

übermitteln.

Hat der Betriebsrat ein Recht auf direkten Zugriff auf Personalabrechnungsprogramme?

Nein. Ein direkter Zugriff auf ein Personalverrechnungsprogramm steht dem Betriebsrat nicht zu.
Das Einsichtsrecht ist jedoch gewahrt, wenn Sie als Arbeitgeber:in dem Betriebsrat Ausdrucke zur Verfügung stellen, die mit den Originaldaten vollständig übereinstimmen.

Was besagt die Informationspflicht des Arbeitgebers:der Arbeitgeberin iSd ArbVG gegenüber dem Betriebsrat? 

Grundsätzlich sind Sie als Arbeitgeber:in verpflichtet, dem Betriebsrat über alle Angelegenheiten Auskunft zu erteilen, die die wirtschaftlichen, sozialen, gesundheitlichen oder kulturellen Interessen der Mitarbeiter:innen des Betriebes berühren.

Diese allgemeine Informationspflicht besteht jedoch nur auf Anfrage des Betriebsrates. Der Betriebsrat darf Ihnen als Arbeitgeber:in möglichst präzise Fragen stellen, die Sie auch beantworten müssen.

Was ist bei der automationsunterstützen Verarbeitung personenbezogener Daten von Mitarbeiter:innen im Hinblick auf die Informationspflicht des:der Arbeitgeber:in iSd ArbVG zu beachten?

Im Falle der automationsunterstützten Verarbeitung personenbezogener Daten von Mitarbeiter:innen müssen Sie als Arbeitgeber:in den Betriebsrat von sich aus informieren – auch dann, wenn der Betriebsrat noch keine Auskunft verlangt hat.

Sie sind als Arbeitgeber:in verpflichtet, den Betriebsrat darüber zu informieren,

• welche Arten personenbezogener Daten von Mitarbeiter:innen automationsunterstützt aufgezeichnet werden und
• welche Verarbeitungen (inkl. Übermittlungen) vorgesehen sind.
  

Bei Ihrer Mitteilung als Arbeitgeber:in sind die folgenden Informationen relevant:

• Die technischen Möglichkeiten der eingesetzten Programme, und
• Ihre Absichten als Arbeitgeber:in, die sich aus der Gestaltung der Programme ergeben, also welche Abfragen technisch möglich sind.
  

Beispiel
Ein elektronisches Zeiterfassungssystem erlaubt es technisch, auf Knopfdruck auszuwerten, wie viel der vorgesehenen Arbeitszeit Mitarbeiter:innen im Krankenstand waren. Über diese Möglichkeit ist der Betriebsrat zu informieren, auch wenn die Auswertung (noch) nicht erfolgt.

Müssen Sie als Arbeitgeber:in den Betriebsrat auch über nicht automationsunterstützt aufgezeichnete Daten informieren?

Nein. Über personenbezogene Daten von Mitarbeiter:innen, die zwar aufgezeichnet, jedoch nicht automationsunterstützt verarbeitet werden, besteht keine Informationspflicht gegenüber dem Betriebsrat.

Beispiel
Ein Detektiv übermittelt Ihnen als Arbeitgeber:in einen schriftlichen Bericht über ein Fehlverhalten eines:einer Mitarbeiter:in im Krankenstand per Post. Sie legen diesen Bericht in Ihrer Schreibtischlade ab. In diesem Fall liegt keine automationsunterstützte Aufzeichnung vor, daher besteht keine Informationspflicht gegenüber dem Betriebsrat.

Darf der Betriebsrat die technischen Grundlagen der Verarbeitung überprüfen?

Ja. Sie sind als Arbeitgeber:in verpflichtet, dem Betriebsrat auf Verlangen die Überprüfung der Grundlagen für die Verarbeitung und Übermittlung zu ermöglichen. Dazu zählen insbesondere:

• Programmbeschreibungen und Programmdokumentationen
• Programmregister
• Benutzerhandbücher
• Informationen über Zugriffsmöglichkeiten
• Informationen über Löschroutinen
  

Wann muss der Betriebsrat informiert werden?

Die Information muss rechtzeitig erfolgen, sodass dem Betriebsrat ausreichend Zeit bleibt zu prüfen, ob und in welcher Form er seine Mitwirkungsrechte wahrnimmt. Der Betriebsrat darf nicht vor vollendete Tatsachen gestellt werden, sondern muss bereits vor der Verarbeitung informiert werden.

Welche Anforderungen gelten an den Inhalt der Information?

Die Information muss

• vollständig sein und
• den gesamten Leistungsumfang der eingesetzten Programme beschreiben.

Die Informationspflicht besteht nicht nur bei der erstmaligen Einführung, sondern auch bei einem späteren „Aufrüsten“ oder Erweitern bestehender Software.

Welche Folgen hat eine verspätete oder unvollständige Information des Betriebsrates?

Wird die Informationspflicht zu spät oder nicht ausreichend erfüllt, kann der Betriebsrat beim Arbeits- und Sozialgericht Klage erheben.

Eine verspätete Information kann dazu führen, dass die beabsichtigte Verarbeitung von personenbezogenen Daten von Mitarbeiter:innen vorübergehend gerichtlich untersagt wird (einstweilige Verfügung).

Hat ein Verstoß gegen diese Informationspflicht Strafen nach der DSGVO zur Folge?

Nein. Die DSGVO regelt die Pflichten des:der Arbeitgeber:ins gegenüber den betroffenen Mitarbeiter:innen, nicht jedoch die sich aus dem Arbeitsverfassungsrecht ergebenden Pflichten gegenüber dem Betriebsrat. 

Eine Verletzung der Informationspflicht nach dem Arbeitsverfassungsgesetz zieht daher keine direkten Konsequenzen nach der DSGVO nach sich. Ein Verstoß gegen arbeitsverfassungsrechtliche Regelungen kann jedoch unter Umständen auch einen Verstoß gegen die DSGVO indizieren.

Zum Nachschlagen: Gesetzliche Bestimmungen

Die auf dieser Seite angeführten Informationen basieren unter anderem auf folgenden gesetzlichen Regelungen:

• Art. 6 DSGVO (Rechtsgrundlagen der Verarbeitung) 
• Art. 9 DSGVO (Verarbeitung von sensiblen Daten)
• Verhaltensregeln für Bilanzbuchhaltungsberufe

Kontakt für Rückfragen

Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne. 

• Zur Kontaktseite