SAP Urlaubsvertretung - Delegation an fremdes Unternehmen

Antwort

von
Rechtsanwalt Fachanwalt für IT-Recht, Urheber- und Medienrecht, Jan Gerth
266 Bewertungen
Sehr geehrter Ratsuchender,

vielen Dank für die Einstellung Ihrer Frage.

Vorweg möchte ich Sie darauf hinweisen, dass diese Plattform dazu dienen soll, Ihnen einen ersten Eindruck der Rechtslage zu vermitteln. Durch Weglassen oder Hinzufügen weiterer Sachverhaltsangaben Ihrerseits kann die rechtliche Beurteilung anders ausfallen, so dass die Beratung innerhalb dieses Forums lediglich eine erste rechtliche Orientierung in der Sache darstellt und keinesfalls den Gang zu einem Kollegen vor Ort ersetzen kann.

Auf Grund des von Ihnen geschilderten Sachverhaltes und unter Berücksichtigung Ihres Einsatzes möchte ich Ihre Fragen zusammenfassend wie folgt beantworten:


Bei der Weitergabe von Daten an Dritte könnte eine Verletzung des Datengeheimnisses vorliegen.

Nach § 5 BDSG ist jeder bei der Datenverarbeitung Beschäftigte auf die Wahrung des Datengeheimnisses zu verpflichten.

Dabei ist er darauf hinzuweisen, dass es untersagt ist, geschützte personenbezogene Daten unbefugt zu einem anderen, als dem zur jeweiligen rechtmäßigen Aufgabenerfüllung gehörenden Zweck zu verarbeiten, bekanntzugeben, zugänglich zu machen oder sonst zu nutzen. Dies verpflichtet zunächst den Arbeitgeber, denn dieser muss die Beschäftigten auf die Bedeutung des Datengeheimnisses hinweisen und sie mittels einer Erklärung verpflichten das Datengeheimnis auch zu wahren.

Die externe Person ist aber als Dritter im Sinne von § 3 Abs. 8 BDSG jedoch nur berechtigt die Daten gemäß § 28 Abs. 5 Satz 2 BDSG zur Zweckerfüllung zu nutzen. Nutzen ist nach § 3 Absatz 5 BDSG jede Verwendung der Daten. Darunter fällt auch das anschauen der Daten.

Eine anderweitige Nutzung als zur Zweckerfüllung ist zumindest ordnungswidrig nach § 43 Absatz 1 Nr. 4 BDSG und kann verfolgt werden.

Da die externe Person auf die Daten zugreifen können und damit die Daten auch nutzen ohne, dass es zur Erfüllung eines Zwecks und ohne, dass die betroffenen Personen auf deren personenbezogene Daten zugegriffen werden kann diesem Zugriff zugestimmt haben, würden sie eine Ordnungswidrigkeit nach § 43 BDSG begehen wenn sie die Daten einsehen. Diese Ordnungswidrigkeit ist immerhin mit einer Geldbuße bis zu 50.000 Euro beschwert. Die externe Person wäre also auf das Datengeheimnis zu verpflichten.

Ferner ist bei Ihnen zu klären ob es sich um eine Auftragsdatenverarbeitung nach § 11 BDSG oder um eine Funktionsübertragung handelt. Bei der Auftragsdatenverarbeitung müssten die Datenschutzvorschriften von dem Auftraggeber eingehalten werden, während bei der Funktionsübertragung der Auftragnehmer, hier die externe Person die Datenschutzvorschriften des BDSG selbst einhalten muss. Als Optionsübertragung ist daher immer dann anzunehmen, wenn dem Dienstleister, hier die externe Person, eine eigene Entscheidungsbefugnis hinsichtlich des "wie" und "ob" der Datenverarbeitung zusteht. Aus ihrer Frage lässt sich entnehmen, dass die externe Person Entscheidungsbefugnis in der Sache erhalten soll. Sollte jedoch nur eine Auftragsdatenverarbeitung gewollt sein, würden Verstöße gegen § 11 BDSG dazu führen, dass die Aufsichtsbehörden tätig werden würden. Das gesagte zu den Ordnungswidrigkeiten gemäß § Ziffer 43 BDSG gilt dann auch hier.

Ferner ist die Zustimmung eines möglicherweise vorhandenen Betriebsrates erforderlich.

Die betroffenen Mitarbeiter, deren Daten an die externe Person übermittelt werden sollen, müssen in die Verarbeitung schriftlich eingewilligt haben. Diese Einwilligung muss auf der freien Entscheidung des Betroffenen beruhen. Daher ist er vorher auf den Zweck der Erhebung, Verarbeitung oder Nutzung sowie auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Dieses Prozedere ist einzuhalten.

Grundsätzlich ist aber zu sagen, dass bei Einhaltung sämtlicher datenschutzrechtlicher Vorschriften eine Weitergabe der Daten an eine externe Person grundsätzlich möglich ist. Die Einhaltung des BDSG sollte jedoch strikt sein und auch nachgeprüft werden. Hierzu wäre der Datenschutzbeauftragte, ob ein interner oder ein externer Datenschutzbeauftragter bestellt ist lässt sich aus ihrer Frage nicht entnehmen, der richtige Ansprechpartner. Etwas anderes kann gelten, wenn die externe Person im Ausland sitzt. Hier sind nur wenige Staaten als zuverlässig bekannt. Sollte die externe Person in einem so genannten Drittstaat ihren Sitz haben, wäre die Weitergabe der Daten im Rahmen einer Auftragsdatenverarbeitung nicht zulässig. Das Verfahren hierzu regeln § § 4B, 28 BDSG.


Im Rahmen seiner Weisungsbefugnis kann der Arbeitgeber darüber entscheiden, und in welcher Form Abteilung geleitet werden sollen. Dies die ihm ebenso das Recht zu entscheiden, dass eine Abteilung oder Personal von externen Personen Weisungen zu erhalten haben aus arbeitsrechtlicher Sicht sind hier die einzelnen Arbeitsverträge oder eventuelle Tarifverträge ausschlaggebend. Wenn, wie in vielen Arbeitsverträgen üblich, ein Passus enthalten ist, dass der Arbeitnehmer auch an anderen Orten und in anderen Stellen eingesetzt werden kann, so kann auch der Vorgesetzte durch den Arbeitgeber frei bestimmt werden.

Leider kann ich Ihnen auch hier keine positive Nachricht geben. In der Praxis ist jedoch die Einhaltung der datenschutzrechtlichen Bestimmungen bzw. die Angst vor Verstößen häufig Anlass auf eine Auftragsdatenverarbeitung zu verzichten.




Ich hoffe, Ihnen einen ersten Überblick ermöglicht zu haben und stehe für Ergänzungen im Rahmen der kostenlosen Nachfragefunktion sowie ggf. für die weitere Wahrnehmung Ihrer Interessen gerne zur Verfügung.

Sollten Sie eine darüber hinausgehende Vertretung in Erwägung ziehen, empfehle ich Ihnen eine Kontaktaufnahme über die unten mitgeteilte E-Mail-Adresse. Die moderne Kommunikation ermöglicht insoweit auch die Überbrückung größerer Entfernungen.

Weiterhin möchte ich Sie höflichst auf die Bewertungsfunktion aufmerksam machen, die dafür sorgt, diesen Service für andere Ratsuchende transparenter zu machen.

Mit freundlichen Grüßen