News
Neue datenschutzrechtliche Vorgaben für Uber, Lieferando & Co?
Anmerkungen zum Entwurf der Richtlinie zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit vom 9. Dezember 2021
Die Europäische Kommission hat am 9. Dezember 2021 einen Vorschlag für eine Richtlinie zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit (PDF, im folgenden Richtlinienentwurf) veröffentlicht. Durch den Richtlinienentwurf soll vor allem die Position von Arbeitnehmer/innen und Selbstständigen verbessert werden, die ihre Arbeitskraft über digitale Plattformen anbieten. Neben Regelung zur Vermeidung von Scheinselbstständigkeit, enthält der Richtlinienentwurf vor allem auch einige Vorgaben bezüglich des Datenschutzes von Beschäftigten. So sollen besondere Vorgaben in Bezug auf Transparenz, Betroffenenrechte und Rechenschaftspflichten gelten, wenn die Arbeit der Beschäftigten mit Hilfe von Algorithmen organisiert wird. Im Folgenden haben wir uns daher den Richtlinienentwurf im Hinblick auf seine Auswirkungen auf den Beschäftigtendatenschutz näher angesehen.
Welche Plattformen sind betroffen?
Nach dem Entwurf soll die Richtlinie nicht pauschal für alle Plattformbetreiber gelten, sondern nur für Betreiber so genannter digitaler Arbeitsplattformen („digital labour platforms“). Gemeint sind damit Plattformen über die die Arbeit von Arbeitnehmer/innen bzw. Selbstständigen auf Anfrage Dritter (der eigentlichen Leistungsempfänger) organisiert wird. In Erwägungsgrund 18 des Richtlinienentwurfs werden als zu vermittelnde Leistungen zum Beispiel der Transport von Waren oder Personen genannt. Im Vordergrund scheint insoweit die Regulierung von typischen Plattformen der sogenannten Gig Economy wie Uber oder Lieferando zu stehen. Aufgrund der etwas unklaren Definition in Artikel 2 des Richtlinienentwurfs, könnten die Vorgabe, aber auch klassische Personalvermittler betreffen.
Wichtig ist insoweit auch, dass Plattformen bei denen die Arbeitsleistung lediglich eine Nebenkomponente darstellt, nicht gemeint sein sollen. Das bedeutet voraussichtlich auch, dass der Richtlinienentwurf nicht für Marktplätze im Internet gelten soll, die es privaten oder geschäftlichen Anbietern ermöglichen, Waren im Internet anzubieten.
Was regelt der Richtlinienentwurf in Bezug auf den Beschäftigtendatenschutz?
Unter Bezugnahme auf Art. 88 DSGVO enthält der Richtlinienentwurf in Kapitel III einige spezielle Vorgaben zur Verarbeitung von Beschäftigtendaten durch Systeme, die das Verhalten automatisiert überwachen und/oder Entscheidungen im Kontext des Beschäftigung-/Nutzungsverhältnisses treffen oder unterstützen.
Besondere Informationspflichten
Nach Art. 6 des Richtlinienentwurfs sollen Beschäftigte und Plattformnutzer aktiv und spätesten zum ersten Arbeitstag über den Einsatz automatisierter Überwachungs- und Entscheidungssystemen informiert werden. Bei einer automatisierten Überwachung müssen Beschäftigte zusätzlich erfahren, welches Verhalten beobachtet wird. In Bezug auf (teil-) automatisierte Entscheidungsprozesse muss angegeben werden, welche Faktoren für die automatisierte Entscheidungsfindung herangezogen werden, welche Entscheidungen aufgrund welcher Parameter durch das System getroffen werden und auf welchen Gründen Entscheidungen basieren, die sich negativ auf das Arbeitsverhältnis oder das Nutzungsverhältnis (in Bezug auf die Plattform) auswirkt.
Bemerkenswert an dieser Regelung ist vor allem, dass eine entsprechende Informationspflicht auch dann bestehen soll, wenn das System die eigentliche Entscheidung nicht trifft, aber unterstützt. Gemäß dem Wortlaut von Art. 13 Abs. 2 f) und 14 Abs. 2 g) DSGVO müssen Verantwortliche betroffene Personen bislang nur dann über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer automatisierten Entscheidungsfindung informieren, wenn eine ausschließlich auf einer automatisierten Verarbeitung erfolgt.
Pflicht zur Risikoüberprüfung
Art. 7 des Richtlinienentwurfs sieht vor, dass Betreiber von digitalen Arbeitsplattformen bei Einsatz der einleitend beschriebenen Systeme bewerten müssen, welche gesundheitlichen, psychologischen und arbeitsbezogenen Risiken dadurch für die Beschäftigten entstehen. Zudem müssen Plattformbetreiber angemessene Maßnahmen zum Schutz der Beschäftigten vorsehen.
In einem Großteil der relevanten Fälle besteht eine solche Pflicht wahrscheinlich bereits nach aktueller Rechtslage. Erfolgt der Betrieb automatisierter Überwachungs- und Entscheidungssystemen auf berechtigten Interessen des Verantwortlichen, muss dieses nach Art. 6 Abs. 1 f) DSGVO gegen die schützenswerten Interessen der betroffenen Personen abgewogen werden. Auch wird häufig so sein, dass diese Systeme erst nach Durchführung einer Datenschutzfolgenabschätzung eingesetzt werden können (siehe Seite Regelbeispiel Nr. 8 der DSK-Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist).
Überwachungspflichten
Der Rechtlinienentwurf sieht darüber hinaus explizit vor, dass der Plattformbetreiber gewährleisten muss, dass diese Systeme durch dafür fachlich geeignete und ausgebildete Personen überwacht werden. Diese sollten automatisierte Entscheidungen, teils unabhängig, überprüfen können.
Es ist nicht eindeutig nachvollziehbar, ob die Vorgabe des Richtlinienentwurfs auch durch den Datenschutzbeauftragten umgesetzt werden können. Das erscheint allerdings naheliegend, da auch die Überwachung der Einhaltung der Datenschutzvorschriften zu dessen/deren Aufgaben zählt.
Erweiterter Anwendungsbereich des Beschäftigtendatenschutzes
Die vorangestellten Regelungen sollen nach Art. 10 des Richtlinienentwurfs auch für Personen gelten, die ihre Dienste auf der Plattform anbieten, die keine direkten Angestellten des Plattformbetreibers sind.
Nach § 26 Abs. 8 BDSG beschränken sich die Regelungen des Beschäftigtendatenschutzes auf die dort aufgezählten Personengruppen. Nutzer einer digitalen Arbeitsplattform könnten, wenn sie nicht direkt vom Plattformbetreiber eingestellt sind, aufgrund ihrer wirtschaftlichen Unselbstständigkeit, als Beschäftigte im Sinne von § 26 Abs. 8 Nr. 6 BDSG anzusehen sein.
Welche Auswirkungen könnten Verstöße gegen diese Vorgabe haben?
Die Überwachung der datenschutzrechtlichen Vorgaben soll nach Art. 19 des Richtlinienentwurfs den Datenschutzbehörden obliegen und sich nach den einschlägigen Vorschriften der DSGVO richten. Bei Verstößen sollen die Aufsichtsbehörden nach dem Richtlinienentwurf ausdrücklich dazu ermächtigt sein, entsprechend 83 Abs. 5 DSGVO Geldbußen von bis zu 20 000 000 EUR oder von bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes eines Unternehmens zu erlassen.
Zusammenfassung
Der Entwurf der Richtlinie zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit stellt vor allem eine Konkretisierung der datenschutzrechtlichen Vorgaben für den Umgang mit Beschäftigtendaten dar. Er erweitert aber gleichzeitig auch das datenschutzrechtliche Pflichtenheft für betroffene Unternehmen.
Im Kontext einer nationalen Umsetzung des Richtlinienentwurfs stellt sich zudem die Frage, ob der deutsche Gesetzgeber dies zum Anlass nehmen wird, allgemein verbindliche Vorgaben im Datenschutz für die automatisierte Verarbeitung von Beschäftigtendaten zu schaffen. Vor dem Hintergrund der bereits im Koalitionsvertrag angekündigten Konkretisierung des Beschäftigtendatenschutzes, erscheint dies zumindest möglich.
News
Werbung mit „DSGVO-konform“: Wo liegen die Grenzen des Zulässigen?
Zahlreiche Anbieter von Software und Cloud-Diensten werben mit dem Versprechen, ihre Lösung erfülle die Anforderungen der DSGVO. Auch im KI-Bereich bezeichnen insbesondere kleinere Anbieter ihre Produkte in Werbematerialien nicht selten als „100 % DSGVO-konform". Was hinter solchen Aussagen steht, lässt sich oft nur schwer nachvollziehen. Das Zertifizierungsregime der DSGVO ist bis heute kaum praxistauglich und der Markt behilft sich mit freien Siegeln und eigenen Prüfstandards. Wer als Anbieter mit Datenschutz-Compliance wirbt, muss daher nicht nur die Grenzen der jeweiligen Zertifizierungen kennen, sondern auch die wettbewerbsrechtlichen Folgen pauschaler oder inhaltlich nicht gedeckter Aussagen im Blick behalten.
Kontaktformular nur mit Einwilligung?
Kontaktformulare sind auf nahezu jeder Website zu finden und datenschutzrechtlich in mehrfacher Hinsicht relevant. Im Mittelpunkt steht regelmäßig die Frage nach einer tragfähigen Rechtsgrundlage für die Verarbeitung der übermittelten personenbezogenen Daten. Häufig wird hierfür eine Einwilligung angenommen und per Checkbox eingeholt. Ähnlich stellt sich die Situation bei der Kontaktaufnahme per E-Mail dar. Auch hier stützen Verantwortliche die Verarbeitung nicht selten auf eine (vermeintlich konkludente) Einwilligung des Betroffenen. Rechtlich kommen aber neben der Einwilligung auch andere Rechtsgrundlagen in Betracht, die in der Praxis vorzugswürdig erscheinen.
Entwurf der Europäischen Kommission für die Leitlinien zum CRA
Der Cyber Resilience Act (CRA) ist am 10. Dezember 2024 in Kraft getreten. Vollständig gilt der CRA allerdings erst ab dem 11. Dezember 2027. Nachdem bereits im Dezember 2025 ein FAQ einer Dienststelle der Kommission veröffentlicht wurde, hat die Europäische Kommission nun einen Entwurf für die offiziellen Leitlinien zum CRA nach Art. 26 CRA veröffentlicht.
Außerdienstliche Straftaten unter Nutzung betrieblicher Mittel: Zur Reichweite des § 26 Abs. 1 Satz 2 BDSG
§ 26 Abs. 1 Satz 1 BDSG erlaubt Verantwortlichen, personenbezogene Daten von Beschäftigten zu verarbeiten, so weit dies zur Aufdeckung einer „im Beschäftigungsverhältnis begangenen“ Straftat erforderlich ist. Die Reichweite dieser Rechtsgrundlage wurde in der Rechtsprechung bislang aber kaum behandelt. Insbesondere ist unklar, wann eine Straftat als „im Beschäftigungsverhältnis begangen“ gilt. In der Praxis können Straftaten auch außerhalb der Arbeitszeit begangen werden, wobei zugleich betriebliche Mittel (etwa Laptop oder Mobiltelefon) zum Einsatz kommen. Hier stellt sich die Frage, ob sich interne Untersuchungen in solchen Konstellationen auf § 26 Abs. 1 Satz 2 BDSG stützen lassen oder ob hierfür eine Einwilligung der betroffenen Person erforderlich ist.
Mit dieser Frage befasst sich der aktuelle Beitrag von Carlo Piltz und Ilia Kukin im Datenschutz-Berater (03/2026).
LAG Rheinland-Pfalz: Datenschutzverstoß als Kündigungsgrund?
Mit Urteil vom 30. Juli 2025 hat das Landesarbeitsgericht Rheinland-Pfalz (Az. 7 SLa 293/24) entschieden, dass ein Jobcenter-Mitarbeiter nach einem Datenschutzverstoß unrechtmäßig gekündigt wurde.
GDNG in der Praxis: Zuständigkeiten und Anzeigeverfahren bei länderübergreifender Gesundheitsforschung
Auch wenn verschiedene Fragen rund um das Gesetz noch nicht geklärt sind (wie z. B. die Frage des Verhältnisses zu anderen relevanten Regelungen – insbesondere § 27 BDSG, Datenschutz- und ggf. Krankenhausgesetze der Länder - oder aber ob das GDNG selbst die Anforderungen des Art. 89 DSGVO erfüllt) kommt das Gesetz immer mehr in der Praxis des Gesundheitswesens an. So hat etwa die Datenschutzbehörde des Landes Nordrhein-Westfalen bereits vor über einem Jahr im Rahmen einer Sitzung der Datenschutzkonferenz (DSK) zu Protokoll gegeben, dass zahlreiche Anträge nach dem GDNG erwartet werden (siehe TOP 12, S. 9).