News

Neue datenschutzrechtliche Vorgaben für Uber, Lieferando & Co?

Anmerkungen zum Entwurf der Richtlinie zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit vom 9. Dezember 2021

Die Europäische Kommission hat am 9. Dezember 2021 einen Vorschlag für eine Richtlinie zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit (PDF, im folgenden Richtlinienentwurf) veröffentlicht. Durch den Richtlinienentwurf soll vor allem die Position von Arbeitnehmer/innen und Selbstständigen verbessert werden, die ihre Arbeitskraft über digitale Plattformen anbieten. Neben Regelung zur Vermeidung von Scheinselbstständigkeit, enthält der Richtlinienentwurf vor allem auch einige Vorgaben bezüglich des Datenschutzes von Beschäftigten. So sollen besondere Vorgaben in Bezug auf Transparenz, Betroffenenrechte und Rechenschaftspflichten gelten, wenn die Arbeit der Beschäftigten mit Hilfe von Algorithmen organisiert wird. Im Folgenden haben wir uns daher den Richtlinienentwurf im Hinblick auf seine Auswirkungen auf den Beschäftigtendatenschutz näher angesehen.

Welche Plattformen sind betroffen?

Nach dem Entwurf soll die Richtlinie nicht pauschal für alle Plattformbetreiber gelten, sondern nur für Betreiber so genannter digitaler Arbeitsplattformen („digital labour platforms“). Gemeint sind damit Plattformen über die die Arbeit von Arbeitnehmer/innen bzw. Selbstständigen auf Anfrage Dritter (der eigentlichen Leistungsempfänger) organisiert wird. In Erwägungsgrund 18 des Richtlinienentwurfs werden als zu vermittelnde Leistungen zum Beispiel der Transport von Waren oder Personen genannt. Im Vordergrund scheint insoweit die Regulierung von typischen Plattformen der sogenannten Gig Economy wie Uber oder Lieferando zu stehen. Aufgrund der etwas unklaren Definition in Artikel 2 des Richtlinienentwurfs, könnten die Vorgabe, aber auch klassische Personalvermittler betreffen.

Wichtig ist insoweit auch, dass Plattformen bei denen die Arbeitsleistung lediglich eine Nebenkomponente darstellt, nicht gemeint sein sollen. Das bedeutet voraussichtlich auch, dass der Richtlinienentwurf nicht für Marktplätze im Internet gelten soll, die es privaten oder geschäftlichen Anbietern ermöglichen, Waren im Internet anzubieten.

Was regelt der Richtlinienentwurf in Bezug auf den Beschäftigtendatenschutz?

Unter Bezugnahme auf Art. 88 DSGVO enthält der Richtlinienentwurf in Kapitel III einige spezielle Vorgaben zur Verarbeitung von Beschäftigtendaten durch Systeme, die das Verhalten automatisiert überwachen und/oder Entscheidungen im Kontext des Beschäftigung-/Nutzungsverhältnisses treffen oder unterstützen.

Besondere Informationspflichten

Nach Art. 6 des Richtlinienentwurfs sollen Beschäftigte und Plattformnutzer aktiv und spätesten zum ersten Arbeitstag über den Einsatz automatisierter Überwachungs- und Entscheidungssystemen informiert werden. Bei einer automatisierten Überwachung müssen Beschäftigte zusätzlich erfahren, welches Verhalten beobachtet wird. In Bezug auf (teil-) automatisierte Entscheidungsprozesse muss angegeben werden, welche Faktoren für die automatisierte Entscheidungsfindung herangezogen werden, welche Entscheidungen aufgrund welcher Parameter durch das System getroffen werden und auf welchen Gründen Entscheidungen basieren, die sich negativ auf das Arbeitsverhältnis oder das Nutzungsverhältnis (in Bezug auf die Plattform) auswirkt.

Bemerkenswert an dieser Regelung ist vor allem, dass eine entsprechende Informationspflicht auch dann bestehen soll, wenn das System die eigentliche Entscheidung nicht trifft, aber unterstützt. Gemäß dem Wortlaut von Art. 13 Abs. 2 f) und 14 Abs. 2 g) DSGVO müssen Verantwortliche betroffene Personen bislang nur dann über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer automatisierten Entscheidungsfindung informieren, wenn eine ausschließlich auf einer automatisierten Verarbeitung erfolgt.

Pflicht zur Risikoüberprüfung

Art. 7 des Richtlinienentwurfs sieht vor, dass Betreiber von digitalen Arbeitsplattformen bei Einsatz der einleitend beschriebenen Systeme bewerten müssen, welche gesundheitlichen, psychologischen und arbeitsbezogenen Risiken dadurch für die Beschäftigten entstehen. Zudem müssen Plattformbetreiber angemessene Maßnahmen zum Schutz der Beschäftigten vorsehen.

In einem Großteil der relevanten Fälle besteht eine solche Pflicht wahrscheinlich bereits nach aktueller Rechtslage. Erfolgt der Betrieb automatisierter Überwachungs- und Entscheidungssystemen auf berechtigten Interessen des Verantwortlichen, muss dieses nach Art. 6 Abs. 1 f) DSGVO gegen die schützenswerten Interessen der betroffenen Personen abgewogen werden. Auch wird häufig so sein, dass diese Systeme erst nach Durchführung einer Datenschutzfolgenabschätzung eingesetzt werden können (siehe Seite Regelbeispiel Nr. 8 der DSK-Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist).

Überwachungspflichten

Der Rechtlinienentwurf sieht darüber hinaus explizit vor, dass der Plattformbetreiber gewährleisten muss, dass diese Systeme durch dafür fachlich geeignete und ausgebildete Personen überwacht werden. Diese sollten automatisierte Entscheidungen, teils unabhängig, überprüfen können.

Es ist nicht eindeutig nachvollziehbar, ob die Vorgabe des Richtlinienentwurfs auch durch den Datenschutzbeauftragten umgesetzt werden können. Das erscheint allerdings naheliegend, da auch die Überwachung der Einhaltung der Datenschutzvorschriften zu dessen/deren Aufgaben zählt.

Erweiterter Anwendungsbereich des Beschäftigtendatenschutzes

Die vorangestellten Regelungen sollen nach Art. 10 des Richtlinienentwurfs auch für Personen gelten, die ihre Dienste auf der Plattform anbieten, die keine direkten Angestellten des Plattformbetreibers sind.

Nach § 26 Abs. 8 BDSG beschränken sich die Regelungen des Beschäftigtendatenschutzes auf die dort aufgezählten Personengruppen. Nutzer einer digitalen Arbeitsplattform könnten, wenn sie nicht direkt vom Plattformbetreiber eingestellt sind, aufgrund ihrer wirtschaftlichen Unselbstständigkeit, als Beschäftigte im Sinne von § 26 Abs. 8 Nr. 6 BDSG anzusehen sein.

Welche Auswirkungen könnten Verstöße gegen diese Vorgabe haben?

Die Überwachung der datenschutzrechtlichen Vorgaben soll nach Art. 19 des Richtlinienentwurfs den Datenschutzbehörden obliegen und sich nach den einschlägigen Vorschriften der DSGVO richten. Bei Verstößen sollen die Aufsichtsbehörden nach dem Richtlinienentwurf ausdrücklich dazu ermächtigt sein, entsprechend 83 Abs. 5 DSGVO Geldbußen von bis zu 20 000 000 EUR oder von bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes eines Unternehmens zu erlassen.

Zusammenfassung

Der Entwurf der Richtlinie zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit stellt vor allem eine Konkretisierung der datenschutzrechtlichen Vorgaben für den Umgang mit Beschäftigtendaten dar. Er erweitert aber gleichzeitig auch das datenschutzrechtliche Pflichtenheft für betroffene Unternehmen.

Im Kontext einer nationalen Umsetzung des Richtlinienentwurfs stellt sich zudem die Frage, ob der deutsche Gesetzgeber dies zum Anlass nehmen wird, allgemein verbindliche Vorgaben im Datenschutz für die automatisierte Verarbeitung von Beschäftigtendaten zu schaffen. Vor dem Hintergrund der bereits im Koalitionsvertrag angekündigten Konkretisierung des Beschäftigtendatenschutzes, erscheint dies zumindest möglich.

Rechtsanwalt, Senior Associate
Philip Schweers
Rechtsanwalt, Senior Associate
Philip Schweers

Zurück

News

EuGH hat wieder zum Auskunftsanspruch entschieden – Zusammenfassung des Urteils in der Rs. C-307/22 vom 26. Oktober 2023

Während das Urteil in der Rs. C‑307/22 sich zwar mit dem speziellen Arzt-Patienten-Verhältnis beschäftigt, sind darin dennoch auch zahlreiche Aussagen enthalten, die allgemein für Erfüllung des Auskunftsanspruchs durch Unternehmen relevant sind. Das Urteil wird bereits munter in der Datenschutz-Szene diskutiert. Das ist auch deshalb verständlich, weil der EuGH einige hoch umstrittene Aspekte zum besonders praxisrelevanten Betroffenenrecht geklärt hat. In diesem Newsbeitrag finden Sie eine Zusammenfassung der aus unserer Sicht relevantesten Aussagen in der Entscheidung des EuGH sowie eine kurze Einschätzung zu den Folgen für die Praxis.

Der FOCUS zeichnet Piltz Legal erneut als eine der TOP - Wirtschaftschaftskanzleien aus

Im aktuellen Heft des FOCUS wurde Piltz Legal wieder als eine der TOP-Wirtschaftkanzleien 2023 im Bereich Datenschutz ausgezeichnet.

Der Digital Services Act – Überblick zu den einzelnen Adressaten und deren Pflichten

Der am 16. November 2022 in Kraft getretene Digital Services Act (Verordnung (EU) 2022/2065, „DSA“) wird ab dem 17. Februar 2024 vollständig gelten. Einige Pflichten, wie die Angabe der monatlichen Zahl der aktiven Nutzer durch Online-Plattformen, gelten bereits seit dem Inkrafttreten.

Der kommende EU Digital Services Act – Pflicht zu Melde- und Abhilfeverfahren für Hosting-Dienste

Der vollständige Geltungsbeginn des Digital Services Act (DSA) am 17. Februar 2024 rückt stetig näher. Und mit ihm auch die Verpflichtung zahlreicher Unternehmen. Wichtig: der DSA gilt, anders als oft öffentlich wahrgenommen, nicht nur für die „Großen“. Nachfolgend wird deshalb die Pflicht von Hostingdiensteanbietern vorgestellt, die ein Melde- und Abhilfeverfahren nach dem DSA implementieren müssen.

Wichtige Änderungen des TTDSG durch das deutsche DSA-Umsetzungsgesetz in Sicht

Der (vollständige) Geltungsbeginn des Digital Services Act (DSA), der teilweise auch als „Grundgesetz des Internets“ bezeichnet wird, rückt näher. Erste Vorschriften der europäischen Verordnung gelten bereits jetzt, wozu u. a. die Verpflichtung von Anbietern für Online-Plattformen und -Suchmaschinen zur Nennung ihrer durchschnittlichen monatlichen Nutzeranzahl in der EU gehört. Nähere Informationen zum DSA und dessen Inhalt können auch unserer EU-Digitalgesetzgebungsübersicht entnehmen werden.

Beitragsempfehlung zum UN-Kaufrecht

Aus der aktuellen Ausgabe der „Neuen Juristischen Wochenschrift“ möchten wir Ihnen den von Prof. Piltz verfassten Beitrag „Neue Entwicklungen im UN-Kaufrecht“ ans Herz legen.