News

Neue datenschutzrechtliche Vorgaben für Uber, Lieferando & Co?

Anmerkungen zum Entwurf der Richtlinie zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit vom 9. Dezember 2021

Die Europäische Kommission hat am 9. Dezember 2021 einen Vorschlag für eine Richtlinie zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit (PDF, im folgenden Richtlinienentwurf) veröffentlicht. Durch den Richtlinienentwurf soll vor allem die Position von Arbeitnehmer/innen und Selbstständigen verbessert werden, die ihre Arbeitskraft über digitale Plattformen anbieten. Neben Regelung zur Vermeidung von Scheinselbstständigkeit, enthält der Richtlinienentwurf vor allem auch einige Vorgaben bezüglich des Datenschutzes von Beschäftigten. So sollen besondere Vorgaben in Bezug auf Transparenz, Betroffenenrechte und Rechenschaftspflichten gelten, wenn die Arbeit der Beschäftigten mit Hilfe von Algorithmen organisiert wird. Im Folgenden haben wir uns daher den Richtlinienentwurf im Hinblick auf seine Auswirkungen auf den Beschäftigtendatenschutz näher angesehen.

Welche Plattformen sind betroffen?

Nach dem Entwurf soll die Richtlinie nicht pauschal für alle Plattformbetreiber gelten, sondern nur für Betreiber so genannter digitaler Arbeitsplattformen („digital labour platforms“). Gemeint sind damit Plattformen über die die Arbeit von Arbeitnehmer/innen bzw. Selbstständigen auf Anfrage Dritter (der eigentlichen Leistungsempfänger) organisiert wird. In Erwägungsgrund 18 des Richtlinienentwurfs werden als zu vermittelnde Leistungen zum Beispiel der Transport von Waren oder Personen genannt. Im Vordergrund scheint insoweit die Regulierung von typischen Plattformen der sogenannten Gig Economy wie Uber oder Lieferando zu stehen. Aufgrund der etwas unklaren Definition in Artikel 2 des Richtlinienentwurfs, könnten die Vorgabe, aber auch klassische Personalvermittler betreffen.

Wichtig ist insoweit auch, dass Plattformen bei denen die Arbeitsleistung lediglich eine Nebenkomponente darstellt, nicht gemeint sein sollen. Das bedeutet voraussichtlich auch, dass der Richtlinienentwurf nicht für Marktplätze im Internet gelten soll, die es privaten oder geschäftlichen Anbietern ermöglichen, Waren im Internet anzubieten.

Was regelt der Richtlinienentwurf in Bezug auf den Beschäftigtendatenschutz?

Unter Bezugnahme auf Art. 88 DSGVO enthält der Richtlinienentwurf in Kapitel III einige spezielle Vorgaben zur Verarbeitung von Beschäftigtendaten durch Systeme, die das Verhalten automatisiert überwachen und/oder Entscheidungen im Kontext des Beschäftigung-/Nutzungsverhältnisses treffen oder unterstützen.

Besondere Informationspflichten

Nach Art. 6 des Richtlinienentwurfs sollen Beschäftigte und Plattformnutzer aktiv und spätesten zum ersten Arbeitstag über den Einsatz automatisierter Überwachungs- und Entscheidungssystemen informiert werden. Bei einer automatisierten Überwachung müssen Beschäftigte zusätzlich erfahren, welches Verhalten beobachtet wird. In Bezug auf (teil-) automatisierte Entscheidungsprozesse muss angegeben werden, welche Faktoren für die automatisierte Entscheidungsfindung herangezogen werden, welche Entscheidungen aufgrund welcher Parameter durch das System getroffen werden und auf welchen Gründen Entscheidungen basieren, die sich negativ auf das Arbeitsverhältnis oder das Nutzungsverhältnis (in Bezug auf die Plattform) auswirkt.

Bemerkenswert an dieser Regelung ist vor allem, dass eine entsprechende Informationspflicht auch dann bestehen soll, wenn das System die eigentliche Entscheidung nicht trifft, aber unterstützt. Gemäß dem Wortlaut von Art. 13 Abs. 2 f) und 14 Abs. 2 g) DSGVO müssen Verantwortliche betroffene Personen bislang nur dann über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer automatisierten Entscheidungsfindung informieren, wenn eine ausschließlich auf einer automatisierten Verarbeitung erfolgt.

Pflicht zur Risikoüberprüfung

Art. 7 des Richtlinienentwurfs sieht vor, dass Betreiber von digitalen Arbeitsplattformen bei Einsatz der einleitend beschriebenen Systeme bewerten müssen, welche gesundheitlichen, psychologischen und arbeitsbezogenen Risiken dadurch für die Beschäftigten entstehen. Zudem müssen Plattformbetreiber angemessene Maßnahmen zum Schutz der Beschäftigten vorsehen.

In einem Großteil der relevanten Fälle besteht eine solche Pflicht wahrscheinlich bereits nach aktueller Rechtslage. Erfolgt der Betrieb automatisierter Überwachungs- und Entscheidungssystemen auf berechtigten Interessen des Verantwortlichen, muss dieses nach Art. 6 Abs. 1 f) DSGVO gegen die schützenswerten Interessen der betroffenen Personen abgewogen werden. Auch wird häufig so sein, dass diese Systeme erst nach Durchführung einer Datenschutzfolgenabschätzung eingesetzt werden können (siehe Seite Regelbeispiel Nr. 8 der DSK-Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist).

Überwachungspflichten

Der Rechtlinienentwurf sieht darüber hinaus explizit vor, dass der Plattformbetreiber gewährleisten muss, dass diese Systeme durch dafür fachlich geeignete und ausgebildete Personen überwacht werden. Diese sollten automatisierte Entscheidungen, teils unabhängig, überprüfen können.

Es ist nicht eindeutig nachvollziehbar, ob die Vorgabe des Richtlinienentwurfs auch durch den Datenschutzbeauftragten umgesetzt werden können. Das erscheint allerdings naheliegend, da auch die Überwachung der Einhaltung der Datenschutzvorschriften zu dessen/deren Aufgaben zählt.

Erweiterter Anwendungsbereich des Beschäftigtendatenschutzes

Die vorangestellten Regelungen sollen nach Art. 10 des Richtlinienentwurfs auch für Personen gelten, die ihre Dienste auf der Plattform anbieten, die keine direkten Angestellten des Plattformbetreibers sind.

Nach § 26 Abs. 8 BDSG beschränken sich die Regelungen des Beschäftigtendatenschutzes auf die dort aufgezählten Personengruppen. Nutzer einer digitalen Arbeitsplattform könnten, wenn sie nicht direkt vom Plattformbetreiber eingestellt sind, aufgrund ihrer wirtschaftlichen Unselbstständigkeit, als Beschäftigte im Sinne von § 26 Abs. 8 Nr. 6 BDSG anzusehen sein.

Welche Auswirkungen könnten Verstöße gegen diese Vorgabe haben?

Die Überwachung der datenschutzrechtlichen Vorgaben soll nach Art. 19 des Richtlinienentwurfs den Datenschutzbehörden obliegen und sich nach den einschlägigen Vorschriften der DSGVO richten. Bei Verstößen sollen die Aufsichtsbehörden nach dem Richtlinienentwurf ausdrücklich dazu ermächtigt sein, entsprechend 83 Abs. 5 DSGVO Geldbußen von bis zu 20 000 000 EUR oder von bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes eines Unternehmens zu erlassen.

Zusammenfassung

Der Entwurf der Richtlinie zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit stellt vor allem eine Konkretisierung der datenschutzrechtlichen Vorgaben für den Umgang mit Beschäftigtendaten dar. Er erweitert aber gleichzeitig auch das datenschutzrechtliche Pflichtenheft für betroffene Unternehmen.

Im Kontext einer nationalen Umsetzung des Richtlinienentwurfs stellt sich zudem die Frage, ob der deutsche Gesetzgeber dies zum Anlass nehmen wird, allgemein verbindliche Vorgaben im Datenschutz für die automatisierte Verarbeitung von Beschäftigtendaten zu schaffen. Vor dem Hintergrund der bereits im Koalitionsvertrag angekündigten Konkretisierung des Beschäftigtendatenschutzes, erscheint dies zumindest möglich.

Rechtsanwalt, Senior Associate
Philip Schweers
Rechtsanwalt, Senior Associate
Philip Schweers

Zurück

News

Bericht des Europäischen Datenschutzausschusses zur Prüfung von Datentransfers in Drittländer

Am 19. April 2023 hat der Europäische Datenschutzausschuss (EDSA) den Bericht der Task Force 101 zu den NOYB-Beschwerden veröffentlicht. Thematisch geht es in der Veröffentlichung um die Problematik der Datenübermittlung in Drittländer im Zusammenhang mit dem Einsatz von Website-Tools, wie Google Analytics und Facebook Business Tools.

Fachaufsatz zum geplanten Cyber Resilience Act - Verhältnis des Cyber Resilience Act zur DSGVO

In der aktuellen Ausgabe der Zeitschrift Computer und Recht (CR 03/2023) wurde der Aufsatz mit dem Titel „Der Vorschlag für einen Cyber Resilience Act aus Sicht der DSGVO“ von Dr. Carlo Piltz, Alexander Weiß und Johannes Zwerschke veröffentlicht.

Wichtige Entscheidung der Vergabekammer des Bundeskartellamtes - Neue Argumente für den zulässigen Einsatz von EU-Tochtergesellschaften US-amerikanischer Unternehmen

Im letzten Jahr hatte die Entscheidung der Vergabekammer Baden-Württemberg zur Gleichsetzung einer theoretischen Zugriffsmöglichkeit bzw. des Zugriffsrisikos aus einem Drittland (z.B. den USA) mit einer Datenübermittlung im Sinne der DSGVO für Diskussionen gesorgt.

Dr. Carlo Piltz erneut als einer der führenden Namen in der aktuellen Ausgabe des Legal 500 Deutschland erwähnt

Wir freuen uns sehr, dass Dr. Carlo Piltz in der neuesten Ausgabe des Handbuchs Legal 500 Deutschland erneut unter den führenden Namen im Bereich Datenschutz vertreten ist.

Was müssen europäische Unternehmen bei Beschluss des Trans-Atlantic-Data- Privacy-Framework beachten?

Am 13. Dezember 2022 hat die Europäische Kommission den Entwurf eines Angemessenheitsbeschlusses für die USA mit der Bezeichnung EU-U.S.-Data-Privacy-Framework („DPF“) veröffentlicht und das Verfahren zu dessen Annahme eingeleitet (Pressemitteilung der Kommission).

Hinweisgeberschutz und das Recht auf Auskunft auf Kollisionskurs – Herausforderungen bei der parallelen Anwendung von Hinweisgeberschutz und Art. 15 DSGVO

Der Erlass und die Anwendbarkeit des deutschen Umsetzungsgesetzes zur Whistleblowing-Richtlinie (Richtlinie (EU) 2019/1937) ist endlich absehbar. Das bedeutet auch, dass die gesetzliche Pflicht zum Einrichten einer internen Meldestelle für sehr viele deutsche Unternehmen (alle mit in der Regel mindestens 250 Beschäftigten) immer näher rückt.