Kurzbeitrag : Gehaltsdaten für Benchmarks übermitteln – zulässig? : aus der RDV 5/2017, Seite 242 bis 245

Wenn die Übermittlung an einen Empfänger in einem Drittstaat stattfinden soll, muss dort regelmäßig gemäß Art. 44 DS-GVO zusätzlich ein angemessenes Datenschutzniveau vorliegen. Dies gilt auch, wenn der Vertragspartner in der EU niedergelassen ist, die Daten aber bspw. an ein Webportal übermittelt werden, das in einem Drittstaat betrieben wird. Unterauftragnehmer des Anbieters sind ebenfalls zu berücksichtigen. Da sich für die vorliegende Fragestellung keine Besonderheit bzgl. der Drittstaatenthematik ergibt, wird auf eine Erörterung verzichtet.

II. Personenbezug der übermittelten Daten

Als Ziele eines solchen Benchmarks stellen sich u.a. dar,

• die Gehaltsentwicklung bestimmter Personen über längere Zeiträume nachzuzeichnen und
• einen Vergleich zwischen Personen mit gleichen demographischen und qualifikatorischen Eigenschaften zu ermöglichen. Um diese Ziele zu erreichen, müssen neben den eigentlichen Gehaltsdaten (Bruttogehalt, Dienstwagennutzung, Arbeitsstunden usw.) weitere Angaben zur Person, Position und Qualifikation übermittelt werden. Gewünscht werden bspw. die folgenden Angaben:
• Land des Arbeitsorts,
• Name des Arbeitgebers,
• Postleitzahl der Betriebsstätte,
• Abteilungsname,
• Bezeichnung der Position,
• Geschlecht,
• Geburtsdatum,
• Ausbildung,
• Hierarchiestufe und
• Fachrichtung.

Nach Art. 4 Abs. 1 DS-GVO liegt ein Personenbezug bereits dann vor, wenn die natürliche Person bestimmbar ist. Auch wenn der Name des Mitarbeiters nicht enthalten ist, so reichen die übrigen Angaben für den Empfänger grundsätzlich aus, um den Personenbezug herzustellen. Insbesondere bei Positionen mit Kundenkontakt reicht dazu häufig die Webseite des Arbeitgebers aus, da sie neben Namen auch die Abteilung, die Position und meistens das Geschlecht durch den Namen verrät. Als weitere Hilfsmittel kommen Xing und LinkedIn in Frage, deren Nutzung für die Anbieter ohne nennenswerte Hürden legal möglich ist. Damit sind die übermittelten Daten für den Anbieter personenbezogen.^[2]

III. Rechtsgrundlagen für eine Übermittlung

Die Übermittlung vom Arbeitgeber an den Benchmark-Anbieter gliedert sich in zwei Phasen, die jeweils eine legitimierende Rechtsgrundlage benötigen:

1. Entnahme der Daten aus der Personalakte bzw. dem Personalinformationssystem und
2. Übermittlung an den Benchmark-Anbieter.

Ob die Daten in der Personalakte in Papierform vorliegen oder in einem elektronischen Personalinformationssystem gespeichert sind, ist unerheblich. § 26 Abs. 7 BDSG-neu bezieht auch Verarbeitungen außerhalb eines Dateisystems mit ein. Im Folgenden wird deshalb abkürzend von Personalakte gesprochen.

Findet sich für eine der Phasen keine Rechtsgrundlage, ist die Übermittlung in Gänze unzulässig. Grundsätzlich kommen die üblichen Rechtsgrundlagen für die Übermittlung vom Arbeitgeber an den Benchmark-Anbieter in Betracht:

• Einwilligung (Abschnitt 3.1)
• Notwendig zur Durchführung des Arbeitsverhältnisses (Abschnitt 3.2)
• Interessensabwägung (Abschnitt 3.3)

1. Einwilligung

Eine wesentliche Voraussetzung für die Wirksamkeit von Einwilligungen ist die Freiwilligkeit ihrer Erteilung (Art. 7 Abs. 4 und Erw. 43 DS-GVO sowie § 26 Abs. 2 BDSG-neu). Mit dem expliziten Abstellen der DS-GVO auf die Ungleichgewichte zwischen Betroffenen und Unternehmen in Erw. 43 verändert sich die Rechtslage, geprägt u.a. durch Entscheidungen des BAG, nicht grundlegend.^[3] Die Tatsache des Arbeitsverhältnisses schließt damit für Arbeitnehmer nicht per se die Möglichkeit aus, in eine Übermittlung an den Anbieter einzuwilligen.

§ 26 Abs. 2 BDSG-neu sieht die Gewährung eines rechtlichen oder wirtschaftlichen Vorteils für den Betroffenen als ein Kriterium an, das für eine Freiwilligkeit spricht. Ein solcher Vorteil wäre eine Bezahlung der Mitarbeiter für die Entnahme und Übermittlung.

Das zweite Kriterium des § 26 Abs. 2 BDSG-neu, die gleichlautenden Interessen von Arbeitnehmern und Arbeitgebern, setzt voraus, dass die Interessen an der Übermittlung gleichlaufen. Das kann bei einer Aufteilung der Bezahlung der Fall sein. Es kommt jedenfalls auf die Gestaltung im Einzelfall an, da generell davon auszugehend ist, dass der Mitarbeiter kein Interesse an einer Übermittlung hat, wenn er von dieser nicht profitiert.

Die Übermittlung an den Anbieter lässt sich damit durchaus auf eine Einwilligung stützen, sofern die übrigen Anforderungen des Art. 7 DS-GVO insbesondere hinsichtlich der anzugebenden Informationen erfüllt werden.^[4] Gleichwohl sollte im Einzelfall geprüft werden, dass keine Konstellation vorliegt, die gegen die Freiwilligkeit spricht.

2. Durchführung des Arbeitsverhältnisses

§ 26 Abs. 1 BDSG-neu regelt die Zulässigkeit einer Datenverarbeitung im Beschäftigungsverhältnis unter Nutzung der Öffnungsklausel in Art. 88 Abs. 1 DS-GVO. Insofern tritt § 26 Abs. 1 BDSG-neu an Stelle von Art. 6 Abs. 1 lit b DS-GVO.

§ 26 Abs. 1 S. 1 BDSG-neu erlaubt u.a. die Datenverarbeitung, sofern diese für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Der Bezugspunkt ist der Arbeitsvertrag. Eine Datenverarbeitung, die für die Durchführung eines Arbeitsvertrags notwendig ist, wäre zulässig. Dieses trifft zweifelsohne auf die Festlegung des Gehaltes zu. Eine Analyse, ob ein Gehalt marktüblich ist, mag aus Sicht des Arbeitgebers für die Gehaltsfestsetzung während des Beschäftigungsverhältnisses hilfreich sein, notwendig ist sie indes nicht, da das Gehalt auch ohne Benchmark verhandelt werden kann. Ein Arbeitgeber könnte sich etwa an Tarifverträgen orientieren oder einfach das vom Mitarbeiter geforderte Gehalt akzeptieren. Somit ist die Entnahme aus der Personalakte und Übermittlung an den Anbieter für die Durchführung des Beschäftigungsverhältnisses nicht notwendig. Dies gilt folgerichtig auch, wenn der Erhalt des Benchmarks an eine Datenübermittlung gekoppelt wäre.

Eine Notwendigkeit zur Entnahme und Übermittlung könnte vorliegen, wenn die Gehaltsfestsetzung oder -entwicklung im Arbeitsvertrag an den Benchmark des Anbieters gekoppelt wird und dieser ausschließlich den Unternehmen zur Verfügung gestellt wird, die ihrerseits Gehaltsdaten übermitteln. Eine solche Konstruktion dürfte in der Praxis eher die Ausnahme darstellen.

3. Interessensabwägung

Art. 6 Abs. 1 lit. f DS-GVO erlaubt eine Datenverarbeitung, sofern diese für berechtigte Interessen des Arbeitgebers oder eines Dritten, hier des Anbieters, erforderlich ist und die berechtigten Interessen der Betroffenen an einer Unterlassung der Datenverarbeitung nicht überwiegen. Ein denkbares berechtigtes Interesse seitens des Arbeitsgebers wäre es, wenn durch die Datenübermittlung ein Zugang zu der Benchmark erlangt wird.

Seitens des Anbieters wäre das Einsammeln von personenbezogenen Gehaltsdaten zur Erstellung und Verkauf der Benchmarks ein berechtigtes Interesse. Allerdings kann ein Anbieter auch Mitarbeiter direkt ansprechen und um deren Daten bitten. Der Weg über den Arbeitgeber ist deshalb eher praktisch denn notwendig. Da die berechtigten Interessen der betroffenen Mitarbeiter überwiegen, kann die Erörterung der Notwendigkeit dahingestellt bleiben.

Die berechtigten Interessen des Unternehmens bzw. des Anbieters sind gegen die berechtigten Interessen der Beschäftigten abzuwägen. Generell besteht das Gebot, Daten in der Personalakte vertraulich zu behandeln. Dieses ergibt sich aus der höchstrichterlichen Rechtsprechung^[5] . Diese Rechtsprechung stützt sich teilweise auf verfassungsrechtliche Überlegungen, die auch im Lichte der DS-GVO grundsätzlich Bestand haben. Die Vertraulichkeit steht einer Entnahme aus der Personalakte sowie der Übermittlung regelmäßig entgegen.^[6] Da Art. 6 Abs. 1 lit f DS-GVO keine wesentlichen materiellen Unterschiede zu dem bisherigen die Interessensabwägung regelnden § 28 Abs. 1 Nr. 2 bzw. Abs. 2 Nr. 2 a) BDSG aufweist, lässt sich die bestehende Auslegung sinngemäß mit der gebotenen Vorsicht übertragen.

Negative Konsequenzen für Betroffene, wenn bspw. ExEhepartner die Gehaltshöhe zum Gegenstand von Forderungen machen, sprechen auch im Einzelfall gegen eine Übermittlung. Dieses wird durch die aus der Erfahrung bekannten Erwartung der Mitarbeiter auf eine vertrauliche Behandlung der Gehaltsdaten gestützt. Deshalb spricht einiges dafür, dass in der Praxis eine Einzelfallbetrachtung geboten erscheint.

Erhalten Empfänger oder Unterauftragnehmer in Drittländern die personenbezogenen Daten, sprechen weitere Gründe gegen eine Übermittlung.

Selbst wenn die Daten vor der Übermittlung anonymisiert werden würden, wäre die Entnahme aus der Personalakte weiterhin personenbezogen und damit regelmäßig unzulässig.

IV. Fazit

Das Gebot der Vertraulichkeit der Personalakte setzt der Datenverarbeitung des Arbeitgebers weiterhin Grenzen. Auch wenn bei einer Teilnahme an einem Gehaltsbenchmark durch Lieferung personenbezogener Gehaltsdaten der Mitarbeiter wirtschaftliche Vorteile für Unternehmen oder der Bezug des Benchmarks winken, lässt sich neben der Einwilligung durch die Arbeitnehmer keine weitere legitimierende Rechtsgrundlage erkennen.

* Der Autor ist Geschäftsführer der Xamit Bewertungsgesellschaft mbH und der DSZ Datenschutz Zertifizierungsgesellschaft mbH (einem Gemeinschaftsunternehmen des BvD e.V. und der GDD e.V.). Er verfügt über langjährige Erfahrung als externer Datenschutzbeauftragter und berät sowohl deutsche als auch internationale Unternehmen. Daneben ist er Inhaber eines Lehrauftrags des Masterstudienganges „Medienrecht und Medienwirtschaft“ an der Technischen Hochschule Köln.

_{[1] BDSG in der Fassung der Fassung vom 30.06.2017 (BGBl. I S. 2097).}

_{[2] Gemäß des EUGH-Urteils zur dynamischen IP-Nummer (C 582/14 , Rn. 49) reicht für die Bestimmbarkeit der Person aus, dass mittels Zusatzinformationen der Personenbezug rechtlich zulässig hergestellt werden könnte.}

_{[3] Schulz, Art. 7, Rn. 76, in: Gola, DS-GVO Kommentar.}

_{[4] So sieht Gola/Wronka, Handbuch Arbeitnehmerdatenschutz, 2013, Rn. 887 die Einwilligung im ähnlich gelagerten Fall der Übermittlung an Versicherungen als zulässig an.}

_{[5] Gola/Wronka, Handbuch Arbeitnehmerdatenschutz, 6. Aufl. 2013, Rn. 139.}

_{[6] Für den in der Eingriffstiefe vergleichbaren Fall des Bankgeheimnisses siehe Simitis, Bundesdatenschutzgesetz, 8. Aufl., § 28 Rn. 99.}