Gemeinsame Verantwortlichkeit in der Personalvermittlung 

Wo die Grenze zwischen Auftragsverarbeitung und gemeinsamer Verantwortung liegt, zeigen wir am Beispiel der Personalvermittlung in diesem Beitrag auf.

Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke oder Mittel einer personenbezogenen Datenverarbeitung fest, so sind sie gemeinsam Verantwortliche nach Art. 26 DSGVO.  

Im Gegensatz zur Auftragsverarbeitung nach Art. 28 DSGVO, fehlt bei der gemeinsamen Verantwortlichkeit die Weisungsgebundenheit bezüglich der Verarbeitung der Daten. Der Auftragsverarbeiter hat also keine Entscheidungsbefugnis über die Daten, bzw. kann und darf keinen eigenen Geschäftszweck verfolgen. Wesentlicher Unterschied zwischen der Auftragsverarbeitung und gemeinsamen Verantwortlichkeit ist zudem, dass bei der Auftragsverarbeitung Art und Zweck der Verarbeitung durch den Auftraggeber festgelegt werden, und dieser auch zu jederzeit alleiniger Verantwortlicher bleibt.  

Ein Indiz für das Vorliegen einer gemeinsamen Verantwortlichkeit ist beispielweise die geteilte Nutzung technischer und organisatorischen Einrichtungen, wie es bei den folgenden Beispielen der Fall sein kann:  

• Gemeinsame Datenverwaltung in Konzernen bei gleichlaufenden Geschäftsprozessen 
• Gemeinsames Betreiben von Webseiten bzw. Internetplattformen 
• Gemeinsamer Informationspool über Schuldner 
• Klinische Arzneimittelstudien 

Abgrenzung zur Auftragsverarbeitung in der Personalvermittlung 

Bei der Personalvermittlung könnte es sich zwischen Entleiher und Arbeitgeber demnach um eine gemeinsame Verantwortlichkeit handeln. Denn es kann zunächst festgehalten werden, dass bei der Personalvermittlung die erste Anlaufstelle des Arbeitnehmers der Personaldienstleister ist, und somit letzterer für den Bewerbungsprozess personenbezogene Daten gem. Art. 5 ff DSGVO verarbeitet. Findet sich ein passender Arbeitgeber, werden die personenbezogenen Daten weitergeleitet, sodass Arbeitgeber und Personalvermittler zum Teil gleichzeitig Daten im Sinne der DSGVO erheben sowie verarbeiten und hierfür Verantwortliche sind. Zudem unterliegt der zukünftige Arbeitgeber in der Regel nicht der Weisung des Personalvermittlers, sobald die betroffene Person vermittelt worden ist – denn er verarbeitet ab dem Zeitpunkt die Daten zu eigenen Zwecken. 

Die gemeinsame Verantwortlichkeit bemisst sich übrigens nicht daran, ob die Parteien einen Vertrag nach Art. 26 oder Art. 28 DSGVO abgeschlossen haben. Maßgeblich für die Einordnung ist vielmehr, wer den tatsächlichen Einfluss auf die Datenverarbeitung hat, und ob man die Daten für eigene Zwecke verwendet. Gemeinsame Verantwortlichkeit liegt vor, wenn einzelne Beteiligte, wie im vorliegenden Fall, an bestimmten Phasen der Verarbeitung getrennt verantwortlich sind und die Zwecke zusammenhängen. Der Grad der Beteiligung ist dabei unerheblich. 

Lösung 

Man sollte berücksichtigen, dass gemeinsame Verantwortlichkeit unabhängig von der vertraglichen Gestaltung entsteht – ein Vertrag gem. Art. 26 DSGVO aber zwingend erforderlich ist, wenn zwei oder mehr Stellen gemeinsam über die Mittel und den Zweck einer Datenverarbeitung bestimmen. Genügt der Vertrag nicht den Anforderungen des Art. 26 DSGVO oder wurde dieser überhaupt nicht erst geschlossen, können Aufsichtsbehörden gegebenenfalls Bußgelder nach Art. 83 Abs. 4 lit. a) DSGVO in Höhe von bis zu 10 Millionen Euro verhängen.  

Wir prüfen für Sie, ob und welche Art von Vertrag für ihre Datenverarbeitung nötig ist – rufen Sie uns einfach an oder schreiben uns eine Nachricht an kontakt@ws-datenschutz.de.