Arbeitnehmerdaten in der Cloud - Oppenhoff & Partner

Mitarbeiter in die Wolke?
Personenbezogene Daten erfordern besondere Sensibilität
Von Dr. Marc Hilber, LL.M. und Dr. Gilbert Wurth März 2012
Spätestens nach den Fällen Deutsche Bahn und Lidl ist der Umgang mit Arbeitnehmerdaten
ein besonders sensibles Thema. Der Gesetzgeber reagiert und bringt neue
Vorschriften zum Schutz dieser Daten auf den Weg; die Vorschläge werden heiß diskutiert.
Viele IT-Verantwortliche scheuen sich daher derzeit, ihre Mitarbeiterdaten in
die Cloud zu schicken, zumal in eine öffentliche. Alan Hippe, CIO beim Basler
Pharma-Konzern Roche, tut es dennoch: Über 90.000 Mitarbeiter weltweit werden
zukünftig Email- und Kalenderanwendungen von Google aus der Public Cloud beziehen.
Anwendungen können nun durch ein einfaches Steuerungscockpit freigegeben,
die Daten von den Mitarbeitern weltweit per Internetbrowser abgerufen werden.
Also doch alles sicher in der Wolke?
Von Arbeitnehmern gesendete und empfangene Emails sind als personenbezogene
Daten zu qualifizieren. Daher gilt für diese Emails das Bundesdatenschutzgesetz.
Danach darf der Arbeitgeber diese Daten verarbeiten, sofern dies für die Durchführung
des Arbeitsverhältnisses erforderlich ist. Der Weg in die Cloud wird damit aber
nicht geebnet.
Der Arbeitgeber darf aber auch Auftragsdatenverarbeiter einschalten. Diese müssen
nach den Weisungen und unter Kontrolle des Arbeitgebers handeln. Dies kann auch
für Dienstleistungen aus der Cloud umgesetzt werden. Für eine zulässige Auftragsdatenverarbeitung
müssen Dienstleister wie Google ihren eigenen Appetit auf Daten
zügeln, denn ein Zugriff aus Eigeninteresse ist unzulässig. Werden die Daten außerhalb
der EU verarbeitet, muss der Auftraggeber ein angemessenes Datenschutzniveau
sicherstellen. Hierzu werden in der Regel EU-weit Standardvertragsklauseln
vereinbart.
Wenn der Arbeitgeber private Email-Korrespondenz gestattet, wird er zum Telekommunikationsdiensteanbieter
- es gelten weitere Einschränkungen. Die Kenntnisnahme
des Arbeitgebers von Inhalten privater Emails ist dann z.B. – unabhängig von
den Gründen – verboten. Mit den entsprechenden Vorkehrungen ist aber zumindest
innerhalb der EU der Einsatz von Cloud Computing Diensten auch für Telekommunikationsdaten
möglich.
Zudem ist die Mitbestimmung zu berücksichtigen: Bereits vor der Entscheidung
über die Einführung von Cloud-Computing-Anwendungen ist der Betriebsrat über
die unternehmerische Planung zu unterrichten; Planungsunterlagen sind rechtzeitig
vorzulegen. Unterrichtungs- und Beratungsrechte kann der Betriebsrat auch im Wege
der einstweiligen Verfügung durchsetzen. Die Einführung kann auch als Betriebsänderung
anzusehen sein, mit der Folge weiterer Beratungs- und Beteiligungsrechte.
Mitbestimmungspflichtig sind Einführung und Anwendung von technischen Einrichtungen,
die objektiv zur Verhaltens- und Leistungskontrolle des Arbeitnehmers geeignet
sind – was bei Cloud-Computing-Anwendungen zweifellos der Fall ist. Dass

Mitarbeiter in die Wolke?
das Unternehmen keine eigene Verfügungsgewalt über die Technik hat, ist nach Ansicht
der Gerichte dabei nicht entscheidend. Mit dem Betriebsrat muss also über
„Ob“ der Einführung und das „Wie“ der Ausgestaltung und Nutzung des Systems
eine Betriebsvereinbarung geschlossen werden.
Ist der Weg in die Cloud mit Personalreduzierungen verbunden, muss der Arbeitgeber
sogar einen Interessenausgleich mit dem Betriebsrat versuchen und im Anschluss
hieran möglicherweise einen Sozialplan abschließen.
Der Weg in die Cloud sollte also auch rechtlich sorgfältig geplant werden. Hierbei
können Zertifikate helfen, wie z.B. von EuroCloud Germany. Ist ein Anfang geschafft,
sollte der Einsatz von Cloud Computing Diensten im Unternehmen gesteuert
und abgesichert werden. Eine Umfrage des Dienstleisters Avanade unter 570 IT-
Verantwortlichen hat gezeigt, dass 64 % der Befragten befürchten, durch Wildwuchs
unkontrollierter Cloud Dienste Nachteile zu erleiden. Dieser kann zum einen mit
Anwendungsblockern auf IT-Ebene verhindert werden. Zum anderen sind jedoch
auch klare arbeitsrechtliche Weisungen des Arbeitgebers sinnvoll. Ist die Cloud-
Computing-Anwendung rechtlich zulässig, so kann der Arbeitgeber den Arbeitnehmer
im Rahmen des ihm zustehenden Direktionsrechtes zum Einsatz neuer Techniken
verpflichten.
Dr. Marc Hilber, LL.M. ist Rechtsanwalt und Partner der Kanzlei Oppenhoff &
Partner Rechtsanwälte Steuerberater
Dr. Gilbert Wurth ist Rechtsanwalt und Partner der Kanzlei Oppenhoff & Partner
Rechtsanwälte Steuerberater
Oppenhoff & Partner Rechtsanwälte Steuerberater
Konrad-Adenauer-Ufer 23
50668 Köln
T +49(0)221 2091 0
F +49(0)221 2091 333
www.oppenhoff.eu