News
Neue datenschutzrechtliche Vorgaben für Uber, Lieferando & Co?
Anmerkungen zum Entwurf der Richtlinie zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit vom 9. Dezember 2021
Die Europäische Kommission hat am 9. Dezember 2021 einen Vorschlag für eine Richtlinie zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit (PDF, im folgenden Richtlinienentwurf) veröffentlicht. Durch den Richtlinienentwurf soll vor allem die Position von Arbeitnehmer/innen und Selbstständigen verbessert werden, die ihre Arbeitskraft über digitale Plattformen anbieten. Neben Regelung zur Vermeidung von Scheinselbstständigkeit, enthält der Richtlinienentwurf vor allem auch einige Vorgaben bezüglich des Datenschutzes von Beschäftigten. So sollen besondere Vorgaben in Bezug auf Transparenz, Betroffenenrechte und Rechenschaftspflichten gelten, wenn die Arbeit der Beschäftigten mit Hilfe von Algorithmen organisiert wird. Im Folgenden haben wir uns daher den Richtlinienentwurf im Hinblick auf seine Auswirkungen auf den Beschäftigtendatenschutz näher angesehen.
Welche Plattformen sind betroffen?
Nach dem Entwurf soll die Richtlinie nicht pauschal für alle Plattformbetreiber gelten, sondern nur für Betreiber so genannter digitaler Arbeitsplattformen („digital labour platforms“). Gemeint sind damit Plattformen über die die Arbeit von Arbeitnehmer/innen bzw. Selbstständigen auf Anfrage Dritter (der eigentlichen Leistungsempfänger) organisiert wird. In Erwägungsgrund 18 des Richtlinienentwurfs werden als zu vermittelnde Leistungen zum Beispiel der Transport von Waren oder Personen genannt. Im Vordergrund scheint insoweit die Regulierung von typischen Plattformen der sogenannten Gig Economy wie Uber oder Lieferando zu stehen. Aufgrund der etwas unklaren Definition in Artikel 2 des Richtlinienentwurfs, könnten die Vorgabe, aber auch klassische Personalvermittler betreffen.
Wichtig ist insoweit auch, dass Plattformen bei denen die Arbeitsleistung lediglich eine Nebenkomponente darstellt, nicht gemeint sein sollen. Das bedeutet voraussichtlich auch, dass der Richtlinienentwurf nicht für Marktplätze im Internet gelten soll, die es privaten oder geschäftlichen Anbietern ermöglichen, Waren im Internet anzubieten.
Was regelt der Richtlinienentwurf in Bezug auf den Beschäftigtendatenschutz?
Unter Bezugnahme auf Art. 88 DSGVO enthält der Richtlinienentwurf in Kapitel III einige spezielle Vorgaben zur Verarbeitung von Beschäftigtendaten durch Systeme, die das Verhalten automatisiert überwachen und/oder Entscheidungen im Kontext des Beschäftigung-/Nutzungsverhältnisses treffen oder unterstützen.
Besondere Informationspflichten
Nach Art. 6 des Richtlinienentwurfs sollen Beschäftigte und Plattformnutzer aktiv und spätesten zum ersten Arbeitstag über den Einsatz automatisierter Überwachungs- und Entscheidungssystemen informiert werden. Bei einer automatisierten Überwachung müssen Beschäftigte zusätzlich erfahren, welches Verhalten beobachtet wird. In Bezug auf (teil-) automatisierte Entscheidungsprozesse muss angegeben werden, welche Faktoren für die automatisierte Entscheidungsfindung herangezogen werden, welche Entscheidungen aufgrund welcher Parameter durch das System getroffen werden und auf welchen Gründen Entscheidungen basieren, die sich negativ auf das Arbeitsverhältnis oder das Nutzungsverhältnis (in Bezug auf die Plattform) auswirkt.
Bemerkenswert an dieser Regelung ist vor allem, dass eine entsprechende Informationspflicht auch dann bestehen soll, wenn das System die eigentliche Entscheidung nicht trifft, aber unterstützt. Gemäß dem Wortlaut von Art. 13 Abs. 2 f) und 14 Abs. 2 g) DSGVO müssen Verantwortliche betroffene Personen bislang nur dann über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer automatisierten Entscheidungsfindung informieren, wenn eine ausschließlich auf einer automatisierten Verarbeitung erfolgt.
Pflicht zur Risikoüberprüfung
Art. 7 des Richtlinienentwurfs sieht vor, dass Betreiber von digitalen Arbeitsplattformen bei Einsatz der einleitend beschriebenen Systeme bewerten müssen, welche gesundheitlichen, psychologischen und arbeitsbezogenen Risiken dadurch für die Beschäftigten entstehen. Zudem müssen Plattformbetreiber angemessene Maßnahmen zum Schutz der Beschäftigten vorsehen.
In einem Großteil der relevanten Fälle besteht eine solche Pflicht wahrscheinlich bereits nach aktueller Rechtslage. Erfolgt der Betrieb automatisierter Überwachungs- und Entscheidungssystemen auf berechtigten Interessen des Verantwortlichen, muss dieses nach Art. 6 Abs. 1 f) DSGVO gegen die schützenswerten Interessen der betroffenen Personen abgewogen werden. Auch wird häufig so sein, dass diese Systeme erst nach Durchführung einer Datenschutzfolgenabschätzung eingesetzt werden können (siehe Seite Regelbeispiel Nr. 8 der DSK-Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist).
Überwachungspflichten
Der Rechtlinienentwurf sieht darüber hinaus explizit vor, dass der Plattformbetreiber gewährleisten muss, dass diese Systeme durch dafür fachlich geeignete und ausgebildete Personen überwacht werden. Diese sollten automatisierte Entscheidungen, teils unabhängig, überprüfen können.
Es ist nicht eindeutig nachvollziehbar, ob die Vorgabe des Richtlinienentwurfs auch durch den Datenschutzbeauftragten umgesetzt werden können. Das erscheint allerdings naheliegend, da auch die Überwachung der Einhaltung der Datenschutzvorschriften zu dessen/deren Aufgaben zählt.
Erweiterter Anwendungsbereich des Beschäftigtendatenschutzes
Die vorangestellten Regelungen sollen nach Art. 10 des Richtlinienentwurfs auch für Personen gelten, die ihre Dienste auf der Plattform anbieten, die keine direkten Angestellten des Plattformbetreibers sind.
Nach § 26 Abs. 8 BDSG beschränken sich die Regelungen des Beschäftigtendatenschutzes auf die dort aufgezählten Personengruppen. Nutzer einer digitalen Arbeitsplattform könnten, wenn sie nicht direkt vom Plattformbetreiber eingestellt sind, aufgrund ihrer wirtschaftlichen Unselbstständigkeit, als Beschäftigte im Sinne von § 26 Abs. 8 Nr. 6 BDSG anzusehen sein.
Welche Auswirkungen könnten Verstöße gegen diese Vorgabe haben?
Die Überwachung der datenschutzrechtlichen Vorgaben soll nach Art. 19 des Richtlinienentwurfs den Datenschutzbehörden obliegen und sich nach den einschlägigen Vorschriften der DSGVO richten. Bei Verstößen sollen die Aufsichtsbehörden nach dem Richtlinienentwurf ausdrücklich dazu ermächtigt sein, entsprechend 83 Abs. 5 DSGVO Geldbußen von bis zu 20 000 000 EUR oder von bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes eines Unternehmens zu erlassen.
Zusammenfassung
Der Entwurf der Richtlinie zur Verbesserung der Arbeitsbedingungen in der Plattformarbeit stellt vor allem eine Konkretisierung der datenschutzrechtlichen Vorgaben für den Umgang mit Beschäftigtendaten dar. Er erweitert aber gleichzeitig auch das datenschutzrechtliche Pflichtenheft für betroffene Unternehmen.
Im Kontext einer nationalen Umsetzung des Richtlinienentwurfs stellt sich zudem die Frage, ob der deutsche Gesetzgeber dies zum Anlass nehmen wird, allgemein verbindliche Vorgaben im Datenschutz für die automatisierte Verarbeitung von Beschäftigtendaten zu schaffen. Vor dem Hintergrund der bereits im Koalitionsvertrag angekündigten Konkretisierung des Beschäftigtendatenschutzes, erscheint dies zumindest möglich.
News
Barrierefreiheitsstärkungsgesetz (Teil 2) – Für welche Apps und Websites gilt das BFSG?
In Teil 1 unserer Beitragsreihe zum Barrierefreiheitsstärkungsgesetz (BFSG) haben wir uns bereits mit den allgemeinen Anforderungen des BFSG befasst. In Teil 2 geht es darum, für welche Apps und Websites das BFSG gilt.
Piltz Legal Whitepaper zur KI-Verordnung
Die KI-Verordnung, auch bekannt als Artificial Intelligence Act („AI Act“), ist kürzlich in Kraft getreten. Erstmalig wird damit ein harmonisierter Rechtsrahmen auf europäischer Ebene zum Einsatz von Künstlicher Intelligenz (KI) geschaffen. Die Verordnung gilt aufgrund ihrer Rechtsnatur bereits mit ihrem Inkrafttreten unmittelbar in allen Mitgliedstaaten, ohne dass ein weiterer Vollzugsakt notwendig wird.
Barrierefreiheitsstärkungsgesetz (Teil 1) – Neue Pflichten für Unternehmen ab Juni 2025
Bestimmte Produkte und Dienstleistungen müssen ab dem 28. Juni 2025 barrierefrei zugänglich sein. Dies sieht das bereits im Juli 2021 veröffentlichte Barrierefreiheitsstärkungsgesetz (BFSG) vor. Konkret betrifft das BFSG vor allem auch die Gestaltung von Websites und Apps. Um Sie angemessen auf die Anforderungen des BFSG vorzubereiten, haben wir einen kurzen Überblick zu den wichtigsten Informationen erstellt.
Ist mein Unternehmen Anbieter nach der KI-Verordnung? Zum Begriff des „Inverkehrbringens“ nach der KI-VO
Die Einführung der KI-Verordnung (KI-VO) der Europäischen Union hat weitreichende Auswirkungen auf Unternehmen, die KI-Systeme entwickeln und / oder anbieten. Die KI-VO legt eine Vielzahl von Anforderungen fest, die in erster Linie von den Anbietern von KI-Systemen erfüllt werden müssen. Daher ist es für Unternehmen essenziell zu klären, ob sie als „Anbieter“ von KI-Systemen im Sinne der KI-VO gelten.
Gutachten von Piltz Legal zum Cloud-Einsatz im Gesundheitswesen für den bvitg – Fragen zum neuen § 393 SGB V
Seit dem 1. Juli 2024 gilt der neue § 393 SGB V. Darin geht es um den Einsatz von Cloud-Diensten für die Verarbeitung von Gesundheits- und Sozialdaten im Gesundheitsbereich. Piltz Legal hat für den Bundesverband Gesundheits-IT – bvitg e. V. („bvitg“) ein Gutachten zu ausgewählten Fragen der Mitglieder des bvitg erstellt. Dieses Gutachten ist jetzt öffentlich auf der Website des bvitg unter der folgenden URL abrufbar: https://www.bvitg.de/wp-content/uploads/2024-05-27_bvitg-Cloud-Gutachten.pdf.In diesem Newsbeitrag gehen wir auf ausgewählte Themen ein, die auch im Gutachten detaillierter besprochen werden.
Weitere Auszeichnungen für unsere beiden Partner
Wir freuen uns sehr, dass Prof. Dr. Burghard Piltz und Dr. Carlo Piltz weitere Auszeichnungen durch das Handelsblatt erhalten haben und in der 16. Edition der The Best Lawyers in Germany™ inkludiert wurden.