Outsourcing: Die rechtlichen Aspekte

Das Outsourcing von Dienstleistungen ist heute eine weitverbreitete Praxis, insbesondere im Zusammenhang mit Kostensenkungen. Outsourcing findet zum einen innerhalb des Unternehmens statt, indem bisher in der Schweiz erbrachte Leistungen an Tochtergesellschaften im Ausland ausgelagert werden. Zum anderen werden Dienstleistungen auf vertraglicher Basis an Vertragspartner im In- oder Ausland ausgelagert.
Beim Outsourcing ins Ausland sind beide Rechtsordnungen der Sitzstaaten des outsourcenden Unternehmens und des Vertragspartners zu beachten. Das Outsourcing wird in einem Zusammenarbeitsvertrag geregelt, welcher – zumindest in Europa – inhaltlich frei ausgestaltet werden kann. Ein schweizerischer Arbeitgeber kann den Vertrag über das Outsourcing also schweizerischem Recht unterstellen und einen Gerichtsstand in der Schweiz vorsehen. Zudem kann er den Vertragspartner zu einer persönlichen Leistungspflicht anhalten, um eine unkontrollierte Weitergabe von Aufträgen und Daten an Drittanbieter zu verhindern.

Datenübermittlung ins Ausland

Insbesondere im Bereich der Human Resources führt das Outsourcing regelmässig zu einem Transfer von Daten: die externe Bearbeitung von Bewerbungen, das Beschaffen von Personendaten durch einen Vertragspartner, das Durchführen von Assessments oder die Auslagerung der Lohnbuchhaltung haben stets einen Transfer von Personendaten zum Inhalt, der gemäss der schweizerischen Rechtsordnung nur unter qualifizierten Voraussetzungen zulässig ist.
Nach Art. 6 des Datenschutzgesetzes (DSG) dürfen Daten ins Ausland übermittelt werden, wenn entweder ein angemessener Datenschutz im Zielland gesetzlich vorgesehen ist oder, in Ermangelung dessen, der Datenschutz durch andere Garantien oder Regeln gewährleistet wird. Fehlen solche Garantien, dürfen Datenübermittlungen ins Ausland nur vorgenommen werden, wenn ein gesetzlicher Rechtfertigungsgrund vorliegt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) publiziert eine Liste jener Staaten, welche die entsprechenden Anforderungen der schweizerischen Gesetzgebung erfüllen. Die meisten EU-Staaten fallen in diese Kategorie.

Grundprinzipien der Datenbearbeitung

Ist der Datenschutz im Zielland gemäss der Liste des EDÖB gewahrt, ist die Datenbekanntgabe ins Ausland zulässig. Dennoch muss ein schweizerischer Arbeitgeber zusätzlich einen Datenbearbeitungsvertrag (Data Flow Agreement) mit dem ausländischen Vertragspartner abschliessen, gemäss dem der ausländische Vertragspartner die Daten nur so bearbeiten darf, wie es der schweizerische Arbeitgeber selbst tun dürfte. Das heisst, der Arbeitgeber muss auf vertraglicher Basis sicherstellen, dass der Vertragspartner die Daten rechtmässig und vertraulich behandelt und diese nur zweckgebunden und verhältnismässig verwendet. Der Datenbearbeitungsvertrag kann einen Bestandteil des Zusammenarbeitsvertrags mit dem ausländischen Vertragspartner bilden.

Die Grundprinzipien des schweizerischen Rechts bei der Datenbearbeitung und -übermittlung verlangen, dass diese nach Treu und Glauben zu erfolgen haben, verhältnismässig sein müssen, einem klar festgelegten Zweck dienen und dem Betroffenen offengelegt werden müssen. Die zu übermittelnden Daten müssen für die Erfüllung des vereinbarten Zwecks nötig und geeignet sein. Ausserdem muss der aus der Übermittlung entstehende Eingriff in die Persönlichkeitsrechte in einem vernünftigen Verhältnis zum angestrebten Zweck stehen (Grundsätze der Verhältnismässigkeit und Zweckmässigkeit).

Externes Bewerbungsmanagement und Assessments

Wird ein ausländischer Vertragspartner mit der Durchführung des Bewerbungsprozesses oder eines Assessments beauftragt, ist der Arbeitgeber verpflichtet, zu überprüfen, ob das Zielland gemäss der Liste des EDÖB ausreichenden Schutz bietet. Der Arbeitgeber hat den Kandidaten die Datenbearbeitung durch einen ausländischen Vertragspartner anzuzeigen – zum Beispiel mittels Hinweis im Stelleninserat.

Gemäss Zweckbindungsgebot dürfen die Daten eines Bewerbers ausschliesslich für die konkrete Stellenbewerbung und nicht für andere Zwecke verwendet werden. Es ist also ein ausreichender Arbeitsplatzbezug erforderlich. Nach Beendigung des Bewerbungsprozesses sind die Daten auf Wunsch des Bewerbers wieder zu löschen. Der schweizerische Arbeitgeber muss im Datenbearbeitungsvertrag sicherstellen, dass der Vertragspartner diese Grundsätze einhält.

Screening von Mitarbeitern oder 
Stellenbewerbern

Beschafft sich der Arbeitgeber über einen Vertragspartner Informationen über einen Mitarbeiter oder Stellenbewerber, handelt es sich ebenfalls um eine Bearbeitung von Personendaten. Beschafft werden dürfen nur Informationen, die im konkreten Fall arbeitsrelevant sind, die also die Eignung des Arbeitnehmers für die zu besetzende Stelle oder das Arbeitsverhältnis betreffen.

Rechtlich umstritten ist das Screening von Mitarbeitern oder Stellenbewerbern im Internet, namentlich in Social Media. Als zulässig erachtet wird die Abfrage des Bewerberprofils in beruflichen Netzwerken wie Linkedin und Xing. Als unzulässig eingestuft wird das Bewerber-Screening mittels Suchmaschinen wie Google, da die so gewonnenen Informationen möglicherweise ohne Zustimmung des Bewerbers online gestellt wurden, vom Bewerber kaum kontrolliert und zudem auch falsch sein können.

Erstellen der Lohnbuchhaltung und Verwaltung von Mitarbeiterdaten

Das Führen der Lohnbuchhaltung oder die Verwaltung von Mitarbeiterdaten durch einen Vertragspartner ist grundsätzlich zulässig und in der Praxis nicht selten anzutreffen. Will eine Firma die Lohnbuchhaltung über eine ausländische Firma abwickeln, dürfen allerdings nur diejenigen Daten ins Ausland übermittelt werden, die für die Lohnbuchhaltung unmittelbar von Relevanz sind. Zudem dürfen Daten nur unter Einhaltung der genannten allgemeinen Grundsätze der Datenbearbeitung übermittelt und bearbeitet werden. Das Gleiche gilt für die weitere Verwaltung von Mitarbeiterdaten.