Datenschutz bei Entleiher und Verleiher: Wer haftet wofür?

Verleiher und Entleiher sind bei der Arbeitnehmerüberlassung in den meisten Fällen gemeinsam verantwortlich im Sinne von Art. 26 DSGVO, nicht Auftragsverarbeiter und Verantwortlicher nach Art. 28. Beide Seiten entscheiden über Zweck und Mittel der Datenverarbeitung, also braucht es eine schriftliche Vereinbarung, die Zuständigkeiten, Informationspflichten und Haftung klar verteilt. Ohne diese Vereinbarung und ohne dokumentierte technische Maßnahmen wird jede Prüfung durch die Bundesagentur für Arbeit unangenehm.

Kurz gesagt:

Bei der Arbeitnehmerüberlassung gelten Verleiher und Entleiher in der Regel als gemeinsam Verantwortliche nach Art. 26 DSGVO, nicht als Auftragsverarbeiter und Verantwortlicher.

Es braucht eine schriftliche Vereinbarung, die Verantwortlichkeiten, Informationspflichten und Haftung klar regelt, um Prüfungen durch die Bundesagentur für Arbeit zu bestehen.

Für datenschutzrechtlich relevante Daten gilt: Name, Einsatzbereich und Qualifikation sind notwendig, während Ausweiskopien und Sozialversicherungsnummern grundsätzlich unzulässig übertragen werden dürfen.

Eine Art.-26-Vereinbarung ist essenziell, um im Falle einer Datenanfrage oder Prüfung die Verantwortlichkeiten nachweisen zu können.

Technische und organisatorische Maßnahmen wie Zugriffskontrolle, Verschlüsselung und Protokollierung sind in der Praxis entscheidend, um Prüfungsrisiken zu minimieren.

Nanzka & Bödeker

Datenschutz in der Zeitarbeit rechtssicher gestalten

Nanzka & Bödeker berät Unternehmen zu AÜG, Vertragsgestaltung und rechtlicher Absicherung bei Prüfungen durch die Bundesagentur für Arbeit.

Beratung anfragen

Rechtliche Einordnung: Verleiher, Entleiher, Art. 26 vs. Art. 28

Fangen wir mit der Grundverwirrung an, die ich in fast jedem Mandat erlebe: Viele Personalabteilungen greifen reflexhaft zu einem Auftragsverarbeitungsvertrag (AVV), weil der irgendwo als Vorlage rumliegt. Das ist meistens falsch.

Nach Art. 4 Nr. 7 DSGVO und § 26 BDSG sind Leiharbeitnehmer für den Entleiher Beschäftigte im datenschutzrechtlichen Sinn, obwohl kein Arbeitsvertrag zwischen beiden besteht. Der Entleiher entscheidet selbst, wie er die Daten verwendet: Einsatzplanung, Arbeitszeiterfassung, Zugangskontrolle, manchmal Leistungsbewertung. Er ist damit kein bloßes Werkzeug des Verleihers, sondern eigener Verantwortlicher. Genau das macht aus der Konstellation in der Praxis oft eine gemeinsame Verantwortlichkeit.

Wann liegt Joint Controllership konkret vor? Drei Kriterien haben sich in der Beratung als brauchbar erwiesen:

Beide Seiten legen eigenständig fest, wofür die Daten genutzt werden (nicht nur der Verleiher weist an).
Der Entleiher verarbeitet die Daten in eigenen Systemen weiter, etwa Zeiterfassung oder Zugangskontrolle.
Es gibt keine reine Weisungsgebundenheit des Entleihers gegenüber dem Verleiher.

Wer hier fälschlich einen AVV unterschreibt, verschiebt die Verantwortung formal auf den Verleiher, während der Entleiher faktisch weiter selbst entscheidet. Das hält keiner Prüfung stand und schafft im Zweifel sogar zusätzliche Haftung, weil die vertragliche Regelung an der Realität vorbeigeht. Ergänzend gilt § 1 AÜG: Die überlassene Person muss vor Beginn der Überlassung konkretisiert werden, samt Bezeichnung als Arbeitnehmerüberlassung. Das ist keine Formalie, sondern Grundlage für die gesamte Datenweitergabe.

Welche Daten dürfen übertragen werden?

Datenminimierung ist hier kein abstraktes Prinzip aus Art. 5 DSGVO, sondern eine sehr konkrete Übung: Was braucht der Entleiher wirklich, um die Person einzusetzen und sicher zu beschäftigen?

Name, Qualifikation, Einsatzbereich. Das reicht in aller Regel für Personaleinsatzplanung und Zugangsberechtigung.
Geburtsdatum nur bei konkretem Bedarf. Etwa wenn Namensdopplungen im System zur Verwechslung führen könnten, sonst nicht.
Keine Ausweiskopien. Diese werden in der Praxis viel zu oft weitergegeben, obwohl es dafür fast nie eine Rechtsgrundlage gibt.
Keine Sozialversicherungsnummer. Die braucht der Entleiher schlicht nicht, das ist Sache des Verleihers als Arbeitgeber.
Gesundheitsdaten nur mit expliziter Rechtfertigung. Eine Information über Arbeitsunfähigkeit fällt unter besondere Kategorien nach Art. 9 DSGVO und braucht eine eigene Begründung, keine Diagnose, nur den Umstand der Ausfallzeit.

Rechtsgrundlage für das, was tatsächlich nötig ist, liefern Art. 6 DSGVO in Verbindung mit § 12 AÜG, der die Pflichtangaben im Überlassungsvertrag regelt. Wichtig für jede Prüfung: Dokumentieren Sie, warum genau diese Datenkategorie erforderlich war. Nicht als Rechtfertigung im Nachhinein, sondern als festen Bestandteil des Onboarding-Prozesses. Wer Kandidatenprofile vor der endgültigen Zusage weitergibt, sollte diese ohnehin pseudonymisieren und erst bei konkretem Interesse des Entleihers die volle Identität offenlegen.

Vertragliche Regelungen zwischen Verleiher und Entleiher

Eine Art.-26-Vereinbarung ist kein Nice-to-have, sondern die zentrale Nachweisurkunde, wenn ein Betroffener Auskunft verlangt oder ein Prüfer nachfragt. Was gehört rein?

Aufteilung der Verantwortlichkeiten, konkret nach Verarbeitungsschritt (Einstellung, Einsatz, Abrechnung, Beendigung).
Zuständigkeit für Betroffenenanfragen: Wer beantwortet ein Auskunftsersuchen nach Art. 15, wer leitet weiter, in welcher Frist?
Informationspflichten nach Art. 13/14, mit klarer Regelung, wer wann informiert. Üblich ist: Der Verleiher informiert primär bei Vertragsschluss, der Entleiher informiert innerhalb eines Monats nach Datenerhalt über seine eigene Verarbeitung.
Interne Haftungsverteilung, für den Fall, dass eine Aufsichtsbehörde ein Bußgeld verhängt und die Frage aufkommt, wer intern zahlt.
Löschfristen und technische Mindeststandards, abgestimmt zwischen beiden Seiten, nicht nur einseitig vom Verleiher vorgegeben.
VVT-Pflicht für beide Parteien, unabhängig davon, wer die Daten ursprünglich erhoben hat.

Profi-Tipp: Formulieren Sie in der Vereinbarung einen festen Ansprechpartner mit Namen und Kontaktdaten auf beiden Seiten, nicht nur eine Abteilung. Bei einer Betroffenenanfrage zählt jeder Tag, und “die Personalabteilung” antwortet niemandem innerhalb von 72 Stunden.

Aufsichtsbehörden bemängeln in der Praxis häufig genau diese Lücke: fälschlich als AVV deklarierte Vereinbarungen, wo in Wahrheit gemeinsame Verantwortlichkeit vorliegt. Wer das korrigiert, ist schon einen großen Schritt weiter als die meisten Wettbewerber.

TOMs, VVT und DSFA in der Praxis

Dokumentation entscheidet, ob eine Prüfung zwanzig Minuten oder zwei Wochen dauert. Aufsichtsbehörden weisen regelmäßig darauf hin, dass VVT und technische Maßnahmen der operativen Zusammenarbeit hinterherhinken und genau das die größten Prüfungsrisiken erzeugt.

Typische TOMs im Verleihkontext:

Rollenbasierte Zugriffsrechte auf Personalstammdaten, kein pauschaler Vollzugriff für alle im HR-Team.
Verschlüsselung bei der Übermittlung von Bewerber- und Einsatzdaten zwischen Verleiher und Entleiher.
Protokollierung, wer wann auf welche Datensätze zugegriffen hat.

Das Verzeichnis von Verarbeitungstätigkeiten braucht mindestens: Zweck der Verarbeitung, betroffene Kategorien (Leiharbeitnehmer, Bewerber), Empfänger (Entleiher, gegebenenfalls Vendor-Management-System), Löschfristen und die eingesetzten TOMs im Überblick. Eine Datenschutzfolgenabschätzung wird relevant, sobald umfangreiche Beschäftigtendaten systematisch verarbeitet werden, etwa bei elektronischer Zeiterfassung oder biometrischer Zugangskontrolle im Einsatzbetrieb. Für die Prüfungsvorbereitung lohnt sich ein strukturierter Datenschutz-Check, der genau diese Nachweise vorab zusammenstellt, statt sie erst unter Zeitdruck zu suchen.

Sonderkonstellationen: Master-Vendor, VMS und Onsite-Management

Master-Vendor-Modelle drehen die Logik manchmal um. Steuert ein Master Vendor mehrere Unterlieferanten für einen Kunden und verarbeitet dabei Daten strikt nach dessen Weisung, kann er als Auftragsverarbeiter für den Kunden auftreten, nicht als gemeinsam Verantwortlicher. Das ist die Ausnahme, keine Faustregel, und muss im Einzelfall geprüft werden.

Vorsicht bei Kettenüberlassung: Das AÜG untersagt bestimmte Weiterverleihkonstruktionen, und datenschutzrechtlich verwischt eine solche Kette schnell, wer eigentlich für welche Verarbeitung verantwortlich ist. In Vendor-Management-Systemen empfiehlt sich eine technische Trennung der Datenflüsse pro Auftraggeber, mit eigenen Zugriffskonzepten. Klare Rollenverteilung, lückenlose Protokollierung, strikte Zweckbindung. Wer das ignoriert, verliert im Streitfall jede Übersicht darüber, wer wann wofür verantwortlich war.

Prüfung durch Behörden: So bereiten Sie sich vor

Bei einer Prüfung durch die Bundesagentur für Arbeit werden typischerweise verlangt: die ANÜ-Erlaubnis, sämtliche Überlassungsverträge, das VVT und Nachweise zu den TOMs. Häufigster Mangel? Die fehlende Art.-26-Vereinbarung, dicht gefolgt von einem unvollständigen VVT und Unklarheit darüber, welche Daten überhaupt an wen geflossen sind.

Bei Ankündigung einer Prüfung zählt Tempo. Unterlagen zusammenstellen, Lücken identifizieren, nicht improvisieren. Wenn die Dokumentation fehlt oder unklar ist, wann Sie rechtliche Unterstützung holen sollten? Am besten sofort, nicht erst beim ersten kritischen Rückfragebogen der Behörde.

Perspektive aus der Kanzleipraxis

Der häufigste Fehler bleibt der falsch eingesetzte AVV, wo eigentlich Art. 26 gilt. Zweithäufigster: ungeprüft weitergegebene Ausweiskopien, oft aus reiner Bequemlichkeit beim Onboarding. Meine Priorität für jede Personalabteilung: erst die Vereinbarung mit dem Entleiher klären, dann die Datenfelder reduzieren, dann dokumentieren. In dieser Reihenfolge, nicht umgekehrt.

— Ole Bödeker

Rechtliche Unterstützung für Ihren Verleihbetrieb

Verträge, die datenschutzrechtlich nicht sauber zwischen Verleiher und Entleiher unterscheiden, sind der Klassiker unter den Prüfungsrisiken, mit denen wir bei Nanzka & Bödeker zu tun haben. Der Fokus liegt seit vielen Jahren ausschließlich im Zeitarbeits- und AÜG-Umfeld mit Erfahrung zu typischen Prüfungsfragen der Bundesagentur für Arbeit.

Konkret übernehmen wir die Prüfung und Erstellung Ihrer Art.-26-Vereinbarung, unterstützen bei der Vertragsgestaltung zwischen Verleiher und Entleiher und begleiten Sie bei Prüfungen durch die Bundesagentur für Arbeit. Auch die laufende Beratung zu datenschutzrechtlichen Anforderungen in der Arbeitnehmerüberlassung gehört zu unserem Angebot. Werfen Sie einen Blick auf unsere Leistungsübersicht und lassen Sie uns Ihre bestehenden Vereinbarungen prüfen, bevor eine Behörde es tut.

Weiterführende Rechtsquellen

Für den Gesetzestext selbst lohnt der Blick ins Arbeitnehmerüberlassungsgesetz. Zur Joint-Controllership-Frage liefert DataAgenda einen fundierten Fachbeitrag, ergänzend dazu die praxisnahe Einordnung von Datenschutzberater.NRW zu Informationspflichten und Datenminimierung.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

Quellen

FAQ

Sind Verleiher und Entleiher gemeinsam verantwortlich?

In der Regel ja, weil beide Seiten über Zweck und Mittel der Datenverarbeitung mitentscheiden. Das begründet gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, nicht ein klassisches Auftragsverarbeitungsverhältnis.

Braucht der Verleihvertrag eine eigene Datenschutzklausel?

Ja, eine separate Art.-26-Vereinbarung ist sinnvoller als eine kurze Klausel im Überlassungsvertrag, weil sie Verantwortlichkeiten, Informationspflichten und Haftung detailliert regeln muss. Nanzka & Bödeker erstellt solche Vereinbarungen im Rahmen der Vertragsgestaltung.

Welche Daten darf der Verleiher an den Entleiher weitergeben?

Nur die für den Einsatz erforderlichen Angaben wie Name und Qualifikation. Ausweiskopien und Sozialversicherungsnummern gehören grundsätzlich nicht zur üblichen Weitergabe.

Wer informiert den Leiharbeitnehmer über die Datenverarbeitung?

Der Verleiher informiert primär bei Vertragsschluss, der Entleiher innerhalb eines Monats nach Erhalt der Daten über seine eigene Verarbeitung, wie es einschlägige Praxisleitfäden empfehlen.

Was verlangt die Bundesagentur für Arbeit bei einer Prüfung?

Typischerweise die ANÜ-Erlaubnis, die Überlassungsverträge, das Verzeichnis von Verarbeitungstätigkeiten und Nachweise zu den technischen und organisatorischen Maßnahmen. Häufigster Mangel ist eine fehlende Art.-26-Vereinbarung.