Das Aus für die Betriebsvereinbarung als Grundlage der Datenverarbeitung? – Entscheidung des EuGH
Jana Reimers
Die Datenverarbeitung im Beschäftigtenkontext ist ein Dauerthema, das auch nach dem Scheitern des Beschäftigtendatengesetzes nicht an Brisanz eingebüßt hat (zu dem inzwischen gescheiterten Gesetzentwurf berichteten wir noch in der letzten Newsletter-Ausgabe). Das zeigt ein neues Urteil des EuGH aus Dezember 2024 (Az.: C‑65/23). Im Mittelpunkt der Entscheidung stehen zwei Fragen: Welche Bedingungen muss eine Betriebsvereinbarung erfüllen, um als datenschutzrechtliche Ermächtigungsgrundlage herangezogen werden zu können? Und: Inwiefern verbleibt den Betriebsparteien gerade in Bezug auf die Erforderlichkeit der Datenverarbeitung ein gerichtlich nur eingeschränkt überprüfbarer Einschätzungsspielraum?
Ausgangspunkt war eine Klage eines Betriebsratsvorsitzenden, der Zugang zu bestimmten Informationen, Löschung ihn betreffender Daten und Schadensersatz wegen rechtswidriger Verarbeitung seiner personenbezogenen Daten begehrte. Die Daten wurden von seinem Arbeitgeber im Wesentlichen auf Basis einer Betriebsvereinbarung verarbeitet. Das Bundesarbeitsgericht setzte den Prozess aus und legte dem EuGH hierzu Fragen vor.
Auch wenn das Datenschutzrecht europarechtlich geprägt ist und im Wesentlichen auf den Vorschriften der DSGVO beruht, ist es den Mitgliedstaaten aber gemäß Art. 88 DSGVO gestattet, auf nationaler Ebene „spezifischere“ Regelungen zum Beschäftigtendatenschutz zu treffen. Hiervon hat der deutsche Gesetzgeber Gebrauch gemacht und es den Betriebsparteien in § 26 Abs. 4 BDSG gestattet, die Verarbeitung personenbezogener Beschäftigtendaten auf eine Betriebsvereinbarung zu stützen. Diese Möglichkeit wird in Betrieben gerne verwendet. So regeln bspw. die Betriebsparteien bei der Einführung eines neuen IT-Systems oftmals die Ermächtigungsgrundlage für die Datenverarbeitung gleich mit. Hierbei werden dann hinsichtlich Anforderungen und Umfang der Verarbeitung gerne einmal beide Augen zugedrückt. Dieser Praxis hat der EuGH nunmehr einen Riegel vorgeschoben.
Er entschied, dass eine nationale Rechtsvorschrift, nach der Beschäftigtendaten auf Grundlage einer Betriebsvereinbarung verarbeitet werden dürfen, nicht von den grundlegenden Bestimmungen der DSGVO entbinde. Im Ergebnis muss daher eine solche Betriebsvereinbarung etwa die DSGVO-Grundsätze der Rechtmäßigkeit, Zweckbindung, Datenminimierung und Erforderlichkeit der Verarbeitung achten. Die Anforderungen der Betriebsvereinbarung dürfen also nicht hinter dem Schutzstandard der DSGVO zurückbleiben. Andernfalls kann die Betriebsvereinbarung nicht als Ermächtigungsgrundlage für die Verarbeitung dienen. Schlimmstenfalls ist die Datenverarbeitung dann unzulässig, was Schadensersatzansprüche und Bußgelder nach sich ziehen kann.
Des Weiteren stellte der EuGH klar, dass die Gerichte vollumfänglich prüfen müssen, ob die in der Betriebsvereinbarung vorgesehene Datenverarbeitung für das Beschäftigungsverhältnis erforderlich ist. Zwar würden die Betriebsparteien im Allgemeinen hierfür gute Beurteilungsgrundlagen haben. Ein solcher Beurteilungsprozess dürfe jedoch nicht dazu führen, dass die Betriebsparteien aus Gründen der Wirtschaftlichkeit oder Einfachheit Kompromisse schließen, die die Datenschutzziele der DSGVO unterlaufen. Die DSGVO hindert deutsche Gerichte – trotz des Spielraums der Betriebsparteien – daher nicht daran, die tatsächlichen Datenverarbeitungsvorgänge umfassend auf ihre Rechtmäßigkeit zu überprüfen.
Für die Praxis bedeutet dies: Die Verarbeitung personenbezogener Mitarbeiterdaten kann zwar weiterhin auf eine Betriebsvereinbarung gestützt werden. Allerdings muss diese mit sämtlichen Vorgaben der DSGVO (namentlich Art. 5, 6 Abs. 1 und Art. 9 Abs. 1 und 2 DSGVO) vereinbar sein. Eine Betriebsvereinbarung kann keine Datenverarbeitung erlauben, die nach der DSGVO unzulässig wäre. Damit kommt Betriebsvereinbarungen als eigenständiger Rechtsgrundlage für die Datenverarbeitung im Beschäftigtenverhältnis keine wesentliche Bedeutung mehr zu.
Das Urteil sollte für Arbeitgeber Anlass sein, kritisch zu prüfen, auf welcher Grundlage welche Beschäftigtendaten verarbeitet werden. Sollte die Verarbeitung regelmäßig pauschal auf Betriebsvereinbarungen gestützt werden, sollten die Betriebsvereinbarungen auf ihre Vereinbarkeit mit den Regelungen der DSGVO überprüft werden.
