Betriebsvereinbarungen können keine unzulässigen Datenverarbeitungen legitimieren

Erlassen Arbeitgeber und Betriebsrat in einer Betriebsvereinbarung „spezifischere Vorschriften“ hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext (Art. 88 Abs. 1 DS-GVO), so haben diese die allgemeinen Datenschutzgrundsätze einschließlich der Rechtmäßigkeit der Verarbeitung (Art. 5, Art. 6 und Art. 9 DS-GVO) zu beachten, so der Europäische Gerichtshof (EuGH). Zudem sei eine solche Betriebsvereinbarung durch die Gerichte vollständig überprüfbar, ein der gerichtlichen Kontrolle entzogener Beurteilungsspielraum sei hingegen abzulehnen (Urteil vom 19. Dezember 2024, Az. C‑65/23).

Der Fall

Die Arbeitgeberin hatte mit dem bei ihr gebildeten Betriebsrat zunächst eine Duldungs-Betriebsvereinbarung und später eine Betriebsvereinbarung über den Einsatz der Software „Workday“ abgeschlossen. Diese Betriebsvereinbarung sah u.a. vor, dass konkret benannte Beschäftigtendaten auf einen Server des Mutterkonzerns in den USA übertragen werden dürfen. Ein Arbeitnehmer erhob vor dem Arbeitsgericht Klage auf Zugang zu bestimmten Informationen, auf Löschung ihn betreffender Daten und auf Schadensersatz. Er machte u. a. geltend, dass die Arbeitgeberin ihn betreffende personenbezogene Daten auf den Server der Muttergesellschaft übertragen habe, von denen einige in der Duldungs-Betriebsvereinbarung nicht genannt seien. Da er vor dem Arbeitsgericht nicht vollständig obsiegt hatte, legte der Arbeitnehmer Revision zum Bundesarbeitsgericht (BAG) ein. Dieses legte dem EuGH im Rahmen eines Vorabentscheidungsersuchens drei Fragen zur Entscheidung vor.

Bindung der Betriebsparteien an die allgemeinen Vorgaben der DS-GVO

Der EuGH beantwortete die erste Vorlagefrage dahingehend, dass Art. 88 Abs. 1 und Abs. 2 DS-GVO dahin auszulegen seien, dass eine nach Art. 88 Abs. 1 DS-GVO erlassene nationale Rechtsvorschrift bewirken müsse, dass nicht nur die Anforderungen erfüllt werden müssen, die sich aus Art. 88 Abs. 2 DS-GVO ergeben, sondern auch diejenigen aus Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und Abs. 2 DS-GVO. Damit stellt das Gericht klar, dass auch die Betriebsparteien im Rahmen einer Betriebsvereinbarung das Kriterium der Erforderlichkeit (als Teil der Rechtmäßigkeit der Verarbeitung gemäß Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und Abs. 2 DS-GVO) zu beachten haben, aber auch die Grundsätze der Datenverarbeitung (Art. 5 DS-GVO). Auch in Betriebsvereinbarungen geregelte Verarbeitungen müssten demnach die Voraussetzungen der DS-GVO an die Rechtmäßigkeit der Verarbeitung erfüllen. Dies entspräche nicht nur dem Kontext, in dem Art. 88 DS-GVO steht, sowie dem Wortlaut der Norm, sondern auch dem Ziel der DS-GVO, ein hohes Schutzniveau für die Beschäftigten bei der Verarbeitung sie betreffender Daten sicherzustellen.

Umfassende gerichtliche Kontrolle von Betriebsvereinbarungen

Erlassen die Betriebsparteien in einer Betriebsvereinbarung „spezifischere Vorschriften“ hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext, so unterlägen diese Vorschriften vollständig der Überprüfung durch die nationalen (Arbeits-)Gerichte, so der EuGH zur zweiten Vorlagefrage. Diese müssten prüfen, ob die Regelungen in der Betriebsvereinbarung gegen Inhalt und Ziele der DS-GVO verstoßen. Ist dies der Fall, müssten diese Regelungen unangewendet bleiben. Mit der in Art. 88 Abs. 1 DS-GVO eröffneten Regelungsbefugnis der Betriebsparteien gehe demnach keine Beurteilungsbefugnis dahingehend einher, dass die Voraussetzungen der Erforderlichkeit weniger streng angewandt werden können oder gar auf diese verzichtet wird. Aus Gründen der Wirtschaftlichkeit oder Einfachheit dürften durch die Betriebsparteien keine Kompromisse geschlossen werden, die das Ziel der DS-GVO, ein hohes Schutzniveau für die Beschäftigten zu gewährleisten, in unzulässiger Weise beeinträchtigen.

Eine Antwort auf die dritte Vorlagefrage, in welchem Umfang eine gerichtliche Kontrolle ggf. beschränkt werden dürfe, war aufgrund der Antwort auf die zweite Vorlagefrage entbehrlich.

Praxishinweis

Die Entscheidung des EuGH kommt wenig überraschend und beerdigt endgültig die jedenfalls bis zum Inkrafttreten der DS-GVO vertretene Auffassung, mittels einer Betriebsvereinbarung ließen sich Datenverarbeitungen legitimieren, die unter Anwendung der rechtlichen Bestimmungen unzulässig – weil nicht „erforderlich“ – sind. Nun ist klar: Auch die Betriebsparteien stehen nicht über dem Gesetz und müssen die Anforderungen der DS-GVO an die Rechtmäßigkeit von Datenverarbeitungen beachten. Auf materiell-rechtlicher Ebene bleibt die Entscheidung zwar ohne große Auswirkungen, waren die Betriebsparteien in der Praxis ohnehin kaum in der Lage, in einer Betriebsvereinbarung die strengen Anforderungen des Art. 88 Abs. 2 DS-GVO zu erfüllen. Gleichwohl stützen noch viele Unternehmen einzelne Verarbeitungen von Beschäftigtendaten auf den „Erlaubnistatbestand Betriebsvereinbarung“. Diese Unternehmen sollten prüfen, ob andere Erlaubnistatbestände herangezogen werden können, insbesondere um drohende Bußgelder und Schadensersatzansprüche von Arbeitnehmern zu vermeiden. Zudem ist diesen Unternehmen zu raten, ihre datenschutzrechtliche Dokumentation entsprechend anzupassen. Schließlich ist die Entscheidung des EuGH durch sämtliche Unternehmen bei der Verhandlung von Betriebsvereinbarungen zu technischen Einrichtungen (§ 87 Abs. 1 Nr. 6 BetrVG) zu berücksichtigen.