EuGH: Grenzen von Betriebsvereinbarungen als Rechtsgrundlage zur Datenverarbeitung
Eine Kollektivvereinbarung (Betriebsvereinbarung) oder gesetzliche Bestimmung im Sinne des Art. 88 DSGVO muss sich an den Bestimmungen der DSGVO messen lassen. Eine Aushöhlung des garantierten Datenschutzniveaus der DSGVO durch eine Betriebsvereinbarung ist damit nicht möglich.
Europäischer Gerichtshof, Urteil vom 19. Dezember 2024, C-65/23
Das ist passiert
Eine Arbeitgeberin hatte die cloudbasierte Software „Workday“ auf Grundlage einer „Duldungs-Betriebsvereinbarung“ probeweise eingeführt. Ein betroffener Arbeitnehmer hatte im Rahmen eines Arbeitsgerichtsprozesses unterschiedliche Schadenersatzansprüche gegenüber der Arbeitgeberin erhoben. Unter anderem seien seine Daten rechtswidrig verarbeitet worden. In diesem Zusammenhang vertrat er die Ansicht, dass eine Betriebsvereinbarung im vorliegenden Fall gar keine ausreichende bzw. gültige Rechtsgrundlage für eine Datenverarbeitung gewesen sein könne. Das Bundesarbeitsgericht legte daraufhin dem EuGH im Rahmen der Prüfung zwei Fragen vor:
- Welche nationalgesetzlichen und inhaltlichen Vorgaben für eine Regelung der Datenverarbeitung bestehen in einer Betriebsvereinbarung?
- Können Gerichte datenschutzrechtliche Inhalte einer Betriebsvereinbarung überprüfen, und wenn ja, in welchem Umfang?
Das entschied das Gericht
Der EuGH stärkte das Mindestschutzniveau der DSGVO. Nach Ansicht des Gerichts müssen die Beteiligten „spezifischere Vorschriften“ im Sinne des Art. 88 DSGVO, insbesondere auch die allgemeinen Bestimmungen wie z.B. Art. 5 (Datenschutzgrundsätze), 6 (Erforderlichkeit) und 9 DSGVO (sensible Daten), beachten bzw. das dortige Schutzniveau garantieren. So können Betriebsvereinbarungen zwar die jeweiligen gesetzlichen (Datenschutz-)Bestimmungen konkretisieren, nicht jedoch unterschreiten. Den Betriebsparteien stünde grundsätzlich ein bestimmter Ermessensspielraum zur Verfügung, ähnlich wie den Mitgliedsstaaten bei Erlass von nationalen Rechtsvorschriften, dieser könne jedoch vor Gericht überprüft werden.
Hintergrund und Bedeutung für die Praxis
Arbeitgeber und Betriebsrat sollten bei Verhandlungen zu IT-Betriebsvereinbarungen darauf achten, dass sie das Datenschutzniveau der DSGVO beachten. Eine nähere Spezifizierung des Datenschutzes ist in einer Betriebsvereinbarung weiterhin möglich, jedoch unter Beachtung des Mindestschutzniveaus der DSGVO. Eine nach der DSGVO unzulässige Datenverarbeitung kann damit auch nicht durch eine Betriebsvereinbarung legitimiert werden. Gleichzeitig genügt es auch nicht (mehr) die Pflichten des Arbeitgebers allgemein und oberflächlich in einer Betriebsvereinbarung darzulegen. Denn hier sind spezifischere (!) Regelungen erforderlich. Die beteiligten Parteien müssen sich daher ganz konkrete Gedanken machen, wie im jeweiligen Fall z.B. die Datenschutzgrundsätze eingehalten werden sollen. Ein bloßes Abschreiben des Gesetzestexts genügt nicht. (sts)
Mehr zum Thema: Strengere Vorgaben für Betriebsvereinbarungen!? | Betriebsrat
