Neues EuGH-Urteil zum Datenschutz: Betriebsvereinbarungen müssen umfassend DSGVO-konform sein

Im Beschäftigungskontext können Betriebsvereinbarungen als Rechtsgrundlage für die Verarbeitung von Mitarbeiterdaten herangezogen werden. Die Betriebsparteien dürfen eine Datenverarbeitung jedoch nicht beliebig legitimieren. Vielmehr müssen die Vorgaben der DSGVO als Mindeststandard eingehalten werden. Eine Datenverarbeitung, die nach den gesetzlichen Erlaubnistatbeständen unzulässig wäre, kann damit nicht auf eine Betriebsvereinbarung gestützt werden. Dies hat der EuGH in einer aktuellen Entscheidung klargestellt.

Nach Art. 88 Abs. 1 DSGVO können die Mitgliedstaaten der EU durch Rechtsvorschriften oder Kollektivvereinbarungen „spezifischere Vorschriften“ zur Verarbeitung personenbezogener Daten im Beschäftigungskontext schaffen. Diese Vorschriften müssen jedoch geeignete Maßnahmen zur Wahrung der Grundrechte der Beschäftigten (etwa des Persönlichkeitsrechts) umfassen (vgl. Art. 88 Abs. 2 DSGVO). Von dieser Öffnungsklausel hat der deutsche Gesetzgeber mit dem BDSG umfangreich Gebrauch gemacht und es den Betriebsparteien in § 26 Abs. 4 BDSG (ebenfalls) ermöglicht, die Verarbeitung von personenbezogenen Daten auf eine Betriebsvereinbarung zu stützen. Das LAG Baden-Württemberg sprach sich vor diesem Hintergrund dafür aus, dass eine Betriebsvereinbarung eine Datenverarbeitung auch dann rechtfertigen könne, wenn diese Verarbeitung auf Grundlage der gesetzlichen Erlaubnistatbestände unzulässig wäre (vgl. hierzu unseren Blog-Beitrag vom 26. Mai 2021). Das BAG, das diese Entscheidung aktuell in der Revisionsinstanz zu überprüfen hat, hegte Zweifel an der Einschätzung des LAG und wandte sich im Rahmen eines Vorabentscheidungsverfahrens an den zuständigen EuGH mit der Bitte um Klarstellung (BAG Urt. 22. September 2022 – 8 AZR 209/21 (A)).

Die Vorlagefragen des BAG

Das BAG wünschte vom EuGH im Wesentlichen zu erfahren,

• ob Betriebsvereinbarungen voraussetzten, dass die darin geregelte Datenverarbeitung umfassend mit den Vorschriften der DSGVO – und nicht nur mit Art. 88 Abs. 2 DSGVO – vereinbar sei und
• ob die Betriebsparteien über einen Spielraum bei der Gestaltung von Betriebsvereinbarungen verfügten (insbesondere bei der Frage der Erforderlichkeit einer Datenverarbeitung), der gerichtlich nur eingeschränkt überprüft werden könne.

Die Entscheidung des EuGH

Auf die Vorlagefragen entschied der EuGH,

• dass nationale Vorschriften, die zur Verarbeitung personenbezogener Daten im Beschäftigungskontext erlassen würden, alle Rechtmäßigkeitsvoraussetzungen und Grenzen der DSGVO, insbesondere Art. 5, 6 Abs. 1 und Art. 9 Abs. 1 und 2 DSGVO einhalten müssten und
• dass Betriebsvereinbarungen – ungeachtet eines Spielraums der Betriebsparteien bei deren Ausgestaltung – einer umfassenden gerichtlichen Kontrolle unterliegen.

In Bezug auf den ersten Gesichtspunkt hält der EuGH fest, dass die Betriebsparteien nach Art. 88 Abs. 1 DSGVO zwar berechtigt seien, „spezifischere Vorschriften“ zur Datenverarbeitung zu erlassen. Allerdings dürfe der darin enthaltene Datenschutz nicht hinter der DSGVO zurückbleiben. Aus diesem Grund könne eine Betriebsvereinbarung eine Datenverarbeitung nicht wirksam zulassen, wenn die Vorgaben der DSGVO (z.B. die Erforderlichkeit der Verarbeitung) nicht eingehalten würden.
Zum zweiten Aspekt führt der EuGH aus, dass die Betriebsparteien aufgrund ihrer Sachnähe zwar umfangreiche Kenntnisse in Bezug auf die eigentümlichen Bedürfnisse im Beschäftigungs- und Tätigkeitsbereich ihres Betriebes und damit einen Gestaltungsspielraum hinsichtlich der spezifischen Vorschriften hätten. Allerdings erfordere das Schutzziel der DSGVO, dass die Gerichte die Einschätzungen der Betriebsparteien vollumfänglich überprüfen können. Damit will der EuGH auch weiterhin ein hohes Schutzniveau bei der Verarbeitung personenbezogener Daten sicherstellen.

Was nun? – Folgen für die Praxis

Das Urteil des EuGH hat erheblichen Einfluss auf die Bedeutung von Betriebsvereinbarungen als eigenständiger Rechtsgrundlage für eine Datenverarbeitung. Die Verarbeitung personenbezogener Mitarbeiterdaten kann zwar weiterhin auf eine Betriebsvereinbarung gestützt werden. Allerdings muss diese mit sämtlichen Vorgaben der DSGVO (namentlich Art. 5, 6 Abs. 1 und Art. 9 Abs. 1 und 2 DSGVO) vereinbar sein. Eine Datenverarbeitung, die nach Maßgabe der DSGVO unzulässig wäre, kann somit in einer Betriebsvereinbarung nicht wirksam erlaubt werden. Damit wirken sich Betriebsvereinbarungen als eigenständige Rechtsgrundlage nur noch dann aus, wenn darin vom Schutzniveau der DSGVO „nach oben“ abgewichen wird. Aus Transparenzgesichtspunkten können Betriebsvereinbarungen gleichwohl für das „Feintuning“ der DSGVO sinnvoll sein, indem sie die Voraussetzungen für eine (ohnehin zulässige) Datenverarbeitung unter Berücksichtigung der betrieblichen Situation genauer beschreiben. Arbeitgeber, die eine Datenverarbeitung bislang allein auf eine Betriebsvereinbarung gestützt haben, sollten letztere auf ihre Vereinbarkeit mit der DSGVO überprüfen, um eine rechtssichere Grundlage für die Verarbeitung zu haben und sich nicht schadensersatz- oder bußgeldpflichtig zu machen.

Das Urteil des EuGH enthält keine Aussage darüber, ob Arbeitnehmerdaten, die auf der Grundlage einer unwirksamen Betriebsvereinbarung verarbeitet wurden, in einem Rechtsstreit einem Beweisverwertungsverbot unterliegen. Die bislang grundsätzlich verwertungsfreundliche Rechtsprechung des BAG wurde dem EuGH jedoch unlängst in anderem Zusammenhang zur Überprüfung vorgelegt. Über den entsprechenden Vorlagebeschluss des LAG Niedersachsen berichteten wir kürzlich in unserem Blog.