Betriebsvereinbarungen und Datenschutzgrundverordnung

Nach Art. 88 Abs. 1 DSGVO in Verbindung mit § 26 Abs. 4 des Bundesdatenschutzgesetzes (BDSG) ist es auch möglich, Regelungen zur Verarbeitung personenbezogener Daten in einer Betriebsvereinbarung zu treffen.  

Welche datenschutzrechtlichen Anforderungen solche Vereinbarungen beachten müssen und inwieweit dies gerichtlich überprüfbar ist, war jüngst Gegenstand einer Entscheidung des Europäischen Gerichtshofes (Urteil vom 19.12.2024 – in Sachen C-65/23 (MK/K GmbH)).

Ein Beschäftigter hatte seinen ehemaligen Arbeitgeber auf Schadenersatz verklagt, weil dieser auf Grundlage einer Betriebsvereinbarung personenbezogenen Daten an die Muttergesellschaft in den USA übermittelt hatte. Insbesondere hatte der Kläger auch angezweifelt, dass die Übermittlung einiger seiner personenbezogenen Daten in die USA überhaupt erforderlich im Sinne der DSGVO war.

Im Rahmen des Rechtsstreites legte nun das Bundesarbeitsgericht (BAG) dem Europäischen Gerichtshof die Frage vor, ob eine Betriebsvereinbarung auch die allgemeinen Anforderungen der Datenschutzgrundverordnung beachten muss. Insbesondere stellte das BAG zudem die Frage, inwieweit die Einhaltung der DSGVO überhaupt gerichtlich überprüfbar ist, oder ob die Parteien einer Betriebsvereinbarung einen nicht prüfbaren Spielraum haben.    

Auch wenn diese Fragestellung auf den ersten Blick erstaunen mag, so wurde doch durchaus die Auffassung vertreten, dass eine Betriebsvereinbarung sich nur an Art. 88 DSGVO messen lassen muss. Die Parteien einer Betriebsvereinbarung kennen schließlich das Unternehmen und die konkrete Verarbeitung am besten.

Auch das Landesarbeitsgericht Baden-Württemberg hatte als Berufungsinstanz im Jahr 2021 die Betriebsvereinbarung nur an Art. 88 DSGVO gemessen. Das Bundesarbeitsgericht hegte allerdings Zweifel und legte die Rechtsfrage dem EuGH vor.

Die Entscheidung des EuGH war eindeutig und eigentlich auch wenig überraschend: Eine Betriebsvereinbarung muss nicht nur die Anforderungen des Art. 88 DSGVO erfüllen, sondern sie darf auch das Schutzniveau der Datenschutzgrundverordnung nicht absenken oder unterlaufen.

So muss eine Betriebsvereinbarung auch die Prinzipien der Verarbeitung personenbezogener Daten aus Art. 5 DSGVO und die Anforderungen der Art.6 Abs. 1 DSGVO bzw. Art. 9 Abs. 1 und Abs. 2 DSGVO (bei besonderen Datenkategorien) an die Rechtmäßigkeit der Datenverarbeitung beachten.

Hierzu gehört insbesondere auch die Erforderlichkeit der Verarbeitung. Personenbezogenen Daten dürfen demnach nur verarbeitet werden, wenn es zur Erreichung des jeweiligen Zwecks auch erforderlich ist. So hat beispielsweise jüngst der EuGH entschieden, dass die Geschlechtsangabe unter Umständen zu Erfüllung eines Vertrages gerade nicht zwingend nötig ist (hier Kauf eines Bahntickets; EuGH Urt. v. 09.01.2025, Az. C‑394/23)).  

Nach Auffassung des EuGH sind Betriebsvereinbarungen zudem auch vollständig gerichtlich überprüfbar. Die Parteien einer Betriebsvereinbarung können zentrale Prinzipien der DSGVO wie die Erforderlichkeit der Verarbeitung also nicht ohne gerichtliche Kontrollmöglichkeit beliebig selbst bestimmen und festlegen.

Der EuGH hat klargestellt, dass das Thema Datenschutz keine Verhandlungsmasse zwischen Betriebsrat und Unternehmen darstellt, bei der die Rechte der Beschäftigten ohne deren Mitsprache durch den Betriebsrat „verkauft“ werden können. Für alle Beschäftigten stellt die Entscheidung des EuGH daher eine erfreuliche Klarstellung dar.

Für Betriebsrat und Unternehmen bedeutet die Entscheidung in erster Linie, dass Betriebsvereinbarungen und die darauf gestützten Verarbeitungstätigkeiten sorgfältig auch Datenschutzrechtlich geprüft werden müssen, um keine Folgen wie Schadenersatz oder Bußgelder zu riskieren. Nur das Bestehen einer Betriebsvereinbarung reicht nicht aus, um jede Verarbeitung personenbezogener Daten zu legitimieren. Im Streitfall können Gerichte und Behörden hier auch umfassend nachprüfen.

In Bezug auf die Erforderlichkeit der Datenverarbeitung sollte immer die Frage gestellt werden: Brauche ich die konkreten Informationen für den jeweiligen Zweck überhaupt oder geht es auch ohne?

Da eine Betriebsvereinbarung potenziell eine Vielzahl von Beschäftigten betrifft, ist das Risiko einer Eskalation vor Gericht oder einer Beschwerde bei der zuständigen Datenschutzbehörde nicht zu unterschätzen, was erhebliche finanzielle Folgen bedeuten kann.

Die Bedeutung des Themas Datenschutz auch in der arbeitsrechtlichen Praxis wird durch die Entscheidung des EuGH nochmals hervorgehoben.

Falls Sie Fragen zum geschilderten Thema und/oder zu anderen datenschutzrelevanten Themen haben, kontaktieren Sie uns einfach!

Zentrale Hutthurm: +49 (0) 8505 91927 – 0

Niederlassung München: +49 (0) 89 413 2943 – 0

Oder nutzen Sie unser Kontaktformular.