Hintergrund:
Betriebsvereinbarungen galten aus Sicht vieler Arbeitgeber lange Zeit als eine praktische Rechtsgrundlage für die Verarbeitung personenbezogener Beschäftigtendaten, insbesondere wenn Unsicherheiten bestanden, ob diese bereits auf Grund einer gesetzlichen Erlaubnisnorm zulässig ist. Dieser Eindruck ist vor allem darauf zurückzuführen, dass der deutsche Gesetzgeber in § 26 Abs. 4 BDSG ausdrücklich festgelegt hat, dass solche Vereinbarungen als rechtliche Grundlage für die Verarbeitung von personenbezogenen Daten herangezogen werden können. Dabei wurde die Öffnungsklausel des Art. 88 Abs. 1 DSGVO genutzt, die es den Mitgliedstaaten erlaubt, im Bereich des Beschäftigtendatenschutzes spezifische Regelungen zu treffen.
Wichtig ist jedoch, dass § 26 Abs. 4 BDSG nicht losgelöst den Vorgaben von Art. 88 Abs. 2 DSGVO betrachtet werden kann. Dieser verlangt, dass durch geeignete und angemessene Maßnahmen sichergestellt wird, dass die Würde des Menschen, die berechtigten Interessen und die Grundrechte der betroffenen Beschäftigten umfassend geschützt werden. Solche Maßnahmen könnten beispielsweise Transparenzvorgaben, Einschränkungen der Datenverarbeitungszwecke oder strenge Kontrollmechanismen beinhalten, die gewährleisten, dass Datenverarbeitungen nicht über das notwendige Maß hinausgehen.
Da man bei genauerem Hinsehen feststellen kann, dass § 26 Abs. 4 BDSG keine Erforderlichkeitshürden für die Verarbeitung von personenbezogenen Daten aufstellt, wie etwa Art. 6 Abs. 1 DSGVO es tut, handelte es sich bei der Betriebsvereinbarung scheinbar um ein geeignetes Instrument, um den strengen Anforderungen der DSGVO auszuweichen. § 26 Abs. 4 BDSG sieht lediglich vor, dass die Vorgaben des Art. 88 Abs. 2 DSGVO zu beachten sind. Eine darüberhinausgehende Einhaltung der Vorschriften der DSGVO, wie etwa derjenigen aus Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und Abs. 2, kann man dem Wortlaut nicht entnehmen.
Die zentrale Frage, um die es in diesem Kontext geht: Ist das Außerachtlassen des Erforderlichkeitskriteriums aus der DSGVO in § 26 Abs. 4 BDSG durch das Instrument der Betriebsvereinbarung unionsrechtswidrig?
Dass § 26 BDSG unionsrechtlich auf der Kippe steht, war spätestens nach der Entscheidung des EuGH vom 30.03.2023 – C-34/21 (Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium / Minister des Hessischen Kultusministeriums) zu der Unionsrechtswidrigkeit von § 23 Abs. 1 HDSIG abzusehen. Das Urteil wurde damit begründet, dass § 23 Abs. 1 HDSIG lediglich die Bedingungen des Art. 6 Abs. 1 lit. b) DSGVO wiederhole und keinen eigenständigen Inhalt aufweist. Daraus folgte konsequenterweise, dass jedenfalls § 26 Abs. 1 S. 1 BDSG, der praktisch einen identischen Wortlaut wie § 23 Abs. 1 BDSG aufweist, ebenfalls unionsrechtswidrig ist. Analog zu der Beurteilung von § 23 HDSIG wurde auch für § 26 Abs. 4 BDSG die Prognose gestellt, dass dieser möglicherweise als unionsrechtswidrig eingestuft werden könnte.
In diesem Zusammenhang beschäftigte sich das Bundesarbeitsgericht mit einer Entscheidung des Landesarbeitsgericht Baden-Württemberg, in der eine Betriebsvereinbarung, die auf § 26 Abs. 4 BDSG fußte, im Kontext eines Schadensersatzanspruchs von zentraler Bedeutung war.
Die Betriebsvereinbarung gestattete eine Übertragung von Daten der Beschäftigten des Konzerns als Testdaten für eine noch zu erprobende Software. Es handelte sich um die folgenden Datenkategorien: die Personalnummer des Arbeitnehmers im Konzern, sein Nachname, sein Vorname, seine Telefonnummer, sein Eintrittsdatum in die betroffene Gesellschaft, sein Eintrittsdatum in den Konzern, sein Arbeitsort, die Firma der betroffenen Gesellschaft sowie seine geschäftliche Telefonnummer und seine geschäftliche E-Mail-Adresse.
Der Kläger erhob daraufhin Klage auf Zugang zu bestimmten Informationen, auf Löschung ihn betreffender Daten und auf Schadensersatz. Da er nicht vollständig obsiegte, legte der Kläger Revision beim BAG ein. Noch anhängig ist der auf die DSGVO gestützte Antrag auf Ersatz des immateriellen Schadens, der ihm durch eine rechtswidrige Verarbeitung seiner Daten mittels der Software entstanden sein soll.
Zur Rechtswidrigkeit dieser Verarbeitung macht der Kläger u.a. geltend, dass diese weder für das Arbeitsverhältnis noch für die Erprobung der Software erforderlich gewesen sei, da zu diesem Zweck fiktive Daten ausgereicht hätten.
Nach ausführlicher Prüfung stellte das BAG fest, dass die Betriebsvereinbarung gemäß § 26 Abs. 4 BDSG, im Gegensatz zu den europäischen Rechtsgrundlagen nach Art. 6 Abs. 1 Abs. 1 lit. b)–f) DSGVO, nicht das Kriterium der Erforderlichkeit erfüllt. Das LAG vertrat die Auffassung, dass eine Betriebsvereinbarung dennoch eine ansonsten unzulässige Datenverarbeitung rechtfertigen könne.
Daraufhin legte das BAG dem EuGH die Frage vor, ob eine nationale Vorschrift wie § 26 Abs. 4 BDSG, die auf Art. 88 Abs. 1 DSGVO beruht, dahingehend auszulegen ist, dass auch alle weiteren Vorgaben der DSGVO, einschließlich Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und Abs. 2 DSGVO, einzuhalten sind. Insbesondere die Einhaltung des Kriteriums der Erforderlichkeit stand im Raum.
Für den Fall, dass diese erste Frage bejaht wird, wollte das BAG außerdem wissen, ob die Parteien einer solchen Kollektivvereinbarung über einen Spielraum verfügen, der bei der Beurteilung der Erforderlichkeit der betreffenden Verarbeitung nur einer eingeschränkten gerichtlichen Kontrolle unterliegen sollte.
Entscheidung und Ausblick:
Der EuGH hat entschieden, dass Art. 88 Abs. 1 und 2 DSGVO dahin auszulegen ist, dass auch dann, wenn sich die Mitgliedstaaten auf diesen Artikel stützen, um in ihre jeweiligen innerstaatlichen Rechtsordnungen „spezifischere Vorschriften“ durch Rechtsvorschriften oder durch Kollektivvereinbarungen einzuführen, auch die Anforderungen erfüllt sein müssen, die sich aus den anderen Bestimmungen ergeben, auf die sich die vorliegende Frage speziell bezieht, nämlich Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 dieser Verordnung. Dies gilt somit u. a. für die Einhaltung des in diesen Bestimmungen vorgesehenen Kriteriums der Erforderlichkeit der Verarbeitung, nach dem das vorlegende Gericht insbesondere fragt.
Außerdem hat der EuGH entschieden, dass eine umfassende gerichtliche Prüfung von Kollektivvereinbarungen bezüglich der Einhaltung des Erforderlichkeitskriteriums zulässig ist. Damit wurde auch einer eingeschränkten gerichtlichen Kontrolle aufgrund besonderer Sachnähe der Betriebsparteien eine Absage erteilt. Eine umfassende gerichtliche Prüfung soll gewährleisten, dass die Voraussetzung der Erforderlichkeit streng angewendet wird und vor allem nicht darauf verzichtet wird. Der EuGH hat den Betriebsparteien zwar die umfassende Kenntnis bezüglich der spezifischen Bedürfnisse im Beschäftigungs- und Tätigkeitsbereich zugestanden. Gleichwohl hat es die Missbrauchsgefahr aus Gründen der Wirtschaftlichkeit oder Einfachheit der Kompromissfindung gesehen und den Schutz der Beschäftigten, respektive der Verarbeitung ihrer personenbezogenen Daten als schützenswerter eingeordnet.
Daraus folgt, dass Betriebsvereinbarungen für sich genommen keine originäre Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten darstellen und stets am Maßstab der Erforderlichkeit im Sinne der DSGVO zu messen sind.
Weitergedacht stellt sich die Frage, ob dies das endgültige „Aus“ für die Betriebsvereinbarung im Zusammenhang mit der Verarbeitung personenbezogener Beschäftigtendaten bedeutet? Wohl nicht.
Tatsächlich bleibt die Betriebsvereinbarung ein wichtiges Instrument, um innerbetriebliche Regelungen zu gestalten und dabei die Interessen von Arbeitgeber und Belegschaft in Einklang zu bringen. Zwar setzt die Verarbeitung personenbezogener Daten von Beschäftigten enge rechtliche Grenzen, insbesondere durch die Anforderungen der DSGVO und die jüngsten Urteile des EuGH. Betriebsvereinbarungen können nicht mehr als „immun“ gegen eine Erforderlichkeitsprüfung gelten. Doch dies bedeutet nicht, dass Betriebsvereinbarungen in diesem Bereich obsolet sind. Vielmehr kommt es darauf an, diese sorgfältig zu gestalten und rechtlich fundiert zu begründen.
Eine Betriebsvereinbarung bietet weiterhin die Möglichkeit, den Rahmen für die Datenverarbeitung im Unternehmen klar und transparent festzulegen. Sie schafft Verlässlichkeit für alle Beteiligten, indem sie festlegt, welche Daten zu welchen Zwecken und unter welchen Bedingungen verarbeitet werden dürfen. Dabei müssen jedoch die Kriterien der Erforderlichkeit und Verhältnismäßigkeit konsequent beachtet werden, um rechtliche Risiken zu minimieren.
In der Praxis bedeutet dies, dass Betriebsparteien stärker gefordert sind, ihre Vereinbarungen detailliert und unter Einhaltung der aktuellen Rechtsprechung zu erarbeiten. Eine gründliche Prüfung und gegebenenfalls Anpassung bestehender Vereinbarungen ist unumgänglich. Es ist ratsam, bei Bedarf auf externe Expertise zurückzugreifen, um sicherzustellen, dass die Regelungen den strengen Anforderungen des Datenschutzrechts entsprechen.
Betriebsparteien sind in der Praxis gut beraten, wenn sie den Grund für die Verarbeitung von personenbezogenen Beschäftigtendaten konkretisieren. Paradigmatisch listet Art. 6 Abs. 1 DSGVO verschiedene Möglichkeiten auf, die eine Verarbeitung von personenbezogenen Daten erforderlich machen können. Für den Konfliktfall hätten die Betriebsparteien einen größeren Argumentationsspielraum, wenn sie bereits in die Betriebsvereinbarung hinreichend deutlich machen, weswegen die Verarbeitung von personenbezogenen Beschäftigtendaten in diesem konkreten Fall erforderlich ist.
Dieses Vorgehen entbindet zwar nicht von der Verpflichtung, das Erforderlichkeitskriterium zu beachten. Es ermöglicht aber, dass im Falle einer gerichtlichen Kontrolle gewährleistet werden kann, dass die Voraussetzung der Erforderlichkeit zumindest berücksichtigt wurde. Dadurch wird eine solide Grundlage für die Argumentation geschaffen, die im Zweifelsfall zugunsten der Betriebsparteien wirken kann.
Zusammenfassend lässt sich sagen, dass die Betriebsvereinbarung keineswegs ausgedient hat, sondern vielmehr eine noch präzisere und rechtlich fundierte Ausgestaltung erfordert. Sie bleibt ein unverzichtbares Mittel, um betriebliche Prozesse im Einklang mit den gesetzlichen Vorgaben zu regeln und zugleich das Vertrauen der Beschäftigten zu stärken. Vor diesem Hintergrund sollten die Betriebsparteien die jüngste Entscheidung EuGH als Impuls nutzen, um bestehende Betriebsvereinbarungen eingehend zu überprüfen und für künftige Betriebsvereinbarungen gewappnet zu sein.