Der Europäische Gerichtshof (EuGH) hat festgestellt, dass Kollektivvereinbarungen (wie bspw. Betriebsvereinbarungen) nur dann eine rechtliche Grundlage für die Verarbeitung von Beschäftigtendaten darstellen können, wenn sie strenge Kriterien erfüllen. Wir stellen Ihnen die EuGH-Entscheidung vom 19. Dezember 2024 (Aktenzeichen C-65/23) im Folgenden genauer dar.

Warum ist das wichtig?

Das Urteil betrifft eine der großen Fragen im Beschäftigtendatenschutz der letzten Jahre: Nach Art. 88 DSGVO, § 26 Abs. 4 können personenbezogene Daten von Beschäftigten auch auf Grundlage von Kollektivvereinbarungen (z.B. Betriebsvereinbarungen) verarbeitet werden. Unklar war bisher jedoch, ob und ggf. welcher Spielraum den Betriebsparteien bei der Gestaltung der Betriebsvereinbarung (und damit der Verarbeitung personenbezogener Daten) zusteht. Kann relativ frei auf spezifische Besonderheiten des Unternehmens eingegangen werden oder ist lediglich eine Konkretisierung der DSGVO-Vorschriften möglich, sodas der Handlungsspielraum der Betriebsparteien bei Erstellung von Betriebsvereinbarungen nur sehr begrenzt wäre?

Was sagt der EuGH?

Betriebsvereinbarungen sollen keine Umgehung der Verpflichtungen des Verantwortlichen oder gar des Auftragsverarbeiters bezwecken oder bewirken können. Anderenfalls wäre das Ziel der DSGVO, ein hohes Schutzniveau für die Beschäftigten im Fall der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext sicherzustellen, beeinträchtigt. Daraus folgt für den EuGH:

• Ja, Betriebsvereinbarungen und Kollektivvereinbarungen können eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten darstellen.
• Es ist ein „Ja, aber“, denn: Der Spielraum ist sehr begrenzt, auch Betriebsvereinbarungen, so der EuGH, müssen die allgemeinen Anforderungen der Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1, 2 der DSGVO erfüllen. Das bedeutet u.a., dass immer auch eine allgemeine Rechtsgrundlage nach Art. 6 Abs. 1 S. 1 DSGVO gegeben sein muss.
• Insbesondere gilt dies auch für die Einhaltung des Kriteriums der Erforderlichkeit der Verarbeitung. Betriebsparteien haben einen eng umgrenzten Verhandlungsspielraum. Betriebsvereinbarungen dürfen gerade nicht dazu führen, dass die Voraussetzung der Erforderlichkeit weniger streng angewandt wird oder gar darauf verzichtet wird.
• Allerdings: Die Betriebsparteien kennen ihren Betrieb, die Mitarbeiterinnen und Mitarbeiter und deren Aufgaben sowie die spezifischen Herausforderungen, die sich im Unternehmen stellen. Sie verfügen also über eine grundsätzlich gute Expertise für die Beurteilung, ob eine Verarbeitung von Beschäftigtendaten in einem konkreten beruflichen Kontext „erforderlich“ im Sinne der DSGVO ist. Insoweit besteht allerdings auch eine umfassende gerichtliche Kontrolle, um die Einhaltung aller Voraussetzungen und Grenzen der DSGVO zu gewährleisten.

Was sollten Sie jetzt beachten?

Klar ist jetzt: Betriebsvereinbarungen sind für sich genommen keine eigenständige Rechtsgrundlage. Sie können stets nur zusammen mit einer der Rechtsgrundlagen des Art. 6 Abs. 1 S. 1 DSGVO die Verarbeitung von Beschäftigtendaten regeln. Daher sollte bei Neuverhandlungen und Überarbeitungen von (bestehenden) Betriebsvereinbarungen immer ausdrücklich aufgenommen werden, welche DSGVO-Rechtsgrundlage die Betriebsparteien für anwendbar halten. Aufgrund des Urteils des EuGH ist auch die Erforderlichkeit der Verarbeitung von Beschäftigtendaten kritisch zu hinterfragen. Die Erwägungen der Betriebsparteien, weshalb sie die Verarbeitung für erforderlich halten, sollten sich ebenfalls in der Betriebsvereinbarung wiederfinden.

Schließlich sollte auch die „Bürokratie“ rund um die Betriebsvereinbarung nicht vergessen werden. Sofern a) in den Datenschutzinformationen für Beschäftigte und b) im Verarbeitungsverzeichnis bisher allein die Betriebsvereinbarung als Rechtsgrundlage genannt ist, muss dies konsequenterweise um die zusätzliche allgemeine DSGVO-Rechtsgrundlage (z.B. Begründung, Durchführung oder Beendigung eines Arbeitsvertrages oder Wahrung berechtigter Interessen) ergänzt werden.