EuGH-Urteil zu Betriebsvereinbarungen

Der EuGH hat sich im Dezember mit der datenschutzrechtlichen Wirkung und gerichtlichen Überprüfbarkeit von Betriebsvereinbarungen in Deutschland befasst (Urteil vom 19. Dezember 2024, Az. C-65/23). Im Mittelpunkt steht die Frage, unter welchen Bedingungen nationale Rechtsvorschriften und Kollektivvereinbarungen spezifische Regelungen für die Verarbeitung von Beschäftigtendaten festlegen dürfen. Zudem gab der EuGH Hinweise zur gerichtlichen Überprüfbarkeit von Betriebsvereinbarungen. Die Entscheidung hat auch Bedeutung für internationale Unternehmensgruppen mit Gesellschaften in Deutschland. Wenn in diesen ein Betriebsrat besteht, müssen auch konzernweit bestehende Regelungen den Anforderungen der neuen EuGH-Entscheidung genügen.

Hintergrund

Art. 88 DSGVO erlaubt es den Mitgliedsstaaten, auf nationaler Ebene Regelungen zum Beschäftigtendatenschutz zu treffen. Der deutsche Gesetzgeber hat mit Einführung von § 26 BDSG von dieser Möglichkeit Gebrauch gemacht und es den Betriebsparteien in § 26 Abs. 4 BDSG ermöglicht, die Verarbeitung von personenbezogenen Daten auch auf eine Betriebsvereinbarung zu stützen.

Zwar hat der EuGH bereits erhebliche Zweifel an der Wirksamkeit der Generalklausel des § 26 Abs. 1 Satz 1 BDSG geäußert (Urteil vom 30.März 2023, Az C-34/21), diese vom EuGH geäußerten Bedenken greifen jedoch nicht für Datenverarbeitungen auf der Grundlage von Kollektivvereinbarungen nach § 26 Abs. 4 BDSG.

Anforderungen an Kollektivvereinbarungen 

Der EuGH stellt zur ersten Vorlagefrage zunächst fest, dass die Betriebsparteien nach Art. 88 Abs. 1 DSGVO berechtigt sind, „spezifischere Vorschriften“ zur Datenverarbeitung zu erlassen. Der EuGH hat jedoch klargestellt, dass nationale Rechtsvorschriften und Kollektivvereinbarungen nicht nur den besonderen Anforderungen des Art. 88 Abs. 2 DSGVO genügen müssen, sondern auch mit den allgemeinen Bestimmungen der DSGVO, insbesondere den Art. 5, 6 und 9 DSGVO, im Einklang stehen müssen. Andernfalls könnten nationale Rechtsvorschriften und Kollektivvereinbarungen die Schutzstandards der DSGVO untergraben. Art. 88 DSGVO gestattet kein Unterlaufen der Vorgaben der DSGVO.

In der Praxis bleibt damit nach unserer Einschätzung faktisch kein Raum mehr für Betriebsvereinbarungen als eigenständige Rechtsgrundlage für Datenverarbeitungen im Beschäftigungskontext. Durch den Verweis des EuGH darauf, dass die Anforderungen von Art. 6 und Art. 9 DSGVO stets erfüllt sein müssen, muss folglich jede Datenverarbeitung den Anforderungen mindestens einer der dort genannten Rechtsgrundlagen genügen. Entsprechend können Betriebsvereinbarungen diese in der DSGVO normierten Rechtsgrundlagen nur konkretisieren. Folglich können die Betriebsparteien – wie bisher auch – vereinbaren, welche Datenverarbeitungen bzw. welche Leistungs- und Verhaltenskontrollen im Beschäftigungsverhältnis durchgeführt werden, sie schaffen dadurch aber keine neuen unabhängigen Rechtsgrundlagen, sondern konkretisieren die Rechtsgrundlagen aus der DSGVO – zum Beispiel Art. 6 Abs. 1 Buchst. b) DSGVO (Datenverarbeitung zur Durchführung des Beschäftigungsverhältnisses) oder Art. 6 Abs. 1 Buchst. f) DSGVO (Interessenabwägung zwischen den berechtigten Interessen des Arbeitgebers und den Schutzwürdigen Interessen der Beschäftigten). 

Gerichtliche Überprüfbarkeit

In Bezug auf die zweite Vorlagefrage betonte der EuGH, dass Kollektivvereinbarungen gemäß Art. 88 DSGVO der vollen gerichtlichen Kontrolle unterliegen. Die Parteien einer Kollektivvereinbarung verfügen über einen gleichwertigen Ermessensspielraum, der demjenigen der Mitgliedstaaten beim Erlass nationaler Rechtsvorschriften entspricht.

Für die Praxis bedeutet dies, dass sich arbeitsrechtliche Betriebsvereinbarungen stets an allen relevanten Vorgaben der DSGVO messen lassen müssen und als alleinige Rechtsgrundlagen nicht ausreichen. Arbeitgeber müssen zudem sicherstellen, dass Betriebsvereinbarungen das Schutzniveau der DSGVO nicht unterschreiten. Eine nach den Vorgaben der DSGVO unzulässige Datenverarbeitung kann durch eine wirksam geschlossene Betriebsvereinbarung nicht rechtmäßig werden.

Ausblick Beweisverwertungsverbot

Das Urteil des EuGH macht keine Aussage darüber, ob Beschäftigtendaten die auf der Grundlage einer unwirksamen Betriebsvereinbarung verarbeitet wurden, einem Beweisverwertungsverbot in einem Rechtsstreit unterliegen. Hierüber wird der EuGH durch einen Vorlagebeschluss des LAG Niedersachsen (Beschl. v. 8.5.2024 – 8 Sa 688/23) noch entscheiden müssen.

Praxishinweise

1. Rechtsgrundlage prüfen: Auch wenn Kollektivvereinbarungen nach § 26 Abs. 4 BDSG und Art. 88 DSGVO formal als Grundlage für die Verarbeitung von Beschäftigtendaten herangezogen werden können, sollten Betriebsparteien sich stets (zusätzlich) auf eine der allgemeinen Rechtsgrundlagen der Art. 6 und 9 DSGVO stützen.
2. DSGVO-Vorgaben einhalten: Arbeitgeber müssen als datenschutzrechtlich Verantwortliche sicherstellen, dass jede Verarbeitung von Beschäftigtendaten den allgemeinen Vorgaben der DSGVO entspricht. Dies betrifft insbesondere die Grundsätze aus Art. 5 DSGVO (z.B. Rechtmäßigkeit, Transparenz, Zweckbindung und Erforderlichkeit) sowie die speziellen Anforderungen aus Art. 6 und 9 DSGVO.
3. Gerichtliche Überprüfbarkeit berücksichtigen: Kollektivvereinbarungen unterliegen, ebenso wie nationale Rechtsvorschriften, der vollen gerichtlichen Kontrolle. Betriebsräte laufen daher nicht Gefahr, durch eine Betriebsvereinbarung die Rechte der Beschäftigten zu unterlaufen. Arbeitgeber als datenschutzrechtlich Verantwortliche müssen auch bei abgeschlossenen Betriebsvereinbarungen die Entscheidungspraxis zu Datenschutzthemen im Blick behalten und sollten das Datenschutzteam stets in die Verhandlung von Betriebsvereinbarungen einbeziehen.
4. Überprüfung von bestehenden Betriebsvereinbarungen: Die Betriebsparteiensollten bestehende Betriebsvereinbarungen dahingehend prüfen, ob die Anforderungen des EuGH-Urteils eingehalten werden und gegebenenfalls Anpassungen vornehmen.