Die Betriebsvereinbarung als Basis für Datenverarbeitungen
Eine Betriebs- bzw. Dienstvereinbarung kann Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten sein. Das gilt beim Einsatz einer Software zur Personalverwaltung ebenso wie bei Überwachungsmaßnahmen, z.B. einer Videoüberwachung.
Betriebs- und Dienstvereinbarungen ermöglichen Regelungen, die auf die spezifischen Bedürfnisse im konkreten Beschäftigungs- und Sachbereich abgestimmt sind.
Was sagt die DSGVO?
Die Datenschutz-Grundverordnung (DSGVO) gestattet Kollektivvereinbarungen als spezifische Regelungen für die Datenverarbeitung im Beschäftigungskontext (Art. 88 Abs. 1 DSGVO, Erwägungsgrund 155 DSGVO). Der bundesdeutsche Gesetzgeber hat von dieser Möglichkeit Gebrauch gemacht und Betriebs- sowie Dienstvereinbarungen als spezielle Rechtsgrundlagen in § 26 Abs. 4 Bundesdatenschutzgesetz (BDSG) verankert. Auch die Landesdatenschutzgesetze enthalten entsprechende Regelungen für Dienstvereinbarungen im öffentlichen Bereich der Länder.
Die Betriebs- bzw. Dienstparteien müssen bei ihren Regelungen die Vorgaben von Art. 88 Abs. 2 DSGVO beachten. Dies hebt § 26 Abs. 4 Satz 2 BDSG nochmals hervor. Nach Art. 88 Abs. 2 DSGVO müssen die Regelungen angemessene Maßnahmen umfassen, mit denen die berechtigten Interessen und Grundrechte der betroffenen Beschäftigten gewahrt werden. Das gilt insbesondere in Bezug auf
- die Transparenz der Verarbeitung,
- die Datenübermittlung innerhalb einer Unternehmensgruppe und
- die Überwachung am Arbeitsplatz.
Datenschutzrechtlicher Prüfungsmaßstab ist unklar
In der Praxis stehen die Betriebs- bzw. Dienstparteien vor der Frage nach dem datenschutzrechtlichen Prüfungsmaßstab, wenn die Verarbeitung auf der Grundlage einer Betriebs-/Dienstvereinbarung erfolgen soll.
Parteien einer Kollektivvereinbarung nehmen für sich bislang einen mehr oder weniger weiten Ermessenspielraum in Anspruch, wenn sie die Erforderlichkeit einer Datenverarbeitung beurteilen.
Das Bundesarbeitsgericht hat in seiner bisherigen Rechtsprechung insofern grundsätzlich keine Bedenken geäußert. Es räumte den Betriebsparteien sogar häufig einen recht weiten Spielraum ein, wie z.B. die Entscheidungen zur Videoüberwachung von Beschäftigten zeigen.
Je nach „Risikoappetit“ halten es Betriebs-/Dienstparteien teilweise auch für zulässig, einhergehend mit besonderen Schutzvorkehrungen in die Rechte der Beschäftigten punktuell weiter einzugreifen, als es die Regelungen der DSGVO im Einzelnen vorsehen. Das folge aus Art. 88 DSGVO, der nach Abs. 1 Kollektivvereinbarungen ermögliche und den hierbei zu beachtenden rechtlichen Rahmen in Abs. 2 festlege.
Datenschutzfachleute halten eine solche Abweichung, die im Ergebnis zu einem niedrigeren Schutzniveau für die betroffenen Beschäftigten führt, aber überwiegend für unzulässig.
Die große Praxisrelevanz von Betriebs- und Dienstvereinbarungen im Datenschutzrecht folgt nicht zuletzt aus dem Mitbestimmungsrecht. Die Einführung und Anwendung technischer Einrichtungen sind mitbestimmungspflichtig, wenn sie dazu bestimmt sind, das Verhalten oder die Leistung von Beschäftigten zu überwachen. Hierbei kommt es allein auf die objektive Eignung und nicht auf die Absicht zur Überwachung an. Diese Mitbestimmungspflicht folgt regelmäßig aus § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG) und im Bereich des Personalvertretungsrechts aus § 80 Abs. 1 Nr. 21 Bundespersonalvertretungsgesetz (BPersVG) sowie den entsprechenden Landesvorschriften.
Warum der EuGH entscheiden musste
Diese Fragen des datenschutzrechtlichen Prüfungsmaßstabs für Betriebs-/Dienstvereinbarungen waren nunmehr Gegenstand einer Entscheidung des Europäischen Gerichthofs. Diese erging auf Vorlage des Bundesarbeitsgerichts (BAG).
Nationale Gerichte können die Verfahrensart einer Vorlageentscheidung nutzen, um Fragen zur Auslegung europarechtlicher Vorschriften durch den EuGH klären zu lassen. In dem zugrunde liegenden Sachverhalt hatte ein Beschäftigter gegen seinen Arbeitgeber geklagt, weil er eine Datenverarbeitung auf der Grundlage einer Betriebsvereinbarung für nicht erforderlich und infolgedessen für rechtswidrig hielt.
Das sind die Fragen an den EuGH
Der EuGH hatte in seinem Urteil vom 19.12.2024 (Rechtssache C-65/23) die Fragen zu beantworten,
- welche Anforderungen an Betriebsvereinbarungen zu stellen sind und
- inwiefern die nationalen Gerichte überprüfen können, ob eine Betriebsvereinbarung diese Anforderungen einhält.
Es ging zum einen darum, ob es bei Kollektivvereinbarungen ausreicht, Art. 88 Abs. 1 und 2 DSGVO sowie § 26 Abs. 4 BDSG zu beachten. Oder sind darüber hinaus auch die sonstigen Vorgaben der DSGVO einzuhalten?
Zum anderen stand der Ermessensspielraum der Parteien von Betriebs-/Dienstvereinbarungen bei der Beurteilung der Erforderlichkeit einer Verarbeitung im Mittelpunkt: Haben die Betriebs-/Dienstparteien einen solchen Spielraum überhaupt? Ist ein etwaiger Ermessensspielraum der gerichtlichen Kontrolle entzogen?
EuGH: DSGVO-Vorgaben sind zu beachten
Der EuGH hat in seinem Urteil klargestellt: Der Abschluss von Kollektivvereinbarungen entbindet die Vertragsparteien nicht davon, die allgemeinen Grundsätze der DSGVO zu beachten. Bei jeder Verarbeitung, also auch bei einer Verarbeitung auf der Grundlage von Betriebs-/Dienstvereinbarungen, sind die Vorgaben der DSGVO zu beachten. Das gilt insbesondere für die Grundsätze gemäß Art. 5 und Art. 6 Abs. 1 DSGVO, die Vorgaben von Art. 9 Abs. 1 und 2 DSGVO sowie die Vorschriften über die Rechte der betroffenen Personen (Art. 12 ff. DSGVO).
Unklar ist nunmehr, ob Kollektivvereinbarungen überhaupt eine eigenständige Rechtsgrundlage sein können. Das könnte man daraus ableiten, dass nach der EuGH-Entscheidung ausdrücklich auch Art. 6 Abs. DSGVO zu beachten ist.
Allerdings wäre die Regelung in Art. 88 DSGVO dann überflüssig, soweit Betriebs-/Dienstvereinbarungen nicht auf eine Konkretisierungsfunktion reduziert werden. Das Gericht hat sich zu dieser Folgefrage leider nicht geäußert.
Datenschutzniveau darf nicht sinken
Der EuGH hat weiter klargestellt, dass Betriebs-/Dienstvereinbarungen als „spezifischere Vorschriften“ im Sinne von Art. 88 DSGVO keine Umgehung der Verpflichtungen bezwecken oder bewirken dürfen, die sich aus anderen DSGVO-Bestimmungen ergeben. Andernfalls ließe sich das mit der DSGVO angestrebte hohe Schutzniveau für die Verarbeitung von Beschäftigtendaten nicht erreichen.
Ermessen bei Erforderlichkeit hat Grenzen
Schließlich macht der EuGH deutlich, dass die Parteien einer Betriebs-/Dienstvereinbarung zwar einen Ermessensspielraum haben, wenn sie die Erforderlichkeit einer Verarbeitung beurteilen. Die Betriebs-/Dienstparteien verfügen gewöhnlich über umfangreiche Kenntnisse in Bezug auf die spezifischen Bedürfnisse im Beschäftigungskontext und im betreffenden Tätigkeitsbereich.
Der Beurteilungsprozess darf aber nicht dazu führen, dass die Beteiligten aus Wirtschaftlichkeitserwägungen oder der Einfachheit halber Kompromisse schließen, die das Schutzniveau der DSGVO und konkret die Rechte der betroffenen Beschäftigten in unzulässiger Weise beeinträchtigen könnten.
Allerdings unterliegen das tatsächliche Vorliegen der Erforderlichkeit und die hierzu angestellten Erwägungen in vollem Umfang der gerichtlichen Überprüfung. Die nationalen Gerichte können und werden sich in Zukunft also zur Erforderlichkeit einer Verarbeitung im Einzelfall positionieren und entscheiden müssen.
Folgen für die Praxis
Die Entscheidung des EuGH vom 19.12.2024 (Rechtssache C 65/23) überrascht nicht wirklich. Sie finden das Urteil unter https://ogy.de/EuGH-BV. Es wird zu mehr Rechtssicherheit bei der Verhandlung und bei dem Abschluss von Betriebs-/Dienstvereinbarungen führen.
Kollektivvereinbarungen können auch in Zukunft als Grundlage für die Verarbeitung von Beschäftigtendaten dienen und nützlich sein. Sie ermöglichen einen spezifischen und präzisen Regelungsrahmen. Das setzt allerdings voraus, dass die Vereinbarungen den Anforderungen genügen, die sich aus der DSGVO ergeben. Hierzu zählen insbesondere
- die Einhaltung der Datenschutzgrundsätze gemäß Art. 5 DSGVO,
- die Voraussetzungen für eine rechtmäßige Verarbeitung gemäß Art. 6 Abs. 1 und Art. 9 Abs. 1 und 2 DSGVO sowie
- der Schutz der Rechte der betroffenen Personen.
Die Beteiligten können und dürfen diese Anforderungen mit Regelungen einer Betriebs-/Dienstvereinbarung nicht infrage oder zur Disposition stellen. Vielmehr müssen sie sich bei der Ausgestaltung der Vereinbarung in diesem Rahmen bewegen und die Vorschriften berücksichtigen.
Handlungsbedarf hängt vom bisherigen „Risikoappetit“ ab
Die Auswirkungen und der konkrete Handlungsbedarf in der Praxis hängen im Einzelfall insbesondere davon ab, mit wie viel „Risikoappetit“ Sie Kollektivvereinbarungen in Ihrem Unternehmen bzw. Ihrer Dienststelle bislang gestaltet haben. Der EuGH hat den restriktiven Ansatz bestätigt und einer Absenkung des Schutzniveaus eine Absage erteilt.
Die Beurteilung, ob eine Verarbeitung erforderlich ist, unterliegt der vollen gerichtlichen Kontrolle und Überprüfung. Sollte ein Gericht feststellen, dass einzelne Bestimmungen einer Betriebs-/Dienstvereinbarung im Widerspruch zu den Vorgaben der DSGVO stehen, sind die Klauseln unwirksam und nicht anzuwenden.
Das sollten Sie tun
Betriebs- und Dienstparteien sollten bestehende Betriebs-/Dienstvereinbarungen auf die Vorgaben des EuGH prüfen und ggf. anpassen.
Schärfen Sie den Fokus darauf, dass Betriebs-/Dienstvereinbarungen mit den allgemeinen Datenschutzgrundsätzen der Datenschutz-Grundverordnung vereinbar sind. Neben hinreichend klaren und präzisen Regelungen muss sichergestellt sein, dass die Vereinbarungen den Grundsätzen der DSGVO entsprechen.
Kollektivvereinbarungen müssen sich in diesem Rahmen bewegen. Sie dürfen auch punktuell keine Regelungen vorsehen, die das Datenschutzniveau unterschreiten, das sich aus den Vorschriften der DSGVO ergibt.
Betriebs- bzw. Dienstvereinbarungen machen das Vorliegen der entsprechenden Rechtmäßigkeitsvoraussetzungen nicht entbehrlich. Die in Art. 5 Abs. 1 DSGVO festgelegten Datenschutzgrundsätze – wie die Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung und Speicherbegrenzung – sind stets zu beachten.
Es sind grundsätzlich weitere Maßnahmen zu regeln, um die berechtigten Interessen und Rechte der betroffenen Personen zu wahren. Das umfasst die Informationspflichten gemäß Art. 12 bis 14 DSGVO und die Rechte der betroffenen Personen, also der Beschäftigten, gemäß Art. 15 ff. DSGVO. Diese Inhalte sind in einer Betriebsvereinbarung hinreichend abzubilden.
Die Verarbeitung besonderer Kategorien personenbezogener Beschäftigtendaten erfordert in jedem Fall einen erhöhten Begründungsaufwand, also beispielsweise bei Daten über die Gesundheit, biometrischen Daten oder Daten zu Religions- und Gewerkschaftszugehörigkeit.
Vor diesem Hintergrund und mit Blick auf die Rechenschaftspflicht gemäß Art. 5 Abs. 2 DSGVO sollten die Betriebs-/Dienstparteien und v.a. die Verantwortlichen die wesentlichen Aspekte und Gründe der Beurteilung der Erforderlichkeit dokumentieren. Andernfalls wird diese Beurteilung im Nachgang in etwaigen behördlichen oder gerichtlichen Verfahren regelmäßig schwer nachvollziehbar sein.