EuGH, Urt. 19.12.2024 - C-65/23
Anforderungen an Betriebsvereinbarungen als Rechtsgrundlage der Beschäftigtendatenverarbeitung
Autor: RA, FAArbR, zert. Datenschutzbeauftragter (TÜV) Michael Wübbeke, LL.M. (Amsterdam), nordKollegen Rechtsanwälte & Notar, www.nordkollegen.de
Aus: IT-Rechtsberater, Heft 04/2025
Aus: IT-Rechtsberater, Heft 04/2025
1. Art. 88 DSGVO ist dahingehend auszulegen, dass eine nach Abs. 1 erlassene nationale Rechtsvorschrift über die Verarbeitung personenbezogener Daten für die Zwecke von Beschäftigungsverhältnissen bewirken muss, dass ihre Adressaten nicht nur die Anforderungen erfüllen müssen, die sich aus Abs. 2 ergeben, sondern auch diejenigen, die sich aus den Art. 5, 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 DSGVO ergeben.2. Art. 88 Abs. 1 DSGVO ist dahingehend auszulegen, dass im Fall einer in den Anwendungsbereich dieser Bestimmung fallenden Kollektivvereinbarung der Spielraum der Parteien dieser Kollektivvereinbarung bei der Bestimmung der „Erforderlichkeit“ einer Verarbeitung personenbezogener Daten i.S.v. Art. 5, 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 DSGVO das nationale Gericht nicht daran hindert, insoweit eine umfassende gerichtliche Kontrolle auszuüben.
AEUV Art. 267; DSGVO Art. 88, Art. 5, Art. 6 Abs. 1, Art. 9 Abs. 1 und 2; BDSG 2018 § 26 Abs. 1 und 4
Das ArbG Ulm wies die Klage des Betriebsratsvorsitzenden vollumfänglich ab. Die Berufung vor dem LAG Baden-Württemberg hatte keinen Erfolg. Im Rahmen der Revision legte das BAG dem EuGH im Weg eines Vorabentscheidungsverfahren gem. Art. 267 AEUV im Ergebnis zwei Fragen vor: 1) Ob nationale Vorschriften wie § 26 Abs. 4 BDSG, die die Verarbeitung personenbezogener Beschäftigtendaten auf der Grundlage von Kollektivvereinbarungen zulassen, nicht nur den Vorgaben des Art. 88 Abs. 2 DSGVO, sondern auch weiteren Bestimmungen der DSGVO, insb. Art. 5, 6 Abs. 1, 9 Abs. 1 und 2 DSGVO genügen müssen. 2) Ob nationale Gerichte die Erforderlichkeit von Datenverarbeitungen auf der Grundlage von Kollektivvereinbarung uneingeschränkt überprüfen können. Weitere Fragen zum immateriellen Schadensersatz zog das BAG nach Anfrage des EuGH mit Verweis auf zwischenzeitlich ergangene Entscheidungen wieder zurück.
Erste Frage:Eine nach Art. 88 Abs. 1 DSGVO erlassene nationale Vorschrift zur Verarbeitung personenbezogener Beschäftigtendaten müsse sowohl die Anforderungen aus Art. 88 Abs. 2 DSGVO als auch die Art. 5, 6 Abs. 1 und Art. 9 Abs. 1 und 2 DSGVO erfüllen.
Vollharmonisierungsgrundsatz:Bestimmungen des Unionsrechts seien grundsätzlich in der gesamten Europäischen Union autonom und einheitlich auszulegen. Art. 88 DSGVO eröffne den Mitgliedstaaten zwar durch Öffnungsklauseln die Möglichkeit zum Erlass spezifischer Vorschriften. Eine Auslegung von Art. 88 DSGVO dürfe jedoch nicht dazu führen, dass die Verpflichtungen aus anderen Bestimmungen der DSGVO umgangen werden.
Gesetzessystematik:Diese Auslegung folge aus der Systematik der Vorschriften. Die in Kap. II der DSGVO verorteten Art. 5, 6 und 9 seien von allgemeiner Tragweite. Aus dem Wortlaut von Art. 6 Abs. 2 und 3 DSGVO gehe hervor, dass die in Art. 6 Abs. 1 genannten Rechtmäßigkeitsvoraussetzungen auch im Rahmen der in Kap. IX geregelten besonderen Situationen verbindlich seien sollten.
Allgemeine Grundsätze:Letztlich seien die in Art. 5 DSGVO festgelegten Grundsätze nach der ständigen Rechtsprechung des EuGH bei jeder Datenverarbeitung zwingend einzuhalten.
Zweite Frage:Der Spielraum der Parteien einer Kollektivvereinbarung bei der Festlegung der „Erforderlichkeit“ einer Datenverarbeitung i.S.v. Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 DSGVO entbinde das nationale Gericht nicht davon würden, eine umfassende gerichtliche Kontrolle vorzunehmen. Obgleich die Parteien einer Kollektivvereinbarung aufgrund ihrer Fachkenntnis und Nähe zum Beschäftigungskontext in der Regel eher in der Lage seien, die Erforderlichkeit einer Datenverarbeitung zu beurteilen, dürfe dies gerade nicht das Ziel der DSGVO, die Gewährleistung eines hohen Datenschutzniveaus, beeinträchtigen. Die Gerichte seien verpflichtet, uneingeschränkt zu prüfen, ob die Verarbeitung personenbezogener Daten den Anforderungen und Grenzen der DSGVO entspreche.
AEUV Art. 267; DSGVO Art. 88, Art. 5, Art. 6 Abs. 1, Art. 9 Abs. 1 und 2; BDSG 2018 § 26 Abs. 1 und 4
Das Problem
Ein Unternehmen verarbeitet personenbezogene Beschäftigtendaten mittels einer SAP-Software auf Grundlage mehrerer Betriebsvereinbarungen. Im Jahr 2017 wurde konzernweit das cloudbasierte Personalinformationssystem „Workday“ eingeführt. Hierbei werden personenbezogene Daten auf einen Server der US-amerikanischen Muttergesellschaft übertragen. Im Juli 2017 vereinbarten das Unternehmen und sein Betriebsrat eine „Duldungs-Betriebsvereinbarung“ über die Einführung von Workday, die die Übertragung nur bestimmter personenbezogener Daten in die USA erlaubte und die Nutzung für die Personalverwaltung während eines Testzeitraums untersagte. Die Wirkung dieser Vereinbarung wurde bis zum Inkrafttreten einer endgültigen Betriebsvereinbarung im Jahr 2019 verlängert. Der Betriebsratsvorsitzende des Unternehmens klagt auf Auskunft, Löschung seiner Daten und Schadensersatz.Das ArbG Ulm wies die Klage des Betriebsratsvorsitzenden vollumfänglich ab. Die Berufung vor dem LAG Baden-Württemberg hatte keinen Erfolg. Im Rahmen der Revision legte das BAG dem EuGH im Weg eines Vorabentscheidungsverfahren gem. Art. 267 AEUV im Ergebnis zwei Fragen vor: 1) Ob nationale Vorschriften wie § 26 Abs. 4 BDSG, die die Verarbeitung personenbezogener Beschäftigtendaten auf der Grundlage von Kollektivvereinbarungen zulassen, nicht nur den Vorgaben des Art. 88 Abs. 2 DSGVO, sondern auch weiteren Bestimmungen der DSGVO, insb. Art. 5, 6 Abs. 1, 9 Abs. 1 und 2 DSGVO genügen müssen. 2) Ob nationale Gerichte die Erforderlichkeit von Datenverarbeitungen auf der Grundlage von Kollektivvereinbarung uneingeschränkt überprüfen können. Weitere Fragen zum immateriellen Schadensersatz zog das BAG nach Anfrage des EuGH mit Verweis auf zwischenzeitlich ergangene Entscheidungen wieder zurück.
Die Entscheidung des Gerichts
Der EuGH bejahte beide Fragen.Erste Frage:Eine nach Art. 88 Abs. 1 DSGVO erlassene nationale Vorschrift zur Verarbeitung personenbezogener Beschäftigtendaten müsse sowohl die Anforderungen aus Art. 88 Abs. 2 DSGVO als auch die Art. 5, 6 Abs. 1 und Art. 9 Abs. 1 und 2 DSGVO erfüllen.
Vollharmonisierungsgrundsatz:Bestimmungen des Unionsrechts seien grundsätzlich in der gesamten Europäischen Union autonom und einheitlich auszulegen. Art. 88 DSGVO eröffne den Mitgliedstaaten zwar durch Öffnungsklauseln die Möglichkeit zum Erlass spezifischer Vorschriften. Eine Auslegung von Art. 88 DSGVO dürfe jedoch nicht dazu führen, dass die Verpflichtungen aus anderen Bestimmungen der DSGVO umgangen werden.
Gesetzessystematik:Diese Auslegung folge aus der Systematik der Vorschriften. Die in Kap. II der DSGVO verorteten Art. 5, 6 und 9 seien von allgemeiner Tragweite. Aus dem Wortlaut von Art. 6 Abs. 2 und 3 DSGVO gehe hervor, dass die in Art. 6 Abs. 1 genannten Rechtmäßigkeitsvoraussetzungen auch im Rahmen der in Kap. IX geregelten besonderen Situationen verbindlich seien sollten.
Allgemeine Grundsätze:Letztlich seien die in Art. 5 DSGVO festgelegten Grundsätze nach der ständigen Rechtsprechung des EuGH bei jeder Datenverarbeitung zwingend einzuhalten.
Zweite Frage:Der Spielraum der Parteien einer Kollektivvereinbarung bei der Festlegung der „Erforderlichkeit“ einer Datenverarbeitung i.S.v. Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 DSGVO entbinde das nationale Gericht nicht davon würden, eine umfassende gerichtliche Kontrolle vorzunehmen. Obgleich die Parteien einer Kollektivvereinbarung aufgrund ihrer Fachkenntnis und Nähe zum Beschäftigungskontext in der Regel eher in der Lage seien, die Erforderlichkeit einer Datenverarbeitung zu beurteilen, dürfe dies gerade nicht das Ziel der DSGVO, die Gewährleistung eines hohen Datenschutzniveaus, beeinträchtigen. Die Gerichte seien verpflichtet, uneingeschränkt zu prüfen, ob die Verarbeitung personenbezogener Daten den Anforderungen und Grenzen der DSGVO entspreche.