Arbeitnehmerdatenschutz und Betriebsvereinbarungen – Aktuelle Rechtsprechung des EuGH: Keine Freiräume mehr für und in Betriebsvereinbarungen

Der Europäische Gerichtshof (EuGH) befasst sich in einer Entscheidung vom 19.12.2024 mit der Frage, ob nationale Rechtsvorschriften oder Kollektivvereinbarungen (wie Betriebsvereinbarungen) nach Art. 88 DSGVO eine Datenverarbeitung rechtfertigen können, ohne dass die allgemeinen Anforderungen der DSGVO zusätzlich erfüllt werden müssen. Das Bundesarbeitsgericht hatte diese Frage aufgeworfen und dem EuGH zur Entscheidung vorgelegt.

Was hat der EuGH entschieden?

Der EuGH stellt in seiner Entscheidung klar, dass eine Betriebsvereinbarung die allgemeinen Grundsätze der DSGVO nicht außer Kraft setzen kann. Der Begriff der „spezifischeren Vorschrift“ in Art. 88 Abs. 1 DSGVO sei nicht so zu verstehen, dass dadurch andere Regelungen der Verordnung unanwendbar würden. Vielmehr seien solche spezifischeren Vorschriften stets im Rahmen und unter Beachtung der allgemeinen Grundprinzipien der DSGVO auszulegen. Insbesondere die Anforderungen der Rechtmäßigkeit, der Erforderlichkeit und des Schutzes besonderer Kategorien personenbezogener Daten müssten auch dann eingehalten werden, wenn die Datenverarbeitung auf einer kollektivrechtlichen Vereinbarung beruht. Dies ergebe sich sowohl aus der systematischen Stellung der Normen als auch aus dem Zweck der DSGVO, ein einheitlich hohes Schutzniveau personenbezogener Daten sicherzustellen.

Der EuGH lehnt es auch ab, Arbeitgebern und Betriebsräten einen datenschutzrechtlich relevanten Einschätzungsspielraum bei der Beurteilung der Erforderlichkeit einzuräumen, der nur eingeschränkt gerichtlich überprüfbar wäre. Auch wenn die Betriebsparteien über besondere Sachnähe verfügen, sei dies kein Grund, ihnen eine Beurteilungskompetenz zuzubilligen, die den Vorgaben des europäischen Rechts entzogen wäre.

Betriebsvereinbarungen, die in den Anwendungsbereich der DSGVO fallen, müssen danach dem europarechtlichen  Maßstab standhalten. Die gerichtliche Kontrolle darf sich nicht auf eine bloße Plausibilitätsprüfung beschränken, sondern muss sich konkret mit der Frage auseinandersetzen, ob die Datenverarbeitung im jeweiligen Einzelfall tatsächlich erforderlich im Sinne der DSGVO ist.

Der Umstand, dass eine Verarbeitung durch eine Betriebsvereinbarung gedeckt ist, entbindet das nationale Gericht nicht von der Pflicht, eine umfassende Prüfung an den Maßstäben der DSGVO vorzunehmen.

Welche Folgen hat die Entscheidung für Betriebsparteien?

Mit dieser Entscheidung sind die Spielräume für die Betriebsparteien deutlich verengt worden. Weder darf in Betriebsvereinbarungen das Schutzniveau der DSGVO abgesenkt werden noch können Arbeitgeber und Betriebsrat die Frage der „Erforderlichkeit“ der Datenverarbeitung eigenständig und ohne Blick auf die DSGVO bestimmen. Damit sind sämtliche datenverarbeitenden Prozesse, insbesondere auch die zur Überwachung von Arbeitnehmern geeigneten Tools, an den Maßstäben der DSGVO zu messen.

Quelle: EuGH, Urteil vom 19. Dezember 2024 – C-65/23