Datenschutz im kollektiven Arbeitsrecht nach DSGVO, BDSG ... / 3 Betriebsvereinbarungen in der Systematik des Datenschutzrechts

Die vorstehenden Beispiele haben deutlich gemacht, dass bei vielen Bausteinen eines Datenschutz-Compliance-Systems eine Zusammenarbeit zwischen Arbeitgeber und Betriebsrat hilfreich sein kann, um die Anforderungen des Datenschutzrechts umzusetzen. Bereits in der Vergangenheit waren Betriebsvereinbarungen dabei ein effektives Mittel, um die Zwecke sowie die Art und Weise von Datenverarbeitungen im Arbeitsverhältnis zu regeln, deren Zulässigkeit rechtlich und praktisch abzusichern und rechtstreues Verhalten zu dokumentieren. Auch seit Geltung der DSGVO werden in der Praxis Betriebsvereinbarungen zu Datenverarbeitungen im Beschäftigungskontext regelmäßig genutzt, um die Grundsätze der DSGVO zu spezifizieren und den Schutzstandard des Unionsrechts für bestimmte Sachverhalte näher auszugestalten.^[1]

3.1 Prinzip des Verbots mit Erlaubnisvorbehalt

In Art. 5 Abs. 1 Buchst. a DSGVO ist der Grundsatz der Rechtmäßigkeit niedergelegt. Dies bedeutet, dass für jeden Datenverarbeitungsvorgang eine Rechtsgrundlage erforderlich ist.^[1] Im nationalen Recht wurde dieses Strukturprinzip des Datenschutzrechts bislang als Verbot mit Erlaubnisvorbehalt^[2] bezeichnet.

Der Grundsatz der Rechtmäßigkeit kommt vor allem in den Generalklauseln der Art. 6, 9 DSGVO zum Ausdruck. Diese beiden Vorschriften machen deutlich, dass eine Verarbeitung personenbezogener Daten grundsätzlich nur zulässig ist, wenn sie auf einen der dort abschließend aufgelisteten Erlaubnistatbestände gestützt werden kann. Art. 6, 9 DSGVO konkretisieren so den in Art. 5 Abs. 1 Buchst. a DSGVO normierten Rechtmäßigkeitsgrundsatz. In Bezug auf die Verarbeitung personenbezogener Daten von Beschäftigten^[3] dürfte – nachdem der EuGH den bislang herangezogenen § 26 Abs. 1 BDSG für europarechtswidrig erklärt hat^[4] – in der Praxis regelmäßig Art. 6 Abs. 1 Satz 1 lit. b bzw. f DSGVO (Erfüllung eines Vertrags bzw. eines berechtigten Interesses des Verantwortlichen) der einschlägige Erlaubnistatbestand zur Legitimierung einer Verarbeitung im Beschäftigungsverhältnis sein.

3.2 Betriebsvereinbarungen i. V. m. Art. 6 Abs. 1 DSGVO als Erlaubnistatbestand

Eine solche Öffnungsklausel, die es den Mitgliedstaaten ermöglicht, spezifischere Vorschriften zur Verarbeitung personenbezogener Daten zu schaffen, sieht Art. 88 Abs. 1 DSGVO für den Beschäftigungskontext vor.^[1]

Die Mitgliedstaaten können diese spezifischeren Vorschriften für Datenverarbeitungen im Beschäftigungskontext nach Art. 88 Abs. 1 DSGVO entweder selbst durch entsprechende Gesetzgebung schaffen oder sie überlassen den Betriebs- bzw. Tarifparteien eine entsprechende Regelungsmacht durch "Kollektivvereinbarungen". Kollektivvereinbarungen i. S. v. Art. 88 DSGVO sind nicht nur die mit Gesetzeskraft ausgestatteten Tarifverträge, sondern auch Betriebsvereinbarungen.^[2] Dies folgt zum einen klar aus der Entstehungsgeschichte der Vorschrift: Im Kommissionsvorschlag war zunächst noch die Rede davon, dass die Mitgliedstaaten lediglich per Gesetz die Verarbeitung personenbezogener Arbeitnehmerdaten im Beschäftigungskontext regeln können, was dann ausdrücklich um "Kollektivvereinbarungen" erweitert wurde. Zum anderen erwähnt Erwägungsgrund 155 explizit auch Betriebsvereinbarungen als mögliche Handlungsform der Mitgliedstaaten.

Eine für die Praxis wichtige Frage ist, inwieweit den Betriebsparteien bei der Ausgestaltung von Betriebsvereinbarungen ein eigener Beurteilungsspielraum zukommt, insbesondere ob sie (selbstständige) Erlaubnistatbestände für die Datenverarbeitung schaffen können.

Diese lange Zeit rechtswissenschaftlich viel diskutierte Frage wurde zwischenzeitlich vom Europäischen Gerichtshof (EuGH) entschieden.^[3] Die Entscheidung verdeutlicht, dass Betriebsvereinbarungen keine eigenständige Rechtsgrundlage für die Datenverarbeitung darstellen. Es muss immer (auch) eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO (bzw. bei der Verarbeitung von besonderen Datenkategorien eine Ausnahmebestimmung nach Art. 9 Abs. 2 DSGVO) bestehen. Betriebsvereinbarungen i. S. v. Art. 88 Abs. 1 DSGVO setzen die DSGVO-Vorschriften somit nicht außer Kraft. Vielmehr müssen die Grundsätze der DSGVO in Betriebsvereinbarungen eingehalten werden. Daher ist die Rechtmäßigkeit, Erforderlichkeit und Verhältnismäßigkeit der Datenverarbeitung bei der Ausgestaltung von Betriebsvereinbarungen genau vom Arbeitgeber zu prüfen. Auf Grundlage dieser Prüfung kann in Betriebsvereinbarungen eine Konkretisierung der Grundsätze der DSGVO erfolgen.

Dabei steht den Parteien ein gewisser Gestaltungsspielraum hinsichtlich der Erforderlichkeit der Datenverarbeitung zu. Sie müssen sich aber in den Grenzen der DSGVO bewegen, sodass das Schutzniveau der DSGVO gewährleistet bleibt. Als Faustregel gilt, dass eine Datenverarbeitung auch stets ohne die Betriebsvereinbarung zulässig sein muss.

Die Einhaltung der DSGVO ist dabei gerichtlich überprüfbar. Sollten Bestimmungen in Betriebsvereinbarungen nicht konform mit der ...