EuGH: Datenverarbeitung aufgrund von Kollektivvereinbarung

2. Januar 2025

Der Europäische Gerichtshof (EuGH) hat am 19.12.2024 ein Urteil (C-65/23) zur Datenverarbeitung im Beschäftigungskontext aufgrund von Kollektivvereinbarung verkündet. Im Fokus standen die Bedingungen, unter denen nationale Gesetze und Betriebsvereinbarungen gemäß Art. 88 Datenschutzgrundverordnung (DSGVO) spezifische Regeln für den Umgang mit Beschäftigtendaten festlegen können.

Der zugrundeliegende Fall

Der Fall betraf ein Unternehmen, das personenbezogene Daten seiner Mitarbeiter mithilfe von SAP-Software verarbeitete und diese anschließend ihrer Muttergesellschaft in den USA übermittelte. Eine Betriebsvereinbarung vom 03.07.2017 regelte die Einführung der Workday-Software. Diese Vereinbarung schränkte die Nutzung für personalbezogene Zwecke ein und legte fest, welche Kategorien von Daten verarbeitet werden dürfen.

Ein Arbeitnehmer nahm hiergegen gerichtliche Schritte vor mit der Behauptung, dass das Unternehmen Daten entgegen der Betriebsvereinbarung weitergegeben habe. Schließlich befasste sich nun der EuGH mit der Sache im Rahmen eines Vorabentscheidungsverfahrens.

Datenverarbeitung im Beschäftigungskontext

Art. 88 DSGVO bestimmt Vorgaben zur Datenverarbeitung im Beschäftigungskontext. Hiernach können auch durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes personenbezogener Daten vorgesehen werden. Dabei müssen stets die berechtigten Interessen der Betroffenen durch geeignete Maßnahmen gesichert sein.

Kernaussagen des EuGH

Der EuGH stellte in seinem Urteil klar, dass abweichende Regelungen stets die Anforderungen von Art. 88 Abs. 2 DSGVO sowie Art. 5, 6 Abs. 1 und 9 Abs. 1 und 2 DSGVO einhalten müssen. Damit wird sichergestellt, dass auch besondere Kategorien personenbezogener Daten nur unter strengen Bedingungen verarbeitet werden dürfen. Eine Umgehung des durch die DSGVO garantierten Schutzniveaus ist somit ausgeschlossen.

Auch hindere ein bei der Ausarbeitung von Kollektivvereinbarungen eingeräumter Ermessensspielraum das Gericht nicht daran, die Einhaltung der oben genannten Vorgaben zu überprüfen. Grundsätzlich räume Art. 88 DSGVO bezüglich Gesetzen und Kollektivvereinbarungen allerdings einen gleichwertigen Ermessensspielraum ein und behandle diese im Übrigen auch sonst gleich.

Fazit

Das EuGH-Urteil verdeutlicht, dass auch der Datenschutz im Beschäftigungskontext höchsten Anforderungen genügen muss. Nationale Regelungen und Betriebsvereinbarungen, die auf Art. 88 DSGVO basieren, können nicht isoliert von den allgemeinen Datenschutzgrundsätzen betrachtet werden. Allerdings sind diese beiden Regelungsarten zumindest als gleichwertige Varianten anzusehen. Unternehmen sollten diese Entscheidung zum Anlass nehmen, ihre datenschutzrechtlichen Prozesse zu überprüfen gegebenenfalls anzupassen. Wir als Externe Datenschutzbeauftragte helfen Ihnen gerne dabei weiter.