Kurzbeschreibung
Bei der Ausgestaltung von Betriebsvereinbarungen zur Datenverarbeitung sind die Anforderungen der DSGVO strikt zu beachten. Betriebsvereinbarungen selbst stellen keinen eigenständigen bzw. alleinigen datenschutzrechtlichen Erlaubnistatbestand dar. Sie sollen vielmehr die Grundsätze der DSGVO spezifizieren und dürfen diesen nicht widersprechen oder sie ändern. Diese Übersicht zeigt auf, welchen Anforderungen Betriebsvereinbarungen genügen müssen.
Vorbemerkung
Seit Inkrafttreten der EU-Datenschutz-Grundverordnung (DSGVO) und der zeitgleichen Neufassung des Bundesdatenschutzgesetzes (BDSG) gelten klare Vorgaben für die Verarbeitung personenbezogener Daten im Unternehmen unter zugleich drastisch erhöhten Bußgeldandrohungen. Dabei gilt für Datenverarbeitungen der Grundsatz des Verbots mit Erlaubnisvorbehalt. Eine Datenverarbeitung ist demnach grundsätzlich verboten, es sei denn, sie kann auf eine wirksame Rechtsgrundlage gestützt werden.
Eine solche Rechtsgrundlage muss sich aus Art. 6 Abs. 1 DSGVO ergeben. Zumeist ergibt sie sich im Arbeitsverhältnis aus Art. 6 Abs. 1 lit. b DSGVO (Erforderlichkeit zur Durchführung des Beschäftigungsverhältnisses). Betriebsvereinbarungen können die Grundsätze der DSGVO spezifizieren (vgl. Art. 88 Abs. 1 DSG-VO), sie stellen aber keine eigenständige Rechtsgrundlage dar. § 26 Abs. 4 Satz 1 BDSG ist entsprechend unionsrechtskonform auszulegen.
"Spezifischere" Regelungen in Betriebsvereinbarungen können dabei nicht von der DSGVO abweichen, sondern lediglich den Schutzstandard des Unionsrechts für bestimmte Sachverhalte näher ausgestalten. Jedenfalls unzulässig ist ein Absenken des Schutzstandards zulasten der Betroffenen. Als Faustregel gilt daher, dass eine Datenverarbeitung auch stets ohne die Betriebsvereinbarung zulässig sein muss.
Betriebsvereinbarungen, die im Einklang mit der DSGVO stehen, tragen dem Erfordernis der Transparenz Rechnung, stärken die Verbindlichkeit von unternehmensinternen Regelungen zum Datenschutz und können zur Datenschutz-Dokumentation im Sinne von Art. 5 Abs. 2 DSGVO beitragen.
Die nachfolgende Checkliste zeigt auf, welche Aspekte bei der Vorbereitung von Gesprächen über eine Betriebsvereinbarung zu Datenverarbeitungsvorgängen beachtet werden sollen.
Checkliste zur Umsetzung der DSGVO durch Betriebsvereinbarungen
DSGVO: Anforderungen an Betriebsvereinbarungen
Betriebsvereinbarungen müssen den geltenden datenschutzrechtlichen Anforderungen genügen. Die wesentlichen Grundsätze für die Verarbeitung personenbezogener Daten nennt Art. 5 Abs. 1 DSGVO. Bei der Verhandlung neuer und der Anpassung bereits bestehender Betriebsvereinbarungen sind daher insbesondere die folgenden Aspekte zu beachten:
| Anforderung |
Art. 5 Abs. 1 ... DSGVO |
Regelungsbedarf in einer Betriebsvereinbarung |
| Transparenz |
a |
Die Betriebsvereinbarung regelt konkret, transparent und in einer verständlichen Form, wie personenbezogene Daten von Beschäftigten verarbeitet werden. |
| Zweckbindung |
b |
Die Betriebsvereinbarung definiert eindeutige und legitime Zwecke für konkrete Einsatzbereiche bei der Verarbeitung personenbezogener Daten. |
| Datenminimierung |
c |
Die Betriebsvereinbarung macht das Maß der Verarbeitung von personenbezogenen Daten an konkreten Zwecken fest und beschränkt die Verarbeitung auf den erforderlichen Umfang, ggf. auf pseudonymisierte Daten. |
| Richtigkeit |
d |
Die Betriebsvereinbarung legt fest, dass sachlich richtige und aktuelle Daten verwendet werden und definiert dazu ggf. Korrekturvorgänge. |
| Speicherbegrenzung |
e |
Die Betriebsvereinbarung regelt, dass Daten nur so lange verwendet werden, wie dies für die definierten Zwecke erforderlich ist. |
| Vertraulichkeit |
f |
Die Betriebsvereinbarung enthält eine Regelung zur Sicherstellung der Vertraulichkeit, sie legt z. B. in einem auf das erforderliche Maß beschränkten Rahmen fest, welcher Personenkreis auf welche Beschäftigtendaten zugreifen darf. |
Zu den vorstehenden Grundsätzen muss nicht in jedem Fall in der Betriebsvereinbarung eine Regelung erfolgen, auch eine nur teilweise Regelung ist denkbar.
Beispiel: Eine Betriebsvereinbarung zu einer bestimmten Software kann bestimmte Auswertungszwecke verbieten, im Übrigen aber keine abschließenden Vorgaben zu Verarbeitungszwecken machen. Ebenso könnte eine Löschfrist für bestimmte Daten wie Auswertungen mit Blick auf Beschäftigte oder Logfiles festgelegt werden, während sich im Übrigen die Löschfristen nach den allgemeinen gesetzlichen und unternehmensinternen Vorgaben richten.
Die nachstehende Tabelle enthält Regelungstatbestände, welche die Betriebsparteien bei Verhandlungen über Betriebsvereinbarungen zur DSGVO in Betracht ziehen sollten.
| |
Empfohlene/Mögliche Regelungstatbestände in einer Betriebsvereinbarung |
Begründung/Anmerkungen |
| |
Art. 6 Abs. 1 DSGVO als Rechtsgrundlage der Datenverarbeitung; Betriebsvereinbarung zur Konkretisierung der DSGVO-Grundsätze |
Seit dem Urteil des ... |