Datenschutz im kollektiven Arbeitsrecht nach DSGVO, BDSG ... / 3.2 Betriebsvereinbarungen als Erlaubnistatbestand

Eine solche Öffnungsklausel, die es den Mitgliedstaaten ermöglicht, Rechtsgrundlagen zur Verarbeitung personenbezogener Daten zu schaffen, sieht Art. 88 Abs. 1 DSGVO für den Beschäftigungskontext vor.^[1]

Die Mitgliedstaaten können Erlaubnistatbestände für Datenverarbeitungen im Beschäftigungskontext nach Art. 88 Abs. 1 DSGVO entweder selbst durch entsprechende Gesetzgebung schaffen oder sie überlassen den Betriebs- bzw. Tarifparteien eine entsprechende Regelungsmacht durch "Kollektivvereinbarungen". Kollektivvereinbarungen i. S. v. Art. 88 DSGVO sind nicht nur die mit Gesetzeskraft ausgestatteten Tarifverträge, sondern auch Betriebsvereinbarungen.^[2] Dies folgt zum einen klar aus der Entstehungsgeschichte der Vorschrift: Im Kommissionsvorschlag war noch die Rede davon, dass die Mitgliedstaaten lediglich per Gesetz die Verarbeitung personenbezogener Arbeitnehmerdaten im Beschäftigungskontext regeln können. Zum anderen erwähnt Erwägungsgrund 155 explizit auch Betriebsvereinbarungen als mögliche Handlungsform der Mitgliedstaaten.

Eine für die Praxis wichtige Frage ist, inwieweit den Betriebsparteien bei der Ausgestaltung von Betriebsvereinbarungen ein eigener Beurteilungsspielraum zukommt, insbesondere ob sie (selbstständige) Erlaubnistatbestände für die Datenverarbeitung schaffen können. Hiervon wird in der Praxis bislang ausgegangen. In einem aktuellen Vorlagebeschluss hat das BAG^[3] zuletzt Zweifel daran geäußert, indem es die Auffassung vertritt, dass Kollektivvereinbarungen nicht nur den "besonderen" Anforderungen des Art. 88 Abs. 2 DSGVO gerecht werden müssen^[4], sondern stets auch die "sonstigen Vorgaben der DSGVO" erfüllen müssen. Konkret bedeutet das, dass nach Auffassung des BAG ein kollektivvertraglicher Erlaubnistatbestand die Erforderlichkeitsprüfung nach Art. 6 Abs. 1 DSGVO nicht ersetzen kann. In letzter Konsequenz würde dies die Eignung von Betriebsvereinbarungen zur Schaffung datenschutzrechtlicher Erlaubnistatbestände infrage stellen.^[5] Dies würde letztlich darauf hinauslaufen, dass "spezifischere" Vorschriften im Sinne des Art. 88 Abs. 1 DSGVO nur "strengere" sein können. Die Öffnungsklausel wäre auf dieser Grundlage praktisch weitgehend bedeutungslos. Auch im Hinblick auf die aktuelle Rechtsprechung des EUGH zu Art. 88 Abs. 1 DSGVO^[6] bleibt abzuwarten, ob die Sichtweise des BAG, die letztlich auf ein Infragestellen der Eignung von Betriebsvereinbarungen zur Begründung (selbstständiger) Erlaubnistatbestände hinausläuft, Bestätigung in der Rechtsprechung des EuGH finden wird.

In Verhandlungen über Betriebsvereinbarungen zur Umsetzung der DSGVO können Arbeitgeber und Betriebsrat für die Frage nach einem Erlaubnistatbestand unter Zugrundelegung der bislang anerkannten Praxis auf den folgenden Formulierungsvorschlag zurückgreifen. Die weitere rechtliche Entwicklung sollte von den Betriebsparteien bei der Verhandlung von Betriebsvereinbarungen unbedingt im Blick behalten werden:

Praxis-Beispiel

Betriebsvereinbarung als datenschutzrechtlicher Erlaubnistatbestand

"Die Betriebsparteien sind sich darüber einig, dass diese Betriebsvereinbarung als datenschutzrechtliche Erlaubnis zum Umgang mit personenbezogenen Daten wirkt. Soweit diese Betriebsvereinbarung das Verarbeiten personenbezogener Daten regelt, gilt diese Betriebsvereinbarung als Erlaubnisvorschrift i. S. v. Art. 6 DSGVO."

[1] Vgl. auch § 26 Abs. 4 BDSG.

[2] Siehe ErwGr 155. Vgl. im Übrigen bereits Pötters, Gola, DSGVO, 2. Aufl. 2018, Art. 88 Rz. 13; Wybitul/Sörup/Pötters, ZD 2015, S. 559; Kutzki, öAT 2016,S. 115; Marquardt/Sörup, ArbRAktuell 2016, S. 105.

[3] BAG, Vorlagebeschluss v. 22.9.2022, 8 AZR 209/21 (A).

[4] Vgl. auch § 26 Abs. 4 Satz 2 BDSG. Bei den Kollektivvereinbarungen muss es sich um "spezifischere" Regelungen handeln.

[5] Vgl. zum Beschluss des BAG kritisch auch Tiedemann, ZD 2023, S. 550 sowie Frank/Heine, NZA 2023, S. 407.

[6] EuGH, Urteil v. 30.3.2023, C-34/21, der insbesondere klargestellt hat, dass der Begriff spezifischerer Vorschriften bedeutet, dass sich die Vorschrift "von den allgemeinen Regeln der DSGVO unterscheidet" und sich diese gerade nicht auf eine Wiederholung der Bestimmungen der DSGVO beschränken dürfen.