Der Fall
Der Kläger war bei der beklagten Arbeitgeberin als Programmierer beschäftigt und zudem Betriebsratsvorsitzender. Die Beklagte verarbeitete personenbezogene Beschäftigtendaten mittels einer SAP-Software auf der Grundlage mehrerer Betriebsvereinbarungen. Im Jahr 2017 gab es den konzernweiten Plan, die cloudbasierte Software „Workday“ einzuführen. In dem Rahmen wurden personenbezogene Daten auf einen Server der US-amerikanischen Muttergesellschaft übertragen. Einige Monate später vereinbarten die Beklagte und der Betriebsrat eine „Duldungs-Betriebsvereinbarung über die Einführung von Workday“. Die Wirkungen dieser Vereinbarung wurden bis zum Inkrafttreten einer am 23. Januar 2019 geschlossenen endgültigen Betriebsvereinbarung verlängert. Der Kläger klagte auf Auskunft, Löschung seiner Daten und Schadensersatz.
Das BAG legte dem EuGH verschiedene Fragen zur Vorabentscheidung vor, die der EuGH mit der vorliegenden Entscheidung beantwortete.
Entscheidung
Der EuGH entschied, dass neben den „spezifischen“ Vorgaben im Beschäftigungskontext (Art. 88 Abs. 1 und 2 DS-GVO und § 26 Abs. 4 BDSG) sämtliche allgemeinen Regelungen der DS-GVO zu beachten seien. Anwendung fänden auf Kollektivvereinbarungen insbesondere die Grundsätze für die Verarbeitung personenbezogener Daten (Art. 5 DS-GVO), das Erfordernis der Rechtmäßigkeit der Verarbeitung (Art. 6 Abs. 1 DS-GVO) und die Vorgaben für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 Abs. 1 und 2 DS-GVO).
Weiterhin seien die Gerichte verpflichtet, uneingeschränkt zu prüfen, ob die Verarbeitung personenbezogener Daten den Anforderungen und Grenzen der DS-GVO entspricht. Dies gelte, obwohl die Parteien einer Kollektivvereinbarung aufgrund ihrer Fachkenntnis und Nähe zum Beschäftigungskontext regelmäßig eher in der Lage sind, die Erforderlichkeit einer Datenverarbeitung zu beurteilen.
Praxishinweis
Arbeitgeber sollten die Verarbeitungen personenbezogener Beschäftigtendaten, insbesondere auf der Grundlage von Kollektivvereinbarungen, einer (erneuten) Rechtmäßigkeitskontrolle nach Maßgabe der „neuen Vorgaben“ des EuGH unterziehen.
Quelle: Urteil des EuGH vom 19.12.2024 – C-65/23
Über die Autorin: Maha Steinfeld ist Rechtsanwältin und Fachanwältin für Arbeitsrecht bei der PKF FASSELT Partnerschaft mbB Wirtschaftsprüfungsgesellschaft Steuerberatungsgesellschaft Rechtsanwälte (Mitgliedsunternehmen des PKF-Netzwerkes).