BAG: Vorabentscheidungsersuchen des BAG zum EuGH mit Fragen zur Auslegung von Art. 82 DSGVO und Art. 88 DGSVO

Nach der Entscheidung vom 22. September 2022 ist zwischenzeitlich der Volltext des Ersuchens mit erheblichem Umfang veröffentlicht worden.

Unter anderem soll der EuGH Stellung nehmen dazu, wie weitreichend die Möglichkeiten sind, im Rahmen einer Betriebsvereinbarung Regelungen zum Datenschutzrecht zu finden. Dazu das Gericht in den Gründen unter anderem:

„… Mit seiner ersten Vorlagefrage möchte der Senat wissen, ob eine nach Art. 88 Abs. 1 der DSGVO erlassene nationale Rechtsvorschrift – wie etwa § 26 Abs. 4 BDSG -, in der bestimmt ist, dass die Verarbeitung personenbezogener Daten – einschließlich besonderer Kategorien personenbezogener Daten – von Beschäftigten für Zwecke des Beschäftigungsverhältnisses auf der Grundlage von Kollektivvereinbarungen unter Beachtung von Art. 88 Abs. 2 DSGVO zulässig ist, dahin (unionsrechtskonform) auszulegen ist, dass stets auch die sonstigen Vorgaben der DSGVO – wie etwa Art. 5, Art. 6 Abs. 1 und Art. 9 Abs. 1 und Abs. 2 DSGVO – einzuhalten sind. Damit untrennbar verbunden ist die Frage, was unter „spezifischeren Vorschriften“ iSv. Art. 88 Abs. 1 DSGVO zu verstehen ist.

Eine Antwort des Gerichtshofs auf diese Fragen ist zur Entscheidung im Ausgangsverfahren erforderlich, damit der Senat die Rechtmäßigkeit der durch die Kollektivvereinbarung BV Duldung vorgesehenen und erfolgten Datenverarbeitung beurteilen kann. Dies betrifft konkret die in der Anlage 2 zur BV Duldung genannten Datensätze (D Personalnummer, Nachname, Vorname, Telefonnummer, Eintrittsdatum, Konzern Eintrittsdatum, Arbeitsort, Firma [K/Dental], Arbeitsort, Firma, geschäftliche Telefonnummer und geschäftliche E-Mail-Adresse).

Soweit die Beklagte im Zeitraum zwischen dem 24. April und dem 18. Mai 2017 über die in der Anlage 2 zur BV Duldung genannten Datensätze hinaus weitere personenbezogene Daten des Klägers (Gehaltsinformationen, die private Wohnanschrift, Geburtsdatum, Alter, Familienstand, die Sozialversicherungsnummer und die Steuer-ID des Klägers) zur Befüllung der Software Workday auf eine Sharepoint-Seite der Konzernmutter übermittelt hat, geht der Senat zwar davon aus, dass dies schon nicht von der BV Duldung gedeckt war und deshalb nicht nach § 26 Abs. 4 BDSG, sondern nach § 26 Abs. 1 BDSG zu beurteilen ist. Auch dürfte eine solche überschießende Datenverarbeitung im Ergebnis schon deshalb nicht erforderlich iSv. § 26 Abs. 1 BDSG bzw. Art. 5, Art. 6 Abs. 1 DSGVO gewesen sein, weil davon auszugehen ist, dass in der von der Beklagten (mit)abgeschlossenen BV Duldung bzw. in deren Anlage 2 sämtliche aus ihrer Sicht für die behaupteten Testzwecke erforderlichen Datensätze abschließend aufgeführt sind. Allerdings reicht es aus Sicht des Senats für seine Entscheidung des Ausgangsverfahrens nicht aus, dass damit ein Teil der vom Kläger beanstandeten Datenverarbeitung bereits ohne Vorabentscheidungsersuchen als nicht rechtmäßig zu beurteilen ist. Vielmehr ist es für eine Entscheidung im Ausgangsverfahren erforderlich, die beanstandete Datenverarbeitung insgesamt beurteilen zu können, da damit Folgen im Hinblick auf den Umfang der Verletzung der Schutzvorschriften und die Höhe eines etwaigen Schadenersatzes verbunden sind bzw. sein können.

§ 26 Abs. 4 BDSG, wonach die Verarbeitung personenbezogener Daten, einschließlich besonderer Kategorien personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses auf der Grundlage von Kollektivvereinbarungen zulässig ist, wobei Art. 88 Abs. 2 DSGVO zu beachten ist, könnte – nach seinem Wortlaut – dahin verstanden werden, dass außer den Vorgaben in Art. 88 Abs. 2 DSGVO keine weiteren Vorgaben der DSGVO zu beachten sind. In einem solchen Fall könnte eine Datenverarbeitung im Arbeitsverhältnis, die eigentlich unrechtmäßig wäre, weil sie nicht den Vorgaben der Erforderlichkeit von § 26 Abs. 1 BDSG, Art. 5, Art. 6 Abs. 1 bzw. Art. 9 Abs. 1 und Abs. 2 DSGVO entspricht und für die auch keine Einwilligung der betroffenen Person vorliegt, allein wegen des Umstands, dass sie in einer Kollektivvereinbarung – wie hier einer Betriebsvereinbarung – geregelt ist, zulässig sein bzw. gerechtfertigt werden. In einem Fall wie dem des Ausgangsverfahrens würde das bedeuten, dass allein wegen der Regelung der Datenverarbeitung in einer Kollektivvereinbarung – anders als bei Regelung in einer allgemeinen Rechtsvorschrift wie etwa einem Gesetz – die Erforderlichkeit der Datenverarbeitung nicht zu prüfen wäre…“