Betriebsvereinbarungen sind kein Freibrief zur Datenverarbeitung!

Der Europäische Gerichtshof (EuGH) hat am 19. Dezember 2024 klargestellt, dass Betriebsvereinbarungen nicht gegen die Vorgaben der Datenschutz-Grundverordnung (DSGVO) verstoßen dürfen (C-65/23).

Im konkreten Fall ging es um die Nutzung einer Personalmanagement-Software. Bei der Nutzung der Software wurden Beschäftigtendaten auf US-Server übertragen. Ein Mitarbeiter klagte, da nicht alle verarbeiteten Daten in der Betriebsvereinbarung explizit genannt waren.

Wichtige Erkenntnisse aus dem Urteil:

✔ Betriebsvereinbarungen sind kein Freifahrtschein – Unternehmen können sich nicht allein auf eine Vereinbarung mit dem Betriebsrat berufen, wenn eine Datenverarbeitung gegen die DSGVO verstößt.

✔ Datenverarbeitung muss zweckgebunden sein – Die Verarbeitung darf nur für klar definierte und rechtmäßige Zwecke erfolgen.

✔ Beschäftigtendaten genießen besonderen Schutz – Unternehmen müssen nachweisen können, dass die Verarbeitung erforderlich und verhältnismäßig ist.

✔ Übermittlungen in Drittländer sind problematisch – Falls personenbezogene Daten außerhalb der EU verarbeitet werden, müssen zusätzliche Schutzmaßnahmen greifen.

Was Unternehmen jetzt tun sollten:

🔹 Betriebsvereinbarungen überprüfen: Passen Ihre bestehenden Vereinbarungen zur Datenverarbeitung mit den Grundsätzen der DSGVO zusammen? Falls nicht, besteht Anpassungsbedarf.

🔹 Datenschutz-Folgenabschätzung durchführen: Falls neue Tools oder Software (z. B. KI-gestützte HR-Systeme) eingesetzt werden, sollte eine Datenschutz-Folgenabschätzung (DSFA) erstellt werden.

🔹 Mitarbeiter informieren: Transparente und vollständige Kommunikation über die Zwecke und den Umfang der Datenverarbeitung ist Pflicht.

🔹 Datentransfers kritisch prüfen: Falls Sie Cloud-Dienste oder Software mit Datenverarbeitung außerhalb der EU nutzen, stellen Sie sicher, dass diese DSGVO-konform sind (z. B. durch Standardvertragsklauseln oder durch Anwendung eines Angemessenheitsbeschlusses der EU-Kommission…).

Fazit:

Das Urteil zeigt, dass es für eine rechtskonforme Datenverarbeitung nicht ausreicht, wenn sich das Unternehmen und der Betriebsrat einigen und eine entsprechende Betriebsvereinbarung abschließen. Auch diese Regelungen müssen die zentralen Datenschutzgrundsätze berücksichtigen.

Damit wird deutlich, wie wichtig es ist, Datenschutzregelungen in Unternehmen kontinuierlich anzupassen. Wir unterstützen Sie gerne bei der Umsetzung und beantworten Ihre Fragen zur DSGVO-Konformität.

Haben Sie Fragen?

Wir unterstützen Sie gerne und stehen Ihnen mit unserer Expertise zur Verfügung.

Der Beitrag Betriebsvereinbarungen sind kein Freibrief zur Datenverarbeitung! erschien zuerst auf CompliPro GmbH.