DSGVO und Betriebsvereinbarungen: Handlungsempfehlungen und Checkliste für praxistaugliche Regelungen

Das Thema

Die EU-Datenschutz-Grundverordnung (DSGVO) hat erhebliche Auswirkungen auf den Datenschutz am Arbeitsplatz. Machen Unternehmen Fehler bei der Umsetzung der DSGVO, drohen hohe Bußgelder und auch Schadensersatzansprüche betroffener Arbeitnehmer – zur Vermeidung von Schadenersatzforderungen und Beweisverwertungsverboten hat der Autor bereits im EFAR ausgeführt. Zudem werden die rechtlichen Anforderungen deutlich komplexer als nach dem bislang geltenden Datenschutzrecht.

Die DSGVO stellt auch neue Anforderungen an Betriebsvereinbarungen, die die Verarbeitung von Beschäftigtendaten regeln oder voraussetzen. Der vorliegende Überblick zeigt, welchen Vorgaben Betriebsvereinbarungen künftig entsprechen müssen und wie man entsprechende Regelungen gestaltet. Er gibt zudem Handlungsempfehlungen zur Umsetzung der Vorgaben der DSGVO im Betrieb.Im Anhang zu diesem Überblick finden Sie eine Checkliste mit einigen möglichen Regelungspunkten zu DSGVO-Betriebsvereinbarungen.

Betriebsvereinbarungen und Datenschutz am Arbeitsplatz

Gerade beim Datenschutz am Arbeitsplatz spielen Betriebsvereinbarungen bereits seit Langem eine große Rolle. Nutzt der Arbeitgeber IT-Systeme oder sonstige automatisierte Einrichtungen die geeignet oder auch nur in der Lage sind, das Verhalten von Arbeitnehmern zu überwachen, hat der Betriebsrat ein gesetzliches Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Zudem hat Betriebsrat über die Einhaltung des Datenschutzrechts und anderer Vorschriften zum Schutz von Arbeitnehmern zu wachen, § 80 Abs. 1 Nr. 1 BetrVG. In sehr vielen Unternehmen machen Betriebsräte beziehungsweise Konzern- oder Gesamtbetriebsräte von ihrem Mitbestimmungsrecht Gebrauch und fordern den Abschluss entsprechender Betriebsvereinbarungen.

Die Praxis zeigt, dass solche Betriebsvereinbarungen oft ein sachgerechter Rahmen sind, um angemessene und sachgerechte Regelungen zu vereinbaren, die festlegen, welche Kontrollen unter welchen Voraussetzungen zulässig sind. Der große Vorteil gegenüber den allgemeinen – und sehr vagen – gesetzlichen Vorschriften zum Datenschutz liegt darin, dass Arbeitgeber und Betriebsrat konkrete Regeln zum Umgang mit einzelnen Anwendungen vereinbaren können. So kann man etwa regeln, welche Protokolle, Log-Files oder sonstige System- oder Inhaltsdaten auf welche Weise genutzt werden können. Für die Betriebsparteien, also für Arbeitgeber und Betriebsräte schafft dies Rechtssicherheit, für Beschäftigte ein hohes Maß an Transparenz bei der Verarbeitung ihrer personenbezogenen Daten. Voraussetzung ist allerdings, dass beide Betriebsparteien bereit sind, sich durch gegenseitiges Nachgeben und den Verzicht auf extreme Verhandlungspositionen auf ausgewogene und sachgerechte Regelungen zu verständigen.

 

Betriebsvereinbarungen können die Verarbeitung von Arbeitnehmerdaten auch nach der DSGVO rechtfertigen

Nach der Konzeption der DSGVO ist die Verarbeitung personenbezogener Daten grundsätzlich untersagt, falls nicht die Voraussetzungen eines Erlaubnistatbestands der DSGVO oder einer sonstigen anwendbaren Datenschutzvorschrift vorliegen. Das sogenannte Rechtmäßigkeitsprinzip nach Art. 5 Abs. 1 lit. a DSGVO führt also zu einem Verbot der Datenverarbeitung mit Erlaubnisvorbehalt. Betriebsvereinbarungen und andere Kollektivvereinbarungen können nach Art. 88 DSGVO einen solchen Erlaubnistatbestand darstellen. Mit anderen Worten, eine richtig gestaltete Betriebsvereinbarung kann den Umgang mit personenbezogenen Daten von Arbeitnehmern erlauben.

In der Praxis können sachgerecht gestaltete Betriebsvereinbarungen auch unter der Geltung der DSGVO ein ausgesprochen sinnvolles Mittel sein, um Kontrollinteressen des Arbeitgebers und die Datenschutzrechte der Arbeitnehmer zu einem angemessenen Ausgleich zu bringen und ein hohes Maß an Rechtssicherheit bei der Datenverarbeitung am Arbeitsplatz zu schaffen. Dementsprechend sieht Erwägungsgrund 155 zur DSGVO auch ausdrücklich vor, dass Betriebsvereinbarungen insbesondere Vorschriften über Verarbeitung von Beschäftigtendaten für Zwecke der Einstellung, der Erfüllung des Arbeitsvertrags und der Beendigung des Beschäftigungsverhältnisses regeln können.

Verarbeitung von Beschäftigtendaten nach der DSGVO

Grundsätzlich gelten auch beim Datenschutz am Arbeitsplatz die allgemeinen Anforderungen der DSGVO. So dürfen Arbeitgeber personenbezogene Daten von Beschäftigten etwa nur dann verarbeiten, wenn sie die Zwecke der Datenverarbeitung klar festgelegt haben, die betroffenen Beschäftigten von der geplanten Datenverarbeitung umfassend informiert haben und die Voraussetzungen eines Erlaubnistatbestands vorliegen. Einen solchen Erlaubnistatbestand sieht etwa Art. 6 Abs. 1 lit. b DSGVO vor. Danach kann eine Datenverarbeitung zulässig sein, wenn sie für die Erfüllung eines Vertrags erforderlich ist. Zudem müssen Daten verarbeitende Unternehmen umfassende Dokumentationspflichten erfüllen. Beispielsweise müssen sie Verzeichnisse führen, in denen die Datenverarbeitungen im Unternehmen gut nachvollziehbar beschrieben sind, Art. 30 DSGVO. Bevor Firmen Datenverarbeitungen in Betrieb nehmen, die hohe Risiken für die Rechte und Freiheiten der von der Datenverarbeitung betroffenen Personen zur Folge haben, müssen sie diese Risiken im Rahmen sogenannter Datenschutz-Folgenabschätzungen bewerten und Maßnahmen zur Eindämmung dieser Risiken umsetzen.

Daneben stellt die DSGVO noch eine Vielzahl von weiteren prozessualen und strukturellen Anforderungen an Daten verarbeitende Unternehmen. Grundsätzlich gelten die die Vorgaben der DSGVO beim Datenschutz am Arbeitsplatz ebenso wie bei der Verarbeitung personenbezogener Daten von Kunden und sonstigen Dritten.

Welche Vorteile bringen Betriebsvereinbarungen zur Umsetzung der DSGVO?

Betriebsvereinbarungen können dabei helfen, die Vorgaben des neuen Datenschutzes effektiv und rechtssicher umzusetzen. Art. 88 DSGVO sieht vor dass die Mitgliedsstaaten der EU spezifische Vorschriften zum Datenschutz im Beschäftigungskontext erlassen dürfen. Zudem erlaubte die Vorschrift den Abschluss von Betriebsvereinbarungen, die den Datenschutz am Arbeitsplatz regeln und die Verarbeitung von Beschäftigtendaten erlauben können. Die Regelungen in Art. 88 DSGVO waren während des Gesetzgebungsverfahren besonders umstritten. Die endgültige Fassung der Vorschrift ist Ergebnis langer und intensiver Verhandlungen. Leider hat dies die Verständlichkeit von Art. 88 Abs. 1 DSGVO nicht eben gefördert:

“Die Mitgliedstaaten können durch Rechtsvorschriften oder durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext, insbesondere für Zwecke der Einstellung, der Erfüllung des Arbeitsvertrags einschließlich der Erfüllung von durch Rechtsvorschriften oder durch Kollektivvereinbarungen festgelegten Pflichten, des Managements, der Planung und der Organisation der Arbeit, der Gleichheit und Diversität am Arbeitsplatz, der Gesundheit und Sicherheit am Arbeitsplatz, des Schutzes des Eigentums der Arbeitgeber oder der Kunden sowie für Zwecke der Inanspruchnahme der mit der Beschäftigung zusammenhängenden individuellen oder kollektiven Rechte und Leistungen und für Zwecke der Beendigung des Beschäftigungsverhältnisses vorsehen.”

In Bezug auf Betriebsvereinbarungen sieht Art. 88 Abs. 1 DSGVO somit vor, dass Kollektivvereinbarungen “spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext” vorsehen können.

Keine wesentlichen Abweichungen von den Standards der DSGVO erlaubt

Der Wortlaut von Art. 88 legt nicht nahe, dass die Betriebsparteien erheblich vom von der DSGVO vorgegebenen Schutzstandard abweichen können. Allerdings können Arbeitgeber und Betriebsrat durchaus Regelungen treffen, die den allgemeinen Vorgaben der DSGVO entsprechen, aber inhaltlich besser auf die Besonderheiten des Arbeitsverhältnisses abgestimmt sind. An Stelle der allgemeinen und schwer verständlichen gesetzlichen Regeln treten dann konkretere Vorgaben in Betriebsvereinbarungen. Hier liegt die eigentliche Chance von Betriebsvereinbarungen zur Umsetzung der Vorgaben der DSGVO – die Betriebsparteien können die abstrakten und schwer verständlichen gesetzlichen Vorgaben zum Datenschutz in klare und transparente Regelungen „übersetzen“.

Umsetzung der gesetzlich geforderten Transparenz bei der Datenverarbeitung

Mit entsprechend gestalteten Betriebsvereinbarungen können Arbeitgeber und Betriebsräte auch eine der wichtigsten Anforderungen des neuen Datenschutzrechts umsetzen, indem sie zusätzliche Transparenz dazu schaffen, für welche Zwecke und mit welchen Mitteln der Arbeitgeber die personenbezogenen Daten seiner Beschäftigten verarbeitet. Beispielsweise können Betriebsvereinbarungen bereits regeln, auf welche Weise die Betriebsparteien die Arbeitnehmer davon informieren, wie sie deren Daten verarbeiten. Arbeitgeber und Betriebsrat können sich auch bereits auf entsprechende Vorlagen verständigen, die sie als Anlagen in eine entsprechende Betriebsvereinbarung aufnehmen.

Rechtssichere Erfüllung von Dokumentationspflichten nach der DSGVO

Eine andere wesentliche Anforderung der DSGVO ist die Dokumentation der Datenverarbeitung. Unternehmen müssen in der Lage sein, nachzuweisen, für welche Zwecke sie welche Daten auf welche Weise verarbeiten. Andernfalls drohen erhebliche rechtliche Risiken. Diese Situation ist für Arbeitgeber auch deshalb eine Herausforderung, weil sie nach Art. 24 DSGVO in Gerichtsverfahren künftig beweisen müssen, dass sie personenbezogene Daten nur nach den strengen Vorgaben des neuen Datenschutzrechts verarbeiten. Voraussichtlich werden viele Unternehmen Bußgeldverfahren oder Prozesse vor den Arbeitsgerichten allein deshalb verlieren, weil sie nicht in der Lage sein werden, nachzuweisen, dass sie die DSGVO richtig umgesetzt haben. Auch in Bezug auf diese umfassende Beweislast können Betriebsvereinbarungen helfen. Denn Arbeitgeber und Betriebsrat können sich so bereits im Vorfeld auf entsprechende Regelungen verständigen, mit denen sie die Dokumentationspflichten der DSGVO umsetzen.

Im Ergebnis sind Betriebsvereinbarungen somit ein sehr geeignetes Mittel, um Rechtssicherheit zu schaffen und wesentliche Anforderungen der DSGVO umzusetzen. Das verringert das Risiko späterer Bußgeldverfahren oder von Schadensersatzforderungen einzelner Arbeitnehmer ganz erheblich.

Welche Anforderungen müssen Betriebsvereinbarungen nach der DSGVO erfüllen?

Art. 88 Abs. 2 DSGVO regelt, welchen Vorgaben Betriebsvereinbarungen nach der DSGVO entsprechen müssen:

“Diese Vorschriften umfassen angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz.

Betriebsvereinbarungen müssen somit „angemessene und besondere Maßnahmen“ zum Schutz betroffener Arbeitnehmer enthalten. In der englischen Sprachfassung ist hier etwas präziser von „suitable and specific measures“ die Rede. Diese spezifischen Maßnahmen sollen bei Betriebsvereinbarungen insbesondere in Bezug auf die Transparenz der Datenverarbeitung, die Übermittlung von Daten zwischen Konzernunternehmen und zu Überwachungssystemen am Arbeitsplatz klare Regelungen umfassen.

Im Kern geht es also darum, dass Betriebsvereinbarungen Vorschriften enthalten müssen, die einen angemessenen Datenschutz am Arbeitsplatz sicherstellen. Wie konkret und spezifisch solche Regelungen letztlich sein müssen, bleibt offen. Allerdings gilt Art. 88 Abs. 2 DSGVO nicht nur für Betriebsvereinbarungen und andere Kollektivvereinbarungen zum Datenschutz, sondern auch für gesetzliche Regelungen der Mitgliedsstaaten zum Beschäftigtendatenschutz. Deutschland hat von der Möglichkeit, eine solche gesetzliche Regelung zu verabschieden, in § 26 BDSG n.F. Gebrauch gemacht. Wenn man davon ausgehen wollte, dass der Detailgrad von § 26 BDSG n.F. den Anforderungen von Art. 88 Abs. 2 DSGVO genügen sollte, so wären auch an Betriebsvereinbarungen jedenfalls keine übertriebenen Anforderungen zu stellen. Letztlich wird hier die Faustregel gelten, dass DSGVO-Betriebsvereinbarungen umso rechtssicherer sein werden, je detaillierter sie einzelne Maßnahmen und Vorkehrungen zum Schutz der Daten betroffener Arbeitnehmer regeln.

Welche Betriebsvereinbarungen müssen die Anforderungen von Art. 88 DSGVO erfüllen?

Art. 88 Abs. 1 DSGVO erlaubt es den Betriebsparteien, spezifische Vorschriften zum Datenschutz am Arbeitsplatz zu vereinbaren. Wenn sie von dieser Möglichkeit Gebrauch machen, müssen sie die Vorgaben von Art. 88 Abs. 2 DSGVO einhalten. Dabei sieht die Vorschrift keine Einschränkungen dahingehend vor, dass sie nur für Betriebsvereinbarungen gelten sollte, die die Verarbeitung personenbezogener Daten von Beschäftigten nicht nur regeln, sondern zudem auch datenschutzrechtlich legitimieren (also erlauben) sollen. Vor dem Hintergrund dieser unklaren gesetzlichen Regelung bleibt abzuwarten, wie Gerichte künftig über bereits abgeschlossene Betriebsvereinbarungen urteilen werden.

Es spricht Einiges dafür, dass Richter die Anforderungen des Art. 88 DSGVO umfassend auf Betriebsvereinbarungen anwenden werden, die die Verarbeitung personenbezogener Daten von Arbeitnehmern regeln oder voraussetzen.

Praktische Überlegungen zum Abschluss von DSGVO-Betriebsvereinbarungen

Kaum ein Unternehmen oder gar Konzern wird in der Lage sein, sämtliche bereits abgeschlossenen Betriebsvereinbarungen bis zur Geltung der DSGVO im Mai 2018 auf die Vorgaben der DSGVO umzustellen. Daher empfiehlt es sich gegebenenfalls, zuerst eine Rahmenbetriebsvereinbarung zur Umsetzung der Vorgaben des neuen Datenschutzrechts zu vereinbaren. Diese Rahmenregelung sollte dann unter anderem allgemeine Vorgaben zur Übertragen der Anforderungen der DSGVO auf bereits abgeschlossene Betriebsvereinbarungen enthalten und klarstellen, dass bestehende Betriebsvereinbarungen nach Maßgabe der Rahmenbetriebsvereinbarung DSGVO-konform anzuwenden und auszulegen sind.

Eine weitere wichtige Grundfrage ist, welchen Detailgrad beziehungsweise welche Regelungstiefe machbar und zweckmäßig ist. Je detaillierter eine Betriebsvereinbarung den Datenschutz im Rahmen einzelner Datenverarbeitungen regelt, desto sicherer wird sie den Anforderungen des neuen Datenschutzrechts entsprechen. Allerdings können Rahmenbetriebsvereinbarungen naturgemäß nur ein begrenztes Maß an Einzelfallregelungen treffen. Sie können aber allgemeine Vorgaben machen, die zusammen mit einzelnen Betriebsvereinbarungen ein hinreichendes Maß an datenschutzrechtlichen Regelungen erreichen. Ein gutes Beispiel für einen sinnvollen Regelungspunkt ist daher die Zusammenfassung der Datenschutzgrundsätze des Art. 5 DSGVO in klarer und für die betroffenen Arbeitnehmer nachvollziehbarer Sprache. Dies entspricht auch der Vorgabe von §26 Abs. 5 BDSG n.F., wonach der Verantwortliche geeignete Maßnahmen insbesondere Umsetzung der in Art. 5 DSGVO geregelten Grundsätze treffen muss.

Im Anhang zu diesem Überblick finden Sie eine Checkliste mit einigen möglichen Regelungspunkten zu DSGVO-Betriebsvereinbarungen.

Zusammenfassung

Betriebsvereinbarungen bleiben ein geeignetes Mittel, um die Datenverarbeitung am Arbeitsplatz transparent und rechtssicher zu regeln. Durch den Abschluss entsprechender DSGVO-Betriebsvereinbarungen können Arbeitgeber und Betriebsräte das Risiko von Bußgelder und Gerichtsverfahren erheblich verringern. Jedenfalls als Zwischenschritt wird sich oft der Abschluss entsprechender Rahmenbetriebsvereinbarungen zur Umsetzung der DSGVO empfehlen.

Autorenprofile in den sozialen Medien: Twitter, Xing oder LinkedIn.

Aktuelle Buchveröffentlichung des Autors zum Thema:

 

Anhang:

Checkliste zu typischen konkreten Maßnahmen/Regelungen zur Umsetzung der Vorgaben von Art. 88 DS-GVO

Die nachstehende Checkliste zählt typische Regelungspunkte auf, die Betriebsparteien im Rahmen von Betriebsparteien zur Umsetzung der Vorgaben der DSGVO in Erwägung ziehen könnten. Einen ausführlicheren Überblick zu diesem Thema finden Sie in der Neuen Zeitschrift für Arbeitsrecht (Wybitul, NZA 2017, 1488, Betriebsvereinbarungen im Spannungsverhältnis von arbeitgeberseitigem Informationsbedarf und Persönlichkeitsschutz des Arbeitnehmers).

• Inbezugnahme und Erläuterung der Datenschutzgrundsätze nach Art. 5 DS-GVO;
• Klarstellung, ob die Betriebsvereinbarung als datenschutzrechtliche Erlaubnisregelung wirken soll;
• Ausdrücklicher Vorbehalt des Rückgriffs auf gesetzliche Erlaubnistatbestände zur Datenverarbeitung;
• Festlegung maßgeblicher Verarbeitungszwecke im Rahmen der Betriebsvereinbarung;
• allgemeine Anforderungen an die Verarbeitung personenbezogener Daten;
• allgemeine Regelungen zu und Vorgaben für Leistungs-und Verhaltenskontrollen;
• konkrete Regelungen zu einzelnen Leistungs-und Verhaltenskontrollen;
• Aufzählung beziehungsweise Beschreibung von Schutzmechanismen bei der Verarbeitung besonderer Kategorien personenbezogener Daten von Arbeitnehmern;
• Vorgaben und Regelungen zur Datenverarbeitung durch den Betriebsrat;
• konkret festgelegte Kontrollrechte und -befugnisse des Betriebsrats in Bezug auf die Einhaltung der Vorgaben der DS-GVO im Beschäftigungskontext durch den Arbeitgeber;
• Kontrollrechte und -befugnisse des Datenschutzbeauftragten in Bezug die Umsetzung von Betriebsvereinbarungen;
• Regelungen zu möglichen gemeinsamen Datenverarbeitungen im Konzern, vgl. Art. 26 DS-GVO;
• Weitergabe personenbezogener Daten an Dritte, insbesondere in Konzernstrukturen; bei der Datenweitergabe im Konzern Festlegung der konkreten Zwecke und Rechtsgrundlagen,
• Regelung flankierender Schutzmechanismen, wie etwa von Zugriffberechtigungskonzepten;
• Regelungen zum Einsatz von Auftragnehmern i.S.v. Art. 28 DS-GVO bei der Verarbeitung personenbezogener Daten von Beschäftigten;
• Zwecke und Rechtfertigung möglicher grenzüberschreitender Datenübermittlungen bei der Verarbeitung personenbezogener Daten von Beschäftigten;
• gegebenenfalls detaillierte Regelungen zu einzelnen Vorgaben nach der DS-GVO, z.B.: Information betroffener Arbeitnehmer von der Erhebung ihrer personenbezogenen Daten nach Art. 13 und 14 DS-GVO; Erfüllung von Auskunftsansprüchen nach Art. 15 DS-GVO, gegebenenfalls Vereinbarung entsprechender Mustervorlagen und Festlegung eines Prozesses zur Auskunftserteilung; Festlegung von Löschfristen, unterteilt nach Zwecken, Datenkategorien und einzelnen Verarbeitungen; Regelungen zu Datenverarbeitungen im Beschäftigtenkontext, die grundsätzlich einer vorherigen Datenschutz-Folgenabschätzung unterliegen sollen;
• Regelungen zu den Voraussetzungen für zulässige Zweckänderungen;
• Vorgaben zu technischen und organisatorischen Maßnahmen zur Gewährleistung der nach Art. 32 DS-GVO vorgeschriebenen Datensicherheit in Bezug auf Beschäftigtendaten;
• Allgemeine Vorgaben für die Datenverarbeitung durch Mitarbeiter;
• Reaktionen auf unzulässige Datenverarbeitungen durch Mitarbeiter;
• Klarstellung, dass unzulässige Datenverarbeitung neben einem Gesetzesverstoß auch einen Verstoß gegen arbeitsrechtliche Pflichten darstellt;
• Einzelheiten zu DS-GVO-Schulungen von Mitarbeitern und Führungskräften;
• Regelungen zu Geheimhaltungspflichten der Mitarbeiter und des Betriebsrats; Beispielhafte Benennung besonders geheimhaltungsbedürftiger Datenarten oder Datenverarbeitungen;
• sofern der Arbeitgeber auf der Grundlage von Betriebsvereinbarungen auch personenbezogene Daten über Straftaten von Beschäftigten verarbeitet (etwa im Rahmen so genannter „Background-Checks“) ist sicherzustellen, dass die Betriebsvereinbarung auch die Anforderungen von Art. 10 DS-GVO beachtet und umsetzt;
• Konfliktlösungsmechanismen bei Meinungsverschiedenheiten zwischen Arbeitgeber und Betriebsrat und mögliche Einrichtung einer ständigen Einigungsstelle; Festlegung von Einigungsstellenvorsitzenden;
• Nachverhandlungsanspruch im Falle von gesetzlichen Änderungen am bestehenden Datenschutzrecht, insbesondere im Hinblick auf mögliche weitere Änderungen des BDSG n.F.  sowie in Bezug auf mögliche künftige datenschutzrechtliche Spezialnormen, etwa zum Sozialdatenschutz;
• gegebenenfalls Verpflichtung dazu, umgehend eine umfangreichere Rahmenbetriebsvereinbarung und/oder Betriebsvereinbarungen zu Einzelfragen (z.B. einzelne technische Einrichtungen) zu verhandeln;
• Vereinbarung einer umfassenden Nachwirkung der gesamten Betriebsvereinbarung.