EuGH-Entscheid zur Datenverarbeitung im Beschäftigungskontext
Eine nach Art. 88 Abs. 1 DSGVO erlassene nationale Rechtsvorschrift über die Verarbeitung personenbezogener Daten für die Zwecke von Beschäftigungsverhältnissen muss bewirken, dass ihre Adressaten nicht nur die Anforderungen erfüllen müssen, die sich aus Art. 88 Abs. 2 DSGVO ergeben, sondern auch diejenigen aus Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 DSGVO.
Im Rahmen eines Rechtsstreits zwischen einer natürlichen Person und ihrem Arbeitgeber über den Ersatz des immateriellen Schadens, der dieser Person durch eine Verarbeitung ihrer personenbezogenen Daten durch die Gesellschaft auf der Grundlage einer Betriebsvereinbarung entstanden sein soll, legte das Bundesarbeitsgericht (BAG) dem EuGH erstens die Frage vor, ob eine nationale Norm, wie § 26 Abs. 4 BDSG, die die Verarbeitung personenbezogener Daten für die Zwecke von Beschäftigungsverhältnissen regelt und im Wesentlichen vorsieht, dass eine solche Verarbeitung auf der Grundlage von Kollektivvereinbarungen unter Beachtung von Art. 88 Abs. 2 DSGVO zulässig ist, mit dieser Verordnung vereinbar ist oder ob die betreffende Verarbeitung zu diesem Zweck auch mit den übrigen Bestimmungen dieser Verordnung vereinbar sein muss. Das vorlegende Gericht neigt zu der Auffassung, dass im Fall einer durch eine „Kollektivvereinbarung“ im Sinne von Art. 88 DSGVO geregelten Verarbeitung personenbezogener Beschäftigtendaten diese Verarbeitung nicht nur von den sich aus Art. 88 ergebenden Anforderungen nicht abweichen dürfe, sondern auch nicht von denen, die sich aus Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 DSGVO ergäben, insbesondere was das in den drei letztgenannten Artikeln vorgesehene Kriterium der Erforderlichkeit der Verarbeitung angehe.
Für den Fall, dass die erste Frage bejaht wird, möchte das vorlegende Gericht zweitens wissen, ob die Parteien einer solchen Kollektivvereinbarung über einen Spielraum verfügen, der bei der Beurteilung der Erforderlichkeit der betreffenden Verarbeitung im Sinne von Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 DSGVO nur einer eingeschränkten gerichtlichen Kontrolle unterliegen sollte. Diese Auffassung lasse sich auf die Erwägung stützen, dass diese Parteien eine große Sachnähe besäßen und im Regelfall zu einem angemessenen Interessenausgleich gekommen seien. Die Rechtsprechung des Gerichtshofs zu anderen Rechtsakten des Unionsrechts deute jedoch eher darauf hin, dass die Bestimmungen einer Kollektivvereinbarung, die in den Anwendungsbereich des Unionsrechts falle, diesem nicht zuwiderlaufen dürften und dass solche Bestimmungen gegebenenfalls unangewendet gelassen werden müssten.
Drittens möchte das vorlegende Gericht für den Fall, dass seine zweite Frage bejaht wird, wissen, auf welche Beurteilungskriterien es gegebenenfalls seine gerichtliche Kontrolle zu beschränken hat.
Entscheid des EuGH zu den Vorlagefragen
Zur ersten Frage
Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 88 Abs. 1 und 2 DSGVO dahin auszulegen ist, dass eine nach Art. 88 Abs. 1 dieser Verordnung erlassene nationale Rechtsvorschrift über die Verarbeitung personenbezogener Daten für die Zwecke von Beschäftigungsverhältnissen bewirken muss, dass ihre Adressaten nicht nur die Anforderungen erfüllen müssen, die sich aus Art. 88 Abs. 2 dieser Verordnung ergeben, sondern auch diejenigen, die sich aus Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 der Verordnung ergeben.
Insoweit ist darauf hinzuweisen, dass die DSGVO eine grundsätzlich vollständige Harmonisierung der nationalen Rechtsvorschriften zum Schutz personenbezogener Daten sicherstellen soll. Allerdings eröffnen einzelne Bestimmungen dieser Verordnung den Mitgliedstaaten die Möglichkeit, zusätzliche, strengere oder einschränkende, nationale Vorschriften vorzusehen, und lassen ihnen ein Ermessen hinsichtlich der Art und Weise der Durchführung dieser Bestimmungen („Öffnungsklauseln“).
Art. 88 DSGVO, der die Verarbeitung personenbezogener Daten im Beschäftigungskontext betrifft, legt die Bedingungen fest, unter denen die Mitgliedstaaten durch Rechtsvorschriften oder durch Kollektivvereinbarungen „spezifischere Vorschriften“ zur Gewährleistung des Schutzes der Rechte und Freiheiten der von einer solchen Verarbeitung betroffenen Beschäftigten vorsehen können. Im 155. Erwägungsgrund dieser Verordnung heißt es u. a., dass der Begriff „Kollektivvereinbarung“ im Sinne von Art. 88 DSGVO „Betriebsvereinbarungen“ wie die im Ausgangsverfahren in Rede stehende einschließt. Ferner enthalten die Art. 5, 6 und 9 dieser Verordnung die Grundsätze für die Verarbeitung personenbezogener Daten, die Rechtmäßigkeitsvoraussetzungen dieser Verarbeitung und Vorschriften für die Verarbeitung besonderer Kategorien personenbezogener Daten.
Nach ständiger Rechtsprechung müssen die Begriffe einer Bestimmung des Unionsrechts, die – wie Art. 88 DSGVO – für die Ermittlung ihres Sinnes und ihrer Tragweite nicht ausdrücklich auf das Recht der Mitgliedstaaten verweist, in der Regel in der gesamten Union eine autonome und einheitliche Auslegung erhalten, die insbesondere unter Berücksichtigung des Wortlauts der betreffenden Bestimmung, der mit ihr verfolgten Ziele und des Zusammenhangs, in den sie sich einfügt, zu ermitteln ist.
Erstens ergibt sich aus dem Wortlaut von Art. 88 DSGVO, dass in dessen Abs. 1 verlangt wird, dass die nach dieser Bestimmung zugelassenen „spezifischeren Vorschriften“ einen zu dem geregelten Bereich passenden Regelungsgehalt haben, der sich von den allgemeinen Regeln der DSGVO unterscheidet, während Art. 88 Abs. 2 DSGVO im Einklang mit dem Harmonisierungsziel dieser Verordnung dem Ermessen der Mitgliedstaaten, die den Erlass einer nationalen Regelung auf der Grundlage dieses Abs. 1 beabsichtigen, einen Rahmen setzt.
Indessen enthält dieser Wortlaut keinen ausdrücklichen Hinweis darauf, ob die „spezifischeren Vorschriften“, die die Mitgliedstaaten somit erlassen können, der Einhaltung nur der in Art. 88 Abs. 2 DSGVO genannten Anforderungen Rechnung tragen müssen oder auch der Einhaltung der Anforderungen in anderen Bestimmungen dieser Verordnung, so dass die Verarbeitung personenbezogener Daten in Anwendung solcher Vorschriften überdies mit diesen letztgenannten Bestimmungen im Einklang stehen müsste.
Zweitens hat der Gerichtshof zu den Zielen von Art. 88 DSGVO bereits entschieden, dass dieser Artikel eine „Öffnungsklausel“ darstellt und dass sich die den Mitgliedstaaten durch Art. 88 Abs. 1 DSGVO eingeräumte Befugnis unter Berücksichtigung der Besonderheiten einer solchen Verarbeitung insbesondere durch das Bestehen eines Unterordnungsverhältnisses zwischen dem Beschäftigten und demjenigen, der ihn beschäftigt, erklärt. Die Vorgaben von Art. 88 Abs. 2 DSGVO spiegeln die Grenzen des Ermessens der Mitgliedstaaten in dem Sinne wider, dass der damit verbundene Bruch in der Harmonisierung nur zulässig sein kann, wenn die verbleibenden Unterschiede mit besonderen und geeigneten Garantien zum Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext einhergehen.
Ferner hat der Gerichtshof darauf hingewiesen, dass die Mitgliedstaaten, wenn sie von der ihnen durch Art. 88 DSGVO eingeräumten Befugnis Gebrauch machen, von ihrem Ermessen unter den Voraussetzungen und innerhalb der Grenzen der Bestimmungen dieser Verordnung Gebrauch machen und daher Rechtsvorschriften erlassen müssen, die nicht gegen den Inhalt und die Ziele der DSGVO verstoßen, die, wie sich aus ihrem zehnten Erwägungsgrund ergibt, u. a. ein hohes Schutzniveau für die Rechte und Freiheiten der von einer solchen Verarbeitung betroffenen Personen gewährleisten soll. Daher müssen die von einem Mitgliedstaat auf der Grundlage von Art. 88 DSGVO erlassenen Vorschriften zum Ziel haben, die Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten zu schützen.
Art. 88 DSGVO kann aber nicht dahin ausgelegt werden, dass die „spezifischeren Vorschriften“, die die Mitgliedstaaten nach diesem Artikel erlassen dürfen, die Umgehung der sich aus anderen Bestimmungen dieser Verordnung ergebenden Verpflichtungen des Verantwortlichen oder gar des Auftragsverarbeiters bezwecken oder bewirken könnten, da sonst alle diese Ziele, insbesondere das Ziel, ein hohes Schutzniveau für die Beschäftigten im Fall der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext sicherzustellen, beeinträchtigt würden.
Daraus folgt, dass Art. 88 Abs. 1 und 2 DSGVO dahin auszulegen ist, dass auch dann, wenn sich die Mitgliedstaaten auf diesen Artikel stützen, um in ihre jeweiligen innerstaatlichen Rechtsordnungen „spezifischere Vorschriften“ durch Rechtsvorschriften oder durch Kollektivvereinbarungen einzuführen, auch die Anforderungen erfüllt sein müssen, die sich aus den anderen Bestimmungen ergeben, auf die sich die vorliegende Frage speziell bezieht, nämlich Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 dieser Verordnung. Dies gilt somit u. a. für die Einhaltung des in diesen Bestimmungen vorgesehenen Kriteriums der Erforderlichkeit der Verarbeitung, nach dem das vorlegende Gericht insbesondere fragt.
Drittens bestätigt der Kontext, in den sich Art. 88 DSGVO einfügt, diese Auslegung.
Art. 88 DSGVO ist nämlich in deren Kapitel IX („Vorschriften für besondere Verarbeitungssituationen“) enthalten, während die Art. 5, 6 und 9 zu Kapitel II („Grundsätze“) DSGVO gehören, das somit allgemeinere Tragweite hat. Im Übrigen geht aus dem Wortlaut von Art. 6 DSGVO, der in seinen Abs. 2 und 3 ausdrücklich auf die Bestimmungen dieses Kapitels IX Bezug nimmt, klar hervor, dass die in diesem Art. 6 vorgesehenen Rechtmäßigkeitsvoraussetzungen auch im Rahmen der in den Bestimmungen des Kapitels IX der Verordnung geregelten „besonderen Situationen“ verbindlich sind.
Zudem müssen nach ständiger Rechtsprechung bei jeder Verarbeitung personenbezogener Daten die in Kapitel II DSGVO aufgestellten Grundsätze für die Verarbeitung solcher Daten sowie die in Kapitel III DSGVO geregelten Rechte der betroffenen Person beachtet werden. Insbesondere muss die Verarbeitung mit den in Art. 5 der Verordnung aufgestellten Grundsätzen für die Verarbeitung dieser Daten im Einklang stehen und die in Art. 6 der Verordnung aufgezählten Voraussetzungen für die Rechtmäßigkeit der Verarbeitung erfüllen.
Was insbesondere das Verhältnis zwischen Art. 88 DSGVO und anderen Bestimmungen dieser Verordnung betrifft, hat der Gerichtshof u. a. im Licht des achten Erwägungsgrundes dieser Verordnung festgestellt, dass ungeachtet etwaiger von den Mitgliedstaaten auf der Grundlage von Art. 88 Abs. 1 dieser Verordnung erlassener „spezifischerer Vorschriften“ bei jeder Verarbeitung personenbezogener Daten die Verpflichtungen beachtet werden müssen, die sich aus den Bestimmungen der Kapitel II und III DSGVO sowie insbesondere aus deren Art. 5 und 6 ergeben.
Ebenso sind die Verpflichtungen aus Art. 9 DSGVO bei jeder unter diese Verordnung fallenden Verarbeitung personenbezogener Daten zu beachten, auch wenn nach Art. 88 Abs. 1 DSGVO erlassene „spezifischere Vorschriften“ vorliegen. Dieser Art. 9, der die Verarbeitung der dort aufgeführten besonderen Datenkategorien regelt, gehört nämlich zu Kapitel II der Verordnung, ebenso wie deren Art. 5 und 6, deren Anforderungen im Übrigen mit denen aus Art. 9 kumulierbar sind. Diese Auslegung steht darüber hinaus im Einklang mit dem Zweck von Art. 9 DSGVO, der darin besteht, einen erhöhten Schutz vor Datenverarbeitungen zu gewährleisten, die aufgrund der besonderen Sensibilität der betreffenden Daten einen besonders schweren Eingriff in die Grundrechte der betroffenen Personen darstellen können.
Daher müssen in dem Fall, dass zum Recht eines Mitgliedstaats „spezifischere Vorschriften“ im Sinne von Art. 88 Abs. 1 DSGVO gehören, die von diesen Vorschriften erfassten Verarbeitungen personenbezogener Daten nicht nur die Voraussetzungen in Art. 88 Abs. 1 und 2 DSGVO, sondern auch die Voraussetzungen in den Art. 5, 6 und 9 dieser Verordnung in ihrer Auslegung durch die Rechtsprechung des Gerichtshofs erfüllen.
Nach alledem ist auf die erste Frage zu antworten, dass Art. 88 Abs. 1 und 2 DSGVO dahin auszulegen ist, dass eine nach Art. 88 Abs. 1 dieser Verordnung erlassene nationale Rechtsvorschrift über die Verarbeitung personenbezogener Daten für die Zwecke von Beschäftigungsverhältnissen bewirken muss, dass ihre Adressaten nicht nur die Anforderungen erfüllen müssen, die sich aus Art. 88 Abs. 2 dieser Verordnung ergeben, sondern auch diejenigen, die sich aus Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 der Verordnung ergeben.
Zur zweiten Frage
Mit seiner zweiten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 88 Abs. 1 DSGVO dahin auszulegen ist, dass im Fall einer in den Anwendungsbereich dieser Bestimmung fallenden Kollektivvereinbarung der Spielraum der Parteien dieser Kollektivvereinbarung bei der Bestimmung der „Erforderlichkeit“ einer Verarbeitung personenbezogener Daten im Sinne von Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 dieser Verordnung das nationale Gericht daran hindert, insoweit eine umfassende gerichtliche Kontrolle auszuüben.
Zunächst ist darauf hinzuweisen, dass, wie in Rn. 41 des vorliegenden Urteils ausgeführt, die Mitgliedstaaten, die die ihnen durch Art. 88 DSGVO eingeräumte Befugnis ausüben, von ihrem Ermessen unter den Voraussetzungen und innerhalb der Grenzen der Bestimmungen dieser Verordnung Gebrauch machen und somit dafür Sorge tragen müssen, dass die „spezifischeren Vorschriften“, die sie in ihre innerstaatliche Rechtsordnung einfügen, nicht gegen den Inhalt und die Ziele der DSGVO verstoßen. Diese Vorschriften müssen u. a. darauf abzielen, ein hohes Schutzniveau für die Freiheiten und Grundrechte der Beschäftigten bei der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext zu gewährleisten.
Zum Umfang der gerichtlichen Kontrolle, die in Bezug auf solche spezifischen Vorschriften ausgeübt werden kann, hat der Gerichtshof bereits entschieden, dass es Sache des angerufenen nationalen Gerichts ist, das für die Auslegung des nationalen Rechts allein zuständig ist, zu beurteilen, ob diese Vorschriften die insbesondere in Art. 88 DSGVO vorgegebenen Voraussetzungen und Grenzen beachten. Gemäß dem Grundsatz des Vorrangs des Unionsrechts ist das vorlegende Gericht, sollte es zu der Feststellung gelangen, dass die betreffenden nationalen Bestimmungen diese Voraussetzungen und Grenzen nicht beachten, dazu verpflichtet, diese Bestimmungen unangewendet zu lassen. In Ermangelung spezifischerer Vorschriften, die den Anforderungen von Art. 88 DSGVO genügen, wird die Verarbeitung personenbezogener Daten im Beschäftigungskontext unmittelbar durch diese Verordnung geregelt.
Diese Erwägungen gelten auch für die Parteien einer Kollektivvereinbarung im Sinne von Art. 88 DSGVO wie der im Ausgangsverfahren in Rede stehenden. Wie die Europäische Kommission in ihren schriftlichen Erklärungen im Wesentlichen ausgeführt hat, müssen die Parteien einer Kollektivvereinbarung nämlich über einen Spielraum verfügen, der insbesondere hinsichtlich seiner Grenzen dem den Mitgliedstaaten zuerkannten Ermessen gleichwertig ist, da sich die „spezifischeren Vorschriften“ im Sinne von Art. 88 Abs. 1 DSGVO u. a. aus Kollektivvereinbarungen ergeben können. Im 155. Erwägungsgrund dieser Verordnung heißt es auch, dass solche Vorschriften im Recht der Mitgliedstaaten oder in Kollektivvereinbarungen, einschließlich „Betriebsvereinbarungen“, vorgesehen werden können.
Ungeachtet des Spielraums, den Art. 88 DSGVO den Parteien einer Kollektivvereinbarung einräumt, muss sich daher die gerichtliche Kontrolle einer solchen Kollektivvereinbarung ebenso wie die einer nach dieser Bestimmung erlassenen Vorschrift des nationalen Rechts ohne jede Einschränkung auf die Einhaltung aller Voraussetzungen und Grenzen erstrecken können, die die Bestimmungen dieser Verordnung für die Verarbeitung personenbezogener Daten vorschreiben.
Sodann ist darauf hinzuweisen, dass eine solche gerichtliche Kontrolle speziell auf die Prüfung gerichtet sein muss, ob die Verarbeitung solcher Daten im Sinne der Art. 5, 6 und 9 DSGVO „erforderlich“ ist. Mit anderen Worten kann Art. 88 DSGVO nicht dahin ausgelegt werden, dass die Parteien einer Kollektivvereinbarung über eine Beurteilungsbefugnis verfügen, die es ihnen erlauben würde, „spezifischere Vorschriften“ einzuführen, die dazu führen, dass diese Voraussetzung der Erforderlichkeit weniger streng angewandt wird oder gar darauf verzichtet wird.
Zwar verfügen, wie das vorlegende Gericht und Irland im Wesentlichen ausgeführt haben, die Parteien einer Kollektivvereinbarung im Allgemeinen über gute Grundlagen für die Beurteilung, ob eine Datenverarbeitung in einem konkreten beruflichen Kontext erforderlich ist, da diese Parteien gewöhnlich umfangreiche Kenntnisse in Bezug auf die spezifischen Bedürfnisse im Beschäftigungsbereich und im betreffenden Tätigkeitsbereich haben. Ein solcher Beurteilungsprozess darf jedoch nicht dazu führen, dass diese Parteien aus Gründen der Wirtschaftlichkeit oder Einfachheit Kompromisse schließen, die das Ziel der DSGVO, ein hohes Schutzniveau der Freiheiten und Grundrechte der Beschäftigten bei der Verarbeitung ihrer personenbezogenen Daten zu gewährleisten, in unzulässiger Weise beeinträchtigen könnten.
Daher wäre eine Auslegung von Art. 88 DSGVO dahin, dass die nationalen Gerichte in Bezug auf eine Kollektivvereinbarung keine umfassende gerichtliche Kontrolle ausüben können, insbesondere um zu prüfen, ob die von den Parteien dieser Kollektivvereinbarung geltend gemachten Rechtfertigungsgründe die Erforderlichkeit der sich aus dieser Vereinbarung ergebenden Verarbeitung personenbezogener Daten belegen, in Anbetracht des in der vorstehenden Randnummer des vorliegenden Urteils genannten Schutzziels nicht mit dieser Verordnung vereinbar.
Schließlich ist darauf hinzuweisen, dass das angerufene nationale Gericht, sollte es nach seiner Prüfung feststellen, dass einzelne Bestimmungen der betreffenden Kollektivvereinbarung die von der DSGVO vorgeschriebenen Voraussetzungen und Grenzen nicht beachten, diese Bestimmungen gemäß der in Rn. 53 des vorliegenden Urteils angeführten Rechtsprechung unangewendet lassen müsste.
Nach alledem ist auf die zweite Frage zu antworten, dass Art. 88 Abs. 1 DSGVO dahin auszulegen ist, dass im Fall einer in den Anwendungsbereich dieser Bestimmung fallenden Kollektivvereinbarung der Spielraum der Parteien dieser Kollektivvereinbarung bei der Bestimmung der „Erforderlichkeit“ einer Verarbeitung personenbezogener Daten im Sinne von Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 dieser Verordnung das nationale Gericht nicht daran hindert, insoweit eine umfassende gerichtliche Kontrolle auszuüben.
Zur dritten Frage
In Anbetracht der Antwort auf die zweite Frage braucht die dritte Frage nicht beantwortet zu werden.
Urteil des EuGH
Aus den genannten Gründen hat der Gerichtshof (Achte Kammer) für Recht erkannt:
- Art. 88 Abs. 1 und 2 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass eine nach Art. 88 Abs. 1 dieser Verordnung erlassene nationale Rechtsvorschrift über die Verarbeitung personenbezogener Daten für die Zwecke von Beschäftigungsverhältnissen bewirken muss, dass ihre Adressaten nicht nur die Anforderungen erfüllen müssen, die sich aus Art. 88 Abs. 2 dieser Verordnung ergeben, sondern auch diejenigen, die sich aus Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 der Verordnung ergeben.
- Art. 88 Abs. 1 der Verordnung 2016/679 ist dahin auszulegen, dass im Fall einer in den Anwendungsbereich dieser Bestimmung fallenden Kollektivvereinbarung der Spielraum der Parteien dieser Kollektivvereinbarung bei der Bestimmung der „Erforderlichkeit“ einer Verarbeitung personenbezogener Daten im Sinne von Art. 5, Art. 6 Abs. 1 sowie Art. 9 Abs. 1 und 2 dieser Verordnung das nationale Gericht nicht daran hindert, insoweit eine umfassende gerichtliche Kontrolle auszuüben.
Fundstelle: Urteil des EuGH vom 19. Dezember 2024 in der Rechtssache C‑65/23 – im Internet abrufbar unter CURIA - Dokumente