Eine erstinstanzliche, aber rechtskräftige Entscheidung der Datenschutzbehörde sorgt für Aufsehen im Arbeitnehmerdatenschutzrecht. Sie wird – jedenfalls bis auf Weiteres – für die betriebliche Praxis erhebliche Bedeutung haben. Was ist passiert?
Ein Arbeitgeber nutzte für ein 360-Grad-Feedback das HR-Tool „MyHR“. Dabei erhob er personenbezogene Daten von Vorgesetzten und stellte sie Führungskräften zur Verfügung. Zwar bestand eine Rahmenbetriebsvereinbarung zur Verarbeitung von Beschäftigtendaten; das konkrete Tool war davon aber nicht erfasst und auch nicht durch eine Zusatz-Betriebsvereinbarung gedeckt. Ein betroffener Mitarbeitender wandte sich an die Datenschutzbehörde. Wie entschied diese?
Die Datenschutzbehörde (DSB 2025-0.960.016) gab der Beschwerde statt und stellte fest, dass die Verarbeitung personenbezogener Daten im Rahmen des 360-Grad-Feedbacks den Arbeitnehmer in seinem Recht auf Datenschutz verletzte. Zudem untersagte sie dem Arbeitgeber die Verwendung des Tools mit sofortiger Wirkung bis zum Abschluss einer gültigen Betriebsvereinbarung.
Die Entscheidung geht über den Einzelfall weit hinaus. Die Datenschutzbehörde beantwortet darin zwei wesentliche – bisher umstrittene – Rechtsfragen als Aufsichtsbehörde im Sinne der DSGVO:
- Zum einen qualifiziert sie § 96 ArbVG als beschäftigtendatenschutzrechtliche Norm im Sinne der Öffnungsklausel des Art 88 DSGVO. Dies entspricht der Linie des OGH in 6 ObA 2/23x: Das ArbVG kann, soweit es die Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext regelt, als spezifischere Vorschrift im Sinne des Art 88 DSGVO gelten.
- Zum anderen verstößt eine Datenverarbeitung ohne die nach dem ArbVG erforderliche Betriebsvereinbarung per se gegen die DSGVO und § 1 Abs 1 DSG. Auf ein berechtigtes Interesse nach Art 6 Abs 1 lit f DSGVO kann sich der Arbeitgeber bei einem solchen Verstoß gegen das Betriebsverfassungsrecht nicht stützen.
Was bedeutet das für die betriebliche Praxis?
Die datenschutzrechtliche Zulässigkeit eines HR-Systems ist stets auch am Maßstab der notwendigen Mitbestimmung des Betriebsrats zu prüfen. Fehlt eine nach dem ArbVG erforderliche Betriebsvereinbarung, verletzt die Datenverarbeitung unmittelbar die DSGVO und das Grundrecht auf Datenschutz nach § 1 Abs 1 DSG. Dies kann sämtliche Folgen der DSGVO auslösen – einschließlich möglicher Geldbußen nach der DSGVO.
Das Arbeitsrecht, konkret das Betriebsverfassungsrecht, schlägt demnach unmittelbar in der DSGVO auf. Arbeitnehmerdatenschutz ist ohne Einhaltung von Arbeits- bzw. Arbeitsverfassungsrecht daher nicht mehr denkbar. Arbeitnehmerdatenschutz wird damit endgültig zu einem erheblichen Compliance-Thema. Die Einführung von HR-Tools, die personenbezogene Arbeitnehmerdaten verarbeiten, ohne Berücksichtigung des Arbeitsrechts, führt zu einem klaren Compliance-Bruch – mit allen Folgen der DSGVO. Zu beachten ist auch, dass nach dieser Entscheidung nicht nur der Betriebsrat und einzelne Arbeitnehmende gegen eine unzulässige Datenverarbeitung mittels Unterlassungsklage vorgehen können, sondern auch einzelne betroffene Arbeitnehmende das „niederschwellige“ (und kostenlose) Verfahren bei der Datenschutzbehörde bemühen können. Mitunter mit dem Ergebnis, dass dem Arbeitgeber die Nutzung behördlich untersagt wird.
Ob die Entscheidung der Behörde materiell so Bestand haben wird, bleibt abzuwarten. Im Sinne der Rechtssicherheit bleibt zu hoffen, dass auch der EuGH zu diesen sehr brisanten Rechtsfragen Stellung nehmen wird.
Wir unterstützen Sie gerne bei der Evaluierung des betriebsverfassungsrechtlichen Rahmens in Ihrem Unternehmen sowie bei der Gestaltung entsprechender Betriebsvereinbarungen. Wir verfügen über mehr als 20 Jahre an Erfahrung im Bereich des Arbeitnehmerdatenschutzrechts. Nutzen Sie unsere seit vielen Jahren bestehende fachbereichsübergreifende Datenschutz-Praxis. Sprechen Sie uns an. Wir sind ein eingespieltes Team.
Related Experts
