Aus meiner Sicht ist eine pauschale Einwilligung aller Mitarbeiter auf Basis einer Betriebsvereinbarung nicht möglich.
Die Verarbeitung auf Basis von Art. 88 Abs. 1 Satz 1 DSGVO ivm § 26 BDSG bezieht sich immer nur auf die „Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext, insbesondere für Zwecke der Einstellung, der Erfüllung des Arbeitsvertrags […] und für Zwecke der Beendigung des Beschäftigungsverhältnisses“ – also Art. 6 Abs. 1 lit. b (Vertragsgrundlage).
Sofern eine Verarbeitung nicht die Begründung, die Durchführung oder Beendigung eines Beschäftigungsverhältnisses betrifft, ist eine Einwilligung notwendig.
Aber auch § 26 Abs. 4 erlaubt eine Verarbeitung auf der Grundlage von Kollektivvereinbarungen nur „für Zwecke des Beschäftigungsverhältnisses“ – also nicht für andere Sachen, die einer Einwilligung bedürfen. Außer, man definiert alles, was im Büro passiert, als „für Zwecke des Beschäftigungsverhältnisses“ notwendig.
Sieht das jemand anders? Falls ja: Wie kann man das begründen?
Die EInwililgung wäre eine mögliche Rechtsgrundlage für Verarbeitungen; die Betriebsvereinbarung auch. Also kein Ersatz für eine kollektive Einwilligung, sondern was Eigenständiges. Alles im Rahmen ihrer betriebsverfassungsrechtichen Regelungsmöglichkeiten (§ 77 BetrVG) und nur soweit sie die Anforderungen an solche Kollektivvereinbarungen erfüllt (Art. 88 Abs. 2 DSGVO).
D., der jetzt kein Gegenargument liefert, wonach BV Einweilligungen ersetzen könnten, der aber ebenfalls auf welche gespannt wäre. Mal sehen, ob jemand versucht, Rechte von Mitbewohnern im Home Office, Verarbeitung von Beschäftigtendaten in deren Rolle als Kunden usw. über BV zu regeln.
Warum soll ich auf Grundlage einer BV einwilligen, wenn die BV bereits eine Rechtsgrundlage für die Verarbeitung sein kann (§ 26 Abs. 4 BDSG)?
Weil eine BV eine gespaltene Persönlichkeit hat: einerseits soll sie nach Maßgabe ihres Anwendungsbereichs umfassend und unmittelbar im Betrieb wirken - sie hat also normative Wirkung ähnlich wie ein Gesetz. Andererseits ist sie natürlich auch ein Vertrag zwischen den Betriebsparteien (Arbeitgeber und Betriebsrat). Das ist die schuldrechtliche Wirkung einer BV. Die Betriebsparteien regeln zwischen sich verbindlich einen Sachverhalt.
Wenn jetzt in einer BV festgeschrieben ist, dass für die oder die Verarbeitung die Einwilligung der AN erforderlich ist, hat diese Textpassage keine normative Wirkung, sondern schuldrechtliche: Der AG verpflichtet sich, für solche Verarbeitungszwecke eine Einwilligung einzuholen. Der Betriebsrat hat damit dann indirekt das berechtigte Interesse als mögliche Rechtsgrundlage rausgekickt. Denn unabhängig von der Frage, ob Art. 6 Abs.1 lit f DSGVO neben Art. 6 Abs. 1 lit.a DSGVO anwendbar ist, kann hier die Interessenabwägung nur zuungunsten des AG ausfallen, da er sich in der BV ja ganz bewusst dazu verpflichtet hat, auf jeden Fall eine Einwilligung einzuholen.
Man soll nicht auf Grundlage einer BV einwilligen, sondern die BV soll (angeblich) die eigentlich individuell notwendige Einwilligung für alle Mitarbeiter pauschal übernehmen.
Im Gegensatz dazu ist eine Datenverarbeitung nach § 26 Abs. 4 Satz 1 BDSG nicht an eine Erforderlichkeit gebunden. Die Legitimation der Datenverarbeitung wird stattdessen an eine Kollektivvereinbarung, beispielsweise eine Betriebsvereinbarung, geknüpft. Mittels dieses „kollektiven Einverständnisses“ …
Der Kommentar unter dem Artikel stellt es richtig. Die Erforderlichkeit entfällt nicht, es bleibt im Beschäftigtenkontext (siehe auch Art.88 DSGVO und Erwägungsgrund 155, https://www.datenschutz-wiki.de/DSGVO:Art_88).
Ich meine auch, dass die BV nicht die Einwilligung ersetzt, dass die BV als rechtliche Grundlage (Verpflichtung) zählen kann (im Bereich Öffnungsklausel Art. 88) und das es daneben die Einwilligung geben kann. Man kann das aber auch koppeln: BV gilt, aber nur, wenn der MA zugestimmt hat (Bsp. wäre hierzu Durchführung von Betrieblichem Eingliederungs-Management; sogar gesetzlich so gekoppelt in § 167 SGB IX).
interessante Frage nach der Regelungsreichweite von BVs … wir haben Personen aus dem 26/8 BDSG im Hause und diese fallen “datenschutzrechtlich” ja in den Topf “Beschäftigte”, sind aber natürlich nicht mit einem Beschäftigungsverhältnis (Arbeitsvertrag) ausgestattet. Das BVs nach 26/4 die Verarbeitung von pbD auch von unserer “Kundschaft” möglich machen, hm, da hätte ich erste Zweifel. Davor kommt für mich schon eine andere Frage: kann ein Betriebsrat eine BV mit dem AG vereinbaren, in dem es aus BR Sicht um Verarbeitungen von Daten Dritter geht, denn der BR hat aus dem § 5 BetrVG ja kein Mandat für viele Personen nach 26/8 Nr. … Also, wie soll da eine BV für “Mitbewohner” oder Kunden greifen können? Ich schließe mich deiner Neugierde nach solchen Lösungen an.
In der BV kann nicht ein Dritter über das APR eines Individuums entscheiden. Es bedarf der Einwilligung. Die wird im Beschäftigungsverhältnis aber nicht alleinstehend ausreichen, weil das Subordinationsverhältnis eine Freiwilligkeit zweifelhaft erscheinen lässt. Nur im Zusammenspiel wird ein Schuh draus:
Erst wird eine BV geschlossen. Inhalt ist, dass ein gewisser Sachverhalt vom AG so gestaltet wird, dass er im Einzelfall jeden AN um Einwilligung bitten darf und eine Ablehnung keine negativen Konsequenzen hat.
Im zweiten Schritt wird von jedem einzelnen, betroffenen AN eine Einwilligung eingeholt.
… und dann bekommt der AG X% an Einwilligungen (oder halt nicht).
tl;dr: EInwilligung beim AN ist Pflicht mit Fokus auf der Freiwilligkeit durch den Betriebsrat (2-stufig)
Arbeitgeber und Betriebsrat sind ja auch keine Dritten (zum BR siehe § 79a BetrVG). Dass die Betriebsparteien in einer BV auch unabhängig von einer Einwilligung die Verarbeitung pb Daten regeln dürfen, folgt aus § 26 Abs. 4 BDSG. Danach ist eine BV (die sich natürlich in den Grenzen des Art. 88 Abs. 2 DSGVO halten muss), wie eine gesetzlicher Erlaubnistatbestand anzusehen. Natürlich kann es in der BV dann nur um die Ausgestaltung des Beschäftigungsverhältnisses gehen, da wir uns systematisch noch in § 26 BDSG befinden.