Kläger ist ein Betriebsratsvorsitzender. Formal geht es ihm um Schadenersatz gemäß Art. 82 Datenschutz-Grundverordnung (DSGVO). Der Kläger wirft seinem Arbeitgeber vor, er hätte die Personaldaten des Klägers rechtswidrig verarbeitet. Diesen Vorwurf stützt er unter anderem darauf, dass sein Arbeitgeber in unerlaubter Weise Personaldaten dazu verwendet hätte, um das System Workday zu testen.
Die nachfolgende Darstellung beschränkt sich bewusst auf die Aussagen, die das Gericht zu diesem Aspekt macht. Sie sind für alle Fälle wichtig, in denen Verantwortliche personenbezogene Echtdaten nutzen, um ein System lediglich zu testen.
Dass das Gericht dem Kläger im Ergebnis keinen Schadenersatz zusprechen will, hat in diesem Zusammenhang keine Bedeutung. Die Gründe hierfür haben mit der Frage, ob ein Arbeitgeber personenbezogene Echtdaten für Testzwecke verwenden darf, nämlich nichts zu tun. Wer sich für sie interessiert, kann sie in den Rn 98–104 der Entscheidung nachlesen.
Der Kläger hatte sich noch nicht einmal die Mühe gemacht, mit seinem Klageantrag eine konkrete Summe zu fordern In der vorherigen Instanz hatte er die Summe von 3.000 Euro ins Spiel gebracht (siehe Rn 19 der Entscheidung). Auf Geld kommt es ihm ersichtlich nicht an. Er will seinen Arbeitgeber eher in die Knie zwingen, wie auch immer.
Der Arbeitgeber ist ein Unternehmen der Zahnmedizin. Seit inzwischen mehr als zehn Jahren gehört es zu einem Konzern Die Konzernmutter hat ihren Sitz in den USA. Der Kläger steht seit 1. September 1984 im jetzigen Arbeitsverhältnis. Es bestand zunächst mit einem anderen Unternehmen. Als dieses Unternehmen mit dem Unternehmen des jetzigen Arbeitgebers verschmolzen wurde, ging das Arbeitsverhältnis automatisch über. Der Kläger ist Vorsitzender des Betriebsrats.
Etwa im Jahr 2017 begannen Planungen, im gesamten Konzern Workday einzuführen. Dabei handelt es sich um ein Personalinformationssystem, das cloudbasiert ist. Diese Planungen führten zu Spannungen zwischen dem Betriebsrat und dem Arbeitgeber.
Der Kläger forderte den Arbeitgeber auf, ihm Auskunft über alle Daten zu erteilen, die zu seiner Person bereits in Workday gespeichert sind. Wegen dieser Forderung kam es zu einem gerichtlichen Verfahren. In diesem Verfahren stellte sich heraus, dass der Arbeitgeber zwischen dem 24. April 2017 und dem 18. Mai 2017 personenbezogene Daten des Klägers aus SAP auf eine Sharepoint-Seite der Konzernmutter übermittelt hatte. Dies geschah, um Workday testweise mit diesen Daten zu befüllen.
Am 3. Juli 2017 unterzeichneten der Betriebsrat und der Arbeitgeber eine „Duldungs-Betriebsvereinbarung über die Einführung von Workday“. Eine Anlage zu dieser Betriebsvereinbarung hält tabellarisch im Detail fest, welche Daten von Arbeitnehmern der Arbeitgeber in Workday übertragen darf. Die Geltung dieser Betriebsvereinbarung wurde mehrfach verlängert, zuletzt bis zum 31. Januar 2019.
Am 23. Januar 2019 einigten sich Arbeitgeber und Betriebsrat auf zwei Betriebsvereinbarungen, nämlich eine „Rahmenbetriebsvereinbarung zum Betrieb von IT-Systemen“ und auf eine „Betriebsvereinbarung zur Einführung und Verwendung von Workday“.
Beide Betriebsvereinbarungen traten noch an diesem Tag in Kraft. Die bisherige Duldungs-Betriebsvereinbarung verlor damit ihre Funktion und wurde durch die neuen Betriebsvereinbarungen abgelöst.
Kurz nach dem Beginn der Geltung dieser Betriebsvereinbarungen löschte der Arbeitgeber alle Daten, deren Speicherung auf ihrer Basis in Workday nicht zulässig ist.
Gegen die Verarbeitung von personenbezogenen Daten, die nach den Regelungen der beiden „neuen“ Betriebsvereinbarungen zulässig sind, erhebt der Kläger keine Einwendungen. Ihm geht es nur um die Übermittlung von personenbezogenen Daten auf die Sharepoint-Seite der Konzernmutter und um die nachfolgende Befüllung von Workday. Er hält diese Verarbeitungsvorgänge für rechtswidrig. Darauf will er seinen Anspruch auf Schadenersatz stützen.
Zu der Frage, ob der Arbeitgeber das Workday-Testsystem mit echten Personaldaten befüllen durfte, hält das Gericht zunächst fest, dass der Arbeitgeber die „Duldungs-Betriebsvereinbarung“ schon vom ersten Tag an verletzt hat.
Bereits vor ihrer Unterzeichnung, aber auch noch danach, hat der Arbeitgeber folgende Personaldaten des Klägers in Workday verwendet, die in der Anlage zu dieser Betriebsvereinbarung nicht vorgesehen waren:
Der Arbeitgeber räumt ein, dass die Duldungs-Betriebsvereinbarung die Speicherung dieser Datenkategorien nicht vorsah. Damit steht fest, dass jedenfalls die Duldungs-Betriebsvereinbarung keine Rechtsgrundlage für die Verarbeitung dieser Daten darstellte.
Das Gericht prüft deshalb als nächstes, ob § 26 Bundesdatenschutzgesetz (BDSG) als Rechtsgrundlage für die Verarbeitung dieser Daten zu Testzwecken infrage kommt.
Nach § 26 Abs. 1 BDSG dürfen Arbeitgeber personenbezogene Daten von Beschäftigten im Rahmen des Beschäftigungsverhältnisses verarbeiten. Voraussetzung ist allerdings, dass diese Verarbeitung „erforderlich“ ist, um das Arbeitsverhältnis durchzuführen (so ausdrücklich § 26 Abs. 1 Satz 1 BDSG).
Davon kann nach Auffassung des Gerichts keine Rede sein. Der Arbeitgeber hat das System Workday nicht produktiv genutzt, um das Arbeitsverhältnis durchzuführen. Vielmehr erfolgte die Nutzung nur zu Testzwecken. Die Verarbeitung der Daten des Klägers zur Durchführung des Arbeitsverhältnisses erfolgte weiterhin im schon bisher benutzten System SAP.
Zu dieser Situation sagt das Gericht sehr deutlich: „Eine Datenverarbeitung von personenbezogenen Daten in einem nicht zur Personalverwaltung produktiv genutzten „Zweitsystem“ kann nicht auf der Grundlage von § 26 Abs. 1 BDSG gerechtfertigt sein.“ (Rn 73 der Entscheidung).
Gewissermaßen als letzte Möglichkeit prüft das Gericht, ob Art. 6 Abs. 1 Buchstabe f DSGVO als Rechtsgrundlage für die Testverarbeitung der Personaldaten infrage kommt, die in der Duldungs-Betriebsvereinbarung nicht aufgelistet waren.
Die Regelung sieht vor, dass eine Verarbeitung dann rechtmäßig ist, wenn sie zur Wahrung der berechtigten Interessen des Verantwortlichen erforderlich ist. Zusätzliche Voraussetzung ist dabei, dass die Interessen und Grundrechte der betroffenen Person nicht überwiegen dürfen.
Dieser Ansatz scheitert nach Auffassung des Gerichts jedenfalls daran, dass die testweise Verarbeitung von Daten auch hier nicht als „erforderlich“ anzusehen ist.
Hierzu sagt das Gericht: „Es fehlt in jedem Fall an der Erforderlichkeit einer Datenverarbeitung, die nicht der Personalverwaltung / Abrechnung etc. dient, sondern allein ein System testen soll. Milderes Mittel, um das System zu testen, wäre in jedem Fall die Verwendung von Daten fiktiver Beschäftigter („Max Mustermann“) gewesen.“ (so Rn 76 der Entscheidung).
Dass es zwingend notwendig war, für den Test von Workday Echtdaten zu verwenden, hatte der Arbeitgeber im Prozess zwar angedeutet. Er legte das nach Auffassung des Gerichts aber nicht annähernd so konkret dar, dass es nachvollziehbar gewesen wäre.
Im Ergebnis gelangt das Gericht somit zur Auffassung, dass eine „Kollektivvereinbarung“ die einzige denkbare Rechtsgrundlage für den Betrieb eines Testsystems mit personenbezogenen Echtdaten von Arbeitnehmern darstellt.
Der Begriff „Kollektivvereinbarung“ findet sich in § 26 Abs. 4 BDSG. Er ist aus Erwägungsgrund 155 Satz 1 der DSGVO übernommen. Dieser Erwägungsgrund stellt klar, dass Kollektivvereinbarungen als spezifischere Vorschriften anzusehen sein können, die dem Art. 88 DSGVO („Datenverarbeitung im Beschäftigungskontext“) vorgehen. Ferner hebt er ausdrücklich hervor, dass „Betriebsvereinbarungen“ des deutschen Rechts als solche Kollektivvereinbarungen anzusehen sind.
Weitreichende Konsequenzen für Systemtests
Weitergedacht bedeutet dies: Wenn ein Unternehmen nicht über einen Betriebsrat verfügt, kann es Daten von Beschäftigten nicht in rechtmäßiger Weise dazu verwenden, um ein System zu testen. Denn wo es keinen Betriebsrat gibt, ist auch keine Betriebsvereinbarung möglich.
Dies spricht das Gericht fast schon nebenbei an einer Stelle seiner Entscheidung auch aus: „Eine Datenverarbeitung von personenbezogenen Daten in einem nicht zur Personalverwaltung produktiv genutzten „Zweitsystem“ kann nicht auf der Grundlage von § 26 Abs. 1 BDSG gerechtfertigt sein, sondern nur auf der Grundlage einer Kollektivvereinbarung (§ 26 Abs. 4 BDSG)“ (so Rn 73 der Entscheidung).
Gerade für Unternehmen mit einer Konzernmutter in den USA ist das eine Nachricht fast schon mit Sprengkraft. Denn Betriebsvereinbarungen in der Art, wie sie das deutsche Recht kennt, sind dem US-Recht fremd. Und das Verständnis für Betriebsräte und ihre Funktion ist in den USA oft auch nicht besonders ausgeprägt.
Das Urteil des Landesarbeitsgerichts Baden-Württemberg vom 25.2.2021, Aktenzeichen 17 Sa 37/20 besteht aus insgesamt 106 Randnummern Sie ist abrufbar unter http://lrbw.juris.de/cgi-bin/laender_rechtsprechung/document.py?Gericht=bw&nr=34234.
Die hier dargestellten Ausführungen zur Rechtsgrundlage für den Betrieb eines Testsystems mit Echtdaten sind vor allem in den Rn 67–76 enthalten.
