Betriebsvereinbarung und DSGVO Haftung

Das BAG hat klargestellt: Eine Betriebsvereinbarung allein schützt nicht vor DSGVO-Haftung. Was das Urteil bedeutet und wie Sie sich jetzt absichern.

Am 8. Mai 2025 hat das Bundesarbeitsgericht (BAG) ein Grundsatzurteil gefällt, das die Spielregeln für den Einsatz von HR-Software in Deutschland fundamental verändert hat. Das Urteil betrifft zwar konkret den Einsatz von Workday bei einer deutschen Konzerngesellschaft – seine Tragweite geht aber weit darüber hinaus.

Das Gericht hat entschieden: Eine Betriebsvereinbarung, die Datenübermittlungen genehmigt, die gegen die Grundsätze der DSGVO verstoßen, ist insoweit unwirksam. Und: Allein der Kontrollverlust über die eigenen Daten stellt einen ersatzfähigen immateriellen Schaden dar – ganz ohne konkreten Schaden.

Was war der konkrete Sachverhalt?

Ein deutsches Unternehmen hatte Workday eingeführt und dafür eine Betriebsvereinbarung abgeschlossen. Diese BV genehmigte die Übermittlung von Mitarbeiterdaten in eine US-amerikanische Cloud sowie die dort stattfindende Verarbeitung. Das Problem: Die Art der Datenübermittlung entsprach nicht den Anforderungen von Art. 5 DSGVO – insbesondere dem Zweckbindungsgrundsatz und der Datenminimierung.

Ein klagendes Betriebsratsmitglied bekam Recht: Das BAG sprach ihm 200 Euro Schadensersatz zu – nicht wegen eines konkreten Nachteils, sondern allein wegen des Kontrollverlustes über seine personenbezogenen Daten.

Warum ist das so bedeutsam?

Die Hochrechnung macht die Tragweite klar: Bei einem Unternehmen mit 500 Beschäftigten ergibt sich allein aus diesem einen Urteilsmaßstab ein Haftungsexposure von 100.000 Euro – für ein einziges nicht-konformes IT-System. Bei einem Großunternehmen mit 5.000 Mitarbeitenden sind es 1.000.000 Euro.

Das Urteil hat drei besonders weitreichende Konsequenzen:

• Eine Betriebsvereinbarung heilt keinen DSGVO-Verstoß: Wer sich darauf verlassen hat, dass eine BV ausreicht, um DSGVO-Compliance herzustellen, ist nun rechtlich ungesichert.

• Kein konkreter Schaden erforderlich: Es reicht, dass Daten über das erlaubte Maß hinaus verarbeitet wurden. Das Risiko von Sammelklagen oder einer Vielzahl individueller Klagen ist real.

• Rückwirkende Wirkung: Bestehende IT-Systeme, für die bereits BVen existieren, müssen auf Konformität überprüft werden – nicht nur neue Einführungen.

Welche Systeme sind betroffen?

Das Urteil gilt nicht nur für Workday. Es gilt für jedes IT-System, das personenbezogene Mitarbeiterdaten verarbeitet und über eine Betriebsvereinbarung geregelt ist – also praktisch jeden Betrieb in Deutschland mit einem auch nur rudimentären HR-System:

• SAP SuccessFactors und SAP HCM

• Microsoft 365 – insbesondere Teams, Exchange und Viva Insights

• Recruiting-Plattformen (Workable, Greenhouse, SmartRecruiters)

• Zeiterfassungssysteme mit Cloud-Anbindung

• Lohnbuchhaltungssysteme mit Datenexport

• KI-basierte HR-Analytics-Tools

Was bedeutet das konkret für Betriebsräte?

Betriebsräte stehen jetzt vor einer Pflicht, die sie nicht ignorieren dürfen: Sie haben nach §80 Abs. 1 BetrVG die Aufgabe, darüber zu wachen, dass die zugunsten der Arbeitnehmer geltenden Gesetze durchgeführt werden – einschließlich der DSGVO. Wer als Betriebsrat einen erkannten DSGVO-Verstoß unkommentiert toleriert, riskiert den Vorwurf der Pflichtverletzung gegenüber der Belegschaft.

Das bedeutet praktisch:

• Bestandsaufnahme aller IT-Systeme mit bestehenden Betriebsvereinbarungen

• Prüfung, ob die BVen tatsächlich DSGVO-konform sind – nicht nur formal, sondern auch in der technischen Umsetzung

• Bei Zweifeln: Beauftragung eines technisch-rechtlichen Sachverständigen nach §80 Abs. 3 BetrVG auf Kosten des Arbeitgebers

• Dokumentation der eigenen Prüfungshandlungen zum Selbstschutz

Was bedeutet das konkret für HR-Abteilungen und Arbeitgeber?

Arbeitgeber, die sich bisher auf die Schutzwirkung ihrer Betriebsvereinbarungen verlassen haben, müssen ihre Risikoeinschätzung revidieren.

Die präventiven Maßnahmen sind klar:

• Gap-Analyse: Prüfen Sie für alle wesentlichen HR-Systeme, ob die Systemkonfiguration tatsächlich dem entspricht, was in der BV vereinbart wurde.

• DSGVO-Konformitätsprüfung: Beziehen Sie einen Datenschutzbeauftragten und einen technischen Sachverständigen ein, der die reale Datenverarbeitung analysieren kann.

• BV-Aktualisierung: Veraltete Betriebsvereinbarungen (viele wurden vor der DSGVO-Geltung 2018 abgeschlossen) müssen aktualisiert werden.

Die zentralen Takeaways

• Eine BV schützt nicht vor DSGVO-Haftung: Das BAG-Urteil hat den verbreiteten Irrtum beendet, dass eine abgeschlossene BV automatisch DSGVO-Compliance herstellt. Die BV ist nur so stark wie die tatsächliche Systemkonfiguration dahinter.

• Der EU AI Act schafft neue, klar definierte Mitbestimmungsrechte: Ab August 2026 müssen Hochrisiko-KI-Systeme im HR-Bereich detaillierte Dokumentation, Transparenz und menschliche Aufsicht gewährleisten. Der Betriebsrat kann – und sollte – diese Nachweise aktiv einfordern.

---

Viele Betriebsratsmitglieder und HR-Verantwortliche haben an unserem Webinar „BAG-Urteil 2025 & EU AI Act – Was Betriebsräte jetzt wissen müssen" teilgenommen. Im Webinar wurden mehr als 50 Fragen eingereicht. Wir beantworten die sieben häufigsten hier:

• Gilt das BAG-Urteil auch für uns, wenn wir kein Workday haben? Ja. Das Urteil hat Grundsatzcharakter. Es gilt für jedes IT-System, das über eine BV geregelt ist und personenbezogene Mitarbeiterdaten verarbeitet.

• Müssen wir jetzt für jedes IT-System eine neue BV abschließen? Nicht zwingend. Der erste Schritt ist eine Bestandsaufnahme: Welche BVen existieren, und entsprechen sie noch der aktuellen technischen Realität? Tapaus kann diese Analyse im Rahmen eines BV-Compliance Audits durchführen.

• Was passiert, wenn der Arbeitgeber die Kosten für den Sachverständigen nicht zahlen will? Der Betriebsrat kann das Arbeitsgericht anrufen. Bei KI-Systemen hat die Rechtsprechung die Erforderlichkeit regelmäßig bejaht.

• Gilt der EU AI Act für KMU? Ja – aber mit Erleichterungen für Kleinstunternehmen. Auch mittelständische Unternehmen, die Hochrisiko-KI einsetzen, müssen die Anforderungen erfüllen.

• Was ist mit KI in der Produktion – gilt das auch? §80 Abs. 3 BetrVG gilt für jeden KI-Einsatz im Betrieb, also auch in der Produktion. Der EU AI Act definiert eigene Hochrisiko-Kategorien auch für industrielle Anwendungen.

• Wie lange dauert ein Tapaus BV-Compliance Audit? Der Basis-Audit für ein einzelnes System dauert typischerweise 3–4 Wochen. Der Standardaudit für drei Systeme 6–8 Wochen.

• Können wir die Muster-BV direkt so verwenden? Nein. Das Muster ist ein Ausgangspunkt. Jede BV muss auf das konkrete System und den konkreten Betrieb angepasst werden.