EuGH 11.04.2024 – AG haftet für AN Datenschutzverstöße
Recht für Betriebsräte - Einfach erklärt
Der Arbeitgeber kann sich bei Datenschutzverstößen seiner Beschäftigten nicht damit entlasten, dass diese Anweisungen nicht befolgt haben. Er bleibt als Verantwortlicher vollumfänglich haftbar.
Der EuGH entschied, dass sich ein Arbeitgeber nicht dadurch entlasten kann, dass seine Beschäftigten interne Anweisungen zum Datenschutz nicht befolgt haben. Der Arbeitgeber bleibt als Verantwortlicher im Sinne der DSGVO haftbar und muss wirksame Maßnahmen zur Einhaltung des Datenschutzes ergreifen.
Der EuGH stellte klar, dass der Arbeitgeber als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO die volle Verantwortung für die Einhaltung des Datenschutzes trägt. Der bloße Verweis darauf, dass Beschäftigte interne Anweisungen nicht befolgt haben, entlastet den Arbeitgeber nicht.
Nach Art. 24 DSGVO muss der Verantwortliche geeignete technische und organisatorische Maßnahmen treffen, um die Einhaltung der DSGVO sicherzustellen. Dazu gehören Schulungen, Zugangsbeschränkungen und wirksame Kontrollmechanismen.
Das Urteil verdeutlicht, dass eine reine Papierlage, also das Vorhandensein von Richtlinien ohne wirksame Umsetzung, nicht genügt.
Was bedeutet das für Sie als Betriebsrat?
Betriebsräte können dieses Urteil nutzen, um vom Arbeitgeber wirksame Datenschutzmaßnahmen einzufordern. Der Arbeitgeber kann sich nicht mehr darauf berufen, dass er Anweisungen erteilt hat, wenn er deren Befolgung nicht wirksam sicherstellt.
Dies stärkt die Forderung des Betriebsrats nach regelmäßigen Datenschutzschulungen für alle Beschäftigten, nach technischen Schutzmaßnahmen und nach einer wirksamen Kontrollstruktur.
Gleichzeitig sollte der Betriebsrat darauf achten, dass der Arbeitgeber nicht im Namen des Datenschutzes übermäßige Überwachungsmaßnahmen gegenüber den Beschäftigten einführt. Die Verhältnismäßigkeit muss gewahrt bleiben.
Handlungsempfehlung
Betriebsräte sollten vom Arbeitgeber einen Nachweis der getroffenen technischen und organisatorischen Datenschutzmaßnahmen einfordern. Bloße Richtlinien ohne wirksame Umsetzung genügen nach dem EuGH Urteil nicht.
Der Betriebsrat sollte regelmäßige Datenschutzschulungen für alle Beschäftigten fordern und deren Durchführung überwachen. Schulungen müssen dokumentiert und aktualisiert werden.
Bei der Einführung neuer IT Systeme oder KI Anwendungen sollte der Betriebsrat darauf bestehen, dass technische Datenschutzmaßnahmen bereits in der Konzeptionsphase implementiert werden.
Wie kann TAPAUS Ihnen helfen?
Tapaus Consulting unterstützt Betriebsräte bei der Bewertung der vom Arbeitgeber getroffenen technischen und organisatorischen Datenschutzmaßnahmen. Im Rahmen eines Gutachtens nach §80 Abs. 3 BetrVG prüfen wir, ob die Maßnahmen wirksam sind und ob sie verhältnismäßig umgesetzt werden.
Die Kosten trägt der Arbeitgeber nach §40 BetrVG.
Praxisbeispiel
Ein Beschäftigter leitet versehentlich eine E-Mail mit personenbezogenen Kundendaten an einen falschen Empfänger weiter. Der Arbeitgeber argumentiert, dass es eine interne Richtlinie zum sicheren E-Mail Versand gibt und der Beschäftigte diese nicht eingehalten hat. Nach dem EuGH Urteil haftet der Arbeitgeber dennoch, da er keine technischen Maßnahmen wie eine Verschlüsselungspflicht oder eine automatische Empfängerüberprüfung implementiert hat.
Der Betriebsrat hätte bei der Einführung des E-Mail Systems auf solche Schutzmaßnahmen bestehen können.
Mögliche Rechtsfolgen
Der Arbeitgeber haftet für Datenschutzverstöße seiner Beschäftigten als Verantwortlicher nach der DSGVO. Neben Bußgeldern nach Art. 83 DSGVO drohen Schadenersatzansprüche Betroffener nach Art. 82 DSGVO.
Der Verweis auf bestehende Anweisungen oder Richtlinien reicht zur Entlastung nicht aus. Erst wirksame technische und organisatorische Maßnahmen können das Haftungsrisiko mindern.
Gültig seit:
11.04.2024
Referenzen und Querverweise:
Art. 4 Nr. 7 DSGVO, Art. 24 DSGVO, Art. 32 DSGVO, Art. 82 DSGVO, Art. 83 DSGVO
Last Update:
Keywords:
15. Mai 2026 um 06:42:57
EuGH