Das Datenschutzrisiko und die Betriebsvereinbarung

Derzeit geht ein Auftraggeber von Microsoft also das Risiko ein, gegen Bestimmungen der DSGVO zu verstoßen, wenn Microsoft im Rahmen des Cloud Acts personenbezogene Daten an US-Behörden weitergibt – der Auftraggeber haftet dabei für seinen Auftragsverarbeiter. Google versucht, dieses Problem durch eine vollkommen eigenständige europäische Organisation zu vermeiden; von Microsoft ist derzeit nichts Vergleichbares bekannt. Genau betrachtet ist es also fraglich, ob die Nutzung von M365 gegenwärtig DSGVO-konform überhaupt möglich ist. Dieses Risiko muss der Arbeitgeber tragen; eine Arbeitnehmervertretung kann ihn dabei nicht unterstützen, weil das Mitbestimmungsrecht diese Frage nicht umfasst.

Zwar sieht § 26 Abs. 4 BDSG vor, dass die Verarbeitung personenbezogener Daten von Beschäftigten auf der Grundlage einer Kollektivvereinbarung erfolgen kann. Eine solche Vereinbarung muss aber ihrerseits den Anforderungen der DSGVO genügen (Art. 88 Abs. 2 DSGVO). Eine Betriebs- oder Dienstvereinbarung, die dem Arbeitgeber oder einem Auftragsverarbeiter freie Hand bei der Verarbeitung ließe, wäre unzulässig und damit unwirksam; ebenso wenig könnte eine solche Vereinbarung eine Verarbeitung legitimieren, die im Widerspruch zu den Anforderungen der DSGVO steht. Eine Betriebsvereinbarung kann das grundsätzliche datenschutzrechtliche Risiko für den Arbeitgeber deshalb nicht beseitigen.