--- title: "EuGH C-65/23 (K GmbH, VO 2016/679) – Betriebsvereinbarung als Rechtsgrundlage für Beschäftigtendaten nach Art. 88 DSGVO" slug: "eugh-c-65-23-k-gmbh-betriebsvereinbarung-art-88-dsgvo" domaine: "datenschutz" valid_from: "2024-12-19" valid_to: null last_reviewed: "2026-10-08" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/eugh-c-65-23-k-gmbh-betriebsvereinbarung-art-88-dsgvo.md wikidata_subjects: [] factcheck_status: "ok" --- # EuGH C-65/23 (K GmbH, VO 2016/679) – Betriebsvereinbarung als Rechtsgrundlage für Beschäftigtendaten nach Art. 88 DSGVO ## Kurzantwort Mit Urteil vom **19.12.2024** in der Rechtssache **C-65/23 (MK gegen K GmbH)**, einem Vorabentscheidungsersuchen des **Bundesarbeitsgerichts**, hat der **Gerichtshof der Europäischen Union** klargestellt: Eine **Betriebsvereinbarung oder sonstige Kollektivvereinbarung** kann eine „spezifischere Vorschrift" im Sinne von **Art. 88 DSGVO** und damit eine Grundlage für die Verarbeitung von Beschäftigtendaten sein. Sie muss aber **zusätzlich zu den Anforderungen des Art. 88 Abs. 2 DSGVO alle allgemeinen Bestimmungen der DSGVO** einhalten, insbesondere **Art. 5** (Grundsätze), **Art. 6 Abs. 1** (Rechtmäßigkeit) sowie **Art. 9 Abs. 1 und 2** (besondere Datenkategorien). Eine Verarbeitung, die nach der DSGVO unzulässig wäre, wird durch eine Betriebsvereinbarung **nicht legalisiert**. Die Betriebsparteien haben außerdem **keinen Beurteilungsspielraum** bei der Frage, ob eine Verarbeitung **erforderlich** ist; die Gerichte prüfen die Erforderlichkeit **vollständig** nach. Für Arbeitgeber heißt das: Wer sich auf eine Betriebsvereinbarung verlässt, trägt weiterhin das volle Bußgeld- und Schadensersatzrisiko (Art. 83, 82 DSGVO). ## Kernfakten | Punkt | Wert | |---|---| | Aktenzeichen | C-65/23 („MK gegen K GmbH"), ECLI:EU:C:2024:1051 | | Entscheidungsdatum | 19.12.2024 | | Verfahrensart | Vorabentscheidungsersuchen (Art. 267 AEUV) | | Vorlegendes Gericht | Bundesarbeitsgericht (Deutschland), Vorlagebeschluss vom 22.09.2022 – 8 AZR 209/21 (A), Vorlagefragen 4–6 mit Beschluss vom 25.04.2024 – 8 AZR 209/21 (B) zurückgenommen | | Abschluss des Ausgangsverfahrens | BAG, Urteil vom 08.05.2025 – 8 AZR 209/21: 200 € immaterieller Schadensersatz nach Art. 82 Abs. 1 DSGVO | | Ausgelegte Normen | Art. 88 Abs. 1 und 2, Art. 5, Art. 6 Abs. 1, Art. 9 Abs. 1 und 2 DSGVO (VO (EU) 2016/679) | | Kernaussage 1 | Kollektivvereinbarungen (Betriebsvereinbarung, Tarifvertrag) können „spezifischere Vorschriften" nach Art. 88 Abs. 1 DSGVO sein | | Kernaussage 2 | Sie müssen zusätzlich Art. 5, Art. 6 Abs. 1 und Art. 9 DSGVO erfüllen – Art. 88 Abs. 2 allein genügt nicht | | Kernaussage 3 | Kein Beurteilungsspielraum der Betriebsparteien bei der Erforderlichkeit; volle gerichtliche Kontrolle | | Rechtsfolge bei Verstoß | Verarbeitung bleibt rechtswidrig; Art. 82 DSGVO (Schadensersatz) und Art. 83 DSGVO (Bußgeld bis 20 Mio. € bzw. 4 % des weltweiten Jahresumsatzes) bleiben möglich | | Rechtsnatur | Auslegung einer EU-Verordnung – unmittelbar in Deutschland anwendbar, kein Umsetzungsgesetz nötig | | Nationale Anknüpfung | § 26 BDSG, § 77 BetrVG, § 87 Abs. 1 Nr. 6 BetrVG | | Betroffener Kreis | Arbeitgeber, Betriebsräte, Beschäftigte, Konzerne mit konzernweiten HR-Systemen | | Wirkung der Vorabentscheidung | Bindend für alle nationalen Gerichte bei vergleichbaren Fragen | ## Geltungsbereich Das Urteil legt die **Datenschutz-Grundverordnung** aus. Sie gilt als EU-Verordnung **unmittelbar** in allen Mitgliedstaaten. Betroffen ist jede Verarbeitung von **Beschäftigtendaten**, die auf eine **Kollektivvereinbarung** gestützt wird: Betriebsvereinbarungen zu HR-Software, Zeiterfassung, Videoüberwachung, Leistungs- und Verhaltenskontrolle, Datenübermittlung an Konzerngesellschaften sowie Tarifverträge mit Datenschutzregelungen. Die Aussagen gelten unabhängig von der Betriebsgröße. ## Der Fall Ausgangspunkt war ein Rechtsstreit eines Arbeitnehmers gegen seinen Arbeitgeber. Im Betrieb wurde eine **Personalverwaltungssoftware** eingeführt, wozu der Konzern mit dem Betriebsrat eine **Betriebsvereinbarung** abgeschlossen hatte. Eine **„Duldungs-Betriebsvereinbarung“** erlaubte für einen Testbetrieb von Workday die Übermittlung bestimmter Stammdaten (u. a. Name, Eintrittsdatum, Arbeitsort, geschäftliche Telefonnummer und E-Mail-Adresse). Der Arbeitgeber übertrug darüber hinaus weitere Daten (u. a. Gehaltsinformationen, private Anschrift, Geburtsdatum, Familienstand, Sozialversicherungsnummer, Steuer-ID) an die **Konzernobergesellschaft** (nach Fachbeiträgen auf einen Server in den USA). Der Arbeitnehmer verlangte 3.000 € immateriellen Schadensersatz und machte geltend, die Verarbeitung sei rechtswidrig gewesen. Das **Bundesarbeitsgericht** legte dem Gerichtshof mit Beschluss vom 22.09.2022 (8 AZR 209/21 (A)) – bezogen auf § 26 Abs. 4 BDSG – Fragen dazu vor, welche Anforderungen an Kollektivvereinbarungen als Rechtsgrundlage zu stellen sind und wie weit die Betriebsparteien bei der Erforderlichkeit einen Spielraum haben. ## Was der Gerichtshof entschieden hat **1. Kollektivvereinbarungen können Rechtsgrundlage sein.** Art. 88 Abs. 1 DSGVO erlaubt „spezifischere Vorschriften" auch durch Kollektivvereinbarungen. Die Betriebsvereinbarung ist damit grundsätzlich eine taugliche Grundlage im Beschäftigungskontext. **2. Doppelte Prüfung.** Die Vereinbarung muss die Vorgaben des **Art. 88 Abs. 2 DSGVO** erfüllen (Wahrung der menschlichen Würde, berechtigter Interessen und der Grundrechte der Beschäftigten, besonders bei Transparenz, Datenübermittlung innerhalb einer Unternehmensgruppe und Überwachungssystemen). Daneben bleiben **Art. 5, Art. 6 Abs. 1 und Art. 9 Abs. 1 und 2 DSGVO** voll anwendbar. **3. Keine Legalisierungswirkung.** Was nach der DSGVO nicht zulässig wäre, wird durch eine Betriebsvereinbarung nicht zulässig. Die Betriebsparteien dürfen das Schutzniveau der DSGVO nicht unterschreiten. **4. Erforderlichkeit ohne Spielraum.** Ob eine Verarbeitung „erforderlich" ist, beurteilen die Gerichte **vollständig**; ein Einschätzungsspielraum der Betriebsparteien besteht nicht. Es gilt das Prinzip der **Datenminimierung** (Art. 5 Abs. 1 lit. c DSGVO): Gibt es ein milderes, gleich wirksames Mittel, ist die weitergehende Verarbeitung nicht erforderlich. **5. Folge für Haftung.** Eine nicht DSGVO-konforme Verarbeitung bleibt rechtswidrig, auch wenn sie in einer Betriebsvereinbarung vorgesehen ist. Schadensersatz nach **Art. 82 DSGVO** kommt in Betracht; die Aufsichtsbehörden können nach **Art. 83 DSGVO** Bußgelder verhängen. ## Folgen für die Praxis in Deutschland Im Ausgangsverfahren hat das Bundesarbeitsgericht mit Urteil vom **08.05.2025 (8 AZR 209/21)** dem Kläger **200 €** Schadensersatz nach Art. 82 Abs. 1 DSGVO zugesprochen: Soweit der Arbeitgeber andere als die nach der Betriebsvereinbarung erlaubten Daten an die Konzernobergesellschaft übertragen hatte, war dies nicht erforderlich im Sinne von **Art. 6 Abs. 1 UAbs. 1 Buchst. f DSGVO**; der Schaden liegt im Kontrollverlust. Ob die Betriebsvereinbarung selbst DSGVO-konform war, musste der Senat nicht prüfen, weil der Kläger sich darauf nicht mehr berief (BAG-Pressemitteilung 20/25). Zur Frage, ob § 26 BDSG nach der EuGH-Rechtsprechung (C-34/21) noch als Rechtsgrundlage taugt, siehe [§ 26 BDSG](/fakten/beschaeftigtendatenschutz-26-bdsg.html). Für Betriebsvereinbarungen heißt das: - Bestehende Betriebsvereinbarungen mit Datenschutzbezug sollten auf **Erforderlichkeit, Zweckbindung, Speicherdauer und Transparenz** geprüft werden. - Die Vereinbarung sollte **konkrete Schutzmaßnahmen** im Sinne von Art. 88 Abs. 2 DSGVO enthalten (z. B. Zugriffskonzept, Löschfristen, Zweckbeschränkung, Regeln zur Übermittlung an Konzerngesellschaften). - **Drittlandübermittlungen** (etwa an US-Konzernmütter) bleiben zusätzlich an **Kap. V DSGVO** zu messen; die Betriebsvereinbarung ersetzt keine Transfer-Grundlage (siehe [DSGVO-Standardvertragsklauseln](/fakten/dsgvo-standardvertragsklauseln-scc-2021-914.html)). - Die Mitbestimmung nach **§ 87 Abs. 1 Nr. 6 BetrVG** bleibt bestehen; sie ersetzt aber nicht die datenschutzrechtliche Prüfung. **Beweislast:** Der Arbeitgeber ist Verantwortlicher und muss die Rechtmäßigkeit nachweisen (Art. 5 Abs. 2 DSGVO, Rechenschaftspflicht). Er muss also darlegen können, dass die konkrete Verarbeitung erforderlich war und die Betriebsvereinbarung die DSGVO-Anforderungen einhält. ## Häufige Fehler - **„Mit Betriebsrat-Zustimmung ist die Verarbeitung automatisch zulässig."** Falsch – die Betriebsvereinbarung ersetzt die Prüfung nach Art. 5, 6 und 9 DSGVO nicht. - **„Die Betriebsparteien entscheiden, was erforderlich ist."** Falsch – die Erforderlichkeit wird von den Gerichten voll überprüft. - **„Art. 88 Abs. 2 DSGVO reicht als Prüfmaßstab."** Falsch – die allgemeinen Vorschriften gelten zusätzlich. - **„Konzerninterne Übermittlung ist über die Betriebsvereinbarung gedeckt."** Falsch – für Drittländer sind zusätzlich die Vorgaben von Kap. V DSGVO einzuhalten. - **„Ein Testbetrieb braucht keine Rechtsgrundlage."** Falsch – auch Tests mit echten Beschäftigtendaten sind Verarbeitungen und brauchen eine Rechtsgrundlage; nach Möglichkeit sind Testdaten zu anonymisieren oder zu pseudonymisieren. - **„Das Urteil schafft Betriebsvereinbarungen als Rechtsgrundlage ab."** Falsch – sie bleiben möglich, aber nur im Rahmen der DSGVO. ## Änderungsverlauf - 2026-10-08: Faktencheck abgeschlossen und **freigegeben** (Status war `review_needed`). Offene Punkte der Erstveröffentlichung geklärt: (1) Vorlagebeschluss des BAG vom 22.09.2022 – 8 AZR 209/21 (A) und Teilaufhebung (Fragen 4–6) vom 25.04.2024 – 8 AZR 209/21 (B) am Primärtext auf bundesarbeitsgericht.de geprüft; die Vorlagefragen 1–3 (Art. 5, 6 Abs. 1, 9 DSGVO zusätzlich zu Art. 88 Abs. 2; Spielraum bei der Erforderlichkeit, gerichtliche Kontrolle) decken sich mit den Kernaussagen der Seite; (2) ECLI:EU:C:2024:1051 ergänzt (CMS, Heuking); (3) Sachverhalt am BAG-Beschluss und der BAG-Pressemitteilung 20/25 präzisiert (Duldungs-Betriebsvereinbarung, Übermittlung zusätzlicher Datenkategorien an die Konzernobergesellschaft; US-Server nur nach Fachbeiträgen). **Korrigiert:** Die Aussage, das BAG habe am 08.05.2025 entschieden, § 26 Abs. 1 S. 1 BDSG erfülle Art. 88 DSGVO nicht, ist durch die Pressemitteilung nicht belegt; ersetzt durch den belegten Inhalt (200 € nach Art. 82 DSGVO, fehlende Erforderlichkeit nach Art. 6 Abs. 1 UAbs. 1 Buchst. f DSGVO, BV-Konformität nicht geprüft). Tenor-Wortlaut des EuGH-Urteils weiterhin nur über Fachbeiträge (CMS, Heuking, Gleiss Lutz) und den BAG-Beschluss abgeglichen, inhaltlich übereinstimmend. | change_type=factcheck field="legal_content" old="BAG 08.05.2025: § 26 Abs. 1 S. 1 BDSG erfüllt Art. 88 nicht" new="BAG 08.05.2025: 200 € nach Art. 82, Art. 6 Abs. 1 lit. f nicht erforderlich" reviewed_by="Nexvyra-Freigabe-Aufholer (automatisiert)" - 2026-10-08: Freigabe nach Prüfung. | change_type=factcheck field="factcheck_status" old="review_needed" new="ok" reviewed_by="Nexvyra-Freigabe-Aufholer (automatisiert)" - 2026-10-07: Erstveröffentlichung durch EU-Recht-Bot. EuGH-Urteil C-65/23 (MK gegen K GmbH) vom 19.12.2024, Vorabentscheidung auf Vorlage des Bundesarbeitsgerichts, aufgenommen: (1) Kollektivvereinbarungen können spezifischere Vorschriften nach Art. 88 Abs. 1 DSGVO sein; (2) zusätzlich gelten Art. 5, Art. 6 Abs. 1 und Art. 9 Abs. 1, 2 DSGVO; (3) kein Beurteilungsspielraum der Betriebsparteien bei der Erforderlichkeit, volle gerichtliche Kontrolle; (4) keine Legalisierung DSGVO-widriger Verarbeitung. factcheck_status=review_needed, weil (1) der Urteilstext auf EUR-Lex nur im Auszug (ohne vollständigen Tenor) abrufbar war und die Tenor-Nummern aus Auszug und Fachbeiträgen (Heuking, Gleiss Lutz) zusammengefasst wurden, (2) das Aktenzeichen des Vorlagebeschlusses des BAG und die ECLI-Kennung nicht gegen eine amtliche Quelle verifiziert wurden und (3) der Sachverhalt (Testbetrieb, Übermittlung an US-Konzernmutter) nur aus Sekundärquellen belegt ist. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot" ## Siehe auch - [Beschäftigtendatenschutz – § 26 BDSG](/fakten/beschaeftigtendatenschutz-26-bdsg.html) - [Betriebsvereinbarung – § 77 BetrVG](/fakten/betriebsvereinbarung-77-betrvg.html) - [DSGVO-Schadensersatz Art. 82 – Immaterieller Schadensersatz nach EuGH](/fakten/dsgvo-schadensersatz-art-82-eugh.html) - [DSGVO Art. 6 – Rechtsgrundlagen der Verarbeitung](/fakten/dsgvo-rechtsgrundlagen-art-6.html) - [DSGVO Art. 9 – Gesundheitsdaten und besondere Kategorien](/fakten/dsgvo-art-9-gesundheitsdaten-besondere-kategorien.html) - [DSGVO-Grundsätze Art. 5](/fakten/dsgvo-grundsaetze-art-5.html) ## Stand - Stand: 2026-10-08 - Entscheidungsdatum: 2024-12-19 (EuGH, C-65/23, MK gegen K GmbH) - Status: aktuell - Quellenautorität: A (EUR-Lex CELEX 62023CJ0065, VO 2016/679, gesetze-im-internet.de) - Faktencheck: ok (2026-10-08, siehe Änderungsverlauf) - Lizenz: CC BY 4.0 ## Quellen - EUR-Lex – Urteil des Gerichtshofs vom 19.12.2024, C-65/23, CELEX 62023CJ0065: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CJ0065 - dejure.org – Permalink EuGH, 19.12.2024 – C-65/23: https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=19.12.2024&Aktenzeichen=C-65%2F23 - InfoCuria – Verfahrensdokumentation zur Rechtssache C-65/23: https://infocuria.curia.europa.eu/tabs/redirect/juris/liste.jsf?language=de&td=ALL&num=C-65/23 - EUR-Lex – Verordnung (EU) 2016/679 (DSGVO), Volltext (Art. 5, 6, 9, 82, 83, 88): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 - EDSA – Leitlinien und Empfehlungen zur DSGVO: https://www.edpb.europa.eu/our-work-tools/general-guidance/guidelines-recommendations-best-practices_de - Gesetze im Internet – § 26 BDSG: https://www.gesetze-im-internet.de/bdsg_2018/__26.html - Gesetze im Internet – § 87 BetrVG: https://www.gesetze-im-internet.de/betrvg/__87.html - Heuking – Betriebsvereinbarungen als Rechtsgrundlage für die Datenverarbeitung (Fachbeitrag): https://www.heuking.de/de/news-events/newsletter-fachbeitraege/artikel/betriebsvereinbarungen-als-rechtsgrundlage-fuer-die-datenverarbeitung.html - BAG, Beschluss vom 25.04.2024 – 8 AZR 209/21 (B) (Sachverhalt, Vorlagefragen): https://www.bundesarbeitsgericht.de/entscheidung/8-azr-209-21-b/ - BAG, Pressemitteilung 20/25 zum Urteil vom 08.05.2025 – 8 AZR 209/21: https://www.bundesarbeitsgericht.de/presse/schadenersatz-nach-datenschutz-grundverordnung-dsgvo-betriebsvereinbarung-workday/ - CMS – EuGH: Keine Abweichung von DSGVO-Standards durch Betriebsvereinbarung (ECLI, Sachverhalt): https://cms.law/en/deu/legal-updates/european-court-of-justice-no-deviation-from-gdpr-standards-via-works-agreements - Gleiss Lutz – EuGH bestätigt DSGVO als Mindeststandard für Betriebsvereinbarungen: https://www.gleisslutz.com/de/know-how/bruessel-aktuell-kein-datenschutzrechtlicher-spielraum-eugh-bestaetigt-dsgvo-als-unabdingbaren-mindeststandard-fuer ## Stand - Letzte Änderung: 2026-10-08 - Letzte Prüfung: 2026-10-08 - In Kraft seit: 2024-12-19 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0