Personalfeedbackbögen zur Mitarbeiterbewertung und Unternehmensführung ohne Betriebsvereinbarung: DSB untersagt Verarbeitung - eine Entscheidung mit Sprengkraft

Behörde: Österreichische Datenschutzbehörde (DSB)
Datum: 20. März 2026 (nicht rechtskräftig, unveröffentlicht)

Rechtssatz:
Die Verarbeitung personenbezogener Daten im Rahmen eines Personal-Feedbacks zur Unternehmensführung ist bei Arbeitnehmer:innen, die keine leitenden Angestellten im Sinn des ArbVG sind, ohne gültige Betriebsvereinbarung unzulässig. Ein Interesse iSd Art 6 Abs 1 it f DSGVO ist nicht "legitim", wenn es an der Betriebsvereinbarung als notwendige (arbeitsverfassungsrechtliche) Grundlage für die Verarbeitung der Personaldaten fehlt. Jede weitere Prüfung im drei-stufigen-Prüfungsprozess iSd Art 6 Abs 1 lit f DSGVO erübrigt sich.

Sachverhalt

Ein Arbeitnehmer war mehrere Jahre bei einem österreichischen Unternehmen in einer Führungsfunktion beschäftigt. Im Rahmen eines internen Feedback- und Bewertungsprozesses wurden ihn betreffende Einschätzungen durch mehrere Personen aus seinem beruflichen Umfeld verarbeitet, darunter Vorgesetzte, Mitarbeitende sowie weitere Kolleg:innen. Die erhobenen Daten betrafen insbesondere Führungsverhalten und Zusammenarbeit in zahlreichen Bewertungskategorien. Auf die Ergebnisse konnten zumindest der Betroffene selbst und seine Vorgesetzten zugreifen.

Im Unternehmen bestanden zwar allgemeine betriebsinterne Regelungen zur Verarbeitung von Beschäftigtendaten und zu einer verwendeten HR-Anwendung.

Eine konkrete Betriebsvereinbarung für den gegenständlichen Bewertungsprozess oder für die dabei verarbeiteten Bewertungskategorien lag jedoch nicht vor.

Genau darin sah die Datenschutzbehörde das entscheidende Problem.

Begründung der DSB

Die Datenschutzbehörde qualifizierte die im Bewertungsprozess verarbeiteten Einschätzungen als personenbezogene Daten. Maßgeblich sei, dass sich diese Bewertungen auf eine identifizierte Person beziehen. Auch subjektive Beurteilungen und Einschätzungen können daher personenbezogene Daten im Sinn von Art. 4 DSGVO sein.

Im Zentrum der Entscheidung stand jedoch nicht nur das Datenschutzrecht, sondern auch das Arbeitsverfassungsrecht. Nach Auffassung der DSB fiel die gegenständliche Datenverarbeitung in einen Bereich, für den eine zwingende Mitbestimmung des Betriebsrats erforderlich ist.

Gerade im Beschäftigungskontext sind die unionsrechtlichen Vorgaben des Art. 88 DSGVO gemeinsam mit den nationalen arbeitsverfassungsrechtlichen Regelungen zu lesen. Fehlt die notwendige Betriebsvereinbarung, kann die Verarbeitung rechtswidrig sein.

Die Behörde setzte sich auch mit der Frage auseinander, ob der betroffene Arbeitnehmer als leitender Angestellter im Sinn des Arbeitsverfassungsrechts einzustufen sei. Das wurde im konkreten Fall verneint. Damit kam der betroffenen Person der volle Schutz der arbeitsverfassungsrechtlichen Mitbestimmung zugute.

Besonders deutlich ist die Entscheidung in Bezug auf die Rechtsgrundlagen: Das Unternehmen konnte sich nach Ansicht der Datenschutzbehörde nicht erfolgreich auf Vertragserfüllung oder berechtigte Interessen stützen.

Wo das nationale Recht eine Betriebsvereinbarung zwingend verlangt, kann dieses Erfordernis nicht durch eine allgemeine datenschutzrechtliche Rechtsgrundlage ersetzt werden, sondern ist der Abschluss der (zwingenden) Betriebsvereinbarung im konkreten Regelungsbereich geradezu Voraussetzung für das "legitime Interesse" iSd Art 6 Abs 1 lit f DSGVO.

Die Datenschutzbehörde gab der Beschwerde daher statt, stellte eine Verletzung des Rechts auf Geheimhaltung nach § 1 DSG fest und untersagte dem Unternehmen die weitere Verarbeitung personenbezogener Daten im Rahmen des Bewertungsprozesses für jene Beschäftigten, die keine leitenden Angestellten im Sinn des ArbVG sind, solange keine gültige Betriebsvereinbarung besteht.

Bemerkenswert ist auch, dass es inhaltlich gar nicht um ein "eine Kontrollmaßnahme oder technisches System zur Kontrolle der Arbeitnehmer, sofern diese Maßnahmen (Systeme) die Menschenwürde berühren" (§ 96 (1) Z 3 ArbVG) gegangen ist, sondern die Verarbeitung als "einen Personalfragebogen, in dem nicht bloß die allgemeinen Angaben zur Person und Angaben über die fachlichen Voraussetzungen für die beabsichtigte Verwendung des Arbeitnehmers enthalten sind" (§ 96 (1) Z 2 ArbVG)

Fazit

Die Entscheidung zeigt, dass datenschutzrechtliche Zulässigkeit im Beschäftigungskontext nicht isoliert betrachtet werden darf. Werden personenbezogene Daten im Rahmen strukturierter Bewertungs- oder Feedbacksysteme verarbeitet, sind neben der DSGVO auch die zwingenden arbeitsverfassungsrechtlichen Mitbestimmungsregeln zu beachten. Fehlt eine erforderliche Betriebsvereinbarung, ist die Verarbeitung rechtswidrig.

Schlussfolgerung für Verantwortliche

Verantwortliche sollten bei der Einführung sowie die Verwendung von Feedback-, Bewertungs- oder Evaluierungssystemen und allen anderen Maßnahmen, die eine (zwingenden) Mitbestimmung des Betriebsrates bedürfen, besonders sorgfältig vorgehen.

Ist eine Betriebsvereinbarung erforderlich, muss vor Beginn der Verarbeitung eine inhaltlich passende und wirksame Betriebsvereinbarung abgeschlossen werden.

Allgemeine Regelungen zu HR-Systemen reichen nicht aus, wenn die konkrete Datenanwendung oder die verarbeiteten Bewertungskriterien davon nicht klar erfasst sind.

Andernfalls drohen nicht nur Beschwerden betroffener Personen, sondern auch behördliche Untersagungen laufender Verarbeitungen.