Warum gibt es neben der DS-GVO nationale Regelungen?
Zweck der der DS-GVO ist die Harmonisierung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Datenverarbeitung innerhalb der Europäischen Union (Erwägungsgrund 3). Aus diesem Grund können die nationalen Gesetzgeber nicht ohne Weiteres eigenständige Regelungen erlassen. Eine Ausnahme bilden sog. Öffnungsklauseln. Eine solche findet sich in der DS-GVO im Zusammenhang mit dem Beschäftigtendatenschutz in Art. 88 Abs. 1 DS-GVO.
Art. 88 Abs. 1 DS-GVO erlaubt es den Mitgliedstaaten, „spezifischere Vorschriften“ zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext zu erlassen.
Diese Vorschriften sollen nach Art. 88 Abs. 2 DS-GVO geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz umfassen.
Mit dem Einzug des § 26 I S. 1 BDSG in die deutsche Rechtsordnung hat der deutsche Gesetzgeber von der Öffnungsklausel Gebrauch gemacht. Diese Vorschrift erlaubt die Verarbeitung personenbezogener Daten von Beschäftigten, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses, für dessen Durchführung oder Beendigung erforderlich ist.
Hintergrund der Entscheidung des EuGH
Hintergrund der Entscheidung war die Einführung von Online-Unterricht per Livestream während der COVID-19-Pandemie durch das Hessische Kultusministerium, bei dem die Verarbeitung der personenbezogenen Daten der Lehrenden auf § 23 Abs. 1 S. 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetz (HDSIG) gestützt wurde. Dieser ist vom Wortlaut nahezu identisch mit Art. 26 Abs. 1 S. 1 BDSG.
Daraufhin klagte der Hauptpersonalrat der Lehrenden vor dem Verwaltungsgericht Wiesbaden, wegen fehlender Einwilligung der Lehrenden, was der Personalrat bereits beim Hessischen Kultusministerium kritisierte. Das Verwaltungsgericht setzte das Verfahren aus und stellte dem EuGH zur Vorabentscheidung die Fragen, ob „spezifische Vorschriften“ nach Art. 88 Abs. 1 DS-GVO, die Anforderungen des Art. 88 Abs. 2 DS-GVO erfüllen müssen und, ob nationale Vorschriften, die diese Vorgaben nicht erfüllen, weiterhin anwendbar bleiben.
Entscheidung des EuGH
In seiner Entscheidung betonte der EuGH, dass sich aus Art. 88 Abs. 1 DS-GVO, unter Berücksichtigung des Wortes „spezifisch“, ergebe, dass die nationalen Vorschriften sich von den allgemeinen Regeln der DS-GVO unterscheiden müssten. Gleichzeitig müsste die Vorschrift die Anforderungen des Art. 88 Abs. 2 DS-GVO erfüllen, da es sich ansonsten nicht um eine „spezifische Vorschrift“ handeln könne.
Gleichwohl führte der EuGH aus, obliege die Beurteilung, ob der § 23 I S. 1 HDSIG die Anforderungen des Art. 88 Abs. 2 DS-GVO erfülle, dem Verwaltungsgericht Wiesbaden. Angesichts dessen verwies der EuGH auf den Schlussantrag des Generalanwalts, wonach der § 23 I S. 1 HDSIG lediglich die Regelungen der DS-GVO wiederhole und damit keine „spezifische Vorschrift“ im Sinne von Art. 88 Abs. 1 DS-GVO darstellen könne.
Welche Konsequenzen hat die Entscheidung für den Beschäftigtendatenschutz in Deutschland?
Wenngleich der EuGH nicht ausdrücklich die Nichterfüllung der Anforderungen des Art. 88 DS-GVO festgestellt hat, so wird es für das Verwaltungsgericht Wiesbaden dennoch schwierig, eine weitere Anwendbarkeit des § 23 Abs. 1 S. 1 HDSIG zu rechtfertigen. Gleiches dürfte für die nahezu identische Regelung des § 26 Abs. 1 S. 1 BDSG gelten.
Insofern rüttelt die Entscheidung des EuGH einmal gründlich am deutschen Beschäftigtendatenschutz, wobei dies nicht neu ist, denn die Datenschutzkonferenz (DSK) führte bereits in ihrem Entschluss vom 29. April 2022 an, dass weitergehende Regelungen notwendig und überfällig seien. Zusätzlich sei § 26 BDSG nicht hinreichend praktikabel, normenklar und sachgerecht. Die Norm sei als Generalklausel formuliert und eröffne weite Interpretationsspielräume. Dadurch führe sie zu Unklarheiten über die Zulässigkeit von Verarbeitungen personenbezogener Daten im Beschäftigungskontext für Arbeitgeberinnen und Arbeitgeber, Beschäftigte, Bewerberinnen und Bewerber, Personalvertretungen oder Gerichte.
Gleichwohl dürften sich die Konsequenzen für den Beschäftigtendatenschutz in Grenzen halten. Denn auch wenn eine neue Gesetzgebung für den Beschäftigtendatenschutz im Raum steht, bietet die DS-GVO hinreichende Rechtsgrundlagen für die Verarbeitung von Beschäftigtendaten in Form von Art. 6 Abs. 1 lit. b) DS-GVO (sofern die Verarbeitung für die Erfüllung eines Vertrages erforderlich ist), Art. 6 Abs. 1 lit. f) DS-GVO (bei berechtigtem Interesse) sowie Art. 6 Abs. 1 lit. a) DS-GVO (Einwilligung des Betroffenen).
Handlungsempfehlung
Auch wenn die Entscheidung des EuGH in der Praxis kaum spürbar sein mag und sich die Auswirkungen auf vermeintlich Unwesentliches beschränken, so sollten Unternehmen unbedingt die Datenschutzerklärungen, welche sowohl im Beschäftigungsverhältnis als auch im Bewerbungsverfahren zur Verfügung gestellt werden müssen, dahingehend anpassen, dass die in der DS-GVO vorgesehenen Rechtsgrundlagen (mindestens zusätzlich) mit angegeben werden.
