Entscheidung des EuGH
Die Öffnungsklausel ermöglichte es den Mitgliedsstaaten, spezifischere Datenschutzvorschriften für den Beschäftigtendatenschutz zu erlassen, sofern diese den Anforderungen der DS-GVO entsprachen. Der EuGH stellte mit seinem Urteil (RS C-34/21) jedoch klar, dass Vorschriften, die die Anforderungen der Öffnungsklausel in Art. 88 DS-GVO nicht erfüllen, nicht auf diese Klausel gestützt werden können und daher nicht anwendbar sind.
In dem Artikel, EuGH rüttelt gründlich am deutschen Beschäftigtendatenschutz, wird ausführlicher auf das Urteil des EuGH eingegangen. Dabei wird unter anderem der Hintergrund der Entscheidung beleuchtet als auch die Frage erörtert, warum neben der DS-GVO nationale Regelungen bestehen.
FAQ-Beschäftigtendatenschutz
Der Bundesbeauftragte für den Datenschutz und Informationssicherheit hat eine FAQ-Beschäftigtendatenschutz-Seite veröffentlicht (https://www.bfdi.bund.de/), um die Auswirkungen der EuGH-Entscheidung auf die deutsche Praxis zu beleuchten und damit mehr Rechtssicherheit zu vermitteln. Folgend eine Zusammenfassung der Kernaussagen des FAQ.
Gilt § 26 Abs. 1 Satz 1 BDSG nicht mehr?
Ob § 26 Abs. 1 Satz 1 BDSG unanwendbar ist, sei durch die Rechtsprechung noch nicht entschieden. Vollständige Rechtssicherheit werde daher erst die weitere Entwicklung bringen. Es ist allerding sehr wahrscheinlich, dass § 26 Abs. 1 Satz 1 BDSG unanwendbar ist.
Rechtsgrundlagen für Datenverarbeitungen im Beschäftigungsverhältnis
In der Regel handelt es sich bei Datenverarbeitungen im Beschäftigungskontext um Verarbeitungen zur Erfüllung eines Arbeitsvertrags nach Art. 6 Abs. 1 Satz 1 b) DS-GVO. Dies gilt auch für Verarbeitungen von Beschäftigtendaten, die bisher auf § 26 Abs. 1 Satz 1 BDSG gestützt wurden. Diese können zukünftig direkt auf Art. 6 Abs. 1 Satz 1 b) DS-GVO gestützt werden.
Bereits bestehende Verarbeitungen, die auf anderen Grundlagen wie Art. 6 Abs. 1 Satz 1 c) DS-GVO oder § 26 Abs. 1 Satz 2 BDSG beruhen, bleiben weiterhin durch diese Rechtsgrundlagen legitimiert. Darüber hinaus könnten Unternehmen – für Datenverarbeitungen, die nicht in den Anwendungsbereich von Art. 6 Abs. 1 Satz 1 b) DS-GVO fallen – auf Art. 6 Abs. 1 Satz 1 f) DS-GVO zurückgreifen.
Wann müssen Unternehmen Art. 6 Abs. 1 Satz 1 b) DS-GVO anwenden und wann andere Rechtsgrundlagen?
Art. 6 Abs. 1 Satz 1 b) DS-GVO regelt die Verarbeitung von Daten, die unmittelbar mit der Durchführung des Arbeitsvertrags verbunden sind, wie die Lohnabrechnung, arbeitsvertragliche Pflichten, Maßnahmen des Arbeitsgebers und Weisungsrechte.
Art. 6 Abs. 1 Satz1 b) DS-GVO gestattet auch die Datenverarbeitung, zur Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen. Das Bewerbungsverfahren ist eine solche vorvertragliche Maßnahme, wenn diese der Vertragsanbahnung dient und auf Anfrage des Bewerbers erfolgt und es auf den Abschluss eines Arbeitsvertrags gerichtet ist.
Datenverarbeitungen aufgrund gesetzlicher Pflichten des Arbeitgebers, wie z. B. Mitteilungspflichten gegenüber dem Finanzamt und Sozialleistungsträgern, fallen weiterhin unter Art. 6 Abs. 1 Satz 1 c) DS-GVO i. V. m. der entsprechenden Norm aus dem nationalen Recht oder Unionsrecht. Wenn Datenverarbeitungen anderen Interessen des Arbeitgebers dienen, ist Art. 6 Abs. 1 Satz 1 f) DS-GVO relevant.
Generell findet Art. 6 Abs. 1 Satz 1 b) DS-GVO Anwendung auf Datenverarbeitungen, die zuvor ausschließlich auf § 26 Abs. 1 Satz 1 BDSG gestützt werden konnten. Ebenso können bestehende Datenverarbeitungen, die auf anderen Rechtsgrundlagen basieren, weiterhin auf diesen Rechtsgrundlagen beruhen.
Handlungsempfehlung
Auch wenn sich inhaltlich keine Änderungen ergeben, wenn solche Datenverarbeitungen zukünftig direkt auf Art. 6 Abs. 1 Satz 1 DS-GVO gestützt werden müssten, ist es wichtig zu beachten, dass zahlreiche Bestimmungen der DS-GVO den für die Datenverarbeitung Verantwortlichen dazu verpflichten, die Rechtsgrundlage für die Datenverarbeitung anzugeben. Damit ergeben sich folgende notwendige Handlungsschritte:
- Anpassung der Rechtsgrundlage im Verzeichnis der Verarbeitungstätigkeiten, z.B. durch Ergänzung des § 26 Abs. 1 S. 1 BDSG um Art. 6 Abs. 1 lit. b) DS-GVO.
- Nach Art. 13 Abs. 1 c) DS-GVO und Art. 14 Abs. 1 c) DS-GVO muss die Rechtsgrundlage der Datenverarbeitung der betroffenen Person mitgeteilt werden.
Vorlagen und Verzeichnisse für diese Zwecke sowie bereits erstellte Datenschutzerklärungen sollten angepasst werden (s.o.).
