Zukunft des deutschen Beschäftigtendatenschutzes

Der Europäischen Gerichtshof (EuGH) hat sich in dem Urteil vom 30. März 2023 (Az.: C-34/21) mit dem deutschen Beschäftigungsdatenschutz befasst.

Die Entscheidung:

Der zugrunde liegende Sachverhalt betraf einen Streit zwischen dem Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium und dem Minister des Hessischen Kultusministeriums über die Rechtmäßigkeit von Livestreamunterricht per Videokonferenz während der Covid-19-Pandemie, für den keine vorherige Einwilligung der betroffenen Lehrkräfte eingeholt wurde. Zur Wahrung der Datenschutzrechte der Schüler wurde dagegen die Einwilligung der Schüler selbst oder – bei Minderjährigen – der Eltern eingeholt. Gegen dieses Vorgehen erhob der Hauptpersonalrat beim Verwaltungsgericht (VG) Wiesbaden Klage. Das Hessische Kultusministeriums argumentierte, dass die Verarbeitung personenbezogener Daten der Lehrkräfte beim Livestreamunterricht per Videokonferenz nach § 23 Abs. 1 Satz 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG) zulässig sei, so dass sie ohne Einholung der Einwilligung der jeweiligen Lehrerinnen und Lehrer erfolgen konnte. Das VG Wiesbaden hatte Zweifel, ob die deutschen Regelungen als „spezifischere Vorschriften“ im Sinne von Art. 88 DSGVO anzusehen sind, und legte die Sache dem EuGH vor.

Nach Art. 88 Abs. 1 DSGVO können die Mitgliedstaaten durch Rechtsvorschriften „spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext“ vorsehen. Nach Art. 88 Abs. 2 DSGVO umfassen diese Vorschriften „geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person“.

Der EuGH entschied, dass Art. 88 DSGVO so auszulegen ist, dass eine nationale Rechtsvorschrift keine „spezifischere Vorschrift“ im Sinne von Art. 88 Abs. 1 DSGVO sein kann, wenn sie nicht die Vorgaben von Art. 88 Abs. 2 DSGVO erfüllt, es sei denn, die nationale Vorschrift stellt eine Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO dar. D.h. eine „spezifischere Vorschrift“ muss auf den Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten abzielen und geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen, um eine „spezifischere Vorschrift“ darzustellen und darf sich nicht lediglich auf eine Wiederholung der Bestimmungen der DSGVO beschränken.

Allerdings ist es Sache des vorlegenden Gerichts, zu entscheiden, ob § 23 Abs. 1 Satz 1 HDSIG die in Art. 88 DS-GVO vorgegebenen Voraussetzungen und Grenzen beachtet. Nach Ansicht des EuGH scheinen nationale Rechtsvorschriften wie § 23 Abs. 1 HDSIG, die die Verarbeitung von Beschäftigtendaten davon abhängig machen, dass diese zu bestimmten Zwecken im Zusammenhang mit der Durchführung eines Beschäftigungs- bzw. Dienstverhältnisses erforderlich sein muss, die bereits in der DSGVO aufgestellte Bedingungen für die allgemeine Rechtmäßigkeit nur zu wiederholen, und nicht im Sinne von Art. 88 Abs. 1 DSGVO zu spezifizieren. Sollte das vorlegende Gericht feststellen, dass die anwendbaren Bestimmungen die in Art. 88 DSGVO vorgegebenen Voraussetzungen und Grenzen nicht beachten, hätte es diese Bestimmungen grundsätzlich unangewendet zu lassen. Das vorlegende Gericht muss jedoch noch prüfen, ob diese Bestimmungen eine Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO darstellen, die den Anforderungen der DSGVO genügt. Ist dies der Fall, darf die Anwendung der nationalen Vorschriften nicht ausgeschlossen werden.

Konsequenzen des Urteils:

§ 26 Bundesdatenschutzgesetz (BDSG) ist in der Praxis nach Auffassung des Bundesarbeitsgerichts (BAG) und auch der deutschen Datenschutzbehörden die zentrale Rechtsgrundlage, wenn es um Datenverarbeitung im Beschäftigungsverhältnis geht. Bisher ist sowohl das BAG als auch die Literatur von einer Vereinbarkeit des § 26 BDSG mit Art. 88 DSGVO auch ohne Vorlage an den EuGH ausgegangen.

Nach dem Wortlaut von § 26 Abs. 1 Satz 1 BDSG dürfen personenbezogene Daten von Beschäftigten „für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist“. Ganz ähnlich lautet § 23 Abs. 1 Satz 1 HDSIG: ^„Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung, Beendigung oder Abwicklung sowie zur Durchführung innerdienstlicher planerischer, organisatorischer, sozialer und personeller Maßnahmen erforderlich ist.“

Nach der Entscheidung des EuGH verstößt wohl auch die Regelung des § 26 Abs. 1 Satz 1 BDSG, der lediglich die Zulässigkeit der Datenverarbeitung auf Grundlage eines Arbeitsvertrages regelt, gegen das Wiederholungsverbot und wäre damit nicht anwendbar. Denn es darf „sich bei den … ’spezifischeren Vorschriften‘ nicht lediglich um eine Wiederholung der in Art. 6 DSGVO genannten Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten und der in Art. 5 DSGVO angeführten Grundsätze für diese Verarbeitung oder um einen Verweis auf diese Bedingungen und Grundsätze handeln.“ Diese Beurteilung hat der EuGH jedoch an das VG Wiesbaden zurückverwiesen.

Wenn die nationale Rechtsvorschrift unanwendbar werden würde, dann gilt das europäische Recht. Eine deutsche Rechtsvorschrift kann das deutsche Gericht abschließend auslegen, zur Auslegung der DSGVO ist allein der EuGH zuständig. Es liegt nun am VG Wiesbaden im Einzelnen zu prüfen, ob § 23 Abs. 1 Satz 1 HDSIG (und damit ggf. § 26 Abs. 1 Satz 1 BDSG) die Anforderungen des EuGH erfüllen. Sollte dies nicht der Fall sein, richtet sich die Beurteilung dieses Falls nach der DSGVO.

Es ist damit zu rechnen, dass nun vermehrt Auslegungsfragen zum Beschäftigtendatenschutz auch in anderen Fällen dem EuGH vorgelegt werden.

Rechtsanwältin Stephanie Kolb