Der Europäische Gerichtshof (EuGH) hat in einem Urteil entschieden, dass die nationale Generalklausel des § 26 Bundesdatenschutzgesetzes (BDSG) zur Datenverarbeitung im Beschäftigungsverhältnis keine „spezifischere Vorschrift“ im Sinne von Art. 88 Abs. 1 der Datenschutz-Grundverordnung (DSGVO) ist und somit gegen die Vorgaben der Datenschutz-Grundverordnung verstößt.
Was war geschehen?
Hintergrund der Entscheidung ist ein Fall aus Hessen. Dort wurde im Zuge der Corona-Pandemie in Schulen ein Livestream-Unterricht durch Videokonferenzsysteme eingeführt. Während die Einwilligung der volljährigen Schüler bzw. der Eltern eingeholt wurde, wurde die Einwilligung der betroffenen Lehrerkräfte nicht eingeholt.
Nachdem der Livestream-Unterricht ohne Einwilligung der betroffenen Lehrkräfte stattfand, erhob der Hauptpersonalrat der Lehrer:innen Klage beim Verwaltungsgericht (VG) Wiesbaden. Der Hauptpersonalrat rügte dabei, dass die Übertragung des Unterrichts ohne Einwilligung der betroffenen Lehrkräfte stattfand und somit gegen ihre Persönlichkeitsrechte verstieß.
Das Land Hessen argumentierte dagegen, dass die Datenverarbeitung der Lehrerschaft durch den Livestream-Unterricht von nationalen Regelungen gedeckt sei. Allerdings äußerte das zuständige Verwaltungsgericht Zweifel, ob die nationale Regelung als “spezifischere Vorschriften” gemäß Art. 88 Abs. 1 DSGVO zur Verarbeitung von Beschäftigtendaten mit den Vorgaben des Art. 88 Abs. 2 DSGVO vereinbar sei.
Daher ersuchte das VG Wiesbaden den EuGH um eine Vorabentscheidung.
Exkurs: Beschäftigtendatenschutz
Grundsätzlich hat die Datenschutz-Grundverordnung Vorrang vor nationalen Datenschutzregelungen. Allerdings enthält die Datenschutz-Grundverordnung Öffnungsklauseln, die es den Mitgliedstaaten erlauben, eigene Datenschutzgesetze und -vorschriften für bestimmte Bereiche zu erlassen. Art. 88 Abs. 1 DSGVO ist eine solche Öffnungsklausel. Sie ermöglicht es den Mitgliedstaaten, im Bereich der Beschäftigtendaten “spezifischeren Vorschriften” zu erlassen. Diese Vorschriften müssen jedoch gemäß Art. 88 Abs. 2 DSGVO bestimmte Grundsätze der Datenschutz-Grundverordnung berücksichtigen, wie z.B. die Wahrung der menschlichen Würde und der berechtigten Interessen und Grundrechte der betroffenen Personen.
In Deutschland hat der Gesetzgeber von dieser Öffnungsklausel Gebrauch gemacht und § 26 BDSG erlassen. § 26 BDSG erlaubt die Verarbeitung personenbezogener Daten von Beschäftigten auch ohne deren Einwilligung, wenn dies für die Entscheidung über die Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses erforderlich ist. Auch die Datenschutzgesetze der Länder enthalten vergleichbare Regelungen für die Verarbeitung von Beschäftigtendaten.
§ 26 BDSG
Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses
(1) Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. […]
(2) […]
EuGH-Urteil zur Auslegung des Art. 88 DSGVO
Der EuGH entschied, dass die betroffenen nationalen Bestimmungen wie § 26 BDSG, nicht als „spezifischere Vorschriften“ nach Art. 88 Abs. 1 DSGVO gelten können. Nach Ansicht des EuGH müssen nationale Vorschriften, die aufgrund der Öffnungsklausel des Art. 88 Abs. 1 DSGVO erlassen werden, “spezifischere Vorschriften” sein. Das bedeutet, dass sie einen Regelungsgehalt haben müssen, der sich von den allgemeinen Regeln der DSGVO unterscheidet und nicht lediglich deren Bestimmungen wiederholt.
Zudem müssen die nationalen Vorschriften „geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Personen, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe […] und die Überwachungssysteme am Arbeitsplatz“ umfassen, mithin den Anforderungen des § 88 Abs. 2 DSGVO entsprechen.
Es obliegt den nationalen Gerichten zu beurteilen, ob die nationalen Bestimmungen diese Voraussetzungen erfüllen. Sollten sie dies nicht tun, müssen die nationalen Bestimmungen unangewendet bleiben. Die verantwortlichen Stellen könnten dann alternative Rechtsgrundlagen prüfen, wie etwa Art. 6 Abs. 1 lit. b DSGVO.
Auswirkung des Urteils
Die Entscheidung betrifft zwar nur eine Regelung aus dem hessischen Datenschutzrecht, sie lässt sich aber auch auf § 26 BDSG übertragen und stellt dessen Vereinbarkeit mit Art. 88 DSGVO in Frage.
Es bleibt abzuwarten, wie das VG Wiesbaden mit den Hinweisen des EuGH umgeht. Der EuGH hat klargestellt, dass nationale Normen nicht anwendbar sind, wenn sie gegen die Voraussetzungen von Art. 88 DSGVO verstoßen. Sollte dies der Fall sein, müsste das VG Wiesbaden prüfen, ob die Vorschriften eine Rechtsgrundlage gemäß Art. 6 Abs. 3 DSGVO darstellen. Eine solche Rechtsgrundlage besteht, wenn sie den Zweck der Datenverarbeitung festlegt und für die Erfüllung einer im öffentlichen Interesse liegenden Aufgabe oder in Ausübung öffentlicher Gewalt erforderlich ist.
Eine etwaige Unanwendbarkeit von § 26 Abs. 1 S. 1 BDSG hat jedoch keinen Einfluss auf die Möglichkeit der Datenverarbeitungen im Beschäftigungskontext. Insbesondere müssen Unternehmen diese nicht zwingend beenden oder aussetzen. Arbeitgeber:innen sollten jedoch darauf achten, dass sie eine geeignete Rechtsgrundlage gemäß Art. 6 Abs. 1 lit. b, f DSGVO für die Verarbeitung personenbezogener Daten ihrer Beschäftigten haben. Da die Rechtsgrundlage zur Datenverarbeitung zur Erfüllung eines Vertrages nach Art. 6 Abs. 1 lit. b DSGVO oder zur Wahrung des berechtigten Interesses nach Art. 6 Abs. lit. f DSGVO den Regelungsgehalt des § 26 Abs. 1 S. 1 BDSG nahezu vollständig ersetzen, hat das Urteils für Unternehmen nur geringe Auswirkungen.
Fazit
In seinem Urteil hat der EuGH festgestellt, dass die Vorschriften des deutschen Beschäftigtendatenschutzes nicht mit den Anforderungen der Datenschutz-Grundverordnung vereinbar sind. Der deutsche Gesetzgeber sollte daher spezifischere Vorschriften für verschiedene Verarbeitungssituationen im Beschäftigungskontext schaffen, um Rechtssicherheit und einen effektiven Datenschutz zu gewährleisten.
Die Auswirkungen auf den Beschäftigtenschutz bleiben jedoch gering, da Arbeitgeber:innen sich weiterhin auf andere Rechtsgrundlagen stützen können, um personenbezogene Daten von Beschäftigten zu verarbeiten.
Quellen:
Zum Urteil: CURIA – Dokumente (europa.eu)
