Mit Urteil vom 30. März 2023 (C-34/21,) hat der EuGH mittelbar § 26 Abs. 1 S. 1 BDSG für nicht anwendbar erklärt. Das Urteil, das erst einmal nur eine begrenzte Wirkung zu haben scheint, birgt aber Brisanz weit über den konkreten Fall hinaus.

Sachverhalt

Bei dem Urteil des EuGH handelt es sich um eine so genannte Vorlage zur Vorabentscheidung. D.h., das eigentlich zuständige deutsche Gericht, hier das VG Frankfurt/M. hatte das anhängige Verfahren ausgesetzt und die strittigen Fragen dem EuGH zur Entscheidung vorgelegt, um diese dann in das Urteil einfließen zu lassen. Konkret ging es bei dem Streit um eine Klage des Hauptpersonalrats der Hessischen Lehrerinnen und Lehrer gegen das Hessische Kultusministerium. Dem vorausgegangen war, dass aufgrund der Schulschließungen während der Covid-19-Pandemie die Durchführung von Online-Unterricht angeordnet wurde. Hierbei wurden zwar die Einwilligungen der Schülerinnen und Schüler, bzw. deren Erziehungsberechtigten eingeholt, nicht aber jene der beteiligten Lehrkräfte. Das Ministerium berief sich darauf, dass es aufgrund der Regelung des § 23 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSG), das insoweit identisch mit § 26 Abs. 1 S. 1 BDSG ist, zu einer entsprechenden Weisung berechtigt war und mithin eine individuelle Einwilligung der Lehrkräfte nicht benötigt würde.

Neben der generellen Frage der Anwendbarkeit der Regelungen des Beschäftigtendatenschutzes für Beamtinnen und Beamte (welche bejaht wurde), ging es hier um die Frage, ob § 26 BDSG mit den Anforderungen der einschlägigen Öffnungsklausel, Art. 88 Abs. 1 und 2, vereinbar ist.

Der Europäische Datenschutzausschuss hat am 18.01.2023 ein Papier zur Gestaltung der Cookie-Einwilligungsbuttons auf betreffenden Internetseiten veröffentlicht. Neben der zu erwartenden Forderung, dass ein Button mit der Funktion „Ablehnen“ auf der gleichen Ebene wie der Button mit der Funktion „Zustimmen“ vorhanden sein muss, enthält das Papier weitere Anforderungen.

Auf Antrag des obersten Gerichtshofs Österreichs hat der EuGH am 12. Januar 2023 (C-154/21) über den Umfang des Auskunftsanspruchs betroffener Personen aus Art. 15 DSGVO entschieden.

 Anders, als bei den Artt. 13 und 14 DSGVO, denen entsprechend allgemeine Informationen zur Verarbeitung personenbezogener Daten den davon betroffenen Personen bereits bei oder im Vorfeld der Datenverarbeitung zu geben sind, bedarf es bei Art. 15 DSGVO eines ausdrücklichen Antrags der betroffenen Person. Insofern sind die Artt. 13 und 14 DSGVO einerseits und Art. 15 DSGVO andererseits strikt voneinander abzugrenzen. Stellt die betroffene Person einen Antrag auf Auskunftserteilung gem. Art. 15 DSGVO, treffen den Verantwortlichen eine Reihe von Auskunftspflichten, die in den Absätzen 1 und 2 katalogartig aufgeführt sind. Leider bestehen aufgrund der durch den Gesetzgeber getroffenen Wortwahl an mehreren Stellen Unklarheiten über den Umfang der Auskunft. Eine dieser Unklarheiten wurde nun durch den EuGH beseitigt.