Mit Urteil vom 30. März 2023 (C-34/21,) hat der EuGH mittelbar § 26 Abs. 1 S. 1 BDSG zum Beschäftigtendatenschutz für nicht anwendbar erklärt. Das Urteil, das erst einmal nur eine begrenzte Wirkung zu haben scheint, birgt aber Brisanz weit über den konkreten Fall hinaus.
Sachverhalt
Bei dem Urteil des EuGH handelt es sich um eine so genannte Vorlage zur Vorabentscheidung. D.h., das eigentlich zuständige deutsche Gericht, hier das VG Frankfurt/M. hatte das anhängige Verfahren ausgesetzt und die strittigen Fragen dem EuGH zur Entscheidung vorgelegt, um diese dann in das Urteil einfließen zu lassen. Konkret ging es bei dem Streit um eine Klage des Hauptpersonalrats der Hessischen Lehrerinnen und Lehrer gegen das Hessische Kultusministerium. Dem vorausgegangen war, dass aufgrund der Schulschließungen während der Covid-19-Pandemie die Durchführung von Online-Unterricht angeordnet wurde. Hierbei wurden zwar die Einwilligungen der Schülerinnen und Schüler, bzw. deren Erziehungsberechtigten eingeholt, nicht aber jene der beteiligten Lehrkräfte. Das Ministerium berief sich darauf, dass es aufgrund der Regelung des § 23 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSG), das insoweit identisch mit § 26 Abs. 1 S. 1 BDSG ist, zu einer entsprechenden Weisung berechtigt war und mithin eine individuelle Einwilligung der Lehrkräfte nicht benötigt würde.
Neben der generellen Frage der Anwendbarkeit der Regelungen des Beschäftigtendatenschutzes für Beamtinnen und Beamte (welche bejaht wurde), ging es hier um die Frage, ob § 26 BDSG mit den Anforderungen der einschlägigen Öffnungsklausel, Art. 88 Abs. 1 und 2, vereinbar ist.
Keine nationale Regelung ohne Öffnungsklausel
Grundsätzlich ist der Bereich des Schutzes personenbezogener Daten durch die DSGVO abschließend und mit dem Ziel einer europäischen Harmonisierung geregelt. Die nationalen Gesetzgeber sind nur noch in Ausnahmefällen berechtigt, eigenständige Regelungen zum Datenschutz zu erlassen, bzw. bereits von Mai 2018 bereits bestehende Regelungen anzuwenden. Dies ist ausschließlich im Rahmen von Öffnungsklauseln zulässig. Für den Beschäftigtendatenschutz ist dies Art. 88 DSGVO.
Vereinbarkeit des § 26 mit der DSGVO
Dies bedeutet, dass eine nationale Vorschrift im Bereich des Beschäftigtendatenschutzes lediglich dann wirksam sein kann, wenn sie den Anforderungen des Art. 88 Abs. 1 und 2 vollumfänglich entspricht. In diesem Zusammenhang stellte das Gericht fest, dass „sich aus dem Wortlaut von Art. 88 DSGVO (ergibt), dass dessen Abs. 2 dem Ermessen der Mitgliedstaaten, die den Erlass „spezifischerer Vorschriften“ nach Abs. 1 dieses Artikels beabsichtigen, einen Rahmen setzt. So dürfen sich diese Vorschriften zum einen nicht auf eine Wiederholung der Bestimmungen der DSGVO beschränken, sondern müssen auf den Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext abzielen und geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen.“
Tatsächlich begnügen sich § 23 HDSG und der insofern gleichlautende § 26 Abs. 1 S. 1 BDSG weitestgehend mit der Wiederholung des Wortlauts von Art. 6 Abs. 1 S. 1 lit. b) DSGVO, da es um den Abschluss und die Durchführung von Arbeitsverträgen geht. Allein aus diesem Grunde kam das Gericht zu dem Ergebnis, dass die genannten Vorschriften nicht anwendbar seien und stattdessen unmittelbar auf Art. 6 Abs. 1 S. 1 lit. b) DSGVO zurückgegriffen werden kann und muss. Ferner führte das Gericht aus, dass „hinsichtlich der Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung Art. 6 DSGVO eine erschöpfende und abschließende Liste der Fälle vor(sieht), in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in Art. 6 DSGVO vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können.“
Unmittelbare Auswirkungen
Die unmittelbaren Auswirkungen erscheinen zunächst lediglich als gering. Für Verantwortliche ist es letztlich gleichgültig, ob sie die Verarbeitung zum Zwecke der Begründung und Durchführung von Arbeitsverträgen auf das nationale Recht oder die DSGVO stützen, da beide dies gleichermaßen zulassen. Bei genauem Hinsehen fällt jedoch auf, dass § 26 Abs. 1 S. 1 BDSG einen weiteren Erlaubnistatbestand anführt, der sich (anders als im BDSG a.F.) in der DSGVO nicht findet: die Beendigung des Beschäftigungsverhältnisses. Insbesondere Angeben, die ggf. für die Durchführung der Sozialauswahl benötigt werden, jedoch nicht zur Durchführung des Arbeitsverhältnisses erforderlich sind, sind hiervon betroffen. Hier wird man versuchen müssen, einen Weg über Art. 6 Abs. 1 S. 1 lit. c) DSGVO zu finden, wobei die rechtliche Verpflichtung nicht die Speicherung der Daten sein kann, sondern eine möglicherweise zukünftig durchzuführende Sozialauswahl, für welche diese Angaben dann benötigt werden.
Mittelbare Auswirkungen im Bereich der Beschäftigungsverhältnisse
Derzeit noch nicht absehbar ist die Konsequenz des Urteils auf die weitere Anwendbarkeit der anderen Regelungen zum Beschäftigtendatenschutz innerhalb des § 26 BDSG. Als spezifischer und damit weiterhin zulässig dürfte mit guter Argumentationsgrundlage § 26 Abs. 1 S. 2 BDSG (Verarbeitung zur Aufdeckung von Straftaten im Beschäftigungsverhältnis) sein. Gleiches gilt für die Sonderregelungen zur Einwilligung im Absatz 2. Auch Erlaubnistatbestände in Betriebsvereinbarungen dürften weiterhin zulässig bleiben, da Abs. 4 lediglich deklaratorischen Charakter hat und Art. 88 DSGVO diese ausdrücklich zulässt.
Anders könnte es aber mit weiteren Vorschriften zum Beschäftigtendatenschutz, insbesondere solchem aus dem BetrVG aussehen. Hier stehen Prüfungen und Diskussionen noch aus.
Mittelbare Auswirkungen in anderen Rechtsbereichen
Trennt man sich von dem unmittelbaren Anwendungsbereich des Urteils und reduziert es auf die dahinter stehenden Rechtsgedanken, können sich auch für andere Rechtbereiche, in denen auf nationaler Ebene Regelungen mit datenschutzrechtlichen Inhalten bestehen, Auswirkungen ergeben. Und das unabhängig davon, ob es sich um Regelungen handelt, die vor oder nach dem Wirksamwerden der DSGVO geschaffen wurden.
Fazit: Es bleibt spannend!
Das sehr lesenswerte vollständige Urteil finden Sie hier: