EuGH: § 26 BDSG – das Herzstück des Beschäftigtendatenschutzes – europarechtswidrig?
Mitgliedsstaaten der EU müssen bei der Ausgestaltung des nationalen Beschäftigtendatenschutzes die Rahmenbedingungen des Art. 88 Datenschutzgrundverordnung (DSGVO) berücksichtigen. Die Schaffung einer Generalklausel ist keine spezifischere Vorschrift in diesem Sinne und verstößt damit gegen die vorrangig geltende DSGVO.
Europäischer Gerichtshof, Urteil vom 30. März 2023, C-34/21
Das ist passiert
Während der Corona-Pandemie fand an hessischen Schulen der Unterricht oftmals über ein Videokonferenzsystem statt. Für die in diesem Zusammenhang stattfindenden Datenverarbeitungen wurde von Schülern bzw. den Erziehungsberechtigten eine Einwilligung eingeholt, bei den Lehrkräften stützte man sich jedoch auf § 23 Abs. 1. S. 1 Hessisches Datenschutzgesetz (HDSIG) - diese Vorschrift ist identisch zur national geltenden Vorschrift des § 26 Abs. 1 S. 1 BDSG.
Danach dürfen Daten von Beschäftigten verarbeitet werden, wenn dies u.a. für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Der Hauptpersonalrat der Lehrer war damit nicht einverstanden, er sah eine Einwilligungspflicht auch für Lehrer und erhob Klage. Das zuständige Verwaltungsgericht hatte Zweifel, ob § 23 Abs. 1 S. 1 HDSIG überhaupt eine spezifischere Vorschrift im Sinne von Art. 88 DSGVO ist und legte diese Frage dem EuGH vor.
Das entschied das Gericht
Der Europäische Gerichtshof stellte fest, dass nationale Vorschriften, die nicht die Vorgaben des Art. 88 Abs. 2 DSGVO erfüllen, auch nicht als „spezifischere Vorschrift“ nach Art. 88 Abs. 1 DSGVO gelten können. Danach müsse eine nationale Regelung mehr als nur Wiederholungen der Bestimmungen der DSGVO enthalten, also geeignete Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person erfassen. Letztlich gebe § 23 Abs. 1 S. 1 HDSIG allerdings sinngemäß lediglich den Inhalt von Art. 6 Abs. 1 lit. b DSGVO wieder, sodass aufgrund des Vorrangs des Unionrechts Art. 6 Abs. 1 lit. b DSGVO unmittelbar anzuwenden sei.
Ob im Fall der Lehrer die Voraussetzungen des Art. 88 DSGVO eingehalten wurden - und das Land darauf verzichten konnte, die Zustimmung der Lehrer einzuholen - muss nun das Verwaltungsgericht auf Grundlage der EuGH-Entscheidung beurteilen.
Hintergrund und Bedeutung für die Praxis
Grundsätzlich gelten die Ausführungen des EuGH für das hessische Beschäftigtendatenschutzrecht. Allerdings ist § 23 Abs. 1 S. 1 HDSIG wortgleich zu § 26 Abs. 1 S. 1 BDSG, dem „Herzstück“ des deutschen Beschäftigtendatenschutzes. Konsequenterweise müssen sich Arbeitgeber daher fortan bei der Verarbeitung von Beschäftigtendaten auf Art. 6 Abs. 1 lit. b DSGVO (zur Erfüllung eines Vertrages) oder auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) stützen. Die weiteren Bestimmungen des § 26 BDSG sollten jedoch, auch wenn es dazu keine Entscheidung bzw. Ausführungen gibt, als „spezifischere Vorschriften“ zu werten sein, da diese beispielsweise tatsächlich Ausführungen zur Freiwilligkeit der Einwilligung im Arbeitsverhältnis machen.
Insgesamt ein sehr deutliches Signal des EuGH an den deutschen Gesetzgeber: Man hat es versäumt, trotz immer wiederkehrender Kritik, rechtssichere Vorschriften zum Beschäftigtendatenschutz zu schaffen.
(sts)
