Die Schaffung eines Beschäftigtendatenschutzes ist schon geraume Zeit politisches Vorhaben. Sowohl die Koalition aus CDU/CSU und SPD unter Angela Merkel als auch die jetzige Koalition aus SPD, Grünen und FDP unter Olaf Scholz hatten, bzw. haben sich dies „auf die Fahne“ geschrieben. Passiert ist bisher nichts. Nun könnte das Thema durch eine Entscheidung des Europäischen Gerichtshofes (kurz EuGH) vom 30.03.2023 (Az. C-34/21) erneut in den Fokus rücken.
Die Ausgangslage
Art. 88 DSGVO, der die Datenverarbeitung im Beschäftigungskontext in der Datenschutzgrundverordnung regelt, sieht in seinem Absatz 1 vor, dass die Mitgliedsstaaten unter anderem durch Rechtsvorschriften spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten bei der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext vorsehen können. Konkreter geregelt werden kann neben vielen anderen Themen die Einstellung, die Erfüllung des Arbeitsvertrages, sowie die Beendigung des Beschäftigungsverhältnisses. Der deutsche Gesetzgeber hat von dieser sogenannten Öffnungsklausel mit § 26 Bundesdatenschutzgesetz (BDSG) Gebrauch gemacht. So stellt § 26 Abs. 1 S. 1 BDSG klar, dass personenbezogene Daten für die Zwecke des Beschäftigungsverhältnisses verarbeitet werden dürfen, wenn dies für die Entscheidung über dessen Begründung, Durchführung oder Beendigung erforderlich ist. Nahezu identische Regelungen finden sich in § 23 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG), das für die Verarbeitung personenbezogener Daten durch die öffentlichen Stellen des Landes, der Gemeinden und Landkreise gilt, als auch in § 86 Abs. 4 des Hessischen Beamtengesetzes (HBG). Die beiden letztgenannten Normen stehen in einem Rechtsstreit vor dem Verwaltungsgerichts Wiesbaden auf dem Prüfstand.
Der Stein des „Anstoßes“
Ausgangspunkt der EuGH-Entscheidung ist ein Fall aus Hessen. Um den Schulbetrieb während der Corona-Pandemie aufrecht zu erhalten, wurde Livestream-Unterricht durch Videokonferenzsysteme eingeführt. Die Eltern der Kinder als Erziehungsberechtigte bzw. die volljährigen Schüler mussten für die dabei erfolgte Datenverarbeitung ihre datenschutzrechtliche Einwilligung erteilen. Die Lehrerinnen und Lehrer wurden hingegen nicht gefragt, ob sie mit der Verarbeitung ihrer Daten einverstanden sind. Einer Einwilligung der Lehrkräfte habe es nicht bedurft, da die Verarbeitung ihrer personenbezogenen Daten für die Durchführung des Beschäftigungsverhältnisses erforderlich gewesen sei, so das Land Hessen.
Dies sah der Hauptpersonalrat der Lehrerinnen und Lehrer anders und klagte gegen Streaming-Unterricht ohne Einwilligung der Lehrkräfte. Das mit dem Fall betraute Verwaltungsgericht (VG) Wiesbaden hatte Zweifel, ob die deutschen Regelungen als „spezifischere Vorschriften“ i.S.d. Art. 88 DSGVO anzusehen sind und legte die Sache dem EuGH vor.
Die Luxemburger Richter entschieden, dass der Livestream-Unterricht in den sachlichen Anwendungsbereich der DSGVO falle. Allerdings dürfe eine „spezifischere Vorschrift“ i.S.d. Art. 88 DSGVO nicht bloß die Bestimmungen der DSGVO wiederholen, sondern müsse die Vorgaben des Absatzes 2 erfüllen, d.h. „besondere Maßnahmen zur Wahrung der menschlichen Würde, berechtigten Interessen und der Grundrechte der betroffenen Person“ umfassen.
Nationale Vorschriften, die die Verarbeitung personenbezogener Daten davon abhängig machen, dass diese zu bestimmten Zwecken für die Durchführung eines Beschäftigungs- bzw. Dienstverhältnisses erforderlich sein muss, scheinen lediglich die bereits in der DSGVO aufgestellten Bedingungen für die allgemeine Rechtmäßigkeit der Datenverarbeitung zu wiederholen, ohne eine „spezifischere Vorschrift“ i.S.d. Art 88 Abs. 1 DSGVO darzustellen, so der EuGH.
Es sei nun Sache des VG Wiesbadens als vorlegendes Gericht zu beurteilen, ob die hessischen Vorschriften diese Voraussetzungen erfüllen. Falls das VG Wiesbaden ebenfalls zu dem Ergebnis kommt, dass die Voraussetzungen des Art. 88 DSGVO nicht erfüllt sind, müsse es die Bestimmungen grundsätzlich unangewendet lassen.
Folgen der EuGH-Entscheidung für die Praxis
Sollte das VG Wiesbaden der Rechtsauffassung des EUGH folgen, hätte dies zunächst „nur“ Auswirkungen auf die hessischen Regelungen zum Beschäftigtendatenschutz für die Datenverarbeitung durch öffentliche Stellen. Wegen des nahezu identischen Wortlauts lassen sich die Ausführungen des Luxemburger Gerichts aber auch auf § 26 BDSG übertragen und stellen auch dessen Vereinbarkeit mit Art. 88 DSGVO erheblich in Frage.
Doch egal wie die Sache ausgeht; Der Wegfall des § 26 Abs. 1 S. 1 BDSG hätte auf die Praxis nur geringe Auswirkungen, denn: In der DSGVO stehen insbesondere mit Art. 6 Abs. 1 S. 1 lit. b DSGVO (Verarbeitung zur Vertragserfüllung/Durchführung vorvertraglicher Maßnahmen) und Art. 6 Abs. 1 S. 1 lit. f DSGVO (Verarbeitung zur Wahrung eines berechtigten Interesses) alternative Rechtsgrundlagen zur Verfügung.
Fazit
Interessanterweise bewertet das BAG die Europarechtskonformität des § 26 BDSG komplett anders als der EuGH. Nach Auffassung der Erfurter Richter verstößt die Norm offenkundig und zweifelsohne nicht gegen die Datenschutzgrundverordnung. Es bleibt spannend, wie sich das Thema weiterentwickelt. In jedem Fall dürfte die EuGH-Entscheidung die Forderung nach einem eigenständigen Beschäftigtendatenschutzgesetz wieder auf das Tableau bringen. Zuletzt hatte die Datenschutzkonferenz im April 2022 die Schaffung eines solchen Gesetzes gefordert. Nun wollen auch die Minister Faeser und Heil bis Sommer den Entwurf auf den Weg bringen. Wir halten Sie auf dem Laufenden.