Der Gerichtshof der Europäischen Union (EuGH) hat jüngst Hinweise zur Auslegung von Art. 88 der Verordnung (EU) 2016/679, kurz: DS-GVO, gegeben, die von wesentlicher Bedeutung auch für die Anwendung von § 26 Bundesdatenschutzgesetz (BDSG) sind. Obwohl die Entscheidungsgrundlage eine Streitigkeit aus dem Schulbereich betrifft, sind die Ausführungen für die Privatwirtschaft von erheblichem Interesse. Wir stellen die Entscheidung im Folgenden vor.
EuGH, Urteil vom 30. März 2023 (C-34/21)
Kontext
Der Beschäftigtendatenschutz ist unionsrechtlich überformt. Datenverarbeitungen sind durch die Verordnung (EU) 2016/679, kurz: DS-GVO, geregelt. Mit dieser ist ausweislich ihres 10. Erwägungsgrundes ein gleichwertiges Schutzniveau in der Union angestrebt. Art. 88 Abs. 1 DS-GVO bestimmt, dass die Mitgliedsstaaten „spezifischere“ Vorschriften für Datenverarbeitungen im Beschäftigtenkontext vorsehen können. Nach Art. 88 Abs. 2 DS-GVO umfassen „diese Vorschriften […] geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person[en]“, also der Beschäftigten.
Sachverhalt
Während der Covid-19-Pandemie wurden u.a. an hessischen Schulen hybride Unterrichtsformen eingeführt. Aus datenschutzrechtlicher Sicht war die Frage aufgeworfen, ob die Übertragung des Präsenzunterrichts per Livestream an nicht anwesende Schülerinnen und Schüler auch einer Einwilligung des Lehrpersonals bedarf. Das Hessische Kultusministerium verneinte dies mit Verweis auf § 23 Abs. 1 S. 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetz (HDSIG), dessen Wortlaut mit demjenigen von § 26 Abs. 1 S. 1 BDSG in weiten Teilen übereinstimmt. Die Datenverarbeitungen seien zur Durchführung des jeweiligen Beschäftigungsverhältnisses „erforderlich“ und daher ohne Einwilligung der Betroffenen erlaubt.
Dagegen wandte sich der Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium in einem personalvertretungsrechtlichen Verfahren. Das angerufene Verwaltungsgericht (VG) Wiesbaden hatte Zweifel an der Vereinbarkeit von § 23 Abs. 1 S. 1 HDSIG mit der DS-GVO. Konkret bezweifelte das Gericht, dass die landesrechtliche Vorschrift eine „spezifischere“ im Sinne der Öffnungsklausel des Art. 88 DS-GVO ist, und legte dem EuGH zwei diesbezügliche Fragen zur Vorabentscheidung vor.
Entscheidung
Der EuGH stellt – erstens – fest, dass eine nationale Vorschrift nur „spezifischer“ im Sinne des Art. 88 Abs. 1 DS-GVO ist, wenn sie die Vorgaben des Abs. 2 erfüllt. Dies ist nicht der Fall, wenn die nationale Vorschrift lediglich die in Art. 6 DS-GVO abschließend geregelten Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten und die in Art. 5 DS-GVO niedergelegten Verarbeitungsgrundsätze wiederholt oder darauf verweist. Dann verstoßen sie gegen das unionsrechtliche Normwiederholungsverbot. Um „spezifischer“ im Sinne des Art. 88 Abs. 1 DS-GVO zu sein, muss die nationale Vorschrift stattdessen besondere und geeignete Garantien zum Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext vorsehen. Nur dann nimmt die DS-GVO eine Einschränkung des eingangs erwähnten Harmonisierungsziels hin.
Zweitens stellt der EuGH mit Verweis auf den Anwendungsvorrang des Unionsrechts klar, dass nationale Vorschriften, die Datenverarbeitungen im Beschäftigungskontext regeln, aber nicht „spezifischer“ im Sinne des Art. 88 Abs. 1 DS-GVO sind, unangewendet bleiben müssen.
Auch wenn diese Bewertung dem vorlegenden Verwaltungsgericht vorbehalten ist, weist der EuGH daraufhin, dass § 23 Abs. 1 S. 1 HDSIG keine „spezifischere“ Vorschrift im Sinne des Art. 88 Abs. 1 DS-GVO zu sein scheint. Daran anknüpfend macht er auf mögliche Rechtsgrundlagen in Art. 6 Abs. 1 lit. c und e DS-GVO aufmerksam, welche die Verarbeitung u.a. von Beschäftigtendaten zur Erfüllung einer rechtlichen Verpflichtung bzw. zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe erlauben. Das (inzwischen) zuständige Verwaltungsgericht Frankfurt muss insofern prüfen, ob § 23 Abs. 1 S. 1 HDSIG die in Art. 6 Abs. 3 DS-GVO genannten Anforderungen erfüllt.
Praxishinweise
I. Die vorgestellte Entscheidung hat politisch Sprengkraft, die Bedeutung der Entscheidung des EuGH ist nicht auf das hessische Landesdatenschutzrecht beschränkt. Die Generalklausel des § 23 Abs. 1 S. 1 HDSIG ist derjenigen aus § 26 Abs. 1 S. 1 BDSG vergleichbar. Auf diese nationale Generalklausel für Beschäftigungsverhältnisse konnten sich Arbeitgeber bisher stützen, um Verarbeitungen von Beschäftigtendaten zu rechtfertigen. Praktische Zweifel an der Anwendbarkeit waren spätestens ausgeräumt, nachdem das Bundesarbeitsgericht (BAG) im Jahr 2019 (Az.: 1 ABR 53/17) ausdrücklich festgestellt hatte, § 26 Abs. 1 S. 1 BDSG sei offenkundig unionsrechtskonform. Aufgrund der Feststellungen des EuGH drängt sich nunmehr auf, dass auch § 26 Abs. 1 S. 1 BDSG den Vorgaben des Art. 88 Abs. 2 DS-GVO nicht genügt, mithin keine „spezifischere“ Vorschrift im Sinne des Art. 88 Abs. 1 DS-GVO ist. Gegebenenfalls können Datenverarbeitungen im Beschäftigungskontext nicht wie bisher und entgegen der Rechtsprechung des BAG nicht auf § 26 Abs. 1 S. 1 BDSG gestützt werden.
II. Die unmittelbaren praktischen Auswirkungen dürften sich dennoch in Grenzen halten. Arbeitgebern stehen die weit gefassten Erlaubnistatbestände der DS-GVO zur Verfügung – im privatrechtlichen Beschäftigungsverhältnis wird sich die Rechtfertigung der Verarbeitung von Beschäftigtendaten regelmäßig aus Art. 6 Abs. 1 lit. b DS-GVO ergeben. Weil mit der DS-GVO eine vollständig tragfähige Rechtsgrundlage zur Verfügung steht, ist es weder rechtsnotwendig noch – generell – praktisch zweckmäßig weitere Rechtfertigungsquellen, etwa in Form von Kollektivvereinbarungen zu schaffen. Im Gegenteil besteht für solche nach den bislang kaum ausdifferenzierten Obersätzen des EuGH zu Art. 88 DS-GVO ein erhebliches Unwirksamkeitsrisiko.
III. Die vorgestellte Entscheidung hat die rechtspolitische Diskussion zum Vorhaben der Ampelkoalition, den Beschäftigtendatenschutz durch ein eigenes, nationales Gesetz neu zu regeln, offenbar belebt. Nur wenige Tage nach ihrer Veröffentlichung sind „Vorschläge für einen modernen Beschäftigtendatenschutz“ des Bundesministeriums für Arbeit und Soziales und des Bundesministeriums des Innern und für Heimat veröffentlicht worden. Ob und wie diese umgesetzt werden, bleibt abzuwarten.
Weiterleiten