Urteil des EuGH

In dem Urteil vom 30.03.2023 (Az.- C 34/21) hat der EuGH festgestellt, das nationale Vorschriften nur als Öffnungsklausel nach Art. 88 Abs. 1 DSGVO gelten, wenn Sie spezifisch formuliert sind. Die nationalen Vorschriften müssen einen passenden Regelungsgehalt haben, der sich von den allgemeinen Regelungen der DSGVO klar unterscheide und diese nicht einfach wiederhole.

Wie in meinem letzten BLOG-Beitrag erwähnt, der sich mit der Verarbeitung von Gesundheitsdaten im Beschäftigungsverhältnis befasst, haben die Mitgliedsstaaten nach Art. 88 Abs. 1 der DSGVO die Möglichkeit spezifische Vorgaben zum Schutze der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Daten von Beschäftigten zu erlassen. Deutschland hat hiervon Gebrauch gemacht und mit dem § 26 BDSG eine Art Generalklausel eingeführt, die Datenverarbeitungen erlaubt, wenn diese für Zwecke des Beschäftigungsverhältnisses erforderlich sind. Da der Art. 6 der DSGVO bei der Rechtmäßigkeit von Datenverarbeitungen ebenfalls auf die Erforderlichkeit abstellt, liegt bei der nationalen Vorschrift keine ausreichende Abgrenzung zu dem europäischen Recht vor.

Der Art. 88 Abs. 2 der DSGVO sieht bestimmte Vorgaben an eine Öffnungsklausel vor. Demnach hat eine solche nationale Vorschrift geeignete und besondere Maßnahmen zu umfassen, damit die menschliche Würde, die berechtigten Interessen sowie die Grundrechte der Betroffenen gewahrt werden.

Fallkonstellation

Im oben genannten Urteil ging es um die Zuordnung einer Rechtsgrundlage für Unterricht per Livestream. Dabei hatte der Minister des hessischen Kultusministeriums im Zuge der Corona Pandemie Unterricht per Livestream eingeführt. Für eine solche Verarbeitung von personenbezogenen Daten bedarf es nach den Vorgaben des Datenschutzes einer Rechtsgrundlage. Für die am Unterricht per Livestream teilnehmenden volljährigen Schüler bzw. für die Eltern der minderjährigen Schüler beruhte die Datenverarbeitung jeweils auf der Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO. Die Verarbeitung der personenbezogenen Daten von den Lehrkräften basierte auf dem folgenden § 23 Abs. 1 Satz 1 des hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG):

„Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn Sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung, Beendigung oder Abwicklung sowie zur Durchführung innerdienstlicher, planerischer, organisatorischer, sozialer, und personeller Maßnahmen erforderlich ist.“  

Diese Vorschrift ist nahezu identisch mit dem § 26 Abs. 1 Satz 1 BDSG. Der Hauptpersonalrat der Lehrkräfte kritisierte, dass die beteiligten Lehrkräfte nicht nach einer Einwilligung gefragt wurden und reichte daher Klage vor dem Verwaltungsgericht (VG) Wiesbaden ein. Dieses Gericht entschied sich daraufhin, das Verfahren auszusetzen und dem EuGH zwei Fragen zur Vorabentscheidung vorzulegen.

Absolut bemerkenswert ist dabei, dass das Bundesarbeitsgericht mit Beschluss vom 07.05.2019 (Az. 1 ABR/ 53/17) noch erklärt hatte, dass zu dem § 26 Abs. 1 BDSG ein Verfahren zur Vorabentscheidung vor dem EuGH nicht erforderlich ist. Dies liege daran, dass die korrekte Anwendung des Unionrechtes offenkundig sei, so dass für vernünftige Zweifel kein Raum bleibe.

Der EuGH sollte vorab entscheiden, ob spezifische Vorschriften nach Art. 88 Abs. 1 DSGVO die Vorgaben des Art. 88 Abs. 2 der DSGVO erfüllen müssen. Zudem sollte geklärt werden, ob nationale Vorschriften, die diese Vorgaben nicht erfüllen, weiter anwendbar sind. Der EuGH stellte diesbezüglich fest, das spezifische nationale Vorschriften die Vorgaben aus Art. 88 Abs.2 der DSGVO erfüllen müssen. Wenn diesen Vorgaben nicht entsprochen wird, ist die nationale Vorschrift grundsätzlich nicht anwendbar.  

Der EuGH hat nach seiner Vorabentscheidung klargestellt, dass es nun an dem zuständigen VG Wiesbaden sei, den § 23 Abs. 1 S. 1 des HDSIG dahingehend zu beurteilen, ob dieser die Vorgaben des Art. 88 Abs. 2 DSGVO erfülle.

Ausblick und Fazit

Der EuGH hat mit seinem aktuellen Urteil eine womöglich weitreichende Entscheidung für den Beschäftigtendatenschutz gefällt. Diese nimmt zwar lediglich Bezug auf ein hessisches Gesetz, das nur auf die Datenverarbeitung öffentlicher Stellen angewendet werden kann. Da dessen Wortlaut allerdings nahezu identisch mit dem des § 26 Abs. 1 Satz 1 BDSG ist, sind die Bedenken des EuGH auf den Beschäftigtendatenschutz in Deutschland übertragbar. Eine Vereinbarkeit zwischen dem § 26 Abs. 1 Satz 1 BDSG mit dem Art. 88 DSGVO erscheint nun sehr fragwürdig. Es ist davon auszugehen, dass das VG Wiesbaden sich den Ausführungen des EuGH anschließen wird und den § 23 Abs. 1 Satz 1 HDSIG ebenfalls als nicht hinreichend spezifische Vorschrift einstuft.

Der deutsche Gesetzgeber ist nun umso mehr gefragt, den Beschäftigtendatenschutz umfassender und spezifischer zu regeln. Sofern dies zunächst weiterhin ausbleibt und der § 26 Abs. 1 Satz 1 BDSG keine Anwendung mehr finden sollte, müssten die im Datenschutz Verantwortlichen Anpassungen in Ihrer Dokumentation vornehmen. Häufig ist in den Pflichtinformationen für Beschäftigte bisher der § 26 Abs 1 Satz 1 BDSG als Rechtsgrundlage für die Verarbeitung der Daten von den Beschäftigten angegeben. Dies müsste dann korrigiert werden. Auch im Verzeichnis der Verarbeitungstätigkeiten wird oftmals bei Prozessen aus dem Personalmanagement der § 26 Abs. 1 Satz 1 BDSG als Rechtsgrundlage genannt. Diese Korrekturen wären mit einem hohen Aufwand für die Verantwortlichen verbunden.

Als Alternative zu dem § 26 Abs. 1 Satz 1 BDSG kann der Art. 6 Abs. 1 lit. b) der DSGVO verwendet werden. Dieser sieht eine Rechtmäßigkeit vor, wenn die personenbezogenen Daten zur Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich sind, die auf Anfrage des Betroffenen erfolgt. Auch der Art. 6 Abs. 1 lit. f) DSGVO kommt als Alternative für den § 26 Abs.1 Satz 1 BDSG in Betracht. Demnach ist eine Datenverarbeitung rechtmäßig, wenn Sie zur Wahrung der berechtigten Interessen des Verantwortlichen erforderlich ist, sofern nicht die Interessen oder Grundfreiheiten der betroffenen Person überwiegen. Bei der Anwendung des berechtigten Interesses hätte also der Verantwortliche jeweils eine Interessenabwägung durchzuführen und diese auch zu dokumentieren.