Herzlich willkommen!
Im Workplace Blog schreiben wir über Themen aus der Workplace Law und HR Welt: Wir besprechen wichtige Gerichtsentscheidungen, nehmen uns Glaubenssätze vor, geben praktische Tipps und vieles mehr…
Unser Workplace Blog lebt von Ihren Kommentaren und Feedback. In diesem Sinne freuen wir uns auf den Austausch mit Ihnen!
Ihr PWWL-Redaktionsteam
Ein Urteil des Europäischen Gerichtshof vom 30. März 2023 lässt Arbeitgeber aufhorchen: es stellt sich die Frage, ob die Verarbeitung von personenbezogenen Daten der Beschäftigten auch weiterhin auf § 26 BDSG gestützt werden kann. Nach der Entscheidung des EuGH dürfte das nicht der Fall sein. Welche Auswirkungen hat die Entscheidung für Arbeitgeber? Muss der Beschäftigtendatenschutz in Deutschland neu erfunden werden? Oder ist die Verarbeitung von Daten der Beschäftigten zukünftig nur noch mit Einwilligung möglich?
Arbeitgeber können beruhigt sein: die Auswirkungen werden nicht allzu groß sein, aber es gibt welche.
Der Europäische Gerichtshof musste sich in dem vom Verwaltungsgericht Wiesbaden mit Beschluss vom 20. Dezember 2020 eingereichten Vorabentscheidungersuchen mit der Frage befassen, ob § 23 HDSIG (Hessisches Datenschutz- und Informationssicherheitsgesetz) europarechtskonform ist.
Das Verfahren hat über § 23 HDSIG hinaus Bedeutung, da § 26 BDSG, auf den weitestgehend die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis gestützt wird, wortgleich ist.
Deutsche Regelungen zum Datenschutz sind subsidiär gegenüber der DSGVO und daher nur wirksam, sofern die DSGVO einen Sachverhalt nicht abschließend regelt oder eine Öffnungsklausel nationale Vorschriften gestattet. Eine solche Öffnungsklausel enthält Art. 88 DSGVO.
Nach Art. 88 DSGVO können die Mitgliedstaaten durch Rechtsvorschriften oder durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext, insbesondere für Zwecke der Einstellung, der Erfüllung des Arbeitsvertrags (…) vorsehen. § 26 BDSG ist eine solche Vorschrift (vgl. Anlage zu BT-Drs. 19/5155).
Streitig war, ob § 23 HDSIG (und damit letztlich auch § 26 BDSG) eine spezifischere Vorschrift ist, die den Anforderungen des Art. 88 DSGVO gerecht wird.
Zur Vorlage des VG Wiesbaden führt der EuGH in den Randziffern 17 ff. aus: Das Verwaltungsgericht Wiesbaden führt dazu aus, dass § 23 HDSIG und § 86 HBG nach dem Willen des hessischen Landesgesetzgebers in die Kategorie der „spezifischeren Vorschriften“ fielen, die die Mitgliedstaaten gemäß Art. 88 Abs. 1 DSGVO zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext vorsehen könnten. Das Verwaltungsgericht Wiesbaden hat jedoch Zweifel an der Vereinbarkeit von § 23 Abs. 1 Satz 1 HDSIG und § 86 Abs. 4 HBG mit den Anforderungen von Art. 88 Abs. 2 DSGVO.
Erstens stellten nämlich § 23 Abs. 1 Satz 1 HDSIG und § 86 Abs. 4 HBG als Rechtsgrundlage für die Verarbeitung der Beschäftigtendaten auf die „Erforderlichkeit“ ab. Zum einen jedoch stelle die Aufnahme des Grundsatzes der „Erforderlichkeit“ in das Gesetz keine Vorschrift dar, die die Anforderungen von Art. 88 Abs. 2 DSGVO konkretisiere, da die im Beschäftigungskontext erforderliche Datenverarbeitung bereits durch Art. 6 Abs. 1 Unterabs. 1 Buchst. b DS-GVO geregelt sei.
Zum anderen sei § 23 Abs. 1 Satz 1 HDSIG über das eigentliche Vertragsverhältnis hinaus auf jeglichen Umgang mit Beschäftigtendaten anwendbar. Aus Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO ergebe sich aber, dass bei einer Verarbeitung personenbezogener Daten, die über die rein im Rahmen des Beschäftigungsvertrags erforderliche Verarbeitung hinausgehe, die Grundrechte und Grundfreiheiten der betroffenen Person, hier der Beschäftigten bzw. der Beamten, mit dem berechtigten Interesse des Verantwortlichen, hier des Dienstherrn, abzuwägen seien. Da § 23 Abs. 1 Satz 1 HDSIG eine solche Abwägung nicht vorsehe, könne er nach dem Inkrafttreten der DS-GVO nicht als eine bereichsspezifische Norm angesehen werden.
Zweitens genüge allein der in § 23 Abs. 5 HDSIG enthaltene Hinweis, dass der Verantwortliche insbesondere die in Art. 5 DSGVO aufgestellten Grundsätze einzuhalten habe, nicht den Vorgaben von Art. 88 Abs. 2 DSGVO. Art. 88 Abs. 2 DSGVO verlange nämlich, dass die geeigneten und besonderen Normen, auf die er abstelle, zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausübten, und die Überwachungssysteme am Arbeitsplatz, erlassen würden, und sei nicht bloß eine Rechtsnorm, die der Normanwender einer nationalen Norm zusätzlich zu beachten habe. Der Normanwender sei nicht der Adressat von Art. 88 Abs. 2 DSGVO.
Vor diesem Hintergrund stellte das VG Wiesbaden dem EuGH folgende Fragen:
1. Ist Art. 88 Abs. 1 DSGVO dahin auszulegen, dass eine Rechtsvorschrift, um eine spezifischere Vorschrift zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext im Sinne des Art. 88 Abs. 1 DSGVO zu sein, die an solche Vorschriften nach Art. 88 Abs. 2 DSGVO gestellten Anforderungen erfüllen muss?
2. Kann eine nationale Norm, wenn diese die Anforderungen nach Art. 88 Abs. 2 DSGVO offensichtlich nicht erfüllt, trotzdem noch anwendbar bleiben?
Der EuGH kommt zu dem Ergebnis, dass Art. 88 DSGVO dahin auszulegen ist, dass eine nationale Rechtsvorschrift keine spezifischere Vorschrift im Sinne des Art. 88 Abs. 1 DSGVO sein kann, wenn sie nicht die Vorgaben von Art. 88 Abs. 2 DSGVO erfüllt. Sie muss daher unangewendet bleiben.
Die bloße Wiederholung der Bestimmungen der DSGVO, so wie es bei § 23 HDSIG und damit auch bei § 26 BDSG der Fall ist, reicht dafür nicht aus.
Ferner enthalten nach Ansicht des EuGH Generalklauseln wie § 23 HDSIG keine besonderen Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person. Damit erfüllen sie nicht die Mindestanforderungen, die Art. 88 Abs. 2 DSGVO vorsieht.
Das Urteil des EuGH betrifft über die konkrete Entscheidung zu der Vorschrift aus dem Hessischen Landesrecht wohl auch § 26 BDSG.
Viele Verarbeitungsvorgänge im Rahmen von Arbeitsverhältnissen werden auf § 26 Abs. 1 BDSG gestützt. Das könnte nach der Entscheidung des EuGH nun rechtswidrig sein.
Ob und wann der deutsche Gesetzgeber reagiert, ist noch nicht abzusehen. Aus dem politischen Raum gibt es schon sein langem Forderungen nach einem Beschäftigtendatenschutzgesetz, aber derzeit sind noch keine gesetzgeberischen Aktivitäten in diese Richtung erkennbar.
Die Auswirkungen für Arbeitgeber halten sich wahrscheinlich erst einmal in Grenzen. Die Verarbeitung personenbezogner Daten ihrer Beschäftigten kann in aller Regel auf Art. 6 Abs. 1 Buchst. b DSGVO gestützt werden. Arbeitgeber sollten vor dem Hintergrund der Entscheidung des EuGH aber in jedem Fall prüfen, ob die Information auch Art. 13 und 14 DSGVO noch zutreffend ist.
Ob der EuGH § 26 BDSG auch im Übrigen für unwirksam hält, kann derzeit noch nicht abgeschätzt werden. Arbeitgeber sollten aber vorsorglich davon ausgehen und prüfen, ob andere Rechtsgrundlagen zur Verfügung stehen.
Prozessual ergibt sich die Besonderheit, dass deutsche Gerichte Verfahren, in denen es um die Wirksamkeit der Grundlage für die Verarbeitung darstellen, schneller dem EuGH vorlegen müssen. Wird die Verarbeitung nämlich auf Art. 6 DSGVO gestützt, dann muss das BAG nach Art. 267 Abs. 1 AEUV das Verfahren dem EuGH vorlegen, wenn Zweifelsfragen bei der Auslegung von Art. 6 DSGVO bestehen.
