Für die Verarbeitung von Beschäftigtendaten durch die Arbeitgeber:innen bedarf es, wie in anderen Konstellationen auch, einer Rechtsgrundlage. Üblicherweise ist hierfür bislang der § 26 Abs. 1 Satz 1 BDSG herangezogen worden. Das vorliegende Urteil des Europäischen Gerichtshofs vom 30.03.2023 (Az. C-34/21) dürfte ein Ende für diese Praxis bedeuten.
Der Inhalt im Überblick
Sachverhalt: Livestreams im hessischen Schulunterricht
Der Minister des Hessischen Kultusministeriums hatte im Laufe der Coronapandemie per Livestream übermittelten Schulunterricht eingeführt. Unabhängig der – vielfach berichteten – Probleme bei der Wahl der entsprechenden Software, musste für diese Form der Datenverarbeitung eine entsprechende Rechtsgrundlage gewählt werden. Während die Teilnahme an dem Fernunterricht durch die Schüler:innen auf einer Einwilligung gemäß Art. 6 Abs. 1 lit. a) DSGVO beruhte, wurde für die Lehrkräfte der § 23 Abs. 1 Satz 1 des Hessischen Datenschutzgesetzes (HDSIG) gewählt.
Die mit dem § 26 Abs. 1 Satz BDSG beinahe identische Vorschrift stellt dabei auf die Verarbeitung personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung, Beendigung oder Abwicklung sowie zur Durchführung innerdienstlicher planerischer, organisatorischer, sozialer und personeller Maßnahmen erforderlich ist, ab.
Eine nationale Regelung der Datenverarbeitung im Beschäftigungsverhältnis wird dabei durch Art. 88 Abs. 1 DSGVO eröffnet. Demnach haben die Mitgliedsstaaten die Möglichkeit, die Verarbeitung von Daten u.A. durch spezifischere Vorschriften zur Gewährleistung der Rechte und Freiheiten Beschäftigter zu regeln.
Der Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium monierte, dass die Lehrkräfte nicht nach einer Einwilligung gefragt wurden und klagte vor dem Verwaltungsgericht Wiesbaden. Das Gericht setzte das Verfahren aus und stellte dem EuGH folgende Fragen zur Vorabentscheidung. Zum einen sollte demnach der Gerichtshof entscheiden, ob spezifische Vorschriften nach Art. 88 Abs. 1 DSGVO, die Anforderungen des Art. 88 Abs. 2 DSGVO erfüllen müssen. Des Weiteren sollte geklärt werden, ob nationale Vorschriften, die diese Vorgabe nicht erfüllen, weiterhin anwendbar bleiben.
Erwähnenswert in diesem Zusammenhang ist, dass das Bundesarbeitsgericht zuletzt noch mit Beschluss vom 07.05.2019 (Az. 1 ABR 53/17) zum wesensgleichen § 26 Abs. 1 BDSG ausführte, dass ein Vorabentscheidungsverfahren vor dem EuGH nicht erforderlich sei, da die richtige Anwendung des Unionsrechts
„insoweit derart offenkundig [sei], dass für vernünftige Zweifel kein Raum bleibt“.
Entscheidung des EuGH: eine spezifischere Norm wiederholt nicht einfach die Vorgaben der DSGVO
Zunächst stellte der Gerichtshof fest, dass kein Ausnahmetatbestand vorliegt und damit die Regelungen der DSGVO anwendbar sind sowie, dass Art. 88 DSGVO auch für Angestellte und Beamte im öffentlichen Dienst gilt
In der Folge hob der EuGH hervor, dass der Begriff „spezifischere“ in Art. 88 Abs. 1 DSGVO bedeutet, dass die nationale Vorschrift einen zum geregelten Bereich passenden Regelungsgehalt haben muss und sich von den allgemeinen regeln der DSGVO unterscheidet. Darüber hinaus muss diese spezifische Vorschrift gemäß Art. 88 Abs. 2 DSGVO geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz, umfassen müssen, ergreifen.
Damit ist durch Art. 88 DSGVO eine Abweichung von den Regelungen der DSGVO grundsätzlich vorgesehen. Diese muss sich aber in den in Abs. 2 beschriebenen Grenzen bewegen. Erfüllt die nationale Vorschrift die Vorgaben des Absatz 2 nicht, handelt es sich bei dieser auch nicht um eine „spezifische Vorschrift“.
Zur zweiten Vorlagefrage führte der Gerichtshof aus, dass die Nichterfüllung der vorgenannten Vorgaben grundsätzlich durch das vorlegende (nationale) Gericht zu beurteilen ist. Es sei demnach Sache des das nationale Recht auslegenden Gerichtes zu prüfen, ob die Bestimmungen (hier: § 23 Abs. 1 HDSIG) Art. 88 DSGVO entsprechen. Gleichzeitig machte sich der EuGH den Vortrag des Generalanwalts zu eigen und wies darauf hin, dass der zu prüfende § 23 Abs. 1 HDSIG sich darauf zu beschränken scheint, die Regelungen der DSGVO zu wiederholen und damit nicht als „spezifisch“ zu beurteilen sein wird. Sollte demnach das nationale Gericht zum gleichen Ergebnis kommen, würde die Vorschrift gemäß dem Grundsatz des Vorrangs des Unionsrechts nicht anzuwenden sein. In diesem Fall wären vorliegend die allgemeinen Rechtsgrundlagen der DSGVO anzuwenden. Die nationale Vorschrift zum Beschäftigtendatenschutz würde allenfalls über Art. 6 Abs. 3 DSGVO zur Anwendung kommen können.
Folgen für den Beschäftigtendatenschutz in Deutschland
Auch wenn der EuGH nicht ausdrücklich festgestellt hat, dass die hessische Vorschrift die Voraussetzungen des Art. 88 DSGVO nicht erfüllt, würde das nunmehr zuständige VG Wiesbaden vor dem Hintergrund des vorgenannten Hinweises nur mit sehr hohem Begründungsaufwand die nationale Regelung weiterhin anwenden können.
Gleichermaßen ist der beinahe wortgleiche § 26 BDSG zu beurteilen. Diese zentrale Rechtsgrundlage für die Datenverarbeitung im Beschäftigtenverhältnis dürfte daher nunmehr der Vergangenheit angehören.
So folgenreich dies auch klingen mag, werden sich die Auswirkungen auf die Praxis wohl eher in Grenzen halten. Mitunter wird zwar der Ruf nach einer neuen Gesetzgebung für den Beschäftigtendatenschutz laut. Es sollte allerdings bedacht werden, dass die DSGVO durchaus praktikable Rechtsgrundlagen für Beschäftigtenverhältnisse bereithält. Zu denken wäre beispielsweise an Art. 6 Abs. 1 lit. b DSGVO (Datenverarbeitung zur Erfüllung eines Vertrages). Alternativ wäre zudem der Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) zu berücksichtigen. Dieser zieht zwar in der Anwendung einen höheren Prüfungsaufwand nach sich, hat aber den Vorteil Sachverhalte zu erfassen, in denen die Datenverarbeitung eben nicht zwingend erforderlich ist, um den (Arbeits-)Vertrag zu erfüllen. In allen anderen Fällen darf selbstverständlich die Einwilligungsvariante nach Art. 6 Abs. 1 lit. a DSGVO nicht vergessen werden.
Ich würde mich sehr freuen, wenn der §26 BDSG wegfallen würde und in der Praxis u.a. durch Art. 6 Abs. 1 lit. b DSGVO ersetzt würde (Bewerbung => Vertragsanbahnung etc.).
§26 „konkretisiert“ aber vor allem die Einwilligung, welche die „Freiwilligkeit“ voraussetzt, die im Beschäftigtenverhältnis aber häufig nicht wirklich gegeben ist.
Ein Hauptproblem in der Praxis ist, dass sich viele Mitarbeiter in Unternehmen „gezwungen“ sehen, eine Einwilligung zu erteilen, obwohl diese „freiwillig“ sein soll. Zwar darf nach Erwägungsgrund 42 dem Mitarbeiter kein Nachteil entstehen, §26 BDSG beinhaltet aber: „Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen.“
Der zweite Punkt relativiert den Teil, dass ein „rechtlicher oder wirtschaftlicher Vorteil (bzw. kein Nachteil)“ entstehen muss: die sog. „gleichgelagerten Interessen“. Verweigert ein Mitarbeiter die Einwilligung oder widerruft die Einwilligung, kann dies im Umkehrschluss als „nicht gleichgelagerte Interessen“ interpretiert werden, eine Aussage, die jemand im abhängigen Beschäftigtenverhältnis vielleicht nicht tätigen möchte.
Fällt §26 BDSG weg, bleibt für die Einwilligung nur die wirkliche Freiwilligkeit, also dass keine Nachteile entstehen, wenn man nein sagt. Das ist viel einfacher zu prüfen.
Eine alleinige Bezugnahme auf Art. 6 (1) b) DSGVO dürfte insoweit problematisch sein, als der Arbeitsvertrag mit jeder technologischen Verbesserung und damit zusätzlicher Datenverarbeitung geändert werden müßte und dafür natürlich die Zustimmung der Arbeitnehmer erforderlich ist. Ohne eine solche Zustimmung ginge garnichts mehr, also z.B. auch keine Microsoft-Updates, die je bekanntermaßen ständig zusätzliche Funktionen einfügen.