Diese Frage bejaht wohl der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI). Aufgrund eines Urteils des Europäischen Gerichtshofs vom 30.03.2023 stellt sich in der Tat die Frage, ob und wieweit die zentrale Norm des bundesdeutschen Beschäftigtendatenschutzes (BDSG), § 26 BDSG, europarechtskonform angewandt werden kann.
Die Entscheidung des EuGH
Anlass für die Entscheidung des Europäische Gerichtshofs vom 30.03.2023 (Az. C-34/21) gab § 23 des Hessischen Datenschutz- und Informationsfreiheitsgesetz (HDSIG). § 23 HDSIG entspricht in wesentlichen Teilen dem § 26 BDSG. § 26 BDSG ist die zentrale Norm für die Regelung des Beschäftigtendatenschutzes. Das Verwaltungsgericht Wiesbaden hatte Zweifel an der Wirksamkeit des § 23 HDSIG und wandte sich an den EuGH mit einem Vorabentscheidungsersuchen zur Auslegung des Art. 88 Abs. 1 und 2 Datenschutz-Grundverordnung (DS-GVO). Es ging um die Frage, welche Anforderungen an eine nationale Datenschutzregelung zu stellen sind, damit diese mit der DS-GVO, die grundsätzlich dem nationalen Recht vorgeht, vereinbar ist. Grundsätzlich soll mit der DS-GVO eine „Vollharmonisierung“ des Datenschutzrechts innerhalb der Europäischen Union erreicht werden. Länderspezifische Regelungen müssen deshalb auf einer „Öffnungsklausel“ der DS-GVO beruhen, deren Anforderungen eingehalten werden. Für Beschäftigtendaten findet sich eine Öffnungsklausel in Art. 88 DS-GVO. Das Verwaltungsgericht Wiesbaden hatte über eine Verarbeitung von personenbezogenen Daten von Lehrern bei deren Mitwirkung im „Livestreamunterricht per Videokonferenz“ zu entscheiden und prüfte die für Beschäftigte des Landes Hessen einschlägige Rechtsgrundlage in § 23 HDSIG. Es bezweifelte, dass § 23 HDSIG den Anforderungen des Art. 88 Abs. 2 DS-GVO gerecht werde und legte dem EuGH die Frage vor, ob eine nationale Regelung anwendbar sein kann, ohne den spezifischen Anforderungen des Art. 88 Abs. 2 DS-GVO zu genügen.
Der EuGH äußerte sich nicht ausdrücklich zu dem § 23 HDSIG, weil er meinte, dass die Auslegung des nationalen Rechts allein Sache des zuständigen nationalen Gerichts sei, er kam jedoch zu dem Ergebnis, dass eine nationale Rechtsvorschrift keine wirksame „spezifischere Vorschrift“ im Sinne von Art. 88 Abs. 1 DS-GVO sein könne, wenn sie nicht den Vorgaben von Art. 88 Abs. 2 DS-GVO entspreche. Art. 88 Abs. 1 DS-GVO stelle in Bezug auf den Beschäftigungskontext eine „Öffnungsklausel“ dar, aufgrund der nationale Gesetzgeber „spezifischere Vorschriften“ zum Beschäftigtendatenschutz im nationalen Recht regeln könnten. Art. 88 Abs. 2 DS-GVO regele aber, dass diese nationalen Vorschriften geeignete und besondere Maßnahmen zur Wahrung der Menschenwürde, der berechtigten Interessen und der Grundrechte der betroffenen Personen regeln müsse, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe und die Überwachungssysteme am Arbeitsplatz.
Der EuGH wies darauf hin, dass eine nationale Regelung und der damit verbundene „Bruch in der EU-weiten Harmonisierung des Datenschutzrechts“ nur zulässig sein könne, wenn die Unterschiede zu den Regelungen der DS-GVO nach Art. 88 Abs. 2 DS-GVO mit besonderen und geeigneten Garantien zum Schutze der Rechte und Freiheiten der Beschäftigten verbunden seien. Die damit gemeinten besonderen Maßnahmen im Sinne des Art. 88 Abs. 2 DS-GVO müssten sich von den ohnehin schon bestehenden Regelungen der DS-GVO unterscheiden.
Wenn es der nationale Gesetzgeber versäume, dahingehende geeignete und besondere Maßnahmen zu regeln, müsse nach dem EuGH diese nationale Regelung unangewendet bleiben.
Erste Einschätzung des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit: § 26 BDSG nicht mit DS-GVO vereinbar
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) hat in einer Mitteilung zu der vorgenannten EuGH-Entscheidung auf seiner Website zum einen die Auffassung vertreten, dass § 23 HDSIG keine spezifische Vorschrift i.S.d. Art. 88 Abs. 1 und 2 DS-GVO sein könne, weil sie keine Regelungen über geeignete und besondere Maßnahmen i.S.v. Art. 88 Abs. 2 DS-GVO enthalte. Da zum anderen § 26 BDSG weitgehend der Regelung in § 23 HDSIG entspreche, dürfte – so der HmbBfDI – § 26 BDSG damit „als unanwendbar zu betrachten sein“.
Die Verarbeitung von Beschäftigtendaten sei deshalb nicht per se rechtswidrig, müsse sich aber auf Art. 6 Abs. 1 DS-GVO stützen können. Eine Datenverarbeitung, die erforderlich zur Durchführung des Arbeitsvertrages sei oder auf einer rechtlichen Verpflichtung beruhe, sei demnach weiterhin zulässig (Art. 6 Abs. 1 S. 1 Buchst. b und c DS-GVO).
Zwar sei somit nach der ersten Einschätzung der Aufsichtsbehörde nicht davon auszugehen, dass Datenverarbeitung aufzusetzen oder zu beenden seien, weil sich voraussichtlich jeweils eine alternative Rechtsgrundlage finden ließe, Datenschutzinformationen,
Verarbeitungsverzeichnisse und Einwilligungstexte seien jedoch ggf. anzupassen, indem aktualisierte Rechtsgrundlagen aufgeführt werden. In Anbetracht der neuen, klärungsbedürftigen Rechtslage sei es nach den Ausführungen des HmbBfDI angebracht, dies „nicht zu überstürzen“, sondern Positionierungen der Datenschutzkonferenz des Bundes und der Länder und ggf. der Gerichte abzuwarten.
Auswirkungen für die Praxis
Bei der Prüfung der Rechtmäßigkeit einer Datenverarbeitung sowie bei der Information der Beschäftigten, der Gestaltung des Verarbeitungsverzeichnisses sollte beachtet werden, dass § 26 BDSG womöglich als Rechtsgrundlage in seiner heutigen Fassung ganz oder teilweise nicht herangezogen werden kann, solange nicht in Bezug auf die Anforderungen nach Art. 88 Abs. 2 DS-GVO nachgebessert hat.
Es sollte geprüft werden, ob alternative Rechtsgrundlagen nach Art. 6 DS-GVO oder eine Einwilligungserklärung Grundlage der Rechtmäßigkeit der Datenverarbeitung ist. Bei der Gestaltung von Informationsschreiben, Verarbeitungsverzeichnissen und Einwilligungserklärungen sollte dementsprechend zunächst unterstellt werden, dass § 26 BDSG keine verlässliche Rechtsgrundlage (mehr) ist. Die Anmerkungen der Hamburgischen Aufsichtsbehörde lassen jedoch vermuten, dass kurzfristig in Bezug auf die Anpassung von Informationen, Verarbeitungsverzeichnissen und Einwilligungstexten kein hohes Bußgeldrisiko besteht, da – wie oben beschrieben – auch die Aufsichtsbehörden zunächst sich eine Meinung zur Rechtslage bilden müssten.
Spezielle Herausforderung: Verarbeitung besonderer Kategorien personenbezogener Daten
§ 26 BDSG enthält in Abs. 3 eine besondere Regelung zur Verarbeitung besonderer Kategorien personenbezogener Daten (einschließlich Gesundheitsdaten). Nach § 26 Abs. 3 BDSG könnte abweichend von Art. 9 Abs. 1 DS-GVO besondere Kategorien personenbezogener Daten für Zwecke des Beschäftigungsverhältnisses u.a. zulässig verarbeitet werden, wenn sie zur Ausübung von Rechten und zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist und kein Grund zu der Annahme besteht, dass schutzwürdige Interessen der betroffenen Personen an dem Ausschluss der Verarbeitung überwiegen. Diese Regelung ermöglicht nach der hier vertretenen Ansicht grundsätzlich eine Verarbeitung dieser besonderen Kategorien personenbezogener Daten im rechtlichen Zusammenhang mit einem Beschäftigungsverhältnis auf Basis einer Interessenabwägung, was nach der herrschenden Auffassung nicht allein aus Art. 9 DS-GVO hergeleitet werden kann. § 26 Abs. 3 BDSG ist damit für die Praxis von großer Bedeutung. Da der EuGH sich im Detail weder mit § 23 HDSIG, noch mit § 26 BDSG beschäftigt hat, ist erst recht keine konkrete Aussage zur Anwendbarkeit des § 26 Abs. 3 BDSG getroffen worden. Auch die erste Einschätzung des HmbBfDI differenziert hier nicht.
§ 26 Abs. 3 BDSG unterscheidet sich von den anderen Regelungen des § 26 BDSG jedoch dadurch, dass § 26 Abs. 3 BDSG durch den Verweis auf § 22 Abs. 2 BDSG zumindest in einem gewissen Umfang besondere Maßnahmen zum Schutz der Rechte und Interessen der Beschäftigten regelt. Insofern lässt sich aus der Entscheidung des Europäischen Gerichtshofs nach der hier vertretenen Ansicht noch nicht ableiten, dass § 26 Abs. 3 BDSG nicht mehr angewendet werden könne. Es bleibt abzuwarten, wie sich die Aufsichtsbehörden und die Gerichte in dieser Angelegenheit positionieren.
Weiterführender Link: EuGH, Urteil vom 30.03.2023 (Az. C-34/21)
