Nachdem anlässlich der EuGH-Entscheidung vom 30.03.2023 viele den § 26 BDSG gänzlich totgesagt hatten, erkannte das BAG nur wenige Tage später für Recht, dass zumindest Teile des § 26 BDSG noch lebendig sind (BAG, Beschluss v. 09.05.2023 – 1 ABR 14/22).
Der Fall
Das BAG hatte in der vorgenannten Entscheidung über den Anspruch des Betriebsrates auf Auskunft über Anzahl und Namen schwerbehinderter Menschen und gleichgestellter behinderter Menschen zu entscheiden.
Die Entscheidung
Das BAG hat einen Auskunftsanspruch des Betriebsrates aus § 80 Abs. 2 BetrVG in Verbindung mit §§ 176 SGB IX, 80 Abs. 1 Nr. 4 BetrVG bejaht. Datenschutzrechtlich sei die Weitergabe der personenbezogenen Daten an den Betriebsrat nach § 26 Abs. 3 i.V.m. § 22 Abs. 2 Bundesdatenschutzgesetz (BDSG) zulässig gewesen, denn die Verarbeitung der Daten über eine Schwerbehinderung gehöre insoweit zu der Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht und es bestehe kein Grund zu der Annahme, dass schutzwürdige Interessen der betroffenen Person an dem Ausschluss der Verarbeitung überwiegen. Zudem seien entsprechend § 22 Abs. 2 BDSG hierfür angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person vorzusehen gewesen (§ 26 Abs. 3 S. 3 BDSG).
Die Regelung des § 26 Abs. 3 BDSG steht nach dem BAG im Einklang mit dem Europarecht der DS-GVO, weil mit § 26 Abs. 3 BDSG in zulässiger Weise von der Öffnungsklausel in § 9 Abs. 2 Buchst. b DS-GVO Gebrauch gemacht worden sei. Dabei habe der Gesetzgeber die erforderlichen angemessenen und spezifischen Maßnahmen – anders als in Art. 88 Abs. 2 DS-GVO vorgesehen - auch nicht selbst abschließend festlegen müssen. § 9 Abs. 2 Buchst. b DS-GVO sei eine von Art. 88 Abs. 2 DS-GVO unabhängige Öffnungsklausel, die in dem zu entscheidenden Fall Vorrang vor Art. 88 Abs. 2 DS-GVO habe und nach der es ausreiche, dass „geeignete Garantien für die Grundrechte und Interessen der betroffenen Personen“ vorgesehen seien. Schließlich sei neben § 26 Abs. 3 BDSG sogar § 26 Abs. 1 Satz 1 BDSG in Bezug auf die Verarbeitung personenbezogener Daten im Zusammenhang mit der Tätigkeit der Interessenvertretung ungeachtet der EuGH-Entscheidung vom 30.03.2023 weiterhin anwendbar, weil § 26 Abs. 1 S. 1 BDSG insoweit ebenfalls nicht auf der Öffnungsklausel des Art. 88 Abs. 2 DS-GVO, sondern auf Art. 6 Abs. 1 UAbs. 1 Buchst. c i.V.m Abs. 2 und 3 DS-GVO beruhe.
Rechtliche Einordnung
Nachdem die Entscheidung des EuGH vom 30.03.2023 (Az. C-34/21) zumindest von Teilen der datenschutzrechtlichen Aufsichtsbehörden und Teilen der Literatur so gedeutet wurde, dass womöglich der ganze § 26 BDSG nicht mehr anwendbar sei (siehe unseren Blogbeitrag vom 05.04.2023), hat das BAG nunmehr zumindest § 26 Abs. 3 und § 26 Abs. 1 S. 1 letzter Teil BDSG für weiter anwendbar erklärt.
Die Entscheidung ist insofern über den entschiedenen Fall hinaus von Bedeutung. Dies gilt insbesondere, weil sie aufzeigt, dass Art. 88 DS-GVO nicht die einzige Öffnungsklausel ist, die der bundesdeutsche Gesetzgeber für Regelungen im Beschäftigtendatenschutz nutzen kann.
Das BAG zeigt zunächst auf, dass dann wenn es nicht um Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten, für die neben Art. 6 DS-GVO auch Art. 9 DS-GVO zu berücksichtigen ist, geht, eine Verarbeitung von Beschäftigtendaten datenschutzrechtlich auf nationalem Recht in Verbindung mit Art. 6 Abs. 1 S. 1 Buchst. c DS-GVO beruhen kann. Nach Art. 6 Abs. 1 S. 1 Buchst. c DS-GVO ist jede Datenverarbeitung zur Erfüllung einer gesetzlichen Verpflichtung rechtmäßig. Art. 6 UAbs. 1 Buchst. c DS-GVO öffnet im Zusammenspiel mit Art. 6 Abs. 2 und 3 DS-GVO die DS-GVO für die Erfüllung „rechtlicher Verpflichtungen“ aus Unionsrecht oder nationalem Recht, ohne dass es auf Art. 88 DS-GVO ankommt. Dabei ist zu berücksichtigen, dass diese Öffnungsklausel nach Art. 6 Abs. 3 S. 4 DS-GVO nur Vorschriften erlaubt, die ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen zu dem verfolgten legitimen Zweck stehen; dies ist in Bezug auf die Tätigkeit der Betriebsräte der Fall. Auf diesem Weg können § 80 Abs. 2 BetrVG und § 26 Abs. 1 S. 1 letzter Teil BDSG gelten. Allerdings schließt sich das BAG insoweit der Auffassung des EuGH an, dass § 26 Abs. 1 S. 1 BDSG im Übrigen an den Anforderungen des Art. 88 Abs. 2 BDSG zu messen ist und diesen nicht genügt. Insofern gibt es die bisherige gegenteilige Rechtsprechung auf.
In Bezug auf besondere Kategorien personenbezogener Daten stellt das BAG eindeutig fest – und dies gilt nicht nur für den Datenaustausch mit dem Betriebsrat – dass § 26 Abs. 3 BDSG weiterhin Anwendung finden kann. Auch insoweit stellt das BAG fest, dass es auf Art. 88 Abs. 2 BDSG nicht ankomme. Öffnungsklausel sei Art. 9 Abs. 2 Buchst. b DS-GVO.
Fazit und Bedeutung für die Praxis
Mit seiner Argumentation zeigt das BAG somit nachvollziehbar auf, dass § 26 Abs. 3 BDSG weiterhin anzuwenden ist und es nicht darauf ankommt, ob der Gesetzgeber mit seinem Verweis in § 26 Abs. 3 S. 3 BDSG auf § 22 Abs. 2 BDSG den Anforderungen des Art. 88 Abs. 2 DS-GVO – wie sie vom EuGH betont werden – entsprochen hat.
Auch der § 26 Abs. 1 Satz 1 BDSG lebt zum Teil fort, so dass nicht anzunehmen ist, dass eine Datenverarbeitung zur Ausübung oder Erfüllung der sich aus dem BetrVG ergebenden Rechte und Pflichten des Betriebsrates und anderer Interessenvertretungen infolge der Entscheidung des EuGH vom 30.03.2023 beschränkt ist.
Weiterführende Links:
