Das EuGH-Urteil zum Beschäftigtendatenschutz

Als im Laufe der Covid19-Pandemie das Hessische Kultusministerium Schulunterricht per Videokonferenz-Livestream eingeführt hat, war kaum zu erwarten, dass dies weitreichende Auswirkungen auf die deutschen Regelungen zum Beschäftigtendatenschutz haben könnte. Da das Ministerium für die Durchführung des Online-Unterrichts auf die Einwilligung der Lehrer*innen verzichtet hatte, klagte der zuständige Hauptpersonalrat vor dem Verwaltungsgericht Wiesbaden gegen das Vorgehen des Ministeriums. Das VG Wiesbaden nahm dies zum Anlass, dem Europäischen Gerichtshof (EuGH) zwei Fragen zur Auslegung des Art. 88 DSGVO zu stellen. Diese Fragen hat der EuGH mit Urteil vom 30. März 2023 (Rechtssache C-34/21) geklärt. Im Folgenden werden wir den Kern des Rechtstreits sowie den Inhalt des EuGH-Urteils und ihre Auswirkungen auf den Beschäftigtendatenschutz erörtern.

Es war einmal in Hessen…

Im Jahr 2020 hat das Hessische Kultusministerium im Rahmen der Unterrichtsorganisation Livestream-Unterricht mittels Videokonferenzsystemen eingeführt. Die Datenverarbeitung im Rahmen der Durchführung dieses Livestream-Unterrichts wurde einerseits auf Art. 6 Abs. 1 lit. a DSGVO gestützt: Von Schüler*innen oder, falls minderjährig, ihren Eltern wurde die Einwilligung in die Teilnahme am Online-Schulunterricht eingeholt. Andererseits beruhte die Verarbeitung personenbezogener Daten von Lehrkräften auf § 23 Abs. 1 S. 1 Hessisches Datenschutz- und Informationsfreiheitsgesetz (HDSIG) und § 86 Abs. 4 Hessisches Beamtengesetz (HBG). Gegen die Einführung des Livestream-Unterrichts mittels Videokonferenzsystemen ohne die explizite Einwilligung des zuständigen Lehrpersonals ging der Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium gerichtlich vor.

Rechtsstreit vor dem Verwaltungsgericht Wiesbaden

Bei der Beurteilung des Rechtsstreits hegte das VG Wiesbaden Zweifel an der Vereinbarkeit von § 23 Abs. 1 Satz 1 HDSIG und § 86 Abs. 4 HBG mit Art. 88 DSGVO. Um diesen Zweifel zu beheben, hat das VG Wiesbaden mit dem Beschluss vom 21. Dezember 2020 (VG Wiesbaden – 23 K 1360/20.WI.PV) das Verfahren ausgesetzt und dem EuGH zwei Vorlagefragen zur Vorabentscheidung vorgelegt. Dabei handelte es sich im Wesentlichen um Auslegungsfragen zu Art. 88 Abs. 1 und 2 DSGVO, der grundsätzlich eine bereichsspezifische Öffnungsklausel für die Verarbeitung von Beschäftigtendaten im Beschäftigungskontext vorsieht. Dem EuGH wurde zunächst die Frage vorgelegt, ob die von einem Mitgliedstaat erlassene Rechtsvorschrift im Sinne des Art. 88 Abs. 1 DSGVO den Anforderungen von Abs. 2 zu genügen habe. Sodann stellte sich die Frage, ob eine solche Rechtsvorschrift, auch wenn sie die genannten Anforderungen nicht erfüllen sollte, anwendbar bliebe.

EuGH-Urteil zur Auslegung des Art. 88 DSGVO

In seinem Urteil legt der EuGH der Auslegung des Art. 88 DSGVO zunächst ein weites Verständnis der Begriffe „Beschäftigte“ und „Beschäftigungskontext“ zugrunde, wonach diese Begriffe sowohl im öffentlichen als auch im privaten Sektor berufstätige Personen umfassen. Dies bedeutet, dass die Verarbeitung personenbezogener Beschäftigtendaten von verbeamteten Lehrkräften im Beschäftigungskontext in den Anwendungsbereich des Art. 88 DSGVO fällt.

Art. 88 DSGVO sieht eine Öffnungsklausel vor, die die Mitgliedstaaten erlaubt, aber nicht dazu zwingt, „spezifischere Vorschriften“ für die „Datenverarbeitung im Beschäftigungskontext“ zu erlassen. Ein Mitgliedstaat ist demnach befugt, mittels nationaler Rechtsvorschriften die allgemeinen Regelungen zur Verarbeitung personenbezogener Beschäftigtendaten näher zu bestimmen. Eine erlassene Rechtsvorschrift gilt darüber hinaus nur als spezifischere Vorschrift im Sinne des Art. 88 Abs. 1 DSGVO und ist somit anwendbar, wenn sie die Anforderungen des Art. 88 Abs. 2 DSGVO erfüllt, das heißt, wenn sie „geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person“ trifft. Damit stellt der EuGH klar, dass sich eine solche Rechtsvorschrift, die nach Vereinbarkeit mit der DSGVO, also nach Anwendbarkeit strebt, nicht nur auf die Wiederholung der Bestimmung der DSGVO beschränken darf. Sie muss vielmehr auch durch die Erfüllung der inhaltlichen Vorgaben von Art. 88 Abs. 2 DSGVO die einschlägigen Regelungen der DSGVO konkretisieren.

Auswirkung auf den nationalen Beschäftigtendatenschutz

Bei dem EuGH-Urteil vom 30.03.2023 handelt es sich um eine Vorabentscheidung, in der der Gerichtshof zur Auslegung des Art. 88 DSGVO gelangt, ohne jedoch § 23 Abs. 1 HDSIG und § 86 Abs. 4 HBG explizit auf ihre Vereinbarkeit mit der DSGVO hin zu prüfen. Nun ist die Rechtsfrage, ob diese gesetzlichen Bestimmungen „die in Art. 88 DSGVO vorgegebenen Voraussetzungen und Grenzen beachten“, durch das VG Wiesbaden in Anlehnung an die Vorabentscheidung des Gerichtshofs zu beantworten. Aus dem Urteil des EuGH resultiert allerdings ein sehr enger Argumentationsraum für die Beibehaltung der Anwendbarkeit des § 23 Abs. 1 HDSIG. Mit anderen Worten: Diese Bestimmung des Hessischen Datenschutzgesetzes dürfte voraussichtlich durch das VG Wiesbaden für unanwendbar erklärt werden. Ein solches Urteil zöge weitreichende Rechtswirkungen nach sich, die sich insbesondere auf § 26 Abs. 1 Bundesdatenschutzgesetz (BDSG) erstrecken könnten. Dies erklärt sich dadurch, dass § 23 Abs. 1 HDSIG und § 26 Abs. 1 BDSG dem Wortlaut nach beinahe gleich sind. Sollte Ersterer für unanwendbar erklärt werden, dann wäre Letzterer aller Voraussicht nach auch für unanwendbar zu halten.

Was die möglichen Auswirkungen des EuGH-Urteils auf § 10 Hamburgisches Datenschutzgesetz (HmbDSG), das Pendant zu § 23 Abs. 1 HDSIG, anbelangt, vertritt der HmbBfDI die Auffassung, dass die Verarbeitungen von Beschäftigtendaten durch die Hamburger Verwaltung weiterhin auf den Dienstvereinbarungen beruhe, auch wenn § 10 HmbDSG die Anwendbarkeit  entzogen wird. Denn diese Dienstvereinbarungen erfüllen so der HmbBfDI die Voraussetzungen von Art. 88 Abs. 2 DSGVO.

„Die Zeit für ein Beschäftigtendatenschutzgesetz ist ‚Jetzt‘!“

So betitelte die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der  Länder (DSK) ihre Entschließung vom 29. April 2022, in der sie unter anderem die folgende Ansicht zu § 26 BDSG äußert: Die gesetzliche Bestimmung „ist nicht hinreichend praktikabel, normenklar und sachgerecht. Die Norm ist als Generalklausel formuliert und eröffnet weite Interpretationsspielräume“. Dazu könnte der EuGH noch folgendes ergänzen: Sie stehe auch nicht im Einklang mit der DSGVO. Eine Gegenauffassung vertrat das Bundesarbeitsgericht mit dem Beschluss vom 7. Mai 2019 – 1 ABR 53/17, in dem es keine Bedenken gegen die Vereinbarkeit des § 26 Abs. 1 BDSG mit Art. 88 DSGVO geäußert hat. Inwieweit das EuGH-Urteil zum Beschäftigtendatenschutz die Schaffung eines neuen Beschäftigungsdatenschutzgesetzes vorantreiben wird, ist noch ungewiss. Gewiss ist hingegen, dass die Verarbeitung personenbezogener Beschäftigtendaten ohne Weiteres durch die Zulässigkeitstatbestände des Art. 6 Abs. 1 DSGVO – nämlich auf lit. a (Einwilligung), lit. b (Erfüllung eines Vertrags), lit. c (Erfüllung einer rechtlichen Verpflichtung) und lit. f (berechtigtes Interesse) – gestützt werden kann, falls keine anwendbare nationale Rechtsvorschrift dazu mehr vorliegen sollte.

Fazit

Unser Fazit fällt dieses Mal recht kurz aus: Wirklich akuten Handlungsbedarf sehen wir (noch) nicht. Sofern (eigentlich: wenn) § 26 Abs. 1 Satz 1 BDSG dann irgendwann für nicht anwendbar erklärt wird, sind mindestens die Verarbeitungsverzeichnisse und die Informationen zum Datenschutz für Beschäftigte und Bewerber*innen anzupassen. Wir empfehlen bei allen zukünftig zu erstellenden oder anzupassenden Dokumenten neben § 26 BDSG stets auch die Rechtsgrundlage aus der DSGVO (siehe oben) anzugeben, das könnte zukünftige Überarbeitungen deutlich einfacher werden lassen.