Die Europäische Datenschutz-Grundverordnung (DSGVO) ist bereits seit dem Jahr 2018 in Kraft, doch im Rahmen des Beschäftigtendatenschutzes konnte bislang auf die nationale Vorschrift des § 26 Abs. 1 S. 1 BDSG als datenschutzrechtlicher Erlaubnistatbestand zurückgegriffen werden. § 26 BDSG wurde seinerzeit als „spezifischere nationale Vorschrift“ auf der Grundlage von Art. 88 DSGVO geschaffen und bildet die zentrale Rechtsgrundlage des Beschäftigtendatenschutzes, auf der auch eine umfangreiche Rechtsprechungskasuistik beruht. Diese nationale Rechtsgrundlage stand nun indirekt auf dem Prüfstand beim EuGH.
Hintergrund war ein Streit zwischen dem Hessischen Kultusministerium und dem Hauptpersonalrat der Lehrerinnen und Lehrer, welcher beklagte, dass der im Rahmen der Corona-Pandemie durchgeführte Livestreamunterricht per Videokonferenz keiner datenschutzrechtlichen Einwilligung der betroffenen Lehrkräfte bedurfte. Die Einwilligung der Lehrkräfte hielt das Hessische Kultusministerium wegen der landesrechtlichen Vorschrift in § 23 Abs. 1 S. 1 HDSIG nicht für erforderlich. Das VG Wiesbaden hatte Zweifel an der Europarechtskonformität dieser landesrechtlichen Regelung und wandte sich daher zur Vorabentscheidung an den EuGH. Brisanz entwickelte das Vorabentscheidungsersuchen dadurch, dass die Vorschriften des § 23 Abs. 1 S. 1 HDSIG und § 26 Abs. 1 S. 1 BDSG inhalts- und nahezu wortgleich sind und eine Übertragbarkeit der Entscheidung zu erwarten war.
Was erlaubt Art. 88 DSGVO auf nationaler Ebene und was nicht?
In seinem Urteil arbeitete der EuGH sehr deutlich heraus, dass eine nationale Rechtsvorschrift des Beschäftigtendatenschutzes nur dann als „spezifischere Vorschrift“ im Sinne von Art. 88 Abs. 1 DSGVO eingestuft werden kann, wenn sie die Vorgaben des Art. 88 Abs. 2 DSGVO erfüllt. Eine Bestimmung, welche diese Vorgaben nicht erfüllt, muss grundsätzlich unangewendet bleiben. Auch wenn die Feststellung der Unanwendbarkeit letzten Endes den nationalen Gerichten obliegt, hat es sich der EuGH nicht nehmen lassen, dem vorlegenden VG Wiesbaden für seine Entscheidung eine Handreichung mit auf den Weg zu geben.
Zulässig sind laut EuGH auf nationaler Ebene lediglich solche Vorschriften zum Beschäftigtendatenschutz, die sich nicht auf die Wiederholung der Bestimmungen der DSGVO beschränken, sondern tatsächlich eine speziellere Regelung enthalten, die sich von der DSGVO unterscheidet. Eine solche Vorschrift muss außerdem die Vorgaben von Art. 88 Abs. 2 DSGVO erfüllen und geeignete Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen. Im Rahmen der geeigneten Maßnahmen ist insbesondere auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz zu achten.
Der EuGH geht davon aus, dass eine Regelung wie § 23 Abs. 1 S. 1 HDSIG lediglich die bereits in Art. 6 Abs. 1 Satz 1 Buchst. b DSGVO aufgestellten Bedingungen für die allgemeine Rechtmäßigkeit der Verarbeitung wiederhole, ohne eine spezifischere Vorschrift im Sinne von Art. 88 Abs. 1 DSGVO hinzuzufügen, weshalb derartige Vorschriften unangewendet bleiben müssen. Setzt man die Entscheidung des EuGH konsequent um, wäre auch die bundesrechtliche Vorschrift des § 26 Abs. 1 S. 1 BDSG nicht mehr anzuwenden.
Was geschieht nun mit der Verarbeitung von Beschäftigtendaten und welcher Anpassungsbedarf besteht?
Die schlechte Nachricht des EuGH-Urteils ist, dass bei der Verarbeitung von Beschäftigtendaten § 26 Abs. 1 S. 1 BDSG nicht mehr als eigener Erlaubnistatbestand angewendet werden kann. Die gute Nachricht ist, dass die DSGVO eigene Erlaubnistatbestände in Art. 6 Abs. 1 DSGVO bereithält, welche denen in § 26 Abs. 1 S. 1 BDSG ähneln. Diese Erlaubnistatbestände der DSGVO sind künftig für Datenverarbeitungen im Beschäftigungskontext heranzuziehen und es ist zu prüfen, ob die geplanten Verarbeitungsvorgänge hiervon gedeckt sind. Durch den direkten Rückgriff auf die DSGVO taucht allerdings das Problem auf, dass die von der Rechtsprechung zu § 26 Abs. 1 S. 1 BDSG entwickelten Grundsätze, welche die unbestimmten Rechtsbegriffe praktisch handhabbar gemacht haben, nicht unbesehen auf die entsprechenden Regelungen der DSGVO übertragen werden können. Dies wird noch zu klären sein. Offen ist außerdem, ob möglicherweise weitere Regelungen in § 26 BDSG unanwendbar sind. Hierzu hat der EuGH keine Tendenz abgegeben, weshalb zu erwarten ist, dass eine Klärung der Europarechtskonformität nach und nach durch die nationalen Gerichte erfolgt.
Das Urteil des EuGH macht auch vor den Kollektivvereinbarungen keinen Halt. Betriebsvereinbarungen werden oftmals eingesetzt, um datenschutzrechtliche Erlaubnistatbestände für bestimmte Verarbeitungsvorgänge zu schaffen. Bestehende Kollektivvereinbarungen sind nun daraufhin zu überprüfen, ob sie den Anforderungen des EuGH zu Art. 88 DSGVO entsprechen. Das bedeutet, dass auch Betriebsvereinbarungen einen spezifischen Inhalt haben müssen, der nicht lediglich Vorgaben der DSGVO wiederholt. Zudem müssen in den Betriebsvereinbarungen Schutzvorkehrungen nach Art. 88 Abs. 2 DSGVO implementiert sein. Betriebsvereinbarungen, welche diesen Vorgaben nicht entsprechen, sind zwischen den Betriebspartnern neu zu verhandeln.
Ungeachtet dessen steht fest, dass datenschutzrechtliche Dokumentationen, wie z.B. Datenschutzerklärungen und Einwilligungstexte, die noch auf § 26 Abs. 1 S. 1 BDSG verweisen, kurzfristig anzupassen sind, indem auf die nunmehr einschlägige Rechtsgrundlage aus Art. 6 DSGVO Bezug genommen wird.
Doch naht vielleicht ein Ende aller Probleme im Beschäftigtendatenschutz? Die Bundesregierung hat in ihrer veröffentlichten Digitalstrategie angekündigt, dass von den Öffnungsklauseln der DSGVO Gebrauch gemacht wird, um mit einem modernen, handhabbaren Beschäftigtendatenschutzgesetz Rechtsklarheit für Arbeitgeber sowie Beschäftigte zu schaffen und die Persönlichkeitsrechte der Beschäftigten effektiv zu schützen. Es bleibt abzuwarten, ob das angekündigte Beschäftigtendatenschutzgesetz die versprochene Rechtsklarheit bringt.
