Nach Ansicht des BAG verstößt § 26 BDSG, welcher die Datenverarbeitung im Beschäftigungsverhältnis regelt, nicht gegen die DSGVO. Das VG Wiesbaden war sich da bei einer gleichlautenden Vorschrift aus dem Hessischen Datenschutzgesetz weniger sicher und legte die Frage dem EuGH vor. Dessen Urteil sieht die Sachlage ebenfalls sehr kritisch.
Das Urteil des Europäischen Gerichtshofs (EuGH, Urteil vom 30. März 2023, Rs. C34/21) war mit Spannung erwartet worden. Es ging um die Grundlage der Verarbeitung von Beschäftigtendaten. Ausgangspunkt für Datenverarbeitungen für Zwecke des Beschäftigungsverhältnisses bildet aktuell § 26 Bundesdatenschutzgesetz, der letztlich generalklauselartig Datenverarbeitungen erlaubt, sofern sie für Zwecke des Beschäftigungsverhältnisses erforderlich sind. Er sagt damit letztlich nichts anderes als die Datenschutzverordnung selbst, die in Art. 6 ebenfalls auf die Erforderlichkeit abstellt.
Sonderregelung zum Beschäftigtendatenschutz
Dass es hier eine eigene deutsche Norm gibt liegt daran, dass die Datenschutzgrundverordnung zwar grundsätzlich zwingend ist, jedoch eine Öffnungsklausel in Art. 88 für den Datenschutz bei Beschäftigtendaten enthält. Zu unterschiedlich waren die nationalen Traditionen bei Verabschiedung der Grundverordnung, als dass man hier alles über einen Kamm scheren wollte. Es gab die Sonderregelung zum Beschäftigtendatenschutz schon, bevor es die Datenschutzgrundverordnung gab und man wollte sie beibehalten. Eine parallele und nahezu wortlautidentische Vorschrift existiert im Hessischen Datenschutzgesetz, die Gegenstand des Verfahrens war. Das Hessische Gericht wollte wissen, ob diese europarechtskonform ist. Denn Art. 88 nun erlaubt die Öffnung für "spezifischere Vorschriften", aber für diese braucht es nach Absatz 2 "geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz."
"Spezifischere Vorschriften" müssen auch spezifisch sein
Der EuGH hat nun eine recht lapidare Antwort gegeben – die nicht anders zu erwarten war: Wenn diese Voraussetzungen der Öffnungsklausel nicht eingehalten sind – was durch das nationale Gericht festgestellt werden muss – dann ist die Norm auch nicht von der Öffnungsklausel gedeckt. Schon der Generalanwalt stellte fest: Es ist unwahrscheinlich, dass das vorlegende Gericht für dieses Ergebnis die Unterstützung des Gerichtshofs benötigte. Wichtiger noch ist daher die Feststellung, dass dann aufgrund des Vorrang des Europarechts die nationale, kompetenzwidrige Vorschrift unanwendbar wäre. Aber auch das ist nicht wirklich neu.
Es ging letztlich um etwas Anderes: Sind denn die Voraussetzungen der Datenschutzgrundverordnung eingehalten? Das Hessische Verwaltungsgericht verneinte das und auch der Generalanwalt. Die Begründung freilich ist ungewöhnlich: die deutsche Norm wiederhole lediglich eine Voraussetzung, die bereits in der Datenschutzgrundverordnung für die allgemeine Rechtmäßigkeit der Verarbeitung gefordert wird. Das deutsche Recht fügt hingegen keine spezifischere Vorschrift zum Schutz der Rechte im Rahmen der Verarbeitung personenbezogener Daten im Beschäftigungskontext hinzu. Der Gerichtshof legt sich nicht so deutlich fest, verweist diese Frage letztlich an das nationale Gericht, aber auch er sagt, es dürfe "sich bei den … 'spezifischeren Vorschriften' nicht lediglich um eine Wiederholung der in Art. 6 DSGVO genannten Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten und der in Art. 5 DSGVO angeführten Grundsätze für diese Verarbeitung oder um einen Verweis auf diese Bedingungen und Grundsätze handeln."
Ball liegt wieder beim Verwaltungsgericht
Der Ball ist damit zurückgespielt. Wenn das deutsche Recht nur sagt, was das europäische Recht sagt, dann ist es unwirksam. Wenn die nationale Vorschrift unanwendbar wäre, dann gilt das europäische Recht. Wenn dies aber – wie der EuGH darlegt – ja durch das nationale Recht nur wiederholt wird, dann können die Unterschiede so groß nicht sein – beide Regelungen sind ja identisch. Es drängt sich die Frage auf, ob dies nicht alles nur ein juristisches Glasperlenspiel ist. Ein Unterschied im Prozedere freilich bleibt: Die nationale Norm kann das deutsche Gericht abschließend auslegen, zur Auslegung der Datenschutzgrundverordnung ist allein der EuGH zuständig. Es wäre daher künftig wohl mit deutlich mehr Vorlagen auch im Beschäftigtendatenschutz zu rechnen. Und: Alle Entscheidungslinien des Bundesarbeitsgerichts stehen künftig unter dem Vorbehalt, dass die durch den EuGH bestätigt oder verworfen werden. Allzu viel Diskrepanz dürfte es freilich nicht geben, da zur Beurteilung der Erforderlichkeit einer Datenverarbeitung im konkreten Fall auch nach der Rechtsprechung des EuGH das nationale Gericht zuständig ist, und auch das Bundesarbeitsgericht immer auch schon die Rechtsprechung des EuGH in seinen Judikaten berücksichtigt hat.
Bundesarbeitsministerium arbeitet an einem Gesetzesvorschlag
Wie geht es jetzt nun weiter? Alles neu im Beschäftigtendatenschutz? Wohl nicht, aber im Koalitionsvertrag heißt es deutungsoffen, aber verheißungsvoll: "Wir schaffen Regelungen zum Beschäftigtendatenschutz, um Rechtsklarheit für Arbeitgeber sowie Beschäftigte zu erreichen und die Persönlichkeitsrechte effektiv zu schützen". Dieses Versprechen ist ein Wiedergänger – im Koalitionsvertrag vier Jahre zuvor fand sich ein ganz ähnliches Vorhaben –, freilich mit Prüfvorbehalt ("Wir wollen die Öffnungsklausel in Art. 88 DSGVO nutzen und prüfen die Schaffung eines eigenständigen Gesetzes zum Beschäftigtendatenschutz"). Das politische Vorhaben mag nun juristischen Rückenwind bekommen haben. Gewöhnlich gut informierte Kreise sprechen von Vorschlägen des Bundesarbeitsministeriums bereits im April. Warten wir ab.
Das könnte Sie auch interessieren:
Was bei der Mitarbeiterüberwachung erlaubt ist
Amazon darf Mitarbeiterdaten mit Handscannern erheben
Rechtskonformer Auswahlprozess: What you see, is (not always) what you get (personalmagazin digital)