§ 78 Beschäftigtendatenschutz / B. Datenschutz-Anpassungs- und Umsetzungsgesetz; BDSG

I. Aufbau und sachliche Anwendungsbereiche des BDSG

Rz. 3

Der deutsche Gesetzgeber hat den ihm eingeräumten Gestaltungsspielraum genutzt und am 5.7.2017 das "Gesetz zur Anpassung des Datenschutzrechts an die VO (EU) 2016/679 und zur Umsetzung der RL (EU) 2016/680 (Datenschutz – Anpassungs- und – Umsetzungsgesetz EU – DSAnpUG-EU)" verkündet. Nach Art. 8 Abs. 1 S. 1 des DSAnpUG-EU ist ein neues Bundesdatenschutzgesetz mit Wirkung vom 25.5.2018 in Kraft (in der Folge: BDSG), welches damit das Bundesdatenschutzgesetz i.d.F. der Bekanntmachung vom 14.1.2003 (in der Folge: BDSG a.F.) abgelöst hat. § 26 BDSG enthält besondere Regelungen für die Datenverarbeitung im Beschäftigungskontext. Am 28.6.2019 verabschiedete der Bundestag das 2. Datenschutz-Anpassungs- und Umsetzungsgesetz (2. DSAnpUG), welches vom Bundesrat am 20.9.2019 gebilligte und am 25.11.2019 im Bundesgesetzblatt veröffentlicht wurde. Mit dem 2. DSAnpUG wurde § 26 Abs. 2 BDSG über die Voraussetzungen, unter denen im Beschäftigungsverhältnis eine Einwilligung eingeholt werden kann, geändert. Nach früherem Recht war für die Einwilligung die Schriftform nötig, soweit nicht wegen besonderer Umstände eine andere Form angemessen war. Nach neuem Recht kann die Einwilligung schriftlich oder elektronisch erfolgen. Zudem wurde in § 38 Abs. 1 S. 1 BDSG die maßgebliche Personenzahl, ab der ein betrieblicher Datenschutzbeauftragter zu benennen ist, von zehn auf 20 angehoben. Hiermit sollen kleinere und mittlere Unternehmen entlastet werden. Allgemein lässt sich feststellen, dass das Zusammenwirken von Unions- und Nationalrecht das bisher ohnehin schon komplexe Datenschutzrecht für den Rechtsanwender noch komplizierter macht.

Rz. 4

Das BDSG gliedert sich strukturell in vier Teile. Die Teile 1 und 2 ergänzen die unmittelbar geltende DSGVO um die Bereiche, in denen die DSGVO den Mitgliedstaaten Regelungsgebote auferlegt oder durch Öffnungsklauseln Gestaltungsspielräume gewährt. Im Anwendungsbereich der DSGVO sind somit das BDSG und die DSGVO in einem Verbund zu betrachten. Die in Teil 1 des BDSG enthaltenen gemeinsamen Bestimmungen beinhalten als Allgemeiner Teil übergreifende Regelungen für jede Datenverarbeitung, unabhängig davon, ob diese zu Zwecken der DSGVO, der RL (EU) 2016/680 (JI-RL) oder zu Zwecken erfolgt, welche nicht von diesen beiden Unionsrechtsakten erfasst sind. Die in Teil 2 enthaltenen Regelungen beziehen sich allein auf den Anwendungsbereich der DSGVO. Teil 3 des BDSG dient zur Umsetzung der JI-RL. Der Anwendungsbereich des Teils 3 bestimmt sich nach § 45 BDSG. Er findet nur auf öffentliche Stellen Anwendung, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit zuständig sind und auch nur, soweit die öffentlichen Stellen Daten zu diesen Zwecken verarbeiten. Teil 4 enthält besondere Bestimmungen für Verarbeitungen im Rahmen von nicht in die Anwendungsbereiche der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2016/680 fallende Tätigkeiten.

Rz. 5

Fraglich könnte sein, ob der in § 26 Abs. 1 BDSG beschriebene Anwendungsbereich der Datenverarbeitung "für Zwecke des Beschäftigungsverhältnisses" kongruent mit der Ermächtigung des Art. 88 Abs. 1 DSGVO ist, "im Beschäftigungskontext" spezifischere Vorschriften vorzusehen. Im Ergebnis lässt sich jedoch die Auffassung vertreten, dass die Formulierung in der DSGVO weiter gefasst ist als diejenige im BDSG, sodass diesbezüglich keine Bedenken im Hinblick auf die Normsetzungsbefugnis des nationalen Gesetzgebers bestehen (Düwell/Brink, NZA 2017, 1081, 1083).

II. § 26 Abs. 1 S. 1 BDSG

Rz. 6

In Ausfüllung der Öffnungsklausel des Art. 88 DSGVO regelt § 26 BDSG die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses. Die Regelung knüpft inhaltlich zu großen Teilen an § 32 BDSG a.F. an. Die Erlaubnistatbestände des § 26 BDSG sollen die frühere Regelung des § 32 BDSG a.F. und die dazu ergangene Rechtsprechung nicht verändern, sondern bestätigen (BT-Drucks 16/13657, 35). Infolgedessen ist es grundsätzlich auch möglich, für die Auslegung und Fortbildung an die Rechtsprechung zu § 32 BDSG a.F. anzuknüpfen.

1. Allgemeine Tatbestandsvoraussetzungen

Rz. 7

Nach § 26 Abs. 1 S. 1 BDSG dürfen personenbezogene Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist.

§ 26 Abs. 1 S. 1 BDSG hat für die Verarbeitung (einfacher) personenbezogener Daten damit den Wortlaut des § 32 Abs. 1 S. 1 BDSG a.F. übernommen und zusätzlich den Rechtfertigungsgrund der Erfüllung einer gesetzlichen oder kollektivrechtlichen Pflicht aufgenommen.

a) Begriff des Beschäftigten

Rz. 8

Der Begriff des Beschäftigten, ...