Umgang mit Beschäftigtendaten – EuGH konkretisiert Anforderungen an nationale Gesetzgeber – Betriebsvereinbarungen als „kollektives Heilsmittel“?

Gestatten europäische Verordnungen den nationalen Gesetzgebern, spezifischere Rechtsvorschriften zu erlassen, so kommt diesen nur Rechtswirkung zu, wenn sie einerseits nicht nur die Ausgangsnorm wiederholen und andererseits nicht unzulässig ein eigenständigen Regelungskonzept statuieren. Ein schwieriges Unterfangen: Der EuGH hat festgestellt, dass § 23 Abs. 1 HDSIG (Hessisches Datenschutz- und Informationsfreiheitsgesetz) gegen das Wiederholungsverbot verstößt und deshalb nicht anzuwenden ist. Konsequenterweise dürfte § 26 Abs. 1 Satz 1 BDSG ebenfalls unanwendbar sein.

Sachverhalt

Während der Corona-Pandemie hatte das Hessische Kultusministerium per Erlass entschieden, dass der Präsenzunterricht per Livestream an nicht anwesende Schüler übertragen wird, sofern diese oder deren Eltern in die Teilnahme an der Videokonferenz einwilligten. Eine Einwilligung der Lehrkräfte wurde für nicht notwendig angesehen, da die Datenverarbeitung nach § 23 Abs. 1 HDSIG gestattet sei. Dagegen wandte sich der Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium. Das angerufene VG Wiesbaden zweifelt daran, dass § 23 Abs. 1 HDSIG die Anforderungen der DSGVO erfüllt und wandte sich an den EuGH.

Entscheidungsgründe

Der EuGH hat auf die Vorlage des VG Wiesbaden folgende Entscheidung getroffen:

1. Eine § 23 Abs. 1 HDSIG entsprechende nationale Regelung muss sich zwingend von den allgemeinen Regeln der DSGVO unterscheiden. Es darf also keine reine Wiederholung des Norm des Art. 6 DS-GVO vorliegen. Des Weiteren setzt der EuGH voraus, dass die nationale „spezifischere Norm“ die Vorgaben der europäischen Norm, hier des Art. 88 Abs. 2 erfüllt. Dies deshalb, da die DSGVO eine grundsätzlich vollständige Harmonisierung der nationalen Rechtsvorschriften zum Schutz personenbezogener Daten bezweckt. Folglich muss die nationale Vorschrift besondere und geeignete Garantien zum Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext vorsehen.
2. Nationale Regelungen, die den Vorgaben des Art. 88 DSGVO nicht genügen, müssen unangewendet bleiben.

In seinem Urteil verweist der EuGH zudem darauf, dass als mögliche Rechtsgrundlagen für die vorliegend erfolgte Datenverarbeitung Art. 6 Abs. 1 lit. c und e DSGVO in Betracht kommen, da diese zur Erfüllung einer rechtlichen Verpflichtung und für die Wahrnehmung einer Aufgabe im öffentlichen Interesse gestattet sei. Insoweit müsse das VG Wiesbaden prüfen, ob die landesrechtlichen Vorschriften eine Rechtsgrundlage i. S. d. Art. 6 Abs. 3 DSGVO sind.

Bewertung und Praxishinweise

Die hessischen Vorschriften gleichen § 26 Abs.1 BDSG. Somit steht im Ergebnis fest, dass § 26 Abs. 1 BDSG zukünftig unangewendet bleiben muss und als Rechtsgrundlage für eine Datenverarbeitung nicht (mehr) in Betracht kommt. Dies ist deshalb für das deutsche Arbeitsrecht überraschend, da das Bundesarbeitsgericht noch im Beschluss vom 07.05.2019 – 1 ABR 53/17 entschieden hatte, dass § 26 Abs. 1 BDSG keinen unionsrechtlichen Bedenken begegnet.

Die datenschutzrechtlichen Auswirkungen für die Praxis sind zunächst gering, da die Verarbeitung von Beschäftigtendaten im privatrechtlichen Beschäftigungsverhältnis regelmäßig auf Art. 6 Abs. 1 lit. b DSGVO gestützt werden kann.

Für die Praxis bedeutet dies, dass in bereits existenten Vereinbarungen ggf. textliche Veränderungen vorzunehmen sind (Verweis auf Art. 6 DSGVO anstatt § 26 BDSG). Da gemäß Art. 88 Abs. 1 DSGVO auch durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext geschaffen werden können, rücken Betriebsvereinbarungen als Rechtsgrundlage für eine unionskonforme Datenverarbeitung (noch) mehr in den Fokus. Insofern bleibt aber mit Spannung abzuwarten, wie sich der EuGH zur Zulässigkeit der Verarbeitung personenbezogener Daten mittels Betriebsvereinbarung positioniert (siehe hierzu BAG, Vorlagebeschluss vom 22.09.2022 – 8 AZR 209/21).

Thomas Krebs
Rechtsanwalt

dkm Rechtsanwälte. Kanzlei für Arbeitsrecht.
Wolfratshauser Straße 50
81379 München

+49 89 242166-0

buero@dkm-rechtsanwaelte.de
www.dkm-rechtsanwaelte.de