EuGH, Urteil vom 30.03.2023 – C-34/21
Der während der Pandemie hilfsweise online erteilte Unterricht ist längst wieder dem Präsenzunterricht gewichen. Mit den datenschutzrechtlichen Nachwehen des digitalen Provisoriums hatte sich jüngst der Europäische Gerichtshof (EuGH) auseinanderzusetzen. Dessen Entscheidung vom 30.03.2023 rüttelt an den Grundfesten des nationalen Beschäftigtendatenschutzes und stellt nicht zuletzt die Rechtsprechung des BAG in Frage. Warum letztendlich aber doch kein Grund zur Panik besteht, beleuchten wir in diesem Beitrag.
Sachverhalt
Wie auch alle anderen Bundesländer stellte das Land Hessen während der Covid-19-Pandemie ebenfalls zeitweise auf digitalen Unterricht um, wobei Lehrveranstaltungen unter anderem in Form von Livestreams übertragen wurden. Hierfür wurden, um den datenschutzrechtlichen Vorschriften Rechnung zu tragen, von Schülern oder deren Eltern Einwilligungen eingeholt, wohingegen man bei den Lehrkräften hierauf verzichtete. Im Hinblick auf diese stütze man die Rechtmäßigkeit der Datenverarbeitung vielmehr auf § 23 Abs. 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetz (HDSIG), welcher § 26 Abs. 1 des Bundesdatenschutzgesetzes (BDSG) entspricht. Hiernach dürfen personenbezogene Daten von Beschäftigten – auch ohne deren Einwilligung – unter anderem dann verarbeitet werden, wenn dies für die Begründung oder Durchführung des Beschäftigungsverhältnisses erforderlich ist.
Der Hauptpersonalrat hessischer Lehrerinnen und Lehrer war demgegenüber der Auffassung, dass es auch der Einwilligung der Lehrkräfte bedurft hätte und klagte vor dem Verwaltungsgericht (VG) Wiesbaden. Dieses wiederum hatte Zweifel daran, ob § 23 Abs. 1 HDSIG unionsrechtskonform ist. Grundsätzlich soll die DS-GVO einen möglichst einheitlichen Datenschutz innerhalb der EU gewährleisten. Allerdings erlaubt es unter anderem die Öffnungsklausel des Art. 88 Abs. 1 DS-GVO den Mitgliedstaaten, spezifischere Vorschriften zur Gewährleistung des Beschäftigtendatenschutzes vorzusehen. Welche Anforderungen Art. 88 Abs. 1 DS-GVO an „spezifischere Vorschriften“ stellt, wollte das VG Wiesbaden nun im Wege eines Vorabentscheidungsersuchens vom EuGH geklärt wissen. Ferner sollte dieser konkretisieren, welche Rechtsfolge eintritt, wenn eine Vorschrift diese Anforderungen nicht erfüllt.
Entscheidung des EuGH
Im Rahmen des Vorabentscheidungsverfahrens entschieden die Luxemburger Richter, dass die Verarbeitung personenbezogener Daten nur dann auf nationale Regelungen gestützt werden könne, wenn diese erstens nicht nur eine bloße Wiederholung der Regelung des Art. 88 Abs. 1 DS-GVO darstelle, sondern inhaltlich darüber hinausgehe. Zweitens müsse die nationale Rechtsgrundlage dabei den inhaltlichen Anforderungen des Art. 88 Abs. 2 DS-GVO genügen. Ob dies in Bezug auf § 23 Abs. 1 HDSIG der Fall ist, hat nun das nationale Gericht zu prüfen. Der EuGH ließ jedoch durchblicken, dass die nationale Vorschrift bereits die in der DS-GVO für die allgemeine Rechtmäßigkeit geforderte Voraussetzung zu wiederholen scheine, ohne eine spezifischere Bestimmung im Sinne von Art. 88 Abs. 1 DS-GVO hinzuzufügen.
Demgegenüber ging das Bundesarbeitsgericht bis zuletzt im Hinblick auf die entsprechende bundesgesetzliche Regelung des § 26 Abs. 1 BDSG davon aus, dass diese „derart offenkundig“ eine speziellere Regelung des Art. 88 DS-GVO darstelle, „dass für vernünftige Zweifel kein Raum“ bleibe (BAG, Beschluss vom 07.05.2019 – 1 ABR 53/17). Diese Rechtsprechung wird angesichts der Entscheidung des EuGH jedenfalls einer kritischen Überprüfung unterzogen werden müssen.
Praxisfolgen und Fazit
Zwar bleibt abzuwarten, wie das VG Wiesbaden mit der Entscheidung des EuGH konkret verfährt, vorab aber so viel: Die Entscheidung des EuGH führt jedenfalls in der Praxis nicht dazu, dass der Beschäftigtendatenschutz neu erfunden werden muss. Insoweit ist der Streit eher dogmatischer Natur. Denn im Ergebnis wird sich auch bei Unanwendbarkeit des § 26 Abs. 1 BDSG oder entsprechenden Landesrechts nicht viel ändern, da stattdessen auf unionsrechtliche Rechtsgrundlagen zurückgegriffen werden kann. So wird insbesondere Art. 6 Abs. 1 lit. b, f DSGVO als Rechtsgrundlage in Betracht kommen. Dies könnte zu einer – für international tätige Unternehmen erfreulichen – weiteren Vereinheitlichung des Beschäftigtendatenschutzes innerhalb der EU führen.
Arbeitgeber sollten daher künftig darauf achten, bei der Prüfung der Gewährleistung des Beschäftigtendatenschutzes auch und vor allem die einschlägigen europarechtlichen Vorschriften im Auge zu behalten und gegebenenfalls als Rechtsgrundlage zu zitieren. Dabei ist auch die künftige Rechtsprechungsentwicklung zu beachten. Insbesondere bleibt abzuwarten, ob das BAG, das bisher von einer Vereinbarkeit des § 26 Abs. 1 BDSG mit Art. 88 DS-GVO ausgegangen ist, den EuGH im Wege eines Vorabentscheidungsverfahrens anrufen wird. Ein Eingreifen des Gesetzgebers im Hinblick auf eine unionsrechtskonforme Neuregelung des Beschäftigtendatenschutzes wird nicht zuletzt von den deutschen Datenschutzbehörden gefordert und ist ferner im Koalitionsvertrag vorgesehen. Dahingehende Initiativen sind allerdings bisher nicht zu erkennen. Über die weiteren Entwicklungen halten wir Sie im Newsroom auf dem Laufenden!
