Die Datenschutz-Grundverordnung (DSGVO) regelt das Datenschutzrecht in der gesamten EU mit dem Ziel dieses zu vereinheitlichen. Daneben kommt den Mitgliedstaaten nur sehr begrenzt eigener gesetzlicher Gestaltungsspielraum zu. Das nationale Recht ist nicht anwendbar, soweit das höherrangige Europarecht bereits einen Sachverhalt regelt. In diesem Zusammenhang gilt für das nationale Recht ein Normwiederholungsverbot: Eine bloße Wiederholung einer Vorschrift ist in der Regel unzulässig, da sie Verwirrung stiftet.
Die DSGVO enthält zwar sogenannte Öffnungsklauseln, die den Mitgliedstaaten erlauben, eigene Vorschriften zu erlassen. Allerdings bedeutet dies nicht, dass die Mitgliedstaaten den Datenschutz vollständig autonom regeln dürfen.
Bisher wurde der „spezifischere“ § 26 Abs. 1 Satz 1 BDSG auf Grundlage der Öffnungsklausel des Art. 88 Abs. 1 DSGVO herangezogen, wenn es darum ging, dass personenbezogene Daten des Beschäftigten durch den Arbeitgeber verarbeitet werden. Ein Urteil des Europäischen Gerichtshofs (EuGH) vom 30.02.2023 (Az. C-34/21) dürfte das Ende für diese Praxis bedeuten.
Das Wichtigste in Kürze
- Der EuGH stellt die deutschen Vorschriften zur Datenverarbeitung im Beschäftigungskontext grundsätzlich in Frage, indem er Generalklauseln im nationalen Beschäftigtendatenschutz für unanwendbar erklärt, wenn sie gegen die vorrangig anwendbare DSGVO verstoßen.
- Nach der Kritik des EuGH haben das Bundesinnenministerium (BMI) und das Bundesarbeitsministerium (BMAS) ein gemeinsames Papier mit ersten Eckpunkten eines neuen Beschäftigtendatenschutzgesetzes vorgelegt.
Hintergrund und Entscheidung des EuGH
Vor etwas mehr als zwei Jahren hatte das Verwaltungsgericht Wiesbaden die Sache dem dem EuGH zur Klärung vorgelegt.
Es handelte sich um einen Livestream-Unterricht per Videokonferenz, welcher im Zuge der Corona-Pandemie in öffentlichen Schulen eingeführt wurde.
Während die Eltern der Kinder bzw. die volljährigen Schüler und Schülerinnen ihre Einwilligung in diese Datenverarbeitung erteilen mussten, war dies für die betroffenen Lehrkräfte nicht vorgesehen. Der Hauptpersonalrat der Lehrer und Lehrerinnen erhob daraufhin Klage beim Verwaltungsgericht (VG) Wiesbaden und rügte, dass der Livestream-Unterricht ohne Einwilligung der betroffenen Lehrkräfte erfolgt sei.
Das Hessische Kultusministerium vertrat demgegenüber die Ansicht, dass die Datenverarbeitung durch § 23 Abs. 1 S. 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG) zur Datenverarbeitung im Beschäftigungsverhältnis gedeckt sei. Das Verwaltungsgericht wandte sich daraufhin an den EuGH und wollte wissen, ob sich die Vorschriften mit der Europäischen Datenschutz-Grundverordnung vereinbaren lassen, da die EU-Verordnung den Mitgliedstaaten nur einen begrenzten Spielraum für spezifischere nationale Datenschutzvorschriften durch sogenannte Öffnungsklauseln lässt.
Nun hat der EuGH im Vorabentscheidungsverfahren am 30. März 2023 ein Urteil gefällt, das für Aufregung sorgt und womöglich weitreichende Konsequenzen hat (Az. C-34/21). Nach Einschätzung des EuGH fällt die Verarbeitung von personenbezogenen Daten von Lehrkräften – und somit Beschäftigten – bei der Durchführung von Unterricht per Livestream in den Regelungsbereich der DSGVO.
Der Gerichtshof entschied, dass eine nationale Regelung zur Datenverarbeitung im Beschäftigungskontext nicht von der Öffnungsklausel in Art. 88 Abs. 1 DSGVO gedeckt ist, wenn die Regelung nicht die strengen Anforderungen an spezifischere nationale Datenschutzvorschriften in Art. 88 Abs. 2 DSGVO erfüllt. Dafür muss sich der nationale Regelungsgehalt von den allgemeinen Regeln der DSGVO unterscheiden und geeignete und besondere Datenschutzmaßnahmen umfassen. Die Regelungen in § 26 Abs. 1 Bundesdatenschutzgesetz (BDSG) und dem wortgleichen § 23 Abs. 1 S. 1 HDSIG zur Datenverarbeitung in Beschäftigungsverhältnissen sind womöglich nicht mit der Datenschutzgrundverordnung vereinbar.
Folgen für den Beschäftigtendatenschutz in Deutschland
Es bleibt abzuwarten, wie das Verwaltungsgericht nun auf das Urteil aus Luxemburg reagiert. Der Europäische Gerichtshof hatte dem VG mitgeteilt, dass nationale Normen nicht anwendbar sind, wenn sie gegen die Voraussetzungen von Art. 88 DSGVO verstoßen. In diesem Fall müsste das VG jedoch noch prüfen, ob die Normen eine Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO darstellen. Eine solche Rechtsgrundlage wäre gegeben, wenn sie den Zweck der Datenverarbeitung festlegt und für die Erfüllung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt.
Die Entscheidung des EuGH wird aber in jedem Fall die Forderungen nach einem eigenständigen Gesetz zum Schutz von Beschäftigtendaten stärken. Bereits im April 2022 hatte die Datenschutzkonferenz die Einführung eines solchen Gesetzes gefordert, um die Beschäftigten besser vor den gestiegenen Risiken im Zusammenhang mit der Verarbeitung ihrer Daten zu schützen. Auch im Koalitionsvertrag der Bundesregierung wird die Schaffung neuer Regelungen zum Schutz von Beschäftigtendaten angekündigt.
Neuer Gesetzesentwurf der Bundesregierung zum Beschäftigtendatenschutz
Aktuellen Berichten zufolge (SZ und Die Zeit) hat die Bundesregierung die Kritik des EuGH an der Umsetzung des Beschäftigtendatenschutzes im BDSG zum Anlass genommen, einen erneuten Gesetzesentwurf zum Beschäftigtendatenschutz auf den Weg zu bringen.
Derartige Vorhaben gab es schon im Jahr 2021, jedoch haben sie bislang noch kein Ergebnis hervorgebracht. Ziel des neuen Gesetzes ist es, die Überwachung von Beschäftigten und die Verarbeitung ihrer persönlichen Daten stärker gesetzlich zu reglementieren. Der Gesetzesentwurf soll bis zum Herbst 2023 vorliegen. In einem gemeinsamen Papier des Bundesinnenministeriums (BMI) und des Bundesarbeitsministeriums (BMAS) wurden die ersten Eckpunkte eines neuen Beschäftigtendatenschutzgesetzes vorgelegt.
Ausgehend von der Rechtsprechung des Bundesarbeitsgerichts zur Vollüberwachung (BAG, Beschluss vom 29.06.2003, 1 ABR 21/03) soll eine Vollüberwachung von Beschäftigten nur in Ausnahmefällen und unter engen Voraussetzungen möglich sein. Dabei soll eine dauerhafte Überwachung nur bei bestimmten Zwecken erlaubt sein, wie zum Beispiel zur Sicherheit der Beschäftigten und des Arbeitsschutzes oder zur Erfassung von Lenk- und Ruhezeiten. Auch die Koordinierung von Arbeitseinsätzen an verschiedenen Orten und die Disposition von Einsatzkräften können als Gründe für eine Vollüberwachung genannt werden. Allerdings sollen Arbeitgeber entsprechend dem Eckpunktepapier „keine lückenlosen Bewegungs- und Leistungsprofile zur Bewertung von Beschäftigten erstellen dürfen“.
Unter vielen anderen Punkten soll auch die Einwilligung im Beschäftigtenverhältnis geregelt werden und dabei sollen beispielhafte Auflistungen konkreter Anwendungsfälle unter Berücksichtigung der Rechtsprechung die Rechtsanwendung erleichtern. In der Regel bedarf die Kameraüberwachung der Einwilligung der Mitarbeiter. Jedoch fällt es neuen Mitarbeitern oft schwer, den Wunsch des Arbeitgebers nach Überwachung oder der Verarbeitung von Daten abzulehnen, wie beispielsweise die Einwilligung zur Nutzung von Fotos für die Website der Firma. Daher wird in Erwägung gezogen, die Anforderungen an die Freiwilligkeit der Einwilligung genauer zu definieren als bisher.
Fazit
Mit seinem Urteil hat der Europäische Gerichtshof klargestellt, dass die bisherigen, sehr allgemein formulierte Vorschrift des § 26 BDSG und vergleichbarer landesrechtlicher Regelungen nicht mit den Anforderungen des Art. 88 der DSGVO vereinbar ist. Aus diesem Grund wird der deutsche Gesetzgeber wohl die Gelegenheit nutzen, um den Beschäftigtendatenschutz umfassender zu regeln und spezifische Regelungen für einzelne Verarbeitungssituationen im Arbeitskontext zu schaffen. Neben einer erhöhten Rechtssicherheit für Arbeitgeber würde dies auch den Schutz der Beschäftigten verbessern, was aus datenschutzrechtlicher Sicht begrüßenswert wäre. Abzuwarten bleibt jedoch, ob das geplante Beschäftigtendatenschutzgesetz diesen Anforderungen auch gerecht werden kann und eine in der Praxis funktionierende Grundlage geschaffen wird. Denn die Gefahr, dass ausbuchstabierte Detailregelungen im Gesetzestext zu neuen Widersprüchen und Unklarheiten führen kann, ist bei einem solchen Unterfangen nicht zu unterschätzen..
„>
