Paukenschlag durch EuGH: Keine Generalklauseln im Beschäftigtendatenschutz

Per Urteil vom 30. März 2023 (Az. C-34/21) hat sich der Europäische Gerichtshof (EuGH) nunmehr zu der Frage positioniert, inwieweit dem nationalen Gesetzgeber (k)ein Spielraum bei der Ausgestaltung von Klauseln im Beschäftigtendatenschutz zusteht. Hintergrund der Entscheidung war eine Vorlage über eine Regelung im hessischen Beschäftigtendatenschutz, welche nahezu wortidentisch zur Regelung des § 26 Abs. 1 S. 1 des Bundesdatenschutzgesetzes (BDSG) ausgestaltet ist. Die Kernaussage des EuGH lässt sich dahingehend zusammenfassen, dass im Beschäftigungskontext erlassene nationale Generalklauseln unanwendbar sind, da diese im Widerspruch zu der Öffnungsklausel des Art. 88 DS-GVO stehen.

Der nachfolgende Beitrag soll den rechtlichen Hintergrund der Entscheidung sowie die daraus resultierenden praktischen Implikationen aufzeigen.

Hintergrund der Entscheidung

Die DS-GVO bezweckt – vgl. insoweit auch deren Erwägungsgrund 3 – ein möglichst harmonisiertes europäisches Datenschutzrecht. Dies bedeutet, dass es dem nationalen Gesetzgeber nicht ohne Weiteres möglich ist, eigenständige Normen zum Datenschutz zu schaffen. Soweit die DS-VO also einen bestimmten Sachverhalt bereits eindeutig adressiert, sind in diesem Kontext geschaffene nationale Regelungen grundsätzlich unanwendbar (sog. Anwendungsvorrang). Gleichsam muss das sog. Normwiederholungsverbot beachtet werden, welches es dem nationalen Gesetzgeber grundsätzlich verbietet, europäische Regelungen lediglich wortidentisch zu wiederholen.

Eine Ausnahme hiervon bilden jedoch sog. Öffnungsklauseln. Durch diesen Mechanismus ist es dem nationalen Gesetzgeber – im jeweils hierfür vorgesehenen Umfang – möglich, eigenständige Regelungen zu einer Materie zu erlassen, welche eigentlich ein bereits in sich abgeschlossenes Regelwerk darstellt. Der Mechanismus wurde insbesondere im Zusammenhang mit dem Beschäftigtendatenschutz in die DS-GVO übernommen, da insoweit einige Unterschiede in den jeweiligen Mitgliedsstaaten vorherrschen.

Die bereits angesprochene Öffnungsklausel des Art. 88 Abs. 1 DS-GVO ermöglicht es dem nationalen Gesetzgeber daher „spezifischere Regelungen“ im Beschäftigtendatenschutz zu erlassen. Dies wird in Art. 88 Abs. 2 DS-GVO dahingehend konkretisiert, als diese Regelungen gewissen Mindestanforderungen entsprechen müssen, etwa indem geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen sowie der Grundrechte der betroffenen Person vorgesehen werden. Zudem müssen die entsprechenden Regelungen „spezifischer“ sein, was insbesondere eine reine Wiederholung der Vorgaben der DS-GVO verbietet.

Der deutsche Gesetzgeber hat die vorgenannte Öffnungsklausel insoweit genutzt, als er die bereits vor Inkrafttreten der DS-GVO vorgesehene Vorschrift im alten Bundesdatenschutzgesetz nahezu wortidentisch in die Regelung des § 26 Abs. 1 S. 1 BDSG neu überführt hat. Hiernach dürfen personenbezogene Daten von Beschäftigten verarbeitet werden, sofern dies für die Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses erforderlich ist. Wortgleiche Regelungen sind ebenfalls teilweise in den Landesdatenschutzgesetzen der einzelnen Bundesländer enthalten.

Die Frage, die sich der EuGH nunmehr – im konkreten Fall auf den hessischen Beschäftigtendatenschutz bezogen – stellen musste, war, welche konkreten Anforderungen durch die Regelung des Art. 88 DS-GVO aufgestellt werden. Gleichsam sollte der EuGH darüber befinden, wie im Falle des Fehlens dieser Anforderungen weiter zu verfahren ist.

Der EuGH hat nunmehr mit eindeutigen Worten klargestellt, dass Generalklauseln im Beschäftigtendatenschutz unanwendbar sind, da diese keine spezifischeren Regelungen im Sinne des Art. 88 Abs. 1 DS-GVO darstellen. Die Regelung des § 26 Abs. 1 S. 1 BDSG – sowie vergleichbare Regelungen in den Landesdatenschutzgesetzen – sind daher künftig nicht mehr geeignet, die Verarbeitung personenbezogener Daten im Beschäftigungskontext abzubilden. Weder heben sich diese Regelungen in gesonderter Weise von der allgemeinen Regelung des Art. 6 Abs. 1 lit. b) DS-GVO ab, noch werden die besonderen Anforderungen des Art. 88 Abs. 2 DS-GVO entsprechend umgesetzt.

Welche Auswirkungen hat die Entscheidung auf die Praxis?

Für Unternehmen und Arbeitgeber bedeutet dies, dass künftig – soweit es um die „klassischen“ Verarbeitungsprozesse im Beschäftigungsverhältnis geht –  auf die Regelungen der DS-GVO zurückgegriffen werden muss. So ist eine Verarbeitung personenbezogener Daten auch weiterhin zulässig, soweit diese gemäß Art. 6 Abs. 1 lit. b) DS-GVO zur Erfüllung eines Vertrags – etwa dem Arbeitsvertrag – erforderlich ist. Soweit die Erforderlichkeit im Einzelfall jedoch nicht als gegebenen angesehen werden kann, muss – sofern keine Einwilligung der Beschäftigten eingeholt wird – mitunter auf die Interessenabwägungsklausel des Art. 6 Abs. 1 lit. f) DS-GVO zurückgegriffen werden. Während sich hierbei in der Überzahl der praktisch bedeutsamen Fälle wohl keine größeren Neuerungen auftun, müssen jedoch insbesondere die Arbeitsgerichte einen Teil ihres Einflusses auf den Beschäftigtendatenschutz aufgeben. Während zuvor in arbeitsrechtlichen Streitigkeiten lediglich die Norm des § 26 Abs. 1 S. 1 BDSG ausgelegt werden musste, handelt es sich nunmehr um die Auslegung und Anwendung unmittelbar europarechtlicher Regelungen, was ggf. zu einer Vorlage beim EuGH führen kann, bzw. muss. Insgesamt ist daher davon auszugehen, dass eine stärkere Vereinheitlichung des Beschäftigtendatenschutzes erfolgen wird.

Angemerkt sei an dieser Stelle jedoch ausdrücklich, dass derzeit unklar ist, wie sich die o.g. Entscheidung des EuGH auf die weiteren Absätze in § 26 BDSG auswirkt. Während die Regelung des § 26 Abs. 1 S. 2 BDSG – aufgrund deren Kontext im Zusammenhang mit der Aufdeckung von Straftaten – ggf. als noch spezifisch genug angesehen werden kann, wird insbesondere auch die Regelung des § 26 Abs. 3 BDSG eine wesentliche Rolle in der Diskussion spielen. Die vorstehende Regelung lässt die Verarbeitung besonderer Kategorien personenbezogener Daten im Beschäftigungsverhältnis zu und kann wohl (auch) auf die Öffnungsklausel des Art. 9 Abs. 2 lit. b) DS-GVO gestützt werden. Auch werden in § 26 Abs. 3 S. 2 i.V.m. § 22 Abs. 2 BDSG spezifische Maßnahmen für eben diesen Verarbeitungskontext aufgestellt. Weiterhin möglich bleibt ebenfalls das Einholen einer datenschutzrechtlichen Einwilligung sowie die in § 26 Abs. 4 BDSG vorgesehene Möglichkeit zur Schaffung beschäftigungsspezifischer Regelungen in einer Betriebsvereinbarung.

Die Entscheidung des EuGH rüttelt den deutschen Beschäftigtendatenschutz dennoch zumindest einmal gründlich durch. Dies ist auch insoweit nichts neues, als die Datenschutzkonferenz (DSK) bereits mit Entschließung vom 29. April 2022 angeführt hat, dass § 26 BDSG „nicht hinreichend praktikabel, normenklar und sachgerecht“ sei.

Praxishinweis

Die vorstehenden Ausführungen sind in weiten Teilen natürlich dogmatischer Natur, da diese auf eine Vielzahl der Verarbeitungsvorgänge keine praktisch spürbaren Auswirkungen entfalten. Soweit eine Datenverarbeitung zu Zwecken der Durchführung des Beschäftigungsverhältnisses nicht hinweg gedacht werden kann, wird diese auch weiterhin zulässig bleiben. Dennoch sollten Unternehmen die Entscheidung des EuGH ernst nehmen, da sich diese an vermeintlich unwichtigen Stellschrauben dennoch bemerkbar machen wird.

Praktisch bedeutsam sind insoweit insbesondere Datenschutzhinweise gemäß Art. 13 DS-GVO, welche sowohl im Beschäftigungsverhältnis als auch im Bewerberprozess den betroffenen Personen zur Verfügung gestellt werden müssen. Diese sollten zumindest mittelfristig dahingehend angepasst werden, als primär die in der DS-GVO vorgesehenen Rechtsgrundlagen anzugeben sind. Ob daneben weiterhin (auch) die Vorschrift des § 26 BDSG – etwa zu Klarstellungszwecken – angeführt wird, ist wohl eine Geschmacksfrage. Obgleich die Entscheidung des EuGH nicht ausdrücklich die Anwendbarkeit des § 26 BDSG adressiert, können die dort getroffenen Ausführungen nur schwerlich ignoriert werden. Ratsam ist es daher, zumindest primär die einschlägigen Vorschriften der DS-GVO zu benennen, insbesondere um auch etwaige „Fehler“ beim Auffinden der nunmehr einschlägigen Rechtsgrundlage möglichst frühzeitig zu umgehen.

Bis der deutsche Gesetzgeber auf das Urteil des EuGH reagiert hat, müssen Unternehmen nunmehr eine Umstellung der einschlägigen Rechtsgrundlagen zur DS-GVO vornehmen. Für konzernweit tätige Unternehmen kann dies ggf. sogar mit einer Erleichterung einhergehen, da weniger nationale Besonderheiten beachtet werden müssen.

Für Fragen jedweder Art im Kontext des Beschäftigungsdatenschutzes stehen wir gerne zur Verfügung und kommen gerne auch mit einer konkreten Handlungsempfehlung auf Sie zu.