Beschäftigtendatenschutz: Anpassung der Datenschutzhinweise erforderlich

1. Ausgangslage

In § 26 Abs. 1 S. 1 Bundesdatenschutzgesetz (BDSG) heißt es:

„Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist.“

Seit Jahren wird in der Literatur argumentiert, dass diese nationale Generalklausel nicht im Einklang mit der Datenschutzgrundverordnung (DS-GVO) steht. Bislang sind diese Zweifel von der Rechtsprechung des Bundesarbeitsgerichts beiseite gewischt worden. Nun hat das hessische Verwaltungsgericht für eine – indirekte – Klärung durch den Europäischen Gerichtshof (EuGH) gesorgt.

So war im Rahmen eines personalvertretungsrechtlichen Verfahrens vor dem Verwaltungsgericht Wiesbaden streitig, ob die Datenverarbeitung bei Livestream-Unterricht in der Corona-Zeit von der hessischen Generalklausel gedeckt ist, die wortgleich mit der vorstehenden Generalklausel ist. Eine Einwilligung zur Datenverarbeitung seitens der Lehrkräfte lag nicht vor, sodass die Datenverarbeitung auf diese Generalklausel gestützt wurde. Das Verwaltungsgericht legte diese Frage dem EuGH zur Entscheidung vor.

Aufgrund der in Art. 88 Abs. 1 DS-GVO verankerten Öffnungsklausel ist der Weg für die Ausgestaltung der Datenverarbeitung im Beschäftigtenkontext durch nationale Vorschriften zwar grundsätzlich frei. Es ist dabei allerdings nicht ausreichend, wenn die nationalen Vorschriften lediglich die Voraussetzungen des Art. 88 Abs. 2 DS-GVO wiederholen, vielmehr müssen sie spezifisch ausgestaltet sein. Der EuGH stellte fest, dass die Vorschrift im Hessischen Datenschutz- und Informationsfreiheitsgesetz diesen Anforderungen nicht genügt und damit nicht mehr anzuwenden ist. Sie konnte daher nicht als Grundlage für die Datenverarbeitung der betroffenen Lehrkräfte herhalten.

2. Auswirkungen

Da die Vorschrift im Hessischen Datenschutz- und Informationsfreiheitsgesetz der Regelung in § 26 Abs. 1 S. 1 BDSG entspricht, ist auch Letztere nicht mehr anzuwenden. Es bleibt vorerst abzuwarten, wie der Gesetzgeber auf diese Entscheidung reagiert.

Unabhängig davon kann die Verarbeitung personenbezogener Beschäftigtendaten nach Art. 6 Abs. 1 lit. b, c und f DSGVO rechtmäßig sein. Arbeitgeber sollten daher kurzfristig tätig werden und ihre datenschutzrechtlichen Dokumentationen (Verarbeitungsverzeichnisse, Einwilligungstexte und Datenschutzhinweise) entsprechend anpassen.

 

Quelle: EuGH, Urteil vom 30.03.2023 – C 34/21