Die Verarbeitung personenbezogener Beschäftigtendaten ohne gültige Generalklausel - Arbeitsrechtliche Konsequenzen aus dem EuGH-Urteil v. 30.3.2023 (Zhou/Wybitul, ArbRB 2023, 240)

Die Entscheidung des EuGH vom 30.3.2023 (C-34/21) wirft erhebliche Zweifel daran auf, ob § 26 Abs. 1 Satz 1 BDSG als zentrale Rechtsgrundlage für die Verarbeitung personenbezogener Beschäftigtendaten Bestand haben kann. Die Autoren gehen auf die Folgen der Entscheidung für den Beschäftigtendatenschutz ein. Sie beschreiben zudem – basierend auf den ersten Stellungnahmen der Datenschutzaufsichtsbehörden – konkrete Maßnahmen, die Arbeitgeber zur Verringerung von Risiken ergreifen können.

I. (Bisherige) Generalklausel
II. Entscheidung des EuGH
III. Folgen für den Beschäftigtendatenschutz
1. Ermittlung alternativer Rechtsgrundlagen
a) Erfüllung eines Vertrags
b) Erfüllung einer rechtlichen Verpflichtung
c) Berechtigtes Interesse
d) Kollektivvereinbarungen
2. Anpassung von Datenschutzinformationen
IV. Fazit und Ausblick


I. (Bisherige) Generalklausel
Die DSGVO enthält zahlreiche Öffnungsklauseln, die es den Mitgliedstaaten erlauben, für bestimmte Situationen nationale Vorschriften zu erlassen. Hierzu gehört Art. 88 DSGVO, nach dem die Mitgliedstaaten unter bestimmten Voraussetzungen spezifischere Vorschriften im Beschäftigungskontext erlassen können.

Der deutsche Gesetzgeber hat im Zuge der Neufassung des BDSG als zentrale Rechtsgrundlage für die Verarbeitung personenbezogener Daten im Beschäftigungskontext die Regelung in § 26 Abs. 1 Satz 1 BDSG geschaffen. Das BAG war bislang der Ansicht, dass diese Norm mit Art. 88 DSGVO vereinbar ist, und hat keine Veranlassung gesehen, § 26 Abs. 1 Satz 1 BDSG dem EuGH vorzulegen.

Diese Auffassung dürfte mit der Entscheidung des EuGH vom 30.3.2023 (Rs. C-34/21) nicht mehr aufrechtzuerhalten sein. In diesem Vorabentscheidungsverfahren beschäftigte sich der EuGH mit einer fast identisch lautenden Vorschrift für Datenverarbeitungen im Beamtenkontext, die den Vorgaben des Art. 88 DSGVO nach der Wertung der EuGH-Richter nicht entsprechen dürfte.

II. Entscheidung des EuGH
Der Entscheidung des EuGH vom 30.3.2023 (Rs. C-34/21) liegt ein Vorabentscheidungsersuchen gem. Art. 267 AEUV des VG Wiesbaden zugrunde:

Es ging um die Frage, ob § 23 Abs. 1 Satz 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG) bzw. § 86 Abs. 4 Satz 1 des Hessischen Beamtengesetzes (HBG) spezifischere Vorschriften i.S.d. Art. 88 Abs. 1 DSGVO sind. Bei den beiden Normen handelt es sich um Rechtsgrundlagen für die Verarbeitung personenbezogener Daten von Beamten sowie im öffentlichen Dienst beschäftigten Arbeitnehmern. Ihr Wortlaut deckt sich mit dem des § 26 Abs. 1 Satz 1 BDSG.

Der EuGH stellt in seiner Entscheidung klar, dass sich spezifischere Vorschriften i.S.d. Art. 88 Abs. 1 DSGVO nicht auf eine bloße Wiederholung der Bestimmungen der DSGVO beschränken dürfen. Zudem müssen die Vorgaben des Art. 88 Abs. 2 DSGVO eingehalten werden, die den Schutz der Rechte und Freiheiten der Beschäftigten sicherstellen sollen. Eine Vorschrift, die die Voraussetzungen des Art. 88 Abs. 1 und 2 DSGVO nicht einhalte, dürfe nicht mehr angewendet werden.

III. Folgen für den Beschäftigtendatenschutz
Der EuGH entscheidet in Vorabentscheidungsverfahren nur über abstrakte Rechtsfragen und legt im Rahmen dessen die Vorschriften des europäischen Rechts aus. Nun liegt es am nationalen Gericht, die vom EuGH aufgestellten Kriterien auf den Einzelfall anzuwenden. Es ist es wahrscheinlich, dass...