Daten von Beschäftigten sind personenbezogene Daten und eröffnen somit den Geltungsbereich der Datenschutzgrundverordnung (DS-GVO). Diese enthält einen Artikel, der sich dem Thema „Datenverarbeitung im Beschäftigungskontext“ widmet: Art. 88 DS-GVO.
Hierbei handelt sich jedoch nicht um konkrete Regeln, sondern vielmehr um eine Öffnungsklausel. Durch diese Öffnungsklausel werden die einzelnen Mitgliedstaaten zur eigenständigen Gestaltung des Beschäftigtendatenschutzes, mit einigen Vorgaben durch die EU-Kommission (Art. 88 Abs. 1 – 3 DS-GVO), angehalten.
Der deutsche Gesetzgeber hat diese Öffnungsklausel sodann (versucht,) im § 26 BDSG (Bundesdatenschutzgesetz) umzusetzen.
Seit nunmehr 5 Jahren (seit Inkrafttreten der DS-GVO) war der § 26 BDSG die einzige deutsche Regelung zum Beschäftigtendatenschutz. Ende März 2023 hat der Europäische Gerichtshof (EUGH) dem § 26 BDSG jedoch einen Strich durch die Rechnung gemacht.
Zum Hintergrund:
Lehrer in Hessen haben geklagt, dass zwar die Eltern von Schülern - im Zuge der durch Corona nötigen Durchführung des Videounterrichts - nach ihrer Einwilligung gefragt wurden, die Lehrer jedoch nicht.
Das Land Hessen vertrat die Ansicht, dass dies von den Datenschutzregelungen gedeckt sei – hier konkret § 23 Abs. 1. S. 1 des hessischen Datenschutzgesetzes - welcher wortgleich dem besagten § 26 Abs. 1 S. 1 BDSG entspricht. Da das zuständige Gericht dies nicht beantworten konnte, wurde die Frage an den EUGH weitergegeben.
Der EUGH sieht den zweiten Absatz der Öffnungsklausel (Art. 88 DS-GVO) nicht gewahrt, was darauf schließen lässt, dass unsere bisherige Rechtsgrundlage für die Datenverarbeitung von Mitarbeitern (§26 BDSG) europarechtswidrig sein dürfte.
Der Grund ist, dass dieser Paragraf nicht spezifisch genug ist, da er keine „besondere Maßnahmen zur Wahrung der menschlichen Würde, berechtigten Interessen und der Grundrechte der betroffenen Person[en]“ umfasst“ (vgl. Art. 88 Abs. 2 DS-GVO). Vielmehr wiederholt der § 26 BDSG lediglich die bereits in der DS-GVO aufgestellten Bedingungen für eine Rechtmäßigkeit der Datenverarbeitung, ohne spezifischere Vorschriften zu ergänzen.
Fazit
Mit dem vorliegenden Urteil dürfte der zuvor häufig genutzte § 26 BDSG für die Verarbeitung von Personaldaten künftig wegfallen. Nun ist der deutsche Gesetzgeber am Zug, den betroffenen Paragrafen auszubessern. Die Konsequenzen für die Unternehmen in Deutschland dürften dagegen überschaubar sein, denn für die Verarbeitung von personenbezogenen Daten im Beschäftigtenverhältnis hält auch die DSGVO verschiedene Rechtsgrundlagen bereit.
In der Regel dürfte dies konkret der Art. 6 Abs. 1 lit. b DS-GVO sein (Datenverarbeitung, die zur Durchführung des Beschäftigungsverhältnisses erforderlich ist), wobei auch andere Rechtsgrundlagen im Zusammenhang mit der Verarbeitung von Mitarbeiterdaten möglich sind. Unternehmen sollten nun also prüfen, auf welcher Rechtsgrundlage Personaldaten verarbeitet wurden und müssen ggf. die Datenschutzinformationen und das Verzeichnis der Verarbeitungstätigkeiten (VVT) anpassen. Im Rahmen des Websitechecks können wir Sie hierbei gerne unterstützen.
Katrin Dahmen
