Aus für Betriebsvereinbarung als Grundlage für Datenverarbeitung?

Wiederholungen reichen nicht

Der Europäische Gerichtshof (EuGH) hat in seinem Urteil vom 30. März 2023 die Anforderungen an den nationalen Datenschutz konkretisiert. Die im Hinblick auf die Datenverarbeitung im Beschäftigungskontext bestehenden Generalklauseln müssen wegen Europarechtswidrigkeit als unanwendbar eingestuft werden.

Über die Öffnungsklausel des Art. 88 DS-GVO haben die Mitgliedstaaten zwar die Möglichkeit, speziellere Regelungen und Erfordernisse festzulegen, die bei der Verarbeitung von personenbezogenen Daten im Rahmen von Beschäftigungsverhältnissen einzuhalten sind. Wenn von dieser Befugnis jedoch Gebrauch gemacht wird, dann müssen auch konkrete, „spezifischere“ Vorschriften geschaffen werden, die dem Schutz der Rechte und Freiheiten im Beschäftigungskontext dienen und besondere Maßnahmen umfassen. Eine reine Wiederholung von allgemeinen datenschutzrechtlichen Grundprinzipien reicht hingegen nicht, da diese ohnehin immer zu beachten sind.

Werden lediglich die allgemeinen Grundsätze des Art. 5 und Art. 6 DS-GVO innerhalb einer nationalen Generalklausel wiederholt, sind die Voraussetzungen der Öffnungsklausel des Art. 88 Abs. 1 und 2 DS-GVO nicht erfüllt.

Erklärtes Ziel der DS-GVO ist es, das Datenschutzniveau und die Sicherung der Rechte und Freiheiten innerhalb der Mitgliedstaaten zu vereinheitlichen. Mit dieser Zielsetzung bricht der Art. 88 DS-GVO und nimmt bewusst in Kauf, dass die Mitgliedstaaten durch die Schaffung von Sondervorschriften im Beschäftigungskontext im begrenzten Rahmen von der begehrten Harmonisierung abweichen. Dieser Bruch soll aber nur in Ausnahmefällen hinnehmbar sein und nur dann, wenn die geschaffenen Sondervorschriften konkrete Maßnahmen zur Wahrung der menschlichen Würde und Grundrechte der betroffenen Personen enthalten. Folglich müssen sie sich dann aber auch von den allgemeinen Regeln der DS-GVO unterscheiden. Insbesondere ist mit Blick auf die Transparenz und die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe vorzugehen und diesbezügliche Vorgaben zu machen.

Wenn die nationale Vorschrift den Anforderungen des Art. 88 DS-GVO nicht gerecht wird, muss sie unanwendbar bleiben.

Unanwendbarkeit von § 26 Abs. 1 BDSG

Die Entscheidung des EuGH erging zwar in der Sache zum § 23 Abs. 1 Satz 1 Hessisches Datenschutz- und Informationsfreiheitsgesetz (HDSIG), dieser ist jedoch mit § 26 Abs. 1 BDSG praktisch identisch. Da § 26 Abs. 1 BDSG im Wesentlichen allgemeine Grundprinzipien der DS-GVO wiedergibt, ohne eigenständige Regelungen zu enthalten, muss vor dem Hintergrund der obengenannten Grundsätze auch von der Unanwendbarkeit des § 26 Abs. 1 BDSG ausgegangen werden.

Praxishinweis

Für die Praxis drohen zunächst keine größeren Auswirkungen, da sich die Verarbeitung von personenbezogenen Daten im Rahmen von Beschäftigungsverhältnissen bei einer Unanwendbarkeit des § 26 Abs. 1 BDSG regelmäßig nach Art. 6 DS-GVO begründen lässt. Insbesondere die Rechtsgrundlagen der Vertragserfüllung und der Interessenabwägung sind im Art. 6 DS-GVO ebenso enthalten, sodass § 26 Abs. 1 BDSG damit ersetzt werden kann.