Der Europäische Gerichtshof (EuGH) hat eine Entscheidung zu § 23 Abs. 1 S. 1 Hessische Datenschutz- und Informationsfreiheitsgesetz (HDSIG) gefällt. Diese Vorschrift entspricht § 26 des BDSG und ist deshalb für die Anwendung der Regelung demnächst zu beachten.
Zunächst sind für das Beschäftigungsverhältnis die Regelungen des Art. 88 DS-GVO anzuwenden. Diese Vorschrift enthält aber eine Öffnungsklausel, die es nationalen Gesetzgebern erlaubt, spezifischere Vorschriften für die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis zu erlassen. Der deutsche Gesetzgeber hat dies mit der Einführung von § 26 BDSG getan. Bislang ist das Bundesarbeitsgericht auch davon ausgegangen, dass § 26 BDSG mit der DS-GVO konform geht:
„Die richtige Anwendung des Unionsrechts ist insoweit derart offenkundig, dass für vernünftige Zweifel kein Raum bleibt. Auch die bisherigen fachgerichtlichen Instanzentscheidungen sowie das datenschutz- und arbeitsrechtliche Schrifttum stellen so gut wie einhellig nicht infrage, dass der nationale Gesetzgeber von der Öffnungsklausel des Art. 88 DS-GVO in zulässiger Weise Gebrauch gemacht hat.“
Das Verwaltungsgericht hatte diesbezüglich jedoch Zweifel und legte dem EuGH ein Vorabentscheidungsverlangen vor. Das Gericht fragt, ob eine Vorschrift auch dann als eine spezifischere Vorschrift i. S. d. DS-GVO anerkannt werden kann, wenn die Voraussetzungen des Art. 88 Abs. 2 nicht erfüllt sind. Danach muss diese spezifische Vorschrift gemäß Art. 88 Abs. 2 DS-GVO geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen enthalten.
Der EuGH stellt dazu fest:
„(Es) ergibt sich aus dem Wortlaut von Art. 88 DS-GVO, dass dessen Abs. 2 dem Ermessen der Mitgliedstaaten, die den Erlass „spezifischerer Vorschriften“ nach Abs. 1 dieses Artikels beabsichtigen, einen Rahmen setzt. So dürfen sich diese Vorschriften zum einen nicht auf eine Wiederholung der Bestimmungen der DS-GVO beschränken, sondern müssen auf den Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext abzielen und geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen.“
Damit entspricht § 23 Abs. 1 HDSIG nicht den Anforderungen an eine „spezifischere Vorschrift“ gem. Art. 88 Abs. 1. Entgegen der Rechtsansicht des BAG dürfte dies damit auch für den gleichlautenden § 26 BDSG gelten.
Schon im Vorgriff auf diese mögliche Antwort hatte das Verwaltungsgericht Wiesbaden gefragt, ob eine solche Norm, die den Anforderungen an Art. 88 Abs. 2 DS-GVO nicht genügt, anwendbar bleiben kann. Die klare Antwort des EuGHs: Nein!
Diese Entscheidung mag zunächst dramatisch klingen, die praktische Relevanz ist jedoch überschaubar.
Regelmäßig werden als bestehende gesetzliche Ermächtigungsgrundlagen Art. 6 Abs. 1 lit. b DS-GVO (Datenverarbeitung zur Erfüllung eines Vertrages) oder Art. 6 Abs. 1 lit. f DS-GVO (berechtigtes Interesse) ausreichen. Nicht zuletzt wird die Einwilligungsvariante nach Art. 6 Abs. 1 lit. a DS-GVO auch hier zur Verfügung.
Auswirkungen im Anwendungsbereich des KDG
Für die Verarbeitung personenbezogener Daten für Zwecke des Beschäftigungsverhältnisses gem. § 53 KDG hat diese Entscheidung keine Auswirkungen. Diese Vorschrift leitet sich nicht aus der Öffnungsklause des Art. 88 DS-GVO ab. Die kirchliche Regelung hat ihre Berechtigung aufgrund des in Art. 91 DS-GVO geregelten Rechts der Kirchen und Religionsgemeinschaften eigene Datenschutzreglungen fortzuführen, wenn diese mit der DS-GVO in Einklang stehen. Dies ist im Hinblick auf diese Vorschrift der Fall, da die Regelungen des § 53 KDG den Wertungen der DS-GVO, wie sie sich aus Art. 6 DS-GVO ergeben entsprechen.
Weitere Informationen/Quellen:
BAG 07.05.2019 - 1 ABR 53/17
EuGH 30.03.2023 – C-34/21 Rn. 65
EuGH 30.03.2023 – C-34/21 Rn. 89