Der europäische Gerichtshof hat in der Rechtssache C-34/21 interessante Aussagen zum Datenschutz im Dienst- und Arbeitsverhältnis getätigt. Rechtsdogmatisch werden diese zu berücksichtigen sein – die Auswirkungen Praxis dürften sich aber in Grenzen halten.
Hintergrund.
Gegenstand des Verfahrens sind Fragen der Verarbeitung von personenbezogenen Daten im Zusammenhang mit der Durchführung von Videokonferenzen im Rahmen von Schulunterricht. Während von teilnehmenden Schulkindern eine Einwilligung eingeholt wurde, berief man sich gegenüber den Lehrkräften auf eine Verarbeitung im Rahmen des Beschäftigungs- bzw. Dienstverhältnisses.
Dem EuGH wurde im Zuge des nationalen Gerichtsverfahrens die Frage vorgelegt, ob die nationalen Regelungen in die Kategorie „spezifischeren Vorschriften“ im Sinne des Art. 88 DSGVO falle oder nicht. Primär relevant war § 23 des hessischen Datenschutz- und Informationsfreiheitsgesetzes. Dieser ähnelt in seinem Inhalt dem § 26 Bundesdatenschutzgesetz, der Bundesnorm zur Verarbeitung personenbezogenen Daten im Beschäftigungsverhältnis. das Verwaltungsgericht hatte Zweifel, ob die Regelungen mit den Vorgaben des Art. 88 DSGVO vereinbar sind.
Entscheidung des EuGH.
Vorab stellte der EuGH wenig überraschend fest, dass Livestreams im Schulunterricht eine Verarbeitung von personenbezogenen Daten auch der Lehrkräfte darstellt. Dies muss auf Basis einer Rechtsgrundlage geschehen.
Zur Rechtsgrundlage dieser Verarbeitung entschied der EuGH, dass diese nur dann auf die nationalen, deutschen Regelungen wie § 26 BDSG gestützt werden könne, wenn diese über eine bloße Wiederholung der Regelung des Art. 88 Abs. 1 DSGVO hinausgehe.
Wenn dem so ist, müsse die Vorschrift zudem in einem zweiten Schritt auch den Anforderungen des Art. 88 Abs. 2 DSG VO entsprechen. Es müssten also geeignete und besondere Maßnahmen enthalten sein zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz.
Ob beides für die nationalen Rechtsgrundlagen, etwa § 26 BDSG vorliegt, müsse das nationale Gericht prüfen.
Folgen der Entscheidung.
Es bleibt abzuwarten, wie die Entscheidung des EuGH in der deutschen Rechtssprechungspraxis aufgenommen wird. Bisher ging etwa das Bundesarbeitsgericht davon aus, dass § 26 BDSG „derart offenkundig“ eine speziellere Vorschrift des Art. 88 DSGVO sei, „dass für vernünftige Zweifel kein Raum bleibt“ (vgl. BAG, Beschluss vom 07.05.2019 - 1 ABR 53/17). Diese Überzeugung wird nun zumindest einmal hinterfragt werden müssen.
Sollte das nationale Gericht zu der Erkenntnis gelangen, dass die nationalen Regelungen wie § 26 BDSG keine solche speziellere Vorschrift im Sinne des Art. 88 DSGVO sind, dürfte es einerseits § 26 BDSG nicht weiter anwenden. Eine Verarbeitung von personenbezogenen Daten könnte nicht weiter auf § 26 BDSG gestützt werden.
Große praktische Auswirkungen hätte dies dennoch nicht: Eine Verarbeitung von personenbezogenen Daten im Beschäftigungs- oder im Dienstverhältnis wird regelmäßig weiterhin zulässig sein, sie müsste fortan aber unmittelbar auf die Regelungen der DSGVO, insbesondere auf die Art. 88, 5 und 6 DSGVO gestützt werden.
Bereits jetzt gilt in jedem Fall, dass bei der Gestaltung von Vereinbarungen oder der Prüfung rechtlicher Möglichkeiten im Rahmen der Dienst- oder Arbeitsverhältnisse neben den nationalen Ermächtigungsgrundlagen stets auch die einschlägigen Regelungen der DSGVO mit in den Blick genommen und konkret auch zitiert werden sollten.
Markus Söding ist im Arbeitsrechtsressort unserer Sozietät tätig. Er berät national sowie international tätige Unternehmen in allen Fragestellung des individuellen und kollektiven Arbeitsrechts, inklusive angrenzender Rechtsgebiete, wie denen des Sozialrechts.
