EuGH zur Datenverarbeitung im Beschäftigungsverhältnis: Mussten Lehrer in den Online-Unter­richt ein­wil­ligen?

Die Regelung in § 26 Abs. 1 Bundesdatenschutzgesetz (BDSG) zur Datenverarbeitung in Beschäftigungsverhältnissen ist womöglich nicht mit den Regelungen der Datenschutzgrundverordnung (DSGVO) vereinbar. Dies geht aus einer Entscheidung des Europäischen Gerichtshofs (EuGH) vom Donnerstag hervor (Urt. v. 30.03.2023, Az. C-34/21).

Hintergrund der Entscheidung ist ein Fall aus Hessen. Dort wurde im Zuge der Corona-Pandemie in Schulen ein Livestream-Unterricht durch Videokonferenzsysteme eingeführt. Die Eltern der Kinder bzw. die volljährigen Schüler mussten für diese Datenverarbeitung ihre Einwilligung erteilen. Die Lehrerinnen und Lehrer wurden dagegen nicht gefragt. Grund dafür war § 23 Abs. 1 S. 1 des hessischen Datenschutzgesetzes (HDSIG), der dem § 26 Abs. 1 S. 1 BGSD wortgleich entspricht. Nach den Regelungen dürfen personenbezogene Daten von Beschäftigten z.B. dann verarbeitet werden, wenn dies für die Begründung oder Durchführung des Beschäftigungsverhältnisses erforderlich ist. Einer Einwilligung bedarf es dann also nicht mehr. 

Zur Datenverarbeitung im Beschäftigungskontext macht auch die DSGVO Vorgaben. Art. 88 Abs. 1 DSGVO regelt, dass die Mitgliedstaaten "spezifischere Vorschriften" hinsichtlich einer solchen Datenverarbeitung vorsehen können. Die nationalen Regelungen müssen nach Art. 88 Abs. 2 DSGVO "angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person" umfassen.

Wo ist die "spezifischere" Vorschrift?

Der Hauptpersonalrat der Lehrerinnen und Lehrer hatte wegen des Streaming-Unterrichts geklagt und gerügt, dass das Lehrpersonal nicht nach einer Einwilligung gefragt wurde. Das Land Hessen vertrat aber die Ansicht, dass der Livestream-Unterricht von den nationalen Regelungen gedeckt sei. Das mit dem Fall beschäftigte Verwaltungsgericht (VG) Wiesbaden hatte Zweifel, ob die deutschen Regelungen als "spezifischere Vorschriften" im Sinne von Art. 88 DSGVO anzusehen sind, und legte die Sache dem EuGH vor. 

Das Luxemburger Gericht entschied nun, dass der Livestream-Unterricht in den sachlichen Anwendungsbereich der DSGVO fällt. Daneben führte das Gericht aus, dass eine "spezifischere Norm" i.S.d. Art. 88 DSGVO nicht bloß die Bestimmungen der DSGVO wiederholen dürfe. Von einer "spezifischeren Norm" sei stattdessen nur dann auszugehen, wenn diese die Vorgaben des Absatzes 2 erfüllt, also "besondere Maßnahmen zur Wahrung der menschlichen Würde, berechtigten Interessen und der Grundrechte der betroffenen Person[en]" umfasst.

Nationale Bestimmungen, die die Datenverarbeitung davon abhängig machen, dass diese zu bestimmten Zwecken im Zusammenhang mit der Durchführung eines Beschäftigungs- bzw. Dienstverhältnisses erforderlich sein muss (hier also § 26 Abs. 1 BDSG), "scheinen jedoch die bereits in der DSGVO aufgestellte Bedingung für die allgemeine Rechtmäßigkeit zu wiederholen, ohne eine spezifischere Vorschrift im Sinne von Art 88 Abs. 1 DSGVO hinzuzufügen", so der EuGH.

Urteil ist "schallende Ohrfeige für den Gesetzgeber"

Ob die Voraussetzungen des Art. 88 DSGVO eingehalten sind und das Land entsprechend darauf verzichten konnte, die Zustimmung der Lehrerinnen und Lehrer zum Livestream-Unterricht einzuholen, muss nun das VG auf Grundlage der EuGH-Entscheidung beurteilen. Dieses war allerdings schon im Vorlagebeschluss der Ansicht, dass § 23 HDSIG und § 26 BDSG jeglichen Bezug zu Art. 88 Abs. 2 DSGVO vermissen lassen, es sich bei diesen beiden deutschen Normen also nicht um spezifischere Vorschriften handelt.

Interessant ist dabei auch, dass das Bundesarbeitsgericht (BAG) in der Vergangenheit keine Probleme mit § 26 BDSG hatte und von einer Vereinbarkeit mit Art. 88 DSGVO auch ohne Vorlage an den EuGH ausgegangen ist. Die richtige Anwendung des Unionsrechts sei "derart offenkundig, dass für vernünftige Zweifel kein Raum bleibt (acte clair)", so das BAG noch im Jahr 2019 (Beschl. v. 07.05.2019, Az. 1 ABR 53/17). Laut dem Beschluss stellen auch die bisherige Instanzrechtsprechung und die Literatur "so gut wie einhellig nicht infrage, dass der nationale Gesetzgeber von der Öffnungsklausel des Art. 88 DSGVO in zulässiger Weise Gebrauch gemacht hat". 

Es bleibt abzuwarten, wie das VG nun mit den Hinweisen aus Luxemburg verfährt. Der EuGH gab den VG noch mit, dass die nationalen Normen nicht anzuwenden sind, sollten sie gegen die Voraussetzungen von Art. 88 DSGVO verstoßen. Dann müsste das VG aber noch prüfen, ob die Normen eine Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO darstellen. Dies wäre der Fall, wenn die Rechtsgrundlage den Zweck der Datenverarbeitung festlegt und für die Erfüllung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolg.  

*Ganz so klar, wie das BAG die Sache sieht, ist sie offenbar doch nicht. Sebastian Dienst, Associated Partner im Münchener Büro von Noerr und Mitglied der Praxisgruppe Datenschutz, spricht gegenüber LTO von einem "Urteil mit Sprengkraft mit erheblichen Auswirkungen auf die Praxis". "§ 26 BDSG ist in der Praxis zumindest nach Auffassung des BAG und auch der deutschen Datenschutzbehörden die zentrale Rechtsgrundlage, wenn es um Datenverarbeitung im Beschäftigungsverhältnis geht. Ohne die vom BAG in die Norm weit über ihren Wortlaut hinaus im Sinne einer unionsrechtkonformen Auslegung hineininterpretierte Verhältnismäßigkeitsprüfung wäre die Regelung aber schon vor Anwendung der DSGVO wohl kaum haltbar gewesen", sagt Dienst. "Die Entscheidung des EuGH ist eine schallende Ohrfeige für den Gesetzgeber. Zwar ist nun das vorlegende Gericht am Zug, der EuGH lässt aber klar durchblicken, dass er die deutschen Vorschriften zum Beschäftigtendatenschutz selbst wohl nicht mit den Vorgaben von Art. 88 DSGVO für vereinbar hielte".
 
Die deutschen Datenschutzbehörden hatten sich zuletzt im April 2022 dafür ausgesprochen, ein eigenständiges Beschäftigtendatenschutzgesetz zu schaffen. "Passiert ist seitdem jedoch noch nichts. Der deutsche Gesetzgeber drückt sich weiter vor einer vernünftigen und rechtsicheren Regelung des Beschäftigtendatenschutzes", so Dienst. Unternehmen, die sich bei der Datenverarbeitung im Beschäftigtenverhältnis bislang auf § 26 BDSG verlassen, rät Dienst, möglichst rasch zu prüfen, welche alternativen Rechtsgrundlagen sie ihrer Datenverarbeitung im Beschäftigungskontext künftig gegebenenfalls stattdessen zu Grunde legen können. 

*Absätze eingefügt am Tag der Veröffentlichung, 22:16 Uhr