Deutschland hat „spezifischere Vorschriften“ erlassen
Der deutsche Gesetzgeber hat von dieser Öffnungsklausel Gebrauch gemacht und in Paragraph 26 des Bundesdatenschutzgesetzes (BDSG) „spezifischere Vorschriften“ erlassen.
Hier heißt es: „Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder (…) für dessen Durchführung oder Beendigung (…) erforderlich ist.“
Datenschützer fordern Beschäftigtendatenschutzgesetz
Diese Regelung bezeichnet die Konferenz der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) in ihrer Entschließung vom April 2022 als „nicht hinreichend praktikabel, normenklar und sachgerecht“– und fordert deshalb ein eigenständiges Beschäftigtendatenschutzgesetz.
Konkreter Fall aus Hessen führt zum Urteil
Ein solches Beschäftigtendatenschutzgesetz hätte wohl auch im konkreten Fall in Hessen geholfen, mit dem sich der Europäische Gerichtshof nun befasst hat.
Laut einem Bericht von datenschutznotizen.de wurde in einer öffentlichen Schule in Hessen während der Corona-Pandemie ein „Livestream-Unterricht per Videokonferenz“ eingeführt. Vorab hätten zwar die Eltern der Kinder und die volljährigen Schüler eine Einwilligung zur Datenverarbeitung erteilen müssen, für Lehrer sei eine solche Einwilligung aber nicht vorgesehen gewesen. Der Hauptpersonalrat habe deshalb Klage beim Verwaltungsgericht Wiesbaden eingereicht – und dieses habe das Verfahren an den Europäischen Gerichtshof weitergegeben.
Keine „spezifischere Vorschrift“ im Sinne von Artikel 88 DSGVO
Der Europäische Gerichtshof erklärt in seinem Urteil in der Rechtssache C-34/21:
„Art. 88 (…) ist dahin auszulegen, dass eine nationale Rechtsvorschrift keine ‚spezifischere Vorschrift‘ im Sinne von Abs. 1 dieses Artikels sein kann, wenn sie nicht die Vorgaben von Abs. 2 dieses Artikels erfüllt.“
Dieser Absatz 2 regelt, dass die „spezifischeren Vorschriften“ Regelungen „zur Wahrung der menschlichen Würde“ und „der berechtigten Interessen und der Grundrechte der betroffenen Person“ vorsehen müssen.
Das ist laut EuGH bei der hessischen Regelung zum Beschäftigtendatenschutz nicht der Fall. Nach Einschätzung vieler Juristen lässt sich dieses kritische Urteil auch auf die nahezu identischen Regelungen zum Beschäftigtendatenschutz im Bundesdatenschutzgesetz übertragen.
Datenschutz in der Personalabteilung
E-Learning-Kurs, um DSGVO-konform zu schulen
Die DSGVO und vor allem das BDSG stellen Beschäftigtendaten unter besonderen Schutz. Schaffen Sie grundlegendes Verständnis und kommen Sie der Schulungspflicht aus Art. 39 Abs. 1 Buchst. a DSGVO nach.
- Zeit sparen, Organisationsaufwand minimieren
- Völlig flexibel, zeit- und ortsunabhängig schulen
- Schulungsnachweis durch Abschlusstest und Teilnahmezertifikat
Mehr Informationen:
- Urteil des EuGH vom 30. März 2023: https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:62021CJ0034&from=de
- Artikel 88 DSGVO: https://dsgvo-gesetz.de/art-88-dsgvo/
- Paragraph 26 BDSG: https://dsgvo-gesetz.de/bdsg/26-bdsg/
- DSK-Entschließung vom 29. April 2022: https://datenschutzkonferenz-online.de/media/en/Entschliessung_Forderungen_zum_Beschaeftigtendatenschutz.pdf
- Bericht in datenschutznotizen.de am 6. April 2023: https://www.datenschutz-notizen.de/eugh-zur-anwendbarkeit-des-nationalen-beschaeftigtendatenschutzrechts-5841743/
