EuGH, Urt. 30.3.2023 - C-34/21
Beschäftigtendatenschutz: § 26 Abs. 1 Satz 1 BDSG nicht DSGVO-konform
Autor: RA FAArbR Dr. Detlef Grimm, Loschelder Rechtsanwälte, Köln
Aus: Arbeits-Rechtsberater, Heft 05/2023
Aus: Arbeits-Rechtsberater, Heft 05/2023
Um eine „spezifischere Vorschrift“ zum Beschäftigtendatenschutz i.S.v. Art. 88 Abs. 1 DSGVO zu sein, die die Mitgliedstaaten vorsehen können, muss eine nationale Rechtsvorschrift die Vorgaben von Art. 88 Abs. 2 DSGVO erfüllen.Erfüllt die Rechtsvorschrift die Voraussetzungen des Art. 88 Abs. 2 DSGVO nicht, muss sie unangewendet bleiben, es sei denn, sie stellt eine Rechtsgrundlage i.S.v. Art. 6 Abs. 3 DSGVO dar, die den Anforderungen dieser Verordnung genügt.
DSGVO Art. 88 Abs. 1 u. 2, Art. 6; HDSIG § 23 Abs. 1 Satz 1; BDSG § 26 Abs. 1 Satz 1
Anlass war die Einführung von Livestream-Unterricht in Schulen und die Frage, ob die Datenverarbeitung durch § 23 Abs. 1 Satz 1 HDSIG gedeckt ist. Der Generalanwalt beim EuGH hatte in seinem Schlussantrag am 22.9.2022 die Ansicht geäußert, dass § 23 Abs. 1 Satz 1 HDSIG nicht auf Art. 88 Abs. 1 DSGVO gestützt werden könne, weil es sich nicht um eine spezifische Vorschrift handele (dazu EuGH, Urt. v. 22.9.2022 – C-34/21, ArbRB 2022, 300 [Grimm]).
Um eine „spezifischere Vorschrift“ i.S.v. Art. 88 Abs. 1 DSGVO darzustellen, müsse eine Rechtsvorschrift daher die inhaltlichen Vorgaben von Art. 88 Abs. 2 DSGVO erfüllen.
§ 23 Abs. 1 HDSIG mache die Verarbeitung personenbezogener Daten nur davon abhängig, dass diese zu bestimmten Zwecken erforderlich sei, und wiederhole damit lediglich die in Art. 6 Abs. 1 Unterabs. 1 lit. b DSGVO aufgestellte Bedingung. Die Vorschrift erfülle daher nicht die Voraussetzungen von Art. 88 Abs. 2 DSGVO und sei keine spezifische Vorschrift.
DSGVO Art. 88 Abs. 1 u. 2, Art. 6; HDSIG § 23 Abs. 1 Satz 1; BDSG § 26 Abs. 1 Satz 1
Das Problem
Im Rahmen eines personalvertretungsrechtlichen Verfahrens hat das VG Wiesbaden dem EuGH die Frage vorgelegt, ob es sich bei § 23 Abs. 1 Satz 1 HDSIG (Hessisches Datenschutz- und Informationsfreiheitsgesetz), der § 26 Abs. 1 Satz 1 BDSG entspricht, um eine spezifischere Vorschrift i.S.v. Art. 88 Abs. 2 DSGVO handelt. Nach Art. 88 Abs. 1 DSGVO können die Mitgliedstaaten der EU durch Rechtsvorschriften oder Kollektivvereinbarungen für die Datenverarbeitung im Beschäftigungskontext spezifischere Vorschriften nach Maßgabe des Art. 88 Abs. 2 DSGVO erlassen.Anlass war die Einführung von Livestream-Unterricht in Schulen und die Frage, ob die Datenverarbeitung durch § 23 Abs. 1 Satz 1 HDSIG gedeckt ist. Der Generalanwalt beim EuGH hatte in seinem Schlussantrag am 22.9.2022 die Ansicht geäußert, dass § 23 Abs. 1 Satz 1 HDSIG nicht auf Art. 88 Abs. 1 DSGVO gestützt werden könne, weil es sich nicht um eine spezifische Vorschrift handele (dazu EuGH, Urt. v. 22.9.2022 – C-34/21, ArbRB 2022, 300 [Grimm]).
Die Entscheidung des Gerichts
Der EuGH folgt dem Generalanwalt. Aus dem Wortlaut von Art. 88 DSGVO ergebe sich, dass dessen Abs. 2 dem Ermessen der Mitgliedstaaten beim Erlass „spezifischerer Vorschriften“ nach Abs. 1 einen Rahmen setze. Diese Vorschriften dürften sich insbesondere nicht auf eine Wiederholung der Bestimmungen der DSGVO beschränken.Um eine „spezifischere Vorschrift“ i.S.v. Art. 88 Abs. 1 DSGVO darzustellen, müsse eine Rechtsvorschrift daher die inhaltlichen Vorgaben von Art. 88 Abs. 2 DSGVO erfüllen.
§ 23 Abs. 1 HDSIG mache die Verarbeitung personenbezogener Daten nur davon abhängig, dass diese zu bestimmten Zwecken erforderlich sei, und wiederhole damit lediglich die in Art. 6 Abs. 1 Unterabs. 1 lit. b DSGVO aufgestellte Bedingung. Die Vorschrift erfülle daher nicht die Voraussetzungen von Art. 88 Abs. 2 DSGVO und sei keine spezifische Vorschrift.