Rechtsgrundlagen bei Beschäftigtendaten – FAQ zum EuGH-Urteil vom 30. März 2023 – C‑34/21

1. Worum ging es in dem Urteil?

In dem Urteil wurden Vorfragen zu der Frage beantwortet, ob § 23 Abs. 1 Satz 1 Hessisches Datenschutz- und Informationsfreiheitsgesetz (HDSIG) anwendbar ist, wenn Lehrerinnen und Lehrer des hessischen Schuldienstes zum Halten von Unterricht per Videokonferenz verpflichtet werden.

Diese Vorschrift lautet:

„Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung, Beendigung oder Abwicklung sowie zur Durchführung innerdienstlicher planerischer, organisatorischer, sozialer und personeller Maßnahmen erforderlich ist.“

Da die DS-GVO den Schutz personenbezogener Daten in ihrem Anwendungsbereich grundsätzlich abschließend regelt, dürfen die Mitgliedsstaaten nationale Vorschriften zum Datenschutz nur erlassen, wenn sie durch Ausnahmeregelung von der DS-GVO hierzu ermächtigt werden. Entsprechende Erlaubnisse in der DS-GVO werden als Öffnungsklauseln bezeichnet. Art. 88 Abs. 1 DS-GVO enthält eine solche Öffnungsklausel für den Bereich des Beschäftigtendatenschutzes. Um die Voraussetzungen dieser Öffnungsklausel zu erfüllen, müssen die nationalen Vorschriften – wie sich aus dem Wortlaut des Art. 88 Abs. 1 DS-GVO ergibt – gegenüber den allgemeinen Regelungen der DS-GVO für Datenverarbeitungen „spezifischer“ sein. Der Wortlaut spricht dafür, dass sie auch die Anforderungen des Art. 88 Abs. 2 DS-GVO erfüllen müssen. Sie müssen geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz.

Das Verwaltungsgericht Wiesbaden bezweifelte, dass die Vorschrift des § 23 Abs. 1 Satz 1 HDSIG den Vorgaben des Art. 88 DS-GVO genügt. Es stellte dem EuGH daher die Frage, ob Vorschriften, die die Anforderungen des Art. 88 Abs. 2 DS-GVO nicht erfüllen, trotzdem auf die Öffnungsklausel des Art. 88 Abs. 1 DS-GVO gestützt werden können. Außerdem wollte es wissen, ob solche Vorschriften angewendet werden können, auch wenn sie (offensichtlich) die Anforderungen des Art. 88 DS-GVO nicht erfüllen.

Der EuGH entschied mit Urteil vom 30. März 2023 – C‑34/21 -, dass Vorschriften, welche die Voraussetzungen des Art. 88 Abs. 1 und 2 DS-GVO nicht beachten, nicht auf die Öffnungsklausel des Art. 88 Abs. 1 DS-GVO gestützt werden können. Sie sind unanwendbar, sofern nicht eine andere Öffnungsklausel einschlägig ist.

Ob Vorschriften wie § 23 Abs. 1 Satz 1 HDSIG den Voraussetzungen des Art. 88 DS-GVO genügen oder aufgrund anderer Öffnungsklauseln gelten, hat der EuGH nicht entschieden, sondern der Entscheidung des zuständigen Verwaltungsgerichts überlassen. Es lässt sich dem Urteil jedoch die Tendenz entnehmen, dass Vorschriften, die nur verlangen, dass eine Datenverarbeitung zur Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich ist, nicht den Anforderungen des Art. 88 DS-GVO entsprechen. Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO erlaubt bereits Datenverarbeitungen, die zur Durchführung von vorvertraglichen Maßnahmen, die auf Anfrage der betroffenen Person erfolgen, oder für die Erfüllung eines Vertrags mit der betroffenen Person erforderlich sind. Der EuGH hat klargestellt, dass Vorschriften zum Beschäftigtendatenschutz, welche nur Anforderungen wiederholen, die die DS-GVO für sämtliche Datenverarbeitungen aufstellt, oder auf diese verweisen, keine spezifischeren Vorschriften im Sinne des Art. 88 Abs. 1 DS-GVO sind. Sie enthalten auch keine besonderen Maßnahmen zum Schutz der Beschäftigten nach Art. 88 Abs. 2 DS-GVO.

2. Welche Folgerungen ergeben sich aus dem EuGH-Urteil?

Das EuGH-Urteil gewinnt über die Rechtslage in Hessen hinaus Bedeutung, da auch andere Vorschriften zum Beschäftigtendatenschutz Datenverarbeitungen für die Zwecke des Beschäftigungsverhältnisses erlauben, ohne weitere Anforderungen aufzustellen. Dies sind namentlich die Vorschriften in § 26 Abs. 1 Satz 1 Bundesdatenschutzgesetz (BDSG) für Unternehmen, in § 15 Abs. 1 Satz 1 Landesdatenschutzgesetz (LDSG) für öffentliche Stellen im Land Baden-Württemberg und in § 83 Abs. 1 Satz 1 Landesbeamtengesetz (LBG) für die Verarbeitung von Personalaktendaten durch den Dienstherrn bzw. Arbeitgeber der Beamten und Arbeitnehmer im öffentlichen Dienst in Baden-Württemberg. Diese Generalklauseln genügen wie § 23 Abs. 1 Satz 1 HDSIG damit sehr wahrscheinlich nicht den Anforderungen des Art. 88 DS-GVO. Dies heißt aber nicht automatisch, dass die Vorschriften auch unanwendbar sind (dazu unter Frage 3).

Nicht von dem Urteil betroffen sind die übrigen Teile von § 26 BDSG, § 15 LDSG und § 83 LBG sowie sonstige konkrete Regelungen für bestimmte Verarbeitungen von Beschäftigtendaten (wie zum Beispiel die Regelung zur Information über eine bestehende Arbeitsunfähigkeit und deren Nachweis in § 5 Entgeltfortzahlungsgesetz und § 109 Sozialgesetzbuch IV). Ob diese die von Art. 88 Abs. 2 DS-GVO geforderten geeigneten und besonderen Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person enthalten, ist für jede Vorschrift einzeln zu beurteilen (dazu näher unter Frage 5).

3. Gelten § 26 Abs. 1 Satz 1 BDSG, § 15 Abs. 1 Satz 1 LDSG und § 83 Abs. 1 Satz 1 LBG nicht mehr?

Diese Frage ist noch nicht durch die Rechtsprechung entschieden. Vollständige Rechtssicherheit wird daher erst deren weitere Entwicklung bringen.

Aufgrund des Vorrangs der europarechtlichen Vorschriften sind die genannten Normen unanwendbar, wenn sie nicht den Voraussetzungen einer der Öffnungsklauseln der DS-GVO genügen. Nach den Ausführungen des EuGH liegt es – wie ausgeführt – zwar nahe, dass Generalklauseln wie § 26 Abs. 1 Satz 1 BDSG, § 15 Abs. 1 Satz 1 LDSG und § 83 Abs. 1 Satz 1 LBG nicht auf die Öffnungsklausel des Art. 88 Abs. 1 DS-GVO gestützt werden können. Der EuGH hat jedoch ausdrücklich darauf hingewiesen, dass solche Vorschriften möglicherweise auf die Öffnungsklausel des Art. 6 Abs. 3 DS-GVO gestützt werden können.

Die Öffnungsklausel des Art. 6 Abs. 3 DS-GVO gilt allerdings nur für die Fälle des Art. 6 Abs. 1 Satz 1 Buchstaben c und e DS-GVO. Ein Fall von Art. 6 Abs. 1 Satz 1 Buchstabe c DS-GVO liegt hier jedoch nicht vor: Die Regelung aus Art. 6 Abs. 1 Satz 1 Buchstabe c DS-GVO betrifft Datenverarbeitungen zur Erfüllung einer rechtlichen Pflicht. Die Generalklauseln aus § 26 Abs. 1 Satz 1 BDSG, § 15 Abs. 1 Satz 1 LDSG und § 83 Abs. 1 Satz 1 LBG verpflichten den Arbeitgeber nicht zur Verarbeitung der Daten seiner Beschäftigten. Sie gestatten diese lediglich.

Damit wären § 26 Abs. 1 Satz 1 BDSG, § 15 Abs. 1 Satz 1 LDSG und § 83 Abs. 1 Satz 1 LBG nur für Datenverarbeitungen anwendbar, die, wie von Art. 6 Abs. 1 Satz 1 Buchstabe e DS-GVO vorgesehen, im öffentlichen Interesse liegen oder in Ausübung öffentlicher Gewalt erfolgen, die dem Verantwortlichen übertragen wurde. Dies trifft auf die Verarbeitung von Beschäftigtendaten durch nichtbeliehene private Arbeitgeber für Zwecke des Beschäftigungsverhältnisses nicht zu, so dass § 26 Abs. 1 Satz 1 BDSG wohl unanwendbar sein dürfte. Bei der Verarbeitung der personenbezogenen Daten von Beschäftigten und Beamten durch öffentliche Stellen ist dagegen ein öffentliches Interesse an einem funktionierenden Staatsdienst zu bejahen. Außerdem erfolgt die Tätigkeit der Arbeitnehmer und Beamten im öffentlichen Dienst in Ausübung öffentlicher Gewalt bzw. in öffentlichem Interesse, sodass die zur Ausübung der Tätigkeit erforderlichen Verarbeitungen der Daten der Beschäftigten – zumindest mittelbar – ebenfalls zu diesem Zweck stattfinden.

Art. 6 Abs. 3 DS-GVO verlangt nach seinem Wortlaut – anders als Art. 88 Abs. 1 DS-GVO und Art. 6 Abs. 2 DS-GVO – keine „spezifischeren Vorschriften“ oder „Bestimmungen“. Anders als Art. 6 Abs. 2 DS-GVO „können“ die Mitgliedsstaaten solche spezifischen Regelungen nach Art. 6 Abs. 3 Satz 3 DS-GVO treffen, sind hierzu jedoch nicht verpflichtet. Auch wenn das Verhältnis von Art. 6 Abs. 2 DS-GVO und Art. 6 Abs. 3 DS-GVO nicht abschließend geklärt ist, dürfte es somit auf Grund des Wortlauts sowie der Ausführungen des EuGH ausreichend sein, wenn die auf Grundlage des Art. 6 Abs. 3 DS-GVO erlassenen Normen den Zweck der Datenverarbeitung angeben, ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen. Wenn der EuGH anderer Auffassung gewesen wäre, hätte er in dem Urteil vom 30. März 2023 – C-34/21 – Art. 6 Abs. 3 DS-GVO nicht als mögliche Öffnungsklausel für die seiner Auffassung nach nicht spezifischeren nationalen Regelungen genannt. Mit Blick hierauf vermag der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg zum derzeitigen Zeitpunkt – vorbehaltlich der weiteren Entwicklungen – nicht zu der Überzeugung zu gelangen, dass die Vorschriften der § 15 Abs. 1 Satz 1 LDSG und § 83 Abs. 1 Satz 1 LBG nicht auf Art. 6 Abs. 1 Satz 1 Buchstabe e DS-GVO gestützt werden können. Wir gehen daher bis auf weiteres davon aus, dass diese Normen des nationalen Rechts weiter angewendet werden können (s. dazu näher unter Frage 6).

4. Auf welcher Grundlage können Unternehmen in Zukunft die Daten ihrer Beschäftigten für die Zwecke des Beschäftigungsverhältnisses verarbeiten?

Wie oben dargestellt, kann zum aktuellen Zeitpunkt noch nicht sicher davon ausgegangen werden, dass § 26 Abs. 1 Satz 1 BDSG unanwendbar ist. Dies ist jedoch wahrscheinlich. Unternehmen sollten sich jedenfalls der Tatsache bewusst sein, dass § 26 Abs. 1 Satz 1 BDSG keine Datenverarbeitungen legitimieren kann, die nicht bereits nach Art. 6 Abs. 1 Satz 1 DS-GVO zulässig sind. An dieser Vorschrift ist nach der Rechtsprechung des EuGH jede Verarbeitung personenbezogener Daten zu messen, auch Datenverarbeitungen im Beschäftigungskontext (s. Rn. 68 ff. des Urteils des EuGH vom 30. März 2023 – C‑34/21). Für Unternehmen handelt es sich bei Datenverarbeitungen im Beschäftigungskontext in der Regel um Datenverarbeitungen zur Erfüllung des mit der betroffenen Person geschlossenen Arbeitsvertrags nach Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO, s. hierzu unter Frage 5. Dies gilt für Verarbeitungen von Beschäftigtendaten, die bislang auf die Generalklausel des § 26 Abs. 1 Satz 1 BDSG gestützt worden sind. Diese können zukünftig unmittelbar auf Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO gestützt werden. Verarbeitungen, die bereits aktuell auf andere Grundlagen, wie Art. 6 Abs. 1 Satz 1 Buchstabe c DS-GVO oder § 26 Abs. 1 Satz 2 BDSG gestützt worden sind, werden auch weiterhin durch diese legitimiert. Im Übrigen können Unternehmen grundsätzlich – bei Datenverarbeitungen außerhalb des Anwendungsbereich des Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO – auf Art. 6 Abs. 1 Satz 1 Buchstabe f DS-GVO zurückgreifen.

Auf Bundesebene besteht eine Gesetzesinitiative zur Erstellung eines Beschäftigtendatenschutzgesetzes, das den Anforderungen der neuen EuGH-Rechtsprechung entsprechen soll. In das Gesetzgebungsverfahren bringt sich auch die Datenschutzkonferenz aktiv ein, der die Datenschutzaufsichtsbehörden des Bundes und der Länder angehören, siehe https://datenschutzkonferenz-online.de/media/en/2023-05-11_DSK-Entschliessung_Beschaeftigtendatenschutz.pdf.

5. Für welche Datenverarbeitungen im Beschäftigungsverhältnis wenden Unternehmen Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO an und für welche Datenverarbeitungen andere Rechtsgrundlagen?

Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO umfasst die Datenverarbeitungen, die unmittelbar mit der Durchführung des Arbeitsvertrages zusammenhängen und für diese erforderlich sind. Beispiele sind Datenverarbeitungen zur Lohnabrechnung, zur Wahrnehmung arbeitsvertraglicher Nebenpflichten wie der Fürsorgepflicht, zum Treffen arbeitsrechtlicher Maßnahmen oder zur Ausübung des Weisungsrechts des Arbeitgebers. Auch Datenverarbeitungen, die es den Arbeitnehmern ermöglichen, ihre vertraglich geschuldete Tätigkeit zu erbringen, können auf Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO gestützt werden. Datenverarbeitungen, die auf einer gesetzlichen Pflicht des Arbeitgebers beruhen, z.B. Mitteilungspflichten gegenüber dem Finanzamt oder Sozialleistungsträgern, haben weiterhin ihre Grundlage in Art. 6 Abs. 1 Satz 1 Buchstabe c DS-GVO i.V.m. der entsprechenden Norm aus dem nationalen Recht oder Unionsrecht. Für Verarbeitungen von Beschäftigtendaten, die nicht der Durchführung des Arbeitsvertrags, sondern sonstigen Interessen des Arbeitgebers dienen, ist vorbehaltlich einer positiven Interessenabwägung Art. 6 Abs. 1 Satz 1 Buchstabe f DS-GVO heranzuziehen. Generell gilt, dass Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO für Datenverarbeitungen einschlägig ist, die bisher auf § 26 Abs. 1 Satz 1 BDSG gestützt werden konnten, und Verarbeitungen, die bislang auf anderen Rechtsgrundlagen beruhten, auch weiterhin auf diese gestützt werden können. Insoweit würden sich für die Frage der Rechtmäßigkeit einer Datenverarbeitung im Beschäftigtenkontext durch eine mögliche Nichtanwendbarkeit der nationalen Generalklausel des § 26 Abs. 1 Satz 1 BDSG erst einmal keine Veränderungen ergeben (s. näher zu den Auswirkungen unter Frage 8).

6. Auf welcher Grundlage können öffentliche Stellen in Baden-Württemberg in Zukunft die Daten ihrer Beschäftigten für die Zwecke des Beschäftigungsverhältnisses verarbeiten?

15 Abs. 1 Satz 1 LDSG kann weiter angewendet werden, bis geklärt ist, ob diese Norm auf eine Öffnungsklausel gestützt werden kann. Bei Beamten ist Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO nicht anwendbar, da das Beamtenverhältnis nicht auf einem Vertrag beruht. Es wird durch eine Ernennung begründet. Eine Datenverarbeitung durch öffentliche Stellen kann auch nicht durch eine Interessenabwägung nach Art. 6 Abs. 1 Satz 1 Buchstabe f DS-GVO gerechtfertigt werden, s. Art. 6 Abs. 1 Satz 2 DS-GVO. Damit bleibt als einzige Grundlage neben Art. 6 Abs. 1 Satz 1 Buchstabe c DS-GVO noch Art. 6 Abs. 1 Satz 1 Buchstabe e DS-GVO. Der EuGH hält es im Urteil vom 30. März 2023 – C‑34/21 – explizit für möglich, dass Datenverarbeitungen zu Zwecken des Beschäftigungsverhältnisses auf Art. 6 Abs. 1 Satz 1 Buchstabe e DS-GVO gestützt werden können. Hierfür ist eine Rechtsgrundlage im Recht der Union oder der Mitgliedsstaaten nach Art. 6 Abs. 3 DS-GVO erforderlich. Eine solche kann, wie unter Frage 3 dargestellt, in § 15 Abs. 1 Satz 1 LDSG gesehen werden. Bei Personen, die auf der Grundlage eines Arbeitsvertrags beschäftigt werden, können auch öffentliche Stellen die zur Durchführung des Arbeitsvertrags notwendigen Datenverarbeitungen auf Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO stützen.

7. Auf welcher Rechtsgrundlage können in Zukunft Bewerberdaten zur Durchführung des Bewerbungsverfahrens verarbeitet werden?

Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO gestattet die Datenverarbeitung nicht nur zur Erfüllung eines Vertrags, sondern auch zur Durchführung vorvertraglicher Maßnahmen, die auf Anfrage der betroffenen Person erfolgen. Sofern es auf den Abschluss eines Arbeitsvertrags gerichtet ist, ist das Bewerbungsverfahren eine solche vorvertragliche Maßnahme, die der Vertragsanbahnung dient und auf Anfrage des Bewerbers erfolgt. Nähere Informationen dazu, welche Daten konkret im Bewerbungsverfahren verarbeitet werden dürfen, finden sich im Ratgeber Beschäftigtendatenschutz, 4. Aufl. 2020, S. 24 ff., abrufbar unter https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2020/04/Ratgeber-Beschäftigtendatenschutz.pdf. Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO ist auch dann einschlägig, wenn das Bewerbungsverfahren letztlich nicht zum Abschluss eines Arbeitsvertrages führt.

Bei Bewerbungsverfahren im Rahmen eines öffentlich-rechtlichen Dienst- oder Arbeitsverhältnisses kann Art. 6 Abs. 1 Satz 1 Buchstabe e DS-GVO i. V. m. § 15 Abs. 1 Satz 1 LDSG herangezogen werden. Außerhalb eines Beamtenverhältnisses kommt daneben auch Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO als Rechtsgrundlage in Betracht.

8. Was hat sich jetzt eigentlich durch das Urteil geändert?

Nachdem jede Datenverarbeitung im Beschäftigtenverhältnis sowieso an Art. 6 Abs. 1 Satz 1 DS-GVO zu messen ist und § 26 Abs. 1 Satz 1 BDSG, § 15 Abs. 1 Satz 1 LDSG und § 83 Abs. 1 Satz 1 LBG spezielle Ausprägungen der dort genannten Nummern sind, ergeben sich keine inhaltlichen Änderungen, wenn solche Datenverarbeitungen in Zukunft direkt auf Art. 6 Abs. 1 Satz 1 DS-GVO gestützt werden (müssen). Sieht man die genannten Vorschriften als bloße Wiederholungen des Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO an, die keine spezifischen Regelungen treffen, haben diese von Vornherein keine über die Vorschriften des Art. 6 Abs. 1 DS-GVO hinausgehende Regelungswirkung. Sie können unangewendet bleiben, ohne dass es für die Frage, ob eine bestimmte Datenverarbeitung zulässig ist, hierauf ankommt.

Jedoch ist zu berücksichtigen, dass eine Vielzahl von Normen der DS-GVO vom Verantwortlichen eine Angabe der Rechtsgrundlage der Datenverarbeitung verlangen. So muss nach Art. 13 Abs. 1 Buchstabe c DS-GVO und Art. 14 Abs. 1 Buchstabe c DS-GVO die Rechtsgrundlage der Datenverarbeitung der betroffenen Person mitgeteilt werden. Auch der Nachweis nach Art. 5 Abs. 2 DS-GVO i.V.m. Art. 5 Abs. 1 Nr. 1 DS-GVO, personenbezogene Daten rechtmäßig verarbeitet zu haben, setzt die Angabe der Rechtsgrundlage der Datenverarbeitung voraus. Entsprechende Vorlagen und Verzeichnisse sollten bereits jetzt aktualisiert werden, um klarzustellen, dass die Verarbeitung nicht (nur) auf Grundlage von § 26 Abs. 1 Satz 1 BDSG erfolgt, sondern auch auf eine der in Art. 6 Abs. 1 Satz 1 DS-GVO aufgezählten Varianten – insbesondere auf Art. 6 Abs. 1 Buchstabe b DS-GVO – gestützt wird.

Außerdem steht der Gesetzgeber auf Bundes- sowie Landesebene in der Verantwortung, für konkrete Verarbeitungskonstellationen spezifischere Vorschriften zum Beschäftigtendatenschutz zu schaffen, die den Anforderungen des Art. 88 DS-GVO genügen.