§ 26 Abs. 1 Satz 1 Bundesdatenschutzgesetz (BDSG) ist eine zentrale Vorschrift im Beschäftigtendatenschutz. Ein Urteil des Europäischen Gerichtshofs (EuGH) vom 30.03.2023 (Az. C-34/21) und ein Urteil des BAG vom 09.05.2023 (Az. 1 ABR 14/22) haben diese Vorschrift jedoch auf den Prüfstand gestellt. Dieser Artikel erklärt, wann § 26 Abs. 1 Satz 1 BDSG jetzt noch anwendbar ist und welche alternativen Rechtsgrundlagen im betrieblichen Datenschutz relevant sind.
Der Fall vor dem EuGH
Der Fall, der zur Entscheidung des EuGH führte, spielte während der COVID-19-Pandemie. In dieser Zeit wurde der Schulunterricht via Videokonferenz eingeführt. Bei Videokonferenzen werden Daten verarbeitet. Eine solche Verarbeitung von Daten ist nach dem Datenschutzrecht nur rechtmäßig, wenn eine Rechtsgrundlage einschlägig ist. Solche Rechtsgrundlagen bieten das BDSG und die Datenschutz-Grundverordnung (DSGVO). Die Zulässigkeit der Datenverarbeitung der Lehrer stützte man in dem Fall vor dem EuGH auf § 23 Abs. 1 Satz 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG). Diese Norm entspricht dem § 26 Abs. 1 Satz 1 BDSG nahezu wortgleich. Der Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium klagte dagegen.
Die Entscheidung des EuGH
Im Gerichtsprozess musste der EuGH klären, unter welchen Voraussetzungen nationale Rechtsnormen im Beschäftigtendatenschutz anwendbar sind. Grundsätzlich genießt die DSGVO Anwendungsvorrang. Nationale Rechtsnormen wie § 23 HDSIG oder § 26 BDSG können also nur angewendet werden, wenn entweder ein Sachverhalt nicht durch die DSGVO geregelt wird oder wenn die DSGVO die Schaffung abweichender nationaler Rechtsvorschriften erlaubt.
Im Beschäftigtendatenschutz gestattet Art. 88 DSGVO die Schaffung spezifischerer nationaler Vorschriften. Auf dieser Öffnungsklausel beruhte auch § 23 Abs. 1 Satz 1 HDSIG. In seinem Urteil hat der EuGH nun entschieden, dass eine spezifischere Vorschrift nur vorliegt, wenn sich die Norm nicht auf eine Wiederholung der Bestimmungen der DSGVO beschränkt und gemäß Art. 88 Abs. 2 DSGVO geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen.
Der EuGH war zwar nicht dafür zuständig, zu klären, ob § 23 Abs. 1 Satz 1 HDSIG den Anforderungen entspricht; dies obliegt den nationalen Gerichten. Er deutete jedoch an, dass die Norm nicht spezifisch genug gegenüber Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO sei, sodass aufgrund des Anwendungsvorrangs die DSGVO grundsätzlich anzuwenden wäre.
Der EuGH betonte jedoch, dass eine nationale Norm nur über Art. 88 DSGVO unangewendet bleiben muss, wenn sie nicht als Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO dient und damit nicht den Anforderungen der DSGVO entspricht.
Der Fall vor dem BAG
Kurz nach dem Urteil des EuGH äußerte sich auch das BAG zu § 26 BDSG. In dem Prozess ging es um ein Auskunftsrecht des Betriebsrats und die Frage, ob datenschutzrechtliche Belange diesem Anspruch entgegenstehen.
Die Entscheidung des BAG
Das BAG bestätigte, dass § 26 Abs. 1 Satz 1 BDSG nicht den Voraussetzungen der Öffnungsklausel aus Art. 88 DSGVO entspricht – was nach dem Urteil des EuGH zu erwarten war.
Das Gericht führte jedoch ergänzend aus, dass § 26 Abs. 1 Satz 1 BDSG trotz der EuGH-Entscheidung anwendbar bleibt und eine Rechtsgrundlage für die Datenverarbeitung darstellt, soweit die Datenverarbeitung im Zusammenhang mit der Interessenvertretung betroffen ist. Entscheidend sei hierfür nicht Art. 88 Abs. 2 DSGVO, sondern die Öffnungsklausel aus Art. 6 Abs. 3 iVm Abs. 1 lit. c DSGVO. Diese sei deshalb einschlägig, da die Datenverarbeitung durch die Interessenvertretung einem im öffentlichen Interesse liegenden Ziel diene.
Ob auch die übrigen Tatbestände des § 26 Abs. 1 Satz 1 BDSG den Anforderungen von Art. 6 Abs. 3 DSGVO genügen, hat das BAG offen gelassen.
Fazit
Nach der Entscheidung des EuGH steht fest: § 26 Abs. 1 Satz 1 BDSG kann nicht mehr uneingeschränkt angewendet werden. Ob die DSGVO Anwendungsvorrang hat, muss nunmehr anhand der Vorgaben des EuGH geprüft werden.
Das BAG ist der Ansicht, dass nicht alle Bestimmungen des § 26 BDSG unanwendbar sind. Zumindest für den Fall der Datenverarbeitung im Zusammenhang mit der Interessenvertretung hat das BAG die Anwendbarkeit angenommen. Ob dies auch für weitere Tatbestände des § 26 Abs. 1 Satz 1 BDSG entschieden wird, bleibt abzuwarten.
Ein Beitrag von Rebekka Finnern, juristische Mitarbeiterin unserer Kanzlei, und Dieter Gräf, Rechtsanwalt und Fachanwalt für Arbeitsrecht.
