Aktuelle Kurz-Information 49: Bayerisches Personalaktenrecht und unionales Datenschutzrecht

Stichwörter: Öffnungsklausel, Art. 88 DSGVO - Personalaktenrecht, Art. 88 DSGVO - Personaldatenschutzrecht, Art. 88 DSGVO | Stand: 11. Juli 2023

Was sind die Kernaussagen dieser Aktuellen Kurz-Information?

Nach der aktuellen Rechtsprechung des Europäischen Gerichtshofs sollen nationale Regelungen zum Beschäftigtendatenschutz nur dann "spezifischere Vorschriften" im Sinne von Art. 88 DSGVO sein können, wenn sie für den Grundrechtsschutz betroffener Beschäftigter einen "echten Mehrwert" mit sich bringen.
Befugnisse zur Verarbeitung von Beschäftigtendaten im öffentlichen Dienst sollen alternativ auf Art. 6 Abs. 3 in Verbindung mit Art. 6 Abs. 1 UAbs. 1 Buchst. e DSGVO gestützt werden können.
Unmittelbare Auswirkungen auf das bayerische Personalaktenrecht ergeben sich zunächst nicht.

Ende März dieses Jahres hat der Europäische Gerichtshof eine vielbeachtete Entscheidung zum Beschäftigtendatenschutz getroffen. Gegenstand des Verfahrens waren Vorschriften des hessischen Landesrechts zur Verarbeitung von Beschäftigtendaten. Im Kern ging es dabei zunächst um die Frage, welche Anforderungen nationale Rechtsvorschriften erfüllen müssen, die auf Grundlage von Art. 88 Datenschutz-Grundverordnung (DSGVO) erlassen worden sind. Ferner hat der Gerichtshof dazu Stellung genommen, ob mitgliedstaatliche Regelungen, die hinter den Anforderungen dieser Vorschrift zurückbleiben, weiter angewendet werden können.

Der vorliegende Beitrag stellt zunächst Hintergrund und wesentliche Aussagen des Urteils dar. Anschließend widmet er sich der Frage, ob die Entscheidung des Europäischen Gerichtshofs auch Auswirkungen für das bayerische Personalaktenrecht hat.

1. Zum Hintergrund

Die Datenschutz-Grundverordnung gilt grundsätzlich unmittelbar in jedem Mitgliedstaat - und zwar auch im Bereich des Beschäftigtendatenschutzes. Allerdings räumt sie den nationalen Gesetzgebern verschiedene Regelungs- und Gestaltungsspielräume ein. Solche bestehen etwa bei der Verarbeitung personenbezogener Daten zur Wahrnehmung von Aufgaben, die im öffentlichen Interesse liegen (vgl. Art. 6 Abs. 1 UAbs. 1 Buchst. e, Abs. 2 und 3 DSGVO), aber auch, wenn es um die Verarbeitung von Beschäftigtendaten geht (Art. 88 DSGVO). Da der europäische Gesetzgeber mit der Datenschutz-Grundverordnung eigentlich eine Vollharmonisierung des Datenschutzrechts in Europa erreichen wollte, bestehen solche nationalen Gestaltungsspielräume nicht voraussetzungslos: Die in der Datenschutz-Grundverordnung enthaltenen "Öffnungsklauseln" formulieren vielmehr unterschiedliche Anforderungen an das auf ihrer Grundlage erlassene nationale Recht. So erlaubt Art. 88 Abs. 1 DSGVO als mitgliedstaatliches Recht (lediglich) "spezifischere Vorschriften", die den Schutz der Rechte und Freiheiten betroffener Personen bei der Verarbeitung von Beschäftigtendaten gewährleisten sollen. Art. 88 Abs. 2 DSGVO fordert in diesem Zusammenhang, dass solche Vorschriften "geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person" umfassen.

Im Bundesrecht ist § 26 Bundesdatenschutzgesetz (BDSG) die zentrale Norm für die Verarbeitung personenbezogener Daten im Beschäftigungskontext. Diese vom Bundesgesetzgeber auf Art. 88 DSGVO gestützte Vorschrift ist vor allem für Arbeitgeber und Beschäftigte in der Privatwirtschaft von Bedeutung. Für bayerische Dienstherren und öffentliche Arbeitgeber bestimmt sich die Zulässigkeit von Datenverarbeitungen im Beschäftigungskontext hingegen insbesondere nach Art. 103 ff. Bayerisches Beamtengesetz (BayBG) und § 50 Beamtenstatusgesetz. Für vertraglich im bayerischen öffentlichen Dienst Beschäftigte gelten diese Vorschriften grundsätzlich entsprechend (Art. 145 Abs. 2 BayBG).

2. Worum ging es in dem Verfahren?

Die Corona-Pandemie hat - wie viele öffentliche Stellen - auch die Schulen vor besondere Herausforderungen gestellt. Insbesondere war Präsenzunterricht nicht oder nur eingeschränkt möglich. Als Alternative wurde daher vielfach auf Distanzunterricht per Videokonferenz zurückgegriffen. Die damit zusammenhängende Verarbeitung personenbezogener Daten sowohl von Schülerinnen und Schülern als auch von Lehrkräften bedurfte freilich einer hinreichenden Rechtsgrundlage.

Mit zwei Erlassen im Jahr 2020 legte das Hessische Kultusministerium Rahmenbedingungen zum Schulunterricht während der Corona-Pandemie fest. Vorgesehen war dabei insbesondere, dass eine Zuschaltung von Schülerinnen und Schülern zum Unterricht per Videokonferenzdienst deren vorherige Einwilligung oder - bei Minderjährigen - die Einwilligung der Eltern voraussetzte. Für die Teilnahme der Lehrkräfte war ein solches Verfahren hingegen nicht vorgesehen; hier sollte nach Auffassung des Hessischen Kultusministeriums bereits § 23 Abs. 1 Satz 1 Hessisches Datenschutz- und Informationsfreiheitsgesetz (HDSIG) eine hinreichende Verarbeitungsbefugnis liefern. Nach dieser Vorschrift - die insoweit im Wesentlichen § 26 Abs. 1 Satz 1 BDSG entspricht - dürfen personenbezogene Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses unter anderem dann verarbeitet werden, wenn dies für die Durchführung des Beschäftigungsverhältnisses sowie zur Durchführung innerdienstlicher planerischer, organisatorischer, sozialer und personeller Maßnahmen erforderlich ist.

Der Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium erhob hiergegen Klage beim Verwaltungsgericht Wiesbaden. Dem Gericht kamen dabei Zweifel, ob § 23 Abs. 1 Satz 1 HDSIG sowie der alternativ als Rechtsgrundlage in Betracht gezogene - und in Teilen Art. 103 Abs. 1 Satz 1 Nr. 1 BayBG entsprechende - § 86 Abs. 4 Hessisches Beamtengesetz (HBG) mit den Anforderungen von Art. 88 Abs. 2 DSGVO vereinbar seien. Nach § 86 Abs. 4 Satz 1 HBG darf der Dienstherr unter anderem personenbezogene Daten über Beamtinnen und Beamte nur erheben, soweit dies zur Begründung, Durchführung, Beendigung oder Abwicklung des Dienstverhältnisses oder zur Durchführung organisatorischer, personeller und sozialer Maßnahmen, insbesondere auch zu Zwecken der Personalplanung und des Personaleinsatzes, erforderlich ist oder eine Rechtsvorschrift oder eine Dienstvereinbarung dies erlaubt.

Das Gericht beschloss daher, das Verfahren auszusetzen und dem Europäischen Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

Ist Art. 88 Abs. 1 DSGVO dahin auszulegen, dass eine Rechtsvorschrift, um eine spezifischere Vorschrift zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext im Sinne des Art. 88 Abs. 1 DSGVO zu sein, die an solche Vorschriften nach Art. 88 Abs. 2 DSGVO gestellten Anforderungen erfüllen muss?
Kann eine nationale Norm, wenn diese die Anforderungen nach Art. 88 Abs. 2 DSGVO offensichtlich nicht erfüllt, trotzdem noch anwendbar bleiben?

3. Was hat der Europäische Gerichtshof konkret entschieden?

Als "Vorfragen" prüft der Europäische Gerichtshof zunächst, ob die betreffenden Verarbeitungen personenbezogener Daten der Lehrkräfte überhaupt in den Anwendungsbereich der Datenschutz-Grundverordnung im Allgemeinen und des Art. 88 DSGVO im Speziellen fallen. Bei der letztgenannten Frage spielt insbesondere eine Rolle, ob die betroffenen Lehrkräfte als Angestellte oder Beamtinnen und Beamte im öffentlichen Dienst des Landes Hessen vom Beschäftigtenbegriff und dem Begriff des Beschäftigtenkontexts im Sinne von Art. 88 DSGVO erfasst sind. Diese "Vorfragen" bejaht der Gerichtshof jeweils.

Hinsichtlich der ersten Vorlagefrage kommt der Europäische Gerichtshof zu dem Ergebnis, dass "spezifischere Vorschriften" im Sinne von Art. 88 Abs. 1 DSGVO die Vorgaben von Art. 88 Abs. 2 DSGVO erfüllen müssen. Art. 88 DSGVO verlangt nach Auffassung des Gerichts demnach zweierlei:

Zum einen müssen "spezifischere Vorschriften" im Sinne von Art. 88 Abs. 1 DSGVO einen Regelungsgehalt aufweisen, der sich von den allgemeinen Vorgaben der Datenschutz-Grundverordnung unterscheidet. Nicht ausreichend ist es demnach insbesondere, wenn nationale Vorschriften, die auf Grundlage von Art. 88 DSGVO erlassen werden, lediglich die Rechtmäßigkeitsbedingungen nach Art. 6 DSGVO oder die Datenschutz-Grundsätze nach Art. 5 DSGVO wiederholen oder auf diese verweisen.
"Spezifischere Vorschriften" im Sinne von Art. 88 Abs. 1 DSGVO müssen ferner nach Art. 88 Abs. 2 DSGVO "auf den Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext abzielen und geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen."

Vereinfacht ausgedrückt könnte man sagen: Nationale Regelungen zum Beschäftigtendatenschutz sind nur dann "spezifischere Vorschriften" im Sinne von Art. 88 Abs. 1 DSGVO, wenn sie sowohl hinsichtlich ihres Regelungsgehalts als auch hinsichtlich des Schutzes der
(Grund-)Rechte und Freiheiten der betroffenen Beschäftigten einen "echten Mehrwert" mit sich bringen.

Was die zweite Vorlagefrage - und damit die Anwendbarkeit von nationalen Normen, welche die Anforderungen nach Art. 88 Abs. 2 DSGVO nicht erfüllen - betrifft, stellt der Gerichtshof im Ausgangspunkt zunächst fest, dass auf Grundlage von Öffnungsklauseln erlassene mitgliedstaatliche Rechtsvorschriften "nicht gegen den Inhalt und die Ziele der DSGVO verstoßen" dürfen. Ob § 23 Abs. 1 Satz 1 HDSIG und § 86 Abs. 4 HBG die Voraussetzungen und Grenzen des Art. 88 DSGVO tatsächlich beachten, entscheidet der Europäische Gerichtshof selbst jedoch nicht - dies sei, wie er betont, "Sache des für die Auslegung des nationalen Rechts allein zuständigen vorlegenden Gerichts". Gleichwohl bezweifelt der Gerichtshof im Folgenden recht deutlich, dass die genannten Vorschriften des hessischen Landesrechts zum Beschäftigtendatenschutz gegenüber den allgemeinen Regeln der Datenschutz-Grundverordnung den zuvor geforderten inhaltlichen Mehrwert aufweisen.

Aufgrund des Anwendungsvorrangs der Datenschutz-Grundverordnung müsste das vorlegende Gericht nationale Bestimmungen, welche seiner Ansicht nach gegen Voraussetzungen und Grenzen des Art. 88 DSGVO verstoßen, eigentlich unangewendet lassen. Da die gegenständliche Datenverarbeitung im Rahmen des öffentlichen Schulunterrichts und damit zur Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe erfolgt, bringt der Europäische Gerichtshof an dieser Stelle jedoch Art. 6 Abs. 1 UAbs. 1 Buchst. c und e, Abs. 3 DSGVO ins Spiel: Das vorlegende Gericht muss demnach gegebenenfalls auch prüfen, ob Vorschriften, welche die Anforderungen von Art. 88 DSGVO nicht erfüllen, als "Rechtsgrundlagen" im Sinne von Art. 6 Abs. 3 DSGVO gleichwohl weiter angewandt werden müssen. Dies kommt vorliegend insbesondere aus dem Grunde in Betracht, dass Art. 6 Abs. 3 Satz 3 DSGVO als "Kann"-Vorschrift formuliert ist. Im Unterschied zu Art. 88 Abs. 2 DSGVO führt die Norm keine obligatorischen, sondern fakultative Regelungsinhalte auf.

4. Welche Folgen ergeben sich aus dieser Entscheidung für das bayerische Personalaktenrecht?

Zunächst einmal keine unmittelbaren: Eine dem § 23 Abs. 1 Satz 1 HDSIG vergleichbare Regelung enthält das bayerische Landesrecht - anders als das Bundesrecht mit § 26 BDSG - nicht. Art. 103 Abs. 1 Satz 1 Nr. 1 BayBG ähnelt zwar § 86 Abs. 4 Satz 1 HBG (zu dessen Regelungsinhalt vgl. bereits Rn. 7), sodass für jene Vorschrift grundsätzlich zu prüfen wäre, ob sie eine spezifischere Vorschrift im Sinne von Art. 88 DSGVO darstellt. Zu beachten ist aber zum einen, dass sich das Urteil des Europäischen Gerichtshofs nur auf die hessische Rechtslage bezieht und zudem zur (Nicht-)Vereinbarkeit von § 86 Abs. 4 Satz 1 HBG mit den Anforderungen des Art. 88 DSGVO keine endgültige Aussage trifft. Das bayerische Personalaktenrecht befand sich hier schon gar nicht "auf dem Prüfstand". Zum anderen ist Art. 103 Satz 1 Nr. 1 BayBG Teil eines regulatorischen Gesamtsystems und steht insbesondere mit der personellen Verarbeitungsbeschränkung nach Art. 103 Satz 2 BayBG in einem engen Zusammenhang. Die weiteren Vorschriften des bayerischen Personalaktenrechts enthalten überwiegend ohnehin teils sehr spezifische Vorgaben zum Schutz betroffener Beschäftigter. Die "Kritik" des Europäischen Gerichtshof an § 86 Abs. 4 Satz 1 HBG kann damit jedenfalls nicht unbesehen auf Art. 103 Satz 1 Nr. 1 BayBG übertragen werden. Unabhängig hiervon kommt freilich in Betracht, Art. 103 Satz 1 Nr. 1 BayBG als Rechtsgrundlage im Sinne von Art. 6 Abs. 3 in Verbindung mit Art. 6 Abs. 1 UAbs. 1 Buchst. e DSGVO aufzufassen. Zu der dargestellten Prüfung ist zunächst der bayerische Gesetzgeber aufgerufen, im Streitfall gegebenenfalls auch die Gerichte.

Das Urteil des Europäischen Gerichtshofs kann jedoch über die Grenzen des Beschäftigtendatenschutzes hinaus als "Weckruf" verstanden werden: Denn auch andere Öffnungsklauseln enthalten - vielfach zwingende - Vorgaben, in deren Grenzen sich mitgliedstaatliches Recht bewegen muss. Der Gesetzgeber sollte damit die Ausführungen des Europäischen Gerichtshofs in dem hier vorgestellten Urteil im Blick behalten, wenn er künftig von den Öffnungsklauseln der Datenschutz-Grundverordnung Gebrauch machen möchte. Die Entscheidung kann für den Gesetzgeber ferner Anlass sein, den bestehenden datenschutzrechtlichen Normenbestand auf etwaigen "Nachbesserungsbedarf" hin zu überprüfen. In diesem Zusammenhang ist im Blick zu behalten, dass der Europäische Gerichtshof jedenfalls bei der Verarbeitung von Beschäftigtendaten im öffentlichen Dienst einen "Austausch von Öffnungsklauseln" für möglich hält: Auch wenn eine ursprünglich auf Art. 88 DSGVO gestützte nationale Rechtsvorschrift die Anforderungen dieser Öffnungsklausel im Lichte der Rechtsprechung des Europäischen Gerichtshofs womöglich nicht erfüllt, kann sie gegebenenfalls auf Art. 6 Abs. 1 UAbs. 1 Buchst. c und e, Abs. 3 DSGVO gestützt werden.

5. Fazit

Die Entscheidung des Europäischen Gerichtshofs macht deutlich, dass mitgliedstaatliches "Durchführungsrecht", welches auf Grundlage von Öffnungsklauseln der Datenschutz-Grundverordnung erlassen wird, die Anforderungen und Grenzen der jeweiligen Öffnungsklausel beachten muss. Zugleich legt sie nahe, dass nationale Regelungen gegebenenfalls auch auf unterschiedliche Öffnungsklauseln gestützt werden können. Unmittelbare Auswirkungen auf das bayerische Personalaktenrecht hat das Urteil zunächst jedoch nicht.

Vgl. insbesondere die Entschließung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) vom 11. Mai 2023, "Notwendigkeit spezifischer Regelungen zum Beschäftigtendatenschutz! - Rechtsprechung des Europäischen Gerichtshofs hat Auswirkungen auf zahlreiche deutsche Vorschriften im Beschäftigungskontext", abrufbar unter https://datenschutzkonferenz-online.de/entschliessungen.html (externer Link)

[Zurück]

Europäischer Gerichtshof, Urteil vom 30. März 2023, C-34/21, BeckRS 2023, 5635. [Zurück]
Vgl. Bundestags-Drucksache 18/11325, S. 96. [Zurück]
Ausführlich zu Sachverhalt und Vorlagefragen Europäischer Gerichtshof, Urteil vom 30. März 2023, C-34/21, BeckRS 2023, 5635, Rn. 14 ff. [Zurück]
Europäischer Gerichtshof, Urteil vom 30. März 2023, C-34/21, BeckRS 2023, 5635, Rn. 31 ff., 37 sowie Rn. 38 ff., 56. [Zurück]
Europäischer Gerichtshof, Urteil vom 30. März 2023, C-34/21, BeckRS 2023, 5635, Rn. 75. [Zurück]
Europäischer Gerichtshof, Urteil vom 30. März 2023, C-34/21, BeckRS 2023, 5635, Rn. 61 und 71. [Zurück]
Europäischer Gerichtshof, Urteil vom 30. März 2023, C-34/21, BeckRS 2023, 5635, Rn. 74. [Zurück]
Europäischer Gerichtshof, Urteil vom 30. März 2023, C-34/21, BeckRS 2023, 5635, Rn. 79. [Zurück]
Europäischer Gerichtshof, Urteil vom 30. März 2023, C-34/21, BeckRS 2023, 5635, Rn. 80. [Zurück]
Europäischer Gerichtshof, Urteil vom 30. März 2023, C-34/21, BeckRS 2023, 5635, Rn. 81. [Zurück]
Europäischer Gerichtshof, Urteil vom 30. März 2023, C-34/21, BeckRS 2023, 5635, Rn. 82 f. [Zurück]
Europäischer Gerichtshof, Urteil vom 30. März 2023, C-34/21, BeckRS 2023, 5635, Rn. 85 ff. [Zurück]
Hinsichtlich der Verarbeitung von Beschäftigtendaten im öffentlichen Bereich in diese Richtung auch Hessischer Beauftragter für Datenschutz und Informationsfreiheit, Handreichung zur Verarbeitung personenbezogener Daten von Beschäftigten im Lichte des EuGH-Urteils vom 30. März 2023 Rs. C-34/21, S. 5 f., abrufbar unter https://datenschutz.hessen.de/datenschutz/arbeitgeber-und-beschaeftigte/handreichung-zur-verarbeitung-personenbezogener-daten-von-beschaeftigten. [Zurück]
Vgl. hierzu die Entschließung der DSK vom 11. Mai 2023 (Endnote 1). [Zurück]