HmbBfDI sieht deutsche Regelungen im Beschäftigtenkontext unvereinbar mit der DS-GVO

Zum Urteil des Europäischen Gerichtshofs (EuGH), der sich Ende März 2023 mit der Anwendbarkeit des nationalen Beschäftigtendatenschutzrechts befasst hatte, hat sich auch der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit geäußert.

Der HmbBfDI sieht in der Entscheidung des EuGH weitreichende Auswirkungen. § 26 BDSG, die Parallelvorschrift im Bundesrecht für Beschäftigtendaten im nichtöffentlichen Bereich, dürfte nach Ansicht des HmbBfDI als unanwendbar zu betrachten sein. Die Wirtschaft werde ihre Verarbeitung von Beschäftigtendaten nun auf Art. 6 Abs. 1 DS-GVO stützen müssen, so der HmbBfDI . In Betracht kämen hierbei insbesondere die Erforderlichkeit zur Durchführung des Arbeitsvertrags (lit. b) sowie eine rechtliche Verpflichtung zur Verarbeitung von Beschäftigtendaten (lit. c).

Zum jetzigen Zeitpunkt sei jedoch nicht davon auszugehen, dass Datenverarbeitungen auszusetzen oder zu beenden seien, denn voraussichtlich werde sich eine jeweils alternative Rechtsgrundlage finden. Dies bedürfe jedoch einer Prüfung durch die datenverarbeitende Stelle im Einzelfall. Die Hamburgische Aufsichtsbehörde empfiehlt den Verantwortlichen, dass sie in dem Zuge darüber nachdenken sollten, verstärkt auf Betriebsvereinbarungen zu setzen, mit denen weiterhin tragfähige und ausdifferenzierte Regelungen zur innerbetrieblichen bzw. konzernweiten Datenverarbeitung geschaffen werden können.

Dokumente wie Datenschutzinformationen, Verarbeitungsverzeichnisse und Einwilligungstexte seien gegebenenfalls anzupassen, indem aktualisierte Rechtsgrundlagen aufgeführt werden. In Anbetracht der neuen, klärungsbedürftigen Rechtslage werde es angebracht sein, dies nicht zu überstürzen, sondern Positionierungen der Datenschutzkonferenz des Bundes und der Länder und ggfs. der Gerichte abzuwarten.

Nach Ansicht des HmbBfDI setzt das Urteil des EuGH auch den deutschen Gesetzgeber unter einen stärkeren Zugzwang (als ohenhin), was die Regelungen eines seit Jahren von den Aufsichtsbehörden propagierten Beschäftigtendatenschutzrechts angeht.
In diesem Zusammenhang weist die Aufsichtsbehörde auf den Erlass der Datenschutzkonferenz (DSK) vom 29. April 2022 hin. Die DSK habe bereits in diesem Papier den Erlass eines solchen bereichsspezifischen Gesetzes gefordert. Auch im Koalitionsvertrag der Bundesregierung sei die Schaffung neuer Regelungen zum Beschäftigtendatenschutz bereits benannt.

HmbBfDI