§ 26 BDSG könnte als nationaler Erlaubnistatbestand ausgedient haben.
Bei der Verarbeitung personenbezogener Daten im Beschäftigungskontext müssen sich die mit der Datenverarbeitung betrauten Mitarbeiter stets die Frage stellen, ob der konkrete Verarbeitungsvorgang datenschutzrechtlich zulässig ist, um Schadensersatzansprüche zulasten ihres Arbeitgebers zu vermeiden. Bisher diente im Bereich des Beschäftigtendatenschutzes grundsätzlich § 26 BDSG als Ermächtigungsgrundlage. Eine aktuelle Entscheidung des EuGH kann nunmehr dazu führen, dass diese Vorschrift nicht mehr als Erlaubnistatbestand herangezogen werden kann.
Der EuGH hat sich mit dem Urteil vom 30.03.2023 – C-34/21 – mit der Anwendbarkeit des nationalen Beschäftigtendatenschutzrechts befasst. Zur Entscheidung stand die Frage, ob eine Regelung zum Beschäftigtendatenschutz aus dem hessischen Datenschutzrecht für den öffentlichen Dienst gegen die DS-GVO verstößt. Im Ergebnis stellt der EuGH fest, dass die Vorschrift den Anforderungen der DS-GVO nicht genügt. Das Verfahren hat über das hessische Datenschutzrecht hinaus Bedeutung, da § 26 BDSG, auf den die Privatwirtschaft bisher die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis stützt, fast wortgleich mit der Regelung aus dem hessischen Datenschutzgesetz ist.
Erste Aufsichtsbehörden sehen bereits Handlungsbedarf für Unternehmen. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit vertritt die Auffassung, dass § 26 BDSG als unanwendbar zu betrachten sei. Die Wirtschaft müsse ihre Verarbeitung von Beschäftigtendaten nun auf Artikel 6 Abs. 1 DS-GVO stützen. In Betracht komme hierbei insbesondere die Erforderlichkeit zur Durchführung des Arbeitsvertrages (lit. b) sowie eine rechtliche Verpflichtung zur Verarbeitung von Beschäftigtendaten (lit. c).
Mitglieder können nähere Informationen dem A – Rundschreiben zum gleichen Thema entnehmen, das im ArbeitgeberNet unter „Aktuelles“ gespeichert und nach Veröffentlichung in unserem monatlichen Gesamtrundschreiben enthalten ist.
