EuGH: deutsche Regelung zum Beschäftigtendatenschutz unvereinbar mit der DSGVO

Das Urteil des Europäischen Gerichtshofes (EuGH) vom 30.03.2023 hat für Unternehmen und Vereine in Deutschland weitreichende Auswirkungen auf den Beschäftigtendatenschutz. Hintergrund der Entscheidung war ein Vorlagefall aus Hessen und die damit verbundene Frage, ob § 23 HDSIG (gleichlautend § 26 BDSG) als Rechtsgrundlage für die Durchführung von Online-Unterricht für Leher:nnen einschlägig ist. Während der Corona-Pandemie wurden viele Schüler:nnen online unterrichtet, zuvor wurde von ihnen, bzw. den Erziehungsberechtigten eine Einwilligung eingeholt. Diese Möglichkeit blieb den Lehrer:nnen jedoch verwehrt, da die Durchführung von Online-Unterricht auf § 23 HDSIG bzw. § 26 BDSG zu stützen gewesen sei. Im Ergebnis stellt der EuGH nun jedoch fest, dass § 23 HDSIG keine spezifischere Vorschrift im Sinne des Art. 88 Abs. 1 und 2 DSGVO darstellt und somit dessen Anforderungen und denen der DSGVO nicht genügt (Urteil vom 30.03.2023 in der Rechtssache C‑34/21). Damit dürfte auch der gleichlautende § 26 BDSG mit der DSGVO unvereinbar und entsprechend unanwendbar sein.

Dies hätte zur Folge, dass sich Unternehmen und Vereine im Bereich des Beschäftigtendatenschutzes nicht mehr auf § 26 BDSG berufen könnten. Einschlägig seien fortan allein die Regelungen des Art. 6 Abs. 1 DSGVO.

In der Pressemitteilung des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit vom 03.04.2023 wird jedoch explizit darauf hingewiesen, dass „zum jetzigen Zeitpunkt nicht davon auszugehen ist, dass Datenverarbeitungen auszusetzen oder zu beenden sind, denn voraussichtlich wird sich eine jeweils alternative Rechtsgrundlage finden.“

Derartige Entscheidungen sorgen zwar für enormen Aufwand bei der Anpassung von Dokumenten wie Datenschutzbestimmungen, Verarbeitungsverzeichnissen und Einwilligungserklärungen, der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit rät jedoch dazu „in Anbetracht der neuen, klärungsbedürftigen Rechtslage nichts zu überstürzen, sondern Positionierungen der Datenschutzkonferenz des Bundes und der Länder und ggfs. der Gerichte abzuwarten.“