Urteil : Zu der Frage, ob § 23 Abs. 1 S. 1 HDSiG (= § 26 Abs. 1 S. 1 BDSG) und § 86 Abs. 4 HBG mit ihren Regelungen zum Beschäftigtendatenschutz mit Art. 88 DS-GVO konform gehen : aus der RDV 3/2021, Seite 167 bis 169

2. Kann eine nationale Norm, wenn diese die Anforderungen nach Art. 88 Abs. 2 der VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG offensichtlich nicht erfüllt, trotzdem noch anwendbar bleiben?

Aus den Gründen:

I. 1. Die Beteiligten streiten darüber, ob es bei der Einführung eines Livestreamunterrichtes durch Videokonferenzsysteme neben der Einwilligung der Eltern für ihre Kinder oder der volljährigen Schüler auch der Einwilligung der jeweiligen Lehrkraft bedarf oder die hier erfolgende Datenverarbeitung durch § 23 Abs. 1 S. 1 HDSIG gedeckt ist, sowie über die Frage, ob ein Mitbestimmungsrecht nach § 74 Abs. 1 Nr. 17 HPVG oder lediglich ein Beteiligungsrecht nach § 81 Abs. 1 HPVG gegeben ist.

II. 2. Bei § 23 HDSIG und § 86 HBG soll es sich nach dem Willen des nationalen Gesetzgebers um eine spezifischere Vorschrift im Sinne von Art. 88 der VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung = DS-GVO; ABl. EU L Nr. 119 vom 4.5.2016, S. 1) handeln.

6. Der § 23 Abs. 1 S. 1 HDSIG – wie auch die übrigen Absätze – entspricht § 26 Abs. 1. S. 1 BDSG – Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses – (Art. 1 des Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU) vom 30. Juni 201, BGBl. I S. 2097).

7. Soweit § 23 Abs. 7 S. 2 HDSIG bezüglich der Führung von Personalakten auf das Hessische Beamtenrecht und hier die §§ 86 bis 93 HBG Bezug nimmt, ist vorliegend § 86 Abs. 4 S. 1 HBG (verkündet als Art. 1 des Zweiten Dienstrechtsmodernisierungsgesetzes vom 27. Mai 2013 (GVBl. S. 218)) zu beachten, der im Wesentlichen mit § 23 Abs. 1 S. 1 HDSIG identisch ist. § 86 Abs. 4 S. 1 HBG lautet:

(4) Der Dienstherr darf personenbezogene Daten über Bewerberinnen, Bewerber, Beamtinnen und Beamte sowie über ehemalige Beamtinnen und Beamte nur erheben, soweit dies zur Begründung, Durchführung, Beendigung oder Abwicklung des Dienstverhältnisses oder zur Durchführung organisatorischer, personeller und sozialer Maßnahmen, insbesondere auch zu Zwecken der Personalplanung und des Personaleinsatzes, erforderlich ist oder eine Rechtsvorschrift oder eine Dienstvereinbarung dies erlaubt. […]

8. Ob und inwieweit das Land Hessen gem. Art. 88 Abs. 3 DSGVO der Kommission bis zum 25. Mai 2018 die Rechtsvorschriften, die es aufgrund von Abs. 1 erlassen hat (hier § 23 HDSIG und §§ 86 ff HBG), mitgeteilt hat, ist diesseits nicht bekannt.

III. 9. Das vorlegende Gericht hat Zweifel daran, dass es sich bei § 23 Abs. 1 S. 1 HDSIG und § 86 Abs. 4 S. 1 HBG jeweils um eine Norm handelt, die als eine spezifischere Vorschrift hinsichtlich der Verarbeitung von personenbezogenen Beschäftigtendaten nach Art. 88 Abs. 1 und 2 DS-GVO anzusehen ist, da die in Art. 88 Abs. 2 DS-GVO gestellten Anforderungen weder in der Norm selbst, noch durch ergänzende Normvorgaben an anderer Stelle des jeweiligen Gesetzes erfüllt worden sind.

10. § 23 Abs. 1 HDSIG mit seinem wesentlichen Regelungsgegenstand wurde seinerseits bereits als § 34 Abs. 1 HDSG (Hessisches Datenschutzgesetz vom 11.11.1986 (GVBl. I S. 309)) im Rahmen der Umsetzung des sog. Volkszählungsurteils BVerfGE 65, 1) in das damalige Hessische Datenschutzgesetz aufgenommen (dazu LT-Drs. 11/4749; Schild, in: Demke/Schild, HDSG, § 34, I. Einführung, Stand 6.97).

11. § 34 Abs. 1 HDSG 1986 lautet: „Öffentliche Stellen dürfen Daten ihrer Beschäftigten nur verarbeiten, wenn dies zur Eingehung, Durchführung, Beendigung oder Abwicklung des Dienst- oder Arbeitsverhältnisses oder zur Durchführung innerdienstlicher organisatorischer, sozialer und personeller Maßnahmen erforderlich ist oder eine Rechtsvorschrift, ein Tarifvertrag oder eine Dienstvereinbarung es vorsieht.“

12. Damit sollte der Grundsatz der „Erforderlichkeit“ für Dienst- und Arbeitsverhältnisse konkretisiert werden.

13. Durch das Gesetz zur Änderung dienstrechtlicher Vorschriften vom 28.10.1993 (GVBl. I S. 470) wurden die Regelungen des Beamtenrechtsrahmengesetzes in Hessen für die Beamten im Wesentlichen übernommen (§§ 107 bis 107 g HBG a.F., nunmehr §§ 86 bis 93 HBG).

14. § 26 Abs. 1 Satz 1 BDSG ist die Nachfolgeregelung von § 34 BDSG – Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses (eingeführt durch Art. 1 – Änderung des Bundesdatenschutzgesetzes – des Gesetzes zur Änderung datenschutzrechtlicher Vorschriften vom 14. August 2009, BGBl. I S. 2814) und lautete:

„Personenbezogene Daten eines Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist.“

15. Sowohl § 23 Abs. 1 S. 1 HDSIG, wie auch § 86 Abs. 4 HBG stellen als Rechtsgrundlage für die Verarbeitung der Daten der Beschäftigten bzw. Beamten auf die „Erforderlichkeit“ ab.

16. Es ist bereits zweifelhaft, inwieweit es sich bei diesen Normen um eine zulässige Konkretisierung der DS-GVO i.S.v. Art. 88 Abs. 1 und 2 DS-GVO handelt. Denn soweit es sich um eine notwendige Datenverarbeitung im Zusammenhang mit einem Arbeitsvertragsverhältnis handelt, ist dies bereits in Art. 6 Abs. 1 lit. b) DS-GVO geregelt. Allerdings geht die nationale Rechtsprechung, insbesondere der Arbeitsgerichte, davon aus, dass die entsprechende Norm des § 26 Abs. 1 S. 1 BDSG (= § 23 Abs. 1 S. 1 HDSIG) über das eigentliche Vertragsverhältnis hinaus auf jeglichen Umgang mit Beschäftigtendaten anwendbar ist. Insoweit fordert Art. 6 Abs. 1 lit. f) DS-GVO, dass die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Dies spiegeln die nationalen Normen allerdings nicht wider.

17. Damit ist bei jeglicher Verarbeitung von Beschäftigtendaten, die über die rein notwendige Datenverarbeitung aus dem Beschäftigungsvertrag hinausgeht, bezüglich der weiteren Verarbeitung der Beschäftigtendaten eine Interessenabwägung durchzuführen, die über die einfache „Erforderlichkeit“, wie sie § 23 Abs. 1 S. 1 HDSIG bzw. § 86 Abs. 4 HBG regeln, hinausgeht. Denn es sind die Grundrechte und Grundfreiheiten der betroffenen Personen hier der Beschäftigten bzw. der Beamten, mit dem berechtigten Interesse des Verantwortlichen, hier des Dienstherrn, abzuwägen. Dies entfällt in den nationalen Umsetzungsnormen, welche unbestritten bis zur Geltung der DS-GVO, aber eben auch nur bis dahin, als eine bereichsspezifische Norm angesehen werden konnten.

18. Das Bundesarbeitsgericht (BAG) teilt diese Bedenken hinsichtlich der wortgleichen BDSG-Norm nicht; es führt aus:

„(a) Die Regelung des § 26 Abs. 1 Satz 1 BDSG beruht auf der Öffnungsklausel des Art. 88 DS-GVO, welche nationale Regelungen zur Datenverarbeitung im Beschäftigungskontext zulässt (vgl. auch BT-Drs. 18/11325 S. 96). Nach Art. 88 Abs. 1 DS-GVO können die Mitgliedstaaten u.a. durch Rechtsvorschriften spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext, insbesondere u.a. für Zwecke der Inanspruchnahme der mit der Beschäftigung zusammenhängenden kollektiven Rechte, vorsehen, wobei nationale Vorschriften i.S.v. Art. 88 Abs. 1 DS-GVO gemäß Art. 88 Abs. 2 DS-GVO dort genannte Maßnahmen umfassen. Dem wird § 26 Abs. 1 Satz 1 BDSG – unter Hinzuziehung von § 26 Abs. 5 BDSG – gerecht (so zB Stamer/Kuhnke, in: Plath DS-GVO/BDSG 3. Aufl. Art. 88 DS-GVO Rn. 7a).

(b) Hiervon kann der Senat ohne Vorabentscheidungsverfahren durch den Gerichtshof der Europäischen Union nach Art. 267 AEUV ausgehen. Die richtige Anwendung des Unionsrechts ist insoweit derart offenkundig, dass für vernünftige Zweifel kein Raum bleibt (acte clair, vgl. dazu z.B. EuGH 15. September 2005 – C-495/03 – [Intermodal Transports] Rn. 33). Auch die bisherigen fachgerichtlichen Instanzentscheidungen (etwa VG Lüneburg 19. März 2019 – 4 A 12/19 -) sowie das datenschutz- und arbeitsrechtliche Schrifttum stellen – soweit problematisiert und ungeachtet streitiger Einzelheiten des inhaltlichen Verständnisses der einzelnen Erlaubnistatbestände des § 26 BDSG sowie seiner weiteren Regelungen – so gut wie einhellig nicht infrage, dass der nationale Gesetzgeber von der Öffnungsklausel des Art. 88 DS-GVO in zulässiger Weise Gebrauch gemacht hat (Bettinghausen/Wiemers DB 2018, 1277; Bonanni/Niklas ArbRB 2018, 371; Gola BB 2017, 1462; Gräber/Nolden, in: Paal/Pauly, Datenschutz-Grundverordnung Bundesdatenschutzgesetz 2. Aufl. § 26 BDSG Rn. 1 ff.; Grimm/Göbel jM 2018, 278; Henssler NZA-Beilage 2/2018, 31; Kamps/Bonanni ArbRB 2018, 50; Kainer/Weber BB 2017, 2740; Klausch/Grabenschröer PinG 2018, 135; Kleinebrink ArbRB 2018, 346; Kort ZD 2017, 319; Pfrang DuD 2018, 380; Reiserer/Christ/Heinz DStR 2018, 1501; Seifert, in: Simitis/ Hornung/Spiecker, Datenschutzrecht Art. 88 DS-GVO Rn. 50 ff.; Tinnefeld/Conrad ZD 2018, 391; Velten/Diegel FA 2018, 2; zu § 26 Abs. 4 BDSG vgl. Klocke ZTR 2018, 116; aA – mit dem Argument, § 26 BDSG sei zu unspezifisch und erschöpfe sich in einem generalklauselartigen Regelungsgehalt – lediglich Maschmann, in: Kühling/Buchner DS-GVO/BDSG 2. Aufl. Art. 88 DSGVO Rn. 63; explizit gegen diese Auffassung mit dem Verweis auf die Ausformung der Vorgängervorschrift des § 32 BDSG aF durch die höchstrichterliche Rechtsprechung Ströbel/Wybitul, in: Specht/Mantz, Handbuch Europäisches und deutsches Datenschutzrecht Teil B § 10 Rn. 26; vgl. ferner Heuschmid SR 2019, 1, 11 sowie Franzen ZFA 2019, 18, 26 mit dem Argument kompetenzieller Schranken der Union für eine inhaltliche Vereinheitlichung des Beschäftigtendatenschutzes; vgl. dazu auch Däubler, in: Däubler/Wedde/Weichert/Sommer, EU-Datenschutz-Grundverordnung und BDSG-neu Art. 88 DS-GVO Rn. 3 f.).“

(BAG, Beschluss vom 07. Mai 2019 – 1 ABR 53/17 -, BAGE 166, 309-322, Rn. 47 und 48).

19. Dem vermag das vorlegende Gericht nicht zu folgen. Allein der in § 23 Abs. 5 HDSIG (entspricht wortgleich § 26 Abs. 5 BDSG) enthaltene Hinweis, dass der Verantwortliche insbesondere die in Art. 5 DS-GVO dargelegten Grundsätze einzuhalten hat, genügt nicht den Vorgaben des Art. 88 Abs. 2 DS-GVO und führt damit nicht zu der Annahme, es lägen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext vor. Der in § 23 Abs. 5 HDSIG gesondert aufgeführte Hinweis führt vielmehr zu der irrigen Vermutung der Gesetztesanwender, dass in allen anderen Fällen des Umgangs mit personenbezogenen Daten Art. 5 DS-GVO nicht anzuwenden wäre. Nach der Gesetzesbegründung bestimmt § 23 Abs. 5 HDSIG, dass der Verantwortliche geeignete Maßnahmen zur Wahrung der Grundrechte und Interessen der oder des Beschäftigten ergreifen muss (LT-Drs. 19/7728, Zu § 23 S. 128). Jedoch hat jeder Verantwortliche nach Art. 5 DSGVO – gleich um welche personenbezogenen Daten es sich handelt – die Grundsätze für die Verarbeitung personenbezogener Daten, welche letztendlich auch grundrechtsbezogen sind, zu beachten. Eine besondere Wahrung der Grundrechte und Interessen der Beschäftigten enthält Art. 5 DS-GVO aber gerade nicht. Insoweit hilft der gesonderte Hinweis in der nationalen Norm zum Beschäftigtendatenschutz (§ 23 HDSIG bzw. § 26 BDSG) auf die DS-GVO gerade nicht weiter. Der Hinweis in § 23 HDSIG ist wahlweise tautologischer Natur oder zeigt die Hilflosigkeit des Gesetzgebers bei dem Belassen alter Normen.

20. Zu Recht weist das BAG auch auf Art. 88 Abs. 2 DS-GVO hin, dies allerdings, ohne auf die fehlende Umsetzung einzugehen. § 23 HDSIG, wie auch § 26 BDSG, und auch § 86 HBG lassen jeglichen Bezug zu Art. 88 Abs. 2 DS-GVO vermissen. Es findet sich einzig der Hinweis, bei Kollektivvereinbarungen sei Art. 88 Abs. 2 DS-GVO zu beachten (§ 23 Abs. 4 S. 2 HDSIG = § 26 Abs. 4 S. 2 BDSG). Nach Art. 88 Abs. 2 DS-GVO haben jedoch die Vorschriften, hier die konkretisierenden Rechtsvorschriften der Mitgliedstaaten, also § 23 Abs. 1 HDSIG (= § 26 Abs. 1 BDSG) und § 86 Abs. 4 HBG angemessene und besondere Maßnahmen zu umfassen, und zwar zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz.

21. Die Aufnahme des Grundsatzes der „Erforderlichkeit“ im Gesetz stellt jedoch gerade keine Konkretisierung der von Art. 88 Abs. 2 DS-GVO enthaltenen Anforderungen dar. Im Gegenteil, der nationale Gesetzgeber ist insbesondere der Berücksichtigung von Überwachungssystemen am Arbeitsplatz in § 23 HDSIG (entspricht § 26 BDSG) und 86 HBG nicht nachgekommen (Dietrich/Bosse/Schmitt, Kontrolle und Überwachung von Beschäftigten, DuD 2021, S. 5, 6).

22. Dabei hat der Gesetzgeber jedoch den Art. 88 Abs. 2 DSGVO grundsätzlich erkannt und gesehen, wenn er dessen Beachtung bei Kollektivvereinbarungen fordert, sich dazu jedoch selbst weder im Gesetz, noch in der Begründung zu der jeweiligen gesetzlichen Regelung mit dem Forderungskatalog der DS-GVO auseinandergesetzt bzw. diesen ausgefüllt. Soweit der Gesetzgeber ausführt, dass § 23 Abs. 1 S. 1 i.V.m. Abs. 5 HDSIG auch der Ausgestaltung von Art. 10 DS-GVO diene, der es den Mitgliedstaaten ermögliche, die Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln im Beschäftigungskontext zuzulassen, mag dies dahin gestellt bleiben. Ein Bezug auf Art. 88 Abs. 2 DS-GVO fehlt jedenfalls vollständig.

23. Die Ansicht, eine nationale Norm dahingehend auszulegen, Art. 88 Abs. 2 DS-GVO müsse insoweit von dem Verantwortlichen berücksichtigt werden, geht schon insoweit fehl, als die Verordnung gerade fordert, dass die Normen selbst in ihrem Regelungsumfang angemessene und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen, die auch die Überwachungssysteme am Arbeitsplatz beinhalten. Dementsprechend fordert Art. 88 Abs. 2 DS-GVO gerade eine notwendige Beachtung im Regelwerk durch den nationalen Gesetzgeber und ist nicht etwa bloß eine Rechtsnorm, die der Normanwender einer nationalen Norm zusätzlich zu beachten hat. Denn der Norm anwender ist nicht der Adressat von Art. 88 Abs. 2 DS-GVO.

24. Insoweit vermag das vorlegende Gericht auch nicht zu erkennen, dass es sich bei Art. 88 Abs. 1 DS-GVO i.V.m. § 23 Abs. 1 Satz 1 HDSIG (= § 26 Abs. 1 Satz 1 BDSG) um eine lex specialis zu Art. 6 Abs. 1 Satz 1 lit. b) DS-GVO für die Durchfüh-rung des Beschäftigungsverhältnisses handelt (so aber zu § 26 Abs. 1 Satz 1 BDSG: VG Ansbach, Urteil vom 16. März 2020 – AN 14 K 19.00464 –, juris Rn. 23), da Art. 88 Abs. 2 DS-GVO bei der inhaltlichen Ausgestaltung des § 23 HDSIG vorliegend vollständig ausgeblendet und schon im Ansatz nicht umgesetzt bzw. beachtet wurde.

IV. 25. Nach alledem ist eine Vorlage an den Europäischen Gerichtshof geboten. Das Ergebnis des Rechtsstreits hängt von den Vorlagefragen ab. Die Frage ob § 23 Abs. 1 S. 1 HDSIG (§ 26 Abs. 1 S. 1 BDSG) und § 86 Abs. 4 HBG – auch unter Berücksichtigung der weiteren Regelungen des jeweiligen Gesetzes – die Anforderungen von Art. 88 Abs. 1 und 2 DS-GVO erfüllt oder nicht bzw. trotz Verstoßes hiergegen anwendbar bleibt, ist vorliegend entscheidungserheblich. Denn wenn § 23 Abs. 1 S. 1 HDSIG und § 86 Abs. 4 HBG – in der weiten Auslegung des Anwendungsbereichs, den er durch die bisherige Rechtsprechung erfahren hat (s.o. Rn. 16) – vorliegend keine Rechtsgrundlage für die von dem Beteiligten geplante Maßnahme zum Umgang der Beschäftigtendaten bei Videokonferenzsysteme bilden, so bedürfte es der Schaffung einer solchen. Dies wäre durch den Abschluss einer Dienstvereinbarung als Rechtsgrundlage zwischen den Beteiligten des Verfahrens möglich. Durch die besondere Rechtsgestaltung in Hessen, dass bei einem Mitbestimmungstatbestand die Mitbestimmung im Anwendungsfalle des § 81 Abs. 1 HPVG der Abschluss einer Dienstvereinbarung durch § 81 Abs. 5 HPVG ausgeschlossen sein könnte (Schild, Dienstvereinbarung als datenschutzrechtliche Rechtsgrundlage – Anmerkung zu VG Frankfurt, Beschluss vom 31.05.2010, Az. 23 K 500/10.F.PV, ZfPR online 7/2010 S. 9 ff.), käme vorliegend dann aber eine Dienstvereinbarung nach § 23 Abs. 4 HDSIG in Betracht. Denn andernfalls könnte für den Umgang mit den Beschäftigtendaten bei Ausfall von § 23 Abs. 1 S. 1HDSIG und § 86 Abs. 4 HBG nur eine hiernach zu schließende Rechtsgrundlage als Dienstvereinbarung geschaffen werden.

26. Die Entscheidung ist unanfechtbar.