Professor Dr. iur. Jürgen Kühling, LL.M., Universität Regensburg
9/2023
Das Ergebnis darf nicht völlig überraschen. In der Literatur wurde schon seit Jahren argumentiert, dass die Generalklausel des § 26 I 1 BDSG als Zentralnorm des deutschen Beschäftigtendatenschutzes nicht im Einklang mit der DS-GVO steht (insbesondere Kühling/Buchner/Maschmann, DSGVO/BDSG, 3. Aufl. 2020, Art. 88 Rn. 63). Das BAG hat diese Zweifel stets beiseite gewischt und in verfassungsrechtlich problematischer Weise (Recht auf den gesetzlichen Richter!) eine Klärung durch den EuGH für überflüssig gehalten („acte clair“, 1 ABR 53/17, NZA 2019, 1218). Dafür hat nun – indirekt – die hessische Verwaltungsgerichtsbarkeit gesorgt. Im Ausgangsverfahren ging es um einen Streit über die Rechtmäßigkeit von Livestreamunterricht – in der Corona-Zeit unabdingbar. Dafür wurde zwar nicht die Einwilligung der betroffenen Lehrkräfte eingeholt; allerdings muss das auf der Basis eines gesetzlichen Zulässigkeitstatbestands möglich sein. Dies ist der Kern des dogmatischen Streits, nämlich: Kann eine Generalklausel im allgemeinen Hessischen Datenschutz- und Informationsfreiheitsgesetz herangezogen werden?
Der EuGH verneint das in seinem Urteil vom 30.3.2023 (NVwZ 2023, 658, in diesem Heft). Daher handelt es sich auch um einen Paukenschlag mit Ankündigung, auf den viele wie bei der Symphonie Nr. 94 von Haydn schon gewartet haben. Aufgrund der parallelen Formulierung gilt das auch für § 26 I 1 BDSG. Mit Art. 88 I DS-GVO besteht zwar eine Öffnungsklausel für nationale Vorschriften. Diese müssen aber auch mit Blick auf das sog. Normwiederholungsverbot nicht nur den Voraussetzungen von Art. 88 II DS-GVO gerecht werden, sondern auch tatsächlich spezifischer sein – also gerade keine Generalklausel. Die Konsequenzen für den Fall und vergleichbare Regelungssituationen sind vermutlich gar nicht so dramatisch. Denn regelmäßig leben die Generalklauseln in Art. 6 DS-GVO und dort insbesondere Abs. 1 Buchst. b, c und f auf. Sie führen zu vergleichbaren Ergebnissen – und können z.B. den Livestreamunterricht ohne Einwilligung der Lehrkräfte rechtfertigen. Andere Absätze des § 26 BDSG und entsprechender Landesregeln dürften zumindest teilweise eine hinreichende Spezifität aufweisen und daher weiterhin angewandt werden. Dennoch kommt (Fleiß-)Arbeit auf alle Arbeitgebenden zu. So sind etwa die Datenschutzhinweise anzupassen. Wichtig für die Praxis wären weitere Signale der Datenschutzaufsichtsbehörden. Für den Gesetzgeber ist es ein Schlag ins Kontor. Welche Konsequenzen zieht er nun daraus: Die Flucht nach vorne mit einem Beschäftigtendatenschutzgesetz, wie es im Koalitionsvertrag angekündigt und von der Datenschutzkonferenz vor einem Jahr gefordert worden ist? Das könnte für mehr Rechtssicherheit sorgen. Unter integrationstechnischen Gesichtspunkten und gerade für international tätige Unternehmen hat der jetzige Zustand aber auch seine Vorteile, gelten damit doch im Kern unionsweit einheitliche Standards. So wendet sich der Blick dem Unionsgesetzgeber zu: Die Öffnungsklauseln erweisen sich als problematische Quellen von Rechtsunsicherheit und Fragmentierung. Sie sollten bei einer Reform der DS-GVO abgebaut werden. Dazu fehlt aber zurzeit der Elan des europäischen Gesetzgebers.
