Entscheidung des EuGH
Der EuGH kommt zu dem Ergebnis, dass § 23 Abs. 1 S. 1 HDSIG bzw. § 26 Abs. 1 S. 1 BDSG keine „spezifischeren Vorschriften“ i.S.v. Art. 88 DSGVO darstellen und daher unanwendbar sind.
Der EuGH arbeitet hierbei mit dem weiten europarechtlich geprägten Verständnis des Beschäftigtenbegriffs, sodass über den Wortlaut von Art. 88 Abs. 1 DSGVO hinaus („der Erfüllung des Arbeitsvertrags“) auch verbeamtete Lehrkräfte erfasst sind.
Die Generalklauseln im deutschen Beschäftigtendatenschutz sind nach Auffassung des EuGH gerade keine „spezifischeren Vorschriften“ im Sinne der DSGVO. Das wird im ersten Schritt damit begründet, dass die Verarbeitung personenbezogener Daten nach den deutschen Generalklauseln von denselben Voraussetzungen abhängig ist, die bereits in Art. 6 Abs. 1 DSGVO aufgestellt sind, ohne spezifischere Vorschriften hinzuzufügen.
Zudem ist von einer „spezifischeren Vorschrift“ nur dann auszugehen, wenn diese die Vorgaben des Art. 88 Abs. 2 DSGVO erfüllt, also "besondere Maßnahmen zur Wahrung der menschlichen Würde, berechtigten Interessen und der Grundrechte der betroffenen Person[en]" umfasst. Auch hieran fehlt es jedenfalls bei den vom EuGH zu begutachtenden Regelungen in Absatz 1 Satz 1 der in Rede stehenden Generalklauseln.
Nicht von der Vorlagefrage umfasst und daher auch vom EuGH nicht entschieden wurde, ob die weiteren Regelungen in § 26 BDSG – etwa die Regelung in Absatz 1 Satz 2 zur Aufdeckung von Straftaten durch Beschäftigte – nicht ggf. doch spezifischere Vorschriften i.S.v. Art. 88 Abs. 1 DSGVO darstellen oder sich ggf. anderweitig europarechtlich rechtfertigen lassen.
Dieser Verstoß führt nach dem EuGH zur Unanwendbarkeit der nationalen Regelungen, weshalb sich die Verarbeitung personenbezogener Daten im Beschäftigungskontext sowohl im privaten als auch im öffentlichen Sektor unmittelbar nach den Bestimmungen der DSGVO (insbesondere Art. 6 Abs. 1 S. 1 lit. b und f DSGVO im privaten Sektor bzw. Art. 6 Abs. 1 S. 1 lit. c und e DSGVO im öffentlichen Sektor) richtet.
Für öffentliche Arbeitgeber ist zu beachten, dass selbst bei Versagung der Öffnungsklausel nach Art. 88 DSGVO eine Norm gleichwohl eine datenschutzrechtliche Ermächtigung im Sinne von Art. 6 Abs 1 S. 1 lit. c oder e DSGVO darstellen kann, wenn sie die in Art. 6 Abs. 3 DSGVO aufgestellten besonderen Anforderungen erfüllt. Dies wäre der Fall, wenn der Zweck der Datenverarbeitung in der Rechtsgrundlage festgelegt oder für die Erfüllung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt. Das scheint zumindest für die weiteren Regelungsinhalte der landesrechtlichen Generalklauseln mit Bezug zu besonderen Tätigkeitsbereichen (etwa bei der Polizei nach § 18 Abs. 4 DSG NRW) durchaus denkbar.
Im Ergebnis hat der EuGH damit zumindest die Generalklauseln des Beschäftigtendatenschutzes in Deutschland für europarechtswidrig und unanwendbar erklärt sowie das bisherige dogmatische Verständnis mit seiner Entscheidung auf den Kopf gestellt. Dies lässt auch das Bundesarbeitsgericht in keinem glanzvollen Licht dastehen. Der 1. Senat ging noch im Jahr 2019 davon aus, dass die richtige Anwendung des Unionsrechts im Falle von § 26 Abs. 1 S. 1 BDSG „derart offenkundig“ sei, „dass für vernünftige Zweifel kein Raum bleibt“ (BAG, Beschluss vom 7. Mai 2019 – 1 ABR 53/17).