Datenschutz: Bedeutung der DSGVO für das Arbeitsverhältnis

Zusammenfassung

Überblick

Seit dem 25.5.2018 entfaltet die "Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG," kurz Datenschutz-Grundverordnung (DSGVO) ihre unmittelbare Wirkung. Durch die DSGVO wurden die Regelungen zur Verarbeitung von personenbezogenen Daten in den Mitgliedstaaten der Europäischen Union weitestgehend vereinheitlicht. Dieser Beitrag soll einen Überblick zu den wesentlichen Bestimmungen der DSGVO geben, sofern sie für das Arbeitsverhältnis von Bedeutung sind.

1 Systematik der DSGVO

1.1 Unmittelbare Geltung und Öffnungsklauseln

Die Datenschutz-Grundverordnung entfaltet seit dem 25.5.2018 unmittelbare Wirkung und bildet neben dem Bundesdatenschutzgesetz den Rahmen für die Verarbeitung personenbezogener (Beschäftigten-)Daten. Die DSGVO umfasst insgesamt 99 Artikel und ist als "Prinzipiengesetz" gestaltet, d. h. die Verarbeitung personenbezogener Daten hat sich stets an denen in der DSGVO aufgeführten Prinzipien zu messen. Daneben enthält die DSGVO zahlreiche Erwägungsgründe, die bei der Auslegung der Normen behilflich sein können. Stellungnahmen und Guidelines von Behörden (z. B. der Datenschutzkonferenz oder des Europäischen Datenschutzausschusses) bieten weitere, nützliche Hinweise für die Praxis. Hilfestellungen finden sich auch in den jeweiligen Tätigkeitsberichten der Aufsichtsbehörden.^[1]

Im Unterschied zu einer Richtlinie entfaltet die DSGVO direkte und unmittelbare Wirkung in jedem Mitgliedstaat der Europäischen Union.^[2] Der Gesetzestext der DSGVO musste demzufolge nicht erst in nationales Recht umgesetzt werden, sondern kommt direkt zur Anwendung. Allerdings enthält die DSGVO eine Reihe von sog. Öffnungs- und Spezialklauseln, die den Mitgliedstaaten spezielle Gestaltungsräume ermöglichen, so z. B. für die Verarbeitung von Beschäftigtendaten. In Deutschland hat der Gesetzgeber von seinen Gestaltungsmöglichkeiten Gebrauch gemacht und das neue "Bundesdatenschutzgesetz (BDSG)" beschlossen und hierbei auch eine Sonderregelung für die Verarbeitung von Beschäftigtendaten eingefügt^[3], die inhaltlich allerdings weitestgehend mit der alten Rechtslage identisch ist. Die Änderungen im BDSG sind ebenfalls am 25.5.2018 in Kraft getreten.

Hinweis

Für Unternehmen nur Teile des BDSG relevant

Das BDSG enthält nicht nur Regelungen, die auf den Öffnungs- und Spezialklauseln der DSGVO beruhen, sondern auch die Umsetzung der Richtlinie EU 2016/80 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung. Für Unternehmen sind daher nur die Regelungen in den §§ 1–44 BDSG relevant. Die weiteren §§ 45 ff. des BDSG finden dagegen keine Anwendung, wie z. B. die Verpflichtung auf das Datengeheimnis.^[4]

[1] Einsehbar im Zentralarchiv für Tätigkeitsberichte der Bundes- und der Landesdatenschutzbeauftragten sowie der Aufsichtsbehörden für den Datenschutz (ZAfTDa).

[2] Art. 288 des Vertrags über die Arbeitsweise der Europäischen Union – AEUV.

[3] § 26 BDSG.

[4] § 53 BDSG.

1.2 Verhältnis zwischen BDSG und DSGVO

Die Regelungen der DSGVO haben grundsätzlich Vorrang vor dem BDSG. Aufgrund der Öffnungs- und Spezialklauseln der DSGVO müssen die ergänzenden Vorschriften des BDSG aber ebenfalls beachtet werden. Es ist daher ratsam, vor der Beurteilung eines datenschutzrechtlichen Sachverhaltes zunächst zu prüfen, ob die DSGVO für den zu betrachtenden Vorgang eine Öffnungs- oder Spezialklausel enthält. Für Arbeitgeber seien hierbei insbesondere die Vorschriften der §§ 32 ff. des BDSG zu nennen, die Ausnahmen und Ausschlüsse im Hinblick auf die Betroffenenrechte enthalten, z. B. zur Erteilung einer Auskunft oder zur Löschung.

Sodann ist zu prüfen, ob der deutsche Gesetzgeber von dieser Klausel Gebrauch gemacht hat. In diesem Fall findet sich im BDSG eine entsprechende ergänzende Vorschrift. Bei der Beurteilung des Sachverhalts ist dann die spezielle Vorschrift des BDSG zu beachten, sofern diese Vorschrift mit den Voraussetzungen der DSGVO zu Öffnungsklauseln vereinbar ist. So ist beispielsweise nach einem Urteil des EuGH^[1] unklar, ob § 26 BDSG tatsächlich als eine "spezifischere" Vorschrift im Sinne der DSGVO für die Legitimation der Verarbeitung von Beschäftigtendaten herangezogen werden kann, also eine Vorschrift, die von den allgemeinen Regeln der Verordnung abweicht und deren Bestimmungen nicht nur wiederholt.

Praxis-Tipp

Verarbeitung von Beschäftigtendaten

Für die Verarbeitung von Beschäftigtendaten sieht Art. 88 DSGVO eine Öffnungsklausel vor. Diese Klausel ermöglicht den Mitgliedsstaaten der EU, auf nationaler Ebene Regelungen zur Datenverarbeitung zum Zwecke des Beschäftigtenverhältnisses aufzustellen. Der deutsche Gesetzgeber hat von dieser Möglichkeit Gebrauch gemacht und in § 26 BDSG Regelungen für die Verarbeitung von Beschäftigtendaten aufgestellt. Bei der Beurteilung, ob eine Verarbeitung von Beschäftigtendaten^[2] datenschutzkonform erfolgt, is...