Autoren: Jan Pohle und Maximilian Plote
Nachdem in den letzten Jahrzehnten bereits mehrere Versuche scheiterten, die datenschutzrechtlichen Bestimmungen in Bezug auf Arbeitnehmer und andere Beschäftigte in einem einheitlichen Beschäftigtendatenschutzgesetz zu bündeln und zu kodifizieren, unternimmt die derzeitige Regierung einen neuen Anlauf.
Derzeitige Rechtslage in Deutschland
Derzeit ist der Beschäftigtendatenschutz in Deutschland im Wesentlichen durch gerichtliche Entscheidungen geprägt, welche als Präzedenzfälle auf weitere Sachverhalte übertragen werden. Die europäische Datenschutz-Grundverordnung (DS-GVO) gestattet den nationalen Gesetzgebern in Art. 88 Abs. 1 DS-GVO zwar den Erlass von Bestimmungen, welche den Datenschutz im Beschäftigungskontext spezifizieren. Deutschland hat von dieser Öffnungsklausel mit § 26 BDSG jedoch nur sehr zurückhaltend Gebrauch gemacht. Viele von den dort geregelten Voraussetzungen und Vorgaben gehen kaum über jene der DS-GVO hinaus.
Noch schwerwiegender ist, dass zahlreiche Bestimmungen des § 26 BDSG nicht die Bedingungen erfüllen, welche die DS-GV (Art. 88 Abs. ) an die nationalen Vorschriften zum Beschäftigtendatenschutz stellt. Der europäische Gerichtshof (EuGH) konkretisierte zuletzt die in Art. 88 Abs. 2 DS-GVO genannten Bedingungen (Urteil vom 30. März 2023 – C-34/21). Das Bundesarbeitsgericht (BAG) erklärte daraufhin § 26 Abs. 1 S. 1 BDSG für unwirksam und unanwendbar, da hierin die Voraussetzungen der DS-GVO nicht erfüllt würden (Beschluss vom 9. Mai 2023 – 1 ABR 14/22). Weitere Einzelregelungen in § 26 BDSG könnten dieses Schicksal in Zukunft teilen.
Ein neuer Anlauf und konkrete Regelungsziele
Diesen Umstand haben die zuständigen Ministerien zum Anlass genommen, das Gesetzgebungsverfahren zu einem einheitlichen Beschäftigtendatenschutzgesetz voranzutreiben. Der für das vierte Quartal 2023 angekündigte Entwurf blieb jedoch bisher aus. So ist der bisher einzige Anhaltspunkt für mögliche Regelungen ein im April 2023 bekannt gewordenes Positionspapier der Bundesministerien für Arbeit und Soziales (BMAS) und des Inneren und für Heimat (BMI) mit dem Titel „Vorschläge für einen zeitgemäßen Beschäftigtendatenschutz“.
In diesem Papier skizzieren die Ministerien die mit dem Gesetz verfolgten Ziele. So soll der persönliche Anwendungsbereich möglichst weit gehalten werden, um etwa auch solo-selbstständige Plattformtätige zu erfassen. Im Hinblick auf Überwachungsmaßnahmen durch den Arbeitgeber hingegen sollen diese begrenzt werden, um einen dauerhaften Überwachungsdruck zu vermeiden. Es soll geregelt werden, unter welchen Voraussetzungen verdeckte oder offene Überwachungsmaßnahmen zulässig sein sollen. Auch Fragen zum Einsatz künstlicher Intelligenz sollen in dem Gesetz adressiert werden, wobei insbesondere eine Synergie mit den diesbezüglich erlassenen und geplanten Regelungen der EU vorgesehen ist. Besser geschützt werden sollen Bewerber und Bewerberinnen vor Datenverarbeitungen im Bewerbungsverfahren; hier sieht der Gesetzgeber wie bereits in der Vergangenheit ein besonderes Schutzbedürfnis.
Weiteres Ziel des Gesetzes sei, die im Hinblick auf die Zulässigkeit von Datenverarbeitungsvorgängen vorzunehmende Interessenabwägung in der Praxis handhabbarer zu machen. Dies soll auch durch die weitere Ausgestaltung der Vorgaben für die Freiwilligkeit von erteilten Einwilligungen geschehen. Besonders Praxisrelevant sind auch die angekündigten Regelungen zu Datenübermittlungen im Konzern. Der Schutz von Beschäftigten soll daneben durch eine Erweiterung der Betroffenenrechte erfolgen.
Praxishinweis
Betrachtet man, welche Schwierigkeiten sich für zahlreiche Unternehmen allein mit Blick auf Auskunftsersuchen nach Art. 15 DS-GVO ergeben, lassen die angekündigten Bestimmungen einen weiteren bürokratischen Mehraufwand erwarten. Derzeit bleibt abzuwarten, welche Änderungen das Beschäftigtendatenschutzgesetz konkret mit sich bringen wird. Vor dem Hintergrund der Unanwendbarkeit des § 26 Abs. 1 S. 1 BDSG und der Tatsache, dass der Erlass der Novellierung noch nicht absehbar ist, sollten Arbeitgeber aber bereits jetzt ihre datenschutzrechtliche Dokumentation überprüfen und erforderlichenfalls anpassen. § 26 Abs. 1 S. 1 BDSG, so stellte der EuGH klar, ist kein geeigneter Erlaubnistatbestand. Insofern können allein die Bestimmungen der DS-GVO herangezogen werden.
Wir werden den Gesetzgebungsprozess zum Beschäftigtendatenschutzgesetz weiterverfolgen und stehen für weitere Informationen zur Verfügung.