2023/II/Dig/3 Beschäftigtendatenschutzgesetz jetzt!

Der aktuelle Koalitionsvertrag sieht vor, Regelungen zum Beschäftigtendatenschutz zu schaffen. In diesem Zusammenhang wollen das BMAS und das BMI, in der ersten Hälfte der 20. Legislaturperiode, einen Entwurf für ein eigenständiges Beschäftigtendatenschutzgesetz vorlegen. Auf diesen Entwurf könnte zum jetzigen Zeitpunkt noch eingewirkt werden.

Im Jahr 2022 gab es in Deutschland insgesamt rund 45 Millionen Erwerbstätige, davon waren ca. 41,52 Millionen Personen abhängig Beschäftigte. Die Besonderheit hierbei ist, dass oftmals ein Ungleichgewicht herrscht. Der Schutz von Beschäftigten und ihren personenbezogenen Daten (Beschäftigtendaten) ist in der Arbeitswelt daher von großer Bedeutung. Mit einem Beschäftigtendatenschutzgesetz, das klare und handhabbare Regelungen enthält, wird ein Beitrag zum Schutze dieser Personengruppen geleistet.

Schon seit den siebziger Jahren und damit noch vor dem Volkszählungsurteil wird die Schaffung eines eigenständigen Beschäftigtendatenschutzes gefordert und von den Bundesregierungen immer wieder als rechtspolitisches Ziel anerkannt.

In den meisten Koalitionsverträgen der letzten 20 Jahre finden sich Selbstverpflichtungen zur Verabschiedung eines Gesetzes zum Beschäftigtendatenschutz. Bisher scheiterten jedoch alle Versuche überwiegend am Widerstand der Arbeitgebenden aber auch der Oppositionsparteien.  In der 16. Legislaturperiode erfolgte ein erster Entwurf eines Beschäftigtendatenschutzgesetzes unter dem damaligen Arbeitsminister Olaf Scholz, der es letztlich nicht durch das Gesetzgebungsverfahren schaffte.

Die seit Mai 2018 geltende DSGVO konnte bisher keine Klarheit bei der Verarbeitung von Beschäftigtendaten verschaffen. Die DSGVO regelt den Datenschutz allgemein. Spezialregelungen zum Beschäftigungsdatenschutz enthält sie nicht. Auch gibt es keine anderen EU-Instrumente zu diesem Gebiet, etwa eine Richtlinie zum Beschäftigtendatenschutz. Da die DSGVO eine vollständig harmonisierende Regelung ist, in deren Geltungsbereich die Mitgliedstaaten keine eigenen Regelungen treffen dürfen, gelten ihre durchweg generalklauselartig formulierten Regelungen an sich auch für den Beschäftigtendatenschutz. Allerdings enthält die Verordnung in Art. 88 die an die Mitgliedstaaten gerichtete Befugnis, spezifischere Vorschriften für den Beschäftigtendatenschutz zu erlassen. Davon hat der Bundesgesetzgeber mit § 26 BDSG, erfolglos, Gebrauch gemacht.

Einen neuen Schwung bekommt die Forderung nach einem Beschäftigtendatenschutzgesetz nun durch eine Entscheidung des EuGHs, wonach der § 26 Abs.1 S.1 BDSG keine Anwendung mehr finden dürfte. Der EuGH hat Ende März entschieden, dass eine nationale Regelung zur Datenverarbeitung im Beschäftigungskontext nicht von der Öffnungsklausel in Artikel 88 Absatz 1 DGVO gedeckt sei, wenn die Regelung nicht die strengen Anforderungen an spezifischere nationale Datenschutzvorschriften in Artikel 88 Absatz 2 DSGVO erfülle. Dafür müsse sich der nationale Regelungsgehalt von den allgemeinen Regeln der DSGVO unterscheiden und geeignete und besondere Datenschutzmaßnahmen umfassen (EuGH Urteil vom 30.03.2023, Az. C-34/21). Dieser Entscheidung lag die hessische Landesregelung für den Beschäftigtendatenschutz zugrunde, die nach dem EuGH unanwendbar betrachtet werden muss. Dies gilt folglich auch für die zentrale, nahezu identische Vorschrift im deutschen Beschäftigtendatenschutzrecht, den § 26 Abs.1 BDSG.

Die Entscheidung des EuGHs sollte als Chance verstanden werden, das nunmehr schon seit Jahrzehnten geforderte Beschäftigtendatenschutzgesetz zu verfassen und damit Rechtsunsicherheiten zu begegnen. Für die Vielzahl spezifischer Verarbeitungssituationen sind mit dem weiten Interpretationsspielraum des § 26 BDSG Unklarheiten für alle Beteiligten über die Zulässigkeit verschiedener Datenverarbeitungen entstanden.

Dieses Beschäftigtendatenschutzgesetz muss den Schutz der Beschäftigten vor einer totalen Überwachung durch den Arbeitgeber gewährleisten. Bisherige legislative Versuche sind, zu Recht, unter anderem an einem zu überwachungslastigen Ansatz gescheitert. Das darf sich nicht wiederholen. Der Mensch ist in den Mittelpunkt aller Überlegungen zu stellen, wenn das Vorhaben dieses Mal von Erfolg gekrönt sein soll. Mittlerweile haben sich sowohl die Technik als auch das Recht weiterentwickelt. Heimliche Überwachung durch Miniaturkameras, GPS-Tracker, Keylogger, Drohnen, Handys usw. sind einfach und kostengünstig möglich. Ein modernes Beschäftigtendatenschutzgesetz muss sich dagegenstemmen, dass Überwachungsmaßnahmen inflationär eingesetzt werden dürfen.

Ebenfalls regelungsbedürftig sind Bewerbungsverfahren, gerade in Zeiten der Digitalisierung.  Datenverarbeitung von Personalvermittlung, die Zeitarbeit- und Recruiting-Branche fallen nur bedingt unter den Beschäftigtendatenschutz. In diesen Bereichen wird Datenschutz bislang nur in geringem Maße gelebt. Da sich diese Betroffenen in einer vergleichbaren Situation befinden wie Bewerbende, sind sie zwingend in den Anwendungsbereich aufzunehmen. Hier gilt es die Anwendungsbereiche des Beschäftigtendatenschutzes und Rechtsverhältnisse der beteiligten Parteien verständlich darzustellen.

Alle dieser Themen sehen sich mit dem Einsatz neuer Technologien, insbesondere von künstlicher Intelligenz konfrontiert, so dass auch hier ein technologieneutraler Regelungsansatz gefunden werden muss, um den rasanten Entwicklungen der heutigen Zeit gerecht zu werden.

Das EuGH Urteil darf jedoch nicht so verstanden werden, dass die bisherige Rechtsprechung des Bundesarbeitsgerichts zu § 26 BDSG unberücksichtigt bleibt. Die Grenzen der Verarbeitung von Beschäftigtendaten finden sich nach wie vor in der BAG Rechtsprechung und allgemein gültigen Grundsätzen des Datenschutzes wieder.

Die Bundesministerien für Arbeit und Soziales (BMAS) und für Inneres (BMI) haben nun einen erneuten Anlauf für ein Beschäftigtendatenschutz gestartet und kürzlich in einem gemeinsamen Papier erste Eckpunkte eines neuen Beschäftigtendatenschutzgesetzes vorgestellt. Ein erster Austausch mit Stakeholdern ist bereits erfolgt.