Geschrieben am 22.05.2025 von:
Julia Hohage
Legal Consultant | Diplom-Wirtschaftsjuristin (FH)
zum Profil
Kontaktiere mich:
+49 (0) 6232 – 100119 44
E-Mail senden
In unserem letzten Beitrag hast du erfahren, wann die Verarbeitung personenbezogener Daten rechtmäßig im Sinne des Art. 5 Abs. 1 a) DS-GVO ist: Wenn es dafür eine Rechtsgrundlage gibt. Das ist meistens Art. 6 Abs. 1 DS-GVO, wo genau beschrieben ist, in welchen Fällen die Verarbeitung personenbezogener Daten erlaubt ist – zum Beispiel, wenn eine Einwilligung vorliegt (Art. 6 Abs. 1 a) DS-GVO, ein Vertrag mit der betroffenen Person (Art. 6 Abs. 1 b) DS-GVO) oder rechtliche Pflichten erfüllt werden (Art. 6 Abs. 1 c) DS-GVO). Für die Verarbeitung besonderer Kategorien von Daten nach Art. 9 Abs. 1 DS-GVO (z.B. Gesundheitsdaten – mehr dazu in Teil 2 unserer Reihe) finden sich die Erlaubnistatbestände in Art. 9 Abs. 2 DS-GVO. Unter Umständen finden spezielle Gesetze als Rechtsgrundlage Anwendung, zum Beispiel Vorschriften des Bundesdatenschutzgesetzes (BDSG), der Landes-Datenschutzgesetze (LDSG) oder des Sozialgesetzbuchs (SGB).
Im Beschäftigtendatenschutz ist genau dies der Fall:
Eine so genannte „Öffnungsklausel“ in der DS-GVO (Art. 88 DS-GVO) erlaubt es den Mitgliedstaaten, spezifischere Vorschriften für den Beschäftigungskontext vorzusehen. Diese finden sich in § 26 BDSG bzw. in den entsprechenden Landesvorschriften des jeweiligen Bundeslandes.
Ob diese Vorschriften jedoch den Voraussetzungen der Öffnungsklausel entsprechen und somit anwendbar sind, daran bestehen seit einem Urteil des EuGH Zweifel:
Der EuGH hatte § 23 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG)) dahingehend zu überprüfen. In seiner Entscheidung (EuGH, 30.03.2023, C-34/21) stellte der EuGH fest, die Landesvorschrift sei keine „spezifischere“ Vorschrift im Sinne des Art. 88 DS-GVO und somit nicht anwendbar. Im Ergebnis steht die Anwendbarkeit inhaltsgleicher Vorschriften anderer Bundesländer und § 26 BDSG ebenfalls in Frage.
In der Praxis hat sich etabliert, bei der Rechtsgrundlage für die erforderlichen Datenverarbeitungen im Beschäftigungskontext zusätzlich auf die Vorschriften der DS-GVO zu verweisen.
Die Notwendigkeit einer Neuregelung des Beschäftigtendatenschutzes ist nicht nur wegen der unklaren Rechtslage unbestritten: So beschreibt zum Beispiel die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) die bestehende Regelung im Beschäftigungskontext als „nicht hinreichend praktikabel, normenklar und sachgerecht“ und kritisiert, dass sie „weite Interpretationsspielräume eröffnet“ (aus der Entschließung vom 11. Mai 2023).
Ob die Neuregelung des Beschäftigtendatenschutzes in dieser Legislaturperiode nun umgesetzt wird, bleibt abzuwarten. Wir halten dich dazu weiter auf dem Laufenden!
Du möchtest wissen, wie Du die Vorgaben des Beschäftigtendatenschutzes im Personalmanagement umsetzt? Oder du hast Fragen zur konkreten Umsetzung in Bewerbungsverfahren, Personalmanagement, Arbeitszeiterfassung oder betrieblichem Gesundheitsmanagement? Du interessierst dich dafür, worauf es beim Einsatz von Software und künstlicher Intelligenz ankommt? Bei unserer Academy findest du Seminare dazu – oder du sprichst uns einfach an, wir beraten dich gerne: contact@morgenstern-privacy.com.