SCHLUSSANTRÄGE DES GENERALANWALTS
MANUEL CAMPOS SÁNCHEZ-BORDONA
vom 22. September 2022(1)
Rechtssache C‑34/21
Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium,
Beteiligte:
Minister des Hessischen Kultusministeriums als Dienststellenleiter
(Vorabentscheidungsersuchen des Verwaltungsgerichts Frankfurt am Main, Deutschland)
„Vorlage zur Vorabentscheidung – Schutz personenbezogener Daten – Verordnung (EU) 2016/679 – Datenverarbeitung im Beschäftigtenkontext – Art. 88 Abs. 1 – Spezifischere Vorschrift – Voraussetzungen von Art. 88 Abs. 2 – Regionales Schulsystem – Livestream-Unterricht per Videokonferenz – Fehlende ausdrückliche Einwilligung der Lehrkräfte“
1. In dem Rechtsstreit, der dem vorliegenden Vorabentscheidungsersuchen zugrunde liegt, geht es im Wesentlichen um die Frage, ob die beim hessischen Ministerium beschäftigten Lehrkräfte in die Übertragung ihres Unterrichts per Videokonferenz einwilligen müssen oder ob die Verarbeitung ihrer personenbezogenen Daten(2), sofern sie nicht einwilligen, durch ein in der Verordnung (EU) 2016/679(3) vorgesehenes berechtigtes Interesse gerechtfertigt sein kann.
2. Das Vorabentscheidungsersuchen gibt dem Gerichtshof die Möglichkeit, sich, sofern ich mich nicht irre, zum ersten Mal zu Art. 88 DSGVO zu äußern. Nach diesem Artikel können die Mitgliedstaaten durch Rechtsvorschriften oder durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext vorsehen.
I. Rechtlicher Rahmen
A. Unionsrecht. DSGVO
3. In den nachstehenden Erwägungsgründen heißt es:
„…
(8) Wenn in dieser Verordnung Präzisierungen oder Einschränkungen ihrer Vorschriften durch das Recht der Mitgliedstaaten vorgesehen sind, können die Mitgliedstaaten Teile dieser Verordnung in ihr nationales Recht aufnehmen, soweit dies erforderlich ist, um die Kohärenz zu wahren und die nationalen Rechtsvorschriften für die Personen, für die sie gelten, verständlicher zu machen.
…
(10) Um ein gleichmäßiges und hohes Datenschutzniveau für natürliche Personen zu gewährleisten und die Hemmnisse für den Verkehr personenbezogener Daten in der Union zu beseitigen, sollte das Schutzniveau für die Rechte und Freiheiten von natürlichen Personen bei der Verarbeitung dieser Daten in allen Mitgliedstaaten gleichwertig sein. Die Vorschriften zum Schutz der Grundrechte und Grundfreiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten sollten unionsweit gleichmäßig und einheitlich angewandt werden. Hinsichtlich der Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung oder zur Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde, sollten die Mitgliedstaaten die Möglichkeit haben, nationale Bestimmungen, mit denen die Anwendung der Vorschriften dieser Verordnung genauer festgelegt wird, beizubehalten oder einzuführen. …
…
(45) Erfolgt die Verarbeitung durch den Verantwortlichen aufgrund einer ihm obliegenden rechtlichen Verpflichtung oder ist die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, muss hierfür eine Grundlage im Unionsrecht oder im Recht eines Mitgliedstaats bestehen. Mit dieser Verordnung wird nicht für jede einzelne Verarbeitung ein spezifisches Gesetz verlangt. Ein Gesetz als Grundlage für mehrere Verarbeitungsvorgänge kann ausreichend sein, wenn die Verarbeitung aufgrund einer dem Verantwortlichen obliegenden rechtlichen Verpflichtung erfolgt oder wenn die Verarbeitung zur Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist. Desgleichen sollte im Unionsrecht oder im Recht der Mitgliedstaaten geregelt werden, für welche Zwecke die Daten verarbeitet werden dürfen. Ferner könnten in diesem Recht die allgemeinen Bedingungen dieser Verordnung zur Regelung der Rechtmäßigkeit der Verarbeitung personenbezogener Daten präzisiert und es könnte darin festgelegt werden, wie der Verantwortliche zu bestimmen ist, welche Art von personenbezogenen Daten verarbeitet werden, welche Personen betroffen sind, welchen Einrichtungen die personenbezogenen Daten offengelegt, für welche Zwecke und wie lange sie gespeichert werden dürfen und welche anderen Maßnahmen ergriffen werden, um zu gewährleisten, dass die Verarbeitung rechtmäßig und nach Treu und Glauben erfolgt. …
…
(155) Im Recht der Mitgliedstaaten oder in Kollektivvereinbarungen (einschließlich ’Betriebsvereinbarungen’) können spezifische Vorschriften für die Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext vorgesehen werden, und zwar insbesondere Vorschriften über die Bedingungen, unter denen personenbezogene Daten im Beschäftigungskontext auf der Grundlage der Einwilligung des Beschäftigten verarbeitet werden dürfen, über die Verarbeitung dieser Daten für Zwecke der Einstellung, der Erfüllung des Arbeitsvertrags einschließlich der Erfüllung von durch Rechtsvorschriften oder durch Kollektivvereinbarungen festgelegten Pflichten, des Managements, der Planung und der Organisation der Arbeit, der Gleichheit und Diversität am Arbeitsplatz, der Gesundheit und Sicherheit am Arbeitsplatz sowie für Zwecke der Inanspruchnahme der mit der Beschäftigung zusammenhängenden individuellen oder kollektiven Rechte und Leistungen und für Zwecke der Beendigung des Beschäftigungsverhältnisses.
…“
4. Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) der DSGVO legt fest:
„(1) Personenbezogene Daten müssen
a) auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden (,Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz‘);
b) für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken (,Zweckbindung‘);
c) dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein (,Datenminimierung‘);
d) sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden (,Richtigkeit‘);
e) in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden (,Speicherbegrenzung‘);
f) in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen (,Integrität und Vertraulichkeit‘);
(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (,Rechenschaftspflicht‘).“
5. Art. 6 („Rechtmäßigkeit der Verarbeitung“) der DSGVO bestimmt:
„(1) Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
…
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.
Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.
(2) Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.
(3) Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch
a) Unionsrecht oder
b) das Recht der Mitgliedstaaten, dem der Verantwortliche unterliegt.
Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und ‑verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.
(4) Beruht die Verarbeitung zu einem anderen Zweck als zu demjenigen, zu dem die personenbezogenen Daten erhoben wurden, nicht auf der Einwilligung der betroffenen Person oder auf einer Rechtsvorschrift der Union oder der Mitgliedstaaten, die in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme zum Schutz der in Artikel 23 Absatz 1 genannten Ziele darstellt, so berücksichtigt der Verantwortliche – um festzustellen, ob die Verarbeitung zu einem anderen Zweck mit demjenigen, zu dem die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist – unter anderem
a) jede Verbindung zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung,
b) den Zusammenhang, in dem die personenbezogenen Daten erhoben wurden, insbesondere hinsichtlich des Verhältnisses zwischen den betroffenen Personen und dem Verantwortlichen,
c) die Art der personenbezogenen Daten, insbesondere ob besondere Kategorien personenbezogener Daten gemäß Artikel 9 verarbeitet werden oder ob personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 verarbeitet werden,
d) die möglichen Folgen der beabsichtigten Weiterverarbeitung für die betroffenen Personen,
e) das Vorhandensein geeigneter Garantien, wozu Verschlüsselung oder Pseudonymisierung gehören kann.“
6. Art. 88 („Datenverarbeitung im Beschäftigungskontext“) der DSGVO lautet:
„(1) Die Mitgliedstaaten können durch Rechtsvorschriften oder durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext, insbesondere für Zwecke der Einstellung, der Erfüllung des Arbeitsvertrags einschließlich der Erfüllung von durch Rechtsvorschriften oder durch Kollektivvereinbarungen festgelegten Pflichten, des Managements, der Planung und der Organisation der Arbeit, der Gleichheit und Diversität am Arbeitsplatz, der Gesundheit und Sicherheit am Arbeitsplatz, des Schutzes des Eigentums der Arbeitgeber oder der Kunden sowie für Zwecke der Inanspruchnahme der mit der Beschäftigung zusammenhängenden individuellen oder kollektiven Rechte und Leistungen und für Zwecke der Beendigung des Beschäftigungsverhältnisses vorsehen.
(2) Diese Vorschriften umfassen geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz.
(3) Jeder Mitgliedstaat teilt der Kommission bis zum 25. Mai 2018 die Rechtsvorschriften, die er aufgrund von Absatz 1 erlässt, sowie unverzüglich alle späteren Änderungen dieser Vorschriften mit.“
B. Nationales Recht
1. Hessisches Datenschutz- und Informationsfreiheitsgesetz(4)
7. § 23 bestimmt:
„(1) Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung, Beendigung oder Abwicklung sowie zur Durchführung innerdienstlicher planerischer, organisatorischer, sozialer und personeller Maßnahmen erforderlich ist. Dies gilt auch zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten.
…
(4) Die Verarbeitung personenbezogener Daten einschließlich besonderer Kategorien personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses ist auf der Grundlage von Kollektivvereinbarungen zulässig. Dabei haben die Verhandlungspartner Art. 88 Abs. 2 [der DSGVO] zu beachten.
(5) Der Verantwortliche muss geeignete Maßnahmen ergreifen, um sicherzustellen, dass insbesondere die in Art. 5 [der DSGVO] dargelegten Grundsätze für die Verarbeitung personenbezogener Daten eingehalten werden.
…
(8) Beschäftigte im Sinne dieses Gesetzes sind:
…
7. Beamtinnen und Beamte im Geltungsbereich des Hessischen Beamtengesetzes[(5)], Richterinnen und Richter des Landes sowie Zivildienstleistende.
…“
2. Hessisches Beamtengesetz
8. § 86 Abs. 4 bestimmt:
„Der Dienstherr darf personenbezogene Daten über Bewerberinnen, Bewerber, Beamtinnen und Beamte sowie über ehemalige Beamtinnen und Beamte nur erheben, soweit dies zur Begründung, Durchführung, Beendigung oder Abwicklung des Dienstverhältnisses oder zur Durchführung organisatorischer, personeller und sozialer Maßnahmen, insbesondere auch zu Zwecken der Personalplanung und des Personaleinsatzes, erforderlich ist oder eine Rechtsvorschrift oder eine Dienstvereinbarung dies erlaubt …“
II. Sachverhalt des Ausgangsverfahrens und Vorlagefragen
9. Das Verwaltungsgericht Wiesbaden (Deutschland), von dem der Vorlagebeschluss ursprünglich stammt, hat weder den Sachverhalt des Rechtsstreits noch die in diesem Rechtsstreit angefochtenen Bestimmungen(6) oder den Ablauf des Verfahrens beschrieben und sich stattdessen auf die Darstellung seiner Zweifel hinsichtlich der rechtlichen Aspekte konzentriert.
10. Das vorlegende Gericht stellt lediglich fest, dass die Beteiligten „darüber [streiten], ob es bei der Einführung eines Livestream-Unterrichts durch Videokonferenzsysteme – neben der Einwilligung der Eltern für ihre Kinder oder der volljährigen Schüler – auch der Einwilligung der jeweiligen Lehrkraft bedarf oder ob die hier erfolgende Datenverarbeitung durch § 23 Abs. 1 Satz 1 HDSIG gedeckt ist …“.
11. Insbesondere äußert das vorlegende Gericht Zweifel daran, dass es sich bei § 23 Abs. 1 Satz 1 HDSIG um eine Norm handele, die als eine „spezifischere Vorschrift“ hinsichtlich der Verarbeitung von personenbezogenen Beschäftigtendaten nach Art. 88 DSGVO anzusehen sei. Nach Ansicht des Gerichts erfüllt diese Vorschrift die in Art. 88 Abs. 2 DSGVO gestellten Anforderungen nicht, da
– sie als Rechtsgrundlage für die Verarbeitung der Daten der Beschäftigten bzw. Beamten lediglich auf die „Erforderlichkeit“ abstelle;
– bei jeglicher Verarbeitung von Beschäftigtendaten, die über die rein notwendige Datenverarbeitung aus dem Beschäftigungsvertrag hinausgehe, eine Interessensabwägung durchzuführen sei, die über die einfache Erforderlichkeit, wie sie in der nationalen Vorschrift geregelt sei, hinausgehe.
12. Das vorlegende Gericht erklärt, dass es die Rechtsprechung des Bundesarbeitsgerichts, wonach die § 23 Abs. 1 Satz 1 HDSIG(7) entsprechende bundesrechtliche Vorschrift den Vorgaben des Art. 88 DSGVO genüge, nicht teile.
13. Das vorlegende Gericht vertritt im Gegenteil den Standpunkt, dass
– die Aufnahme des Grundsatzes der „Erforderlichkeit“ in den nationalen Vorschriften keine Konkretisierung der von Art. 88 Abs. 2 DSGVO enthaltenen Anforderungen darstelle;
– der Hinweis, dass der Verantwortliche insbesondere die in Art. 5 DSGVO dargelegten Grundsätze einzuhalten habe, ebenfalls nicht den Vorgaben des Art. 88 Abs. 2 DSGVO genüge, da Art. 5 DSGVO keinen besonderen Schutz der Beschäftigten enthalte;
– der Gesetzgeber zwar den Art. 88 Abs. 2 DSGVO grundsätzlich erkannt und gesehen hat, wenn er dessen Beachtung bei Kollektivvereinbarungen fordert, sich dazu jedoch selbst weder im Gesetz, noch in der Begründung zu der jeweiligen gesetzlichen Regelung mit diesem Forderungskatalog des Abs. 2 auseinandergesetzt bzw. diesen ausgefüllt hat.
14. Vor diesem Hintergrund hat das vorlegende Gericht dem Gerichtshof die folgenden Fragen zur Vorabentscheidung vorgelegt:
1. Ist Art. 88 Abs. 1 der DSGVO dahin auszulegen, dass eine Rechtsvorschrift, um eine spezifischere Vorschrift zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext im Sinne des Art. 88 Abs. 1 der vorgenannten Verordnung zu sein, die an solche Vorschriften nach Art. 88 Abs. 2 dieser Verordnung gestellten Anforderungen erfüllen muss?
2. Kann eine nationale Norm, wenn diese die Anforderungen nach Art. 88 Abs. 2 der DSGVO offensichtlich nicht erfüllt, trotzdem noch anwendbar bleiben?
III. Verfahren vor dem Gerichtshof
15. Das Vorabentscheidungsersuchen ist am 20. Januar 2021 beim Gerichtshof eingegangen.
16. Für den Ausgangsrechtsstreit ist seit dem 1. Dezember 2021(8) das Verwaltungsgericht Frankfurt am Main (Deutschland) zuständig, bei dem die Rechtssache weiterhin anhängig ist.
17. Die deutsche, die österreichische und die rumänische Regierung sowie die Europäische Kommission haben schriftliche Erklärungen eingereicht. Sie alle sowie der Hauptpersonalrat der Lehrerinnen und Lehrer haben die vom Gerichtshof vor der mündlichen Verhandlung gestellten Fragen schriftlich beantwortet.
18. An der mündlichen Verhandlung vom 30. Juni 2022 haben der Hauptpersonalrat der Lehrerinnen und Lehrer, das hessische Kultusministerium, die deutsche Regierung und die Kommission teilgenommen.
IV. Würdigung
A. Zulässigkeit des Vorabentscheidungsersuchens
19. Die deutsche Regierung macht in ihren schriftlichen Erklärungen geltend, das Vorabentscheidungsersuchen sei unzulässig, da das vorlegende Gericht im Rahmen der Prüfung, ob die beim Livestream-Unterricht durch Videokonferenzsysteme erfolgende Verarbeitung personenbezogener Daten durch § 23 Abs. 1 HDSIG gedeckt sei, Ausführungen dazu vermissen lasse, warum das vorlegende Gericht die Möglichkeit nicht in Betracht ziehe, dass die Datenverarbeitung aufgrund einer Einwilligung der jeweiligen Lehrkraft zulässig sei.
20. In der mündlichen Verhandlung hat die deutsche Regierung diesen Einwand teilweise relativiert und anerkannt, dass der Gerichtshof eine Entscheidung treffen müsse (d. h., dass das Vorabentscheidungsersuchen zulässig sei), sofern keine Einwilligung der betroffenen Lehrkräfte in die Verarbeitung vorliege.
21. Der Gerichtshof kann die Beantwortung einer Vorlagefrage eines nationalen Gerichts nur ablehnen, wenn die erbetene Auslegung des Unionsrechts offensichtlich in keinem Zusammenhang mit den Gegebenheiten oder dem Gegenstand des Ausgangsrechtsstreits steht, wenn das Problem hypothetischer Natur ist oder er nicht über die tatsächlichen und rechtlichen Angaben verfügt, die für eine zweckdienliche Beantwortung der ihm vorgelegten Fragen erforderlich sind(9).
22. Diese Bedingungen sind im vorliegenden Vorabentscheidungsersuchen nicht gegeben, so dass die Vermutung der Entscheidungserheblichkeit gilt(10). Dem Vorabentscheidungsersuchen liegt die Annahme zugrunde, dass nicht unbedingt alle Lehrkräfte in die Verarbeitung ihrer personenbezogenen Daten einwilligen und dass somit ein Interesse an der Prüfung besteht, ob die Vorschrift(11), nach der die ohne die Einwilligung der betroffenen Person erfolgte Verarbeitung zulässig ist, mit den Unionsvorschriften vereinbar ist.
23. Mit dem Vorabentscheidungsersuchen soll geklärt werden, ob die Rechtsvorschriften, die die ohne die Einwilligung der Lehrkräfte erfolgte Verarbeitung ihrer personenbezogenen Daten decken, die Voraussetzungen aus Art. 88 Abs. 1 und 2 DSGVO erfüllen oder nicht. Es besteht somit unbestreitbar eine hinreichende Verbindung zwischen dem Rechtsstreit und den Unionsvorschriften, um deren Auslegung ersucht wird.
B. Zur Beantwortung der Fragen
1. Vorüberlegungen
24. Mit der ersten Vorlagefrage möchte das vorlegende Gericht klären, ob eine Rechtsvorschrift, um eine „spezifischere Vorschrift“ im Sinne des Art. 88 Abs. 1 DSGVO zu sein, die nach Art. 88 Abs. 2 DSGVO gestellten Anforderungen erfüllen muss.
25. Aus dem Wortlaut von Art. 88 DSGVO folgt, dass die in Art. 1 genannten „spezifischeren Vorschriften“ die Voraussetzungen aus Abs. 2 erfüllen müssen.
26. Gemäß Art. 88 Abs. 2 DSGVO müssen „[d]iese Vorschriften“ (d. h. die in Abs. 1 genannten spezifischeren Vorschriften, die die Mitgliedstaaten erlassen können) „geeignete und besondere Maßnahmen“ zur Wahrung der Würde, der berechtigten Interessen und der Grundrechte der Beschäftigten enthalten. Bei diesen Vorschriften sind insbesondere die Transparenz der Verarbeitung, die Übermittlung der Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen und die Überwachungssysteme am Arbeitsplatz zu berücksichtigen.
27. Es besteht somit ein offensichtlicher Zusammenhang zwischen den beiden Absätzen von Art. 88 DSGVO: Abs. 2 bestimmt(12) den Inhalt der spezifischeren Vorschriften, die die Mitgliedstaaten gemäß Abs. 1 für den Beschäftigungskontext erlassen können.
28. Die Antwort auf die erste Vorlagefrage bereitet also keine großen Schwierigkeiten: Art. 88 DSGVO ist dahin auszulegen, dass eine Rechtsvorschrift, die als „spezifischere Vorschrift“ im Sinne von Abs. 1 gelten soll, die nach Abs. 2 „gestellten Anforderungen erfüllen muss“, um es mit den Worten des vorlegenden Gerichts auszudrücken.
29. Es ist unwahrscheinlich, dass das vorlegende Gericht für dieses Ergebnis die Unterstützung des Gerichtshofs benötigte. Vielleicht ist jedoch der tatsächliche Sinn der ersten Vorlagefrage anhand der zweiten Vorlagefrage zu beurteilen. Mit der zweiten Vorlagefrage soll geklärt werden, ob eine nationale Norm, die „die Anforderungen nach Art. 88 Abs. 2 [DSGVO] offensichtlich nicht erfüllt“(13), trotzdem noch anwendbar bleiben kann.
30. Unter diesem (dem Vorlagebeschluss zu entnehmenden) Gesichtspunkt stellt sich die Frage, ob die Rechtsvorschriften der Mitgliedstaaten, die gemäß Art. 88 Abs. 1 DSGVO erlassen wurden, jedoch nicht die Voraussetzungen aus Art. 88 Abs. 2 DSGVO erfüllen, von anderen Bestimmungen der DSGVO gedeckt sind. Dies gilt insbesondere für sonstige Öffnungsklauseln aus der Verordnung, wie z. B. Art. 6 Abs. 2.
31. Da sich die beiden Vorlagefragen des vorlegenden Gerichts überschneiden, ziehen es die österreichische Regierung und die Kommission vor, sie zusammen zu beantworten. Ich teile diese Auffassung und werde dem Ansatz folgen.
2. Art. 88 DSGVO und verbeamtetes Lehrpersonal
32. Das vorlegende Gericht geht davon aus, dass zwischen den vom Hauptpersonalrat vertretenen Lehrkräften und dem hessischen Kultusministerium, was die nationalen Datenschutzvorschriften anbelangt, ein Beschäftigungsverhältnis besteht.
33. Diese Annahme steht im Einklang mit dem HDSIG, das im Rahmen der Regelung der Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses die in den Geltungsbereich des HBG fallenden Beamtinnen und Beamte, einschließlich der Lehrkräfte, als Beschäftigte im Sinne dieses Gesetzes einstuft.
34. Das Gericht zweifelt folglich zu keinem Zeitpunkt an der Anwendbarkeit des Art. 88 DSGVO auf Beschäftigte des Landes, die als Lehrkräfte verbeamtet sind.
35. Auch die Parteien und Beteiligten, die hierzu vom Gerichtshof befragt wurden, ziehen diesen Punkt nicht in Zweifel. Sie alle stimmen darin überein, dass verbeamtetes Lehrpersonal nicht aus dem Anwendungsbereich von Art. 88 DSGVO ausgeschlossen werden kann.
36. Der Ansatz erscheint mir richtig und kann bei der Würdigung des Anwendungsbereichs von Art. 88 DSGVO, insoweit sich dieser auf den „[Schutz] hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext“ bezieht, herangezogen werden.
37. Wie die deutsche Regierung betont, umfasst die Kategorie der Arbeitnehmer im weitesten Sinne selbstverständlich auch verbeamtete Lehrkräfte, die beim Land beschäftigt sind und deren Interessen durch den Hauptpersonalrat der Lehrerinnen und Lehrer vertreten werden.
38. Die Rechtsprechung des Gerichtshofs zum Arbeitsverhältnis(14) sowie zum Begriff des Arbeitnehmers in Verbindung mit der Freizügigkeit der Arbeitnehmer und der Unanwendbarkeit des früheren Art. 39 Abs. 4 EG (heutiger Art. 45 Abs. 4 AEUV) auf die Beschäftigung in der öffentlichen Verwaltung führt analog zu der von mir vorgeschlagenen Antwort.
39. Nach dieser Rechtsprechung, die den funktionalen Aspekt der ausgeführten Aufgabe hervorhebt, gilt:
– Der Begriff der öffentlichen Verwaltung ist insoweit in der gesamten Union einheitlich auszulegen und anzuwenden; seine Bestimmung kann daher nicht völlig in das Ermessen der Mitgliedstaaten gestellt werden.
– Art. 45 Abs. 4 AEUV bezieht sich auf Stellen, die eine unmittelbare oder mittelbare Teilnahme an der Ausübung hoheitlicher Befugnisse oder an den Aufgaben mit sich bringen, die auf die Wahrung der allgemeinen Belange des Staates oder anderer öffentlicher Körperschaften gerichtet sind(15).
40. Da verbeamtete Lehrkräfte als solche nicht an der Ausübung öffentlicher Gewalt im engeren Sinne beteiligt sind, sondern vielmehr eine Dienstleistungstätigkeit im Bildungsbereich ausüben(16), wie sie auch für andere private Einrichtungen oder Unternehmen erbracht wird, können verbeamtete Lehrkräfte allgemein und folglich auch für den Bereich des Datenschutzes als „Beschäftigte“ angesehen werden.
41. Wie die österreichische Regierung hervorhebt, käme es sonst zu einer Ungleichbehandlung von im Wesentlichen gleichen Situationen, denn als solche sind die Stellung der Lehrkräfte im öffentlichen Dienst und die Stellung der Lehrkräfte im privaten Sektor von einem sachlichen Gesichtspunkt aus einzustufen. Dies wäre, wie die Kommission geltend macht, umso schwerwiegender, als der Begriff des öffentlichen Dienstes in der Union nicht harmonisiert ist, so dass der Anwendungsbereich von Art. 88 DSGVO im Falle einer unterschiedlichen Auslegung von den nationalen Rechtsvorschriften abhängig wäre.
3. Öffnungsklauseln in der DSGVO
42. In der Rechtssache Fashion ID(17) hat Generalanwalt Bobek hervorgehoben, dass sich mit der Ablösung der Richtlinie 95/46/EG(18) durch die DSGVO die Natur des Rechtsakts, in dem der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten geregelt werde, grundlegend gewandelt habe.
43. Bei diesem Rechtsakt handelt es sich nicht mehr um eine Richtlinie (d. h. eine Vorschrift, die zu einem Ergebnis verpflichtet und den nationalen Behörden die Wahl der Form und der Mittel überlässt), sondern um eine Verordnung. Diese Verordnung, die in allen ihren Teilen verbindlich ist und unmittelbar in jedem Mitgliedstaat gilt, erlaubt es, sofern keine ausdrückliche Ermächtigung vorliegt, grundsätzlich nicht, dass nationale Vorschriften ihren Wortlaut übernehmen (oder wiedergeben)(19).
44. Obwohl die DSGVO über die mit der Richtlinie 95/46 angestrebte Harmonisierung hinausgeht(20), hat die nahezu umfassende Universalität der Bereiche menschlicher Tätigkeit, in denen personenbezogene Daten erzeugt werden, deren Verarbeitung zu schützen ist(21), dazu geführt, dass der Gesetzgeber die Mitgliedstaaten dazu ermächtigt hat:
– bestimmte Teile der DSGVO in nationales Recht aufzunehmen, sofern in der DSGVO Präzisierungen oder Einschränkungen ihrer Vorschriften durch das Recht der Mitgliedstaaten vorgesehen sind;
– nationale Bestimmungen, mit denen die Anwendung der Vorschriften der DSGVO genauer festgelegt wird, beizubehalten oder einzuführen(22).
45. Zwar soll mit der DSGVO erreicht werden, dass die Datenschutzbestimmungen unionsweit gleichmäßig und einheitlich angewandt und Hemmnisse für den Verkehr personenbezogener Daten in der Union beseitigt werden(23), jedoch konnte der Unionsgesetzgeber, wie Generalanwalt Richard de la Tour hervorgehoben hat, nicht umhin, anzuerkennen, dass sich die Realität als komplexer erweist: Obwohl sie bereichsübergreifend ist, konnte die DSGVO nicht alle möglichen Verästelungen des Schutzes personenbezogener Daten in anderen Bereichen, insbesondere im Arbeits‑, Wettbewerbs- oder Verbraucherschutzrecht, vorwegnehmen(24).
46. Dies erklärt, warum die DSGVO den Mitgliedstaaten die Möglichkeit eröffnet, zusätzliche, strengere oder einschränkende, nationale Vorschriften vorzusehen. Die Mitgliedstaaten verfügen über einen Ermessensspielraum hinsichtlich der Art und Weise der Durchführung dieser Bestimmungen („Öffnungsklauseln“)(25).
47. Die relative Häufigkeit solcher Klauseln hat nachteilige Auswirkungen auf die vollständige Harmonisierung des Schutzes personenbezogener Daten(26). Wie die Kommission einräumt, führt der Umstand, dass die DSGVO die Mitgliedstaaten verpflichtet, einige Bereiche selbst gesetzlich zu regeln, während sie in anderen Bereichen die Möglichkeit haben, im Vergleich zur DSGVO konkretere Vorschriften festzulegen, zu „eine[r] gewisse[n] Fragmentierung, die insbesondere aufgrund der umfangreichen Anwendung fakultativer Spezifikationsklauseln zustande kommt“(27).
48. In der vorliegenden Rechtssache ist insbesondere die Klausel aus Art. 88 Abs. 1 DSGVO von Bedeutung. Es ist jedoch auch eine kurze Würdigung ihres Verhältnisses zu der Klausel aus Art. 6 Abs. 1 Buchst. b und e DSGVO erforderlich, und dies ist in der mündlichen Verhandlung erfolgt.
a) Art. 6 Abs. 2 DSGVO
49. Im Rahmen von Kapitel II DSGVO, in dem die „Grundsätze“ aufgeführt sind, die für die Verarbeitung personenbezogener Daten gelten und folglich die allgemeinen Regeln des Systems darstellen, führt Art. 6 Abs. 1 die Voraussetzungen für die Rechtmäßigkeit der Verarbeitung auf. Art. 6 Abs. 1 Buchst. a bezieht sich auf die Voraussetzung der Einwilligung der betroffenen Person und Buchst. b auf die Voraussetzung, dass die Verarbeitung für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich ist.
50. Hinzu kommen die Voraussetzungen, die sich aus den in Art. 5 DSGVO(28) allgemein festgelegten Grundsätzen ergeben und die in den Art. 7 bis 11 DSGVO für die Einwilligung (Art. 7 und, für Minderjährige, Art. 8), für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9), für die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10) und für die Verarbeitung, für die eine Identifizierung der betroffenen Person nicht erforderlich ist (Art. 11), konkretisiert werden.
51. Zu diesen Grundsätzen und Regeln kommen „spezifischere Bestimmungen“ hinzu, die die Mitgliedstaaten gemäß Art. 6 Abs. 2 DSGVO „zur Anpassung der Anwendung der Vorschriften“ der DSGVO in Bezug auf zwei Verarbeitungen einführen (oder beibehalten) können, wenn
– die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (Art. 6 Abs. 1 Buchst. c);
– oder die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt (Art. 6 Abs. 1 Buchst. e)(29).
52. Diese „Anpassung“ erfolgt gemäß Art. 6 Abs. 2, „indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten“, was „andere besondere Verarbeitungssituationen gemäß Kapitel IX“ beinhaltet.
53. Dieser Satzteil der Vorschrift ist nicht so deutlich, wie es zu wünschen wäre, da nicht erkennbar ist, ob die Vorschrift – wie ich betonen möchte, für die in Art. 6 Abs. 1 Buchst. c und e vorgesehenen Verarbeitungen – die Regelung sonstiger, nicht in Kapitel IX vorgesehener besonderer Situationen erlaubt oder für diese beiden Verarbeitungen nur die Verarbeitungssituationen gemäß Kapitel IX zulässt.
b) Art. 88 Abs. 1 DSGVO
54. Auf jeden Fall ist vorliegend die Öffnungsklausel aus Art. 88 Abs. 1 DSGVO von Interesse, da sich das vorlegende Gericht auf diese Klausel konzentriert. Ausweislich ihres Wortlauts können die Mitgliedstaaten durch Rechtsvorschriften oder durch Kollektivvereinbarungen „spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext“ vorsehen.
55. Die Verarbeitung dieser personenbezogenen Daten kann insbesondere zu folgenden Zwecken erfolgen:
– für Zwecke der Einstellung, der Erfüllung des Arbeitsvertrags(30), des Managements, der Planung und der Organisation der Arbeit, der Gleichheit und Diversität am Arbeitsplatz, der Gesundheit und Sicherheit am Arbeitsplatz, des Schutzes des Eigentums der Arbeitgeber oder der Kunden;
– für Zwecke der Inanspruchnahme der mit der Beschäftigung zusammenhängenden individuellen oder kollektiven Rechte und Leistungen; und
– für Zwecke der Beendigung des Beschäftigungsverhältnisses.
56. Die Ermächtigung zum Erlass dieser Bestimmungen wirkt sich in gewisser Weise nachteilig auf die Harmonisierung aus. Die durch Art. 88 Abs. 1 DSGVO ermöglichten nationalen Vorschriften können für einen oder mehrere Mitgliedstaaten dazu führen, dass Abweichungen von der allgemeinen Regelung der DSGVO eingeführt werden, die über die nach Art. 6 Abs. 2 DSGVO zulässige bloße „Anpassung“ hinausgehen:
– Art. 6 Abs. 2 DSGVO ermächtigt die Mitgliedstaaten zur Anpassung der Anwendung bestimmter Bestimmungen der DSGVO.
– Art. 88 Abs. 1 DSGVO hingegen ermächtigt die Mitgliedstaaten, spezifischere Vorschriften zur Gewährleistung des Schutzes vorzusehen. Die Rechtsetzungstätigkeit ist somit umfassender, als wenn lediglich bezweckt wird, die Anwendung von Bestimmungen der DSGVO, deren Inhalt und Anwendungsbereich als endgültig zu betrachten sind, anzupassen oder abzustimmen(31).
4. § 23 HDSIG in Verbindung mit der DSGVO
57. Die Bundesrepublik Deutschland teilte der Kommission gemäß Art. 88 Abs. 3 DSGVO mit, dass sie in Übereinstimmung mit Art. 88 Abs. 1 DSGVO u. a. § 23 HDSIG erlassen habe.
58. Ich stimme an dieser Stelle mit dem vorlegenden Gericht und der Kommission darin überein, dass § 23 HDSIG die in Art. 88 Abs. 1 DSGVO festgelegte Voraussetzung, dass „spezifischere Vorschriften“ zur Gewährleistung des Schutzes der Rechte hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext vorgesehen werden, nicht erfüllt.
59. Sowohl § 23 Abs. 1 Satz 1 HDSIG als auch § 86 Abs. 4 Satz 1 HBG geben lediglich vor, dass personenbezogene Daten von Beschäftigten und Beamten für Zwecke des Beschäftigungsverhältnisses verarbeitet werden dürfen, wenn dies für einen der beiden folgenden Zwecke „erforderlich“ ist:
– für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung, Beendigung oder Abwicklung; oder
– zur Durchführung innerdienstlicher planerischer, organisatorischer, sozialer und personeller Maßnahmen.
60. Genau genommen machen beide Rechtsvorschriften die Verarbeitung personenbezogener Daten der Beschäftigten allein davon abhängig, dass diese für bestimmte Zwecke erforderlich ist.
61. Es besteht also kein wesentlicher Unterschied zu der Bestimmung aus Art. 6 Abs. 1 Buchst. b DSGVO („Die Verarbeitung ist nur rechtmäßig, wenn … die Verarbeitung … für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich [ist], die auf Anfrage der betroffenen Person erfolgen“)(32).
62. § 23 HDSIG wiederholt somit eine Voraussetzung, die bereits in Art. 6 Abs. 1 Buchst. b DSGVO für die allgemeine Rechtmäßigkeit der Verarbeitung gefordert wird. Der Paragraf fügt hingegen keine spezifischere Vorschrift zum Schutz der Rechte im Rahmen der Verarbeitung personenbezogener Daten im Beschäftigungskontext hinzu(33).
63. Das Ergebnis wäre dasselbe, wenn die strittige Lehrtätigkeit unter Art. 6 Abs. 1 Buchst. e DSGVO fiele (d. h., die strittige Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt)(34).
64. In den Fällen der Buchst. c und e ermächtigt Art. 6 Abs. 2 DSGVO die Mitgliedstaaten, wie ich bereits dargestellt habe, dazu, „spezifischere Bestimmungen … bei[zu]behalten oder ein[zu]führen, indem sie spezifische Anforderungen für die Verarbeitung … präziser bestimmen, …“.
65. Ich möchte erneut darauf hinweisen, dass § 23 HDSIG nicht als eine „spezifischere Vorschrift“ anzusehen ist, sondern lediglich die Verarbeitung von Beschäftigtendaten ermöglicht, sofern diese erforderlich ist. Die Bedingungen und Bestimmungen für die eventuelle Verarbeitung werden jedoch nicht näher konkretisiert.
66. Entgegen dieser Auffassung macht die deutsche Regierung geltend, dass es „nicht möglich bzw. nicht praktikabel“ sei, die Vielfalt aller Datenverarbeitungen im Beschäftigungskontext detailliert abzubilden. Es sei vielmehr notwendig, eine gesetzliche Norm zu schaffen, auf die jedenfalls solche Datenverarbeitungen gestützt werden könnten, die keiner spezifischeren Rechtsgrundlage bedürften(35).
67. Hierauf braucht nur erwidert zu werden, dass Art. 88 Abs. 3 DSGVO, so schwierig die Aufgabe auch erscheinen mag, abschließend regelt, dass jeder Mitgliedstaat verpflichtet ist, der Kommission „die Rechtsvorschriften, die er aufgrund von [Art. 88] Absatz 1 erlässt“, mitzuteilen. Dabei bezieht sich die Verpflichtung nicht auf die (grundlegenden) Bestimmungen, auf denen die spezifischeren Vorschriften beruhen, sondern eben auf diese spezifischeren Vorschriften. Die Mitteilung hat individuell und ausdrücklich zu erfolgen(36).
68. Im Ergebnis wiederholt § 23 HDSIG nur die bereits in Art. 88 Abs. 1 DSGVO enthaltene Ermächtigung bzw. öffnet, um es mit anderen Worten zu sagen, die Tür für die Schaffung (oder Beibehaltung) weiterer spezifischerer Vorschriften.
69. § 23 HDSIG legt nicht nur per se keine „spezifischeren Vorschriften“ im Sinne von Art. 88 Abs. 1 DSGVO fest, sondern umfasst auch keine „geeignete[n] und besondere[n] Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person“.
70. Durch das Fehlen solcher Maßnahmen verstößt § 23 HDSIG gegen die in Art. 88 Abs. 2 DSGVO festgelegte Voraussetzung dafür, dass der Erlass differenzierender Rechtsvorschriften der Mitgliedstaaten im Bereich der Arbeitsverhältnisse überhaupt zulässig ist.
71. Da sich das Vorabentscheidungsersuchen auf Rechtsvorschriften und nicht auf Kollektivvereinbarungen bezieht, werde ich Tarifverträge(37) nicht berücksichtigen und mich auf Rechtsvorschriften beschränken.
72. In Bezug auf Rechtsvorschriften kann sich der nationale Gesetzgeber nicht, wie es in § 23 Abs. 5 HDSIG der Fall ist, auf die Festlegung beschränken, dass der Verantwortliche geeignete Maßnahmen ergreifen muss, um sicherzustellen, dass „die in Art. 5 [DSGVO] dargelegten Grundsätze für die Verarbeitung personenbezogener Daten eingehalten werden“. Diese Vorgabe ist überflüssig, da sich jegliche Datenverarbeitung grundsätzlich und als Mindestvoraussetzung an die Bedingungen des Art. 5 DSGVO zu halten hat.
73. In Art. 88 Abs. 2 DSGVO werden Maßnahmen festgelegt, die in Bezug auf die Garantien die erforderliche Übereinstimmung mit der Spezifität der gemäß Art. 88 Abs. 1 DSGVO erlassenen Vorschriften sicherstellen. Ziel ist es, dass ein nach Abs. 1 zulässiger Erlass einer nationalen Vorschrift durch einen einzelnen Mitgliedstaat gegebenenfalls auch mit der entsprechenden Spezifität der Garantien einhergeht.
74. Würde davon ausgegangen werden, dass § 23 HDSIG eine spezifischere Vorschrift im Sinne von Art. 88 Abs. 1 DSGVO darstellt, so enthielte dieser Paragraf in Bezug auf die Voraussetzung der Garantien gemäß Art. 88 Abs. 2 DSGVO lediglich eine Wiederholung der in Art. 5 DSGVO allgemein vorgesehenen Garantien. Es ginge letztendlich das notwendige Gleichgewicht zwischen der Spezifität der nach Abs. 1 zulässigen Vorschriften und der Spezifität der in Art. 88 Abs. 2 DSGVO geforderten „Maßnahmen zur Wahrung“ von Rechten und Interessen verloren.
75. Im Ergebnis bin ich der Meinung, dass § 23 HDSIG nicht auf Art. 88 DSGVO gestützt werden kann, weil er erstens keine spezifischeren Vorschriften enthält und zweitens lediglich die allgemeinen Garantien aus Art. 5 DSGVO wiederholt.
5. Ist § 23 HDSIG dennoch anwendbar?
76. Es bleibt die Frage, ob § 23 HDSIG trotz der vorstehenden Ausführungen in der nationalen Rechtsordnung zur Anwendung kommen kann. Wie bereits erläutert, scheint dies die Frage zu sein, die das vorlegende Gericht letztendlich klären möchte.
77. Diese Frage läuft darauf hinaus, ob die von den Mitgliedstaaten in Übereinstimmung mit der Öffnungsklausel aus Art. 88 Abs. 1 DSGVO erlassenen Vorschriften, die die Voraussetzungen aus Art. 88 Abs. 2 DSGVO nicht erfüllen, gemäß anderen Bestimmungen der DSGVO Anwendung finden können.
78. Die Antwort, die darauf beruht, dass § 23 HDSIG keine „spezifischere Vorschrift“ im Sinne von Art. 88 DSGVO enthält(38), kann in zweifacher Hinsicht ausgeführt werden:
– § 23 HDSIG ist insoweit irrelevant bzw. überflüssig, als er streng genommen keine spezifischeren Bestimmungen enthält, die das Recht der Beschäftigten auf Schutz ihrer personenbezogenen Daten im Beschäftigungskontext gewährleisten.
– Im Beschäftigungskontext (Arbeitsverhältnisse) sind grundsätzlich und unmittelbar die Bestimmungen der allgemeinen Regelung aus der DSGVO anzuwenden.
79. Wie die österreichische und die rumänische Regierung sowie die Kommission festgestellt und alle Beteiligten in der mündlichen Verhandlung eingeräumt haben, ist es eine andere Frage, dass der Anwendung durch einen Mitgliedstaat entweder anderer Bestimmungen der DSGVO oder gemäß Art. 6 Abs. 2 DSGVO nationaler Vorschriften, die die Verarbeitung von Beschäftigtendaten so regeln, dass sie der „Anpassung der Anwendung“ der DSGVO dienen, nichts entgegensteht.
V. Ergebnis
80. Nach alledem schlage ich dem Gerichtshof vor, dem Verwaltungsgericht Frankfurt am Main (Deutschland) wie folgt zu antworten:
Art. 88 Abs. 1 und 2 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ist dahin auszulegen, dass
eine von einem Mitgliedstaat erlassene Rechtsvorschrift nur dann eine spezifischere Vorschrift zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext darstellt, wenn sie die nach Art. 88 Abs. 2 der Verordnung 2016/679 an solche Vorschriften gestellten Anforderungen erfüllt.
Erfüllt die Rechtsvorschrift die Voraussetzungen aus Art. 88 Abs. 2 der Verordnung 2016/679 nicht, so ist sie gegebenenfalls nur insoweit anwendbar, als sie durch andere Bestimmungen dieser Verordnung oder durch die in Art. 6 Abs. 2 der Verordnung genannten, zur Anpassung erlassenen nationalen Vorschriften gedeckt ist.