Für Sie gelesen

Sehr geehrte Ärzte,
hier ist der vollständige Text für Sie:

DocSecur® Nachrichten - Legislative:

Steuer & Recht |

Videokonferenz-Livestream des öffentlichen Schulunterrichts fällt unter die DSGVO

Der Minister des Hessischen Kultusministeriums legte im Jahr 2020 mit zwei Erlassen den rechtlichen und organisatorischen Rahmen des Schulunterrichts während der COVID-19-Pandemie fest. Mit diesem Rahmen wurde insbesondere für Schüler, die nicht am Präsenzunterricht teilnehmen konnten, die Möglichkeit eingerichtet, am Unterricht per Videokonferenz-Livestream teilzunehmen. Zur Wahrung der Rechte der Schüler im Bereich des Schutzes personenbezogener Daten wurde festgelegt, dass die Zuschaltung zum Videokonferenzdienst nur mit der Einwilligung der Schüler selbst oder – bei Minderjährigen – ihrer Eltern zulässig ist. Dagegen war die Einwilligung der betroffenen Lehrkräfte zu ihrer Teilnahme an dem Videokonferenzdienst nicht vorgesehen.

Der Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium hat Klage gegen den für diese Fragen zuständigen Minister erhoben und gerügt, dass es für den Livestreamunterricht per Videokonferenz, wie er in der nationalen Regelung vorgesehen sei, nicht der Einwilligung der betroffenen Lehrkräfte bedurfte. Der Minister hat geltend gemacht, dass die Verarbeitung personenbezogener Daten beim Livestreamunterricht per Videokonferenz von der nationalen Regelung gedeckt sei, sodass sie ohne Einholung der Einwilligung der betroffenen Lehrkräfte erfolgen könne.

Das zuständige Verwaltungsgericht hat dazu ausgeführt, dass nach dem Willen des hessischen Landesgesetzgebers die nationale Regelung, auf deren Grundlage die Verarbeitung personenbezogener Daten von Lehrkräften erfolge, in die Kategorie der „spezifischeren Vorschriften“ falle, die die Mitgliedstaaten gemäß Art. 88 Abs. 1 der Datenschutz-Grundverordnung¹ zur Gewährleistung des Schutzes der Rechte und Freiheiten von Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext vorsehen könnten². Dieses Gericht hatte jedoch Zweifel an der Vereinbarkeit dieser Regelung mit den Voraussetzungen des Art. 88 Abs. 2 DSGVO³. Es hat den Gerichtshof daher um eine Vorabentscheidung ersucht.

Mit seinem Urteil entscheidet der Gerichtshof, dass eine nationale Rechtsvorschrift keine „spezifischere Vorschrift“ im Sinne von Art. 88 Abs. 1 DSGVO sein kann, wenn sie nicht die Vorgaben von Abs. 2 dieses Artikels erfüllt. Der Gerichtshof stellt überdies klar, dass nationale Rechtsvorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten von Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext unangewendet bleiben müssen, wenn sie nicht die in Art. 88 Abs. 1 und 2 DSGVO vorgegebenen Voraussetzungen und Grenzen beachten, es sei denn, die in Rede stehenden Rechtsvorschriften stellen eine Rechtsgrundlage für die Verarbeitung im Sinne eines anderen Artikels der DSGVO⁴ dar, die den Anforderungen dieser Verordnung genügt.

Würdigung durch den Gerichtshof

Zunächst stellt der Gerichtshof fest, dass die Verarbeitung personenbezogener Daten von Lehrkräften beim Videokonferenz-Livestream des von ihnen erteilten öffentlichen Schulunterrichts in den sachlichen Anwendungsbereich der DSGVO fällt. Er stellt sodann klar, dass diese Verarbeitung der personenbezogenen Daten von Lehrkräften, die als Angestellte oder Beamte im öffentlichen Dienst des Landes Hessen stehen, in den persönlichen Anwendungsbereich des Art. 88 DSGVO fällt, der auf die Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext abstellt.

In einem ersten Schritt befasst sich der Gerichtshof mit der Frage, ob eine „spezifischere Vorschrift“ im Sinne von Art. 88 Abs. 1 DSGVO die Vorgaben des Art. 88 Abs. 2 DSGVO erfüllen muss. Aus der Verwendung des Ausdrucks „spezifischere“ im Wortlaut von Art. 88 Abs. 1 DSGVO ergibt sich, dass die Vorschriften im Sinne dieser Bestimmung einen zu dem geregelten Bereich passenden Regelungsgehalt haben müssen, der sich von den allgemeinen Regeln der DSGVO unterscheidet. Ferner ergibt sich aus dem Wortlaut von Art. 88 DSGVO, dass dessen Abs. 2 dem Ermessen der Mitgliedstaaten, die den Erlass „spezifischerer Vorschriften“ nach Abs. 1 dieses Artikels beabsichtigen, einen Rahmen setzt. So dürfen sich diese Vorschriften zum einen nicht auf eine Wiederholung der Bestimmungen der DSGVO beschränken, die die Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten und die Grundsätze für diese Verarbeitung vorsehen⁵ oder auf diese Bedingungen und Grundsätze verweisen. Sie müssen auf den Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten abzielen und geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen. Zum anderen ist dabei insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz vorzugehen. Um als „spezifischere Vorschrift“ im Sinne von Art. 88 Abs. 1 DSGVO eingestuft werden zu können, muss eine Rechtsvorschrift folglich die Vorgaben des Art. 88 Abs. 2 DSGVO erfüllen.

In einem zweiten Schritt erläutert der Gerichtshof die Folgen der Feststellung, dass die in Rede stehenden nationalen Bestimmungen nicht mit den in Art. 88 Abs. 1 und 2 DSGVO vorgesehenen Voraussetzungen und Grenzen vereinbar sind.

Der Gerichtshof weist darauf hin, dass es Sache des für die Auslegung des nationalen Rechts allein zuständigen vorlegenden Gerichts ist, zu beurteilen, ob die in Rede stehenden nationalen Bestimmungen die in Art. 88 DSGVO vorgegebenen Voraussetzungen und Grenzen beachten. Die nationalen Bestimmungen, die die Verarbeitung personenbezogener Beschäftigtendaten davon abhängig machen, dass diese zu bestimmten Zwecken im Zusammenhang mit der Durchführung eines Beschäftigungs- bzw. Dienstverhältnisses erforderlich sein muss, scheinen jedoch die bereits in der DSGVO⁶ aufgestellte Bedingung für die allgemeine Rechtmäßigkeit zu wiederholen, ohne eine spezifischere Vorschrift im Sinne von Art 88 Abs. 1 DSGVO hinzuzufügen. Sollte das vorlegende Gericht zu der Feststellung gelangen, dass bei den nationalen Bestimmungen die in Art. 88 DSGVO vorgegebenen Voraussetzungen und Grenzen nicht beachtet sind, hätte es diese Bestimmungen grundsätzlich unangewendet zu lassen. Nach dem Grundsatz des Vorrangs des Unionsrechts wird nämlich in Ermangelung spezifischerer Vorschriften, die die in Art. 88 DSGVO vorgegebenen Voraussetzungen und Grenzen beachten, die Verarbeitung personenbezogener Daten im Beschäftigungskontext sowohl im privaten als auch im öffentlichen Sektor unmittelbar durch die Bestimmungen der DSGVO geregelt.

Insoweit weist der Gerichtshof darauf hin, dass auf eine Verarbeitung personenbezogener Daten wie der hier vorliegenden andere Bestimmungen der DSGVO⁷ Anwendung finden können, wonach die Verarbeitung personenbezogener Daten rechtmäßig ist, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt, oder für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. In Bezug auf diese beiden Annahmen der Rechtmäßigkeit sieht die DSGVO⁸ zum einen vor, dass die Verarbeitung auf dem Unionsrecht oder dem Recht des Mitgliedstaats, dem der Verantwortliche unterliegt, gründen muss und zum anderen der Zweck der Verarbeitung in dieser Rechtsgrundlage festgelegt oder für die Erfüllung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.

Gelangt das vorlegende Gericht zu der Feststellung, dass bei den nationalen Bestimmungen über die Verarbeitung personenbezogener Daten im Beschäftigungskontext die in Art. 88 Abs. 1 und 2 DSGVO vorgegebenen Voraussetzungen und Grenzen nicht beachtet sind, muss es folglich noch prüfen, ob diese Bestimmungen eine Rechtsgrundlage für die Verarbeitung nach einem anderen Artikel der DSGVO⁹ darstellen, die den Anforderungen dieser Verordnung genügt. Ist dies der Fall, darf die Anwendung dieser nationalen Vorschriften nicht ausgeschlossen werden.

Urteil C-34/21 vom 30.03.2023

Quelle: EuGH

Zurück zur Übersicht