Kurzbeitrag : Praxisfälle zum Datenschutzrecht XXVIII: Die neue Gleichstellungsbeauftragte – Die Rechtsgrundlagen der Verarbeitung von Daten nach Art. 9 DS‑GVO : aus der RDV 3/2024, Seite 168-170

I. Musterfalllösung

1. Anwendungsbereich der DS‑GVO

Bei den Informationen über die sexuelle Orientierung von M und deren privates Engagement handelt es sich um personenbezogene Daten i.S.v. Art. 4 Nr. 1 DS-GVO. Da L die Informationen im Rahmen einer Ansprache per E-Mail verarbeiten will, liegt auch eine automatisierte Verarbeitung der Informationen vor, so dass der sachliche Anwendungsbereich der DS-GVO (Art. 2 Abs. 1 DS-GVO) hier eröffnet ist. Jedenfalls die BDSG-Regelungen zur Beschäftigtendatenverarbeitung nach § 26 BDSG finden im Übrigen gem. dessen Abs. 7 unabhängig von der Form der Datenverarbeitung Anwendung. Da bezüglich der räumlichen Anwendbarkeit (Art.  3 DS-GVO) vorliegend keine Bedenken ersichtlich sind, ist der Anwendungsbereich der DS-GVO insgesamt eröffnet.

*RAin Yvette Reif, LL.M. ist stellvertretende Geschäftsführerin der Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V. und Mitautorin des Werks Gola/Reif, Praxisfälle Datenschutzrecht, 2. Aufl. 2016.

2. Zulässigkeit der Datenverarbeitung bezogen auf die sexuelle Orientierung von M und deren priva‑ tes Engagement

a) Verarbeitung von Daten nach Art. 9 DS‑GVO ?

aa) Information über die gleichgeschlechtliche Beziehung Jedenfalls bei der Information, dass M in einer gleichgeschlechtlichen Beziehung lebt, handelt es sich um ein Datum i.S.v. Art. 9 DS-GVO, nämlich um ein Datum über die sexuelle Orientierung.

Fraglich ist, ob auch die Informationen über das private Engagement von M als Vorsitzende eines Vereins für geschlechtliche Vielfalt ein Datum i.S.v. Art. 9 DS-GVO darstellt.

bb) Information über die Vereinstätigkeit

(1) Weite Interpretation von Art. 9 DS‑GVO: Schutz auch vor „indirekter Offenbarung“ geschützter Informationen

Insofern ist zunächst festzustellen, dass der EuGH im Sinne eines effektiven Schutzes betroffener Personen von einer weiten Interpretation des Art. 9 DS-GVO ausgeht. So ist nach diesem die Bestimmung des Art. 9 Abs. 1 DS-GVO dahingehend auszulegen, dass bereits die Veröffentlichung personenbezogener Daten auf der Website einer Behörde, die geeignet sind, die sexuelle Orientierung einer natürlichen Person indirekt zu offenbaren, eine Verarbeitung besonderer Kategorien personenbezogener Daten darstellt.^[1]Hintergrund der Gerichtsentscheidung war ein litauisches Gesetz zur Transparenz und Korruptionsbekämpfung, welches Behördenleiter verpflichtet, eine Erklärung über private Interessen gegenüber einer Ethikkommission abzugeben. Anzugeben war dabei u.a. der vollständige Name des Ehegatten, Partners oder Lebensgefährten.

Die zitierte EuGH-Entscheidung wird auf die vorliegend zu beurteilende Konstellation „Vorsitzende eines Vereins für geschlechtliche Vielfalt“ jedoch nicht unmittelbar übertragen werden können, denn im hier zu beurteilenden Fall liegt keine „indirekte Offenbarung“ im Sinne der EuGH-Entscheidung vor, da eine entsprechende Vorsitzendenrolle prinzipiell unabhängig von der sexuellen Orientierung wahrgenommen werden kann. Ein praktisch unmittelbarer Rückschluss auf Daten nach Art. 9 DS-GVO ist anders als in dem Sachverhalt, der vor dem EuGH anhängig war, vorliegend nicht möglich.

(2) Vorliegen von Daten gem. Art. 9 DS‑GVO wegen erhöhter Wahrscheinlichkeit von Rückschlüssen auf geschützte Merkmale?

Auch wenn ein unmittelbarer Schluss von der Rolle als Vereinsvorsitzende auf die sexuelle Orientierung nicht möglich ist, spricht im Vergleich zur Situation ohne die Rolle aber jedenfalls eine erhöhte Wahrscheinlichkeit dafür, dass M im Hinblick auf die Themen, für die sie sich im Rahmen der Vereinsarbeit einsetzt, auch persönlich betroffen ist. Denn es ist zwar nicht zwingend, aber verbreitet, dass Personen einem Verein aufgrund ihrer persönlichen Betroffenheit beitreten bzw. sich dort engagieren. Vor diesem Hintergrund stellt sich die Frage, ob es einer objektiven Zuordnung der sensiblen Informationen bedarf, damit die erhöhten Zulässigkeitsvoraussetzungen für die Datenverarbeitung aus Art. 9 DS-GVO eingreifen oder ob nicht, um einen effektiven Schutz in diesem besonders sensiblen Bereich zu gewährleisten, ggf. schon die Wahrscheinlichkeit von Merkmalen nach Art. 9 DS-GVO dazu führen muss, dass die Regelung eingreift.

Zu beachten ist in diesem Zusammenhang, dass Art.  9 Abs.  1 DS-GVO hinsichtlich der regelungsgegenständlichen Datenkategorien eine differenzierende Ausgestaltung enthält.^[2] So verbietet Art.  9 Abs.  1 DS-GVO einerseits die „Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen“ (Kategorie 1) und andererseits „die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person“ (Kategorie 2). Merkmale der ersten Kategorie erachtet der Gesetzgeber insofern als besonders schutzwürdig, als er bereits im Vorfeld ein Verarbeitungsverbot bzgl. solcher Informationen statuiert, aus denen Erkenntnisse bzgl. der betroffenen Informationen hervorgehen.^[3] Verboten ist hier also bereits die Verarbeitung der „Quelldaten“.^[4] Im Ausgangspunkt sind alle Daten in den Schutzbereich der ersten Gruppe einbezogen, die, sei es direkt oder indirekt, die in der Aufzählung genannten Informationsinhalte hergeben.^[5] Die Frage, mit welchem Wahrscheinlichkeitsgrad die sensiblen Informationen aus anderen Daten hervorgehen müssen, ist primär bei dieser ersten Kategorie von Daten nach Art. 9 DS-GVO relevant. Denn bei der zweiten Datenkategorie, die vorliegend betroffen ist, ist grundsätzlich „nur“ die unmittelbare Verarbeitung der gelisteten „(Inhalts-)Daten“ verboten.

Allerdings ist die Grenzziehung zwischen den verschiedenen Datenkategorien des Art. 9 Abs. 1 DS-GVO in der Praxis oftmals nicht so stringent möglich, wie es konzeptionell angelegt sein mag: Zum einen wird die unterschiedliche Behandlung zum Teil durch die Gestaltung der Legaldefinitionen in Art. 4 Nr. 13 bis 15 DS-GVO relativiert, zum anderen dürfen auch die Merkmale der zweiten Kategorie nicht völlig isoliert begriffen werden.^[6]

Im Ergebnis wäre es im vorliegenden Fall bei isolierter Betrachtung der Eigenschaft als Vereinsvorsitzende ggf. vertretbar, das Vorliegen von „Daten zur sexuellen Orientierung“ i.S.v. Art. 9 DS-GVO zu verneinen. Vorliegend steht die Information allerdings nicht isoliert, sondern in einem untrennbaren inhaltlichen Zusammenhang mit der Information über die gleichgeschlechtliche Beziehung.

Zwischenergebnis: Eine teleologische Auslegung mit Rücksicht auf den Verarbeitungskontext und die Gefährdung grundrechtlicher Schutzgüter^[7] spricht hier im Ergebnis dafür, insgesamt vom Vorliegen von Informationen nach Art. 9 DS-GVO auszugehen, also auch hinsichtlich der Eigenschaft als Vereinsvorsitzende.

b) § 26 Abs. 3 BDSG als Rechtsgrundlage?

Für die Verarbeitung besonderer Kategorien personenbezogener Daten für Zwecke des Beschäftigungsverhältnisses enthält § 26 Abs. 3 BDSG eine besondere Regelung. Nach der genannten BDSG-Bestimmung ist die Verarbeitung von Daten nach Art. 9 DS‑GVO für Zwecke des Beschäftigungsverhältnisses zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Es ist nicht ersichtlich, welche Rechte bzw. Pflichten i.S.v. § 26 Abs. 3 BDSG im vorliegenden Fall existieren könnten, um die Datenverarbeitung zu legitimieren.

c) Rückgriff auf DS‑GVO-Rechtsgrundlagen möglich?

Fraglich ist, ob vorliegend ein Rückgriff auf die allgemeinen Rechtsgrundlagen für die Datenverarbeitung in der DS-GVO möglich ist oder ob die BDSG-Regelung ggf. Sperrwirkung gegenüber den DS-GVO-Tatbeständen entfaltet. Eine solche Sperrwirkung müsste dann angenommen werden, wenn durch Rückgriff auf die allgemeinen Erlaubnistatbestände die – im Verhältnis zu den allgemeinen Rechtsgrundlagen – engeren Anforderungen von § 26 Abs. 3 BDSG unterlaufen würden. Ausweislich der Gesetzesbegründung zu § 26 Abs. 3 BDSG dient dieser der Umsetzung von Art.  9 Abs.  2 lit.  b) DS-GVO (Wahrnehmung von arbeits- und sozialrechtlichen Rechten und Pflichten durch den Arbeitgeber) und soll auch nur insofern abschließende Wirkung haben und nicht, wenn im Rahmen des Beschäftigungsverhältnisses besondere Kategorien personenbezogener Daten für andere als die genannten Zwecke verarbeitet werden.^[8] Im vorliegenden Fall sperrt § 26 Abs. 3 BDSG damit den Rückgriff auf die allgemeinen datenschutzrechtlichen Erlaubnistatbestände nicht.

d) Verhältnis von Art. 6 und Art. 9 DS‑GVO

Das Verhältnis von Art. 6 und Art. 9 DS-GVO war lange Zeit strittig.^[9] Diskutiert wurde insbesondere, ob Art.  9 DS-GVO eigenständige Erlaubnisnormen enthält oder ob zusätzlich jeweils ein Tatbestand nach Art. 6 DS-GVO erfüllt sein muss, um eine Verarbeitung von Informationen nach Art. 9 DS-GVO zu ermöglichen.^[10] Für entsprechende Klarstellung hat Ende 2023 eine Entscheidung des EuGH gesorgt.^[11] In der Entscheidung hat der EuGH festgestellt, dass Art. 9 Abs. 2 lit. h) und Art. 6 Abs. 1 DS-GVO dahin auszulegen sind, dass eine auf die erstgenannte Bestimmung gestützte Verarbeitung von Gesundheitsdaten nur dann rechtmäßig ist, wenn sie nicht nur die sich aus dieser Bestimmung ergebenden Anforderungen einhält, sondern auch mindestens eine der in Art.  6 Abs.  1 DS-GVO genannten Rechtmäßigkeitsvoraussetzungen erfüllt. Praktische Konsequenzen wird die EuGH-Entscheidung zum Verhältnis von Art.  9 und Art.  6 DS-GVO vielfach nicht haben. Denn sofern ein Tatbestand nach Art. 9 DS-GVO einschlägig ist, dürfte sich regelmäßig auch ein Erlaubnistatbestand nach Art. 6 DS-GVO finden.^[12]

e) Zulässigkeit der Datenverarbeitung nach Art. 9 Abs. 2 lit. e) DS‑GVO i.V.m. Art. 6 Abs. 1 S. 1 lit. f) DS‑GVO?

Relevanz kommt der angesprochenen EuGH-Entscheidung aber insbesondere im Hinblick auf den hier einschlägigen Art. 9 Abs. 2 lit. e) DS-GVO zu.^[13] Nach der genannten Bestimmung gilt das Verarbeitungsverbot des Art.  9 Abs.  1 DS-GVO bezüglich besonderer Kategorien personenbezogener Daten dann nicht, wenn sich die Verarbeitung auf personenbezogene Daten bezieht, welche die betroffene Person offensichtlich öffentlich gemacht hat. Hat eine Person Informationen aufgrund eines bewussten Willensaktes öffentlich gemacht, so ist sie aufgrund dieser Entscheidung nur noch als eingeschränkt schutzbedürftig anzusehen.^[14] Öffentlich gemacht i.S.v. Art. 9 Abs. 2 lit. e) DS-GVO sind personenbezogene Daten, wenn sie einem individuell nicht bestimmbaren Personenkreis zugänglich gemacht werden.^[15] Typischer Anwendungsfall ist insoweit die Veröffentlichung von Daten im Internet.^[16] Unproblematisch erfasst von Art.  9 Abs.  2 lit.  e) DS-GVO ist aber auch der hier vorliegende Sachverhalt, nämlich, dass eine Person in einem Zeitungsinterview besondere Kategorien personenbezogener Informationen über sich preisgibt.^[17]

Wollte man in Fällen des Art. 9 Abs. 2 lit. e) DS-GVO allein auf dessen Voraussetzungen abstellen und nicht entsprechend der EuGH-Entscheidung zusätzlich einen Erlaubnistatbestand nach Art.  6 DS-GVO verlangen, so hätte dies zur Folge, dass allein die offensichtliche Öffentlichmachung von besonderen Arten personenbezogener Informationen deren Verarbeitung legitimieren würde. Dies würde allerdings einen Wertungswiderspruch in zweierlei Hinsicht begründen: Zum einen wäre in einem solchen Fall die Verarbeitung ohne jegliche Interessenabwägung zulässig, zum anderen entfiele die im Rahmen der Interessenabwägung bestehende Widerspruchsmöglichkeit des Betroffenen gem. Art.  21 Abs.  1 S. 1 DS-GVO. Da die betroffenen Personen im Hinblick auf die Verarbeitung besonderer Kategorien personenbezogener Daten aber gerade besonders schutzbedürftig sind, erscheint eine Interpretation, die parallel zu Art. 9 Abs. 2 lit. e) DS-GVO nicht auch Art. 6 Abs. 1 S. 1 lit. f) DS-GVO zur Anwendung bringt, mit dem Schutzzweck der DS-GVO bzw. der Intention des Verordnungsgebers kaum vereinbar.

Vorliegend besteht auch nicht die Gefahr, dass durch den Rückgriff auf die Interessenabwägung die Anforderungen des § 26 BDSG unterlaufen werden bzw., wenn man von dessen Europarechtswidrigkeit ausgeht,^[18] die Anforderungen aus Art.  6 Abs.  1 lit.  b) DS-GVO, nämlich die Erforderlichkeit der Datenverarbeitung für die Durchführung des Beschäftigungsverhältnisses. Die Gefahr, dass diese Voraussetzungen unterlaufen werden, besteht nur, sofern Zwecke verfolgt werden, die im Zusammenhang mit einem konkreten Beschäftigungsverhältnis stehen. Hier besteht zwar ein Beschäftigungsverhältnis mit M, das Interesse des Unternehmens, M zur Gleichstellungsbeauftragten zu machen, liegt jedoch außerhalb der Zwecke des aktuell bestehenden Beschäftigungsverhältnisses. Mithin werden mit der Datenverarbeitung hier „beschäftigungsfremde“ Zwecke verfolgt und ein Rückgriff auf Art. 6 Abs. 1 S. 1 lit. f) DS-GVO bleibt möglich.^[19]

Zwischenergebnis: Hier ist zusätzlich eine Interessenabwägung durchzuführen.

Insofern ist zu berücksichtigen, dass es sich vorliegend zwar um sehr sensible persönliche Informationen handelt, diese Informationen aber von M bewusst an die Presse gegeben worden sind. Dabei wird M auch bewusst gewesen sein, dass ggf. auch Kollegen und Kolleginnen sowie Entscheidungsträger bei ihrem Arbeitgeber Kenntnis von dem Interview erhalten. Dies hat M mindestens billigend in Kauf genommen, ggf. sogar intendiert. Vor diesem Hintergrund erscheint es interessengerecht, dass sie von der HR-Verantwortlichen auch dahingehend angesprochen werden darf, ob sie ihre privaten Erfahrungen auch im Sinne der Unternehmensinteressen einsetzen möchte. Dafür spricht insbesondere ihr gesellschaftliches Engagement für sexuelle und geschlechtliche Vielfalt. Es ist nicht fernliegend, dass M ihr Engagement bei ihrem Arbeitgeber fortsetzen möchte, zumal hiermit eine Verdienststeigerung verbunden wäre.

II. Fazit

L darf M per E-Mail auf das Interview und die vakante Stelle ansprechen.

RAin Yvette Reif, LL.M. ist stellvertretende Geschäftsführerin der Gesellschaft für Datenschutz und Datensicherheit (GDD) e.V. und Mitautorin des Werks Gola/Reif, Praxisfälle Datenschutzrecht, 2. Aufl. 2016.

_{[1] EuGH, Urt. v. 01.08.2022 – C-184/20}

_{[2] BeckOK DatenschutzR/Albers/Veit, 47. Ed. 01.02.2024, DS-GVO Art. 9 Rn. 27; Schneider, ZD 2017, 303 (303 f.).}

_{[3] BeckOK DatenschutzR/Albers/Veit, 47. Ed. 01.02.2024, DS-GVO Art. 9 Rn. 27; Schneider, ZD 2017, 303 (303 f.).}

_{[4]  BeckOK DatenschutzR/Albers/Veit, 47. Ed. 01.02.2024, DS-GVO Art. 9 Rn. 27}

_{[5] BeckOK DatenschutzR/Albers/Veit, 47. Ed. 01.02.2024, DS-GVO Art. 9 Rn. 29}

_{[6] BeckOK DatenschutzR/Albers/Veit, 47. Ed. 01.02.2024, DS-GVO Art. 9 Rn. 28}

_{[7] BeckOK DatenschutzR/Albers/Veit, 47. Ed. 01.02.2024, DS-GVO Art. 9 Rn. 48.}

_{[8] BT-Drs. 18/11325, S. 98; Paal/Pauly/Gräber/Nolden, BDSG § 26 Rn. 41.}

_{[9] Vgl. Leibold, ZD-Aktuell 2024, 01486.}

_{[10] Zum Meinungsstand vgl. im Einzelnen bei Leibold, ZD-Aktuell 2024, 1486.}

_{[11] EuGH, Urt. v. 21.12.2023 – C-667/21 Rn. 104.}

_{[12] Leibold, ZD-Aktuell 2024, 01486.}

_{[13] Leibold, ZD-Aktuell 2024, 01486.}

_{[14] Simitis/Hornung/Spiecker gen. Döhmann/Petri, DS-GVO Art. 9 Rn. 57}

_{[15] Simitis/Hornung/Spiecker gen. Döhmann/Petri, DS-GVO Art. 9 Rn. 58.}

_{[16] Simitis/Hornung/Spiecker gen. Döhmann/Petri, DS-GVO Art. 9 Rn. 58.}

_{[17] Sydow/Marsch/Kampert, DS-GVO Art. 9 Rn. 31}

_{[18] Es spricht einiges dafür, dass § 26 Abs. 1 S. 1 BDSG wegen Verstoß gegen das Wiederholungsverbot europarechtswidrig ist, vgl. EuGH, Urt. v. 30.03.2023 – C 34/21 (§  23 Hessisches Datenschutz- und Informationsfreiheitsgesetz (HDSIG) entspricht fast inhaltsgleich §  26 Abs.  1 S. 1 BDSG). Vgl. z.B. auch BayLDA, 12. TB (2022), S. 55, Fn. 1: „Im Lichte der EuGH-Rechtsprechung in der Rechtssache C-34/21 sehen wir § 26 Abs. 1 S. 1 BDSG nicht für anwendbar an.“.}

_{[19] Gola, Handbuch Beschäftigtendatenschutz, 4. Aufl., Rn. 752 ff.; LfDI BW, Ratgeber Beschäftigtendatenschutz, 4. Aufl. (Stand: April 2020), S. 5}