Das Thema
Der EuGH hat am 09.01.2025 (C-394/23) entschieden, dass aus datenschutzrechtlicher Sicht eine zwingende Angabe des Geschlechts für den Erwerb eines Fahrscheins bei einem Transportunternehmen nicht im Sinne des Art. 5 Abs. 1 lit. c, Art. 6 Abs. 1 lit. b und f DSGVO erforderlich ist. Die Angabe des Geschlechts sei weder zur Erfüllung des Vertrags noch zur Wahrung berechtigter Interessen des Verantwortlichen erforderlich und widerspräche grundsätzlich dem Prinzip der Datenminimierung.
Liest man das Urteil verallgemeinernd und überträgt die aufgestellten Anforderungen auf das Arbeitsverhältnis, muss die Verarbeitung von Daten stets erforderlich – verstanden als „objektiv unerlässlich“ – zur Erfüllung eines Vertrages sein. Damit stellt sich die Frage, ob das Geschlecht oder sonstige Stammdaten stets solche für das Arbeitsverhältnis objektiv unerlässliche Daten sind.
Der Sachverhalt
Beim französischen Eisenbahnunternehmen SNCF Connect müssen Kunden beim Online-Erwerb von Fahrscheinen zwingend in dem Pflichtfeld „Anrede“ zwischen „Herr“ (Monsieur) oder „Frau“ (Madame) wählen. Dagegen hatte der französische Verband Mousse (Association de lutte contre les discriminations liées au sexe, au genre et à l’orientation sexuelle) geklagt, der sich dem Kampf gegen Diskriminierungen wegen des Geschlechts verschrieben hat.
Vorausgegangen war eine Entscheidung der französischen Datenschutzbehörde CNIL (Commission Nationale de l’Informatique et des Libertés), die eine zwingende Wahl der Anrede als für die Vertragserfüllung erforderlich und mit dem Datenminimierungsgrundsatz vereinbar ansah, da eine personalisierte Ansprache der Kunden der allgemeinen Verkehrssitte bei geschäftlicher, privater und behördlicher Kommunikation entspräche. Gegen diese Entscheidung klagte der Verband beim Conseil d’État (Art oberstes Verwaltungsgericht und Beratungsgremium der französischen Regierung), der die Rechtsfrage dem EuGH zur Vorabentscheidung vorlegte.
Anders als bei der Deutschen Bahn, bei der man bis Ende 2023 auch noch zwingend zwischen der Anrede als Mann oder Frau wählen musste, wurde im vorliegenden Fall kein Verstoß wegen Diskriminierung non-binärer Personen mangels dritter Geschlechtsoption geltend gemacht. Der französische Verband beanstandete allein Verstöße gegen Datenschutzregelungen.
Die Entscheidung
Der EuGH hat entschieden, dass nach dem Grundsatz der Datenminimierung als Teilausprägung des Verhältnismäßigkeitsgrundsatzes die Verarbeitung des Geschlechts als personenbezogenes Datum weder für die Vertragserfüllung unerlässlich bzw. wesentlich und damit nicht erforderlich ist (Art. 6 Abs. 1 Satz 1 lit. b DSGVO). Eine Erforderlichkeit liegt auch nicht aufgrund der Wahrung berechtigter Interessen des verantwortlichen Transportunternehmens in Form von personalisierter Geschäftskommunikation vor (Art. 6 Abs. 1 Satz 1 lit. f DSGVO). Dies würde nämlich voraussetzen, dass
- dem Kunden das berechtigte Interesse zum Zeitpunkt der Datenerhebung mitgeteilt würde,
- die Verarbeitung innerhalb der Grenzen desjenigen erfolgte, was zur Verwirklichung berechtigter Interessen notwendig sei und
- die Interessen des Verantwortlichen überwiegen würden.
Dies wird wegen der Möglichkeit allgemeiner und inklusiver Höflichkeitsformeln und verschiedener Möglichkeiten der Ansprache regelmäßig nicht der Fall sein. Daher ist das Interesse nicht berechtigt. Hinzu kommt, dass es nicht im Zeitpunkt der Erhebung mitgeteilt wurde. Das heißt nun aber nicht, dass der Verantwortliche das Geschlecht nie zwingend erheben darf. Ausnahmen wie etwa im Falle von Buchung von Nachtwaggons, die für Personen desselben Geschlechts reserviert sind, bleiben möglich. Diese Ausnahmen rechtfertigen aber keine allgemeine Verarbeitung des Geschlechts bei jeder Fahrscheinbuchung.
Auswirkungen für Arbeitgeber
Der Arbeitgeber muss zur Erfüllung seiner gesetzlichen Pflichten eine Vielzahl von Daten seiner Arbeitnehmer verarbeiten. Hierzu gehören Daten wie Name, Anschrift, Geburtstag und Sozialversicherungsnummer. Bei großen Betrieben kommt in Deutschland zwingend hinzu, dass etwa das Geschlecht der Beschäftigten zum Nachweis nach dem Entgelttransparenzgesetz (§ 11 Abs. 3 EntgTranspG) erhoben werden muss, um zu belegen, dass keine Entgeltungleichheit vorliegt. Damit ist die Abfrage des Geburtsorts oder die Staatsangehörigkeit in der Regel nicht erforderlich. Zwar fällt die Staatsangehörigkeit nicht unter den Schutz des AGG und nur Unionsbürger werden wegen des Art. 18 Abs. 1 AEUV vor Diskriminierungen aufgrund der Staatsangehörigkeit geschützt, gleichwohl kann die datenschutzrechtliche Notwendigkeit zur Erhebung bezweifelt werden. Zwar kann die Staatsangehörigkeit Indiz für die mögliche Notwendigkeit einer EU-Arbeitserlaubnis sein, effektiver ist in diesem Fall indes die Abfrage des Fehlens bzw. Vorhandenseins einer solchen.
In den Fällen, in denen die Daten weder für die Begründung oder Durchführung des Arbeitsverhältnisses erforderlich sind noch eine gesetzliche Pflicht zur Verarbeitung gilt, kann die Verarbeitung teilweise auch auf ein berechtigtes Interesse gestützt werden. Insbesondere in Konzernen können die einzelnen Gruppengesellschaften ein berechtigtes Interesse am Transfer von den eigenen Beschäftigtendaten und der Verarbeitung von Beschäftigungsdaten anderer Konzerngesellschaften haben (z.B. für ein konzernweites Organigramm oder Mitarbeiterverzeichnis). Der EuGH zeigt nun auf, wann ein solches Interesse berechtigt sein kann:
- Mitteilung des verfolgten berechtigten Interesses bei Erhebung,
- Verarbeitung innerhalb der Grenzen dessen, was zur Verwirklichung dieses berechtigten Interesses unbedingt notwendig ist und
- kein Überwiegen der Interessen der Mitarbeiter.
Diese Vorgaben stimmen mit den Anforderungen des EDSA größtenteils überein (siehe Leitlinien 01/2024). Jedoch ergänzt der EuGH die Vorgaben um die Pflicht, das berechtigte Interesse bei Erhebung der Daten mitzuteilen. Ein berechtigtes Interesse muss dem Mitarbeiter vor Verarbeitung mitgeteilt werden. Ansonsten ist es nicht berechtigt. Gleichwohl kann die Information nachgeholt werden, damit der Betroffene über die Weiterverarbeitung seiner Daten Kenntnis erlangt und seine Rechte wirksam ausüben kann.
Fazit
Arbeitgeber sollten nach der EuGH-Entscheidung kritisch hinterfragen, welche Daten sie von ihren Arbeitnehmern verarbeiten müssen und auf Basis welcher Rechtsgrundlage. Oft gibt es in Bewerbungsformularen noch eine verpflichtende Auswahl der Anrede. Ein solches Feld wird nach der Entscheidung des EuGH nur noch in den seltensten Fällen erlaubt sein.
Daneben konkretisiert der EuGH die Anforderungen an das berechtigte Interesse. Dies ist insbesondere in Konzernen relevant, wo Daten oft auf Grundlage eines berechtigten Interesses ausgetauscht werden. Neben der Frage, welche Daten überhaupt berechtigterweise an andere Konzerngesellschaften übertragen werden können, sollte man überprüfen, ob die Mitarbeiter umfassend über die Verarbeitungen und das einschlägige berechtigte Interesse informiert werden. Sollte dies nicht der Fall sein, ist dies nachzuholen.
