–

des Hauptpersonalrats der Lehrerinnen und Lehrer beim Hessischen Kultusministerium, vertreten durch Rechtsanwalt J. Kolter,

–

des Ministers des Hessischen Kultusministeriums, vertreten durch C. Meinert,

–

der deutschen Regierung, vertreten durch J. Möller und D. Klebs als Bevollmächtigte,

–

der österreichischen Regierung, vertreten durch G. Kunnert und J. Schmoll als Bevollmächtigte,

–

der rumänischen Regierung, vertreten durch E. Gane und A. Wellman als Bevollmächtigte,

–

der Europäischen Kommission, vertreten durch F. Erlbacher, H. Kranenborg und D. Nardi als Bevollmächtigte,

1

Das Vorabentscheidungsersuchen betrifft die Auslegung von Art. 88 Abs. 1 und 2 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. 2016, L 119, S. 1, berichtigt in ABl. 2018, L 127, S. 2, im Folgenden: DSGVO).

2

Es ergeht im Rahmen eines Rechtsstreits zwischen dem Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium (Deutschland) und dem Minister des Hessischen Kultusministeriums (Deutschland) über die Rechtmäßigkeit von Livestreamunterricht per Videokonferenz, der an den Schulen des Landes Hessen (Deutschland) durchgeführt wird, ohne dass die vorherige Einwilligung der betroffenen Lehrkräfte vorgesehen wäre.

3

Die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. 1995, L 281, S. 31) wurde durch die DSGVO mit Wirkung vom 25. Mai 2018 aufgehoben. In Art. 3 („Anwendungsbereich“) dieser Richtlinie hieß es:

„(1)   Diese Richtlinie gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einer Datei gespeichert sind oder gespeichert werden sollen.

(2)   Diese Richtlinie findet keine Anwendung auf die Verarbeitung personenbezogener Daten,

…“

4

In den Erwägungsgründen 8 bis 10, 13, 16, 45 und 155 DSGVO wird ausgeführt:

…

…

…

…

5

Art. 1 („Gegenstand und Ziele“) DSGVO lautet:

„(1)   Diese Verordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten.

(2)   Diese Verordnung schützt die Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere deren Recht auf Schutz personenbezogener Daten.

(3)   Der freie Verkehr personenbezogener Daten in der Union darf aus Gründen des Schutzes natürlicher Personen bei der Verarbeitung personenbezogener Daten weder eingeschränkt noch verboten werden.“

6

Art. 2 („Sachlicher Anwendungsbereich“) Abs. 1 und 2 DSGVO sieht vor:

„(1)   Diese Verordnung gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.

(2)   Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten

7

In Art. 4 („Begriffsbestimmungen“) DSGVO heißt es:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck:

…“

8

Art. 5 („Grundsätze für die Verarbeitung personenbezogener Daten“) DSGVO lautet:

„(1)   Personenbezogene Daten müssen

(2)   Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können (‚Rechenschaftspflicht‘).“

9

Art. 6 („Rechtmäßigkeit der Verarbeitung“) Abs. 1 bis 3 DSGVO bestimmt:

„(1)   Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

…

Unterabsatz 1 Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

(2)   Die Mitgliedstaaten können spezifischere Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung in Bezug auf die Verarbeitung zur Erfüllung von Absatz 1 Buchstaben c und e beibehalten oder einführen, indem sie spezifische Anforderungen für die Verarbeitung sowie sonstige Maßnahmen präziser bestimmen, um eine rechtmäßig und nach Treu und Glauben erfolgende Verarbeitung zu gewährleisten, einschließlich für andere besondere Verarbeitungssituationen gemäß Kapitel IX.

(3)   Die Rechtsgrundlage für die Verarbeitungen gemäß Absatz 1 Buchstaben c und e wird festgelegt durch

Der Zweck der Verarbeitung muss in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Absatz 1 Buchstabe e für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese Rechtsgrundlage kann spezifische Bestimmungen zur Anpassung der Anwendung der Vorschriften dieser Verordnung enthalten, unter anderem Bestimmungen darüber, welche allgemeinen Bedingungen für die Regelung der Rechtmäßigkeit der Verarbeitung durch den Verantwortlichen gelten, welche Arten von Daten verarbeitet werden, welche Personen betroffen sind, an welche Einrichtungen und für welche Zwecke die personenbezogenen Daten offengelegt werden dürfen, welcher Zweckbindung sie unterliegen, wie lange sie gespeichert werden dürfen und welche Verarbeitungsvorgänge und ‑verfahren angewandt werden dürfen, einschließlich Maßnahmen zur Gewährleistung einer rechtmäßig und nach Treu und Glauben erfolgenden Verarbeitung, wie solche für sonstige besondere Verarbeitungssituationen gemäß Kapitel IX. Das Unionsrecht oder das Recht der Mitgliedstaaten müssen ein im öffentlichen Interesse liegendes Ziel verfolgen und in einem angemessenen Verhältnis zu dem verfolgten legitimen Zweck stehen.“

10

Art. 88 („Datenverarbeitung im Beschäftigungskontext“) in Kapitel IX („Vorschriften für besondere Verarbeitungssituationen“) DSGVO sieht vor:

„(1)   Die Mitgliedstaaten können durch Rechtsvorschriften oder durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext, insbesondere für Zwecke der Einstellung, der Erfüllung des Arbeitsvertrags einschließlich der Erfüllung von durch Rechtsvorschriften oder durch Kollektivvereinbarungen festgelegten Pflichten, des Managements, der Planung und der Organisation der Arbeit, der Gleichheit und Diversität am Arbeitsplatz, der Gesundheit und Sicherheit am Arbeitsplatz, des Schutzes des Eigentums der Arbeitgeber oder der Kunden sowie für Zwecke der Inanspruchnahme der mit der Beschäftigung zusammenhängenden individuellen oder kollektiven Rechte und Leistungen und für Zwecke der Beendigung des Beschäftigungsverhältnisses vorsehen.

(2)   Diese Vorschriften umfassen geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz.

(3)   Jeder Mitgliedstaat teilt der [Europäischen] Kommission bis zum 25. Mai 2018 die Rechtsvorschriften, die er aufgrund von Absatz 1 erlässt, sowie unverzüglich alle späteren Änderungen dieser Vorschriften mit.“

11

In § 26 Abs. 1 des Bundesdatenschutzgesetzes vom 30. Juni 2017 (BGBl. 2017 I S. 2097) heißt es:

„Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung oder zur Ausübung oder Erfüllung der sich aus einem Gesetz oder einem Tarifvertrag, einer Betriebs- oder Dienstvereinbarung (Kollektivvereinbarung) ergebenden Rechte und Pflichten der Interessenvertretung der Beschäftigten erforderlich ist. …“

12

§ 23 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG) vom 3. Mai 2018 sieht vor:

„(1)   Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung, Beendigung oder Abwicklung sowie zur Durchführung innerdienstlicher planerischer, organisatorischer, sozialer und personeller Maßnahmen erforderlich ist. …

(2)   Erfolgt die Verarbeitung personenbezogener Daten von Beschäftigten auf der Grundlage einer Einwilligung, so sind für die Beurteilung der Freiwilligkeit der Einwilligung insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Dienstherr oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Der Dienstherr oder Arbeitgeber hat die beschäftigte Person über den Zweck der Datenverarbeitung und über ihr Widerrufsrecht nach Art. 7 Abs. 3 [DSGVO] in Textform aufzuklären.

(3)   Abweichend von Art. 9 Abs. 1 [DSGVO] ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 [DSGVO] für Zwecke des Beschäftigungsverhältnisses zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit und des Sozialschutzes erforderlich ist und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt. Abs. 2 gilt auch für die Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten; die Einwilligung muss sich dabei ausdrücklich auf diese Daten beziehen. …

(4)   Die Verarbeitung personenbezogener Daten einschließlich besonderer Kategorien personenbezogener Daten von Beschäftigten für Zwecke des Beschäftigungsverhältnisses ist auf der Grundlage von Kollektivvereinbarungen zulässig. Dabei haben die Verhandlungspartner Art. 88 Abs. 2 [DSGVO] zu beachten.

(5)   Der Verantwortliche muss geeignete Maßnahmen ergreifen, um sicherzustellen, dass insbesondere die in Art. 5 [DSGVO] dargelegten Grundsätze für die Verarbeitung personenbezogener Daten eingehalten werden.

…

(7)   Die Abs. 1 bis 6 sind auch anzuwenden, wenn personenbezogene Daten, einschließlich besonderer Kategorien personenbezogener Daten, von Beschäftigten verarbeitet werden, ohne dass sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Die für das Personalaktenrecht geltenden Vorschriften des Hessischen Beamtengesetzes [(HBG) vom 21. Juni 2018] sind, soweit tarifvertraglich nichts Abweichendes geregelt ist, auf Arbeitnehmerinnen und Arbeitnehmer im öffentlichen Dienst entsprechend anzuwenden.

(8)   Beschäftigte im Sinne dieses Gesetzes sind:

…

…“

13

§ 86 Abs. 4 HBG bestimmt:

„Der Dienstherr darf personenbezogene Daten über Bewerberinnen, Bewerber, Beamtinnen und Beamte sowie über ehemalige Beamtinnen und Beamte nur erheben, soweit dies zur Begründung, Durchführung, Beendigung oder Abwicklung des Dienstverhältnisses oder zur Durchführung organisatorischer, personeller und sozialer Maßnahmen, insbesondere auch zu Zwecken der Personalplanung und des Personaleinsatzes, erforderlich ist oder eine Rechtsvorschrift oder eine Dienstvereinbarung dies erlaubt. …“

14

Wie aus der dem Gerichtshof vorliegenden Akte hervorgeht, legte der Minister des Hessischen Kultusministeriums im Jahr 2020 mit zwei Erlassen den rechtlichen und organisatorischen Rahmen des Schulunterrichts während der Covid-19-Pandemie fest. Mit diesem Rahmen wurde insbesondere für Schüler, die nicht am Präsenzunterricht teilnehmen konnten, die Möglichkeit eingerichtet, am Unterricht per Videokonferenz-Livestream teilzunehmen. Zur Wahrung der Rechte der Schüler im Bereich des Schutzes personenbezogener Daten wurde festgelegt, dass die Zuschaltung zum Videokonferenzdienst nur mit der Einwilligung der Schüler selbst oder – bei Minderjährigen – ihrer Eltern zulässig ist. Dagegen war die Einwilligung der betroffenen Lehrkräfte zu ihrer Teilnahme an dem Videokonferenzdienst nicht vorgesehen.

15

Der Hauptpersonalrat der Lehrerinnen und Lehrer beim Hessischen Kultusministerium erhob Klage beim Verwaltungsgericht Wiesbaden (Deutschland) und rügte, dass es für den Livestreamunterricht per Videokonferenz nicht der Einwilligung der betroffenen Lehrkräfte bedurfte.

16

Der Minister des Hessischen Kultusministeriums machte geltend, dass die Verarbeitung personenbezogener Daten beim Livestreamunterricht per Videokonferenz von § 23 Abs. 1 Satz 1 HDSIG gedeckt sei, so dass sie ohne Einholung der Einwilligung der betroffenen Lehrkraft erfolgen könne.

17

Das Verwaltungsgericht Wiesbaden führt dazu aus, dass § 23 HDSIG und § 86 HBG nach dem Willen des hessischen Landesgesetzgebers in die Kategorie der „spezifischeren Vorschriften“ fielen, die die Mitgliedstaaten gemäß Art. 88 Abs. 1 DSGVO zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext vorsehen könnten. Das Verwaltungsgericht Wiesbaden hat jedoch Zweifel an der Vereinbarkeit von § 23 Abs. 1 Satz 1 HDSIG und § 86 Abs. 4 HBG mit den Anforderungen von Art. 88 Abs. 2 DSGVO.

18

Erstens stellten nämlich § 23 Abs. 1 Satz 1 HDSIG und § 86 Abs. 4 HBG als Rechtsgrundlage für die Verarbeitung der Beschäftigtendaten auf die „Erforderlichkeit“ ab. Zum einen jedoch stelle die Aufnahme des Grundsatzes der „Erforderlichkeit“ in das Gesetz keine Vorschrift dar, die die Anforderungen von Art. 88 Abs. 2 DSGVO konkretisiere, da die im Beschäftigungskontext erforderliche Datenverarbeitung bereits durch Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO geregelt sei.

19

Zum anderen sei § 23 Abs. 1 Satz 1 HDSIG über das eigentliche Vertragsverhältnis hinaus auf jeglichen Umgang mit Beschäftigtendaten anwendbar. Aus Art. 6 Abs. 1 Unterabs. 1 Buchst. f DSGVO ergebe sich aber, dass bei einer Verarbeitung personenbezogener Daten, die über die rein im Rahmen des Beschäftigungsvertrags erforderliche Verarbeitung hinausgehe, die Grundrechte und Grundfreiheiten der betroffenen Person, hier der Beschäftigten bzw. der Beamten, mit dem berechtigten Interesse des Verantwortlichen, hier des Dienstherrn, abzuwägen seien. Da § 23 Abs. 1 Satz 1 HDSIG eine solche Abwägung nicht vorsehe, könne er nach dem Inkrafttreten der DSGVO nicht als eine bereichsspezifische Norm angesehen werden.

20

Zweitens genüge allein der in § 23 Abs. 5 HDSIG enthaltene Hinweis, dass der Verantwortliche insbesondere die in Art. 5 DSGVO aufgestellten Grundsätze einzuhalten habe, nicht den Vorgaben von Art. 88 Abs. 2 DSGVO. Art. 88 Abs. 2 DSGVO verlange nämlich, dass die geeigneten und besonderen Normen, auf die er abstelle, zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausübten, und die Überwachungssysteme am Arbeitsplatz, erlassen würden, und sei nicht bloß eine Rechtsnorm, die der Normanwender einer nationalen Norm zusätzlich zu beachten habe. Der Normanwender sei nicht der Adressat von Art. 88 Abs. 2 DSGVO.

21

Vor diesem Hintergrund hat das Verwaltungsgericht Wiesbaden beschlossen, das Verfahren auszusetzen und dem Gerichtshof folgende Fragen zur Vorabentscheidung vorzulegen:

22

Mit Informationsschreiben, das am 30. November 2021 bei der Kanzlei des Gerichtshofs eingegangen ist, hat das Verwaltungsgericht Wiesbaden dem Gerichtshof mitgeteilt, dass aufgrund von Änderungen der nationalen Rechtsvorschriften über die örtliche Zuständigkeit der Verwaltungsgerichte des Landes Hessen, die am 1. Dezember 2021 in Kraft treten sollten, der Ausgangsrechtsstreit auf das Verwaltungsgericht Frankfurt am Main (Deutschland) übergehe. Mit Informationsschreiben, das am 21. Februar 2022 bei der Kanzlei des Gerichtshofs eingegangen ist, hat das Verwaltungsgericht Frankfurt am Main diesen Übergang bestätigt und dem Gerichtshof das neue Aktenzeichen des Ausgangsrechtsstreits mitgeteilt.

23

Die deutsche Regierung hat in ihren schriftlichen Erklärungen geltend gemacht, das Vorabentscheidungsersuchen sei unzulässig, da die Vorlagefragen für den Ausgangsrechtsstreit nicht entscheidungserheblich seien. Die Antwort des Gerichtshofs wäre nämlich für das vorlegende Gericht nicht zweckdienlich, wenn die Datenverarbeitung aufgrund einer Einwilligung der Lehrkraft zulässig wäre. Das vorlegende Gericht mache jedoch keine Ausführungen dazu, weshalb es diese Möglichkeit nicht in Betracht ziehe.

24

In der mündlichen Verhandlung vor dem Gerichtshof zu diesem Punkt befragt, hat die deutsche Regierung allerdings eingeräumt, dass die Vorlagefragen erheblich seien, wenn die Einwilligung der Lehrkraft nicht eingeholt werden könne.

25

Insoweit ist daran zu erinnern, dass nach ständiger Rechtsprechung eine Vermutung für die Entscheidungserheblichkeit der Fragen des nationalen Gerichts spricht, die es zur Auslegung des Unionsrechts in dem rechtlichen und sachlichen Rahmen stellt, den es in eigener Verantwortung festlegt und dessen Richtigkeit der Gerichtshof nicht zu prüfen hat. Der Gerichtshof kann die Entscheidung über ein Vorabentscheidungsersuchen eines nationalen Gerichts nur dann ablehnen, wenn die erbetene Auslegung des Unionsrechts offensichtlich in keinem Zusammenhang mit den Gegebenheiten oder dem Gegenstand des Ausgangsrechtsstreits steht, das Problem hypothetischer Natur ist oder er nicht über die tatsächlichen und rechtlichen Angaben verfügt, die für eine zweckdienliche Beantwortung der ihm vorgelegten Fragen erforderlich sind (Urteil vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, Rn. 48 und die dort angeführte Rechtsprechung).

26

Im vorliegenden Fall geht aus dem Vorlagebeschluss hervor, dass zwischen den Beteiligten des Ausgangsverfahrens streitig ist, ob es bei der Einführung eines Livestreamunterrichts über Videokonferenzsysteme neben der Einwilligung der Eltern für ihre Kinder oder der volljährigen Schüler auch der Einwilligung der jeweiligen Lehrkraft bedarf oder ob vielmehr die Verarbeitung der personenbezogenen Daten der Lehrkräfte durch § 23 Abs. 1 Satz 1 HDSIG und § 86 Abs. 4 HBG gedeckt ist.

27

Ferner ist darauf hinzuweisen, dass das Verwaltungsgericht Wiesbaden in seinem Vorabentscheidungsersuchen ausgeführt hat, dass es sich nach Ansicht des nationalen Gesetzgebers bei § 23 HDSIG und § 86 HBG um spezifischere Vorschriften im Sinne von Art. 88 DSGVO handle und dass die Entscheidung des Ausgangsrechtsstreits davon abhänge, ob § 23 Abs. 1 Satz 1 HDSG und § 86 Abs. 4 HBG den Anforderungen von Art. 88 DSGVO genügten, um spezifischere Vorschriften für die Verarbeitung der personenbezogenen Daten der Lehrkräfte bei dem im Ausgangsverfahren in Rede stehenden Livestreamunterricht per Videokonferenz darstellen zu können.

28

In Anbetracht dieser Ausführungen im Vorabentscheidungsersuchen ist das Vorbringen der deutschen Regierung nicht geeignet, die für die vorgelegten Fragen geltende Vermutung der Entscheidungserheblichkeit zu widerlegen.

29

Unter diesen Umständen kann weder angenommen werden, dass die erbetene Auslegung der Bestimmungen des Unionsrechts offensichtlich in keinem Zusammenhang mit den Gegebenheiten oder dem Gegenstand des Ausgangsrechtsstreits steht, noch, dass das Problem hypothetischer Natur ist, da diese Auslegung in die Entscheidung des vorlegenden Gerichts über den Ausgangsrechtsstreit einfließen kann. Schließlich verfügt der Gerichtshof über die tatsächlichen und rechtlichen Angaben, die für eine zweckdienliche Beantwortung der ihm vorgelegten Fragen erforderlich sind.

30

Folglich ist das Vorabentscheidungsersuchen zulässig.

31

Die Vorlagefragen betreffen die Auslegung von Art. 88 Abs. 1 und 2 DSGVO im Rahmen eines Rechtsstreits über die Verarbeitung personenbezogener Daten von Lehrkräften beim Videokonferenz-Livestream des von ihnen zu erteilenden öffentlichen Schulunterrichts.

32

Als Erstes ist zu klären, ob eine solche Verarbeitung unter Berücksichtigung dessen in den sachlichen Anwendungsbereich der DSGVO fällt, dass diese Verordnung nach ihrem Art. 2 Abs. 2 Buchst. a auf die Verarbeitung personenbezogener Daten „im Rahmen einer Tätigkeit, die nicht in den Anwendungsbereich des Unionsrechts fällt“, keine Anwendung findet und die Mitgliedstaaten gemäß Art. 165 Abs. 1 AEUV für die Lehrinhalte und die Gestaltung des Bildungssystems verantwortlich sind.

33

Hierzu ergibt sich aus der Rechtsprechung des Gerichtshofs, dass die Definition des sachlichen Anwendungsbereichs der DSGVO, wie sie in deren Art. 2 Abs. 1 enthalten ist, sehr weit ist und dass die in Art. 2 Abs. 2 DSGVO vorgesehenen Ausnahmen von diesem Anwendungsbereich eng auszulegen sind (vgl. in diesem Sinne Urteile vom 9. Juli 2020, Land Hessen, C‑272/19, EU:C:2020:535, Rn. 68, und vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 61 und 62).

34

Art. 2 Abs. 2 Buchst. a DSGVO ist außerdem in Verbindung mit deren Art. 2 Abs. 2 Buchst. b und ihrem 16. Erwägungsgrund zu lesen, wonach diese Verordnung nicht für die Verarbeitung personenbezogener Daten im Zusammenhang mit „Tätigkeiten, die nicht in den Anwendungsbereich des Unionsrechts fallen, wie etwa die nationale Sicherheit betreffende Tätigkeiten“, sowie Tätigkeiten „im Rahmen der Gemeinsamen Außen- und Sicherheitspolitik der Union“ gilt (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 63).

35

Daraus folgt, dass Art. 2 Abs. 2 Buchst. a und b DSGVO, der teilweise an Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46 anknüpft, nicht dahin ausgelegt werden kann, dass er weiter gefasst ist als die Ausnahme nach Art. 3 Abs. 2 erster Gedankenstrich der Richtlinie 95/46, wonach bereits diese Richtlinie u. a. keine Anwendung fand auf die Verarbeitung personenbezogener Daten, „die für die Ausübung von Tätigkeiten erfolgt, die nicht in den Anwendungsbereich des Gemeinschaftsrechts fallen, beispielsweise Tätigkeiten gemäß den Titeln V und VI des [EU‑]Vertrags [in seiner Fassung vor dem Vertrag von Lissabon], und auf keinen Fall auf Verarbeitungen betreffend die öffentliche Sicherheit, die Landesverteidigung, die Sicherheit des Staates“ (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 64).

36

Im vorliegenden Fall steht fest, dass die Tätigkeit der Unterrichtsorganisation im Land Hessen nicht der Kategorie der zur Wahrung der nationalen Sicherheit dienenden Tätigkeiten im Sinne von Art. 2 Abs. 2 Buchst. a DSGVO zugeordnet werden kann.

37

Daher fällt eine Verarbeitung personenbezogener Daten von Lehrkräften beim Videokonferenz-Livestream des von ihnen erteilten öffentlichen Schulunterrichts wie diejenige, die im Ausgangsverfahren in Rede steht, in den sachlichen Anwendungsbereich der DSGVO.

38

Als Zweites geht aus dem Vorabentscheidungsersuchen hervor, dass die Lehrkräfte, die von der Verarbeitung personenbezogener Daten, um die es im Ausgangsrechtsstreit geht, betroffen sind, als Angestellte oder Beamte im öffentlichen Dienst des Landes Hessen stehen.

39

Daher ist zu klären, ob eine solche Verarbeitung personenbezogener Daten in den Anwendungsbereich von Art. 88 DSGVO fällt, der auf die „Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext“ abstellt.

40

Hierzu ist festzustellen, dass die DSGVO den Beschäftigtenbegriff und den Begriff des Beschäftigungskontexts weder definiert noch dafür auf das Recht der Mitgliedstaaten verweist. Ohne einen solchen Verweis müssen, wie es sowohl die einheitliche Anwendung des Unionsrechts als auch der Gleichheitssatz verlangen, die Begriffe einer Vorschrift des Unionsrechts, die für die Ermittlung ihres Sinns und ihrer Tragweite nicht ausdrücklich auf das Recht der Mitgliedstaaten verweist, in der Regel in der gesamten Union eine autonome und einheitliche Auslegung erhalten (Urteil vom 2. Juni 2022, HK/Danmark und HK/Privat, C‑587/20, EU:C:2022:419, Rn. 25 und die dort angeführte Rechtsprechung).

41

Da außerdem die DSGVO den Beschäftigtenbegriff und den Begriff des Beschäftigungskontexts nicht definiert, sind diese Begriffe entsprechend ihrem üblichen Sinn nach dem gewöhnlichen Sprachgebrauch auszulegen. Zu berücksichtigen sind dabei der Zusammenhang, in dem sie verwendet werden, und die Ziele, die mit der Regelung, zu der sie gehören, verfolgt werden (Urteil vom 2. Juni 2022, HK/Danmark und HK/Privat, C‑587/20, EU:C:2022:419, Rn. 26 und die dort angeführte Rechtsprechung).

42

Der Beschäftigtenbegriff bezeichnet in seinem üblichen Sinn eine Person, die ihre Arbeit im Rahmen eines Unterordnungsverhältnisses zu ihrem Arbeitgeber und daher unter dessen Kontrolle erledigt (Urteil vom 18. März 2021, Kuoni Travel, C‑578/19, EU:C:2021:213, Rn. 42).

43

Desgleichen besteht das wesentliche Merkmal des „Beschäftigungskontexts“ darin, dass eine Person während einer bestimmten Zeit für eine andere nach deren Weisung Leistungen erbringt, für die sie als Gegenleistung eine Vergütung erhält (Urteil vom 15. Juli 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, Rn. 49).

44

Da dieses Merkmal für die Beschäftigten und für den Beschäftigungskontext sowohl im öffentlichen als auch im privaten Sektor typisch ist, ist daraus zu folgern, dass die Begriffe „Beschäftigte“ und „Beschäftigungskontext“ nach ihrem üblichen Sinn die im öffentlichen Sektor berufstätigen Personen nicht ausschließen.

45

Die Tragweite von Art. 88 Abs. 1 DSGVO kann nämlich nicht nach der Art des Rechtsverhältnisses zwischen dem Beschäftigten und demjenigen, der ihn beschäftigt, bestimmt werden. Somit ist unerheblich, ob die betreffende Person als Angestellter oder als Beamter beschäftigt ist oder ob ihr Beschäftigungsverhältnis öffentlichem oder privatem Recht unterliegt, da diese rechtlichen Qualifizierungen in der Tat je nach den einzelstaatlichen Rechtsvorschriften variieren können und daher kein geeignetes Kriterium für eine einheitliche und autonome Auslegung dieser Bestimmung liefern können (vgl. entsprechend Urteile vom 12. Februar 1974, Sotgiu, 152/73, EU:C:1974:13, Rn. 5, und vom 3. Juni 1986, Kommission/Frankreich, 307/84, EU:C:1986:222, Rn. 11).

46

Was speziell Personen ohne arbeitsvertragliches Beschäftigungsverhältnis wie beispielsweise Beamte betrifft, so trifft zwar zu, dass Art. 88 DSGVO in seinem Abs. 1 auf die „Erfüllung des Arbeitsvertrags“ Bezug nimmt. Allerdings ist zum einen festzustellen, dass sich diese Bezugnahme neben anderen in Art. 88 Abs. 1 DSGVO aufgezählten Zwecken der Verarbeitung personenbezogener Daten im Beschäftigungskontext findet, für die die Mitgliedstaaten spezifischere Vorschriften erlassen können, und dass jedenfalls diese Aufzählung nicht erschöpfend ist, wovon das in dieser Bestimmung verwendete Adverb „insbesondere“ zeugt.

47

Zum anderen findet die Unerheblichkeit der Qualifizierung des Rechtsverhältnisses zwischen dem Beschäftigten und dem ihn beschäftigenden Dienstherrn darin Bestätigung, dass sich das Management, die Planung und die Organisation der Arbeit, die Gleichheit und Diversität am Arbeitsplatz, die Gesundheit und Sicherheit am Arbeitsplatz, der Schutz des Eigentums der Arbeitgeber oder der Kunden sowie die Inanspruchnahme der mit der Beschäftigung zusammenhängenden individuellen oder kollektiven Rechte und Leistungen und die Beendigung des Beschäftigungsverhältnisses, die ebenfalls in Art. 88 Abs. 1 DSGVO aufgezählt werden, auf die Beschäftigung sowohl im privaten als auch im öffentlichen Sektor beziehen.

48

Folglich kann aus der Bezugnahme auf die „Erfüllung des Arbeitsvertrags“ in Art. 88 Abs. 1 DSGVO nicht abgeleitet werden, dass die nicht auf einem Arbeitsvertrag beruhende Beschäftigung im öffentlichen Sektor vom Anwendungsbereich dieser Bestimmung ausgenommen ist.

49

Die gleiche Schlussfolgerung gebietet sich hinsichtlich dessen, dass Art. 88 Abs. 2 DSGVO unter den drei Punkten, „im Hinblick [insbesondere] auf“ welche die Mitgliedstaaten beim Erlass solcher „spezifischeren Vorschriften“ vorgehen, die Übermittlung personenbezogener Daten „innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben“, anführt. Die beiden anderen Punkte, also die Transparenz der Verarbeitung und die Überwachungssysteme am Arbeitsplatz, sind nämlich sowohl für die Beschäftigung im privaten Sektor als auch für die Beschäftigung im öffentlichen Sektor relevant, ganz egal, wie das Rechtsverhältnis zwischen dem Beschäftigten und demjenigen, der ihn beschäftigt, geartet ist.

50

Die Auslegung, die sich aus dem Wortlaut von Art. 88 DSGVO ergibt, wird durch den Zusammenhang, in den sich dieser Artikel einfügt, sowie durch das Ziel bestätigt, das mit der Regelung, zu der er gehört, verfolgt wird.

51

Wie sich aus ihrem Art. 1 Abs. 1 im Licht insbesondere ihrer Erwägungsgründe 9, 10 und 13 ergibt, soll die DSGVO eine grundsätzlich vollständige Harmonisierung der nationalen Rechtsvorschriften zum Schutz personenbezogener Daten sicherstellen. Allerdings eröffnen Bestimmungen dieser Verordnung den Mitgliedstaaten die Möglichkeit, zusätzliche, strengere oder einschränkende, nationale Vorschriften vorzusehen, und lassen ihnen ein Ermessen hinsichtlich der Art und Weise der Durchführung dieser Bestimmungen („Öffnungsklauseln“) (vgl. in diesem Sinne Urteil vom 28. April 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, Rn. 57).

52

Art. 88 DSGVO, der zu deren Kapitel IX („Vorschriften für besondere Verarbeitungssituationen“) gehört, stellt eine solche Öffnungsklausel dar, da er den Mitgliedstaaten die Befugnis einräumt, „spezifischere Vorschriften“ zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext zu erlassen.

53

Die Besonderheiten der Verarbeitung personenbezogener Daten im Beschäftigungskontext und damit die den Mitgliedstaaten durch Art. 88 Abs. 1 DSGVO eingeräumte Befugnis erklären sich insbesondere durch das Bestehen eines Unterordnungsverhältnisses zwischen dem Beschäftigten und demjenigen, der ihn beschäftigt, und nicht durch die Art des Rechtsverhältnisses zwischen beiden.

54

Außerdem soll die DSGVO nach ihrem Art. 1 Abs. 2 in Verbindung mit ihrem zehnten Erwägungsgrund u. a. ein hohes Schutzniveau für die Grundrechte und ‑freiheiten von natürlichen Personen bei der Verarbeitung personenbezogener Daten gewährleisten, wobei dieses Schutzrecht auch in Art. 8 der Charta der Grundrechte der Europäischen Union anerkannt wird und in engem Zusammenhang mit dem in Art. 7 der Charta verankerten Recht auf Achtung des Privatlebens steht (vgl. in diesem Sinne Urteil vom 1. August 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, Rn. 61).

55

Damit konform ist eine weite Auslegung von Art. 88 Abs. 1 DSGVO, nach der die „spezifischeren Vorschriften“, die die Mitgliedstaaten zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext vorsehen können, alle Beschäftigten unabhängig von der Art des Rechtsverhältnisses betreffen können, das zwischen ihnen und demjenigen, der sie beschäftigt, besteht.

56

Unter diesen Umständen fällt eine Verarbeitung personenbezogener Daten von Lehrkräften beim Videokonferenz-Livestream des von ihnen erteilten öffentlichen Schulunterrichts wie diejenige, um die es im Ausgangsverfahren geht, in den sachlichen und persönlichen Anwendungsbereich von Art. 88 DSGVO.

57

Mit seiner ersten Frage möchte das vorlegende Gericht im Wesentlichen wissen, ob Art. 88 DSGVO dahin auszulegen ist, dass eine Rechtsvorschrift, um als spezifischere Vorschrift im Sinne von Abs. 1 dieses Artikels eingestuft werden zu können, die Vorgaben von Abs. 2 dieses Artikels erfüllen muss.

58

Wie oben in Rn. 52 ausgeführt, sind die Mitgliedstaaten befugt und nicht verpflichtet, solche Vorschriften zu erlassen, die durch Rechtsvorschriften oder durch Kollektivvereinbarungen vorgesehen werden können.

59

Außerdem müssen die Mitgliedstaaten, wenn sie von der ihnen durch eine Öffnungsklausel der DSGVO eingeräumten Befugnis Gebrauch machen, von ihrem Ermessen unter den Voraussetzungen und innerhalb der Grenzen der Bestimmungen dieser Verordnung Gebrauch machen und müssen daher Rechtsvorschriften erlassen, die nicht gegen den Inhalt und die Ziele der DSGVO verstoßen (vgl. in diesem Sinne Urteil vom 28. April 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, Rn. 60).

60

Um die Voraussetzungen und Grenzen zu bestimmen, denen die Vorschriften im Sinne von Art. 88 Abs. 1 und 2 DSGVO unterliegen, und folglich das Ermessen zu beurteilen, das diese Bestimmungen den Mitgliedstaaten lassen, ist daran zu erinnern, dass nach ständiger Rechtsprechung bei der Auslegung einer Bestimmung des Unionsrechts nicht nur deren Wortlaut, sondern auch der Zusammenhang, in dem diese Bestimmung steht, sowie die Ziele und Zwecke des Rechtsakts, zu dem sie gehört, zu berücksichtigen sind (Urteil vom 15. März 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, Rn. 63).

61

Was den Wortlaut von Art. 88 Abs. 1 DSGVO anbelangt, so ergibt sich zunächst aus der Verwendung des Ausdrucks „spezifischere“, dass die Vorschriften im Sinne dieser Bestimmung einen zu dem geregelten Bereich passenden Regelungsgehalt haben müssen, der sich von den allgemeinen Regeln der DSGVO unterscheidet.

62

Sodann besteht, wie oben in Rn. 52 ausgeführt, das Ziel der auf der Grundlage dieser Bestimmung erlassenen Vorschriften darin, die Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext zu schützen.

63

Schließlich ergibt sich aus den verschiedenen Zwecken, zu denen die Verarbeitung der personenbezogenen Daten erfolgen kann und wie sie in Art. 88 Abs. 1 DSGVO genannt sind, dass sich die „spezifischeren Vorschriften“ im Sinne dieser Bestimmung auf eine sehr große Zahl von Verarbeitungen im Beschäftigungskontext beziehen können, so dass alle Zwecke erfasst werden, zu denen die Verarbeitung personenbezogener Daten im Beschäftigungskontext erfolgen kann. Außerdem verfügen die Mitgliedstaaten, da die Aufzählung dieser Zwecke, wie oben in Rn. 46 festgestellt, nicht erschöpfend ist, über ein Ermessen hinsichtlich der Verarbeitungen, die so diesen spezifischeren Vorschriften unterworfen werden.

64

Art. 88 Abs. 2 DSGVO sieht vor, dass die auf der Grundlage von Art. 88 Abs. 1 DSGVO erlassenen Vorschriften geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz, umfassen müssen.

65

Somit ergibt sich aus dem Wortlaut von Art. 88 DSGVO, dass dessen Abs. 2 dem Ermessen der Mitgliedstaaten, die den Erlass „spezifischerer Vorschriften“ nach Abs. 1 dieses Artikels beabsichtigen, einen Rahmen setzt. So dürfen sich diese Vorschriften zum einen nicht auf eine Wiederholung der Bestimmungen der DSGVO beschränken, sondern müssen auf den Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext abzielen und geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen.

66

Zum anderen ist dabei insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz vorzugehen.

67

Was den Zusammenhang betrifft, in den sich Art. 88 DSGVO einfügt, ist als Erstes darauf hinzuweisen, dass diese Vorschrift im Licht des achten Erwägungsgrundes der DSGVO auszulegen ist, wonach die Mitgliedstaaten, wenn in der DSGVO Präzisierungen oder Einschränkungen ihrer Vorschriften durch das Recht der Mitgliedstaaten vorgesehen sind, Teile dieser Verordnung in ihr nationales Recht aufnehmen können, soweit dies erforderlich ist, um die Kohärenz zu wahren und die nationalen Rechtsvorschriften für die Personen, für die sie gelten, verständlicher zu machen.

68

Als Zweites ist darauf hinzuweisen, dass die Kapitel II und III DSGVO die Grundsätze für die Verarbeitung personenbezogener Daten bzw. die Rechte der betroffenen Person, die bei jeder Verarbeitung personenbezogener Daten beachtet werden müssen, enthalten (Urteil vom 24. Februar 2022, Valsts ieņēmumu dienests [Verarbeitung personenbezogener Daten zu steuerlichen Zwecken], C‑175/20, EU:C:2022:124, Rn. 50).

69

Insbesondere muss jede Verarbeitung personenbezogener Daten zum einen mit den in Art. 5 DSGVO aufgestellten Grundsätzen für die Verarbeitung der Daten im Einklang stehen und zum anderen einem der in Art. 6 DSGVO aufgeführten Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung entsprechen (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 96 und die dort angeführte Rechtsprechung).

70

Hinsichtlich der Grundsätze in Bezug auf die Rechtmäßigkeit der Verarbeitung sieht Art. 6 DSGVO eine erschöpfende und abschließende Liste der Fälle vor, in denen eine Verarbeitung personenbezogener Daten als rechtmäßig angesehen werden kann. Daher muss eine Verarbeitung unter einen der in Art. 6 DSGVO vorgesehenen Fälle subsumierbar sein, um als rechtmäßig angesehen werden zu können (Urteil vom 22. Juni 2021, Latvijas Republikas Saeima [Strafpunkte], C‑439/19, EU:C:2021:504, Rn. 99 und die dort angeführte Rechtsprechung).

71

Auch wenn also die Mitgliedstaaten bei der Wahrnehmung der ihnen durch eine Öffnungsklausel der DSGVO eingeräumten Befugnis Teile dieser Verordnung in ihr nationales Recht aufnehmen können, soweit dies erforderlich ist, um die Kohärenz zu wahren und die nationalen Rechtsvorschriften für die Personen, für die sie gelten, verständlicher zu machen, darf es sich bei den auf der Grundlage von Art. 88 Abs. 1 DSGVO erlassenen „spezifischeren Vorschriften“ nicht lediglich um eine Wiederholung der in Art. 6 DSGVO genannten Bedingungen für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten und der in Art. 5 DSGVO angeführten Grundsätze für diese Verarbeitung oder um einen Verweis auf diese Bedingungen und Grundsätze handeln.

72

Die Auslegung, wonach das Ermessen der Mitgliedstaaten beim Erlass von Vorschriften auf der Grundlage von Art. 88 Abs. 1 DSGVO durch Abs. 2 dieses Artikels begrenzt wird, steht im Einklang mit dem oben in Rn. 51 angeführten Ziel der DSGVO, eine grundsätzlich vollständige Harmonisierung der nationalen Rechtsvorschriften zum Schutz personenbezogener Daten sicherzustellen.

73

Wie vom Generalanwalt in den Nrn. 56, 70 und 73 seiner Schlussanträge im Wesentlichen ausgeführt, kann nämlich die Möglichkeit für die Mitgliedstaaten, „spezifischere Vorschriften“ auf der Grundlage von Art. 88 Abs. 1 DSGVO zu erlassen, dazu führen, dass es im Anwendungsbereich dieser Vorschriften zu einem Bruch in der Harmonisierung kommt. Die Vorgaben von Art. 88 Abs. 2 DSGVO spiegeln aber die Grenzen der mit dieser Verordnung in Kauf genommenen Differenzierung dahin wider, dass dieser Bruch in der Harmonisierung nur zulässig sein kann, wenn die verbleibenden Unterschiede mit besonderen und geeigneten Garantien zum Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext einhergehen.

74

Um als „spezifischere Vorschrift“ im Sinne von Art. 88 Abs. 1 DSGVO eingestuft werden zu können, muss eine Rechtsvorschrift folglich die Vorgaben von Art. 88 Abs. 2 DSGVO erfüllen. Abgesehen davon, dass diese spezifischeren Vorschriften einen zu dem geregelten Bereich passenden Regelungsgehalt haben müssen, der sich von den allgemeinen Regeln der DSGVO unterscheidet, müssen sie auf den Schutz der Rechte und Freiheiten der Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext abzielen und geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person umfassen. Dabei ist insbesondere im Hinblick auf die Transparenz der Verarbeitung, die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe oder einer Gruppe von Unternehmen, die eine gemeinsame Wirtschaftstätigkeit ausüben, und die Überwachungssysteme am Arbeitsplatz vorzugehen.

75

Nach alledem ist auf die erste Frage zu antworten, dass Art. 88 DSGVO dahin auszulegen ist, dass eine nationale Rechtsvorschrift keine „spezifischere Vorschrift“ im Sinne von Abs. 1 dieses Artikels sein kann, wenn sie nicht die Vorgaben von Abs. 2 dieses Artikels erfüllt.

76

Mit seiner zweiten Frage möchte das vorlegende Gericht im Wesentlichen wissen, welche Folgen die Feststellung hat, dass nationale Rechtsvorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten hinsichtlich der Verarbeitung personenbezogener Beschäftigtendaten im Beschäftigungskontext nicht mit den in Art. 88 Abs. 1 und 2 DSGVO vorgesehenen Voraussetzungen und Grenzen vereinbar sind.

77

Insoweit ist daran zu erinnern, dass eine Verordnung nach Art. 288 Abs. 2 AEUV in allen ihren Teilen verbindlich ist und unmittelbar in jedem Mitgliedstaat gilt, so dass ihre Vorschriften grundsätzlich keiner Durchführungsmaßnahmen der Mitgliedstaaten bedürfen (Urteil vom 15. Juni 2021, Facebook Ireland u. a., C‑645/19, EU:C:2021:483, Rn. 109).

78

Allerdings eröffnen in der DSGVO vorgesehene Öffnungsklauseln den Mitgliedstaaten die Möglichkeit, zusätzliche, strengere oder einschränkende, nationale Vorschriften vorzusehen, und lassen ihnen ein Ermessen hinsichtlich der Art und Weise der Durchführung der betreffenden Bestimmungen (siehe oben, Rn. 51).

79

Machen die Mitgliedstaaten von der ihnen durch eine Öffnungsklausel der DSGVO eingeräumten Befugnis Gebrauch, müssen sie von ihrem Ermessen unter den Voraussetzungen und innerhalb der Grenzen der Bestimmungen dieser Verordnung Gebrauch machen und daher Rechtsvorschriften erlassen, die nicht gegen den Inhalt und die Ziele der DSGVO verstoßen (siehe oben, Rn. 59).

80

Es ist Sache des für die Auslegung des nationalen Rechts allein zuständigen vorlegenden Gerichts, zu beurteilen, ob die im Ausgangsverfahren in Rede stehenden Bestimmungen die in Art. 88 DSGVO vorgegebenen Voraussetzungen und Grenzen beachten, wie sie oben in Rn. 74 zusammengefasst sind.

81

Wie der Generalanwalt in den Nrn. 60 bis 62 seiner Schlussanträge festgestellt hat, scheinen jedoch Bestimmungen wie § 23 Abs. 1 HDSIG und § 86 Abs. 4 HBG, die die Verarbeitung personenbezogener Beschäftigtendaten davon abhängig machen, dass diese zu bestimmten Zwecken im Zusammenhang mit der Durchführung eines Beschäftigungs- bzw. Dienstverhältnisses erforderlich sein muss, die bereits in Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO aufgestellte Bedingung für die allgemeine Rechtmäßigkeit der Verarbeitung zu wiederholen, ohne eine spezifischere Vorschrift im Sinne von Art. 88 Abs. 1 DSGVO hinzuzufügen. Solche Bestimmungen scheinen nämlich keinen zu dem geregelten Bereich passenden Regelungsgehalt, der sich von den allgemeinen Regeln der DSGVO unterscheidet, zu haben.

82

Sollte das vorlegende Gericht zu der Feststellung gelangen, dass bei den im Ausgangsverfahren in Rede stehenden Bestimmungen die in Art. 88 DSGVO vorgegebenen Voraussetzungen und Grenzen nicht beachtet sind, hätte es diese Bestimmungen grundsätzlich unangewendet zu lassen.

83

Gemäß dem Grundsatz des Vorrangs des Unionsrechts bewirken nämlich die Bestimmungen der Verträge und die unmittelbar geltenden Rechtsakte der Organe in ihrem Verhältnis zum innerstaatlichen Recht der Mitgliedstaaten, dass allein durch ihr Inkrafttreten jede entgegenstehende Bestimmung des nationalen Rechts ohne Weiteres unanwendbar wird (Urteile vom 9. März 1978, Simmenthal, 106/77, EU:C:1978:49, Rn. 17, vom 19. Juni 1990, Factortame u. a., C‑213/89, EU:C:1990:257, Rn. 18, und vom 4. Februar 2016, Ince, C‑336/14, EU:C:2016:72, Rn. 52).

84

In Ermangelung spezifischerer Vorschriften, die die in Art. 88 DSGVO vorgegebenen Voraussetzungen und Grenzen beachten, wird daher die Verarbeitung personenbezogener Daten im Beschäftigungskontext sowohl im privaten als auch im öffentlichen Sektor unmittelbar durch die Bestimmungen der DSGVO geregelt.

85

Insoweit ist darauf hinzuweisen, dass auf eine Verarbeitung personenbezogener Daten wie die im Ausgangsverfahren in Rede stehende Art. 6 Abs. 1 Unterabs. 1 Buchst. c und e DSGVO Anwendung finden kann, wonach die Verarbeitung personenbezogener Daten rechtmäßig ist, wenn sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt, oder für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde.

86

Nach Art. 6 Abs. 3 DSGVO muss zum einen, was beide in Art. 6 Abs. 1 Unterabs. 1 Buchst. c und e DSGVO genannten Annahmen der Rechtmäßigkeit anbelangt, die Verarbeitung auf dem Unionsrecht oder dem Recht des Mitgliedstaats, dem der Verantwortliche unterliegt, gründen und zum anderen der Zweck der Verarbeitung in dieser Rechtsgrundlage festgelegt oder hinsichtlich der Verarbeitung gemäß Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO für die Erfüllung einer Aufgabe erforderlich sein, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (vgl. in diesem Sinne Urteil vom 8. Dezember 2022, Inspektor v Inspektorata kam Visshia sadeben savet [Zwecke der Verarbeitung personenbezogener Daten – Strafrechtliche Ermittlungen], C‑180/21, EU:C:2022:967, Rn. 95).

87

Der Gerichtshof hat hierzu bereits geurteilt, dass die rechtmäßige Verarbeitung personenbezogener Daten durch den Verantwortlichen auf der Grundlage von Art. 6 Abs. 1 Unterabs. 1 Buchst. e DSGVO nicht nur voraussetzt, dass davon ausgegangen werden kann, dass der Verantwortliche eine im öffentlichen Interesse liegende Aufgabe wahrnimmt, sondern auch, dass die Verarbeitung personenbezogener Daten für die Wahrnehmung einer solchen Aufgabe auf einer Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO beruht (vgl. in diesem Sinne Urteil vom 20. Oktober 2022, Koalitsia „Demokratichna Bulgaria – Obedinenie", C‑306/21, EU:C:2022:813, Rn. 52).

88

Gelangt das vorlegende Gericht zu der Feststellung, dass bei den nationalen Bestimmungen über die Verarbeitung personenbezogener Daten im Beschäftigungskontext die in Art. 88 Abs. 1 und 2 DSGVO vorgegebenen Voraussetzungen und Grenzen nicht beachtet sind, muss es folglich noch prüfen, ob diese Bestimmungen eine Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO in Verbindung mit deren 45. Erwägungsgrund darstellen, die den Anforderungen dieser Verordnung genügt. Ist dies der Fall, darf die Anwendung der nationalen Vorschriften nicht ausgeschlossen werden.

89

Nach alledem ist auf die zweite Vorlagefrage zu antworten, dass Art. 88 Abs. 1 und 2 DSGVO dahin auszulegen ist, dass nationale Rechtsvorschriften zur Gewährleistung des Schutzes der Rechte und Freiheiten von Beschäftigten hinsichtlich der Verarbeitung ihrer personenbezogenen Daten im Beschäftigungskontext unangewendet bleiben müssen, wenn sie nicht die in ebendiesem Art. 88 Abs. 1 und 2 vorgegebenen Voraussetzungen und Grenzen beachten, es sei denn, sie stellen eine Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO dar, die den Anforderungen dieser Verordnung genügt.

90

Für die Beteiligten des Ausgangsverfahrens ist das Verfahren Teil des beim vorlegenden Gericht anhängigen Verfahrens; die Kostenentscheidung ist daher Sache dieses Gerichts. Die Auslagen anderer Beteiligter für die Abgabe von Erklärungen vor dem Gerichtshof sind nicht erstattungsfähig.

Aus diesen Gründen hat der Gerichtshof (Erste Kammer) für Recht erkannt: