Verpflichtung des Betriebsrats zum Datenschutz aus § 79a BetrVG

Datenschutz und der Betriebsrat: Knapp 40 Prozent aller bundesdeutschen Unternehmen unterhalten einen Betriebsrat. Regelungen zu den einzelnen Rechten und Pflichten der Beschäftigtenvertretungen finden sich im Betriebsverfassungsgesetz (BetrVG). Ein besonders komplexes und zugleich sensibles Thema betrifft ihre Funktion beim Datenschutz. Mit der Schaffung des § 79a BetrVG sollte der bis dato oft strittige Zuständigkeitsbereich mehr Rechtssicherheit erhalten. Doch es bleiben Unklarheiten.

Die rechtliche Lage

Datenschutz am Arbeitsplatz ist ein ebenso wichtiges wie umfassendes Thema. Betriebsräte sind aufgrund ihrer Stellung als Arbeitnehmervertretung in umfassender Weise über interne Personalien von Beschäftigten informiert. Sie erheben und verarbeiten täglich zahlreiche personenbezogene Daten. Dabei müssen sie gemäß § 75 und § 80 BetrVG Persönlichkeitsrechte schützen und die Einhaltung der Arbeitnehmerschutzvorschriften gewährleisten. Auch die Grundsätze eines sparsamen und zweckgebundenen Datengebrauchs müssen sie einhalten. Zur Vermeidung von Datenschutzverstößen und Interessenkonflikten ist die Bestellung eines professionellen externen Datenschutzbeauftragten ratsam. Das vermeidet den Eindruck einer Weitergabe interner Daten bei der obligatorischen Berichtserstattung an die Geschäftsleitung.

Zur Wahrung der Beschäftigtenrechte nach datenschutzrechtlichen Vorschriften der DSGVO müssen Arbeitgeber Betriebsräten erforderlichen Unterlagen übermitteln. Dabei blieb bis zur Einführung des Betriebsmodernisierungsgesetzes 2021 die rechtliche Position des Betriebsrates lange ungeklärt. Sie spielt jedoch insbesondere hinsichtlich des Auskunftsanspruchs von Beschäftigten nach Artikel 15 DSGVO eine bedeutende Rolle. Denn diese müssen sich an die verantwortliche Stelle richten.

Der Betriebsrat und die DSGVO

• 79a BetrVG enthält Vorschriften zur Einhaltung des Datenschutzes durch den Betriebsrat. Die gesetzliche Regelung ist 2021 zur Bestimmung der Verantwortlichkeit bei der Bearbeitung personenbezogener Daten durch Betriebsräte geschaffen worden. Zuvor war rechtlich nicht eindeutig geklärt, ob der Betriebsrat in Eigenverantwortung handelt oder als Teil ihres Arbeitgebers.

Entschieden hat der Gesetzgeber im Sinne der ständigen Rechtsprechung durch das Bundesarbeitsgericht. Danach nimmt der Betriebsrat seine Aufgaben im Rahmen des Datenschutzes zwar unabhängig und eigenständig wahr. Dennoch zeichnet das Unternehmen für Konsequenzen verantwortlich, sofern der Betriebsrat mit seiner Tätigkeit seinen Zuständigkeitsbereich nicht überschreitet. Zur bestmöglichen Einhaltung datenschutzrechtlicher Vorschriften sollen sich Arbeitgeber und Betriebsrat gegenseitig unterstützen.

Der § 79a BetrVG schafft Klarheit für den Verantwortungsbereich, wirft aber gleichzeitig neue Problemstellungen auf. Eine externe Datenschutzberatung hilft bei der Klärung weiterer Rechtsunsicherheiten.

Rechtsunsicherheiten und Folgeprobleme der Normierung

Was folgt aus der uneingeschränkten Verantwortung von Unternehmen bei der Bearbeitung personenbezogener Daten durch Betriebsräte? Haften sie für sämtliche Datenschutzverstöße? Welche Pflichten haben Betriebsräte? Müssen sie einen Datenschutzbeauftragten bestimmen? Schon macht der Terminus des rechtsfreien Raums die Runde. An Kritikpunkten mangelt es nicht:

• 79a BetrVG als Konstrukt steht auf unsicheren Beinen. Gemäß Art. 4 Nr. 7 DSGVO dürfen Gesetzgeber einzelner Mitgliedsstaaten nur dann gezielte Verantwortlichkeiten zuteilen, bestimmen sie auch Zwecke und Mittel. Ebendies aber ist in § 79a BetrVG nicht geschehen. Ob Betriebsräte aufgrund ihrer Entscheidungsfreiheit zum „Ob“ und „Wie“ der Datenspeicherung als Verantwortliche gem. Art. 4 Nr. 7 DSGVO gelten, ist umstritten.
• Im Normalfall greifen Betriebsräte auf unternehmenseigene Kommunikationstechnik zurück und haben keinen Einfluss auf die IT-Systeme zur Verarbeitung personenbezogener Daten.
• Weder Arbeitgeber noch Datenschutzbeauftragte dürfen die Tätigkeiten des Betriebsrats kontrollieren. Dennoch haften Arbeitgeber bei Datenschutzverstößen durch den Betriebsrat und können keinen Entlastungsbeweis nach Art. 82 Abs. 3 DSGVO antreten.
• Gleichzeitig muss das gemäß Art. 30 DSGVO erforderliche Verarbeitungsverzeichnis des Arbeitgebers auch Verarbeitungstätigkeiten des Betriebsrates enthalten. Ohne einen reibungslosen Informationsfluss ist dies nicht möglich. Auch bei der Behandlung und Meldung von Datenschutzverletzungen nach Art. 33 f. DSGVO sind Arbeitgeber auf die Zuarbeit ihrer Betriebsräte angewiesen.
• Nach Art. 15 DSGVO steht Beschäftigten ein Auskunftsrecht über Inhalt und Umfang ihrer personenbezogenen Daten zu. Richtet sich ihr Anspruch auch gegen das Unternehmen, bleibt fraglich, an wen Sie sich mit ihrer Anfrage wenden müssen.

Der Gesetzgeber nimmt Arbeitgeber damit in die Verantwortung, ohne sie zur Kontrolle oder Anweisung des Betriebsrats bei Datenschutzaufgaben zu ermächtigen.

Fazit

• 79a BetrVG trennt die Verantwortlichkeit von der Zuständigkeit. In § 80 des Thüringer Personalvertretungsgesetzes wurde ein vergleichbares Problem durch die Pflicht zur Bestellung eines Datenschutzbeauftragten gelöst. Auch für Betriebsräte lohnt die Hinzuziehung externer Informationssicherheitsbeauftragter. Diese können das erforderliche Vertrauensverhältnis von Betriebsrat und Arbeitgeber etablieren, ihre Interessen vereinen und ihre Zusammenarbeit beim Datenschutz verbessern.

Bild: AdobeStock_187302074, Robert Kneschke