Betriebsräte und Datenschutz: Was gilt es zu beachten?

Betriebsräte sollen die Rechte und Interessen der Arbeitnehmenden gegenüber den Arbeitgebenden schützen und durchsetzen. Das gilt auch in Bezug auf die personenbezogenen Daten der Beschäftigten. Im Rahmen ihrer Tätigkeiten erhalten sie dabei weitreichende Einblicke in viele personenbezogene Daten, welche sie gemäß DSGVO auch selbst verarbeiten. Welche Vorschriften gelten hier für den Betriebsrat? Wie erfolgt eine Kontrolle? Und wer haftet bei einem Verstoß gegen die DSGVO? Wir haben die wichtigsten Punkte für Sie zusammengestellt.

Für viele ihrer Aufgaben benötigen Betriebsräte personenbezogene Daten, z.B. damit sie wissen, wen sie vertreten oder wenn sie an Verhandlungen teilnehmen. Diese Daten erhalten sie durch die Arbeitgebenden. Hier wird allerdings darauf geachtet, dass Betriebsräte auch nur diejenigen Daten erhalten, die sie für ihre Arbeit tatsächlich benötigen. Sie erhalten also kein automatisches Zugriffsrecht auf Personaldaten. Der Auskunftsanspruch des Betriebsrats ist also aufgabengebunden. Für die DSGVO-konforme Übermittlung personenbezogener Daten sind die Arbeitgebenden verantwortlich. Werden die Schutzmaßnahmen seitens der Betriebsräte nicht erfüllt, haben Arbeitgebende das Recht, die Übermittlung von Daten zu verweigern.

Grundsätzlich gilt, dass sich Betriebsräte genauso an die Vorgaben der DSGVO halten müssen wie z.B. auch Arbeitgebende. Betriebsräte benötigen dabei nach herrschender Meinung keine eigenen Datenschutzbeauftragten, da sie Teil eines Unternehmens sind. Das Bundesarbeitsgericht fordert allerdings gewisse Mindeststandards. Dazu gehören ein zuverlässiger Verschluss der betroffenen Daten, begrenzte Zugriffsmöglichkeit und ein entsprechendes Löschkonzept. Das heißt, Betriebsräte müssen durch geeignete technische und organisatorische Maßnahmen den Schutz der zugänglichen Beschäftigtendaten sicherstellen. Zusätzlich empfiehlt sich eine interne Dokumentation in Form eines Verarbeitungsverzeichnisses.

Da Betriebsräte nur personenbezogene Daten erhalten, um ihren Aufgaben nachgehen zu können, werden die Daten in der Regel lediglich zur Einsichtnahme - und nicht zur Speicherung - zur Verfügung gestellt. 

Im Unternehmen kommt es schnell zu Verunsicherung, wer wofür zuständig ist, wenn es keine klaren Regelungen gibt. Dies gilt auch für die Umsetzung der DSGVO durch Arbeitgebende und Betriebsräte. Daher bietet es sich an, unternehmensintern im Rahmen einer Betriebsvereinbarung die Verantwortung des Betriebsrats für bestimmte Vorgaben aus der DSGVO festzulegen sowie Prozesse zur Kooperation aufzusetzen, die die Umsetzung des Datenschutzes sicherstellen. Die Vereinbarung muss dabei dem Bestimmtheits- und Transparenzgebot entsprechen und die Persönlichkeitsrechte der Arbeitnehmenden schützen. Durch solche Vereinbarungen kann die Rechtssicherheit erhöht und klare und verständliche Regelungen (Transparenz) geschaffen werden. Außerdem kann der Erlaubnistatbestand näher ausgestaltet werden. 

Da Betriebsräte der DSGVO unterliegen, muss ihre Konformität überprüft werden. Diese Kontrolle erfolgt durch die Datenschutzbeauftragten (DSB) der Unternehmen. Die Datenschutzbeauftragten nehmen zusätzlich eine beratende Funktion für die Betriebsräte ein. Gleichzeitig hat der Betriebsrat die Pflicht, die Einhaltung des Beschäftigtendatenschutzes und der gesetzlichen Anforderungen seitens der Arbeitgebenden zu überprüfen. Somit wird der Betrieb durch drei Stellen kontrolliert: den Betriebsrat, den hauseigenen DSB und die Aufsichtsbehörden. 

Es ist noch nicht abschließend geklärt, ob Betriebsräte als eigenständige Verantwortliche nach DSGVO gelten. Deshalb bleibt auch die Frage, wer bei Datenschutzverstößen durch Betriebsräte und ihre Mitglieder haftet, bisher offen. Das heißt allerdings nicht, dass der Betriebsrat von den Schutzstandards des Beschäftigtendatenschutzes befreit ist. Aufsichtsbehörden können gegenüber Betriebsräten verschiedene Abhilfemaßnahmen anwenden. Diese reichen von Verwarnungen über Löschung oder Berichtigung von Daten bis hin zur Verhängung von Verarbeitungsverboten.