Haftet der Betriebsrat künftig selbst für die Einhaltung der DSGVO?

Der erste Adressat der DSGVO ist der Verantwortliche. Der Verantwortliche muss für die Rechtmäßigkeit der Datenverarbeitung einstehen, er muss die Informations- und weiteren Pflichten gegenüber den betroffenen Personen erfüllen und er trägt das Risiko, dass die Aufsichtsbehörden bei Datenschutzverstößen gegen ihn Bußgelder in erheblicher Höhe verhängen. 

Wer ist verantwortlich im Sinne des DSGVO?

Art. 4 Nr. 7 DSGVO definiert den Verantwortlichen als denjenigen, der über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Ohne Zweifel ist der Arbeitgeber Verantwortlicher, wenn es um die Verarbeitung der personenbezogenen Daten seiner Beschäftigten geht.

Aber auch der Betriebsrat verarbeitet im Rahmen der Erfüllung seiner betriebsverfassungsrechtlichen Aufgaben personenbezogene Beschäftigtendaten und zwar eigenverantwortlich, d.h. ohne Weisung des Arbeitgebers (vgl. BAG, Beschl. v. 18.07.2012 – 7 ABR 23/11). Er tut dies sogar, ohne dass er der Kontrolle des betrieblichen Datenschutzbeauftragten unterliegt, obwohl er selbstverständlich auch im Rahmen seiner Betriebsratstätigkeit den Datenschutz einhalten muss (BAG, Beschl. v. 11.11.1997 – 1 ABR 21/97).

Die besondere Rolle des Betriebsrats im Datenschutz

Da der Betriebsrat also weisungsfrei und außerhalb der Kontrolle des betrieblichen Datenschutzbeauftragten personenbezogene Beschäftigtendaten verarbeitet, stellt sich die Frage, ob er aufgrund dieser Eigenverantwortlichkeit die Rolle des Verantwortlichen gemäß Art. 4 Abs. 1 Nr. 7 DSGVO einnimmt und somit die volle Pflichtenlast der DSGVO trägt, einschließlich des Risikos, wegen eigener Datenschutzverstöße Bußgelder zahlen zu müssen. 

Mit der Rolle des Betriebsrates im Datenschutz beschäftigte sich das BAG erstmals im Jahre 1997 und erkannte den Betriebsrat nicht als Verantwortlichen, sondern lediglich als Teil des Verantwortlichen. Damit wurde der Betriebsrat wie eine Abteilung des Unternehmens mit Sonderrechten behandelt.

Mit der Geltung der DSGVO steht die gefestigte Rechtsprechung wieder auf dem Prüfstand. Die Aufsichtsbehörden diskutieren gegenwärtig die Rolle des Betriebsrats als Verantwortlichen und haben gute Argumente, um ihn als Verantwortlichen i.S.d. Art. 4 Nr. 7 DSGVO zu identifizieren. Denn zutreffend ist, dass der Betriebsrat seine Datenverarbeitung weisungs- und kontrollfrei vom Arbeitgeber durchführt und zumindest die Zwecke selbst bestimmt.

Die Betriebsratsarbeit datenschutzkonform gestalten: zwei Wege

Egal, zu welchem Ergebnis die Aufsichtsbehörden gelangen, auch die Datenverarbeitung des Betriebsrats muss künftig den gesetzlichen Vorgaben entsprechen. Eine Lösung bietet die Betriebsvereinbarung. Art. 88 Abs. 1 DSGVO ermöglicht es, durch Kollektivvereinbarungen spezifischere Vorschriften zur Gewährleistung des Datenschutzes im Beschäftigungskontext vorzusehen. Die Betriebsvereinbarung kann also den Betriebsrat wirksam als Teil des Verantwortlichen einordnen und ihm so seine eigene Verantwortung absprechen.

Eine gänzliche Kontrollfreiheit wie vor der DSGVO wird es nicht mehr geben dürfen. Hier bieten die Beauftragung eines Sachverständigen nach § 80 Abs. 3 BetrVG oder die Ausbildung eines Betriebsratsmitglieds zum Datenschutzberater des Gremiums gute Möglichkeiten, das Betriebsratsbüro datenschutzkonform auszugestalten.

Auf jeden Fall sollte jedes Betriebsratsmitglied zumindest Grundkenntnisse im Datenschutz aufweisen und sich entsprechend schulen lassen.