Wenn Arbeitnehmerdaten auf Reisen gehen: Was Sie als Betriebsrat wissen müssen

Vermutlich wussten Sie das nicht. Doch schließlich entzieht ja der Arbeitgeber dem Betriebsrat seine Kontrollrechte aus § 80 I Nr. 1 BetrVG, sobald er sie aus dem räumlichen Bereich des Betriebes herausbringt.

"Das geschieht aber doch auch schon, wenn er sie von Hamburg nach München überträgt", werden Sie vielleicht jetzt einwenden. Und das ist richtig. Auch bei solchen Datenübertragungen hat der Betriebsrat mitzureden.

Typisches Beispiel hierfür sind outgesourcte Rechenzentren, die die Lohnbuchhaltung für das Unternehmen durchführen, oft sogar gesellschaftsrechtlich "Töchter" innerhalb des Konzerns (was die Sache nicht zulässiger macht). 

Aber wenn die Daten erst einmal die Grenze überschritten haben, wird das natürlich noch schwieriger. Und wenn diese Grenze dann auch noch außerhalb des EU-Raumes liegt, dann scheint das nahezu unmöglich zu werden. Deshalb geben viele Betriebsräte angesichts dieser kaum vorstellbaren Aufgabe schlicht auf. Doch die Empfehlung kann nur lauten: "Bleiben Sie dran!“.

Begleiten Sie Ihre Daten ins Ausland!

Des Rätsels Lösung liegt schlicht darin, den Weg der Daten durch saubere rechtliche Regelungen zu begleiten. Solche Regelungen können einerseits in Betriebsvereinbarungen liegen, andererseits aber auch in Formulierungen, die der Arbeitgeber direkt mit seinen Datenempfängern treffen muss. Dieses „muss“ kann sich dann wiederum als Folge eines entsprechenden Gebots der zugrundeliegenden Betriebsvereinbarung darstellen.

Aber kann denn tatsächlich der Betriebsrat dem Arbeitgeber vorschreiben, wie er seine Service-Verträge mit Dritten auszugestalten hat? Ja, er kann. Der Grund dafür liegt im Mitbestimmungsrecht des Betriebsrats aus § 87 I Nr. 6 BetrVG.
Zwar ist unbestritten, dass ein Arbeitgeber im Rahmen seiner sogenannten „unternehmerischen Entscheidungsfreiheit“ selbst festlegen kann, ob und mit wem er solche Verträge schließt.
Er hat aber trotzdem die Mitbestimmungsrechte des Betriebsrats zu beachten. Wäre es anders, könnte der Arbeitgeber durch geschickte Verlagerung von Datenbanken selbst darüber entscheiden, ob sich das Mitbestimmungsrecht gerade auf sie bezieht oder gerade eben auch mal wieder nicht. Das aber kann nicht nur nicht sein, sondern es wäre in der Tat rechtswidrig.

Das Geheimnis der „Standardvertragsklauseln“

Um dies überhaupt beurteilen zu können, sollte man als Betriebsrat die Grundstrukturen der Auslandsdatenverarbeitung kennen.
Bei der Übertragung personenbezogener Daten innerhalb des EWR (Europäischer Wirtschaftsraum – EU plus Island, Norwegen und Liechtenstein), in Länder, denen die EU-Kommission ein angemessenes Datenschutzniveau bescheinigt hat, oder an US-Unternehmen, die sich den Grundsätzen der vom US-Handelsministerium getroffenen „Safe-Harbour“-Regelung verpflichtet haben, sind „eigentlich“ keine besonderen Vertragsklauseln erforderlich.
Der Grund dafür liegt darin, dass die EG-Datenschutzrichtlinie angeblich die Basis für ein gleichartiges Datenschutzniveau in diesem Bereich schafft.

Sogar der Datenfluss in die USA, die eigentlich nicht als in diesem Sinne "sicheres Drittland" gelten, wird durch "Safe Harbour" freigeschaltet. Das ist eine Vereinbarung zwischen der EU und den USA, wonach es "eigentlich" genügt, wenn, das Empfängerunternehmen in den USA sich durch ein Listing zu den Grundsätzen des europäischen Datenschutzes bekennt.

Jedoch hat der Düsseldorfer Kreis, ein Zusammenschluss der Landesaufsichtsbehörden, sich inzwischen dahin geäußert, dass er künftig einen zusätzlichen Schutz erwartet. Und da die Aufsichtsbehörden auch die internationalen Datenflüsse kontrollieren, ist dieser Wunsch rechtlich relevant.

Der Düsseldorfer Kreis erwartet nun, dass auch bei Datenflüssen in die USA sogenannte Standardvertragsklauseln verwendet werden. Das sind von der EU vorformulierte, aber zwingend auf die Unternehmensbedürfnisse umzuformulierende Klauseln, die den Datenfluss in ein unsicheres Drittland regeln sollen.

Die verantwortliche Stelle wird im Rahmen der Terminologie der Standardvertragsklauseln "Controller" genannt, die Stelle, die die Daten erhält, um sie zu verarbeiten, heißt "Processor".

Der sichere Hafen ist ein trübes Gewässer

Dazu folgendes Beispiel, zunächst mit einer innerdeutschen Datenverarbeitung:
In einem internationalen Konzern mit Stammsitz in den USA und Niederlassungen in ganz Europa, auch in Deutschland, wird die in Deutschland im Betrieb der F-GmbH in Hamburg anfallende Verarbeitung von Lohn- und Gehaltsdaten der Arbeitnehmer innerhalb der deutschen Konzernstruktur von der Konzerntochter XY-GmbH in München durchgeführt.