Source: https://www.dr-datenschutz.de/ist-der-betriebsrat-ein-eigener-verantwortlicher-nach-der-dsgvo/
Timestamp: 2020-07-12 12:47:10+00:00

Document:
Möglicherweise kommt schon bald der nächste DSGVO-Hammer: Voraussichtlich verabschieden die Aufsichtsbehörden bald einen Beschluss nach dem Betriebsräte eigene Verantwortliche im Sinne der Datenschutz-Grundverordnung sein sollen. Auch wenn diese Ansicht rechtlich fragwürdig ist, können sich Unternehmen und Betriebsräte schon jetzt absichern.
Woher kommt die Einschätzung der Aufsichtsbehörden?
Unter Anwendung des bis zum 25. Mai 2018 gültigen BDSG ist das Bundesarbeitsgericht in ständiger Rechtsprechung davon ausgegangen, dass der Betriebsrat als Teil der verantwortlichen Stelle (des Unternehmens) anzusehen sei. Diese vom Großteil der Literatur getragene Meinung wurde damit begründet, dass nach altem BDSG nur natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts verantwortliche Stelle sein konnten (§ 2 Abs. 4 BDSG a.F.; § 3 Abs. 7 BDSG a.F.).
Die Datenschutz-Grundverordnung hingegen definiert den „Verantwortlichen“ in Art. 4 Nr. 7 DSGVO als
„die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“. (Hervorhebung durch den Autor)
Eine Beschränkung auf bestimmte Stellen findet sich in der Datenschutz-Grundverordnung demnach nicht mehr, wobei die Verarbeitung durch natürliche Personen zu rein persönlichen oder familiären Zwecken über den sachlichen Anwendungsbereich ausgenommen wird (Art. 2 Abs. 2 lit. c DSGVO).
Maßgeblich ist also nur noch, wer über die Mittel und Zwecke der Verarbeitung bestimmt. Aus der sich aus dem Betriebsverfassungsgesetz ergebenden Unabhängigkeit des Betriebsrats ließe sich ableiten, dass der Betriebsrat nur selbst über die Mittel und Zwecke der Verarbeitung personenbezogener Daten bestimmen könne. Aus dieser Eigenverantwortlichkeit folge die eigene Pflicht des Betriebsrats für die Einhaltung der Datenschutzvorschriften zu sorgen.
Das Bundesarbeitsgericht hat dabei in einem Urteil sogar die Kontrollmöglichkeit der Einhaltung der Datenschutzvorschriften durch den Datenschutzbeauftragten des Unternehmens verneint, da dieser als verlängerter Arm des Unternehmens anzusehen sei.
Wir denken Nein! Richtig ist, dass nach der Datenschutz-Grundverordnung derjenige Verantwortlicher sein soll, der die Mittel und Zwecke der Verarbeitung personenbezogener Daten bestimmt.
Betrachtet man dabei die Zusammenarbeit des Betriebsrats mit den Unternehmen in der Praxis, ist es mit der vollständigen Eigenverantwortlichkeit bei der Verarbeitung personenbezogener Daten gar nicht so weit her.
Zum einen ist es ganz üblich, dass Betriebsräte die IT des Unternehmens mitnutzen und sich zu diesem Zweck auch dem Großteil der technischen und organisatorischen Maßnahmen des Unternehmens unterwerfen. Zur Bereitstellung von Informations- und Kommunikationstechnik ist das Unternehmen nach § 40 Abs. 2 BetrVG im Übrigen auch verpflichtet. Daran ändert auch ein Beschluss des Bundesarbeitsgerichts nichts, nachdem das Unternehmen dem Betriebsrat einen nicht personalisierten Zugang zum Internet zur Verfügung stellen muss. Weder das BDSG a.F. noch die DSGVO verlangen besondere Maßnahmen zum Schutz von im Internet öffentlich zugänglichen personenbezogenen Daten. (So zumindest im gleichen Beschluss zum BDSG a.F. festgehalten)
Über die Mittel der Verarbeitung personenbezogener Daten entscheidet der Betriebsrat also schon mal nicht so klar selbst. Aber wie sieht es mit den Zwecken aus? Werden wenigstens diese eindeutig durch den Betriebsrat festgelegt? Wohl eher auch nicht. Die Funktion und die Befugnisse des Betriebsrats werden durch das Betriebsverfassungsgesetz vorgeschrieben. Der Betriebsrat kann über seine Tätigkeiten und damit über die Zwecke der Verarbeitung personenbezogener Daten nur in einem sehr engen Rahmen entscheiden.
Diese Überlegungen führen in Summe eher zu der Schlussfolgerung, dass der Betriebsrat kein eigener Verantwortlicher im Sinne der DSGVO ist.
Ist ein solcher Beschluss der Aufsichtsbehörden bindend?
Auch das kann verneint werden. Bei den Aufsichtsbehörden handelt es sich weder um rechtsgebende noch um rechtsfortbildende Organe. Weder Unternehmen, noch Gerichte sind demnach gezwungen den Auslegungen der Aufsichtsbehörde zu folgen.
Dennoch zeigt sich die Tendenz, dass Gerichte in einigen Fällen dazu neigen, den Auslegungen der Aufsichtsbehörden zu folgen. In der Vergangenheit sind Gerichte aber auch schon öfter zu einem anderen Ergebnis als die Aufsichtsbehörden gelangt.
Folgen Verantwortliche den Ansichten der Aufsichtsbehörden aus rechtlichen oder sonstigen Gründen nicht, müssen Sie jedoch mit höherer Wahrscheinlichkeit mit einem Bußgeld rechnen. Ein solches Bußgeld gerichtlich anzugreifen, kann dann ein mühsamer und langwieriger Weg sein, der nicht mit absoluter Sicherheit von Erfolg gekrönt ist.
Zu einer ähnlichen Wertung kommt auch der Kollege Tim Wytibul in seinem lesenswerten Artikel, der insbesondere die möglichen Folgen für Betriebsräte darstellt:
Auch bei abweichender Meinung zur Verantwortlichkeit des Betriebsrats können dieser und das Unternehmen Maßnahmen treffen um das Risiko eines Bußgelds zu minimieren.
Regeln Sie zwischen Betriebsrat und Unternehmen eindeutig die Überlassung der IT-Systeme und der Nutzung dieser. (Soweit im Rahmen des BetrVG möglich)
Bieten Sie dem Betriebsrat an, die Beratungskompetenz des Datenschutzbeauftragten mit zu nutzen.
Regeln Sie die datenschutzrechtliche Einordnung als Teil des Verantwortlichen (des Unternehmens) in einer Betriebsvereinbarung. Mit einer solchen können nämlich gem. Art. 88 Abs. 1 DSGVO spezifischere Vorschriften zum Datenschutz geschaffen werden.
Mehr zum Thema: Arbeitnehmer, BDSG, Betriebsrat, Datenschutz-Grundverordnung, verantwortliche Stelle
„Beratungskompetenz des DSB nutzen“. Wie soll das denn gehen?
Unterstellt, man geht tatsächlich einmal davon aus, dass der BR eine eigene und damit andere verantwortliche Stelle ist, wo bitte ist dann der Bestellungsakt für den DSB? Wo nimmt der nicht bestellte DSB die Befugnis her, rechtsberatend tätig zu werden? Das RDG behält die Rechtsberatung eindeutig den Anwälten vor; die Ausnahmen des § 5 RDG liegen nicht vor. Und selbst wenn ein Anwalt tätig würde, geht die gleichzeitige Beratung zweier Parteien, die quasi bestimmungsgemäß Gegenpole bilden, schon deutlich in die Richtung Prävarikation.
Last, not least, wer haftet denn dann? Der DSB wird in dem Moment dann als externer DSB ohne Haftungsvergünstigungen tätig.
Dem hier gegeneben Rat blind zu folgen, kann böse ins Auge gehen!
Nomenescio am 2. Juli 2018, 09:53 Uhr
Frage: Können sich Verantwortliche und der Betriebsrat von demselben (externen) Datenschutzbeauftragten beraten lassen (Interessenskonflikt nach Art. 38, 6 DSGVO?)?
bv_ron am 3. Februar 2019, 12:25 Uhr
Diese Frage ist m. E. Gegenstand der Diskussion, ob der Betriebsrat eigener Verantwortlicher oder nur Teil der verantwortlichen Stelle ist. Letzterenfalls sehen z.B. Wybitul und Kranig dann keine Probleme einen gemeinsamen DSB zu benennen, wenn dadurch nicht die Rechte des Betriebsrates ausgehebelt werden. Zur Vertiefung sei das Interview mit den Vorgenannten in ZD 2019, 1 ff. empfohlen.
Dr. Datenschutz am 5. Februar 2019, 14:15 Uhr
Die Argumentation zu der Frage, ob Betriebsräte über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheiden ist reichlich irritierend. Ja, Betriebsräte nutzen die IKT, die ihnen durch das Unternehmen bereitgestellt wird/werden muss. Aber entscheidend ist doch, dass Betriebsräte zwar das Recht haben, durch die Unternehmen, zu denen sie gehören, IKT zur Verfügung gestellt zu bekommen und betriebliche IKT zu verwenden, aber keineswegs verpflichtet sind, betriebliche IKT zu nutzen. Die Entscheidung, die bereitgestellten betrieblichen Mittel zu verwenden ist natürlich naheliegend, aber diese Entscheidung treffen Betriebsräte selbst (Betriebsräte könnten durchaus entscheiden, die betriebliche IKT nicht zu nutzen). Aus der verbreiteten Praxis der Nutzung betrieblicher IKT durch Betriebsräte zu schließen, Betriebsräten wäre die selbständige Entscheidung über die Mittel der Datenverarbeitung verwehrt, geht fehl.
Auch das Argument, das BetrVG schreibe dem Betriebsrat die Zwecke der Datenverarbeitung vor und daher könne ein Betriebsrat auch über diese nicht selbst entscheiden, scheint mir in seiner Auswirkung, würde es allgemein anerkannt, nicht zu Ende gedacht. Denn liest man das BetrVG als Vorgabe für die Zweckbestimmung der Verarbeitung personenbezogener Daten, dann müsste das genauso für die Sozialgesetzbücher gelten, in denen die Verarbeitungen von Sozialdaten teilweise deutlich konkreter bestimmt sind als Verarbeitungen von Beschäftigtendaten im BetrVG. Demnach könnten alle, die Sozialdaten gemäß den SGB verarbeiten, keine Verantwortlichen im Sinne der DSGVO sein. Arbeitgeber, die Beschäftigtendaten vor allem auf Grundlage der Sozial- und Arbeitsrechtssätze verarbeiten, wären für diese zu gesetzlich fixierten Zwecken vorgenommenen Verarbeitungen keine Verantwortlichen. Und auch Behörden, die ja in der Regel personenbezogene Daten auf Grundlage gesetzlicher Vorgaben verarbeiten, könnten gemäß dieser Argumentation keine Verantwortlichen im Sinne der DSGVO sein.
Doch das Gegenteil ist richtig, denn aus dem Wortlaut in Art. 6 Abs. 1 lit. c) DSGVO geht klar hervor, dass diejenigen, die aufgrund gesetzlicher Regelungen personenbezogene Daten verarbeiten, Verantwortliche sind. Das BetrVG (genau wie die SGB und zahlreiche weitere Gesetze) enthält Erlaubnistatbestände gemäß Art. 6 Abs. 1 lit. c) DSGVO (nicht mehr und nicht weniger) und diejenigen, die aufgrund der Erlaubnistatbestände personenbezogene Daten verarbeiten, sind Verantwortliche. Das gilt auch für Betriebsräte, die deshalb unter der DSGVO datenschutzrechtlich eine andere Rolle innehaben als unter BDSG a.F.; daran ändert auch der Umstand nichts, dass es für die Aufsichtsbehörden Sanktionierungsschwierigkeiten bei Datenschutzverstößen durch Betriebsräte geben kann, sofern nicht einzelne Betriebsratsmitglieder für einen zu ahndenden Verstoß verantwortlich gemacht werden können.
vcaumanns am 10. Februar 2019, 21:20 Uhr
Vielen Dank für Ihre substantiierte Meinung zu dem umstrittenen Thema. Sicherlich wird sich hier in der Zukunft eine Praxis etablieren, die zu etwas mehr Rechtssicherheit führen wird.
Dr. Datenschutz am 14. Februar 2019, 18:26 Uhr
Wir haben von unserer Geschäftsleitung die Vorgabe bekommen unsere BR Daten vom Firmen Server Auszulagern.
Welche Möglichkeiten gibts es für uns BR diese Daten nach DSGVO und BetrVG sicher Intern oder Extern zu speichern ohne gegen den Datenschutzrecht zu verstoßen.
Firmen BR am 27. März 2019, 09:55 Uhr
Ihre Frage ist sehr allgemein und umfasst eine Vielzahl von Detailfragen im Datenschutz- und Arbeitsrecht. Leider dürfen wir im Rahmen des Blogs keine Rechtsberatung im Einzelfall durchführen. Es sind uns nur allgemeine Hinweise möglich:
Wenn Sie Daten extern bei einem Dienstleister speichern wollen, gibt Ihnen unser Artikel „Auswahl neuer Auftragsverarbeiter – Was gilt es zu beachten?“ einen Überblick über Erwägungen, die dabei angestellt werden sollten.
Bei einer internen Speicherung auf einem eigenen System, muss darauf geachtet werden, dass diese die Vorgaben an die Datensicherheit erfüllt. Hierzu gibt es allgemeine Handreichungen der Aufsichtsbehörden.
Logischerweise müssen bei jeder Verarbeitung (Erheben, Speichern, Auslesen, Abfragen, etc.) von personenbezogenen Daten durch den externen Dienstleister oder dem internen System die Vorgaben der Datenschutz-Grundverordnung beachtet werden.
Zudem interpretiere ich in Ihre Fragen unter diesem Thema einfach hinein, dass es Spannungen in dem Verhältnis mit dem Arbeitgeber gibt. Daher möchte ich Sie auch noch auf den im Artikel verlinkten Beitrag des Kollegen Wytibul und insbesondere seine Ausführung verweisen, dass auch für den Arbeitgeber die Einordnung des Betriebsrats als Verantwortliche Stelle nicht gerade lustig ist. Daher liegt es grundsätzlich im Interesse beider Parteien bei dieser Thematik zu einer sinnvollen Lösung zu kommen, wenn es sein muss auch unter zu Zuhilfenahme von Expertise eines Dritten (Rechtsanwalt, Berater).
Dr. Datenschutz am 28. März 2019, 14:10 Uhr

References: § 3
 Art. 4
 § 40
 Art. 88
 § 5
 Art. 38
 Art. 6
 Art. 6