Source: https://www.jes-beratung.de/datenschutz/betriebsrat-als-verantwortlicher/details/
Timestamp: 2020-02-24 19:45:20+00:00

Document:
Ist der Betriebsrat Verantwortlicher für den Datenschutz • JES-Beratung
Eine Arbeitnehmervertretung verarbeitet personenbezogene Daten
entscheidet u. U. bei Gefährdungsbeurteilungen und den daraus abzuleitenden Maßnahmen zum Gesundheitsschutz darüber mit, ob bestimmte körperliche Beeinträchtigungen eines Arbeitnehmers es erfordern, bestimmte Maßnahmen durchzuführen; dazu muss er Erkenntnisse über gesundheitliche Probleme des betroffenen Arbeitnehmers berücksichtigen;
diese Form der Nutzung nach datenschutzrechtlichen Bestimmungen zulässig sei, sei es, weil sie für die Begründung eines Beschäftigungsverhältnisses erforderlich sei (§ 32 Abs. 1 im alten BDSG, jetzt in § 26 Abs. 1 BDSG zu finden), sei es, weil das BetrVG als Rechtsvorschrift diese Verarbeitung erlaubt oder anordnet (§ 4 Abs. 1 im alten BDSG, jetzt entsprechend in Art. 6 Abs. 1 lit c DSGVO zu finden);
Die Begriffe: „verantwortliche Stelle“, „nichtöffentliche Stelle“, „Verantwortlicher“ und „andere Stelle“
Im alten Datenschutzrecht („BDSG 1982“) gab es den Begriff der „verantwortlichen Stelle“. Er war in § 3 Abs. 7 BDSG 1982 definiert:
§ 3 Abs. 7 BDSG 1982
Die verantwortliche Stelle hatte die Pflichten zu erfüllen, die sich aus dem BDSG ergaben, also vor allem sicherzustellen, dass personenbezogene Daten nur zu den im BDSG bestimmten Bedingungen verarbeitet werden.
Das BAG hat wie erwähnt stets betont, dass der Betriebsrat nicht selbst eine verantwortliche Stelle, sondern dem Arbeitgeber zuzurechnen sei, der die Rolle der verantwortlichen Stelle innehabe (z. B. in 1 ABR 19/02, 1 ABR 46/10). Es hat das schon formell damit begründet, dass das BDSG (1982) in § 2 Abs. 4 eine weitere Begriffsbestimmung vorgenommen hat:
Nicht-öffentliche Stellen sind natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des privaten Rechts, soweit sie nicht unter die Absätze 1 bis 3 fallen. […]
§ 2 Abs. 4 BDSG 1982 und BDSG 2018
Nicht öffentliche Stellen müssen nach § 2 Abs. 4 BDSG natürliche und juristische Personen sein. Deshalb ist aufgrund seiner fehlenden Rechtsfähigkeit nicht der Betriebsrat Adressat des BDSG, sondern der Arbeitgeber.
BAG 7 ABR 15/08
Dieser Begriff der „nicht-öffentlichen Stelle“ findet sich auch im neuen BDSG, ebenfalls in § 2 Abs. 4.
Ein Betriebsrat ist weder eine natürliche noch eine juristische Person, und er ist auch keine Gesellschaft oder andere Personenvereinigungen des privaten Rechts. Also ist ein Betriebsrat keine nichtöffentliche Stelle. Weil aber nach dem Verständnis des BDSG 1982 eine verantwortliche Stelle entweder eine öffentliche oder eine nichtöffentliche Stelle war, hat das BAG ganz richtig entschieden, dass ein Betriebsrat, weil er weder öffentliche noch nichtöffentliche Stelle ist, auch nicht verantwortliche Stelle sein kann.
Der Begriff der „verantwortlichen Stelle“ aus dem BDSG 1982 wurde durch den Begriff des „Verantwortlichen“ in der DSGVO abgelöst. Wer der Verantwortliche ist, wird in Art. 4 Nr. 7 der EU-Datenschutzgrundverordnung (DSGVO) bestimmt:
„Verantwortlicher“ [ist] die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
Art. 4 Nr. 7 DSGVO
Die DSGVO kennt den Begriff der „öffentlichen Stelle“ und der „nichtöffentlichen Stelle“ nicht. Im Gegenteil werden in Art. 4 Nr. 7 aufgezählt
Die DSGVO inkludiert also neben natürlichen und juristischen Personen ausdrücklich auch „andere Stellen“ in den Kreis der potentiell Verantwortlichen – anders als das BDSG 1982, das jedenfalls für „nichtöffentliche Stellen“ alle Stellen, die nicht natürliche oder juristische Personen, Gesellschaften oder andere Personenvereinigungen des privaten Rechts bestimmt hat, von der Rolle als „verantwortliche Stelle“ ausgenommen hat.
Bestimmung durch nationales Recht?
Die Frage ist, ob die Begriffsbestimmungen des BDSG nur für das BDSG gelten, oder nicht möglicherweise auch für die Anwendung des Begriffs des „Verantwortlichen“ in der DSGVO. In Art. 4 Nr. 7 DSGVO steht auch:
[…] sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;
Demnach könnte ein Mitgliedsstaat durch nationales Recht bestimmen, wer Verantwortlicher sein kann (und wer nicht). Das setzt allerdings voraus, dass die Zwecke und Mittel durch das Recht des jeweiligen Mitgliedsstaats in diesen Fällen vorgegeben sind. Das ist bei der Verarbeitung personenbezogener Daten durch eine Arbeitnehmervertretung nicht erfüllt – zumindest über die Mittel kann sie selbst entscheiden, sie sind nicht durch deutsches Recht vorgegeben – diese Frage werde ich später behandeln.
Ein Betriebsrat ist also gem. der Definition in § 2 Abs. 4 BDSG keine „nichtöffentliche Stelle“, aber diese Definition schränkt nur die Verwendung des Begriffs des „Verantwortlichen“ im BDSG ein. Dort, wo im BDSG Regelungen für nichtöffentliche Stellen getroffen werden (z. B. in §§ 22, 24 und 38 BDSG), gelten diese Regeln demnach nicht für eine Arbeitnehmervertretung. Ein Problem entsteht allerdings daraus, dass das BDSG die Begriffe „Verantwortlicher“ und „nichtöffentliche Stelle“ teilweise synonym verwendet (z. B. in § 38 BDSG).
Weil es aber im BDSG keine Begriffsbestimmung für den Begriff „Verantwortlicher“ gibt, ist dort, wo das BDSG diesen Begriff verwendet, von der Begriffsbestimmung der DSGVO auszugehen. Das BDSG jedenfalls schränkt den Begriff des Verantwortlichen nicht in gleicher Weise ein wie den Begriff der „nichtöffentlichen Stelle“.
Die Pflichten des Verantwortlichen ergeben sich vorrangig aus der DSGVO, nicht aus dem BDSG. Das heißt, dass nur dort, wo ergänzend besondere Pflichten einer „nichtöffentlichen Stelle“ im BDSG bestimmt werden, dieser Begriff maßgeblich ist, ansonsten ist es der Begriff des „Verantwortlichen“, und das kann eben auch eine „andere“ Stelle sein.
Muss ein Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO immer eine „öffentliche Stelle“ oder „nichtöffentliche Stelle“ im Sinne des BDSG sein, oder kann eine „andere Stelle“ nicht auch etwas anderes sein? Kann also auch ein Betriebsrat oder Personalrat eine „andere Stelle“ sein, wie sie Art. 4 Nr. 7 DSGVO nennt?
Ist der Betriebsrat eine „andere Stelle“?
Dass ein Betriebsrat keine „nichtöffentliche Stelle“ im Sinne des § 2 Abs. 4 BDSG ist, haben wir bereits geklärt.
Die DSGVO hat den Vorrang vor dem BDSG. Und dort findet sich keine Bestimmung darüber, wer eine „Stelle“ im Sinne der „anderen Stelle“ des Art. 4 Nr. 7 DSGVO ist. Eine Einschränkung im Sinne von „Stellen sind natürliche oder juristische Personen“ (analog § 2 Abs. 4 BDSG) oder dergleichen findet sich dort nicht – im Gegenteil werden ja in Art. 4 Nr. 7 DSGVO neben natürlichen oder juristischen Personen ausdrücklich auch beliebige „andere Stellen“ genannt.
Eine Arbeitnehmervertretung ist keine „nichtöffentliche Stelle“ i. S. d. § 2 Abs. 4 BDSG. Da das BDSG aber den Begriff „Verantwortlicher“ nicht definiert und die DSGVO Vorrang vor dem BDSG hat, ist beim Verständnis des Begriffs „Verantwortlicher“ i. S. d. Art. 4 Nr. 7 DSGVO ausschließlich von der Definition der DSGVO auszugehen. Die Rechtsprechung des BAG hinsichtlich nichtöffentlicher Stellen ist insofern nicht anwendbar.
Besonderheit im öffentlichen Dienst – gilt für Personalräte etwas anderes?
Der Bayerische Landesbeauftragte für den Datenschutz hat in einer Veröffentlichung Zweifel daran geäußert, ob Personalräte, die aufgrund des Bayerischen Personalvertretungsgesetzes gebildet sind, Verantwortliche im Sinne der DSGVO seien. Er ist sich offenbar nicht ganz sicher, tendiert aber dazu, Personalräte nicht zu den Verantwortlichen zu zählen.
In der Tat gibt es hinsichtlich des öffentlichen Dienstes (in Bayern) eine Besonderheit: In der DSGVO ist zweimal von einer „öffentlichen Stelle“ die Rede, nämlich im Zusammenhang mit der Bestellung von Datenschutzbeauftragten (Art. 37 DSGVO). Außerdem wird in Art. 3 Abs. 2 des Bayerischen Datenschutzgesetzes ausdrücklich bestimmt:
Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne der DSGVO ist die für die Verarbeitung zuständige öffentliche Stelle, soweit nichts anderes bestimmt ist.
Art. 3 Abs. 2 BayDSG
Der Bayerische Gesetzgeber hat also in der Tat ausdrücklich von seinem Recht Gebrauch gemacht, den Verantwortlichen zu benennen. Ob dies dazu führt, dass Bayerische Personalräte nicht als Verantwortliche zu behandeln sind, bleibt abzuwarten, ist aber durchaus möglich. Allerdings hat der Bayerische Gesetzgeber die Zwecke und Mittel der Verarbeitung personenbezogener Daten durch Personalräte nicht bestimmt, also sind die Eingangsvoraussetzungen des Art. 4 Nr. 7 2. Halbsatz DSGVO nicht erfüllt.
Für Betriebsräte gilt diese Besonderheit aber nicht.
Das Merkmal „Entscheidung über die Mittel“ ist bei Arbeitnehmervertretungen erfüllt, weil sie selbst entscheiden, welche Programme, Apps oder Internetdienste und vor allem welche Dateien mit welchen Inhalten sie verwenden, um ihre Aufgaben zu erfüllen.
Die Vertreter der Position, der zufolge eine Arbeitnehmervertretung nicht „Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DSGVO sei, begründen dies auch damit, dass sie ja ausschließlich gesetzliche Pflichten zu erfüllen und darüber hinaus keine eigenen Interessen hat. Demzufolge kann sie nicht selbst über die Zwecke entscheiden, sondern hat stets ausschließlich die Zwecke zu verfolgen, die das jeweilige Gesetz ihr aufgibt. Das trifft ohne Zweifel zu.
Andererseits kann eine Arbeitnehmervertretung durchaus über Zwecke der Verarbeitung personenbezogener Daten entscheiden. Sie ist ja darin frei, welche Aufgaben sie auf welche Weise erfüllt, und ob sie dafür Verfahren der Verarbeitung personenbezogener Daten zu Hilfe nimmt.
Z. B. kann eine Arbeitnehmervertretung ihre Aufgabe, die Einhaltung der anzuwendenden Schutzvorschriften zu überwachen, in unterschiedlicher Intensität und auf unterschiedliche Weise erfüllen. Der Betriebsrat eines Krankenhauses z. B. wird sich die Dienstpläne und die Ist-Arbeitszeiten sowie die Stände der Arbeitszeitkonten sicher sehr genau anschauen und ggf. auch Verstöße gegen Bestimmungen dokumentieren. Dies wird er kaum ohne die Verarbeitung personenbezogener Daten in erheblichem Umfang tun können. Andere Arbeitnehmervertretungen werden diese Aufgabe möglicherweise nur gelegentlich und stichprobenartig erfüllen. Also entscheidet eine Arbeitnehmervertretung durchaus darüber, ob sie für einen bestimmten (gesetzlichen) Zweck bestimmte Verarbeitungstätigkeiten durchführt oder nicht. Der Zweck rührt zwar aus dem jeweiligen Gesetz, aber ob und wie die Arbeitnehmervertretung für einen von ihr bestimmten Zweck personenbezogene Daten verarbeitet, entscheidet sie selbst.
Ein Betriebsrat, der Kunde von mir ist, hat z. B. festgestellt, dass sein Arbeitgeber es gelegentlich versäumt, die im dort geltenden Tarifvertrag bestimmte Regel, dass jeweils zwei Jahre nach einer Ein- oder Umgruppierung erneut geprüft werden muss, ob die Eingruppierung noch korrekt ist, zu erfüllen. Er hat sich deshalb zur Gewohnheit gemacht, bei jeder Eingruppierung und jeder Umgruppierung, an der er nach § 99 BetrVG beteiligt wird, einen Vermerk in einer Excel-Tabelle anzulegen, in dem er das Datum der Überprüfung und den betreffenden Arbeitnehmer festhält, um seiner Aufgabe aus § 80 Abs. 1 Nr. 1 BetrVG gerecht werden zu können. Dieser Zweck ist durchaus legitim (Art. 5 Abs. 1 lit b DSGVO) und mit dem ursprünglichen Zweck vereinbar (Art. 6 Abs. 4 DSGVO), und die Verarbeitung auch rechtmäßig (Art. 6 Abs. 1 lit c DSGVO). Damit hat dieser Betriebsrat entschieden, personenbezogene Daten für einen bestimmten Zweck zu verarbeiten. Das kann und darf er, und daher ist das Merkmal, dass der Betriebsrat über den Zweck der Verarbeitung entscheidet, erfüllt.
Außerdem: Auch eine Behörde darf personenbezogene Daten stets ausschließlich zur Erfüllung ihrer gesetzlichen Aufgaben verarbeiten. Sie darf sich also genauso wenig wie Arbeitnehmervertretungen selbst eigene Zwecke „ausdenken“ und sie mithilfe personenbezogener Daten verwirklichen. Sind Behörden deshalb keine Verantwortlichen i. S. d. Art. 4 Nr. 7 DSGVO?
Selbst wenn Arbeitnehmervertretungen hinsichtlich der Zwecke der Verarbeitung personenbezogener Daten auf ihre gesetzlichen Aufgaben beschränkt sind, können sie dennoch über die jeweiligen Verwendungszwecke der Verarbeitung personenbezogener Daten entscheiden.
Für die Beachtung des Datenschutzes beim Zugang zu einem von allen Betriebsratsmitgliedern genutzten PC, auf dem personenbezogene Daten verarbeitet werden, hat der Betriebsrat in eigener Verantwortung zu sorgen. Es ist nicht Sache des Arbeitgebers, ihm insoweit Vorschriften zu machen.
BAG 7 ABR 23/11
Der Verantwortliche ist für die Einhaltung des Absatzes 1 [in dem die Grundsätze des Datenschutzes bestimmt sind] verantwortlich […].
Das in diesem Zusammenhang vorgetragene Argument, der Arbeitgeber müsse sich davor schützen können, daß er von Betroffenen wegen Gesetzesverstößen des Betriebsrats in Haftung genommen werde, verfängt nicht. Das Bundesdatenschutzgesetz enthält für private Arbeitgeber keine Haftungsnorm; […] Nur die allgemeinen zivilrechtlichen Haftungsgrundlagen (z.B. aus unerlaubter Handlung oder aus positiver Forderungsverletzung) kommen in Betracht; diese setzen aber sämtlich voraus, daß der Haftende den Rechtsverstoß zu vertreten hat. Danach ist eine Haftung des Arbeitgebers für Handlungen des Betriebsrats, die er nicht beeinflussen kann, ausgeschlossen.
BAG 1 ABG 21/97
Art. 82 Abs. 1 DSGVO
Der Verantwortliche […] muss dessen [des Abs. 1] Einhaltung nachweisen können („Rechenschaftspflicht“).
Schließlich hat der Verantwortliche auch eine Reihe von Transparenzpflichten zu erfüllen, die in Art. 5 Abs. 1 lit a begründet und in den Art. 12 bis 15 der DSGVO detailliert beschrieben werden. Der Verantwortliche muss die Betroffenen nicht nur grundsätzlich und ganz allgemein darüber informieren, ob und welche personenbezogenen Daten er über sie zu welchen Zwecken und auf welchen Rechtsgrundlagen verarbeitet. Er muss auf Wunsch insbesondere auch eine Kopie der jeweils verarbeiteten Daten bereitstellen.
Die Anwendung von § 36 Abs. 5 und § 37 BDSG in der geforderten Weise würde dazu führen, daß dem Arbeitgeber eine Verantwortung für die Rechtmäßigkeit der Amtsausübung des Betriebsrats erwüchse, die ihm nach dem Betriebsverfassungsgesetz nicht zukommt.
BAG 1 ABR 21/97
Der Arbeitgeber soll also den Betriebsrat nicht kontrollieren und für die Amts- und Geschäftsführung des Betriebsrats nicht verantwortlich sein. Es ist ihm auch schlicht nicht möglich. Das ist auch gut so. Gleiches gilt für den Personalrat. Vielmehr muss die Arbeitnehmervertretung in eigener Verantwortung für die Einhaltung des Datenschutzes sorgen.
Verantworten kann man nur, was man unter Kontrolle hat und Rechtenschaft kann man nur ablegen über etwas, das man kennt. Ein Arbeitgeber kann und soll aber die Verarbeitung personenbezogener Daten durch Arbeitnehmervertretung weder unter Kontrolle haben noch auch nur kennen. Also kann er weder verantwortlich sein noch Rechenschaft ablegen.
Wenn der Arbeitgeber der Verantwortliche auch für die Verarbeitung durch den Betriebsrat ist, er aber diese Verarbeitung wegen der Autonomie des Betriebsrats nicht kontrollieren oder gar steuern kann, muss er dann ein Haftungsrisiko für Handlungen auf sich nehmen, die er nicht beeinflussen kann, ja noch nicht einmal kennt? Wäre aber die Arbeitnehmervertretung der Verantwortliche, will der Gesetzgeber ihren Mitgliedern wirklich solch ein Haftungsrisiko zumuten?
Unzumutbare Risiken für Arbeitnehmervertretungen
Die AutorInnen der DSGVO hatten offensichtlich Arbeitnehmervertretungen in Deutschland nicht im Blick, als sie die Verordnung verfasst haben. Der deutsche Gesetzgeber hätte bei der Neufassung des BDSG die Möglichkeit gehabt, hier für eine Klarstellung zu sorgen. Das hat er aber nicht getan, und das ist bedauerlich. Er hat im Gegenteil eine Lücke zwischen den Begriffen „andere Stelle“ (Art. 4 Nr. 7 DSGVO) und „nichtöffentliche Stelle“ (§ 2 Abs. 4 BDSG) geschaffen. Zu erwarten ist vom Gesetzgeber aber – zumindest kurzfristig – wohl keine Lösung dieses Problems.
Nun sind alle Beteiligten darauf angewiesen, abzuwarten, wie das BAG – voraussichtlich nach einer Anfrage an den EuGH – in dieser Angelegenheit entscheidet. Auf der folgenden Seite erfahren Sie einiges darüber, wie man als Betriebsrat oder Personalrat jedenfalls schon jetzt Lösungen für dieses Problem finden kann.

References: § 26
 Art. 6
 § 3

§ 3
 § 2

§ 2
 § 2
 § 2
 Art. 4

Art. 4
 Art. 4
 Art. 4
 § 2
 § 38
 Art. 4
 Art. 4
 § 2
 Art. 4
 § 2
 Art. 4
 § 2
 Art. 4
 Art. 3

Art. 3
 Art. 4
 Art. 4
 § 99
 § 80
 Art. 4

Art. 82
 Art. 5
 Art. 12
 § 36
 § 37
 EuGH