Source: https://www.weka.de/betriebsrat-personalrat/datenschutzrecht-der-personalrat-ist-nicht-verantwortlicher/
Timestamp: 2019-11-12 08:49:43+00:00

Document:
Startseite Betriebsrat & Personalrat	Datenschutzrecht: Der Personalrat ist nicht Verantwortlicher
Nach den Begriffsbestimmungen der Datenschutz-Grundverordnung ist Verantwortlicher (siehe Art. 4 Nr. 7) u.a. die Behörde, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Schon unter Geltung des „alten“ Datenschutzrechts ist die Frage diskutiert worden, ob hinsichtlich dieser Verarbeitungen der Personalrat selbst oder aber die öffentliche Stelle, bei der er gebildet ist, als verantwortlich im datenschutzrechtlichen Sinne anzusehen ist. Der Bayerische Landesdatenschutzbeauftragte hat dazu Stellung genommen.
Stellungnahme des Bayerischen Landesbeauftragten für Datenschutz
Vieles spricht dafür, den Personalrat zumindest einer bayerischen öffentlichen Stelle nicht als eigenständigen Verantwortlichen im Sinn von Art. 4 Nr. 7 DSGVO anzusehen. Dies ist das Fazit des Bayerischen Landesbeauftragten für den Datenschutz. Seine Auffassung zu dem Thema hat er in der Aktuellen Kurz-Information 23 zusammengefasst. Danach bleibt – wie vor Inkrafttreten der DS-Grundverordnung auch – die jeweilige bayerische öffentliche Stelle auch für die Verarbeitung personenbezogener Daten durch den Personalrat verantwortlich. Bei der Umsetzung der datenschutzrechtlichen Pflichten des Verantwortlichen ist allerdings der besonderen Stellung des Personalrats hinreichend Rechnung zu tragen.
Einheitliche Verantwortlichkeit liegt bei der öffentlichen Stelle
Der Landesbeauftragte schreibt dazu: Der nach Art. 12 Abs. 1 Bayerisches Personalvertretungsgesetz (BayPVG) zu bildende Personalrat verarbeitet im Rahmen seiner Aufgabenerfüllung Beschäftigtendaten. Schon unter Geltung des „alten“ Datenschutzrechts ist die Frage diskutiert worden, ob hinsichtlich dieser Verarbeitungen der Personalrat selbst oder aber die öffentliche Stelle, bei der er gebildet ist, als verantwortlich im datenschutzrechtlichen Sinne anzusehen ist. Ich habe mich in diesem Zusammenhang für eine einheitliche Verantwortlichkeit der öffentlichen Stelle ausgesprochen, aber darauf hingewiesen, dass der besonderen Stellung des Personalrats Rechnung zu tragen ist (so etwa im Hinblick auf die Kontrollmöglichkeiten des behördlichen Datenschutzbeauftragten). Diese Auffassung stand im Einklang mit der bisherigen Rechtsprechung des Bundesarbeitsgerichts, welches den Betriebsrat auch datenschutzrechtlich als Teil des jeweiligen Unternehmens und somit als Teil dieser „speichernden Stelle“ angesehen hatte (vgl. Bundesarbeitsgericht, Beschluss vom 11. November 1997, Az. 1 ABR 21/97).
Mit Geltungsbeginn der Datenschutz-Grundverordnung (DSGVO) ist die Diskussion um die datenschutzrechtliche Verantwortlichkeit des Personalrats wieder aufgelebt. Meine Position fasse ich nachstehend zusammen:
Die Rolle des „Verantwortlichen“
„die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden“. https://www.datenschutz-bayern.de/datenschutzreform2018/aki23.html
Der Personalrat als „Verantwortlicher“?
Vorzugswürdig erscheint es, den Personalrat – wie bislang – als Teil der jeweiligen öffentlichen Stelle anzusehen. Diese ist somit auch für Datenverarbeitungen des Personalrats Verantwortlicher im Sinn der Datenschutz-Grundverordnung. Im Anwendungsbereich des Bayerischen Datenschutzgesetzes (BayDSG) ergibt sich dies insbesondere aus Art. 3 Abs. 2 BayDSG. Mit dieser Regelung hat der bayerische Gesetzgeber von der Ermächtigung des Art. 4 Nr. 7 Halbsatz 2 DSGVO Gebrauch gemacht. Verantwortlicher für die Verarbeitung personenbezogener Daten ist demnach grundsätzlich die für die Verarbeitung zuständige öffentliche Stelle. Der Begriff der „öffentlichen Stelle“ wird insbesondere in Art. 1 Abs. 1, 2 und 4 BayDSG bestimmt – der Personalrat fällt gerade nicht darunter. Es wird somit grundsätzlich die Behörde oder sonstige öffentliche Stelle einheitlich als Verantwortlicher betrachtet, ohne dass eine weitergehende Untergliederung (etwa in einzelne Ämter oder Abteilungen) erfolgt.
Doch auch wenn man allein Art. 4 Nr. 7 Halbsatz 1 DSGVO in den Blick nimmt, ist der Personalrat nicht als Verantwortlicher anzusehen. Zwar ist der Begriff des Verantwortlichen grundsätzlich weit zu verstehen und mit dem Zusatz „oder andere Stelle“ in Art. 4 Nr. 7 Halbsatz 1 DSGVO auch bewusst offen gehalten. Allerdings steht die „andere Stelle“ in einer alternativen Aufzählung unter anderem mit einer juristischen Person, einer Behörde oder einer Einrichtung. Dies spricht dafür, dass auch der europäische Gesetzgeber die genannten Organisationsformen grundsätzlich einheitlich als Verantwortliche auffasst. Da der Personalrat aber keine eigene, nach außen hin verselbstständigte Stelle ist, sondern unselbstständiger Teil der jeweiligen Behörde oder sonstigen öffentlichen Stelle, ist er – jedenfalls soweit er seine gesetzlichen Aufgaben wahrnimmt – datenschutzrechtlich auch nicht Verantwortlicher nach Art. 4 Nr. 7 DSGVO.
Für diese Auffassung spricht ferner, dass die Datenschutz-Grundverordnung die Begriffe „Behörde“ und „öffentliche Stelle“ zwar wiederholt gebraucht, aber selbst nicht definiert. Damit erkennt sie die Organisationshoheit des einzelnen Mitgliedstaates hinsichtlich Aufbau und Struktur seiner Verwaltung an. Würde man dies anders sehen, drohte im Ergebnis eine „Zersplitterung“ der datenschutzrechtlichen Verantwortlichkeit im Bereich der öffentlichen Verwaltung: Neben dem Personalrat kämen nämlich auch weitere Stellen einer Behörde als eigenständige Verantwortliche in Betracht, sofern diese Stellen besonderen internen Verschwiegenheitspflichten unterliegen und hinsichtlich der Verarbeitung personenbezogener Daten eine gewisse Unabhängigkeit aufweisen. Dies beträfe etwa die Schwerbehindertenvertretung und nicht zuletzt auch den behördlichen Datenschutzbeauftragten selbst, der im Rahmen seiner Tätigkeit ebenfalls weisungsfrei (vgl. Art. 38 Abs. 3 Satz 1 DSGVO) personenbezogene Daten verarbeitet.
Es bleibt daher bei dem Grundsatz, dass eine bayerische Behörde oder sonstige öffentliche Stelle einheitlich als Verantwortlicher anzusehen ist – auch für die Verarbeitungen personenbezogener Daten durch ihren Personalrat.
Datenschutz innerhalb des Personalrats
Angesichts der Schweigepflicht des Personalrats sollten sowohl dieser als auch der behördliche Datenschutzbeauftragte allerdings darauf achten, dass letzterer seiner Überwachungs- und Beratungsaufgabe möglichst ohne die Nutzung personenbezogener Beschäftigtendaten nachkommt, etwa indem der Personalrat Fragestellungen in abstrakter Form – also ohne konkreten Einzelfallbezug – an den behördlichen Datenschutzbeauftragten richtet. Umgekehrt sollte der behördliche Datenschutzbeauftragte die Einhaltung technischer und organisatorischer Datenschutzanforderungen durch den Personalrat nach Möglichkeit ohne Kenntnisnahme personenbezogener Beschäftigtendaten überprüfen. Soweit der behördliche Datenschutzbeauftrage Kenntnis erlangt von Umständen, die der Schweigepflicht nach Art. 10 BayPVG unterliegen, hat er gegenüber der Dienststelle ebenfalls Stillschweigen zu bewahren (vgl. Art. 38 Abs. 5 DSGVO in Verbindung mit Art. 12 Abs. 2 BayDSG).
Da der Personalrat selbst nicht Verantwortlicher ist, besteht für ihn keine Pflicht, ein eigenes Verzeichnis der Verarbeitungstätigkeiten (im Folgenden: Verarbeitungsverzeichnis) gemäß Art. 30 DSGVO zu führen. Allerdings muss das Verarbeitungsverzeichnis der jeweiligen öffentlichen Stelle auch die Verarbeitungstätigkeiten des Personalrats enthalten. Vor dem Hintergrund der Schweigepflicht nach Art. 10 BayPVG ist hierbei in besonderem Maße auf eine hinreichend abstrakte Beschreibung der jeweiligen Verarbeitungstätigkeit zu achten. So könnte der Zweck der Verarbeitung personenbezogener Daten durch den Personalrat etwa mit „Wahrnehmung der gesetzlich vorgesehenen Aufgaben der Personalvertretung“ umschrieben werden.d) Informationspflichten und Auskunftsrecht

References: Art. 4
 Art. 4
 Art. 12
 Art. 3
 Art. 4
 Art. 1
 Art. 4
 Art. 4
 Art. 4
 Art. 38
 Art. 10
 Art. 38
 Art. 12
 Art. 30
 Art. 10