Dr. Christoph Kurzböck, LL.M., RA/FAArbR, und Kathrin Weinbeck, RAin

Die datenschutzrechtliche Verantwortlichkeit des Betriebsrats

Seit Wirksamwerden der Datenschutznovelle durch die DSGVO und das neue BDSG am 25.5.2018 hat sich in Sachen Datenschutz einiges getan. Wo zu Beginn des Erlasses der Richtlinie in Anbetracht der angedrohten drakonischen Strafen noch Unsicherheit herrschte, ist nach fast zwei Jahren etwas Ruhe und noch wichtiger eine höhere Rechtssicherheit eingekehrt. Während unterschiedlichste Rechtsfragen, mit denen sich die Praxis in Ermangelung konkreter Umsetzungsvorschläge auseinandersetzen musste, nunmehr geklärt sind, streiten sich die Geister um andere Rechtsfragen nach wie vor vehement. Unter anderem ist nach wie vor fraglich, ob der Betriebsrat als datenschutzrechtlich Verantwortlicher i. S. v. Art. 4 Nr. 7 DSGVO anzusehen ist. Daran knüpfen sich erhebliche unternehmerische Risiken, denn sollte man zu dem Schluss gelangen, dass der Betriebsrat nicht als Verantwortlicher betrachtet werden kann, so fällt eine Haftung für datenschutzrechtliche Verstöße auf den Arbeitgeber zurück. Hierüber soll der nachfolgende Beitrag Aufschluss geben.

I. Problemaufriss

Im Rahmen der Wahrnehmung seiner ihm nach dem Betriebsverfassungsgesetz obliegenden Aufgaben verarbeitet der Betriebsrat regelmäßig personenbezogene Daten im Sinne des Art. 4 Nr. 2 DSGVO. Im Hinblick auf die Ausgestaltung des Betriebsrats als ein vom Arbeitgeber unabhängiger Interessenvertreter der Arbeitnehmer stellt sich aus datenschutzrechtlicher Sicht die Frage, ob sich der Betriebsrat selbst oder stattdessen der Arbeitgeber für die Einhaltung des Datenschutzrechts im Betriebsratsbüro verantwortlich zeichnet. Nach der alten Rechtslage unter Geltung des BDSG a. F. wurde die Verantwortung nach einer Grundsatzentscheidung des BAG im Jahre 1997 dem Arbeitgeber zugewiesen. Mit Wirksamwerden der DSGVO im Mai 2018 ist die Debatte über die datenschutzrechtliche Verantwortlichkeit neu entbrannt. Im Gegensatz zu § 2 Abs. 4 BDSG a. F., der im nicht-öffentlichen Bereich nur natürliche und juristische Personen, Gesellschaften und andere Personenvereinigungen des Privatrechts als datenschutzrechtlich Verantwortliche einstufte, worunter der Betriebsrat nicht fällt, ist der weiter gefasste Wortlaut der DSGVO für eine Einordnung des Betriebsrat als Verantwortlichen offen. Der deutsche Gesetzgeber indes hat von seiner ihm in Art. 88 DSGVO eingeräumten Möglichkeit, eine Regelung zur Verantwortlichkeit des Betriebsrats zu treffen, keinen Gebrauch gemacht. Weder die Vorschrift des § 26 BDSG noch sonstige Normen, z. B. im BetrVG, enthalten derzeit Vorgaben zur datenschutzrechtlichen Verantwortlichkeit von Betriebsräten.