Die Verarbeitung personenbezogener Daten ist grundsätzlich verboten. Wer eine Datenverarbeitung vornehmen will, benötigt dafür entweder die Einwilligung der betroffenen Person, oder eine einschlägige Rechtsgrundlage. Dies gilt selbstverständlich auch für Betriebsräte. Für allgemeine Verarbeitungsvorgänge finden sich diese Erlaubnistatbestände regelmäßig in den Artt. 6 und 9 DSGVO. Beispielsweise erlaubt Art. 6 Abs. 2 lit. c DSGVO Betriebsräten die Datenverarbeitung, wenn für sie als Arbeitnehmervertretungen eine gesetzliche Verpflichtung besteht, die ohne die Verarbeitung nicht wahrgenommen werden könnte.

Die Verarbeitung personenbezogener Daten von Beschäftigten in Beschäftigungsverhältnissen kann zusätzlich auch aufgrund weiterer Rechtsgrundlagen erfolgen. Der deutsche Gesetzgeber hat die diesbezügliche Öffnungsklausel des Art. 88 Abs. 1 Satz 1 DSGVO genutzt und mit dem § 26 BDSG umgesetzt.

Praktikabilität und Rechtssicherheit

Gemäß des § 26 Abs. 1 Satz 1 BDSG dürfen personenbezogene Daten von Beschäftigten ohne deren Einwilligung verarbeitet werden, wenn dies erforderlich ist, um Entscheidungen über die Begründung, die Durchführung oder Beendigung eines Beschäftigungsverhältnisses zu treffen. Weiterhin dürfen Beschäftigtendaten auch verarbeitet werden, die zur Ausübung oder Erfüllung von Rechten und Pflichten des Betriebsrats, welche sich aus Gesetzen, Tarifverträgen oder Betriebs- bzw. Dienstvereinbarung ergeben, erforderlich sind. Diese Rechtsgrundlage ist demnach die zentrale Norm für die Datenverarbeitungen durch den Betriebsrat.

Das bedeutet, dass Betriebsräte nur dann Daten verarbeiten dürfen, wenn dazu eine gesetzliche oder kollektivvertragliche Aufgabe vorliegt und dies für das Beschäftigungsverhältnis erforderlich ist. Die meisten Aufgaben und damit Datenverarbeitungen von Betriebsräten ergeben sich aus dem BetrVG.  Die Erforderlichkeit der Datenverarbeitung für das jeweilige Stadium des Beschäftigungsverhältnisses ist hier die zentrale Tatbestandsvoraussetzung. Ob eine Verarbeitung erforderlich ist, muss von Fall zu Fall geklärt werden und kann einiges Konfliktpotential zwischen Arbeitgebern, Beschäftigten und dem Betriebsrat bergen.

Im Gegensatz dazu ist eine Datenverarbeitung nach § 26 Abs. 4 Satz 1 BDSG nicht an eine Erforderlichkeit gebunden. Die Legitimation der Datenverarbeitung wird stattdessen an eine Kollektivvereinbarung, beispielsweise eine Betriebsvereinbarung, geknüpft. Mittels dieses „kollektiven Einverständnisses“ soll es Arbeitgebern und Betriebsräten als Verhandlungsparteien ermöglicht werden, einen Beschäftigtendatenschutz auszuarbeiten, der auf die konkreten betrieblichen Bedürfnisse zugschnitten ist. Betriebsvereinbarungen sind also ein praktikabler Rahmen zur Vereinbarung sachgerechter, unternehmensabhängiger datenschutzrechtlicher Regelungen. Konkreten innerbetrieblichen Sachverhalten lässt sich auf diesem Wege häufig individueller, flexibler und rechtssicherer begegnen, als anhand der allgemeinen Gesetze. Von Vorteil für den Betriebsrat sind die Mitbestimmungsmöglichkeiten während der Verhandlung der Vereinbarung. Beschäftigteninteressen kann spezifischer Rechnung getragen werden. Da bei der Verhandlung der Betriebsvereinbarung kein Gebot besteht, einen Interessensausgleich bzgl. der Datenverarbeitung vorzusehen, können die Regelungen je nach Verhandlungsergebnis zwar zum Nachteil der Beschäftigten abweichen. Auch wenn Betriebsvereinbarungen nicht originärer Teil der DSGVO sind, dürfen deren Grundprinzipien aus Art. 5 DSGVO dabei aber dennoch nicht verletzt werden. Die Verarbeitungsmöglichkeit aufgrund einer Betriebsvereinbarung schließt auch die Daten besonderer Kategorien nach Art. 9 Abs. 1 DSGVO ein, beispielsweise hochsensible Gesundheitsdaten. Die Normen einer Betriebsvereinbarung, welche die Datenverarbeitung regeln, unterliegen dementsprechend gesteigerten Anforderungen.

Voraussetzungen der Betriebsvereinbarung

Zunächst ist der § 77 BetrVG zu beachten, welcher die allgemeinen Vorschriften zu Betriebsvereinbarungen regelt. Selbstverständlich sind dabei auch die allgemeinen Anforderungen an Vertragswerke zu beachten, beispielsweise das Bestimmtheitsgebot und die Beachtung der Grundsätze von Treu und Glauben.

Wie bereits erwähnt, sind bei der Ausarbeitung der Klauseln der Betriebsvereinbarung, welche sich auf die Datenverarbeitung beziehen, selbstverständlich die Grundsätze der Datenverarbeitung nach Art. 5 DSGVO zu beachten. So hat die Datenverarbeitung beispielsweise ausschließlich dem Zweck zu unterliegen, der in der Betriebsvereinbarung definiert wurde und sollte auf das dafür notwendige Maß beschränkt sein.

Von zentraler Bedeutung für die Betriebsvereinbarung ist gemäß Art. 88 II DSGVO die Errichtung besonderer Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der betroffenen Person, insbesondere im Hinblick auf die Transparenz der Verarbeitung und die Übermittlung personenbezogener Daten innerhalb einer Unternehmensgruppe und der Überwachungssysteme am Arbeitsplatz. Solche Schutzmaßnahmen sind jedoch nur geboten, wenn tatsächlich ein Gefährdungspotential besteht. Bedingungslose, uneingeschränkte und damit nicht erforderliche Maßnahmen können zu Unklarheit führen und würden dem Transparenzgebot zuwiderlaufen. Wenn keine Unternehmensgruppe besteht, sind selbstverständlich auch keine Regelungen zu einer solchen zu treffen. Wie die Ausgestaltung der Maßnahmen konkret auszusehen hat, ist teilweise unklar und wird noch durch den EuGH zu klären sein. Jedenfalls ist eine Abwägung der Interessen und Rechtsgüter der Beschäftigten vorzunehmen. Aufgrund dessen sind dann Maßnahmen vorzunehmen, die nach dem Grundsatz der Verhältnismäßigkeit zu deren Schutz geboten sind.

Fazit

Betriebsvereinbarungen sind ein valider Weg, um rechtssichere, transparente Rechtsgrundlagen für die Verarbeitung personenbezogener Daten zu schaffen. Ihr Schutzniveau liegt dabei nicht unter dem der DSGVO, gleichzeitig sind sie aufgrund ihres spezifischen Charakters häufig verständlicher und transparenter als Rechtsgrundlagen abstrakter Gesetze. Hinzu kommt die Einflussmöglichkeit des Betriebsrats im Verhandlungsprozess. Angesichts dessen spielen Betriebsvereinbarungen beim Datenschutz am Arbeitsplatz eine große Rolle und haben einen stetigen Gebrauchszuwachs.

Dieser Beitrag ist ein Auszug aus unserem Angebot welches wir speziell für Betriebsräte und Arbeitgeber entwickelt haben: datenschutzBR