Als Betriebsrat beim Datenschutz mitbestimmen
Wenn es um den Schutz der Beschäftigtendaten geht, hat der Betriebsrat weitreichende Beteiligungsrechte: Diese gehen von Überwachung über Unterrichtung bis hin zur erzwingbaren Mitbestimmung. Auch das Recht zur Hinzuziehung externer Sachverständiger besteht.
Mitbestimmung. Nach § 80 Abs. 1 Nr. 1 BetrVG hat der Betriebsrat darüber zu wachen, dass die zugunsten des Arbeitnehmers geltenden Gesetze, Verordnungen, Tarifverträge, Unfallverhütungsvorschriften und Betriebsvereinbarungen eingehalten werden. Dies umfasst auch den Datenschutz. Haben Sie einen Verdacht auf ein mögliches Fehlverhalten des Arbeitgebers, ist es ratsam, zunächst das Gespräch mit ihm zu suchen. Weitere mögliche Ansprechpartner – insbesondere im Fall der Nichtabhilfe – sind der betriebliche Datenschutzbeauftragte oder der Landesdatenschutzbeauftragte. Das Überwachungsrecht erstreckt sich im Übrigen auch auf den betrieblichem Datenschutzbeauftragten. Sie können überprüfen, ob er die nach dem BDSG erforderliche Fachkunde und Zuverlässigkeit besitzt. Außerdem sollte das Gremium ein Auge darauf haben, ob er seine Tätigkeit ordnungsgemäß und weisungsfrei ausübt.
Hinweis: Der Einfluss des Betriebsrats ist begrenzt
Das Überwachungsrecht des Betriebsrats ist eine wichtige Möglichkeit, Missstände zu identifizieren und klar zu benennen. Allerdings kann der Betriebsrat nicht immer aktiv etwas gegen diese Probleme unternehmen. Insbesondere wenn es um Verstöße gegen das Persönlichkeitsrecht der Arbeitnehmer geht, müssen diese selbst dagegen vorgehen – und unter Umständen sogar vor Gericht klagen.
Ohne Unterrichtung keine Mitbestimmung
Neben dem Überwachungsrecht spielt das allgemeine Unterrichtungsrecht des Gremiums gemäß § 80 Abs. 2 BetrVG eine wichtige Rolle. Danach haben Sie einen Anspruch darauf, dass Sie der Arbeitgeber rechtzeitig und umfassend über alles informiert, was zur Durchführung seiner gesetzlichen Aufgaben erforderlich ist. Das erstreckt sich auch auf alle Formen personenbezogener Daten der Arbeitnehmer. Zu diesem Zweck muss der Arbeitgeber dem Gremium alle nötigen Unterlagen zur Verfügung stellen. Außerdem muss Sie die Geschäftsleitung über die geplante Einführung und Veränderung von EDV-Systemen sowie über die Verarbeitung personenbezogener Daten der Arbeitnehmer unterrichten. Generell kann sich der Arbeitgeber nicht selbst auf den Datenschutz berufen, um Ihnen die Herausgabe bestimmter Informationen zu verweigern. Allerdings kann es im Einzelfall auch durchaus umstritten sein, auf welche Unterlagen die betriebliche Interessenvertretung ein Recht hat: So ist nicht immer klar, ob der Betriebsrat z. B. Daten der Arbeitszeiterfassung mit Namen einsehen kann oder ob er nur auf eine anonymisierte Version Anspruch hat. Dies muss jeweils konkret entschieden werden. Hier kann es hilfreich sein, in einer Rahmenvereinbarung zum Beschäftigtendatenschutz festzuschreiben, dass das Gremium stets Daten mit Namensnennung zur Verfügung gestellt bekommt. Dies würde Ihre Arbeit erleichtern.
Praxistipp: Folgen einer Datenauswertung prüfen
Verlangen Sie vom Arbeitgeber Auskunft darüber, welche Aussagen und Schlussfolgerungen dieser aus der Auswertung der personenbezogenen Daten (etwa auch durch die Verknüpfung verschiedener Systeme) gewinnen kann. Diese Infos sind wichtig, um Ihr Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG wirksam auszuüben.
Recht auf externen Sachverstand nach § 80 Abs. 3 BetrVG
Zunächst muss der Arbeitgeber Sie rechtzeitig und umfassend unterrichten. Sind die Informationen unvollständig, können Sie weitere Auskünfte verlangen. Dann haben Sie erst alle betriebsinternen Informationsquellen und Experten (sachkundige Arbeitnehmer) zu nutzen. So darf der BR z. B. die angebotene Unterstützung durch Fachkräfte der EDV-Abteilung nicht ablehnen. Falls das alles noch nicht hilft, können Sie schließlich einen externen Sachverständigen beauftragen. Dabei muss der Arbeitgeber dieser Hinzuziehung allerdings zustimmen. Falls der Arbeitgeber der Hinzuziehung nicht zustimmt, obwohl diese erforderlich ist, kann der Betriebsrat die Zustimmung beim Arbeitsgericht ersetzen lassen.
Hinweis: Kostenübernahme für Sachverständige
Hat der Arbeitgeber der Beauftragung des externen Beraters im Vorfeld zugestimmt, trägt er die Kosten. Zieht das Gremium den Sachverständigen ohne die Zustimmung des Arbeitgebers hinzu, muss es dessen Honorar selbst zahlen. Das gilt übrigens auch dann, wenn das Arbeitsgericht hinterher die fehlende Zustimmung des Arbeitgebers ersetzt.
Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG
Ihr erzwingbares Mitbestimmungsrecht beim Datenschutz greift, wenn der Arbeitgeber technische Einrichtungen einführt oder anwendet, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Achtung: Sie können bereits dann mitbestimmen, wenn die technischen Einrichtungen objektiv zur Überwachung geeignet sind (BAG, Beschluss vom 23.04.1985, Az.: 1 ABR 39/81). Das heißt, es muss gar nicht tatsächlich eine Überwachung stattfinden. Es reicht aus, wenn sie stattfinden könnte.
Beispiel: Geeignetheit zur Überwachung
Der Arbeitgeber möchte im gesamten Betrieb eine neuwertige Telefonanlage, die sich auch technisch auf dem neuesten Stand befindet, installieren. Hier wird das Mitbestimmungsrecht des § 87 Abs. 1 Nr. 6 BetrVG ausgelöst. Zwar kann man dem Arbeitgeber unterstellen, dass er die neue Telefonanlage nicht zu dem Zweck anschafft, die Arbeitnehmer des Betriebs zu überwachen. Gleichwohl enthält sie Funktionen, die dies ermöglichen.
Was ist eine Datenschutz-Folgenabschätzung?
Die DSGVO sieht in Art. 35 eine Datenschutz-Folgenabschätzung vor. In vielen Betrieben ist diese auch unter ihrem englischen Namen Data Protection Impact Assessment (DPIA) bekannt. Darum geht es: Bringt eine Datenverarbeitung aller Voraussicht nach ein hohes Risiko für die Rechte und Freiheiten von Arbeitnehmern mit sich, ist der Arbeitgeber als Verantwortlicher im Sinne des Datenschutzrechts verpflichtet, vorab die Folgen der geplanten Verarbeitung für den Schutz der Beschäftigtendaten abzuschätzen. Somit stellt sich bei diesem wichtigen Punkt die Frage, ob bzw. inwieweit der Betriebsrat im Rahmen der Datenschutz-Folgenabschätzung zu beteiligen ist. Eine höchstrichterliche Entscheidung gibt es zu diesem Problem leider bisher nicht, sodass keine verbindlichen Aussagen möglich sind.
Arbeitgeber muss Standpunkt des Betriebsrats einholen
Der Arbeitgeber muss den Standpunkt der betroffenen Personen und zusätzlich die Meinung des Gremiums zu der geplanten Datenverarbeitung einholen (Art. 35 Abs. 9 DSGVO). Damit der Betriebsrat seine Position entwickeln und argumentativ vertreten kann, braucht er zunächst alle erforderlichen Informationen über das Vorhaben der Geschäftsleitung. Dies umfasst Punkte wie
- die Notwendigkeit der Datenschutz-Folgenabschätzung („Ob“) aufgrund des Vorliegens besonderer Risiken und
- die Durchführung der Folgenabschätzung selbst („Wie“).
Arbeitgeber muss sich mit BR-Standpunkt auseinandersetzen
In seiner Stellungnahme sollte das Gremium unter anderem folgende Aspekte beleuchten:
- Datenverarbeitung an sich
- Notwendigkeit der Datenverarbeitung
- Verhältnismäßigkeit der Datenverarbeitung
- Bewertung der Risiken der Datenverarbeitung
- Auswahl und Umsetzung der aus seiner Sicht erforderlichen Maßnahmen
Der Arbeitgeber ist nicht unbedingt dazu verpflichtet, die Bedenken des Betriebsrats zu teilen oder dessen Vorschläge aufzugreifen. Aber er muss sich wenigstens gründlich mit den Argumenten auseinandersetzen.
Schließen Sie eine Rahmenvereinbarung zum Beschäftigtendatenschutz ab
Es ist aus vielen Gründen mehr als empfehlenswert, dass Sie mit dem Arbeitgeber eine Rahmenvereinbarung zum Beschäftigtendatenschutz abschließen. Darin sollte der Betriebsrat mit dem Arbeitgeber ein Verfahren festlegen, wie bei einer Datenschutz-Folgenabschätzung generell vorzugehen ist. Sinnvoll sind detaillierte Regelungen zur Einholung des Gremiumsstandpunkts und zur Ausübung bzw. Umsetzung eines möglichen Mitbestimmungsrechts (etwa nach § 87 Abs. 1 Nr. 6 BetrVG). Darüber hinaus können Sie natürlich auch anstreben, sich weitere Einflussmöglichkeiten zu sichern, die über den Mindestrahmen der gesetzlichen Mitbestimmung hinausgehen.
Hinweis: Zeit- und Ablaufplan vereinbaren
In einer Rahmenvereinbarung sollten insbesondere Zeitpunkt und Umfang der Information des Betriebsrats und seiner Beteiligung rechtzeitig vor der Entscheidung über die Notwendigkeit der Folgenabschätzung und vor ihrer Durchführung geregelt werden. Bewährt hat sich ein verbindlich festgeschriebener Zeit- und Ablaufplan. So sind die Rechte und Pflichten unmissverständlich geklärt.
