Auskunft vom Betriebsrat
Einer der wichtigsten Betroffenenrechte der Datenschutzgrundverordnung (DSGVO) ist das Auskunftsrecht aus Art. 15 DSGVO. Demnach steht Betroffenen hinsichtlich der Verarbeitung ihrer personenbezogenen Daten ein umfassendes Auskunftsrecht zu. Da auch im Rahmen eines Beschäftigungsverhältnisses einige personenbezogenen Daten verarbeitet werden, sind Beschäftigte in ihrem Beschäftigungsverhältnis Betroffene im Sinne von Art. 15 Abs. 1 DSGVO. Beschäftigte können darüber hinaus eine Kopie ihrer verarbeiteten Daten verlangen gem. Art. 15 Abs. 3 DSGVO. Doch wie sieht es aus mit den personenbezogenen Daten, die vom Betriebsrat verarbeitet werden? Kann der oder die Mitarbeiter : in Auskunft vom Betriebsrat verlangen und seinen / ihren Auskunftsanspruch direkt gegenüber dem Betriebsrat geltend machen ? Und muss dieser dem Ersuchen nachkommen?
Wer kommt dem Auskunftsanspruch nach?
Laut Art. 15 DSGVO muss der für die Datenverarbeitung Verantwortliche Auskunft erteilen. Damit der Betriebsrat einem solchen Auskunftsersuchen nachkommen kann müsste er also grundsätzlich Verantwortlicher sein. Nach Art. 4 Nr. 7 DSGVO sind verantwortliche Stellen, die die über die Zwecke und Mittel der Datenverarbeitung entscheiden. Betriebsräte legen die Zwecke und Mittel der Datenverarbeitung häufig weitgehend selbst fest. Daher wird vertreten, dass der Betriebsrat Verantwortlicher im Sinne der DSGVO ist. Die überwiegende Zahl von Datenschutzexpert : innen nimmt jedoch aus guten Gründen an, dass der Betriebsrat lediglich als Teil des verantwortlichen Unternehmens zu verstehen ist. Denn wäre der Betriebsrat komplett allein verantwortliche Stelle bräuchte dieser gegebenenfalls auch eine : n eigene : n Datenschutzbeauftragte : in. Zudem wäre der Betriebsrat für die Betroffenenrechte komplett selbst verantwortlich. Die Betriebsparteien sollten sich hinsichtlich des Auskunftsverhalten auf eine Strategie verständigen. Und die Vorgehensweise sollte idealerweise in einer Betriebsvereinbarung festgeschrieben werden.
Unklarheit beseitigt oder verstärkt?
Die Frage, ob der Betriebsrat nun verantwortliche Stelle sei, versucht der Gesetzgeber kürzlich mit dem Betriebsrätemodernisierungsgesetz und dem § 79a Betriebsverfassungsgesetz (BetrVG) zu beantworten. Darin steht klar, dass Betriebsräte selbst keine datenschutzrechtlich verantwortlichen Stellen sind. Sie sind – datenschutzrechtlich betrachtet – ein unselbständiger „Teil“ des jeweiligen Unternehmens. Daher richtet sich der Auskunftsanspruch nun nicht gegen den Betriebsrat, sondern vielmehr gegen das Unternehmen selbst. Doch Kritiker beurteilen § 79a BetrVG teilweise als EU-rechtswidrig gesehen. Eine Änderung des Gesetzes in der Zukunft kann nicht gänzlich ausgeschlossen werden. Um Unklarheiten aus dem Weg zu räumen und sich abzusichern sollten Unternehmen und ihr Betriebsrat klare Vereinbarungen treffen. Das heißt, insbesondere Verantwortungsbereiche in einer Betriebsvereinbarung festlegen. Zum Beispiel sollten sie beschreiben, wer die Auskunftsanfragen an den Betriebsrat bearbeiten soll. Und ob dies ggf. unter Abstimmung mit dem Arbeitgeber und der betrieblichen Datenschutzbeauftragten erfolgen soll und wie weit die Unterstützungspflicht des Betriebsrats beim Auskunftsersuchen gehen soll.
Auskunftsanspruch vs. Geheimhaltungsinteresse: Der Auskunftsanspruch gegenüber dem Betriebsrat
Für eine Betriebsvereinbarung und klare Verantwortungsbereiche spricht, dass Geheimhaltungsinteresse zu gunsten des Betriebsrats selbst oder des Arbeitgebers und anderer Mitarbeiter : innen. Zugunsten des Betriebsrats besteht ein Geheimhaltungsinteresse, da es dabei der Betriebsratsarbeit häufig um sehr persönliche Informationen von Beschäftigten geht. Dazu sind sie verpflichtet. Das Geheimhaltungsinteresse schützt also die Arbeit des Betriebsrats und dessen Freiheiten gegenüber dem Arbeitgeber. Der Arbeitgeber sollte zum Beispiel keine Kenntnis davon erlangen, wenn der Betriebsrat einer Kündigung widersprechen möchte. Oder wenn er personenbezogene Daten speichert, um die Einhaltung von Gesetzen im Betrieb zu überwachen. Geschützt ist auch das Abstimmungsverhalten der Betriebsratsmitglieder. Doch dieses dürfte kein personenbezogenes Datum darstellen und somit auch nicht dem Auskunftsrecht nach Art. 15 DSGVO unterfallen. Das Abstimmungsverhalten müsste daher auf den Dokumenten z.B. durch Schwärzung unkenntlich gemacht werden. Also auch bereits im Rahmen der Absprache über das Auskunftsersuchen mit dem Arbeitgeber.
Kein Auskunftsanspruch wegen Rechte Dritter
Doch auch die Interessen und Rechte des Unternehmens sollten beachtet werden. Der Betriebsrat hat Stillschweigen über Betriebs- und Geschäftsgeheimnisse zu wahren. Dies kann Rechte des geistigen Eigentums umfassen, sowie Urheberrechte an Software und Algorithmen, soweit das wirtschaftliche Interesse des Unternehmens überwiegt. Dem Recht auf Auskunft gegenüber dem Betriebsrat kann auch das Interesse des Unternehmens an einer vertrauensvollen Zusammenarbeit von Betriebsrat und Geschäftsführung entgegenstehen. Die Rechte und personenbezogenen Daten anderer Mitarbeiter : innen sind auch zu beachten. Das umfasst zum Beispiel die Herkunft der Daten, in dem Fall, wenn ein : e andere : r Mitarbeiter : in eine Beschwerde einreicht. Und in diesem Zusammenhang personenbezogenen Daten der anfragenden Person erhoben und verarbeitet wurden. Der Anspruch ist daher nicht als ein „allumfassender Anspruch“ zu verstehen. Sondern wird begrenzt durch die Rechte und Freiheiten anderer Personen. Daher müssen im Einzelfall die Interessen Dritter abgewogen werden, und sorgfältig überlegt werden, welche Informationen herausgegebene werden.
Auskunftsanspruch des Betriebsrats
Doch auch dem Betriebsrat kann ein Auskunftsanspruch gegenüber dem Unternehmen zu stehen, wobei auch hier datenschutzrechtliche Aspekte Berücksichtigung finden müssen. Erfüllt der Betriebsrat seine durch Gesetz zugewiesenen Aufgaben und muss dieser im Rahmen dessen personenbezogenen Daten verarbeiten, ist dies nicht immer von der Einwilligung der Arbeitnehmer : innen abhängig. Dabei kann sich der Betriebsrat auf § 26 Abs. 1 BDSG berufen, wenn das Informationsverlangen für die Aufgabenerfüllung des Betriebsrats erforderlich ist. Der Arbeitgeber sollte vor der Übermittlung von personenbezogenen Daten den Betriebsrat dazu auffordern, konkret anzugeben, welchen Aufgaben und Schutzmaßnahmen er nachkommen möchte. Ein allgemeiner Hinweis auf geltende Schutzpflichten reicht dabei nicht aus, insbesondere im Zusammenhang mit sensiblen Daten, wie Gesundheitsdaten. Erfragt der Arbeitgeber nicht ausreichend die Erforderlichkeit des Auskunftsersuchens durch den Betriebsrat, kann dies einen Verstoß gegen datenschutzrechtliche Vorschriften darstellen und behördliche Sanktionen nach sich ziehen.
Fazit zum Auskunftsanspruch gegenüber dem Betriebsrat
Beruft sich eine Person auf den Auskunftsanspruch gegenüber dem Betriebsrat, ist laut BetrVG der Betriebsrat selbst nicht Verantwortlicher. Damit ist der Betriebsrat allein nicht zur Auskunft im Sinne des Datenschutzrechts berechtigt oder verpflichtet. Aber er sollte bei einer Auskunftsanfrage nach Art 15 DSGVO, soweit die Datenverarbeitung des Betriebsrats betroffen ist, nicht außen vor bleiben. Hingegen sollte er im Einzelfall das Auskunftsersuchen eigenständig bearbeiten, wenn Geheimhaltungsinteressen verschiedener Partei bestehen. Es sollte beachtet werden, dass die Berufung auf das Geheimhaltungsinteresse zur Ablehnung der Auskunftsanfrage nicht ausreicht. Vielmehr sollte der Betriebsrat, unter Umständen mit Unterstützung durch die betriebliche Datenschutzbeauftragte, die Anfrage prüfen und den Umfang der sich gegenüberstehenden Interessen sorgfältig abwägen. Handelt es sich um ein Auskunftsanfrage seitens des Betriebsrats gegenüber dem Arbeitgeber zur eigenen Aufgabenerfüllung, sollte sich der Arbeitgeber stets deren Erforderlichkeit darlegen lassen.