Datenschutz im Betriebsratsbüro – Warum jedes Gremium ein Datenschutzkonzept braucht

Das Wichtigste auf einen Blick:

✔ Der Betriebsrat verarbeitet täglich besonders schützenswerte personenbezogene Daten und muss deshalb die Datenschutzvorschriften einhalten.

✔ Ein eigenes Datenschutzkonzept schafft klare Regeln für den Umgang mit Beschäftigtendaten und stärkt die Rechtssicherheit des Gremiums.

✔ Fehlen angemessene Datenschutzmaßnahmen, kann dies sogar Auswirkungen auf Informationsansprüche gegenüber dem Arbeitgeber haben.

✔ Das Datenschutzkonzept sollte regelmäßig überprüft und an neue Arbeitsweisen sowie technische Entwicklungen angepasst werden.

Datenschutz gehört heute zur professionellen Betriebsratsarbeit

Ob personelle Einzelmaßnahmen, Beschwerden von Beschäftigten, Eingruppierungen oder BEM-Verfahren – Betriebsräte arbeiten täglich mit personenbezogenen Daten. Häufig handelt es sich dabei sogar um besonders sensible Informationen wie Gesundheitsdaten, Angaben zu Schwangerschaften oder Schwerbehinderungen. Beschäftigte vertrauen darauf, dass ihre Daten vertraulich behandelt werden. Dieses Vertrauen zu schützen, gehört zu den grundlegenden Aufgaben eines Betriebsrats.

Mit § 79a BetrVG hat der Gesetzgeber ausdrücklich geregelt, dass der Betriebsrat bei der Verarbeitung personenbezogener Daten die datenschutzrechtlichen Vorschriften einhalten muss. Datenschutz ist damit längst kein Randthema mehr, sondern fester Bestandteil einer ordnungsgemäßen Betriebsratsarbeit.

Ein durchdachtes Datenschutzkonzept hilft dabei, Verantwortlichkeiten festzulegen, Arbeitsabläufe zu strukturieren und Risiken zu minimieren. Gleichzeitig schafft es Transparenz innerhalb des Gremiums und sorgt dafür, dass alle Mitglieder nach denselben Regeln handeln.

Datenschutz entscheidet über Informationsansprüche

Datenschutz ist nicht nur eine organisatorische Pflicht. Er kann auch unmittelbare Auswirkungen auf die Arbeit des Betriebsrats haben.

Das Bundesarbeitsgericht hat in zwei Entscheidungen deutlich gemacht, dass der Betriebsrat bei der Geltendmachung von Auskunftsansprüchen über besonders schützenswerte personenbezogene Daten nachweisen muss, dass geeignete Schutzmaßnahmen vorhanden sind. Fehlen diese oder sind sie unzureichend, kann der Arbeitgeber die Herausgabe entsprechender Informationen verweigern.

Damit wird deutlich: Ein Datenschutzkonzept dient nicht nur dem Schutz der Beschäftigten, sondern sichert auch die Handlungsfähigkeit des Betriebsrats.

Wer trägt die Verantwortung?

Immer wieder stellt sich die Frage, wer eigentlich für den Datenschutz verantwortlich ist.

Nach § 79a BetrVG bleibt der Arbeitgeber datenschutzrechtlich Verantwortlicher im Sinne der DSGVO. Das bedeutet jedoch nicht, dass der Betriebsrat sich auf die Datenschutzorganisation des Unternehmens verlassen kann. Verarbeitet der Betriebsrat personenbezogene Daten zur Erfüllung seiner gesetzlichen Aufgaben, muss er selbst dafür sorgen, dass diese Daten angemessen geschützt werden. Arbeitgeber und Betriebsrat sind verpflichtet, sich gegenseitig bei der Einhaltung der Datenschutzvorschriften zu unterstützen.

Deshalb empfiehlt es sich, den betrieblichen Datenschutzbeauftragten frühzeitig einzubeziehen. Seine Beratung kann helfen, technische und organisatorische Maßnahmen sinnvoll aufeinander abzustimmen.

Warum ein Datenschutzkonzept unverzichtbar ist

Ein Datenschutzkonzept beschreibt verbindlich, wie der Betriebsrat mit personenbezogenen Daten umgeht. Es beantwortet unter anderem folgende Fragen:

• Welche Daten verarbeitet der Betriebsrat?
• Wer darf auf diese Daten zugreifen?
• Wo werden Unterlagen aufbewahrt?
• Welche technischen Schutzmaßnahmen bestehen?
• Wann werden Daten gelöscht?
• Wie wird bei Datenschutzverletzungen gehandelt?

Damit diese Regelungen für alle Mitglieder verbindlich gelten, empfiehlt sich die Aufnahme in eine Datenschutz-Geschäftsordnung nach § 36 BetrVG. Dies gilt insbesondere auch für nachrückende Ersatzmitglieder, die ebenfalls mit personenbezogenen Daten in Berührung kommen können. Werden Beschäftigte im Betriebsratsbüro eingesetzt, müssen auch sie in das Datenschutzkonzept einbezogen werden.

Darf der Arbeitgeber den Datenschutz kontrollieren?

Viele Betriebsräte sind unsicher, ob der Arbeitgeber überprüfen darf, wie sie mit personenbezogenen Daten umgehen.

Die Antwort lautet: Nein.

Der Arbeitgeber darf weder das Betriebsratsbüro kontrollieren noch dem Gremium Vorgaben zur konkreten Ausgestaltung des Datenschutzes machen. Die Unabhängigkeit des Betriebsrats gilt auch beim Datenschutz. Kontrollen durch die Personalabteilung oder Weisungen zur Datenverarbeitung sind daher unzulässig.

Dennoch bedeutet diese Unabhängigkeit keine völlige Trennung. Nach § 79a BetrVG müssen Arbeitgeber und Betriebsrat zusammenarbeiten. Deshalb sollte das Datenschutzkonzept möglichst gemeinsam mit dem betrieblichen Datenschutzbeauftragten abgestimmt werden. Für die praktische Umsetzung bleibt jedoch allein der Betriebsrat verantwortlich. Er muss sicherstellen, dass alle Mitglieder und Ersatzmitglieder die vereinbarten Datenschutzregeln kennen und einhalten.

Wer entwickelt das Datenschutzkonzept?

Wie ein Datenschutzkonzept entsteht, hängt von der Größe des Gremiums ab.

In kleineren Betriebsräten übernimmt häufig der oder die Vorsitzende die Vorbereitung. Größere Gremien können hierfür eine Arbeitsgruppe oder einen Ausschuss bilden. Wichtig ist, dass das fertige Konzept vom gesamten Betriebsrat beschlossen wird.

Einen eigenen Datenschutzbeauftragten darf der Betriebsrat allerdings nicht bestellen. Möglich ist jedoch die Benennung einer Person, die die Aufgaben einer Datenschutzkoordination übernimmt. Sie kann Änderungen begleiten, regelmäßige Überprüfungen organisieren und Ansprechpartner innerhalb des Gremiums sein. Klare Zuständigkeiten erleichtern die Umsetzung im Alltag erheblich.

In sieben Schritten zum Datenschutzkonzept

Der Aufbau eines Datenschutzkonzepts muss kein kompliziertes Projekt sein. Der Fachartikel empfiehlt ein systematisches Vorgehen.

1. Bestandsaufnahme

Zunächst sollte sich der Betriebsrat einen Überblick verschaffen. Welche personenbezogenen Daten werden verarbeitet? Wo werden sie gespeichert? Wer hat Zugriff? Welche Kommunikationsmittel werden genutzt? Dazu gehören sowohl digitale Daten als auch Papierakten und Notizen. Nur wer seine Datenverarbeitung kennt, kann sie wirksam schützen.

2. Risiken bewerten

Im zweiten Schritt werden mögliche Schwachstellen identifiziert. Offene Aktenschränke, ungeschützte Laufwerke, private Smartphones, unverschlüsselte USB-Sticks oder unsichere Videokonferenzen können Datenschutzrisiken darstellen. Auch der Einsatz von KI-Anwendungen sollte hinsichtlich des Datenschutzes kritisch geprüft werden.

3. Schutzmaßnahmen festlegen

Auf Grundlage der Risikoanalyse werden geeignete Maßnahmen beschlossen. Dazu gehören passwortgeschützte Zugänge, getrennte Laufwerke, eigene E-Mail-Adressen für den Betriebsrat, sichere Aufbewahrung von Unterlagen sowie regelmäßige Datenschutzschulungen. Dabei muss gewährleistet bleiben, dass alle Betriebsratsmitglieder ihr gesetzliches Einsichtsrecht nach § 34 Abs. 3 BetrVG wahrnehmen können.

4. Verfahren bei Datenschutzverletzungen

Das Datenschutzkonzept sollte eindeutig regeln, wie bei einer Datenpanne vorzugehen ist. Wer informiert den Arbeitgeber? Wer stimmt sich mit dem Datenschutzbeauftragten ab? Da der Arbeitgeber Verantwortlicher im Sinne der DSGVO bleibt, erfolgt auch die gesetzliche Meldung an die Aufsichtsbehörde über ihn.

5. Löschkonzept erstellen

Nicht alle Unterlagen dürfen nach festen Fristen vernichtet werden. Gerade Unterlagen zu Betriebsvereinbarungen oder Verhandlungen können auch nach Jahren noch benötigt werden. Deshalb sollte genau festgelegt werden, welche Daten gelöscht werden können und welche dauerhaft aufzubewahren sind. Ebenso wichtig ist die datenschutzgerechte Vernichtung von Papierunterlagen und die Entziehung von Zugriffsrechten ausgeschiedener Betriebsratsmitglieder.

6. Regelmäßig aktualisieren

Ein Datenschutzkonzept ist kein statisches Dokument. Neue Software, digitale Arbeitsformen oder der Einsatz Künstlicher Intelligenz verändern die Anforderungen laufend. Deshalb sollte das Konzept regelmäßig überprüft und an neue Gegebenheiten angepasst werden.

7. Externen Sachverstand nutzen

Gerade bei komplexen datenschutzrechtlichen Fragestellungen kann es sinnvoll sein, externe Sachverständige nach § 80 BetrVG hinzuzuziehen. Voraussetzung ist, dass die Kostenübernahme zuvor mit dem Arbeitgeber geklärt wird.

Praxistipp

Datenschutz sollte nicht erst dann Thema werden, wenn ein Problem auftritt. Sinnvoll ist es, das Datenschutzkonzept einmal jährlich auf die Tagesordnung einer Betriebsratssitzung zu setzen und zu prüfen, ob neue Software, geänderte Arbeitsabläufe oder personelle Veränderungen Anpassungen erforderlich machen.

Checkliste für Betriebsräte

☐ Gibt es ein schriftliches Datenschutzkonzept?

☐ Ist eine Datenschutz-Geschäftsordnung beschlossen?

☐ Sind Zugriffsrechte eindeutig geregelt?

☐ Werden personenbezogene Daten sicher gespeichert?

☐ Existieren Löschregelungen?

☐ Wissen alle Mitglieder und Ersatzmitglieder über die Datenschutzvorgaben Bescheid?

☐ Gibt es ein Verfahren für Datenschutzverletzungen?

☐ Wird das Datenschutzkonzept regelmäßig aktualisiert?

Rechtsgrundlagen

• § 79a BetrVG – Datenschutz
• § 36 BetrVG – Geschäftsordnung
• § 34 Abs. 3 BetrVG – Einsichtsrecht der Betriebsratsmitglieder
• § 80 Abs. 3 BetrVG – Hinzuziehung von Sachverständigen
• Art. 33 DSGVO – Meldung von Datenschutzverletzungen
• Art. 12 und 15 DSGVO – Auskunftsrechte
• § 22 BDSG und § 26 BDSG – Verarbeitung besonderer Kategorien personenbezogener Daten

Ein wirksames Datenschutzkonzept ist heute ein unverzichtbarer Bestandteil professioneller Betriebsratsarbeit. Es schafft klare Regeln für den Umgang mit sensiblen Beschäftigtendaten, stärkt das Vertrauen der Belegschaft und unterstützt den Betriebsrat dabei, seine gesetzlichen Aufgaben rechtssicher wahrzunehmen. Gleichzeitig kann ein durchdachtes Datenschutzkonzept entscheidend dafür sein, dass der Betriebsrat die Informationen erhält, die er für seine Arbeit benötigt. Wer Datenschutz systematisch organisiert und regelmäßig überprüft, schafft damit eine wichtige Grundlage für eine erfolgreiche und verantwortungsvolle Interessenvertretung.