Wenn Betroffene von ihrem Auskunftsrecht Gebrauch machen, muss auch der Betriebsrat teilweise offenlegen, welche personenbezogenen Daten er verarbeitet. Falls es dabei zu Konflikten mit dem Verantwortlichen kommt, hilft unsere praktische Anleitung.
Das Betroffenenrecht auf Auskunft
Das Auskunftsrecht aus Art. 15 der Datenschutz-Grundverordnung (DSGVO) ist eine der wichtigsten Möglichkeiten, mit der Betroffene Transparenz über die Verarbeitung ihrer personenbezogenen Daten fordern können. Beschäftigte können nur von ihren weiteren Rechten wie Berichtigung, Löschung oder Datenübertragbarkeit, effektiv Gebrauch machen, wenn sie wissen, welche Daten über sie gespeichert sind.
Tipp: Lesen Sie dazu auch unseren Ratgeber zur Erfüllung des Auskunftsanspruchs nach Art. 15 DSGVO sowie unsere Anleitung zum Umgang mit Betroffenenanfragen.
Im Arbeitsverhältnis werden personenbezogene Daten nicht ausschließlich vom Arbeitgeber selbst verarbeitet, sondern auch durch den Betriebsrat. Fraglich ist dabei der Umfang seiner Unterstützungspflichten im Falle eines Auskunftsbegehren eines Mitarbeitenden.
Datenverarbeitung im Betriebsrat
Personenbezogene Informationen liegen typischerweise in Systemen der Personalabteilung. Doch auch Betriebsräte haben im Rahmen ihrer gesetzlichen Aufgaben zweckbestimmten Zugriff auf dort abgelegte Daten.
Ebenso ist der Betriebsrat befugt, in bestimmten Bereichen eigenverantwortlich Daten wie Sitzungsprotokolle, Unterlagen zu persönlichen Einzelmaßnahmen, individuelle Beschwerdefälle sowie Informationen für Betriebsratswahlen zu speichern.
Demgegenüber hat der Betriebsrat bei Datenverarbeitungen des Verantwortlichen – etwa Bewerbungen oder Unterlagen zur Sozialauswahl – in der Regel nur Zugriffs- und Prüfungsrechte. Diese Daten verbleiben beim Verantwortlichen und werden vom Betriebsrat nur genutzt, wie es zur Erfüllung seiner gesetzlichen Aufgaben erforderlich ist.
Datenschutzrechtliche Pflichten des Betriebsrats
Auch die beim Betriebsrat gespeicherten Daten unterliegen den Grundsätzen der DSGVO. Diese Verpflichtung ist inzwischen ausdrücklich in § 79a Satz 2 Betriebsverfassungsgesetz (BetrVG) geregelt, wonach der Arbeitgeber zwar als alleiniger Verantwortlicher gilt, der Betriebsrat bei der Verarbeitung personenbezogener Daten aber ebenfalls die geltenden Datenschutzvorschriften zu beachten hat.
Betroffene haben gem. Art. 5 Abs. 1 lit. a) DSGVO einen Anspruch auf vollständige Auskunft, damit auch über diejenigen Daten, die durch den Betriebsrat verarbeitet werden. Deswegen hat der Betriebsrat den Verantwortlichen ausdrücklich bei der Einhaltung datenschutzrechtlicher Vorschriften zu unterstützen (§ 79a Satz 3 BetrVG). Dazu gehört auch, Informationen bereitzustellen, die für die Bearbeitung von Auskunftsanfragen erforderlich sind.
Datenschutzbeauftragter als neutraler Vermittler
Allerdings kommt es vor, dass Betriebsräte die Mitwirkung bei Auskunftsersuchen verweigern. Das kann zum einen an der Unsicherheit über die Rechtslage liegen oder aber auch an ihrer gesetzlich verankerten Geheimhaltungspflicht (§ 79 BetrVG). Hier entsteht ein Spannungsfeld zwischen Datenschutzrechten der Beschäftigten und der Autonomie des Betriebsrats.
Damit dieses Spannungsverhältnis entschärft werden kann, wird § 79a Satz 4 BetrVG geregelt, dass zusätzlich ein Datenschutzbeauftragter des Unternehmens eingeschaltet werden kann, der dann als neutrale Vermittlungsinstanz fungiert. Dieser ist allerdings gegenüber dem Arbeitgeber zur Geheimhaltung über die Informationen verpflichtet, die Rückschlüsse auf den Meinungsbildungsprozess des Betriebsrats zulassen.
Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat dazu in seinem Tätigkeitsbericht für das Jahr 2024 (Ziffer 9.2) Empfehlungen ausgesprochen, wie der Verantwortliche den Betriebsrat zur Mitwirkung auffordern kann.
Das BayLDA empfiehlt, den Datenschutzbeauftragten frühzeitig als zwischengeschaltete, objektive und zur Verschwiegenheit verpflichtete Instanz hinzuzuziehen. Diese können (Teil-) Auskünfte zusammenführen und die vollständigen Informationen an die Betroffenen übermitteln.
Daneben rät die Aufsichtsbehörde zu einer lückenlosen Dokumentation aller Maßnahmen und Prüfungsschritte, damit der Verantwortliche seine Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO glaubhaft nachweisen kann, falls eine Stellungnahme vom Verantwortlichen nach Art. 58 DSGVO verlangt wird. Besonders in Fällen mangelnder Mitwirkung des Betriebsrats ist es sinnvoll, dass der Arbeitgeber sorgfältig darlegen kann, welche Schritte ergriffen wurden, um den Betriebsrat zu einer Mitwirkung zu bewegen (etwa durch dokumentierte Gesprächsangebote oder die Einbindung eines Datenschutzbeauftragten).
Handlungsempfehlungen für Verantwortliche
Regelmäßige Aufklärung
Informieren Sie den Betriebsrat über seine gesetzliche Unterstützungspflicht aus § 79 a BetrVG bei Auskunftsersuchen von Beschäftigten. Betriebsratsmitglieder können auch explizit auf diese Vorschrift schriftlich verpflichtet werden.
Frühzeitige Einbindung des Datenschutzbeauftragen
Institutionalisieren Sie den Datenschutzbeauftragen als ständige Schnittstelle für datenschutzrelevante Prozesse, auch für Auskunftsersuchen nach Art. 15 DSGVO.
Unser Tipp: Ein externer Datenschutzbeauftragter kann hier (und bei allen internen Themen) am besten Neutralität gewährleisten!
Standardisierte Verfahren
Führen Sie standardisierte Verfahren ein, die das Vorgehen bei Auskunftsersuchen regeln. Es ist sinnvoll, klare Prozesse zwischen Arbeitgeber und Betriebsrat zu etablieren. Um das zu erreichen, sollten interne Regelungen aufgestellt werden, die Zuständigkeiten, Abläufe und Fristen klar festlegen, wie mit bei dem Betriebsrat gespeicherten Informationen bei Auskunftsersuchen umgegangen werden soll.
Tipp: Nutzen Sie hierfür unsere kostenfreie Vorlage für eine Richtlinie zum Umgang mit Betroffenenanfragen.
Lückenlose Dokumentation
Dokumentieren Sie alle Maßnahmen und Konfliktfälle, damit im Falle einer von der Aufsichtsbehörde verlangten Stellungnahme die Erfüllung der Rechenschaftspflichten nach Art. 5 Abs. 2 DSGVO nachgewiesen werden kann.
Fazit
Das Auskunftsrecht aus Art. 15 DSGVO gilt auch für personenbezogene Daten, die vom Betriebsrat verarbeitet werden. Dieser ist zur Mitwirkung bei Auskunftsbegehren von Betroffenen verpflichtet.
Damit die Rechte der Betroffenen uneingeschränkt sichergestellt und gleichzeitig die Geheimhaltungspflicht des Betriebsrats gewahrt werden, lohnt sich die frühzeitige Einbindung des Datenschutzbeauftragten. Da dieser gegenüber dem Arbeitgeber zur Verschwiegenheit über Informationen verpflichtet ist, die Rückschlüsse auf innerbetrieblichen Willensbildungsprozesse des Betriebsrats zulassen, kann der Datenschutzbeauftragte optimal dazu beitragen, ein mögliches Spannungsverhältnis zu umgehen und datenschutzkonforme Lösungen zu erarbeiten.