Bundesarbeitsgericht vom 09.04.2019 – 1 ABR 51/17
Hintergrund
Am 09.04.2019 bereits hat das Bundesarbeitsgericht unter dem Aktenzeichen 1 ABR 51/17 (BAG NZA 2019, 1055-1061) eine Entscheidung auch zu Themen des Datenschutzes getroffen, die die Betriebspartner nicht nur kennen, sondern deren Vorgaben auch umsetzen sollten. In dieser Entscheidung ging es um einen vom Betriebsrat geltend gemachten Auskunftsanspruch, der den Namen einer Arbeitnehmerin und ihre Schwangerschaft zum Inhalt hatte. Hierzu stellt das BAG nun fest, dass dann, wenn ein allgemeiner Auskunftsanspruch des Betriebsrats nach § 80 Abs. 2 Satz 1 BetrVG eine besondere Kategorie personenbezogener Daten (sensitive Daten im datenschutzrechtlichen Sinn) umfasst, Anspruchsvoraussetzung ist, dass der Betriebsrat zur Wahrung der Interessen der von der Datenverarbeitung betroffenen Arbeitnehmer angemessene und spezifische Schutzmaßnahmen trifft. Soweit der Betriebsrat in zulässiger Weise betriebsverfassungsrechtlich normierte Ansprüche geltend macht und dabei personenbezogene Daten ausgetauscht werden (müssen) ist die damit verbundene Datenverarbeitung i.S.v. § 26 Abs 3 S 1 BDSG 2018 zur Erfüllung einer rechtlichen Pflicht aus dem Arbeitsverhältnis erforderlich. Die datenschutzrechtlichen Voraussetzungen dafür aber, nämlich die spezifischen Schutzmaßnahmen bzw. ihr Vorhandensein im Arbeitssystem des Betriebsrates, hat der Betriebsrat darzulegen.
Das BAG erklärt diese Feststellung in zutreffender Weise damit, dass bei der Weitergabe sensitiver Daten an den Betriebsrat der Arbeitgeber die Beachtung des in § 26 Abs. 3 Satz 3 iVm. § 22 Abs. 2 BDSG geregelten Gebots angemessener und spezifischer Schutzmaßnahmen nicht in der Hand hat. Ihm sind hierauf bezogene Vorgaben an den Betriebsrat aufgrund dessen Unabhängigkeit als Strukturprinzip der Betriebsverfassung verwehrt. Daher hat der Betriebsrat bei der Geltendmachung eines auf sensitive Daten gerichteten Auskunftsbegehrens das Vorhalten von Maßnahmen darzulegen, welche die berechtigten Interessen der betroffenen Arbeitnehmer – vorliegend der ihre Schwangerschaft mitteilenden Arbeitnehmerinnen – wahren. Den Betriebsrat trifft insoweit, unabhängig vom Ergebnis der rechtlichen Debatte, ob er iSv. Art. 4 Nr. 7 DSGVO Teil der verantwortlichen Stelle ist oder gar Verantwortlicher ist, eine spezifische Schutzpflicht. Es ist folglich zu gewährleisten, dass er bei einer Verarbeitung sensitiver Daten – hier: des Namens schwangerer Arbeitnehmerinnen – das Vertraulichkeitsinteresse der Betroffenen strikt achtet und Vorkehrungen trifft, die bei wertender Betrachtung den in § 22 Abs. 2 Satz 2 BDSG aufgelisteten Kriterien entsprechen. Hierzu können Maßnahmen zur Datensicherheit wie das zuverlässige Sicherstellen des Verschlusses der Daten, die Gewähr begrenzter Zugriffsmöglichkeiten oder deren Beschränkung auf einzelne Betriebsratsmitglieder sowie die Datenlöschung nach Beendigung der Überwachungsaufgabe gehören. Ein Fehlen solcher Schutzmaßnahmen oder ihre Unzulänglichkeit schließt den streitbefangenen Anspruch aus.
Bewertung
Jedem Betriebsrat ist daher zu empfehlen, ein System zu installieren, welches mit einem Datenschutzkonzept für eine verantwortliche Stelle im Wesentlichen gleichgesetzt werden kann bzw. deren Vorgaben entspricht, zumindest aber in diesem die Anforderungen zum Datenschutz bei der Arbeit des Betriebsrates so abgebildet werden, dass jedenfalls der Datenschutz keine Blockade der betriebsverfassungsrechtlich normierten Zusammenarbeit der Betriebsparteien darstellt. Jurcons hat derartige Konzepte bereits entworfen und erfolgreich in verschiedenen Unternehmungen platzieren dürfen.