KARE600066736 ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 BAG 9. Senat 20230606 9 AZR 383/19 Urteil Art 35 EUV 2016/679, Art 38 Abs 3 S 2 EUV 2016/679, Art 38 Abs 6 S 2 EUV 2016/679, Art 39 EUV 2016/679, §
§ 80Abs. 2 Satz 1, § 102 Abs. 1 Betr
VG, § 17 Abs. 2 Satz 1 KSchG) über die Beratung (
§ 90Abs. 2 Satz 1, § 92 Abs. 1 Satz 2 Betr
VG, § 17 Abs. 2 Satz 2 KSchG) bis hin zum Zustimmungsverweigerungsrecht (§ 99 BetrVG) und schließlich zum Mitbestimmungsrecht reichen, bei dem der Arbeitgeber die positive Zustimmung des Betriebsrats benötigt (
§§ 87, 94, 112 Abs. 4 Betr
VG). In Erfüllung dieser Aufgaben verarbeitet der Betriebsrat personenbezogene Daten. Diese erhält er insbesondere bei der Wahrnehmung seiner betriebsverfassungsrechtlichen Beteiligungs- und Mitbestimmungsrechte einerseits vom Arbeitgeber und andererseits von Beschäftigten selbst, etwa im Rahmen der Sprechstunde (§ 39 BetrVG), einer Beschwerde (§ 85 Abs. 1 BetrVG), des Vorschlagsrechts der Arbeitnehmer (§ 86a BetrVG), des Meinungsaustauschs im Rahmen von Betriebs- oder Abteilungsversammlungen (§ 43 Abs. 3 Satz 1, § 45 BetrVG) oder der Anhörung eines von einer personellen Maßnahme betroffenen Arbeitnehmers (§ 102 Abs. 2 Satz 4 BetrVG, vgl. Lembke FS Schmidt 2021 S. 277, 282). Des Weiteren kann der Betriebsrat mit dem Arbeitgeber Betriebsvereinbarungen mit unmittelbarer und zwingender Wirkung für die betriebsangehörigen Arbeitnehmer schließen (§ 77 Abs. 4 BetrVG). Auch Regelungen in Betriebsvereinbarungen, etwa zu technischen Überwachungseinrichtungen iSv. § 87 Abs. 1 Nr. 6 BetrVG (vgl. Lang NZA 2023, 269, 272 f.), können die Verarbeitung personenbezogener Daten zum Gegenstand haben. 29
(2)Die Zwecke der Datenverarbeitung des Betriebsrats sind zwar durch die Zuweisung von Aufgaben im Betriebsverfassungsgesetz ihrem äußeren Rahmen nach vorbestimmt. Der Betriebsrat kann also die Mitteilung geschützter Daten nicht unabhängig von seinen gesetzlichen Aufgaben verlangen. Beschäftigtendaten dürfen nur zu Zwecken genutzt werden, die das Betriebsverfassungsgesetz ausdrücklich vorsieht und die zur Erfüllung betriebsverfassungsrechtlicher Aufgaben erforderlich sind. Im konkreten Fall legt der Betriebsrat jedoch zur Wahrnehmung seiner gesetzlichen Aufgaben in eigener Verantwortung fest, welche mitarbeiterbezogenen Informationen verlangt und wie die übermittelten Daten - tatsächlich - verarbeitet werden sollen. Dies eröffnet ihm im Hinblick auf die Verwendung der Daten einen erheblichen Entscheidungsspielraum (vgl. Maschmann FS Schmidt 2021 S. 353, 356; Schulz ZESAR 2019, 323, 325; Kurzböck/Weinbeck BB 2020, 500, 501). 30 (a) Nach § 80 Abs. 2 Satz 1 BetrVG hat der Arbeitgeber den Betriebsrat zur Durchführung seiner Aufgaben rechtzeitig und umfassend zu unterrichten. Voraussetzung für einen Auskunftsanspruch des Betriebsrats ist zum einen, dass überhaupt eine Aufgabe des Betriebsrats gegeben ist, und zum anderen, dass die begehrte Information zur Wahrnehmung der Aufgabe im Einzelfall erforderlich ist (BAG 9. April 2019 - 1 ABR 51/17 - Rn. 12, BAGE 166, 269). Spiegelbildlich darf auch der Arbeitgeber dem Betriebsrat Beschäftigtendaten grundsätzlich nur für erforderliche Betriebsratsaufgaben zur Verfügung stellen. Bei der Weitergabe sensitiver Daten an den Betriebsrat sind besondere Schutzvorkehrungen zu treffen. Aufgrund der Unabhängigkeit des Betriebsrats als Strukturprinzip der Betriebsverfassung hat es der Arbeitgeber aber nicht in der Hand, angemessene und spezifische Schutzmaßnahmen zu treffen oder dem Betriebsrat hierzu Vorgaben zu machen. Unabhängig davon, ob der Betriebsrat Teil der verantwortlichen Stelle (so
Bonanni/Niklas ArbRB 2018, 371 f.; Pötters in Gola DS-GVO
- Aufl. Art. 88 Rn. 38; zur Datenschutzrechtslage nach dem BDSG aF vgl. BAG
- Februar 2012 - 1 ABR 46/10 - Rn. 43 mwN, BAGE 140, 350) oder gar Verantwortlicher (so
Kurzböck/Weinbeck BB 2018, 1652, 1655; Kleinebrink DB 2018, 2566 f.; Maschmann NZA 2020, 1207, 1209 ff.; Wybitul NZA 2017, 413 f.) ist, trifft ihn insoweit diese spezifische Schutzpflicht (BAG
- April 2019 - 1 ABR 51/17 - Rn. 47, aaO). 31 (b) Es kann dahinstehen, ob der Datenschutzbeauftragte unter dem BDSG aF Beaufsichtigungs- und Kontrollbefugnisse auch gegenüber dem Betriebsrat auszuüben hatte (so Kleinebrink DB 2018, 2566, 2570 f.; Lücke NZA 2019, 658, 667), oder ob dem die Unabhängigkeit des Betriebsrats entgegenstand (so BAG
- November 1997 - 1 ABR 21/97 - zu B III 2 c und c bb der Gründe, BAGE 87, 64). Jedenfalls oblag es ihm nach der damaligen Gesetzesfassung, die Datenschutzkonformität der auf Anforderung des Betriebsrats durch den Arbeitgeber vorgenommenen Übermittlung personenbezogener - ggf. auch sensitiver - Mitarbeiterdaten zu überprüfen. Bei der Übermittlung sensitiver Daten hatte er dementsprechend in eigener Sache zu überwachen, ob das Schutzkonzept des Betriebsrats datenschutzrechtlichen Anforderungen entspricht und der Arbeitgeber die Daten an den Betriebsrat übermitteln darf. 32
(3)Gegenstand der Beaufsichtigungs- und Kontrollbefugnis des Datenschutzbeauftragten ist außerdem die Einhaltung datenschutzrechtlicher Bestimmungen bei der Durchführung von Betriebsvereinbarungen, etwa zu § 87 Abs. 1 Nr. 6 BetrVG, an dessen Zustandekommen er selbst mitgewirkt hat. 33 bb) Der Betriebsrat bestimmt auch über die Mittel der Verarbeitung personenbezogener Daten. Dazu zählen die technischen Methoden der Verarbeitung personenbezogener Daten und die Art und Weise, wie ein Ergebnis oder Ziel erreicht wird (Art.-29-Datenschutzgruppe WP 169 S. 17). 34
(1)Die festzulegenden Mittel betreffen in erster Linie die Verarbeitung der Daten. Der Betriebsrat entscheidet dazu in technischer Hinsicht über die Organisation seiner Abläufe und befindet darüber, ob er konkrete Daten in analoger oder digitaler Form speichert, welche Software er konkret verwendet, welche Benutzerrechte er einräumt und welche Speicherfristen er setzt (Brink/Joos NZA 2019, 1395, 1397; Kurzböck/Weinbeck BB 2020, 500, 501; Schulz ZESAR 2019, 323, 325). 35
(2)Dem steht nicht entgegen, dass der Betriebsrat bei der Datenverarbeitung Sachmittel, insbesondere eine IT- und Kommunikationsinfrastruktur, einsetzt, die der Arbeitgeber ihm nach § 40 Abs. 2 BetrVG zur Verfügung gestellt hat. Unabhängig davon, dass es für die Mittel der Verarbeitung nicht entscheidend darauf ankommt, welche - vom Arbeitgeber zur Verfügung gestellten - IT-Systeme oder Hardware der Betriebsrat zur Datenverarbeitung nutzt, obliegt die Prüfung, ob ein Sachmittel zur Erledigung von Betriebsratsaufgaben erforderlich und vom Arbeitgeber zur Verfügung zu stellen ist, dem Betriebsrat. Er hat bei seiner Entscheidung lediglich die Interessen der Belegschaft an einer sachgerechten Ausübung des Betriebsratsamts und berechtigte Interessen des Arbeitgebers, auch soweit sie auf eine Begrenzung der Kostentragungspflicht gerichtet sind, gegeneinander abzuwägen (BAG 20. April 2016 - 7 ABR 50/14 - Rn. 16 mwN, BAGE 155, 54). 36
- c)Ein als Betriebsratsvorsitzender beteiligter Datenschutzbeauftragter, der seine Überwachungsaufgabe im Spannungsfeld seiner funktionalen Interessen und Aufgaben erfüllen muss, besitzt nicht die für eine Gewährleistung des gesetzlichen Datenschutzes erforderliche Unabhängigkeit. Als Beauftragter für den Datenschutz ist der Vorsitzende des Betriebsrats verpflichtet zu prüfen, ob die von ihm nach außen vertretene Beschlusslage des Betriebsrats mit den Bestimmungen des Datenschutzes im Einklang steht. 37
- aa)In seiner betriebsverfassungsrechtlichen Funktion ist er zwar in erster Linie Betriebsratsmitglied wie die anderen Gremiumsmitglieder. Er übt die gesetzlich zugewiesenen Befugnisse und Pflichten des Betriebsrats weder als Bevollmächtigter noch als gesetzlicher Vertreter an dessen Stelle aus (Fitting BetrVG 31. Aufl. § 26 Rn. 21 f.). Gemäß § 26 Abs. 2 Satz 1 BetrVG vertritt der Betriebsratsvorsitzende den Betriebsrat im Rahmen der von ihm gefassten Beschlüsse. Zudem ist er zur Entgegennahme von dem Betriebsrat gegenüber abzugebenden Erklärungen berechtigt (§ 26 Abs. 2 Satz 2 BetrVG). Damit fungiert er nicht als Vertreter im Willen, sondern als Vertreter in der Erklärung (BAG 8. Februar 2022 - 1 AZR 233/21 - Rn. 27; 19. März 2003 - 7 ABR 15/02 - zu II 2 b der Gründe, BAGE 105, 311). 38
- bb)Diese aufgabenbezogene Kommunikation des Betriebsratsvorsitzenden stellt die funktionelle Unabhängigkeit als Datenschutzbeauftragter und damit die Gewährleistung des Datenschutzes in Frage. Indem der Betriebsratsvorsitzende im Rahmen und aufgrund der Beschlüsse des Betriebsrats vom Arbeitgeber die Übermittlung personenbezogener Arbeitnehmerdaten verlangt und gegebenenfalls die Schutzvorkehrungen darlegt, die der Betriebsrat zur Wahrung berechtigter Interessen der betroffenen Arbeitnehmer beschlossen hat, vertritt er nach außen die Interessen des Betriebsrats. Bei gleichzeitiger Wahrnehmung der Funktion eines Datenschutzbeauftragten müsste er in identischer Angelegenheit - neutral und allein dem Datenschutz verpflichtet - überprüfen, ob Auskunftsersuchen und beschlossene Schutzvorkehrungen datenschutzrechtlichen Vorgaben genügen, und den Arbeitgeber insoweit uU datenschutzrechtlich beraten. Die dazu erforderliche Gewähr für Neutralität und Distanz zu dem Auskunftsverlangen des Betriebsrats weist er - strukturell bedingt - nicht auf, weil er einerseits durch den Beschluss des Betriebsrats gebunden und andererseits dem zwingenden Datenschutz verpflichtet ist. Dieser Interessenkonflikt beeinträchtigt die funktionelle Unabhängigkeit des Datenschutzbeauftragten und gefährdet die Wirksamkeit datenschutzrechtlicher Regelungen, sodass er den Arbeitgeber zum Widerruf der Bestellung berechtigt. 39 III. Der gegen die Abberufung als Datenschutzbeauftragter vom 25. Mai 2018 gerichtete Klageantrag zu 2. fällt dem Senat nicht zur Entscheidung an. Hierbei handelt es sich um einen unechten Hilfsantrag für den Fall, dass der vorrangige Widerruf der Bestellung zum Datenschutzbeauftragten vom 1. Dezember 2017 für unwirksam erachtet werden sollte. 40 IV. Als unterlegene Partei hat der Kläger die Kosten des Rechtsstreits zu tragen (§ 91 Abs. 1 ZPO). Kiel Suckow Zimmermann Leitner Stang http://www.rechtsprechung-im-internet.de/jportal/?quelle=jlink&docid=jb-KARE600066736&psml=bsjrsprod.psml&max=true Deutschland deutsch BMJV public