Top-Themen im Datenschutz:
Betriebsräte verarbeiten sensible Beschäftigtendaten und brauchen klare Regeln. Ein externer Datenschutzbeauftragter erklärt Rechtslage, Zuständigkeiten und Pflichten im Betriebsratsbüro verständlich und rechtssicher.
Nein, der Betriebsrat muss keinen eigenen Datenschutzbeauftragten benennen. Zuständig ist der DSB des Unternehmens, denn nach § 79a Satz 2 BetrVG ist der Arbeitgeber der Verantwortliche. Der Betriebsrat kann den DSB beraten lassen (Art. 39 Abs. 1 lit. a DSGVO), der Betriebsratsvorsitzende darf diese Rolle in der Regel nicht selbst übernehmen. Dabei schützt § 79a Satz 4 BetrVG das Gremium: Der Datenschutzbeauftragte muss gegenüber dem Arbeitgeber schweigen, wenn Informationen Rückschlüsse auf die Meinungsbildung des Betriebsrats zulassen. Ein Datenschutzbeauftragter für den Betriebsrat ist in der Praxis also der Datenschutzbeauftragte des Unternehmens, der beide Seiten neutral berät.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenDer Betriebsrat überwacht, ob der Arbeitgeber die Datenschutzvorschriften einhält (§ 80 Abs. 1 Nr. 1 BetrVG). Gleichzeitig verarbeitet er selbst sensible Beschäftigtendaten, etwa bei Personalmaßnahmen, im Gesundheitsschutz oder bei Beschwerden. Beim Thema Betriebsrat und Datenschutz gilt deshalb ein doppelter Maßstab. Seit dem Betriebsrätemodernisierungsgesetz von 2021 regelt § 79a BetrVG zum Datenschutz die Verantwortlichkeit: Der Betriebsrat muss DSGVO und BDSG beachten, Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist nach § 79a Satz 2 BetrVG der Arbeitgeber. Beide unterstützen sich gegenseitig bei der Einhaltung der Datenschutzvorschriften. Datenschutz für Betriebsräte heißt damit: eigene Sorgfalt im Betriebsratsbüro und enge Abstimmung mit dem Arbeitgeber.
In der Regel nicht. Laut dem BAG-Urteil vom 6. Juni 2023 (9 AZR 383/19, BAG-Pressemitteilung 27/23) ist der Betriebsratsvorsitz mit der Aufgabe des Datenschutzbeauftragten regelmäßig unvereinbar. Der Betriebsrat legt per Beschluss selbst Zwecke und Mittel der Datenverarbeitung fest. Wer das Gremium leitet, würde sich als Datenschutzbeauftragter selbst überwachen. Zuvor hatte der EuGH am 9. Februar 2023 (C-453/21) entschieden, dass ein Interessenkonflikt droht, wenn der Datenschutzbeauftragte Zwecke und Mittel der Verarbeitung festlegt. Maßgeblich sind die Umstände des Einzelfalls. Bei einfachen Betriebsratsmitgliedern ließ das BAG die Frage offen.
Beim Vergleich von externem und internem Datenschutzbeauftragten spricht für die externe Lösung: Sie vermeidet den typischen Konflikt, weil der Externe weder dem Gremium angehört noch Zwecke und Mittel der Verarbeitung im Unternehmen festlegt.
Nutzen Sie unsere Expertise in verschiedenen Branchen, um Datenschutz in Ihrem Unternehmen zum Wettbewerbsvorteil zu machen.
Im Verhältnis von Betriebsrat und Datenschutzbeauftragtem ist das nicht abschließend geklärt. Das Bundesarbeitsgericht verneinte früher ein Kontrollrecht (Beschluss vom 11. November 1997 – 1 ABR 21/97), weil es den Datenschutzbeauftragten dem Arbeitgeberlager zuordnete. Die Gesetzesbegründung zu § 79a BetrVG verweist dagegen auf Art. 38 und 39 DSGVO, und die Landesbeauftragte für den Datenschutz Niedersachsen zählt die Datenverarbeitung des Betriebsrats in ihrer FAQ für Betriebsräte (Stand Juni 2020) zur Überwachungsaufgabe des Datenschutzbeauftragten.
Unstrittig ist die Beratung nach Art. 39 DSGVO. Praktisch bewährt sich ein Datenschutzkoordinator im Gremium, der die Abstimmung mit dem Datenschutzbeauftragten bündelt und die Vertraulichkeit sicherstellt.
Beim Beschäftigtendatenschutz darf der Betriebsrat Daten nur verarbeiten, soweit er sie für seine gesetzlichen Aufgaben braucht. Grundlage sind die Vorschriften des Betriebsverfassungsgesetzes in Verbindung mit Art. 6 und 9 DSGVO. Ergänzend können Betriebsvereinbarungen den Umgang regeln (Art. 88 DSGVO, § 26 Abs. 4 BDSG). Daten dienen ausschließlich konkreten, mandatsbezogenen Zwecken, und nur Betriebsratsmitglieder erhalten Zugriff. Für den Datenschutz im Betriebsrat sind vier Bereiche besonders wichtig: besondere Datenkategorien, Informationspflichten, die Löschung und ein schriftliches Datenschutzkonzept.
Der Betriebsrat verarbeitet regelmäßig Gesundheitsdaten, etwa im Arbeits- und Gesundheitsschutz oder im Betrieblichen Eingliederungsmanagement (BEM). Für diese besonderen Kategorien gilt Art. 9 DSGVO mit erhöhten Schutzanforderungen. In der Praxis heißt das: Unterlagen getrennt und verschlossen aufbewahren, den Zugriff auf zuständige Mitglieder begrenzen und Daten nicht an Außenstehende weitergeben. Eine Weitergabe außerhalb des Gremiums braucht eine Rechtsgrundlage, zum Beispiel die Einwilligung der betroffenen Person.
Beschäftigte müssen erfahren, wer ihre Daten zu welchem Zweck verarbeitet (Art. 13 und 14 DSGVO). Der Betriebsrat liefert dem Arbeitgeber dafür die nötigen Angaben zu seinen Verarbeitungen. Dazu gehören die Angaben für das Verzeichnis der Verarbeitungstätigkeiten und die Informationen für Datenschutz-Folgenabschätzungen. Datenpannen meldet der Betriebsrat unverzüglich (Art. 33 DSGVO). Besonders sensibel ist die Öffentlichkeitsarbeit: Fotos von Beschäftigten auf der Homepage, im Intranet oder in sozialen Medien erfordern in der Regel eine dokumentierte Einwilligung, die jederzeit widerrufen werden kann (Art. 7 Abs. 3 DSGVO).
Ein Löschkonzept im Datenschutz legt fest, wann und wie der Betriebsrat Daten sicher löscht, die er nicht mehr braucht. Feste gesetzliche Fristen gibt es meist nicht; Daten dürfen bleiben, solange sie erforderlich sind. Als Praxisrichtwerte, die der Betriebsrat mit dem Löschkonzept des Arbeitgebers abstimmt, gelten:
Löschklassen bilden, Löschfristen festlegen, Löschungen protokollieren: Die ausfüllbare Excel-Vorlage enthält Beispiel-Löschklassen, ein Feldschema für Löschregeln, eine Fristen-Referenz und ein Löschprotokoll. Kostenlos als Download.
Ein Datenschutzkonzept bündelt die Regeln des Gremiums an einer Stelle: Zuständigkeiten, Zugriffsrechte, Aufbewahrung, Löschfristen und den Umgang mit Anfragen von Beschäftigten. Betriebsräte verankern es idealerweise in der Geschäftsordnung oder in einer Betriebsvereinbarung. So lässt sich nachweisen, dass der Betriebsrat seine Pflichten aus § 79a BetrVG ernst nimmt. Zu den Aufgaben des Datenschutzbeauftragten zählt es, das Gremium dazu gezielt zu beraten. Zugleich dient das Konzept als Grundlage für Schulungen im Gremium.
Ja. Die Geheimhaltungspflicht nach § 79 BetrVG verpflichtet Betriebsratsmitglieder, Betriebs- und Geschäftsgeheimnisse nicht zu offenbaren oder zu verwerten, wenn der Arbeitgeber sie ausdrücklich als geheimhaltungsbedürftig bezeichnet hat. Die Pflicht gilt auch nach dem Ausscheiden aus dem Gremium. Zusätzlich müssen Mitglieder über vertrauliche persönliche Verhältnisse von Beschäftigten schweigen, die ihnen bei personellen Maßnahmen bekannt werden (§ 99 Abs. 1 Satz 3 BetrVG). Die Schweigepflicht ergänzt den Datenschutz im Betriebsrat, ersetzt ihn aber nicht.
Cortina Consult stellt einen TÜV-zertifizierten externen Datenschutzbeauftragten, der Arbeitgeber und Betriebsrat neutral berät. Der externe DSB arbeitet weisungsfrei (Art. 38 Abs. 3 DSGVO) und berät Arbeitgeber und Betriebsrat neutral. Die Datenschutzberatung läuft in drei Phasen: Bestandsaufnahme, Projekt und regelmäßige Umsetzung. Dahinter stehen fünf feste Schritte:
Die Pauschalpakete des externen Datenschutzbeauftragten starten ab 125 € pro Monat und enthalten ein Datenschutzmanagementsystem, E-Learning für Mitarbeitende, einen persönlichen Ansprechpartner sowie Website- und Social-Media-Monitoring. Cortina Consult berät Geschäftsleitung und Betriebsrat aus einer Hand, mit TÜV-zertifizierten Beratern und zehn Jahren Erfahrung im Datenschutz.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen