Datenschutz und Betriebsrat: Rechte, Pflichten und Mitbestimmung

Datenschutz betrifft Sie als Betriebsrat doppelt: Sie kontrollieren den Arbeitgeber und tragen im eigenen Gremium Verantwortung für sensible Beschäftigtendaten. Von der Zeiterfassung über die Personalakte bis zur neuen Software greift der Datenschutz am Arbeitsplatz in fast jede Maßnahme ein.

Dieser Artikel zeigt Ihnen, wo Sie mitbestimmen, welche Daten der Arbeitgeber erheben darf und wie Sie Ihr eigenes Büro rechtssicher organisieren.

Welche Rolle hat der Betriebsrat beim Datenschutz?

Sie haben beim Datenschutz zwei Aufgaben, die zusammengehören. Erstens überwachen Sie, ob der Arbeitgeber die geltenden Vorschriften einhält. Nach § 80 Abs. 1 BetrVG gehört es zu Ihren allgemeinen Aufgaben, über die Einhaltung von Gesetzen zugunsten der Beschäftigten zu wachen, dazu zählen die DSGVO und das Bundesdatenschutzgesetz. Diese Schutzfunktion knüpft an Ihre Grundaufgabe nach § 5 BetrVG an.

Zweitens verarbeiten Sie selbst personenbezogene Daten, etwa bei Beschwerden, Kündigungsanhörungen oder Sozialauswahl. Auch dabei gelten die Datenschutzregeln. Der Datenschutz beim Betriebsrat ist also kein Randthema, sondern Teil fast jeder Entscheidung im Gremium.

Mitbestimmung beim Beschäftigtendatenschutz

Ihr stärkstes Werkzeug ist das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Es greift bei der Einführung und Anwendung technischer Einrichtungen, die dazu geeignet sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen. Entscheidend ist die bloße Eignung zur Überwachung, nicht die Absicht des Arbeitgebers. Ohne Ihre Zustimmung darf eine solche Einrichtung nicht in Betrieb gehen.

Die rechtliche Grundlage für den Umgang mit Beschäftigtendaten liefert § 26 BDSG: Daten dürfen nur erhoben werden, soweit das für Zwecke des Beschäftigungsverhältnisses erforderlich ist. Über allem steht das Verbotsprinzip mit Erlaubnisvorbehalt nach Art. 6 DSGVO: Jede Verarbeitung braucht eine Rechtsgrundlage. Dazu kommen der Zweckbindungsgrundsatz und der Erforderlichkeitsgrundsatz, der immer die mildeste geeignete Maßnahme verlangt.

Wann Ihr Mitbestimmungsrecht greift

Die Mitbestimmung beim Mitarbeiterdatenschutz erstreckt sich über drei Phasen: die Erhebung der Daten, ihre Verarbeitung und ihre Nutzung. In jeder Phase können Sie mitreden. Typische Fälle aus der Praxis sind Telefonanlagen, Zeiterfassung, Zielvereinbarungs- und Entgeltsysteme, Personalplanung sowie Software, die Leistungsdaten sammelt.

Praxisbeispiel: Der Arbeitgeber will ein neues CRM-System einführen, das jeden Kundenkontakt pro Mitarbeiter protokolliert. Weil sich damit Leistung messen lässt, greift Ihr Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Sie regeln Zweck, Zugriff und Löschung in einer Betriebsvereinbarung, bevor das System startet. Die gleiche Logik gilt für jede Mitbestimmung des Betriebsrats bei digitalen Systemen und beim Einsatz von Künstlicher Intelligenz im Betrieb.

Betriebsvereinbarung als Rechtsgrundlage

Eine Betriebsvereinbarung ist mehr als eine Formsache. Nach Art. 88 DSGVO kann sie selbst die Rechtsgrundlage für eine Datenverarbeitung sein. Prüfen Sie bestehende Vereinbarungen kritisch: Verdeckte Überwachung, fehlende Löschfristen, intransparente Abläufe und Speicherung auf Vorrat halten der DSGVO nicht stand und müssen angepasst werden.

Ihr Kontroll- und Auskunftsrecht gegenüber dem Arbeitgeber

Damit Sie Ihre Aufgabe erfüllen können, muss der Arbeitgeber Sie nach § 80 Abs. 2 BetrVG rechtzeitig und umfassend informieren. Das gilt gerade bei neuer Technik: Er muss Ihnen erklären, welche Daten ein System erhebt, wer darauf zugreift und wie lange gespeichert wird.

Fehlt Ihnen das nötige Fachwissen, haben Sie zwei Hebel. Nach § 37 Abs. 6 BetrVG steht Ihnen eine Schulung zu, wenn ein neues System eingeführt wird. Reicht das nicht, können Sie einen Sachverständigen hinzuziehen. So begegnen Sie dem Arbeitgeber beim Datenschutz am Arbeitsplatz auf Augenhöhe. Das Seminar Datenschutz und Arbeitnehmerüberwachung Teil 1 vermittelt genau dieses Handwerkszeug.

Datenschutz im Betriebsratsbüro

Im eigenen Büro sind Sie selbst in der Pflicht. Nach § 75 Abs. 2 BetrVG schützen Sie die Persönlichkeitsrechte der Beschäftigten, und nach § 80 Abs. 1 BetrVG wachen Sie über die Einhaltung der Schutzvorschriften. Praktisch heißt das: Datensparsamkeit und Zweckbindung. Verarbeiten Sie nur Daten, die Sie für eine konkrete Aufgabe brauchen.

Ordnen Sie Ihr Büro so, dass sensible Unterlagen sicher liegen. Bewahren Sie personenbezogene Daten nur so lange auf, wie es die Aufgabe verlangt, und vernichten Sie sie danach nachweisbar. Diese Sorgfalt gilt auch für Daten aus der Personalakte, in die Sie im Rahmen personeller Maßnahmen Einblick nehmen.

Praxisbeispiel: Nach einer abgeschlossenen Kündigungsanhörung liegen Bewerbungs- und Leistungsunterlagen im BR-Schrank. Sie prüfen, welche Unterlagen Sie noch benötigen, und vernichten den Rest über den Aktenschredder. Was Sie behalten, dokumentieren Sie mit dem Grund der Speicherung.

Ist der Betriebsrat verantwortliche Stelle?

Diese Frage war lange umstritten und ist seit 2021 geklärt. Nach § 79a BetrVG ist der Arbeitgeber der Verantwortliche im Sinne der DSGVO, auch für die Daten, die der Betriebsrat zur Erfüllung seiner Aufgaben verarbeitet. Betriebsrat und Arbeitgeber unterstützen sich dabei gegenseitig. Bei der Bestellung eines betrieblichen Datenschutzbeauftragten haben Sie nach § 99 BetrVG ein Beteiligungsrecht und können die Zustimmung verweigern, wenn die fachliche Eignung fehlt. Ein Datenschutzbeauftragter ist für den Betriebsrat ein wichtiger Ansprechpartner, unterliegt gegenüber dem Gremium aber denselben Grenzen wie gegenüber jeder anderen Stelle. Ab 20 Personen, die ständig personenbezogene Daten verarbeiten, ist ein Datenschutzbeauftragter nach § 38 BDSG Pflicht.

Geheimhaltungspflicht nach § 79 BetrVG

Als Mitglied und auch als Ersatzmitglied des Betriebsrats unterliegen Sie der Geheimhaltungspflicht nach § 79 BetrVG. Betriebs- und Geschäftsgeheimnisse, die Ihnen wegen Ihres Amtes bekannt werden und die der Arbeitgeber ausdrücklich als geheimhaltungsbedürftig bezeichnet hat, dürfen Sie nicht weitergeben. Diese Pflicht gilt auch nach dem Ende Ihrer Amtszeit weiter.

Die Geheimhaltung schützt zugleich die Beschäftigten: Persönliche Informationen aus Beratungen bleiben im Gremium. Ein Verstoß kann arbeitsrechtliche Folgen haben und im Einzelfall sogar strafbar sein. Halten Sie deshalb Unterlagen unter Verschluss und sprechen Sie über sensible Fälle nur im Kreis der Zuständigen.

Datenschutz beim betrieblichen Eingliederungsmanagement

Beim betrieblichen Eingliederungsmanagement gelten besonders strenge Regeln. Der Arbeitgeber muss ein BEM nach § 167 SGB IX anbieten, wenn ein Beschäftigter innerhalb eines Jahres länger als sechs Wochen arbeitsunfähig war. Dabei fallen Gesundheitsdaten an, also besonders schutzwürdige Daten.

Achten Sie auf vier Punkte: Der Beschäftigte wird vorab über Umfang und Zugriff der Daten informiert, der Kreis der zugriffsberechtigten Personen bleibt klein, die Gesundheitsdaten werden getrennt gespeichert, und der Beschäftigte willigt ausdrücklich in die Verarbeitung ein. Ohne diese Einwilligung darf kein BEM-Verfahren mit Gesundheitsdaten laufen.

Verstöße, Bußgelder und arbeitsrechtliche Folgen

Datenschutzverstöße sind teuer. Nach Art. 83 DSGVO drohen Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Das Bußgeld trifft in der Regel den Arbeitgeber als verantwortliche Stelle.

Für einzelne Beschäftigte und Betriebsratsmitglieder kann ein schwerer Verstoß arbeitsrechtliche Konsequenzen haben, bis hin zur fristlosen Kündigung nach § 626 BGB. Heimliche Kontrollen sind grundsätzlich unzulässig, eine Ausnahme gilt nur bei einem konkreten Verdacht auf schwere Pflichtverletzungen wie Diebstahl. Bei der Datenauswertung durch den Arbeitgeber gilt: Anonymisierte Auswertungen haben Vorrang, und auch Standard- wie dynamische Auswertungen unterliegen Ihrem Mitbestimmungsrecht.

Häufige Fragen zum Datenschutz im Betriebsrat

Hat der Betriebsrat ein Mitbestimmungsrecht beim Datenschutz?

Ja. Sie bestimmen nach § 87 Abs. 1 Nr. 6 BetrVG bei allen technischen Einrichtungen mit, die Verhalten oder Leistung der Beschäftigten überwachen können. Ohne Ihre Zustimmung darf der Arbeitgeber solche Systeme nicht einführen.

Ist der Betriebsrat für den Datenschutz verantwortlich?

Nein, nicht als eigene verantwortliche Stelle. Nach § 79a BetrVG ist der Arbeitgeber der Verantwortliche im Sinne der DSGVO, auch für die Daten, die Sie im Gremium verarbeiten. Trotzdem müssen Sie die Datenschutzregeln einhalten.

Welche Geheimhaltungspflichten hat der Betriebsrat nach § 79 BetrVG?

Als Betriebsratsmitglied dürfen Sie Betriebs- und Geschäftsgeheimnisse, die der Arbeitgeber ausdrücklich als geheim bezeichnet hat, nicht weitergeben. Diese Pflicht nach § 79 BetrVG gilt auch nach dem Ende Ihrer Amtszeit.

Hat der Betriebsrat bei neuer Software ein Mitbestimmungsrecht in Sachen Datenschutz?

Ja, sobald die Software geeignet ist, Leistung oder Verhalten zu erfassen. Das reicht bereits aus, eine tatsächliche Überwachungsabsicht muss nicht vorliegen. Regeln Sie Zweck, Zugriff und Löschung in einer Betriebsvereinbarung.

Welche Beschäftigtendaten darf der Arbeitgeber erheben?

Nur Daten, die für das Beschäftigungsverhältnis erforderlich sind (§ 26 BDSG). Zulässig sind etwa Arbeitszeit- und Abwesenheitsdaten. Beim Beschäftigtendatenschutz gilt immer die mildeste geeignete Maßnahme.

Darf der Arbeitgeber Mitarbeiter heimlich überwachen?

Grundsätzlich nein. Heimliche Kontrollen sind unzulässig. Eine Ausnahme gilt nur bei einem konkreten Verdacht auf schwere Pflichtverletzungen wie Diebstahl, und auch dann nur als letztes Mittel.

Was gilt für Daten in der Personalakte?

Beim Datenschutz zur Personalakte gilt strenge Zweckbindung. Sie dürfen als Betriebsrat nur im Rahmen einer konkreten personellen Maßnahme Einblick nehmen und die Informationen nicht für andere Zwecke nutzen.

Wer ist Datenschutzbeauftragter und hat der Betriebsrat ein Mitspracherecht?

Ab 20 Personen, die ständig personenbezogene Daten verarbeiten, ist ein Datenschutzbeauftragter Pflicht (§ 38 BDSG). Bei der Bestellung hat der Betriebsrat nach § 99 BetrVG ein Beteiligungsrecht. Ein Datenschutzbeauftragter ist für den Betriebsrat zugleich ein wichtiger Ansprechpartner.

Welche Datenschutzregeln gelten beim BEM?

Beim BEM verarbeiten Sie besonders schutzwürdige Gesundheitsdaten. Der Beschäftigte muss vorab informiert werden und ausdrücklich einwilligen. Die Daten werden getrennt gespeichert und nur wenigen Personen zugänglich gemacht (§ 167 SGB IX).

Welche Strafen drohen bei Verstößen gegen die DSGVO?

Nach Art. 83 DSGVO sind Bußgelder bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes möglich. Das Bußgeld trifft in der Regel den Arbeitgeber als verantwortliche Stelle.

Wo ist der Datenschutz für den Betriebsrat geregelt?

Die zentralen Regeln stehen in der DSGVO, im BDSG und im Betriebsverfassungsgesetz, vor allem in den §§ 80, 87 und 75 BetrVG sowie in § 26 BDSG.

Sicher entscheiden beim Datenschutz

Der Mitarbeiterdatenschutz ist eines Ihrer stärksten Mitbestimmungsfelder und zugleich eine Pflicht im eigenen Büro. Mit klaren Betriebsvereinbarungen und einem geordneten Umgang mit Beschäftigtendaten schützen Sie die Kollegen und sich selbst.

Am besten gleich unseren Musterbrief downloaden: