Das Symptom
Die IT soll für den Betriebsrat ein eigenes Laufwerk und ein gemeinsames Postfach einrichten. Kaum ist die Anfrage da, beginnt der Streit über Zuständigkeiten. Der Betriebsrat erklärt, er sei für seine Daten selbst verantwortlich, der Arbeitgeber habe damit nichts zu tun und solle die Technik bereitstellen und sich dann heraushalten. Die Geschäftsleitung sieht es spiegelbildlich: Was der Betriebsrat speichert, sei sein Problem, für Pannen dort hafte man nicht.
Ein paar Monate später fragt eine Beschäftigte, welche Daten über sie gespeichert sind, und ein Teil davon liegt in den Unterlagen des Betriebsrats. Die Personalabteilung verweist auf den Betriebsrat, der Betriebsrat auf die Personalabteilung. Und als die Geschäftsleitung den Datenschutzbeauftragten bittet, sich die Ablage des Betriebsrats einmal anzusehen und zu berichten, was dort so vorbereitet wird, ist das Durcheinander komplett.
Die „Layer 8“-Wahrheit
Beide Seiten haben mit ihrem Bild nur halb recht, und das Gesetz löst den Streit in fünf Sätzen. Seit es § 79a BetrVG gibt, ist die Frage der Verantwortlichkeit entschieden: Soweit der Betriebsrat für seine Aufgaben personenbezogene Daten verarbeitet, ist der Arbeitgeber „der für die Verarbeitung Verantwortliche im Sinne der datenschutzrechtlichen Vorschriften“. Der Betriebsrat ist keine eigene verantwortliche Stelle. Die Haltung der Geschäftsleitung, das gehe sie nichts an, ist damit nicht zu halten.
Die Haltung des Betriebsrats aber auch nicht, denn schon der erste Satz sagt: „Bei der Verarbeitung personenbezogener Daten hat der Betriebsrat die Vorschriften über den Datenschutz einzuhalten.“ Verantwortlichkeit und Pflicht fallen hier auseinander, und der dritte Satz verbindet sie: Arbeitgeber und Betriebsrat unterstützen sich gegenseitig. Für die Technik heißt das, dass Ablage, Postfach und Zugriffsrechte gemeinsam geplant werden müssen, statt dass eine Seite liefert und die andere schweigt.
Dass die Verantwortung beim Arbeitgeber liegt, gibt ihm trotzdem keinen Freibrief, in den Beratungen des Betriebsrats zu lesen. Der vierte Satz verpflichtet die Datenschutzbeauftragte oder den Datenschutzbeauftragten gegenüber dem Arbeitgeber zur Verschwiegenheit „über Informationen, die Rückschlüsse auf den Meinungsbildungsprozess des Betriebsrats zulassen“. Die Bitte der Geschäftsleitung, mal zu berichten, was der Betriebsrat vorbereitet, richtet sich also an jemanden, dem genau das untersagt ist.
Für die Beschäftigte mit ihrer Anfrage folgt daraus eine klare Adresse: den Arbeitgeber als Verantwortlichen, der dafür die Unterstützung des Betriebsrats braucht und bekommen muss. Das Pingpong zwischen Personalabteilung und Betriebsrat ist kein Datenschutz, sondern das Gegenteil davon. Gilt das alles auch in der Kommune nebenan? Nein: Nach § 130 findet das Betriebsverfassungsgesetz auf Verwaltungen und Betriebe des öffentlichen Rechts keine Anwendung; dort gelten eigene Regeln für die Personalvertretung.