Vorsicht vor allzu schlanken Datenschutz-Lösungen
Mit welchem Vorgehen des Arbeitgebers Sie als Betriebsrat rechnen müssen und wie Sie am besten ragieren sollten, schildert Ihnen Prof. Dr. Peter Wedde anhand eines Beispiels:
Beispiel aus der Praxis
In einem Unternehmen hat der Arbeitgeber dem Gesamtbetriebsrat jüngst eine überarbeitete Fassung der geltenden IT-Rahmenvereinbarung vorgelegt, verbunden mit dem Hinweis, dass es sich nur um Anpassungen handelt, die wegen der neuen Datenschutz-Grundverordnung (DSGVO) unumgänglich sind.
Unter der Überschrift »Datenschutz der Beschäftigten« heißt es im vorgelegten Entwurf beispielsweise »Diese Vereinbarung ist Rechtsgrundlage für die Verarbeitung aller Beschäftigtendaten nach Art. 88 i.V.m. §26 BDSG n.F. sowie für die Verarbeitungen zur Wahrung berechtigter Interessen des Unternehmens nach Art. 6 Abs. 1 Buchstabe f) DSGVO«.
Unter der Überschrift »Speicherdauer« wurden verbindlich festgelegte Löschfristen gestrichen und durch die Formulierung »Gesetzliche Vorgaben zur Löschung sind zu beachten.« ersetzt.
Betriebrat lehnt Neufassung der Vereinbarung ab
Weil der Arbeitgeber auf Nachfrage den Nachweis schuldig geblieben ist, die Änderungen aufgrund der DSGVO tatsächlich zwingend sind, hat der Gesamtbetriebsrat die Neufassung abgelehnt. Diese Entscheidung war richtig.
Keine notwendige Anpassung
Die neue Formulierung zum »Datenschutz der Beschäftigten« ist nämlich keine notwendige Anpassung, sondern eine Art auslegbare Generalklausel, die dem Arbeitgeber die Verarbeitung von Beschäftigtendaten im weiten Umfang erlauben würde.
Vorteile liegen nur beim Arbeitgeber
Die Einbeziehung »berechtigter Interessen« geht über die Erforderlichkeit von Verarbeitungen für Zwecke des Arbeitsverhältnisses hinaus. Der Verweis auf »gesetzliche Vorgaben« zur Löschung ist völlig unbestimmt und kann vereinbarte zeitliche Grenzen nicht ersetzen. Damit liegen hier alle Vorteile beim Arbeitgeber, der sich die Rosinen aus der DSGVO herausgepickt hat.
Völlig vergessen hat der Arbeitgeber hingegen die Verankerung der umfassenden Schutzanforderungen im Entwurf, die die DSGVO zugunsten von Beschäftigten enthält. Hierzu gehören beispielsweise die Grundsätze in Art. 5 Abs. 1 DSGVO wie etwa die Notwendigkeit der Transparenz jeglicher Verarbeitung oder die Sicherung der Datenminimierung durch Pseudonymisierung oder Verschlüsselung.
Recht auf Vergessenwerden
Auch weitere Vorgaben wie etwa die Verpflichtung zum Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen gemäß Art. 25 DSGVO, die Notwendigkeit der transparenten, verständlichen und leicht zugänglichen Form der Information der Beschäftigte über jede Verarbeitung gemäß Art. 12 Abs. 1 DSGVO oder die Absicherung des »Rechts auf Vergessenwerden« gemäß Art. 17 DSGVO müssen sich in neu gefassten Betriebsvereinbarungen niederschlagen. Ihre Verankerung ist aber mehr als nur eine redaktionelle Anpassung und macht im Regelfall eine aufwändige Neuverhandlung von Vereinbarungen unumgänglich.
Experten-Tipp für Betriebsräte
Wollen Betriebsräte diesen Weg gehen, sollten sie sich vorher gut darüber informieren, welche neuen Gestaltungsspielräume ihnen das kommende Datenschutzrecht bietet. Halten sie bestehende Betriebsvereinbarungen für ausreichend, sollten sie dem Gesamtbetriebsrat aus diesem Beispiel folgen und nichts beschließen, von dem sie inhaltlich nicht überzeugt sind.
Mehr Informationen
Mehr zum Thema lesen Sie hier im Interview mit Prof. Dr. Peter Wedde.
Der Autor:
Dr. Peter Wedde
