Die Vertreter der Position, der zufolge eine Arbeitnehmervertretung nicht „Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DSGVO sei, begründen dies auch damit, dass sie ja ausschließlich gesetzliche Pflichten zu erfüllen und darüber hinaus keine eigenen Interessen hat. Demzufolge kann sie nicht selbst über die Zwecke entscheiden, sondern hat stets ausschließlich die Zwecke zu verfolgen, die das jeweilige Gesetz ihr aufgibt. Das trifft ohne Zweifel zu.

Andererseits kann eine Arbeitnehmervertretung durchaus über Zwecke der Verarbeitung personenbezogener Daten entscheiden. Sie ist ja darin frei, welche Aufgaben sie auf welche Weise erfüllt, und ob sie dafür Verfahren der Verarbeitung personenbezogener Daten zu Hilfe nimmt.

Z. B. kann eine Arbeitnehmervertretung ihre Aufgabe, die Einhaltung der anzuwendenden Schutzvorschriften zu überwachen, in unterschiedlicher Intensität und auf unterschiedliche Weise erfüllen. Der Betriebsrat eines Krankenhauses z. B. wird sich die Dienstpläne und die Ist-Arbeitszeiten sowie die Stände der Arbeitszeitkonten sicher sehr genau anschauen und ggf. auch Verstöße gegen Bestimmungen dokumentieren. Dies wird er kaum ohne die Verarbeitung personenbezogener Daten in erheblichem Umfang tun können. Andere Arbeitnehmervertretungen werden diese Aufgabe möglicherweise nur gelegentlich und stichprobenartig erfüllen. Also entscheidet eine Arbeitnehmervertretung durchaus darüber, ob sie für einen bestimmten (gesetzlichen) Zweck bestimmte Verarbeitungstätigkeiten durchführt oder nicht. Der Zweck rührt zwar aus dem jeweiligen Gesetz, aber ob und wie die Arbeitnehmervertretung für einen von ihr bestimmten Zweck personenbezogene Daten verarbeitet, entscheidet sie selbst.

Ein Betriebsrat, der Kunde von mir ist, hat z. B. festgestellt, dass sein Arbeitgeber es gelegentlich versäumt, die im dort geltenden Tarifvertrag bestimmte Regel, dass jeweils zwei Jahre nach einer Ein- oder Umgruppierung erneut geprüft werden muss, ob die Eingruppierung noch korrekt ist, zu erfüllen. Er hat sich deshalb zur Gewohnheit gemacht, bei jeder Eingruppierung und jeder Umgruppierung, an der er nach § 99 BetrVG beteiligt wird, einen Vermerk in einer Excel-Tabelle anzulegen, in dem er das Datum der Überprüfung und den betreffenden Arbeitnehmer festhält, um seiner Aufgabe aus § 80 Abs. 1 Nr. 1 BetrVG gerecht werden zu können. Dieser Zweck ist durchaus legitim (Art. 5 Abs. 1 lit. b DSGVO) und mit dem ursprünglichen Zweck vereinbar (Art. 6 Abs. 4 DSGVO), und die Verarbeitung auch rechtmäßig (Art. 6 Abs 1 lit. c DSGVO). Damit hat dieser Betriebsrat entschieden, personenbezogene Daten für einen bestimmten Zweck zu verarbeiten. Das kann und darf er, und daher ist das Merkmal, dass der Betriebsrat über den Zweck der Verarbeitung entscheidet, erfüllt.

Außerdem: Auch eine Behörde darf personenbezogene Daten stets ausschließlich zur Erfüllung ihrer gesetzlichen Aufgaben verarbeiten. Sie darf sich also genauso wenig wie Arbeitnehmervertretungen selbst eigene Zwecke „ausdenken“ und sie mithilfe personenbezogener Daten verwirklichen. Sind Behörden deshalb keine Verantwortlichen i. S. d. Art. 4 Nr. 7 DSGVO?

Fazit

Selbst wenn Arbeitnehmervertretungen hinsichtlich der Zwecke der Verarbeitung personenbezogener Daten auf ihre gesetzlichen Aufgaben beschränkt sind, können sie dennoch über die jeweiligen Verwendungszwecke der Verarbeitung personenbezogener Daten entscheiden.

Hier geht’s weiter…

Erfahren Sie mehr!

Das passende Seminar zu diesem Thema:

Datenschutz in der Arbeitnehmervertretung