Datenschutz ohne Überwachung: Folgen für die Arbeitnehmervertretung

Zwar handelt es sich um eine Verarbeitung personenbezogener Daten – ob die datenschutzrechtlich zulässig ist, steht auf einem anderen Blatt –, aber es fehlt der Bezug zum Verhalten oder erst recht zur Leistung der Arbeitnehmer: Es ist kein „Tun“, auf einer Liste genannt zu sein, und selbst wenn man den Umstand, dort genannt zu sein, mit einem Tun begründen wollte, ist der bloße Namensabgleich selbst keine Kontrolle des Verhaltens. Deshalb erkennt das Bundesarbeitsgericht hier zu Recht kein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Der Begriff der „Verarbeitung“ selbst ist denkbar weit gefasst: Nach Art. 4 Nr. 2 DSGVO ist Verarbeitung jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten wie das Erheben, Erfassen, Speichern, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Unter die Verarbeitung fällt also alles, was mit personenbezogenen Daten geschehen kann, bis hin zum Löschen; die früher gebräuchliche Unterscheidung zwischen „Erhebung, Verarbeitung und Nutzung“ ist inzwischen aufgegeben.

Verantwortlich im Sinne der DSGVO ist regelmäßig die juristische Person, Organisation oder Stelle – meist das Unternehmen oder der Konzern, je nachdem, wo über Zwecke und Mittel einer bestimmten Verarbeitung entschieden wird; unter Umständen ist auch der örtliche Betrieb selbst Verantwortlicher, wenn dort eine entsprechende Entscheidungskompetenz besteht.