Zweckbindung: Zweck und Mittel unterscheiden

Ein häufiger Fehler besteht darin, Zweck und Mittel miteinander zu verwechseln. „Auswertungen und Reports“ sind kein Zweck, sondern eine Methode der Verarbeitung, also ein Mittel – zu welchem Zweck diese Auswertungen erstellt werden, bleibt dabei offen. Ebenso wäre „Dokumentation der Vorgänge“ als Zweckbestimmung falsch, weil auch die Dokumentation selbst nur eine Art der Verarbeitung ist; zu bestimmen ist, wozu überhaupt dokumentiert werden soll. Ebenso unzureichend wären Formulierungen wie „allgemeine betriebswirtschaftliche Auswertungen“, „Erfüllung berechtigter Interessen des Arbeitgebers“ oder „Aufgaben der Personalwirtschaft“ – in allen Fällen bleibt unklar, welches konkrete Interesse oder welche konkrete Aufgabe gemeint ist. „Legitim“ schließlich bedeutet, dass der Zweck ein Interesse repräsentieren muss, das nach billigem Ermessen berechtigt ist; der Verantwortliche muss also gegebenenfalls seine eigenen Interessen durch eine neutrale Brille betrachten. Das gelingt ihm nicht immer, weshalb als Korrektiv die Aufsichtsbehörde, der Datenschutzbeauftragte und nicht zuletzt die Arbeitnehmervertretung vorgesehen sind. Zwar bestimmt der Betriebsrat über den Datenschutz nicht mit, aber er übt dennoch eine Kontrollfunktion aus und kann insofern Einfluss nehmen – nur eben nichts erzwingen.

Ein wesentlicher Unterschied zwischen der datenschutzrechtlichen und der mitbestimmungsrechtlichen Betrachtung besteht darin, dass es beim Datenschutz auf den Zweck der Verarbeitung ankommt, nicht darauf, mit welchem technischen System dieser Zweck verwirklicht wird – deshalb ist beim Datenschutz auch von einer „Verarbeitungstätigkeit“ die Rede, nicht von einer „technischen Einrichtung“. Aus Sicht des Datenschutzes ist es grundsätzlich gleichgültig, ob ein bestimmter Zweck mit Excel, Access, Oracle, SAP oder einem anderen System verwirklicht wird; entscheidend ist nur, dass die Datenschutzbestimmungen eingehalten werden. Das ist der modernere Ansatz gegenüber § 87 Abs. 1 Nr. 6 BetrVG – ein Unterschied, den man als Betriebsrat im Blick behalten sollte: Die Kontroll- und Auskunftsrechte beim Datenschutz beziehen sich auf den Zweck, etwa „Zeiterfassung“ oder „Dienstplanung“, nicht auf „Excel“ oder „SAP“.