ausgabe

aktuelles
Zeit zu handeln
AiB 7-8 | 2017
Arbeit, Gleichheit und Diversität am Arbeitsplatz,
Gesundheit und Sicherheit am Arbeitsplatz
oder Schutz des Eigentums der Arbeitgeber
oder der Kunden. Nach Artikel 88 Abs. 2
DSGVO müssen Regelungen zum Beschäftigtendatenschutz
angemessene und besondere
Maßnahmen zur Wahrung der menschlichen
Würde, der berechtigten Interessen und der
Grundrechte der betroffenen Person beinhalten.
Hierzu können auch Vorgaben für die
Übermittlung personenbezogener Daten innerhalb
eines Konzerns gehören.
Ungeregelt lässt Artikel 88 DSGVO das in
der Praxis wichtige Thema der datenschutzrechtlichen
Zulässigkeit der unternehmensübergreifenden
Datenübermittlung in Konzernen.
Damit gilt für diese Fälle weiterhin,
dass entweder eine Auftragsdatenverarbeitung
vereinbart ist oder dass diese Datenübermittlungen
durch eine Betriebsvereinbarung oder
durch eine individuelle Einwilligung legitimiert
werden. Problematisch ist, dass Artikel
88 Abs. 1 Satz 1 DSGVO die Möglichkeit
schafft, spezifische Regelungen zum Datenschutz
durch Kollektivvereinbarungen festzulegen.
Solange es kein einschlägiges »Mitbestimmungsrecht
zum Datenschutz« gibt,
können Betriebsräte diese Möglichkeit nicht
im Rahmen eines Initiativrechts ausfüllen. Keine
echte Verbesserung zum Thema Beschäftigtendatenschutz
beinhaltet der Entwurf des
DSAnpUG-EU. Er beschränkt sich derzeit auf
die Übernahme der jetzigen datenschutzrechtlichen
Regelungen des BDSG in § 26 DSAnpUG-EU
nebst einiger weniger Ergänzungen.
Von einer umfassenden Regelung dieses Themas
kann damit nach wie vor keine Rede sein.
Was können Betriebsräte tun?
Derzeit wird in vielen Betriebsräten die Frage
diskutiert, ob das Inkrafttreten der DSGVO
dazu führt, dass Betriebsvereinbarungen unwirksam
werden. Eine solche Unwirksamkeit
einzelner kollektivrechtlicher Regelungen
aufgrund eines Widerspruchs zur DSGVO ist
in bestimmten Fällen vorstellbar. Etwa, wenn
durch Betriebsvereinbarungen Datenverarbeitungsprozesse
legitimiert werden, ohne dass
zugleich die durch Art. 88 Abs. 2 DSGVO
vorgegebene umfassenden angemessenen und
besonderen Maßnahmen zur Wahrung der
menschlichen Würde, der berechtigten Interessen
und der Grundrechte der betroffenen
Person sichergestellt wurden. Das wäre der
Fall, wenn eine umfassende Vorratsspeicherung
von personenbezogenen Daten zugelassen
würde, ohne dass zugleich Schutzmaßnahmen
wie eine enge Zweckbindung und kurze
Löschungsfristen vorgegeben wären. Derartige
Vereinbarungen, die weitgehende Eingriffe in
Rechte von Beschäftigten ohne Schutzvorkehrungen
zulassen, sind aber mit großer Wahrscheinlichkeit
auch nach aktuellem Datenschutzrecht
sowie mit Blick auf das allgemeine
Schutzgebot des § 75 Abs. 2 BetrVG unzulässig.
Beinhalten bestehende Betriebsvereinbarungen
hingegen ausgewogene Festlegungen
zum Umgang mit Beschäftigtendaten, die sich
an betrieblichen Erforderlichkeiten orientieren,
etwa durch Datenminimierung, durch
Verschlüsselungsverfahren oder durch kurze
Löschungsfristen, ist ein Verstoß gegen Vorgaben
der DSGVO unwahrscheinlich.
Für aktuelle Verhandlungen zu Datenschutzthemen
sollten Betriebsräte zudem das
Folgende bedenken: Das geltende BDSG ist
bis zum 24. Mai 2018, 24.00 Uhr, uneingeschränkt
anwendbar. Deshalb sollten Betriebsräte
dem Verlangen von Arbeitgebern widerstehen,
den Arbeitgebern genehme Regelungen
der DSGVO schon heute anzuwenden. Etwas
Anderes gilt, wenn Arbeitgeber und Betriebsrat
mit Blick auf das neue Recht gemeinsam
versuchen, aktuell zu verhandelnde Betriebsvereinbarungen
zukunftsfähig zu machen,
etwa durch eine Umsetzung des »Rechts auf
Vergessenwerden« in neuartige Löschkonzepte,
die schon heute greifen.
Sich um Risiken kümmern
Die DSGVO wird das Datenschutzrecht in der
EU vereinheitlichen und teilweise erneuern.
Wie die Neuerungen im Bereich des Beschäftigtendatenschutzes
aussehen werden, lässt
sich mit Blick darauf, dass es für das deutsche
DSAnpUG-EU bisher noch keine abschließende
Fassung gibt, nicht verbindlich sagen.
Dennoch müssen Betriebsräte sich schon jetzt
aktiv mit der Frage beschäftigten, welche Möglichkeiten
und Risiken mit dem neuen Datenschutzrecht
einhergehen. v
Prof. Dr. Peter Wedde,
Frankfurt University of Applied
Sciences, Frankfurt am Main.
wedde@da-consulting.de
28