Bundesarbeitsgericht Urteil vom 6. Juni 2023
Neunter Senat - 9 AZR 383/19 -
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0
I. Arbeitsgericht Dresden Urteil vom 27. Juni 2018
- 10 Ca 234/18 -
II. Sächsisches Landesarbeitsgericht Urteil vom 19. August 2019
- 9 Sa 268/18 -
Entscheidungsstichwort:
Betriebsratsvorsitzender als Datenschutzbeauftragter
Leitsatz:
Die Pflichten eines Datenschutzbeauftragten sind mit denen eines Be-
triebsratsvorsitzenden nicht zu vereinbaren. Der bei gleichzeitiger Wahr-
nehmung beider Funktionen bestehende Interessenkonflikt rechtfertigt es,
die Bestellung des Betriebsratsvorsitzenden zum Datenschutzbeauftragten
zu widerrufen.
Hinweis des Senats:
Vgl. zur Unionsrechtkonformität des § 6 Abs. 4 Satz 1 BDSG BAG 6. Juni
2023 - 9 AZR 621/19 -
BUNDESARBEITSGERICHT
9 AZR 383/19
9 Sa 268/18
Sächsisches
Landesarbeitsgericht
Im Namen des Volkes!
Verkündet am
6. Juni 2023
URTEIL
Kleinert, Urkundsbeamtin
der Geschäftsstelle
In Sachen
Beklagte, Berufungsklägerin und Revisionsklägerin,
pp.
Kläger, Berufungsbeklagter und Revisionsbeklagter,
hat der Neunte Senat des Bundesarbeitsgerichts aufgrund der mündlichen Ver-
handlung vom 6. Juni 2023 durch den Vorsitzenden Richter am Bundesarbeits-
gericht Prof. Dr. Kiel, die Richter am Bundesarbeitsgericht Zimmermann und
Dr. Suckow sowie die ehrenamtlichen Richter Dr. Leitner und Stang für Recht
erkannt:
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 -2-
-2- 9 AZR 383/19
1. Auf die Revision der Beklagten wird das Urteil des
Sächsischen Landesarbeitsgerichts vom 19. August
2019 - 9 Sa 268/18 - aufgehoben.
2. Auf die Berufung der Beklagten wird das Urteil des Ar-
beitsgerichts Dresden vom 27. Juni 2018 - 10 Ca
234/18 - abgeändert und die Klage abgewiesen.
3. Der Kläger hat die Kosten des Rechtsstreits zu tragen.
Von Rechts wegen!
Tatbestand
Die Parteien streiten über die Wirksamkeit der Berufung des Klägers zum 1
Beauftragten für Datenschutz bei der Beklagten sowie über den Widerruf der Be-
stellung und die Abberufung des Klägers.
Die in D ansässige Beklagte gehört dem X Konzern an. Sie ist eine 2
100%ige Tochtergesellschaft der aus einer AG umgewandelten X GmbH mit Sitz
in E. Der Kläger steht unter Anrechnung von Zeiten vormaliger Betriebszugehö-
rigkeit seit dem 1. November 1993 in einem Arbeitsverhältnis zu der Beklagten.
Er ist Vorsitzender des bei dieser gebildeten Betriebsrats und zur Wahrnehmung
seiner Aufgaben als Vorsitzender teilweise von der Arbeit freigestellt.
Der Kläger wurde mit Wirkung zum 1. Juni 2015 von der Beklagten, de- 3
ren Muttergesellschaft sowie deren weiteren in Deutschland ansässigen Tochter-
gesellschaften X F GmbH und X I GmbH jeweils gesondert zum Datenschutzbe-
auftragten bestellt. Mit der parallelen Bestellung des Klägers verfolgten die Un-
ternehmen das Ziel, einen konzerneinheitlichen Datenschutzstandard zu etablie-
ren.
Mit Schreiben vom 4. September 2017 an die Muttergesellschaft der Be- 4
klagten, die damalige X AG, äußerte der Thüringer Landesbeauftragte für Daten-
schutz und Informationsfreiheit unter Bezugnahme auf § 4f Abs. 2 BDSG in der
bis zum 24. Mai 2018 gültigen Fassung (BDSG aF) Bedenken, dass der Kläger
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 -3-
-3- 9 AZR 383/19
die zur Erfüllung seiner Aufgaben als betrieblicher Datenschutzbeauftragter er-
forderliche Zuverlässigkeit besitze. Wegen seines Amtes als Betriebsratsvorsit-
zender könnten Interessenkollisionen auftreten. In ihrer Stellungnahme vom
27. September 2017 antwortete die X GmbH unter Verweis auf die Entscheidung
des Bundesarbeitsgerichts vom 23. März 2011 (- 10 AZR 562/09 -), beide Funk-
tionen seien miteinander vereinbar.
Der Thüringer Landesbeauftragte für Datenschutz und Informationsfrei- 5
heit stellte mit Schreiben vom 24. November 2017 fest, der Kläger verfüge nicht
über die für die Bestellung zum betrieblichen Datenschutzbeauftragten erforder-
liche Zuverlässigkeit. Aufgrund der Inkompatibilität mit dem Amt des Betriebs-
ratsvorsitzenden sei der Kläger bereits nicht wirksam zum betrieblichen Daten-
schutzbeauftragten bestellt worden. Das Unternehmen verfüge deshalb seit dem
1. Juni 2015 über keinen betrieblichen Datenschutzbeauftragten. Die Mutterge-
sellschaft der Beklagten erhielt Gelegenheit zur Stellungnahme bis zum 3. Ja-
nuar 2018 mit dem Hinweis, dass nach Fristablauf ein betrieblicher Datenschutz-
beauftragter von Amts wegen bestellt werde und die Verletzung der Pflicht, einen
Beauftragten für den Datenschutz zu bestellen, mit einer Geldbuße bis zu
50.000,00 Euro geahndet werden könne.
Die Beklagte und die weiteren in Deutschland ansässigen Konzernunter- 6
nehmen teilten dem Kläger daraufhin in eigenständigen Schreiben vom 1. De-
zember 2017 mit, dass eine wirksame Bestellung als betrieblicher Datenschutz-
beauftragter nicht erfolgt sei und nunmehr zur Vermeidung eines Bußgeldes ein
geeigneter Datenschutzbeauftragter bestellt werde. Hilfsweise widerriefen sie je-
weils mit Schreiben vom 1. Dezember 2017 die Bestellung des Klägers zum Da-
tenschutzbeauftragten mit sofortiger Wirkung. Vorsorglich beriefen sie den Klä-
ger nach Inkrafttreten der Datenschutz-Grundverordnung mit getrennten Schrei-
ben vom 25. Mai 2018 gemäß Art. 38 Abs. 3 Satz 2 DSGVO unter Hinweis auf
betriebsbedingte Gründe als Datenschutzbeauftragten ab.
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 -4-
-4- 9 AZR 383/19
Der Kläger hat die Auffassung vertreten, die Beklagte habe ihn am 7
16. Juni 2015 wirksam für deren Betrieb in D zum Datenschutzbeauftragten be-
stellt. Seine Abberufung durch die Schreiben vom 1. Dezember 2017 und vom
25. Mai 2018 sei nicht wirksam.
Der Kläger hat beantragt 8
1. festzustellen, dass seine Rechtsstellung als Beauf-
tragter für Datenschutz der Beklagten nicht durch den
Widerruf der Beklagten vom 1. Dezember 2017 been-
det worden ist;
2. festzustellen, dass seine Rechtsstellung als Beauf-
tragter für den Datenschutz der Beklagten auch nicht
durch den Widerruf der Beklagte vom 25. Mai 2018
beendet worden ist.
Die Beklagte hat Klageabweisung beantragt. Sie hat die Auffassung ver- 9
treten, aufgrund einer Inkompatibilität mit dem Amt eines Betriebsratsvorsitzen-
den sei der Kläger nicht wirksam zum betrieblichen Beauftragten für Datenschutz
bestellt worden. Jedenfalls sei die Bestellung wirksam zum 1. Dezember 2017,
hilfsweise zum 25. Mai 2018 beendet worden. Die Ämterinkompatibilität stelle ei-
nen wichtigen Grund im Sinne von § 4f Abs. 3 Satz 4 BDSG aF bzw. § 38 Abs. 2,
§ 6 Abs. 4 Satz 1 BDSG iVm. § 626 BGB dar.
Das Arbeitsgericht hat der Klage stattgegeben. Das Landesarbeitsgericht 10
hat die Berufung der Beklagten zurückgewiesen. Mit der Revision verfolgt die
Beklagte ihr Klageabweisungsbegehren weiter. Der Senat hat den Rechtsstreit
mit Beschluss vom 27. April 2021 ausgesetzt und den Gerichtshof der Europäi-
schen Union um Vorabentscheidung ersucht, ob die Regelung in § 6 Abs. 4
Satz 1 BDSG, der zufolge die Abberufung eines Datenschutzbeauftragten das
Vorliegen eines wichtigen Grundes iSv. § 626 BGB voraussetzt, mit Art. 38
Abs. 3 Satz 2 DSGVO im Einklang steht, und ob ein Interessenkonflikt iSv. Art. 38
Abs. 6 Satz 2 DSGVO vorliegt, wenn der Datenschutzbeauftragte zugleich das
Amt des Vorsitzenden des in der verantwortlichen Stelle gebildeten Betriebsrats
innehat (BAG 27. April 2021 - 9 AZR 383/19 (A) - BAGE 174, 358). Mit Urteil vom
9. Februar 2023 hat der Gerichtshof über das Vorabentscheidungsersuchen ent-
schieden (EuGH 9. Februar 2023 - C-453/21 - [X-FAB Dresden]).
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 -5-
-5- 9 AZR 383/19
Entscheidungsgründe
Die Revision ist begründet. Das Landesarbeitsgericht hat die Berufung 11
der Beklagten gegen das klagestattgebende Urteil zu Unrecht zurückgewiesen.
Zwar wurde der Kläger wirksam zum Datenschutzbeauftragten der Beklagten be-
stellt. Die Beklagte hat die Bestellung jedoch mit Schreiben vom 1. Dezember
2017 wirksam widerrufen. Der als unechter Hilfsantrag auszulegende Antrag
zu 2. ist dem Senat damit nicht zur Entscheidung angefallen.
I. Entgegen der Ansicht der Revision hat die Beklagte den Kläger mit 12
Schreiben vom 16. Juni 2015 in der von § 4f Abs. 1 Satz 1 BDSG aF gebotenen
Form (vgl. BAG 27. Juli 2017 - 2 AZR 812/16 - Rn. 19, BAGE 160, 1) zum Beauf-
tragten für den Datenschutz bestellt. Für die Wirksamkeit der Bestellung des Klä-
gers ist es irrelevant, ob das Amt des Datenschutzbeauftragten mit dem Amt des
Betriebsratsvorsitzenden kompatibel ist. Deshalb kann diese Frage, die das Lan-
desarbeitsgericht unter Verweis auf das Urteil des Bundesarbeitsgerichts vom
23. März 2011 (- 10 AZR 562/09 -) verneint hat, an dieser Stelle offenbleiben.
1. Die Zuverlässigkeit eines Beauftragten für den Datenschutz kann zwar in 13
Frage stehen, wenn Interessenkonflikte drohen. Eine Überschneidung von Inter-
essenssphären kann die von § 4f Abs. 2 Satz 1 BDSG aF geforderte Zuverläs-
sigkeit beeinträchtigen (BAG 5. Dezember 2019 - 2 AZR 223/19 - Rn. 25 mwN,
BAGE 169, 59). Aus der fehlenden Zuverlässigkeit einer zum Beauftragten für
den Datenschutz bestellten Person iSv. § 4f Abs. 2 Satz 1 BDSG aF folgt aber
nach dem BDSG aF nicht die Nichtigkeit der Bestellung. Diese Rechtsfolge ist im
Gesetz nicht vorgesehen und widerspräche auch dessen Systematik, weil ande-
renfalls der in § 4f Abs. 3 Satz 4 BDSG aF vorgesehene Widerruf der Bestellung
sowie das Recht der Aufsichtsbehörde, eine Abberufung wegen fehlender Zuver-
lässigkeit zu verlangen (§ 38 Abs. 5 Satz 3 BDSG aF), im Wesentlichen ins Leere
liefen (BAG 5. Dezember 2019 - 2 AZR 223/19 - Rn. 26 mwN, aaO).
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 -6-
-6- 9 AZR 383/19
2. Ob ausnahmsweise etwas anderes gelten kann, wenn die Bestellung ei- 14
nes Beauftragten für den Datenschutz an einem besonders schwerwiegenden
und offenkundigen Fehler leidet (vgl. BAG 5. Dezember 2019 - 2 AZR 223/19 -
Rn. 27, BAGE 169, 59), bedarf an dieser Stelle keiner Entscheidung. Ein solcher
Fall liegt hier nicht vor.
II. Der Widerruf der Bestellung des Klägers zum Beauftragten für den Da- 15
tenschutz bei der Beklagten vom 1. Dezember 2017 ist wirksam, weil hierfür ein
wichtiger Grund iSv. § 4f Abs. 3 Satz 4 BDSG aF iVm. § 626 Abs. 1 BGB gege-
ben ist. Entgegen der Auffassung des Landesarbeitsgerichts besteht ein unauf-
lösbarer Interessenkonflikt, wenn der Datenschutzbeauftragte zugleich Betriebs-
ratsvorsitzender der verantwortlichen Stelle ist. Dies macht es der Beklagten un-
zumutbar, den Kläger weiterhin als betrieblichen Datenschutzbeauftragten ein-
zusetzen.
1. Der Widerruf der Bestellung zum Beauftragten für den Datenschutz nach 16
§ 4f Abs. 3 Satz 4 BDSG aF iVm. § 626 Abs. 1 BGB setzt das Vorliegen von Tat-
sachen voraus, die es dem Verantwortlichen unter Berücksichtigung der Gege-
benheiten des Einzelfalls sowie unter Abwägung der Interessen beider Vertrags-
partner unzumutbar machen, die betreffende Person als betrieblichen Daten-
schutzbeauftragten auch nur bis zum Ablauf der ordentlichen Kündigungsfrist
weiterhin einzusetzen.
a) Als wichtige Gründe kommen insbesondere solche in Betracht, die mit 17
der Funktion und Tätigkeit des Datenschutzbeauftragten zusammenhängen und
eine weitere Ausübung dieser Tätigkeit unmöglich machen oder sie zumindest
erheblich gefährden, beispielsweise ein Geheimnisverrat oder eine dauerhafte
Verletzung der Kontrollpflichten als Datenschutzbeauftragter (BAG 23. März
2011 - 10 AZR 562/09 - Rn. 15 mwN). Ein wichtiger Grund für den Widerruf ist
auch dann gegeben, wenn der zum Beauftragten für den Datenschutz bestellte
Arbeitnehmer die erforderliche Fachkunde oder Zuverlässigkeit iSv. § 4f Abs. 2
Satz 1 BDSG aF für die Aufgabenerfüllung nicht (mehr) besitzt.
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 -7-
-7- 9 AZR 383/19
b) Eine Überschneidung von Interessenssphären kann der vom BDSG aF 18
geforderten Zuverlässigkeit entgegenstehen (BAG 23. März 2011 - 10 AZR
562/09 - Rn. 24; 22. März 1994 - 1 ABR 51/93 - zu B IV der Gründe, BAGE 76,
184). Dabei rechtfertigt nicht jeder Interessenkonflikt den Widerruf der Bestellung
des Datenschutzbeauftragten. Erforderlich ist ein Grad, der die Unabhängigkeit
des Datenschutzbeauftragten in Frage stellt.
aa) Da das Gesetz die Bestellung eines betrieblichen Datenschutzbeauftrag- 19
ten gestattet, der als Arbeitnehmer beim verantwortlichen Arbeitgeber angestellt
ist, kann nicht jede Berührung der verschiedenen Aufgaben die Zuverlässigkeit
in Frage stellen. Der betriebliche Datenschutzbeauftragte hat die Einhaltung der
Datenschutzvorschriften beim Verantwortlichen und damit das Arbeitsumfeld je-
des dort beschäftigten Arbeitnehmers zu überwachen. Damit muss er in letzter
Konsequenz auch sich selbst einer Überprüfung unterziehen. Entsprechendes
gilt für die Funktion des betrieblichen Datenschutzbeauftragten, da dieser nicht
nur Überwachungs- sondern auch Beratungsfunktionen wahrzunehmen und da-
mit das Ergebnis seiner eigenen Beratung zu reflektieren hat.
bb) Nach der Rechtsprechung des Gerichtshofs der Europäischen Union zur 20
DSGVO muss gewährleistet sein, dass ein Datenschutzbeauftragter unabhängig
davon, ob es sich bei ihm um einen Beschäftigten des Verantwortlichen handelt
oder nicht, seine Pflichten und Aufgaben in vollständiger Unabhängigkeit aus-
üben kann (vgl. EuGH 9. Februar 2023 - C-560/21 - [KISA] Rn. 20; 22. Juni 2022
- C-534/20 - [Leistritz] Rn. 26 f.). Nur wenn diese funktionelle Unabhängigkeit des
Datenschutzbeauftragten gewahrt bleibt, kann die Wirksamkeit der datenschutz-
rechtlichen Bestimmungen gewährleistet werden (vgl. EuGH 9. Februar 2023
- C-560/21 - [KISA] Rn. 22; 22. Juni 2022 - C-534/20 - [Leistritz] Rn. 28).
cc) Dieser Maßstab für einen wichtigen Grund besteht nicht erst ab der durch 21
Inkrafttreten der DSGVO vorgenommenen Novellierung des Datenschutzrechts,
sondern galt bereits nach dem BDSG aF. Nach dem gesetzgeberischen Willen
hat die Ablösung von § 4f Abs. 3 Satz 4 BDSG aF durch § 6 Abs. 4 BDSG den
Maßstab, anhand dessen eine relevante Interessenkollision zu beurteilen ist, un-
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 -8-
-8- 9 AZR 383/19
berührt gelassen (BT-Drs. 18/11325 S. 82: „Absatz 4 entspricht der bisherigen
Regelung des § 4f Absatz 3 Satz 4 bis 6 BDSG a.F.“).
c) Ein Grund für den Widerruf der Funktion des Datenschutzbeauftragten 22
ist danach in der Regel gegeben, wenn der Arbeitnehmer bei der Erfüllung seiner
weiteren Aufgaben und Pflichten gestaltenden Einfluss auf die Datenverarbeitung
in der verantwortlichen Stelle hat. In einem solchen Fall kann die unabhängige
Erfüllung der Aufgaben eines Datenschutzbeauftragten gefährdet sein.
aa) Nach der Rechtsprechung des Gerichtshofs zu Art. 38 Abs. 6 Satz 2 23
DSGVO darf der zum Datenschutzbeauftragten bestellte Arbeitnehmer innerhalb
der verantwortlichen Stelle keine Position bekleiden, die eine Festlegung von
Zwecken und Mitteln der Verarbeitung personenbezogener Daten zum Gegen-
stand hat (vgl. EuGH 9. Februar 2023 - C-453/21 - [X-FAB Dresden] Rn. 44, 46;
zuvor bereits Art.-29-Datenschutzgruppe WP 243 rev. 01 S. 19). Das Recht des
Verantwortlichen, die Bestellung des Datenschutzbeauftragten im Fall eines ge-
staltenden Einflusses auf die Datenverarbeitung zu widerrufen, wahrt dessen
funktionelle Unabhängigkeit und gewährleistet damit die Wirksamkeit der daten-
schutzrechtlichen Bestimmungen. Ob diese Voraussetzungen gegeben sind, ist
im Einzelfall unter Berücksichtigung aller relevanten Umstände, insbesondere
der Organisationsstruktur des Verantwortlichen und im Licht aller anwendbaren
Rechtsvorschriften, einschließlich etwaiger interner Vorschriften des Verantwort-
lichen, festzustellen (vgl. EuGH 9. Februar 2023 - C-453/21 - [X-FAB Dresden]
Rn. 45 f.).
2. Das Amt des Klägers als Betriebsratsvorsitzender steht danach einer 24
weiteren Wahrnehmung seiner Aufgaben als Datenschutzbeauftragter entgegen.
Die gesetzlichen Aufgaben beider Funktionen lassen sich nicht ohne Interessen-
konflikt im Hinblick auf den Datenschutz ausüben, der die von § 4f Abs. 2 Satz 1
BDSG aF vorausgesetzte funktionale Zuverlässigkeit aufhebt. Dies rechtfertigt
den Widerruf der Bestellung zum Beauftragten für Datenschutz.
a) Der Beauftragte für den Datenschutz hat gemäß § 4g Abs. 1 Satz 1 25
BDSG aF auf die Einhaltung des BDSG aF und anderer Vorschriften über den
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 -9-
-9- 9 AZR 383/19
Datenschutz hinzuwirken. Dabei hat er insbesondere die ordnungsgemäße An-
wendung der Datenverarbeitungsprogramme, mit deren Hilfe personenbezogene
Daten verarbeitet werden sollen, zu überwachen sowie die bei der Verarbeitung
personenbezogener Daten tätigen Personen durch geeignete Maßnahmen mit
den Vorschriften des BDSG sowie anderen Vorschriften über den Datenschutz
und mit den jeweiligen besonderen Erfordernissen des Datenschutzes vertraut
zu machen (§ 4g Abs. 1 Satz 4 BDSG aF). Diese Aufgaben decken sich im We-
sentlichen mit den Aufgaben des Datenschutzbeauftragten aus Art. 39 DSGVO.
Danach obliegen dem Datenschutzbeauftragten die Unterrichtung und Beratung
des Verantwortlichen oder des Auftragsbearbeiters und der Beschäftigten, die
die Verarbeitung hinsichtlich ihrer Pflichten nach der DSGVO und sonstigen Da-
tenschutzvorschriften der Union bzw. der Mitgliedstaaten durchführen. Er hat die
Einhaltung der DSGVO, anderer Datenschutzvorschriften der Union bzw. der Mit-
gliedstaaten sowie Strategien des Verantwortlichen oder des Auftragsverarbei-
ters für den Schutz personenbezogener Daten einschließlich der Zuweisung von
Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungs-
vorgängen beteiligten Mitarbeitern zu überprüfen. Zudem ist er für die Beratung
- auf Anfrage - im Zusammenhang mit der Datenschutzfolgenabschätzung und
die Überwachung ihrer Durchführung gemäß Art. 35 DSGVO zuständig.
b) Die Pflichten eines Datenschutzbeauftragten sind mit denen eines Be- 26
triebsratsvorsitzenden im Hinblick auf datenschutzrechtliche Bestimmungen nicht
zu vereinbaren. Ob bereits zwischen Betriebsratsmandat und dem Amt des Da-
tenschutzbeauftragten eine Inkompatibilität besteht, die zu einem zum Widerruf
der Bestellung berechtigenden Interessenkonflikt führt, muss der Senat nicht ent-
scheiden. Jedenfalls ist eine funktionale Unvereinbarkeit mit den Aufgaben des
Betriebsratsvorsitzenden gegeben, der im Rahmen seiner gesetzlichen Aufga-
ben nicht nur an der Entscheidung des Gremiums mitwirkt, sondern das Organ
im Rahmen der gefassten Beschlüsse nach außen vertritt.
aa) Der Betriebsrat legt als Gremium Zwecke und Mittel der Verarbeitung 27
personenbezogener Daten fest. Er entscheidet durch Beschluss darüber, unter
welchen konkreten Umständen er welche personenbezogenen Daten in Aus-
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 - 10 -
- 10 - 9 AZR 383/19
übung der ihm durch das Betriebsverfassungsgesetz zugewiesenen Aufgaben
erhebt und auf welche Weise er diese anschließend verarbeitet.
(1) Das Betriebsverfassungsgesetz räumt dem Betriebsrat in bestimmten 28
sozialen, personellen und wirtschaftlichen Angelegenheiten Beteiligungs- und
Mitwirkungsrechte ein, die von der bloßen Anhörung bzw. Unterrichtung (zB § 80
Abs. 2 Satz 1, § 102 Abs. 1 BetrVG, § 17 Abs. 2 Satz 1 KSchG) über die Bera-
tung (zB § 90 Abs. 2 Satz 1, § 92 Abs. 1 Satz 2 BetrVG, § 17 Abs. 2 Satz 2
KSchG) bis hin zum Zustimmungsverweigerungsrecht (§ 99 BetrVG) und
schließlich zum Mitbestimmungsrecht reichen, bei dem der Arbeitgeber die posi-
tive Zustimmung des Betriebsrats benötigt (zB §§ 87, 94, 112 Abs. 4 BetrVG). In
Erfüllung dieser Aufgaben verarbeitet der Betriebsrat personenbezogene Daten.
Diese erhält er insbesondere bei der Wahrnehmung seiner betriebsverfassungs-
rechtlichen Beteiligungs- und Mitbestimmungsrechte einerseits vom Arbeitgeber
und andererseits von Beschäftigten selbst, etwa im Rahmen der Sprechstunde
(§ 39 BetrVG), einer Beschwerde (§ 85 Abs. 1 BetrVG), des Vorschlagsrechts
der Arbeitnehmer (§ 86a BetrVG), des Meinungsaustauschs im Rahmen von Be-
triebs- oder Abteilungsversammlungen (§ 43 Abs. 3 Satz 1, § 45 BetrVG) oder
der Anhörung eines von einer personellen Maßnahme betroffenen Arbeitneh-
mers (§ 102 Abs. 2 Satz 4 BetrVG, vgl. Lembke FS Schmidt 2021 S. 277, 282).
Des Weiteren kann der Betriebsrat mit dem Arbeitgeber Betriebsvereinbarungen
mit unmittelbarer und zwingender Wirkung für die betriebsangehörigen Arbeit-
nehmer schließen (§ 77 Abs. 4 BetrVG). Auch Regelungen in Betriebsvereinba-
rungen, etwa zu technischen Überwachungseinrichtungen iSv. § 87 Abs. 1 Nr. 6
BetrVG (vgl. Lang NZA 2023, 269, 272 f.), können die Verarbeitung personenbe-
zogener Daten zum Gegenstand haben.
(2) Die Zwecke der Datenverarbeitung des Betriebsrats sind zwar durch die 29
Zuweisung von Aufgaben im Betriebsverfassungsgesetz ihrem äußeren Rahmen
nach vorbestimmt. Der Betriebsrat kann also die Mitteilung geschützter Daten
nicht unabhängig von seinen gesetzlichen Aufgaben verlangen. Beschäftigten-
daten dürfen nur zu Zwecken genutzt werden, die das Betriebsverfassungsge-
setz ausdrücklich vorsieht und die zur Erfüllung betriebsverfassungsrechtlicher
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 - 11 -
- 11 - 9 AZR 383/19
Aufgaben erforderlich sind. Im konkreten Fall legt der Betriebsrat jedoch zur
Wahrnehmung seiner gesetzlichen Aufgaben in eigener Verantwortung fest, wel-
che mitarbeiterbezogenen Informationen verlangt und wie die übermittelten Da-
ten - tatsächlich - verarbeitet werden sollen. Dies eröffnet ihm im Hinblick auf
die Verwendung der Daten einen erheblichen Entscheidungsspielraum (vgl.
Maschmann FS Schmidt 2021 S. 353, 356; Schulz ZESAR 2019, 323, 325;
Kurzböck/Weinbeck BB 2020, 500, 501).
(a) Nach § 80 Abs. 2 Satz 1 BetrVG hat der Arbeitgeber den Betriebsrat zur 30
Durchführung seiner Aufgaben rechtzeitig und umfassend zu unterrichten. Vo-
raussetzung für einen Auskunftsanspruch des Betriebsrats ist zum einen, dass
überhaupt eine Aufgabe des Betriebsrats gegeben ist, und zum anderen, dass
die begehrte Information zur Wahrnehmung der Aufgabe im Einzelfall erforderlich
ist (BAG 9. April 2019 - 1 ABR 51/17 - Rn. 12, BAGE 166, 269). Spiegelbildlich
darf auch der Arbeitgeber dem Betriebsrat Beschäftigtendaten grundsätzlich nur
für erforderliche Betriebsratsaufgaben zur Verfügung stellen. Bei der Weitergabe
sensitiver Daten an den Betriebsrat sind besondere Schutzvorkehrungen zu tref-
fen. Aufgrund der Unabhängigkeit des Betriebsrats als Strukturprinzip der Be-
triebsverfassung hat es der Arbeitgeber aber nicht in der Hand, angemessene
und spezifische Schutzmaßnahmen zu treffen oder dem Betriebsrat hierzu Vor-
gaben zu machen. Unabhängig davon, ob der Betriebsrat Teil der verantwortli-
chen Stelle (so zB Bonanni/Niklas ArbRB 2018, 371 f.; Pötters in Gola DS-GVO
2. Aufl. Art. 88 Rn. 38; zur Datenschutzrechtslage nach dem BDSG aF vgl. BAG
7. Februar 2012 - 1 ABR 46/10 - Rn. 43 mwN, BAGE 140, 350) oder gar Verant-
wortlicher (so zB Kurzböck/Weinbeck BB 2018, 1652, 1655; Kleinebrink
DB 2018, 2566 f.; Maschmann NZA 2020, 1207, 1209 ff.; Wybitul NZA 2017,
413 f.) ist, trifft ihn insoweit diese spezifische Schutzpflicht (BAG 9. April 2019
- 1 ABR 51/17 - Rn. 47, aaO).
(b) Es kann dahinstehen, ob der Datenschutzbeauftragte unter dem 31
BDSG aF Beaufsichtigungs- und Kontrollbefugnisse auch gegenüber dem Be-
triebsrat auszuüben hatte (so Kleinebrink DB 2018, 2566, 2570 f.; Lücke
NZA 2019, 658, 667), oder ob dem die Unabhängigkeit des Betriebsrats entge-
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 - 12 -
- 12 - 9 AZR 383/19
genstand (so BAG 11. November 1997 - 1 ABR 21/97 - zu B III 2 c und c bb der
Gründe, BAGE 87, 64). Jedenfalls oblag es ihm nach der damaligen Gesetzes-
fassung, die Datenschutzkonformität der auf Anforderung des Betriebsrats durch
den Arbeitgeber vorgenommenen Übermittlung personenbezogener - ggf. auch
sensitiver - Mitarbeiterdaten zu überprüfen. Bei der Übermittlung sensitiver Daten
hatte er dementsprechend in eigener Sache zu überwachen, ob das Schutzkon-
zept des Betriebsrats datenschutzrechtlichen Anforderungen entspricht und der
Arbeitgeber die Daten an den Betriebsrat übermitteln darf.
(3) Gegenstand der Beaufsichtigungs- und Kontrollbefugnis des Daten- 32
schutzbeauftragten ist außerdem die Einhaltung datenschutzrechtlicher Bestim-
mungen bei der Durchführung von Betriebsvereinbarungen, etwa zu § 87 Abs. 1
Nr. 6 BetrVG, an dessen Zustandekommen er selbst mitgewirkt hat.
bb) Der Betriebsrat bestimmt auch über die Mittel der Verarbeitung perso- 33
nenbezogener Daten. Dazu zählen die technischen Methoden der Verarbeitung
personenbezogener Daten und die Art und Weise, wie ein Ergebnis oder Ziel
erreicht wird (Art.-29-Datenschutzgruppe WP 169 S. 17).
(1) Die festzulegenden Mittel betreffen in erster Linie die Verarbeitung der 34
Daten. Der Betriebsrat entscheidet dazu in technischer Hinsicht über die Organi-
sation seiner Abläufe und befindet darüber, ob er konkrete Daten in analoger
oder digitaler Form speichert, welche Software er konkret verwendet, welche
Benutzerrechte er einräumt und welche Speicherfristen er setzt (Brink/Joos
NZA 2019, 1395, 1397; Kurzböck/Weinbeck BB 2020, 500, 501; Schulz
ZESAR 2019, 323, 325).
(2) Dem steht nicht entgegen, dass der Betriebsrat bei der Datenverarbei- 35
tung Sachmittel, insbesondere eine IT- und Kommunikationsinfrastruktur, ein-
setzt, die der Arbeitgeber ihm nach § 40 Abs. 2 BetrVG zur Verfügung gestellt
hat. Unabhängig davon, dass es für die Mittel der Verarbeitung nicht entschei-
dend darauf ankommt, welche - vom Arbeitgeber zur Verfügung gestellten - IT-
Systeme oder Hardware der Betriebsrat zur Datenverarbeitung nutzt, obliegt die
Prüfung, ob ein Sachmittel zur Erledigung von Betriebsratsaufgaben erforderlich
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 - 13 -
- 13 - 9 AZR 383/19
und vom Arbeitgeber zur Verfügung zu stellen ist, dem Betriebsrat. Er hat bei
seiner Entscheidung lediglich die Interessen der Belegschaft an einer sachge-
rechten Ausübung des Betriebsratsamts und berechtigte Interessen des Arbeit-
gebers, auch soweit sie auf eine Begrenzung der Kostentragungspflicht gerichtet
sind, gegeneinander abzuwägen (BAG 20. April 2016 - 7 ABR 50/14 - Rn. 16
mwN, BAGE 155, 54).
c) Ein als Betriebsratsvorsitzender beteiligter Datenschutzbeauftragter, der 36
seine Überwachungsaufgabe im Spannungsfeld seiner funktionalen Interessen
und Aufgaben erfüllen muss, besitzt nicht die für eine Gewährleistung des ge-
setzlichen Datenschutzes erforderliche Unabhängigkeit. Als Beauftragter für den
Datenschutz ist der Vorsitzende des Betriebsrats verpflichtet zu prüfen, ob die
von ihm nach außen vertretene Beschlusslage des Betriebsrats mit den Bestim-
mungen des Datenschutzes im Einklang steht.
aa) In seiner betriebsverfassungsrechtlichen Funktion ist er zwar in erster Li- 37
nie Betriebsratsmitglied wie die anderen Gremiumsmitglieder. Er übt die gesetz-
lich zugewiesenen Befugnisse und Pflichten des Betriebsrats weder als Bevoll-
mächtigter noch als gesetzlicher Vertreter an dessen Stelle aus (Fitting BetrVG
31. Aufl. § 26 Rn. 21 f.). Gemäß § 26 Abs. 2 Satz 1 BetrVG vertritt der Betriebs-
ratsvorsitzende den Betriebsrat im Rahmen der von ihm gefassten Beschlüsse.
Zudem ist er zur Entgegennahme von dem Betriebsrat gegenüber abzugebenden
Erklärungen berechtigt (§ 26 Abs. 2 Satz 2 BetrVG). Damit fungiert er nicht als
Vertreter im Willen, sondern als Vertreter in der Erklärung (BAG 8. Februar 2022
- 1 AZR 233/21 - Rn. 27; 19. März 2003 - 7 ABR 15/02 - zu II 2 b der Gründe,
BAGE 105, 311).
bb) Diese aufgabenbezogene Kommunikation des Betriebsratsvorsitzenden 38
stellt die funktionelle Unabhängigkeit als Datenschutzbeauftragter und damit die
Gewährleistung des Datenschutzes in Frage. Indem der Betriebsratsvorsitzende
im Rahmen und aufgrund der Beschlüsse des Betriebsrats vom Arbeitgeber die
Übermittlung personenbezogener Arbeitnehmerdaten verlangt und gegebenen-
falls die Schutzvorkehrungen darlegt, die der Betriebsrat zur Wahrung berechtig-
ter Interessen der betroffenen Arbeitnehmer beschlossen hat, vertritt er nach au-
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0 - 14 -
- 14 - 9 AZR 383/19
ßen die Interessen des Betriebsrats. Bei gleichzeitiger Wahrnehmung der Funk-
tion eines Datenschutzbeauftragten müsste er in identischer Angelegenheit
- neutral und allein dem Datenschutz verpflichtet - überprüfen, ob Auskunftsersu-
chen und beschlossene Schutzvorkehrungen datenschutzrechtlichen Vorgaben
genügen, und den Arbeitgeber insoweit uU datenschutzrechtlich beraten. Die
dazu erforderliche Gewähr für Neutralität und Distanz zu dem Auskunftsverlan-
gen des Betriebsrats weist er - strukturell bedingt - nicht auf, weil er einerseits
durch den Beschluss des Betriebsrats gebunden und andererseits dem zwingen-
den Datenschutz verpflichtet ist. Dieser Interessenkonflikt beeinträchtigt die funk-
tionelle Unabhängigkeit des Datenschutzbeauftragten und gefährdet die Wirk-
samkeit datenschutzrechtlicher Regelungen, sodass er den Arbeitgeber zum Wi-
derruf der Bestellung berechtigt.
III. Der gegen die Abberufung als Datenschutzbeauftragter vom 25. Mai 39
2018 gerichtete Klageantrag zu 2. fällt dem Senat nicht zur Entscheidung an.
Hierbei handelt es sich um einen unechten Hilfsantrag für den Fall, dass der vor-
rangige Widerruf der Bestellung zum Datenschutzbeauftragten vom 1. Dezember
2017 für unwirksam erachtet werden sollte.
IV. Als unterlegene Partei hat der Kläger die Kosten des Rechtsstreits zu 40
tragen (§ 91 Abs. 1 ZPO).
Kiel Suckow Zimmermann
Leitner Stang
ECLI:DE:BAG:2023:060623.U.9AZR383.19.0