Dr. Bergmann zur DSGVO als Haftungsrisko für den Betriebsrat …?

/0 Kommentare/in /von

Paukenschlag: Im September hatte der Bundesdatenschutzbeauftragte Ulrich Kelber angekündigt, dass auch deutsche Aufsichtsbehörden nach ersten Warnschüssen bald Sanktionen auf Basis der Datenschutz-Grundverordnung (DSGVO) in Millionenhöhe verhängen würden. Mitte Dezember 2019 hat der Kontrolleur selbst durchgegriffen und die 1&1 Telecom GmbH mit einer Geldbuße in Höhe von 9.550.000 Euro belegt.

Der Telekommunikationsdienstleister, zu dessen Konzernverbund etwa auch die von dem Fall nicht betroffenen Mail-Anbieter Web.de und GMX gehören, hatte Kelber zufolge “keine hinreichenden technisch-organisatorischen Maßnahmen” zum Schutz von Kundendaten ergriffen.

Hintergrund des Ganzen ist eine aus Sicht der Aufsichtsbehörde vorgehaltenen zu einfachen Authentifizierungsverfahrens. Die Geldbuße bewege sich am unteren Rand des möglichen.

So weit, so gut. Aber was hat das jetzt mit dem Betriebsrat zu tun?

Nun, hält man sich vor Augen, dass die Geldbuße gegen die 1&1 Telecom GmbH – abstrakt gesprochen und vereinfacht ausgedrückt – verhängt wurde, weil gegen die Vorschriften der DSGVO verstoßen wurde, gesellt sich schnell ein anderer Fall hinzu, der in dieselbe Kerbe schlägt: In einem weiteren Verfahren ging es um die unterbliebene Benennung des betrieblichen Datenschutzbeauftragten. Dabei handelt es sich um den Telekommunikationsanbieter Rapidata, dieser wurde mit einem Bußgeld in Höhe von 10.000 Euro belegt, da die Firma ihrer “gesetzlichen Auflage nach Artikel 37 DSGVO zur Benennung des betrieblichen Datenschutzbeauftragten trotz mehrmaliger Aufforderung nicht nachgekommen ist”. Bei der Höhe der Sanktion habe man berücksichtigt, dass es sich um ein “Kleinstunternehmen” handele.

Wir halten also fest: 1&1 wird wegen zu lascher Sicherheitsstandards zu knapp 10 Mio€ verdonnert, Rapidata zu 10.000 Euro, weil ein Datenschutzbeauftragter nicht bestellt wurde.

Das Problem: Es wird zur Zeit heftig diskutiert, ob der Betriebsrat als “eigener Verantwortlicher” im Sinne der DSGVO gilt. Die Formulierung in Art. 4 Nr. 7 DSGVO legt dies nahe, heißt es doch dort, dass “Verantwortlicher” im Sinne der Vorschrift ist,

“… die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.” (Hervorhebung diesseits)

Zu bedenken: Wäre der Betriebsrat zukünftig als eigener Verantwortlicher im Sinne der DSGVO bzw. des BDSG anzusehen, hätte dies für die Praxis weitreichende Folgen:

  1. Der Betriebsrat wäre Adressat zahlreicher datenschutzrechtlicher Verpflichtungen, müsste also beispielsweise selbst die Mitarbeiter über seine Datenverarbeitung informieren, ein eigenes Verzeichnis der Verarbeitungstätigkeiten führen, an ihn gerichtete Auskunftsansprüche der Mitarbeiter beantworten und eigene Löschkonzepte umsetzen.
  2. Jedenfalls größere Betriebsräte mit 20 oder mehr Mitgliedern (Merke: Neuregelung 20 statt bislang 10 seit 11/2019, vgl. § 38 I S. 1 BDSG n.F.) müssten einen eigenen Datenschutzbeauftragten bestellen(!). Achtung: Dabei ist keineswegs Entwarnung für Gremien mit einer Größe unterhalb von 20 angesagt. Denn ein Datenschutzbeauftragter muss auch bei kleineren Größen (“schwellenwertunabhängig”) dann bestellt werden, wenn Verarbeitungen erfolgen, die einer Datenschutz-Folgenabschätzung unterliegen (Art. 35 DSGVO) und hierunter fallen z.B. auch Gesundheitsdaten (Art. 9 DSGVO). Und ebensolche Gesundheitsdaten werden nicht unerheblich im Rahmen des sogen. Betrieblichen Eingliederungsmanagements verarbeitet, auch BEM genannt. Oder im Rahmen der Arbeit der Schwerbehindertenvertretung.
  3. Der Betriebsrat wäre als datenschutzrechtlich Verantwortlicher insoweit auch als rechtsfähig einzustufen und könnte im Falle eines Datenschutzverstoßes Adressat eines entsprechenden Bußgeldbescheides sein. Zwar ist der Betriebsrat als Gremium grundsätzlich nicht vermögensfähig, die Haftung könnte allerdings zumindest bei grob fahrlässigen Datenschutzverstößen einzelne Betriebsratsmitglieder treffen.

Heißt dies nun, dass Betriebsräte demnächst einen Bußgeldbescheid befürchten müssen? Laut Dr. Bergmann ist dies nicht von vornherein ausgeschlossen. Aus der Netzwerkarbeit wisse man, dass im Prüfkatalog manch einer Aufsichtsbehörde auch eine Frage enthalten ist, ob es

(a) einen Betriebsrat gibt, der

(b) mehr als zehn Mitglieder habe bzw. die Verarbeitung von Gesundheitsdaten betreibe.

Solch eine Frage in einem Prüfkatalog der Aufsichtsbehörde kommt nicht von ungefähr. Natürlich ist klar, dass der Betriebsrat selbst nicht vermögensfähig ist. Aber seit der Entscheidung des Bundesgerichtshofs hinsichtlich der Haftung von Honoraren für Sachverständige des Betriebsrats ist klar, dass einzelne Betriebsratsmitglieder persönlich haften können(!). In diesen Fällen ist durchaus wichtig zu wissen, wer bei Abstimmungen bei welchen Fragen auch immer die Hand gehoben hat, aber auch, wer ggf. verpflichtet ist, bestimmte Fragen zur Abstimmung zu bringen.

“Betriebsräte sollten sich wappnen“, so Dr. Bergmann, jedenfalls diejenigen Gremien, die aktiv ein BEM-Verfahren betreiben (Hand aufs Herz: welches Gremium tut dies nicht?!), spätestens dann, wenn 20 und mehr Mitglieder im Gremium sind. “Nichts tun ist die schlechteste Variante”. “Die zweitschlechteste ist, darauf zu vertrauen, dass der Arbeitgeber auch für den Haftungsbescheid gem. § 40 BetrVG aufkommt.” Er rät, sich fachkundigen Rat einzuholen. “Wir haben kanzleiintern unter Federführung von Ulf Lappe einen eigenen Ansatz erarbeitet, der mögliche eigene Haftungsszenarien von Betriebsräten wegen der DSGVO handhabbar erscheinen lässt. Hierzu ist aber eine enge Abstimmung mit mehreren Institutionen im Haus vonnöten” zeigt sich Dr. Bergmann zuversichtlich.

Frankfurt: Dr. Bergmann übernimmt überparteiliche Moderation/Mediation

/0 Kommentare/in , , /von

Raum Frankfurt: Jüngst hat Dr. Bergmann den Zuschlag für die Übernahme der überparteiligen Moderation/Mediation zwischen Arbeitgeber und Betriebsrat übernommen.

Das Unternehmen ist mittelständisch und im Bereich Metallverarbeitung Marktführer. Der Vertrieb soll in eine eigenständige Vertriebsgesellschaft ausgegründet werden. “Wir wollen uns nicht streiten.” Und: “Niemand soll Nachteile erleiden”. Doch das ist einfach gesagt. An was muss man denken? Was sind die versteckten Risiken? Hierzu hat sich Dr. Bergmann bereit erklärt, mit offenem Visier umfassend Arbeitgeber und Betriebsrat aufzuklären und aufzuzeigen, welche Wege der Umsetzung es gibt. Zunächst gegenüber den Betriebsparteien, mit getrennten Gesprächen, gemeinsamen Sitzungen etc..

Dann im Rahmen einer Betriebsversammlung gegenüber der Belegschaft.

Dr. Bergmann anlässlich BAG 22.10.2019 zu: Einstellung von Führungskräften an mehreren Standorten …

/0 Kommentare/in /von

Dr. Bergmann zur Einstellung von Führungskräften an mehreren Standorten

Organisationsformen im Arbeitsrecht werden immer dezentraler und betriebsübergreifend. Dies stellt die Akteure im Betriebsverfassungsrecht oftmals vor große Herausforderungen. Man denke an Matrixstrukturen und die im Ausland ansässige Führungskraft, die die fachliche Führung für deutsche Mitarbeiter innehat. Nach dem Bundesarbeitsgericht eine Einstellung gem. § 99 I BetrVG. War diese Feststellung ein Paukenschlag, so gibt es eine neuere Entscheidung des Bundesarbeitsgericht aus Oktober (BAG v. 22.10.2019 – 1 ABR 13/18), die nach dem Paukenschlag zumindest einen konsequenten Trommelwirbel darstellt.

Ein Unternehmen unterhält Standorte in München, Hannover und Hamburg. Jeder dieser Standorte hat einen lokalen Betriebsrat. Der Arbeitgeber stellt Ludger als Leiter für den Geschäftsbereich Personal ein. Laut Arbeitsvertrag ist der Dienstort von Ludger München, dort hat er auch ein Büro. Ludger hat als Bereichsleiter Personal aber nicht nur Personalverantwortung für Personaler in München, sondern auch gegenüber Mitarbeitern in Hannover und Hamburg. Dem entsprechend nimmt er seine Aufgabe auch tageweise in Hannover und Hamburg wahr.

Wie so oft wird zur Einstellung des Ludger nur der Betriebsrat nur in München angehört. Nicht hingegen der in Hannover und Hamburg. Hiergegen wandte sich der Betriebsrat in Hannover und Hamburg und bekam Recht zugesprochen. Auch sie hätten gem. § 99 BetrVG beteiligt werden müssen, so das Bundesarbeitsgericht. Das Innehaben der fachlichen Führung für Mitarbeiter an anderen Standorten führt zu einer „Eingliederung“ an diesen anderen Standorten, dies wiederum mit der Folge, dass die Führungskraft an allen(!) Standorten mit Betriebsrat als eingestellt gem. § 99 I BetrVG anzusehen ist. Die für eine Einstellung erforderliche Eingliederung erfordert kein Verrichten der Arbeit auf dem Betriebsgelände. Entscheidend ist vielmehr, ob der Arbeitgeber mit Hilfe des Arbeitnehmers den arbeitstechnischen Zweck des jeweiligen Betriebs verfolgt.

Auch diese Entscheidung ist in der Praxis von sehr großer Bedeutung. In den allermeisten Fällen erfolgt die Anhörung des Betriebsrats nur an einem Standort. Mehrere Betriebsräte anzuhören fühlt sich für die allermeisten Personalabteilungen “wesensfremd” an, getreu dem Motto: “Ich habe nur eine natürliche Person – wie soll ich diese 3 x einstellen können?” Hierzu kann man nur sagen: “Doch – das geht”. Denn es kommt weder auf die Anzahl der Arbeitsverträge, noch darauf an, wo der Hauptarbeitsort ist. Entscheident ist das Innehaben der fachlichen Führungsverantwortung. Und wenn diese an mehreren Standorten “greift”, dann hat dies auch betriebsverfassungsrechtliche Implikationen. Natürlich kann dies in der Praxis zu Problemen führen. Der eine Betriebsrat stimmt zu. Mindestens ein anderer stimmt nicht zu. Was dann? Dann liegt der Frosch im Kakao und es gilt zu sehen, wie alle Standort-Betriebsräte harmonisiert werden können. Zuvorderst hilft erfahrungsgemäß, wenn die übrigen Betriebsräte “gesehen” werden, man also bei dem Einstellungsprozess gem. § 99 BetrVG an sie denkt. Obacht gilt, wenn Personalabteilungen meinen, die Führungskraft sei ja Leitender Angestellter. Denn diese Latte liegt bekanntlich hoch: Im Arbeitsvertrag müssen die maßgeblichen Rechte (vgl. § 5 III BetrVG) verbrieft sein – und das ist in aller Regel nicht der Fall.