Betriebsratswahlergebnisse öffentlich
Intranet-Inhalte im öffentlichen Netz: Wie Betriebsratswahlergebnisse durch eine fehlerhafte Website-Migration zur Datenpanne wurden
Was nur im Intranet stehen sollte, war plötzlich öffentlich abrufbar und sogar über Suchmaschinen findbar. Ein Unternehmen hatte bei der Migration seiner Website versehentlich Wahlergebnisse aus dem Intranet ins öffentliche Internet übertragen. Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW) hat den Fall als Datenpannenmeldung nach Art. 33 DS-GVO bearbeitet und konkrete Maßnahmen eingefordert.
Was öffentlich einsehbar war
Betroffen waren Wahlergebnisse zu drei internen Wahlen: der Jugend- und Auszubildendenvertretung, der Mitarbeitendenvertretung und der Schwerbehindertenvertretung. Die Dateien enthielten die Namen der Kandidatinnen und Kandidaten, ihre Stimmenanzahl und ihre Listenplatzierung. Beim Ergebnis der Schwerbehindertenvertretungswahl wurden zudem die Geburtsdaten der gewählten Vertrauensperson und ihrer Stellvertretungen genannt.
Die Wahlen hatten bereits 2024 stattgefunden. Noch Ende Januar 2025 waren die Dateien öffentlich abrufbar, also deutlich länger als die gesetzlich vorgesehenen zwei Wochen. Die Inhalte wurden zudem von Suchmaschinen indexiert.
Wie die Datenpanne entstanden ist
Ursache war eine Website-Migration, bei der Intranet-Inhalte versehentlich auf eine öffentlich zugängliche Seite übertragen wurden. Die mit der Migration beauftragte Person war zum Zeitpunkt der Arbeit im internen Netz des Unternehmens eingeloggt und hat dabei offenbar nicht bemerkt, dass die betroffenen Inhalte mit Zugriffsbeschränkungen versehen waren. Zugriffsbeschränkungen, die im internen Netz greifen, sind von außen nicht sichtbar und werden bei einer unkritischen Migration nicht automatisch übernommen.
Was rechtlich gilt
Die Veröffentlichung von Wahlergebnissen zu Betriebsrats-, Personalrats- und Schwerbehindertenvertretungswahlen ist gesetzlich vorgeschrieben. Für den Betriebsrat ergibt sich das aus § 3 Abs. 4 und § 18 der Wahlordnung zum Betriebsverfassungsgesetz, für den Personalrat aus § 2 Abs. 2 und § 31 der Wahlordnung zum Landespersonalvertretungsgesetz Baden-Württemberg. Die Ergebnisse der Schwerbehindertenvertretungswahl sind nach § 5 Abs. 2 und § 15 der Wahlordnung für Schwerbehindertenvertretungen bekanntzumachen.
Diese Veröffentlichungspflichten sind Grundlage für die Datenverarbeitung nach Art. 6 Abs. 1 lit. c) DS-GVO, also zur Erfüllung einer rechtlichen Pflicht. Der Rahmen ist dabei klar begrenzt: Veröffentlicht werden darf nur intern, nur für Wahlberechtigte, nur für zwei Wochen und nur im vorgesehenen Umfang. Eine öffentliche Zugänglichkeit im Internet ist von keiner dieser Grundlagen gedeckt.
Das Problem mit der Wayback Machine
Auch nachdem die betroffene Stelle die Dateien von ihrer Website entfernt hatte, waren sie noch über die Internet Wayback Machine unter web.archive.org abrufbar. Der LfDI BW forderte die verantwortliche Stelle auf, einen Löschantrag beim Internet Archive zu stellen. Dieser war erfolgreich: Die Inhalte wurden auch aus dem Archiv entfernt. Unternehmen und Behörden sollten bei Datenpannen mit öffentlich zugänglichen Inhalten daher immer auch prüfen, ob Suchmaschinen-Caches und Web-Archivdienste die betroffenen Seiten gespeichert haben, und gegebenenfalls aktiv Löschanträge stellen.
Was nach einer Website-Migration zu prüfen ist
Der LfDI BW benennt mehrere Lehren aus dem Fall. Erstens muss nach jeder Migration gezielt kontrolliert werden, ob Zugriffsbeschränkungen für Inhalte mit personenbezogenen Daten korrekt übernommen wurden. Diese Kontrolle darf nicht nebenbei erfolgen, sondern muss als eigenständiger Prüfschritt geplant sein. Zweitens muss der migrierenden Person bekannt sein, welche Inhalte zugriffsbeschränkt sind. Das sollte entweder im Migrationsplan dokumentiert oder in den Metadaten der betreffenden Seiten vermerkt sein. Drittens sind nach der Migration Tests durch die IT-Abteilung und eine Endkontrolle durch die inhaltlich verantwortliche Stelle erforderlich. Viertens müssen personenbezogene Daten, die nur für einen begrenzten Zeitraum veröffentlicht werden dürfen, nach Ablauf dieser Frist tatsächlich gelöscht werden. Ist eine automatisierte Löschfunktion nicht möglich, reichen dokumentierte Erinnerungsfunktionen oder Workflow-Anpassungen als Kompensationsmaßnahme.
Unsere Empfehlungen
Unternehmen und KMU
Planen Sie Website-Migrationen immer mit einem expliziten Prüfschritt für Zugriffsberechtigungen. Erstellen Sie eine Liste aller Inhalte mit Zugriffsbeschränkungen, bevor die Migration beginnt. Testen Sie nach der Migration von außerhalb des internen Netzes, ob alle Zugangsbeschränkungen greifen. Bei Wahlergebnissen und ähnlich sensiblen Inhalten empfiehlt sich zusätzlich eine automatisierte Löschfunktion oder zumindest eine dokumentierte Wiedervorlage.
Behörden und öffentliche Stellen
Personalrats- und Schwerbehindertenvertretungswahlen erzeugen Daten mit besonderem Schutzbedarf. Die Ergebnisse dürfen ausschließlich intern und nur für Wahlberechtigte zugänglich sein. Prüfen Sie bei jeder IT-Migration, ob intranetbasierte Inhalte mit personenbezogenen Daten korrekt abgesichert bleiben. Stellen Sie bei Datenpannen mit öffentlich gewordenen Inhalten sofort Löschanträge bei Suchmaschinen und Archivdiensten.
Kanzleien und Freiberufler
Wahlergebnisse zu Betriebsrats- und Schwerbehindertenvertretungswahlen fallen unter die gesetzlichen Bekanntmachungspflichten des Betriebsverfassungsrechts. Beraten Sie Mandanten dazu, dass diese Pflichten eng begrenzt sind und keine öffentliche Zugänglichkeit umfassen. Weisen Sie bei IT-Projekten auf die datenschutzrechtliche Relevanz von Migrationskonzepten hin.
Quelle: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW), 41. Tätigkeitsbericht Datenschutz 2025, Abschnitt 5.5.9
Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
- Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
- Nachweis der Datenlöschung – So dokumentieren Sie korrekt
- Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft
Dieser Absatz enthält Affiliatelinks/Werbelinks