Personalrat und Datenschutz

Was der Personalrat wissen darf und was er für sich behalten muss

Personalräte haben weitreichende Informationsrechte. Sie dürfen mit der Belegschaft und der Dienststellenleitung sprechen, und sie sollen es auch. Wo dieser Austausch an Grenzen stößt, zeigt die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) in ihrem Tätigkeitsbericht an mehreren aktuellen Beispielen.

Ein Personalrat hat Anspruch darauf, rechtzeitig und vollständig über alle Sachverhalte informiert zu werden, die für seine Entscheidungen wichtig sind. Er muss auch nicht alles hinter verschlossenen Türen besprechen. Der Austausch mit Beschäftigten und Dienststellenleitung gehört zu seiner Arbeit.

Verlangt der Personalrat von der Dienststellenleitung Informationen mit Personenbezug, muss nach der Rechtsprechung des Bundesverwaltungsgerichts (BVerwG) geprüft werden, ob er diese Daten für seine gesetzlichen Aufgaben wirklich braucht. Maßstab ist der Grundsatz der Verhältnismäßigkeit. Im entschiedenen Fall wollte ein Personalrat jeden Monat eine Liste mit den Salden aller Gleitzeitkonten der Beschäftigten erhalten. Damit wollte er kontrollieren, ob die Dienstvereinbarung zur gleitenden Arbeitszeit eingehalten wird. Das BVerwG hat die Erforderlichkeit verneint und damit seine ständige Rechtsprechung bestätigt.

Leer ausgehen muss der Personalrat trotzdem nicht. Die Dienststellenleitung muss ihm aussagekräftige Informationen geben, mit denen er seine Überwachungsaufgabe erfüllen kann. Auf einer ersten Stufe können das anonymisierte oder pseudonymisierte Daten sein. Braucht der Personalrat im Einzelfall bestimmte Angaben mit Namensbezug, kann er sie auf einer zweiten Stufe verlangen. Dafür muss er darlegen, warum das verhältnismäßig ist. Nach dem Gericht kommt das nur als letztes Mittel in Betracht.

Mindestens einmal im Jahr berichten Personalräte auf einer Personalversammlung über ihre Arbeit. Einzelfälle haben dort in aller Regel nichts zu suchen. Das gebietet schon die Rücksicht auf die betroffenen Personen. Eine Ausnahme ist möglich, wenn die betroffene Person ausdrücklich einwilligt oder selbst als Beispiel genannt werden möchte.

Bei der BlnBDI ging eine Beschwerde ein, weil ein Personalrat auf einer Personalversammlung über Stellenbesetzungsverfahren berichtet hatte. Nach Einschätzung der Datenschutzbehörde wussten zumindest einige Zuhörende, wer sich auf die Stelle beworben hatte. Dadurch ließ sich die Schilderung des Verfahrens bestimmten Personen zuordnen und bekam einen Personenbezug.

Die BlnBDI sah darin einen Verstoß gegen die gesetzliche Schweigepflicht des Personalrats nach § 11 PersVG Bln. Diese Pflicht gilt unter anderem für Personaleinzelangelegenheiten, von denen Personalratsmitglieder bei ihrer Arbeit erfahren. Warum eine Stelle nicht besetzt wurde, mag die Beschäftigten interessieren. Bei personenbezogenen Daten hat die Schweigepflicht aber regelmäßig Vorrang. Der Personalrat muss deshalb trennen. Auf der einen Seite stehen Informationen, die allgemein bekannt sind oder keiner Person zugeordnet werden können. Auf der anderen Seite stehen Informationen, die geheim bleiben müssen. Die Datenschutzbehörde hat das Verfahren mit einem entsprechenden Hinweis an den Personalrat abgeschlossen.

Die BlnBDI weist auch auf eine Gesetzesänderung hin. § 28 Abs. 1 PersVG Bln regelt neu, wie festgestellt wird, dass ein Personalratsmitglied verhindert ist. Scheidet ein Mitglied aus, rückt ein Ersatzmitglied nach. Dasselbe gilt jetzt für die Zeit, in der ein Mitglied „nach der Feststellung des Personalrats“ verhindert ist. Früher traf diese Feststellung nur der Vorsitz. Heute darf das gesamte Gremium von der Verhinderung wissen und auch den Grund kennen. Ein größerer Personenkreis erfährt also zwangsläufig davon.

Die Datenschutzbehörde rät trotzdem zu Umsicht. Personalratsmitglieder können darauf hingewiesen werden, nur zwei Angaben an das Personalratspostfach zu schicken, nämlich dass sie krank sind und wie lange. Genauere Angaben zur Erkrankung gehören nicht dorthin.

Für die BlnBDI ist die Linie klar. Trotz seiner weiten Informationsrechte muss der Personalrat vor jeder Verarbeitung personenbezogener Daten prüfen, ob ein Bezug zu seinen Aufgaben besteht. Bei Personaleinzelangelegenheiten muss er seine Schweigepflicht besonders ernst nehmen.

Unsere Empfehlungen

Behörden und öffentliche Stellen

• Auskunftsverlangen des Personalrats in zwei Stufen beantworten. Zuerst gibt es anonymisierte oder pseudonymisierte Auswertungen im Sinne von Art. 4 DS-GVO. Namen gibt es nur auf begründeten Antrag im Einzelfall. Das entspricht dem Grundsatz der Datenminimierung aus Art. 5 DS-GVO.
• Pseudonymisierte Listen mit festen Kennziffern führen. So kann der Personalrat Entwicklungen über mehrere Monate verfolgen, ohne Namen zu kennen.
• Personalräte vor der Personalversammlung sensibilisieren. Berichte über Stellenbesetzungen, Beschwerden oder Konflikte so formulieren, dass niemand im Saal auf einzelne Personen schließen kann. In kleinen Dienststellen reicht dafür oft schon die Nennung der Stelle.
• Klare Regeln für das Personalratspostfach festlegen. Verhinderungsmeldungen enthalten nur die Tatsache der Erkrankung und die Dauer. Diagnosen sind Gesundheitsdaten nach Art. 9 DS-GVO und haben dort nichts verloren. Zugriffsrechte und Löschfristen für das Postfach gehören ebenfalls geregelt.

Unternehmen und KMU

• Die Grundsätze lassen sich auf Betriebsräte übertragen. Auch der Auskunftsanspruch nach § 80 Abs. 2 BetrVG reicht nur so weit, wie der Betriebsrat die Daten für seine Aufgaben braucht.
• Nach § 79a BetrVG ist der Arbeitgeber Verantwortlicher, wenn der Betriebsrat personenbezogene Daten verarbeitet. Arbeitgeber und Betriebsrat sollten deshalb gemeinsam regeln, wie der Betriebsrat mit Personaldaten umgeht, etwa mit Zugriffsrechten, Ablage und Löschfristen.
• Auf Betriebsversammlungen gilt dieselbe Zurückhaltung wie auf Personalversammlungen. Für persönliche Verhältnisse aus personellen Einzelmaßnahmen besteht eine Pflicht zur Verschwiegenheit, zum Beispiel nach § 99 Abs. 1 BetrVG.

Gesundheitseinrichtungen

• Kliniken in öffentlicher Trägerschaft haben Personalräte, private Häuser Betriebsräte. In beiden Fällen sollten Auswertungen zu Dienstplänen, Überstunden und Arbeitszeitkonten zunächst ohne Namen an das Gremium gehen.
• Gerade im Klinikbetrieb kommen Gesundheitsdaten von Beschäftigten häufig vor. Krankmeldungen an das Gremium sollten keine Diagnosen enthalten, und Berichte aus dem Gremium dürfen keine Rückschlüsse auf erkrankte Kolleginnen und Kollegen zulassen.

Quelle: Berliner Beauftragte für Datenschutz und Informationsfreiheit

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

• Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
• Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
• Nachweis der Datenlöschung – So dokumentieren Sie korrekt
• Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
• Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
• Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
• Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
• Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft

Dieser Absatz enthält Affiliatelinks/Werbelinks