Betriebsrat als Verantwortlicher im Datenschutzrecht
Zuletzt aktualisiert am 1. Juni 2026
Wo immer es im Betrieb zur Verarbeitung personenbezogener Daten kommt, müssen vom jeweiligen Verantwortlichen die datenschutzrechtlichen Vorgaben eingehalten werden. Bei der Verletzung datenschutzrechtlicher Bestimmungen drohen hohe Bußgelder. In der Regel trifft dieses Bußgeld bei einem Verstoß den Arbeitgeber. Doch kann bei einer Verarbeitung durch den Betriebsrat auch dieser datenschutzrechtlich Verantwortlicher sein?
Inwiefern verarbeitet der Betriebsrat Daten?
In Betrieben, die einen Betriebsrat haben (mitbestimmte Betriebe), entfällt der Großteil an Verfügung über personenbezogene Daten auf diesen. Der Betriebsrat muss beteiligt werden, wenn neue Mitarbeiter eingestellt werden. Hierbei erhält er alle Bewerbungsunterlagen (§ 99 I BetrVG). Genauso wird der Betriebsart über Kündigungsgründe, längere Arbeitsunfähigkeit und Schwangerschaften informiert. Außerdem kann der Betriebsrat nicht-anonymisierte Lohn- und Gehaltslisten einsehen (§ 80 II 2 BetrVG). So werden nicht nur personenbezogene Daten, sondern sogar solche der besonderen Kategorie (Art. 9 DSGVO) vom Betriebsrat verarbeitet.
Wo sind Datenverarbeitung und Verantwortlichkeit geregelt?
Grundsätzlich regelt die DSGVO jede Datenverarbeitung in Europa. Für die Datenverarbeitung im Beschäftigungskontext enthält die DSGVO eine Öffnungsklausel (Art. 88 DSGVO). Das heißt, dass in diesem Bereich nationale Regelungen möglich sind. Der deutsche Gesetzgeber hat deshalb Art. 26 BDSG geschaffen. Dieser enthält aber keine Regelung dazu, ob der Betriebsrat Verantwortlicher sein kann. Die Bestimmung des Begriffes „Verantwortlicher“ liegt ganz bei der DSGVO. Zusammengefasst lässt sich sagen, dass Verantwortlicher derjenige ist, der personenbezogene Daten tatsächlich verarbeitet und über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO).
DATUREX GmbH stellt Ihnen einen externen Datenschutzbeauftragten nach Art. 37 DSGVO — inklusive Audit, Schulungen, VVT-Pflege und Datenpannen-Meldung. Kostenlose Ersteinschätzung in 30 Minuten.
→ Leistungen ansehenErsteinschätzung anfragenKann der Betriebsrat Verantwortlicher sein?
Dass der Betriebsrat personenbezogene Daten verarbeitet, liegt wie bereits festgestellt auf der Hand.
Zudem müsste er als Verantwortlicher auch über Mittel und Zwecke der Verarbeitung entscheiden. Dieser Schritt steht gedanklich vor der eigentlichen Verarbeitung. Schließlich ist die Verarbeitung personenbezogener Daten nur zu vorher festgelegten Zwecken rechtmäßig (Art. 5 Ib DSGVO). Genauso entscheidet ein Verantwortlicher über die Mittel der Verarbeitung, also vor allem über technische Methoden.
Ein Betriebsrat entscheidet bei der Verarbeitung personenbezogener Daten nicht nur darüber, ob oder wozu er diese zur Kenntnis nimmt (Zweck), sondern auch wie oder was mit diesen Daten dann passiert (Mittel). Aus diesem Standpunkt heraus kann er als Verantwortlicher gesehen werden.
Arbeitsrechtliche Kritik
Kritik an dieser Ansicht wird vor allem von Arbeitsrechtlern laut. Sie betonen, dass das BetrVG dem Betriebsrat enge Grenzen in der Entscheidung über Ob und Wie der Datenverarbeitung steckt. So könne er nicht frei entscheiden und könne nicht Verantwortlicher sein.
Konsequenz dieser Ansicht wäre, dass alle Datenverarbeitungsvorgänge des Betriebsrates dem Arbeitgeber zugerechnet werden müssten. Allerdings verarbeitet der Betriebsrat in den durch das BetrVG gesteckten Rahmen die Daten gerade für sich selbst und nicht für den Arbeitgeber. Der Arbeitgeber hat bei den Entscheidungen des Betriebsrates über Ob und Wie der Verarbeitung kein Mitspracherecht. Die Restriktionen durch das BetrVG ändern an dieser Situation nichts.
Problem Rechtsfähigkeit
Zudem wird der Ansicht, die die Verantwortlichkeit bejaht, entgegengehalten, dass die Haftung als Verantwortlicher der Tätigkeit im Betriebsrat als unentgeltliches Ehrenamt widerspricht. Der Betriebsrat selbst habe keine Haftungsmasse und die Mitglieder sollen wegen der Ehrenamtlichkeit nicht persönlich haften müssen. Es könne kein effektiver Schadensersatz verlangt werden.
Nach der Ansicht des EuGH spielt die Rechtsfähigkeit des Verantwortlichen allerdings keine Rolle. Die Verantwortlichkeit soll demnach weit ausgelegt werden als derjenige, der entscheidungsfähig ist. Danach muss untersucht werden, wem dieses Handeln zuzurechnen ist, in wessen Interesse die Verarbeitung also erfolgt. Nach dem EuGH kommt der Betriebsrat in Form seiner Mitglieder also grundsätzlich als Verantwortlicher in Betracht, wenn sie eigenständig entscheiden. Er sei damit auch weder Auftragsverarbeiter (Art. 28 III DSGVO) noch unterstellte Person (Art. 29 DSGVO).
Folgen für den Betriebsrat
Der Betriebsrat unterliegt als Verantwortlicher damit den datenschutzrechtlichen Verpflichtungen. Diese sind ihm nach der Rechtsprechung auch zumutbar. Ebenso ist der Betriebsrat dann Adressat für Betroffenenrechte.
Erfüllt der Betriebsrat diese Pflichten nicht, können Untersuchungsmaßnahmen (Art. 58 I DSGVO), Abhilfemaßnahmen (Art. 58 II DSGVO) und als letztes Mittel bei entsprechend hohem Verstoß auch Geldbußen (Art. 83 DSGVO gegen das einzelne Mitglied) drohen. Der Arbeitgeber haftet bei Verstoßen grundsätzlich nicht neben dem Betriebsrat.
Sie wünschen Beratung zum Thema Datenschutz im Betrieb? Unser Team an Experten hilft Ihnen gerne weiter!
Datenschutzrechtliche Grundlagen der Betriebsratstätigkeit
Mit der Neufassung des § 79a BetrVG hat der Gesetzgeber klargestellt, dass der Betriebsrat bei der Verarbeitung personenbezogener Daten an die Vorgaben der DSGVO gebunden ist. Der Arbeitgeber bleibt dabei der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO, auch soweit der Betriebsrat personenbezogene Daten verarbeitet. Diese gesetzliche Zuordnung hat erhebliche Bedeutung für die Praxis, da sie die Frage der Bußgeldhaftung und der organisatorischen Zuständigkeiten unmittelbar beeinflusst.
Praktische Konsequenzen für Unternehmen und Betriebsräte
Die Klarstellung durch das Bundesarbeitsgericht und den Gesetzgeber hat weitreichende praktische Konsequenzen für den betrieblichen Alltag. Unternehmen müssen ihre internen Datenschutzstrukturen überprüfen und gegebenenfalls anpassen, um den neuen Anforderungen gerecht zu werden. Dies betrifft insbesondere die Frage, wie der Betriebsrat seine datenschutzrechtlichen Pflichten in der Praxis umsetzen kann und welche Ressourcen ihm dafür zur Verfügung stehen müssen.
Der Arbeitgeber bleibt zwar der primäre Verantwortliche im Sinne der DSGVO, doch der Betriebsrat muss eigenständig sicherstellen, dass er bei der Verarbeitung personenbezogener Daten die datenschutzrechtlichen Vorgaben einhält. Dies umfasst unter anderem die Führung eines eigenen Verarbeitungsverzeichnisses für die vom Betriebsrat durchgeführten Datenverarbeitungen. Auch die Einhaltung der Grundsätze der Datenminimierung, Zweckbindung und Speicherbegrenzung liegt in der Verantwortung des Betriebsrats.
Schulungspflichten und Sensibilisierung
Eine besondere Herausforderung stellt die Schulung der Betriebsratsmitglieder im Bereich Datenschutz dar. Da der Betriebsrat als Teil des Verantwortlichen gilt, müssen seine Mitglieder über ausreichende Kenntnisse im Datenschutzrecht verfügen. Regelmäßige Datenschutz-Schulungen sind daher nicht nur empfehlenswert, sondern aus rechtlicher Sicht notwendig. Die Kosten für diese Schulungen hat nach § 40 Abs. 1 BetrVG der Arbeitgeber zu tragen.
Besonders relevant ist dies bei der Verarbeitung sensibler Beschäftigtendaten, etwa im Rahmen von Einigungsstellenverfahren, bei der Prüfung von Kündigungen oder bei der Überwachung der Einhaltung von Betriebsvereinbarungen. Hier hat der Betriebsrat häufig Zugang zu besonders schützenswerten Informationen, deren unsachgemäße Verarbeitung erhebliche Risiken für die betroffenen Beschäftigten bergen kann.
Zusammenarbeit mit dem Datenschutzbeauftragten
Der betriebliche oder externe Datenschutzbeauftragte ist auch für die Datenverarbeitungen des Betriebsrats zuständig. Dies ergibt sich aus der einheitlichen Verantwortlichkeit des Arbeitgebers. Der Datenschutzbeauftragte berät den Betriebsrat in datenschutzrechtlichen Fragen und überwacht die Einhaltung der DSGVO. Allerdings darf die Tätigkeit des Datenschutzbeauftragten nicht dazu führen, dass die Unabhängigkeit des Betriebsrats beeinträchtigt wird.
In der Praxis empfiehlt es sich, klare Regelungen zur Zusammenarbeit zwischen Betriebsrat und Datenschutzbeauftragtem in einer Betriebsvereinbarung festzuhalten. Diese sollte unter anderem regeln, welche Informationen der Datenschutzbeauftragte vom Betriebsrat erhalten darf und wie mit Datenschutzvorfällen im Verantwortungsbereich des Betriebsrats umzugehen ist. Eine solche Vereinbarung schafft Transparenz und Rechtssicherheit für alle Beteiligten.
Unternehmen, die unsicher sind, wie sie die datenschutzrechtliche Verantwortung zwischen Arbeitgeber und Betriebsrat richtig aufteilen, sollten frühzeitig fachkundige Beratung in Anspruch nehmen. Ein externer Datenschutzbeauftragter kann hier als neutraler Vermittler fungieren und praxistaugliche Lösungen entwickeln, die sowohl den rechtlichen Anforderungen als auch den betrieblichen Gegebenheiten gerecht werden.
Professionelle Datenschutz-Unterstützung für Ihr Unternehmen
Als erfahrene Datenschutzexperten unterstützen wir Sie bei allen Anforderungen der DSGVO. Unsere Leistungen im Überblick:
- DSGVO-Beratung – Individuelle Beratung für Ihr Unternehmen
- Verarbeitungsverzeichnis – Professionelle Erstellung und Pflege
- Technisch-organisatorische Maßnahmen – TOM nach DSGVO
- Datenschutz-Schulungen – Mitarbeiterschulungen und Awareness
→ Jetzt unverbindlich beraten lassen
Als erfahrene Datenschutzexperten unterstützt die DATUREX GmbH aus Dresden Unternehmen bei allen Fragen rund um Datenschutz und DSGVO-Compliance. Unsere TÜV-zertifizierten Berater stehen Ihnen mit individueller Beratung, praxisnahen Lösungen und langjähriger Erfahrung zur Seite. Vereinbaren Sie jetzt Ihre kostenlose Erstberatung und profitieren Sie von unserem Expertenwissen für Ihr Unternehmen.
Benötigen Sie Unterstützung bei der Umsetzung der DSGVO in Ihrem Unternehmen? Die DATUREX GmbH aus Dresden bietet Ihnen als zertifizierter Datenschutzdienstleister vollständige Beratung — von der initialen Bestandsaufnahme über die Erstellung aller erforderlichen Dokumentationen bis hin zur kontinuierlichen Betreuung als externer Datenschutzbeauftragter. Profitieren Sie von unserer langjährigen Erfahrung und vereinbaren Sie noch heute ein kostenloses Erstgespräch unter 0351/79593513 oder per E-Mail an datenschutz@externer-datenschutzbeauftragter-dresden.de.
Wir beraten Sie gerne persönlich und unverbindlich zu allen Fragen des Datenschutzes und der Informationssicherheit in Ihrem Unternehmen.
Verwandte Beiträge
Professioneller Datenschutz für Ihr Unternehmen
Die DATUREX GmbH ist Ihr zertifizierter externer Datenschutzbeauftragter — bundesweit, persönlich und DSGVO-konform. Ab 150 €/Monat.