Ende 2020 hatte das Bundesministerium für Arbeit und Soziales (BMAS) bekanntlich den Referentenentwurf für ein Betriebsrätestärkungsgesetz veröffentlicht (PDF). In einem neuen § 79a BetrVG sollte gesetzlich klargestellt werden, dass datenschutzrechtlich der Arbeitgeber Verantwortlicher ist, wenn der Betriebsrat personenbezogene Daten verarbeitet (hierzu mein Blogbeitrag).

Der Entwurf wurde von der Bundesregierung aber (noch) nicht offiziell beschlossen und erst einmal zurückgezogen. War es das also, mit einer Regelung zur Frage der Verantwortlichkeit der Personalvertretung?

Vielleicht nicht. Parallel zu diesem Vorschlag für den privatwirtschaftlichen Bereich, hat nämlich das Bundesinnenministerium eine Schwesterregelung für den öffentlichen Bereich erarbeitet und das „Gesetzes zur Novellierung des Bundespersonalvertretungsgesetzes“ (PDF) wurde von der Bundesregierung verabschiedet und ist bereits im Gesetzgebungsverfahren im Bundestag. Angedacht ist in dem Gesetz auch eine Ergänzung des Bundespersonalvertretungsgesetzes (BPersVG) um einen neuen § 69 BPersVG („Datenschutz“).

„Bei der Verarbeitung personenbezogener Daten hat der Personalrat die Vorschriften über den Datenschutz einzuhalten. Soweit der Personalrat zur Erfüllung der in seiner Zuständigkeit liegenden Aufgaben personenbezogene Daten verarbeitet, ist die Dienststelle der für die Verarbeitung Verantwortliche im Sinne der datenschutzrechtlichen Vorschriften.“

Wem diese Regelung bekannt vorkommt, der darf gerne einen Blick in den ursprünglich geplanten § 79a BetrVG werfen. Im Grunde handelt es sich um eine inhaltsgleiche Kopie.

Meine in dem oben verlinkten Beitrag geäußerte Kritik zu § 79a BetrVG würde ich genauso auf den geplanten § 69 BPersVG übertragen. Nur ein Beispiel. In der Begründung des Gesetzentwurfes heißt es (S. 111): „Schließlich hat der Personalrat innerhalb seines Zuständigkeitsbereichs eigenverantwortlich die Umsetzung technischer und organisatorischer Maßnahmen zur Gewährleistung der Datensicherheit im Sinne der Artikel 24 und 32 der Datenschutz-Grundverordnung sicherzustellen“. Warum soll der Personalrat „eigenverantwortlich“ die Umsetzung von Sicherheitsmaßnahmen sicherstellen, wenn er doch für die Umsetzung der Art. 24 und 32 DSGVO nach der Idee des Entwurfs gar nicht Verantwortlicher ist? Oder anders gefragt: wenn die Dienststelle datenschutzrechtlich Verantwortlicher ist, obliegt ihr die Einhaltung der Pflichten der DSGVO, auch innerhalb der organisationsinternen Einrichtung „Personalrat“. Nach dem Entwurf soll der Personalrat aber „eigenverantwortlich“ agieren. Wie passt das zusammen?

Spannend ist nun die Frage, was passiert, wenn das Gesetz in dieser Form in Kraft tritt (bzw., wie sich dann Interpretationen entwickeln).

Erste Möglichkeit: Regelung zur Verantwortlichkeit gilt wirklich nur für den Personalrat, also den öffentlichen Bereich; keine Auswirkung auf den privatwirtschaftlichen Bereich und Betriebsrat. Argument: Vorschlag des BMAS in dem Bereich ist ja gescheitert, obwohl man es regeln wollte.

Zweite Möglichkeit: Regelung der Verantwortlichkeit muss man so auch im privatwirtschaftlichen Bereich annehmen; es würde ja keinen Sinn machen, das unterschiedlich zu behandeln, zumal die Gesetzesbegrünung fast identisch ist.

Ich bin gespannt, wie sich das Thema entwickelt.