Betriebsrat und Datenschutz: Warum private E-Mail-Postfächer ein echtes Risiko sind
Betriebsräte arbeiten regelmäßig mit besonders sensiblen Informationen. Dazu gehören Beschäftigtendaten, Krankheitszeiten, Vergütungsinformationen, Eingruppierungen, Beschwerden, Personalmaßnahmen oder interne Konflikte. Gerade deshalb gelten auch für Betriebsräte hohe Anforderungen an den Datenschutz.
Eine aktuelle Entscheidung des Hessischen Landesarbeitsgerichts zeigt deutlich: Datenschutzverstöße im Betriebsrat sind keine bloße Formalie. Sie können erhebliche arbeits- und betriebsverfassungsrechtliche Folgen haben.
Der Fall: Weiterleitung an private E-Mail-Adresse
Mit Beschluss vom 10. März 2025 hat sich das Hessische Landesarbeitsgericht mit einem Datenschutzverstoß eines Betriebsratsvorsitzenden befasst (Hessisches Landesarbeitsgericht, Beschluss vom 10. März 2025, Az. 16 TaBV 109/24).
In dem Fall hatte ein Betriebsratsvorsitzender dienstliche E-Mails beziehungsweise personenbezogene Beschäftigtendaten an seine private E-Mail-Adresse weitergeleitet. Betroffen waren unter anderem sensible Personaldaten. Nach den Berichten zu der Entscheidung ging es beispielsweise um eine Personalliste mit Angaben zu Mitarbeitenden, deren Stellung im Betrieb, Tarifgruppe, Vergütung und weiteren arbeitsbezogenen Informationen.
Das Gericht sah darin einen schwerwiegenden Datenschutzverstoß. Die Weiterleitung personenbezogener Beschäftigtendaten an ein privates E-Mail-Postfach war nach Auffassung des Gerichts nicht erforderlich und verletzte grundlegende datenschutzrechtliche Pflichten. Der Ausschluss aus dem Betriebsrat wurde bestätigt.
Warum die Entscheidung wichtig ist
Viele Unternehmen und Betriebsräte arbeiten im Alltag pragmatisch. Dateien werden schnell weitergeleitet, Unterlagen zu Hause bearbeitet oder E-Mails an private Postfächer geschickt, „damit man noch etwas erledigen kann“.
Genau darin liegt das Problem.
Private E-Mail-Postfächer sind regelmäßig nicht Teil der geschützten betrieblichen IT-Infrastruktur. Der Arbeitgeber hat dort keine Kontrolle über technische Schutzmaßnahmen, Zugriffsmöglichkeiten, Speicherorte, Weiterleitungen oder Löschfristen. Auch private Geräte können datenschutzrechtlich problematisch sein, wenn darauf Beschäftigtendaten verarbeitet werden.
Was praktisch bequem erscheint, kann rechtlich ein erheblicher Verstoß sein.
Betriebsräte sind an Datenschutz gebunden
Betriebsräte nehmen wichtige Aufgaben wahr und benötigen dafür häufig Zugriff auf Beschäftigtendaten. Das bedeutet aber nicht, dass sie mit diesen Daten beliebig umgehen dürfen.
Nach § 79a BetrVG hat der Betriebsrat bei der Verarbeitung personenbezogener Daten die Vorschriften über den Datenschutz einzuhalten. Dazu gehören insbesondere die Grundsätze der DSGVO, etwa Vertraulichkeit, Integrität, Datenminimierung, Zweckbindung und Sicherheit der Verarbeitung.
Gerade weil Betriebsräte oft besonders vertrauliche Informationen erhalten, müssen sie sorgfältig mit diesen Daten umgehen.
„Ich brauche die Daten für Betriebsratsarbeit“ reicht nicht immer
Natürlich darf ein Betriebsrat personenbezogene Daten verarbeiten, wenn dies für seine gesetzlichen Aufgaben erforderlich ist. Aber daraus folgt nicht automatisch, dass jede Form der Verarbeitung zulässig ist.
Entscheidend ist nicht nur, ob der Betriebsrat die Information benötigt. Entscheidend ist auch, wie die Daten verarbeitet werden.
Wenn dienstliche Geräte, geschützte Postfächer oder sichere Zugänge zur Verfügung stehen, ist die Weiterleitung an eine private E-Mail-Adresse regelmäßig schwer zu rechtfertigen. Das gilt erst recht bei umfangreichen Personallisten, Entgeltdaten oder anderen sensiblen Beschäftigtendaten.
Was Unternehmen aus der Entscheidung lernen sollten
Die Entscheidung ist nicht nur für Betriebsräte relevant. Auch Arbeitgeber sollten sie ernst nehmen.
Denn Datenschutz im Betriebsrat ist ein gemeinsames Organisationsproblem. Arbeitgeber müssen dem Betriebsrat ermöglichen, seine Aufgaben ordnungsgemäß zu erfüllen. Dazu gehört auch eine geeignete technische Ausstattung: sichere E-Mail-Postfächer, geschützte Dateiablagen, dienstliche Geräte, klare Zugriffsrechte und nachvollziehbare Kommunikationswege.
Wenn der Betriebsrat keine praktikablen sicheren Arbeitsmittel hat, steigt das Risiko von Umgehungslösungen. Solche Umgehungslösungen sind aber gerade bei Beschäftigtendaten besonders gefährlich.
Praktische Maßnahmen für KMU
Kleine und mittlere Unternehmen sollten prüfen, ob für Betriebsratsarbeit klare Datenschutzregeln bestehen. Das muss nicht überbürokratisch sein. Wichtig sind verständliche und umsetzbare Vorgaben.
Sinnvoll sind insbesondere:
- ein eigenes dienstliches E-Mail-Postfach für den Betriebsrat,
- klare Regeln zum Verbot privater E-Mail-Weiterleitungen,
- sichere Ablageorte für Betriebsratsunterlagen,
- dienstliche Geräte für Betriebsratsarbeit,
- geregelte Zugriffsrechte,
- Verschlüsselung oder geschützte Übertragungswege bei sensiblen Daten,
- Schulungen für Betriebsratsmitglieder zum Beschäftigtendatenschutz,
- ein abgestimmter Prozess für besonders sensible Unterlagen.
Gerade bei Entgeltdaten, Krankheitsdaten, Personalmaßnahmen und Konfliktfällen sollten Unternehmen besonders vorsichtig sein.
Private Geräte und Homeoffice
Auch Betriebsratsarbeit im Homeoffice ist nicht ausgeschlossen. Sie muss aber datenschutzkonform organisiert werden.
Das bedeutet: Beschäftigtendaten sollten nicht unkontrolliert auf privaten Geräten gespeichert werden. Wenn mobiles Arbeiten erforderlich ist, sollten sichere dienstliche Lösungen genutzt werden. Dazu können VPN-Zugänge, dienstliche Laptops, geschützte Cloud- oder Serverlösungen und klare Lösch- und Zugriffsregeln gehören.
Der Grundsatz lautet: Betriebsratsarbeit darf nicht dazu führen, dass sensible Beschäftigtendaten aus der kontrollierten Unternehmensumgebung herauswandern.
Was Betriebsräte beachten sollten
Auch Betriebsratsmitglieder sollten sich der Tragweite bewusst sein. Datenschutz ist keine Aufgabe allein des Arbeitgebers. Wer als Betriebsrat personenbezogene Daten erhält, muss diese vertraulich und sicher behandeln.
Besonders riskant sind automatische Weiterleitungen, private E-Mail-Konten, Messenger-Dienste, private Cloudspeicher, USB-Sticks oder ungeschützte lokale Kopien auf privaten Rechnern.
Im Zweifel sollte vorab geklärt werden, welche technische Lösung zulässig ist. Eine vermeintlich schnelle Abkürzung kann sonst erhebliche Folgen haben.
Kein Randthema, sondern Compliance-Frage
Der Fall zeigt: Datenschutz im Arbeitsverhältnis ist längst kein Nebenthema mehr. Das betrifft Arbeitgeber, Personalabteilungen, Führungskräfte und Betriebsräte gleichermaßen.
Für Unternehmen ist die Entscheidung ein guter Anlass, die eigenen Prozesse zu überprüfen. Gibt es klare Regeln für Beschäftigtendaten? Sind Betriebsratsunterlagen sicher abgelegt? Werden private E-Mail-Postfächer ausgeschlossen? Gibt es Schulungen und Zuständigkeiten?
Wenn diese Fragen nicht beantwortet werden können, besteht Handlungsbedarf.
Fazit
Die Entscheidung des Hessischen Landesarbeitsgerichts macht deutlich: Betriebsräte müssen besonders sorgfältig mit Beschäftigtendaten umgehen. Die Weiterleitung sensibler personenbezogener Daten an private E-Mail-Adressen kann einen groben Pflichtverstoß darstellen und im Einzelfall sogar den Ausschluss aus dem Betriebsrat rechtfertigen.
Für Unternehmen und Betriebsräte bedeutet das: Datenschutz muss organisatorisch und technisch sauber umgesetzt werden. Sichere Arbeitsmittel, klare Regeln und ein gemeinsames Verständnis für den Umgang mit Beschäftigtendaten sind unverzichtbar.
Wer Betriebsratsarbeit digital organisiert, sollte nicht nur auf Praktikabilität achten, sondern auch auf Datenschutz, Nachvollziehbarkeit und Vertraulichkeit.
Quelle: Hessisches Landesarbeitsgericht, Beschluss vom 10. März 2025, Az. 16 TaBV 109/24.
Über den Autor
Rechtsanwalt Christoph Kehr berät Unternehmen praxisnah und digital. Zu seinen Tätigkeitsfeldern zählen insbesondere das außergerichtliche Forderungsmanagement und die datenschutzrechtliche Beratung kleiner und mittlerer Unternehmen.
Hinweis: Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine rechtliche Beratung im Einzelfall. Die rechtliche Bewertung kann insbesondere von den vertraglichen Vereinbarungen und den konkreten Umständen abhängen.