Salcher, DSGVO-Geldbußen gegen den Betriebsrat, ecolex 2019, 616

Der Betriebsrat verarbeitet in Ausübung einer Reihe von Mitwirkungsrechten der Belegschaft personenbezogene Arbeitnehmerdaten. Offensichtlich wird dies va bei den Einsichtsrechten nach § 89 Z 1 und Z 4 ArbVG, darüber hinaus gibt es viele weitere - weniger offenkundige - Mitwirkungsrechte (§§ 91 ff ArbVG). Der Beitrag geht der Frage nach, ob der Betriebsrat dabei als Verantwortlicher iSd Art 4 Z 7 DSGVO zu qualifizieren ist und ihm bei Datenschutzverletzungen Geldbußen iSd Art 83 DSGVO drohen. Salcher kommt zu dem Ergebnis, dass die Belegschaft zwar als Verantwortlicher iSd Art 4 Z 7 DSGVO qualifiziert werden könne. Wegen der mangelnden Vermögensfähigkeit komme sie allerdings bei Datenschutzverletzungen nicht als Adressat von Geldbußen in Betracht. Auch eine Sanktionierung des Betriebsratsfonds oder einzelner Betriebsratsmitglieder an ihrer Stelle scheide aus, weil weder das DSG noch das VStG einen derartigen Wechsel im Sanktionsadressaten vorsehen. Verstoßen Betriebsratsmitglieder in Ausübung ihrer Vertretungsbefugnisse bei der Verarbeitung personenbezogener Arbeitnehmerdaten gegen die DSGVO, könne die Datenschutzbehörde Geldbußen ausschließlich gegenüber dem Betriebsratsvorsitzenden als nach außen vertretungsbefugte natürliche Person iS des subsidiär heranzuziehenden § 9 Abs 1 VStG verhängen. Eine Überwälzung der Verwaltungsstrafe auf die handelnden ("schlichten") Betriebsratsmitglieder scheide ebenso aus wie der nachträgliche Ersatz aus Mitteln des Betriebsratsfonds.