In der Arbeitswelt sind Betriebsräte das Rückgrat der Mitbestimmung. Sie handeln für die Belegschaft, wahren Rechte und kämpfen für faire Bedingungen. Doch was passiert, wenn gerade ein Betriebsratsvorsitzender gegen grundlegende Regeln verstößt – und dabei tief in die datenschutzrechtliche Grauzone eintaucht? Das Hessische Landesarbeitsgericht (Beschluss vom 10.03.2025 – 16 TaBV 109/24) hat hierzu eine bemerkenswerte Entscheidung gefällt. Sie wirft einen scharfen Blick auf die Pflichten von Betriebsräten im Umgang mit sensiblen Mitarbeiterdaten – und wo deren Verantwortung endet.
Der Fall: Gute Absicht, falscher Weg?
Der Ausgangspunkt klingt harmlos: Der Vorsitzende eines neunköpfigen Betriebsrats in einer Klinik mit rund 390 Beschäftigten wollte eine umfangreiche Excel-Tabelle mit sensiblen Personaldaten zu Hause bearbeiten – zwecks besserer Lesbarkeit auf einem größeren Bildschirm. Diese Liste enthielt alles, was datenschutzrechtlich heikel ist: Namen, Vergütungen, Eingruppierungen, Konzernvergleiche – kurzum, ein vollständiger Überblick über das interne Entgeltsystem.
Der Haken: Der Vorsitzende leitete die Datei mehrfach an seine privaten E-Mail-Adressen weiter, bearbeitete sie auf seinem privaten Rechner – ohne Rücksprache mit dem Arbeitgeber, ohne technische Absicherung nach DSGVO-Standards, ohne Einwilligung der Betroffenen. Und obwohl er zuvor wegen ähnlicher Vorgänge bereits abgemahnt worden war.
Das arbeitsgerichtliche Ergebnis: Ausschluss statt Abmahnung
Das Hessische LAG bestätigte nun den bereits durch das Arbeitsgericht Wiesbaden beschlossenen Ausschluss des Betriebsratsvorsitzenden aus dem Gremium (§ 23 Abs. 1 Satz 1 BetrVG). Die Richter sahen in der wiederholten Weiterleitung personenbezogener Daten einen groben Verstoß gegen die datenschutzrechtlichen Pflichten des Betriebsrats gemäß § 79a Satz 1 BetrVG.
Interessant ist dabei nicht nur die rechtliche Bewertung, sondern auch der Ton des Gerichts: Die Richter attestierten dem Betriebsratsvorsitzenden, dass er sich bewusst über Warnungen und technische Hürden hinweggesetzt habe. Sein Verhalten wurde als „unbelehrbar“ und „nicht zu rechtfertigen“ bewertet – selbst mit der vorgeschobenen Notwendigkeit, von einem größeren Bildschirm aus zu arbeiten.
Datenschutzrechtlich: Kein Spielraum für Pragmatismus
Juristisch gesehen, sind die datenschutzrechtlichen Grundlagen eindeutig: Die Weiterleitung der Daten war nicht erforderlich im Sinne von § 26 Abs. 1 BDSG – schon gar nicht „alternativlos“. Eine Verarbeitung personenbezogener Daten außerhalb der vom Arbeitgeber bereitgestellten Systeme – und insbesondere auf privaten Endgeräten – bedarf entweder einer klaren Rechtsgrundlage oder einer Einwilligung der Betroffenen. Beides fehlte hier.
Auch das häufig bemühte Argument der „praktischen Notwendigkeit“ verfängt nicht. Die DSGVO verlangt eine Verarbeitung nach dem Prinzip der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und schützt die informationelle Selbstbestimmung der Beschäftigten. Dass der PC des Betriebsrats passwortgeschützt war und eine Sicherheitssoftware installiert wurde, war nach Ansicht des Gerichts irrelevant – Datenschutzverletzungen lassen sich nicht durch gute Absichten oder technische Eigeninitiativen entschuldigen.
Ein Signal an Betriebsräte – und Arbeitgeber
Der Fall hat Signalwirkung: Betriebsräte sind keine datenschutzfreien Räume. Sie handeln im Rahmen ihres Amts eigenverantwortlich, aber nicht außerhalb gesetzlicher Schranken. Arbeitgeber tun gut daran, Betriebsräte nicht nur mit Technik auszustatten, sondern auch regelmäßig datenschutzrechtlich zu schulen. Denn Unwissenheit oder Nachlässigkeit kann nicht nur zu internen Spannungen führen, sondern das Vertrauen in die Gremienarbeit beschädigen.
Auf der anderen Seite sollten Betriebsräte ihre Arbeitsbedingungen kritisch reflektieren. Wer seine Aufgaben ernst nimmt, muss auch bereit sein, technische Wege innerhalb des Systems zu nutzen – statt private Lösungen zu suchen, die rechtlich auf dünnem Eis stehen.
Fazit: Verantwortung kennt keine Bildschirmdiagonale
Dieser Fall ist mehr als ein Einzelfall. Er zeigt, dass Datenschutz keine Nebensache ist – auch und gerade nicht in der Betriebsratsarbeit. Die Grenze zwischen Engagement und Pflichtverletzung verläuft dort, wo persönliche Initiative die Rechte anderer berührt. Und das kann – wie in diesem Fall – ein Amtsaus bedeuten.