Datenschutz im Betriebsrat – Wann die private E-Mail-Adresse zur Falle wird

1. Der Fall: Wenn gute Absichten zu schwerwiegenden Verstößen führen

Im Zentrum der Entscheidung steht ein Betriebsratsvorsitzender eines Klinikums mit knapp 400 Beschäftigten. Um Vergütungstabellen für die bevorstehenden Verhandlungen zu überarbeiten, leitete er eine umfangreiche Excel-Liste mit sensiblen Personaldaten (Namen, Eingruppierungen, Gehälter etc.) von seinem dienstlichen E-Mail-Account an seine private GMX-Adresse weiter – und von dort an den Betriebsrat zurück. Laut seiner Darstellung geschah dies lediglich, um zu Hause an einem größeren Monitor effizienter arbeiten zu können.

Die Konsequenz: Der Arbeitgeber stellte einen Antrag auf Ausschluss des Betriebsratsvorsitzenden wegen grober Pflichtverletzung – und bekam vor dem Arbeitsgericht Wiesbaden und später vor dem Landesarbeitsgericht Hessen recht. Das Gericht stellte klar: Die Weiterleitung sensibler Daten an eine private E-Mail-Adresse stellt einen gravierenden Verstoß gegen § 79a BetrVG i.V.m. der DSGVO dar. Die Pflichtverletzung war so schwerwiegend, dass der Ausschluss des Betriebsratsmitglieds gerechtfertigt war.

2. Rechtslage: Datenschutz ist Betriebsratsverantwortung – und kein Privatvergnügen

Spätestens seit Inkrafttreten der DSGVO ist klar: Auch Betriebsräte unterliegen den strengen Datenschutzvorgaben. § 79a BetrVG verpflichtet sie ausdrücklich zur Einhaltung der Datenschutzvorschriften – unabhängig vom Arbeitgeber.

Im vorliegenden Fall hätte die Verarbeitung nur dann rechtmäßig sein können, wenn eine der Voraussetzungen aus Art. 6 Abs. 1 DSGVO vorgelegen hätte – z.B. eine Einwilligung der Betroffenen oder eine gesetzliche Erforderlichkeit. Beides war hier nicht gegeben.

Das Gericht ließ auch nicht gelten, dass der Computer des Betriebsrats passwortgeschützt und angeblich sicher war. Der Grundsatz ist klar: Der Versand sensibler Daten auf private Infrastruktur ist grundsätzlich zu vermeiden – insbesondere bei besonders schützenswerten Informationen wie Vergütungsdaten.

3. Bedeutung für die Betriebsratsarbeit: Was Betriebsräte jetzt wissen (und dringend beachten) müssen

Betriebsräte sollten noch einmal ihre Abläufe prüfen und schauen, dass auch die Kommunikation im Gremium professionellen Leitlinien folgt.

a) Keine privaten E-Mail-Adressen für betriebliche Themen!

Was im Alltag vielleicht praktisch erscheint, stellt rechtlich eine massive Gefahr dar. Auch wenn der dienstliche Laptop sperrig ist oder der Bildschirm zu klein – die Lösung darf niemals in der Umgehung der betrieblichen IT-Infrastruktur bestehen.

b) Verantwortlichkeit liegt beim Gremium

Betriebsräte können sich nicht auf den Arbeitgeber herausreden. Sie müssen selbst sicherstellen, dass technische und organisatorische Maßnahmen zum Datenschutz umgesetzt werden. Das bedeutet konkret:

• Keine Speicherung personenbezogener Daten auf privaten Geräten
• Keine Weiterleitung dienstlicher Mails auf private E-Mail-Konten
• Nutzung nur der vom Arbeitgeber bereitgestellten Technik

c) Schulung und Dokumentation

Datenschutz ist Chefsache – auch im Betriebsrat. Jedes Gremium sollte daher:

• Regelmäßige Datenschutzschulungen absolvieren
• Eine Datenschutzrichtlinie für die eigene Arbeit erstellen
• Dokumentieren, wie mit sensiblen Daten umgegangen wird

d) Was ist eine „grobe“ Pflichtverletzung?

Nach § 23 Abs. 1 BetrVG kann ein Betriebsratsmitglied nur ausgeschlossen werden, wenn es seine gesetzlichen Pflichten „grob“ verletzt. Im vorliegenden Fall war die Weiterleitung von Gehaltsdaten an private E-Mail-Accounts ein solch schwerwiegender Verstoß – vor allem, weil der Betriebsratsvorsitzende trotz Abmahnung erneut handelte und dadurch als „unbelehrbar“ eingestuft wurde.

Das zeigt: Wiederholungen, bewusste Umgehungen und fehlende Einsicht verschärfen die Bewertung erheblich.

4. Warum dieser Fall kein Einzelfall ist – und welche Präventionsstrategien helfen

Praxisrelevanz für Betriebsräte

In vielen Gremien ist der Austausch per privater Mail leider gängige Praxis – und das oft unbeabsichtigt, z.B. weil:

• Ein einzelnes Mitglied die Unterlagen zu Hause vorbereiten möchte
• Kein Zugriff auf einen VPN-Dienst oder das betriebliche Netz besteht
• Die Sitzungsunterlagen auf dem privaten iPad bequemer gelesen werden können

Doch das ist brandgefährlich. Kommt es zum Verstoß, haftet nicht der Arbeitgeber, sondern der Betriebsrat – und letztlich einzelne Mitglieder.

Was Sie konkret tun können:

• Technik klären: Bestehen Sie auf adäquater technischer Ausstattung. Sie haben nach § 40 Abs. 2 BetrVG Anspruch auf erforderliche IT-Infrastruktur.
• Kommunikation regeln: Stimmen Sie im Gremium verbindliche Regeln zur digitalen Kommunikation ab.
• Verantwortlichkeit benennen: Benennen Sie ggf. ein „Datenschutzbeauftragten“ im Gremium zur internen Sensibilisierung.
• Sensible Daten vermeiden: Prüfen Sie bei jeder Mail: Müssen diese personenbezogenen Daten überhaupt enthalten sein?

Fazit: Datenschutz ist nicht optional – er ist elementar

Die Entscheidung des LAG Hessen ist ein deutliches Signal: Betriebsratsarbeit kann nicht losgelöst von rechtlichen Anforderungen stattfinden – auch nicht mit guten Absichten. Der Umgang mit sensiblen Daten erfordert höchste Sorgfalt. Die Nutzung privater E-Mail-Konten für betriebliche Themen stellt ein erhebliches Risiko dar – für den Datenschutz, das Vertrauen im Betrieb und die eigene Stellung im Gremium.

Betriebsräte sollten deshalb:

✅ Nur auf dienstlicher IT-Infrastruktur arbeiten

✅ Keine personenbezogenen Daten auf private Geräte übertragen

✅ Datenschutz als festen Bestandteil der Gremienarbeit begreifen

So schützen Sie nicht nur die Rechte der Belegschaft – sondern auch sich selbst.

Sie haben Fragen zur datenschutzkonformen Betriebsratsarbeit oder benötigen Unterstützung bei der Erstellung einer Datenschutzrichtlinie für Ihr Gremium? Wir sind ist auf die rechtliche Beratung von Betriebsräten spezialisiert. Sprechen Sie uns gerne an – wir stehen Ihnen mit unserer Expertise zur Seite.