Grund­sätze der Daten­ver­arbeitung in der Betriebsrats­arbeit

Der Betriebsrat darf personenbezogene Daten verarbeiten, allerdings sind dabei einige Grundsätze zu berücksichtigen und einzuhalten.

Grund­sätze zur Ver­arbeitung personen­bezogener Daten

• Grundsatz: Rechtmäßigkeit der Verarbeitung
  Für jede Verarbeitung muss eine Rechtsgrundlage vorhanden sein. Diese kann sich beispielsweise aus einem Gesetz, einem Kollektivvertrag oder einer Einzelzustimmung der betroffenen Person ergeben.
   
• Grundsatz: Zweckbindung
  Daten dürfen nur erhoben werden, wenn dafür ein legitimer Zweck festgelegt wurde. Die so erhobenen Daten dürfen auch nur für den ursprünglich festgelegten Zweck verarbeitet werden.
  
  
• Grundsatz: Richtigkeit
  Die verarbeiteten Daten müssen auf dem neuesten Stand sein.
  
  
• Grundsatz: Datenminimierung
  Es dürfen nur jene Daten verarbeitet werden, die angemessen sind, um den festgelegten Zweck zu erreichen. Eine "überschießende" Datenerhebung soll dadurch unterbunden werden.
  
  
• Grundsatz: Treu und Glauben
  Die Verarbeitung muss nach Treu und Glauben erfolgen. Dies ist insbesondere bei Interessenabwägungen zu berücksichtigen.
  
  
• Grundsatz: Transparenz
  Die personenbezogene Datenverarbeitung muss für die betroffene Person nachvollziehbar sein.
  
  
• Grundsatz: Speicherbegrenzung
  Die verwendeten Daten dürfen nur solange gespeichert werden, bis der festgelegte Verarbeitungszweck erreicht ist. Nach Ablauf dieser Frist sind die Daten zu löschen oder zu anonymisieren.
  
  
• Grundsatz: Integrität und Vertraulichkeit
  Die verwendeten Daten müssen vertraulich behandelt und geschützt werden.

Rechen­schaftspflicht

Verantwortliche haben all diese Grundsätze bei jeder Datenverarbeitung anzuwenden und die Einhaltung nachzuweisen (= Rechenschaftspflicht).

Um dies zu gewährleisten, hat man als Verantwortliche/-r (und somit auch als Betriebsrat und BR-Fonds) ein Verzeichnis von Verarbeitungstätigkeiten zu führen, wo alle Verarbeitungen einzeln aufgelistet werden - unter Angabe von Zweck, Löschfrist und allen weiteren Grundsätzen sowie den getroffenen Datensicherheitsmaßnahmen.

Check­liste: Das sollten Sie beachten

1. Zuständigkeit klären
   Wer kümmert sich im BR-Büro um den Datenschutz?
   
   
2. Daten auflisten
   Welche Daten habe ich als BR (elektronisch / nicht elektronisch)?
   
   
3. Zwischen sensiblen und nicht sensiblen Daten unterscheiden
   Verarbeite ich beispielsweise Gesundheitsdaten?
   
   
4. Betroffene ermitteln
   Wer ist von der Datenverarbeitung betroffen?
   
   
5. Empfängerkreise auflisten
   An wen werden die Daten übermittelt? Wer kann sie sehen?
   
   
6. Rechtmäßigkeit prüfen
   Habe ich für jede Datenverarbeitung eine rechtliche Grundlage?
   
   
7. Erhebungen (1-6) im Verarbeitungsverzeichnis festhalten
   (inklusive Löschfristen)
   
   
8. Datensicherheitsmaßnahmen (technisch, personell und organisatorisch) einführen und im Verarbeitungsverzeichnis dokumentieren
   
   
9. Auftragsverarbeiter erfassen
   Beauftrage ich jemand Externen für mich, eine Datenverarbeitung durchzuführen? (spezielle Vorschriften)
   
   
10. Umgang mit Begehren von der Datenverarbeitung betroffener Personen festlegen
    Wie gehe ich als BR mit Anfragen der Betroffenen bezüglich ihrer Rechte auf Auskunft, Berichtigung und Löschung um?