Anm. zu LAG Hessen: Ausschluss des Betriebsrats wegen Weiterleitung dienstlicher E‑Mails an privaten E‑Mail-Account

Betriebsverfassungsgesetz

Das LAG Hessen hat mit Beschluss vom 10.3.2025 (16 TaBV 109/24) entschieden, dass ein Betriebsratsvorsitzender wegen eines groben Verstoßes gegen seine datenschutzrechtlichen Verpflichtungen aus dem Betriebsrat ausgeschlossen werden kann (Entscheidungszusammenfassung mit Praxishinweisen der Kanzlei Friedrich Graf von Westphalen & Partner mbB).

Sachverhalt:

Die Parteien stritten über den Ausschluss eines Betriebsratsmitglieds aus dem Betriebsrat.

Der Arbeitgeber betreibt eine Klinik und beschäftigt etwa 390 Mitarbeiter. Bei ihm ist ein aus 9 Mitgliedern bestehender Betriebsrat gebildet. Im September 2023 hatte der Arbeitgeber festgestellt, dass im dienstlichen E-Mail-Account des Betriebsratsvorsitzenden eine Regel eingerichtet war, wonach alle eingehenden E-Mails automatisiert an dessen (private) GMX-Adresse weitergeleitet wurden. Der Arbeitgeber sah darin einen Datenschutzverstoß und erteilte dem Betriebsratsvorsitzenden eine Abmahnung.

Am 26.10.2023 stellte der Arbeitgeber fest, dass der Betriebsratsvorsitzende unter anderem Termine an eine neue private E-Mail-Adresse weitergeleitet hat. Am 7.11.2023 versandte der Betriebsratsvorsitzende von seinem privaten E-Mail-Account eine vollständige Personalliste mit den Namen sämtlicher Mitarbeiter, Stellung im Betrieb, Zeiteinsatz, Tarifgruppe, Stufe, Grundentgelt, zeitlicher Stufenverlauf, Tarifeintritt, Eingruppierung sowie Vergleichsdaten zum Konzern an seinen dienstlichen E-Mail-Account. Am gleichen Tag versandte er die E-Mail nebst Anlagen (nochmals) an die E-Mail-Adresse des Betriebsrats. Er hatte sich die Datei zuvor von seinem dienstlichen E-Mail-Account an seine private E-Mail-Adresse verschickt und sie zu Hause bearbeitet. Die Datei bearbeitete er vollständig auf seinen privaten Speichermedien und sandte sie dann wieder an seinen E‑Mail-Account als Betriebsrat.

Der Arbeitgeber hat die Auffassung vertreten, der Betriebsratsvorsitzende habe durch die Weiterleitung der personenbezogenen Daten an seinen privaten E-Mail-Account seine gesetzlichen Pflichten als Betriebsrat grob verletzt und beantragte beim Arbeitsgericht den Ausschluss des Vorsitzenden aus dem Gremium. Der Betriebsratsvorsitzende und der Betriebsrat haben behauptet, der Betriebsratsvorsitzende habe die E-Mail vom 7.11.2023 nur deshalb an seinen privaten E-Mail-Account geschickt, um eine zeitnahe Bearbeitung der Excel-Tabelle zu Hause auf seinem größeren Bildschirm zu ermöglichen. Nach erfolgter Bearbeitung habe er die Daten vollständig auf seinen privaten Speichermedien gelöscht.

Das Arbeitsgericht hat dem Antrag des Arbeitgebers stattgegeben.

Entscheidungsgründe:

Das LAG Hessen hat die Entscheidung im Berufungsverfahren bestätigt und begründete die Entscheidung wie folgt:

Die Beschwerden des Betriebsratsvorsitzenden und des Betriebsrats seien nicht begründet. Das Arbeitsgericht habe dem Antrag des Arbeitgebers nach § 23 Abs. 1 BetrVG zu Recht stattgegeben.

Nach § 23 Abs. 1 S. 1 BetrVG kann (unter anderem) der Arbeitgeber den Ausschluss eines Mitglieds aus dem Betriebsrat wegen grober Verletzung seiner gesetzlichen Pflichten verlangen. Das LAG Hessen führt aus, dass gem. § 79a Satz. 1 BetrVG der Betriebsrat bei der Verarbeitung personenbezogener Daten die Vorschriften über den Datenschutz einzuhalten habe.

Die vom Betriebsratsvorsitzenden per E-Mail an seine private Adresse weitergeleitete Liste enthielt „personenbezogene Daten“ im Sinne von Art. 4 Nr. 1 DSGVO, so das LAG Hessen. Diese Daten habe der Betriebsratsvorsitzende nicht rechtmäßig verarbeitet (Art. 4 Nr. 2 DSGVO). Für die Weiterleitung der personenbezogenen Daten sämtlicher Beschäftigten an den privaten E-Mail-Account des Betriebsratsvorsitzenden habe keine Erforderlichkeit bestanden, denn es wäre ihm möglich gewesen, die zur Vorbereitung der abzuschließenden Betriebsvereinbarung erforderliche Verarbeitung der Daten der Beschäftigten von dem ihm für die Betriebsratstätigkeit vom Arbeitgeber gem. § 40 Abs. 2 BetrVG zur Verfügung gestellten Computer zu bearbeiten. Erforderlichenfalls hätte er sich mit der IT-Abteilung des Arbeitgebers ins Benehmen setzen können, um einen größeren Bildschirm oder einen Adapter für den Anschluss des Betriebsrats-Laptops an seinen privaten, größeren Bildschirm zu erhalten. Für die Verarbeitung der Daten im Sinne einer Weiterleitung derselben auf sein privates Endgerät per E-Mail habe daher keine Veranlassung bestanden.

Das LAG Hessen stellte ebenfalls Verstöße gegen den Grundsatz der Datenminimierung nach Art. 5 Abs. 1c DSGVO und mangels eines der Rechtfertigungsgründe gegen Art. 6 Abs. 1 DSGVO fest

Die Pflichtverletzung war aus Sicht des LAG Hessen auch „grob“ im Sinne von § 23 Abs. 1 BetrVG. Der Betriebsratsvorsitzende habe eine objektiv erhebliche und offensichtlich schwerwiegende Pflichtverletzung im Hinblick auf die Einhaltung des Datenschutzes bei Ausübung seines Betriebsratsamts begangen. Der Verstoß gegen den Datenschutz wirkt zunächst deshalb schwer, weil es sich um die Mitteilung der Höhe der Vergütung jedes einzelnen Mitarbeiters handelte. Dass mit dem Umgang solcher Daten allergrößte Sensibilität verbunden sein muss, konnte der Betriebsratsvorsitzende ohne weiteres selbst erkennen. Hinzu kommt, dass ihm bereits auf Grund der vorangegangenen Auseinandersetzung mit seinem Arbeitgeber wegen der Weiterleitung dienstlicher E-Mails an seinen privaten E-Mail-Account bekannt war, dass der Arbeitgeber hierin einen (gravierenden) Datenschutzverstoß sieht.

Auch die behauptete Eilbedürftigkeit der Angelegenheit (Vorbereitung einer Betriebsvereinbarung) entschuldigt den begangenen Datenschutzverstoß nicht. Der Betriebsratsvorsitzende hätte vielmehr eine bessere technische Ausstattung beim Arbeitgeber beantragen müssen.

Hinweis für die Praxis:

Der Beschluss des LAG Hessen verdeutlicht, dass Datenschutzverstöße durch Betriebsratsmitglieder nicht geduldet werden. Wiederholte oder grob fahrlässige Verstöße gegen Datenschutzregeln können zum Ausschluss aus dem Betriebsrat führen. Wer ohne rechtliche Grundlage personenbezogene Daten an private Mail-Adressen weiterleitet, riskiert den Verlust seines Amts.

Die Weiterleitung personenbezogener Daten an private E-Mail-Postfächer birgt ein erhebliches datenschutzrechtliches Risiko. Arbeitgeber sind daher verpflichtet, interne technische Vorkehrungen zu schaffen, die solche Übertragungen unterbinden. Diese Schutzmaßnahmen müssen konsequent umgesetzt und etwaige Verstöße wirksam sanktioniert werden.

Da die Revision zugelassen wurde, bleibt die Entscheidung der Angelegenheit beim BAG abzuwarten.

Autorin: Annette Rölz, Friedrich Graf von Westphalen & Partner mbB, Frankfurt am Main

Quelle: LAG Hessen, Beschluss v. 10.3.2025 (16 TaBV 109/24)