Seit der Einführung der DSGVO entdecken Betriebsräte den Datenschutz verstärkt als neues Betätigungsfeld. Vor allem bei der Einführung neuer Tools und Systeme blockieren sie den Abschluss von Betriebsvereinbarungen mit Anforderungen an den Datenschutz. Doch jetzt weist das LAG Hessen die Arbeitnehmervertreter in die Schranken.
Viele Arbeitgeber kennen es nur zu gut: Bei der Einführung neuer IT-Systeme oder ‑Komponenten und aktuell natürlich auch von KI-Anwendungen stellen Betriebsräte heute fast standardmäßig Forderungen bezüglich der Speicherung von Daten.
Sie monieren Datenübermittlungen ins (insbesondere außereuropäische) Ausland, fehlende oder zu lange Löschfristen oder sonstige angeblich nicht beachtete oder gefährdete Betroffenenrechte und verweigern ihre Zustimmung zur Einführung oder Anwendung, wenn nicht auch der Datenschutz spezifisch geregelt wird. Arbeitgeber sehen daher oft kaum eine andere Möglichkeit als die, sich mit dem Betriebsrat auf datenschutzrechtliche Regelungen zu verständigen, um die häufig zeitkritische Einführung neuer Systeme nicht zu gefährden.
Mitbestimmungsrechte des Betriebsrats
Natürlich hat der Betriebsrat aus § 87 Abs. 1 Nr. 6 BetrVG bei der Einführung und Anwendung neuer IT-Systeme oder ‑Komponenten ein Mitbestimmungsrecht bezogen auf eine potenzielle Verhaltens- oder Leistungsüberwachung von Mitarbeitern, die mit der technischen Einrichtung möglich würde (z.B. die Einführung von Zugangskontrollsystemen).
Ein Mitbestimmungsrecht des Betriebsrats kann sich außerdem auch aus § 87 Abs. 1 Nr. 1 BetrVG ergeben, wenn es um Fragen der Ordnung des Betriebs oder des Verhaltens der Arbeitnehmer im Betrieb geht (z.B. bei der Erlaubnis von Telefon- und Internetnutzung zur Privatnutzung). Mancher Betriebsrat meint nun, die beiden Vorschriften erfassten auch datenschutzrechtliche Aspekte und folgert daraus ein Mitbestimmungsrecht bezüglich des Datenschutzes.
Datenschutz bleibt Arbeitgeberpflicht (und ‑recht)
Das Landesarbeitsgericht Hessen hat aber jüngst eine für Arbeitgeber relevante Klarstellung vorgenommen: Der Datenschutz ist umfassend gesetzlich geregelt, die Verantwortung für die Umsetzung und Einhaltung datenschutzrechtlicher Vorgaben liegt allein beim Arbeitgeber, entschieden die hessischen Arbeitsrichter mit einem im Juli veröffentlichten Urteil aus dem Dezember vergangenen Jahres (LAG Hessen, Beschl. v. 05.12.2024 — 5 TaBV 4/24). Soweit die DSGVO und das BDSG zwingende gesetzliche Vorschriften zum Arbeitnehmerdatenschutz enthalten, folgt aus dem im Eingangssatz des § 87 Abs. 1 BetrVG verankerten Gesetzesvorbehalt („soweit eine gesetzliche oder tarifliche Regelung nicht besteht“), dass Regelungen zum Arbeitnehmerdatenschutz nicht per Betriebsvereinbarung getroffen werden können. Das Mitbestimmungsrecht des Betriebsrats beschränkt sich auf die Frage der technischen Verhaltens- oder Leistungskontrolle.
Auch in den Bereichen, in denen es beim Datenschutz Gestaltungsspielraum für den Arbeitgeber gibt, kann er den Betriebsrat von einer Mitwirkung ausschließen. Zulässig bleibt aber eine freiwillige Betriebsvereinbarung; eine solche bietet sich für den Arbeitgeber insbesondere dann an, wenn er eine Rechtsgrundlage für die Verarbeitung besonderer Kategorien personenbezogener Daten von Beschäftigten benötigt (Art. 88 DS-GVO, § 26 Abs. 4 BDSG).
Nur da, wo der Arbeitgeber den Datenschutz so umsetzen will, dass dies ein Datenschutzverstoß wäre (z.B. Fotos der Beschäftigten ohne deren Einwilligung ins Internet zu setzen oder den Zugriff auf Personaldaten auch Mitarbeitern erlauben will, die weder HR noch Vorgesetzte sind), kann der Betriebsrat seine Zustimmung verweigern. Regelt der Arbeitgeber aber nichts weiter zum Datenschutz und befürchten die Arbeitnehmervertreter lediglich Datenschutzverstöße bei der Umsetzung, darf der Betriebsrat seine Zustimmung nicht verweigern.
Natürlich darf der Betriebsrat auch bezüglich des (Beschäftigten-) Datenschutzes weiterhin Informationen hierzu von dem Arbeitgeber einfordern und kontrollieren, ob die datenschutzrechtlichen Vorschriften der DSGVO und des BDSG eingehalten werden.
Konsequenzen für Verhandlungen
Das LAG Hessen stärkt die Verhandlungsposition von Arbeitgebern. Auch wenn es noch keine höchstrichterliche Entscheidung gibt, dient die Frankfurter Rechtsprechung als Grundalge für den Umgang mit Datenschutzfragen in der betrieblichen Mitbestimmung. Wichtig ist es dabei, klar zwischen den gesetzlichen Pflichten (Datenschutz) und mitbestimmungspflichtigen Tatbeständen (z.B. Leistungs- und Verhaltenskontrollsysteme) zu unterscheiden.
Über den autor
+49 89 28634-256 
carina.pflanz@snp.law