Mitbestimmungsrechte des Betriebsrats bei der Einhaltung des Datenschutzes

Sachverhalt

Das Verfahren (LArbG Frankfurt 5. Kammer, Beschluss vom 5.Dezember 2024 , Az: 5 TaBV 4/24) betraf die Einführung eines IT-Systems („HCM“) in einem international agierenden Unternehmen, das u. a. Stammdaten von Beschäftigten verwaltete und auf Servern eines US-amerikanischen Konzerns betrieben wurde. Der Betriebsrat war in das Einigungsstellenverfahren eingebunden; die Betriebsvereinbarung (BV HCM) regelte u. a. Nutzung, Datenverarbeitung und Datentransfer. Der Betriebsrat beanstandete insbesondere, dass ein Datentransfer in die USA rechtswidrig sei und diskussionswürdig im Bereich Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG sowie § 87 Abs. 1 Nr. 1 BetrVG.

Entscheidung

1. Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG
   Das Gericht stellte fest, dass der Mitbestimmungs-Tatbestand des § 87 Abs. 1 Nr. 6 BetrVG gegeben war, weil es sich um eine technische Einrichtung zur Einführung, Anwendung und Veränderung handelte. Allerdings machte das Gericht deutlich, dass dieses Mitbestimmungsrecht nicht automatisch sämtliche datenschutzrechtlichen Vorgaben abdeckt. Insbesondere heißt es:
   
   „Dieses Mitbestimmungsrecht … bezieht sich nicht ganz allgemein auf die Gewährleistung des Persönlichkeitsrechts der im Betrieb beschäftigten Arbeitnehmer und bezweckt daher auch nicht für sich die umfassende Einhaltung aller gesetzlicher Bestimmungen zum Datenschutz.“
   
   Zudem führte das Gericht aus, dass Regelungen, die allein der Erfüllung datenschutzrechtlicher Pflichten des Arbeitgebers dienen, nicht erzwingbar durch den Betriebsrat über § 87 BetrVG sind.
   
2. Datentransfer und Drittstaaten
   Der Betriebsrat monierte u. a., dass die Übermittlung von Beschäftigtendaten in einen US-Mandanten rechtswidrig sei. Das Gericht hielt dem entgegen: „Soweit der Betriebsrat ein Erfordernis für datenschutzrechtliche Regelungen in der Betriebsvereinbarung … ableitet, war dieses Mitbestimmungsrecht … nicht einschlägig.“ Denn die BV HCM enthielt keine konkreten Datenschutzregelungen zu Drittstaaten-Transfers; solche Rechtsfragen lägen in der Verantwortung der Arbeitgeberin.
   
3. Kein Vetorecht des Betriebsrats wegen Datenschutz-Verstößen
   Entscheidend ist: Das Gericht verneinte ein generelles Vetorecht des Betriebsrats in Sicherheits- oder Datenschutzfragen, wenn diese nicht gleichzeitig Teil einer mitbestimmungspflichtigen technischen Kontroll- oder Überwachungseinrichtung sind. Daher konnte der Betriebsrat das Verfahren nicht allein deshalb blockieren, weil er aus datenschutzrechtlicher Sicht einen möglichen Drittstaatenexport („USA“) für rechtswidrig hielt.

Praxisrelevanz Datenschutz

• Ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG besteht nur dann, wenn technische Einrichtungen eingeführt werden, die das Verhalten oder die Leistung von Beschäftigten überwachen oder ermöglichen.
• Datenschutzrechtliche Pflichten des Arbeitgebers (z. B. Übermittlung in Drittstaaten, Einhaltung der DS-GVO) fallen nicht automatisch unter diesen Mitbestimmungsbereich.
• Der Betriebsrat hat kein automatisches Zustimmungsverweigerungs- oder Vetorecht bei Datenschutz-maßnahmen, die nicht zugleich eine mitbestimmungspflichtige technische Einrichtung darstellen.
• Maßgebliche Verantwortung für rechtmäßige Datenverarbeitung und Transfers liegt beim Arbeitgeber (Art. 4 Nr. 7 DS-GVO).

(Foto: Nico – stock.adobe.com)