Works Agreement on Data Protection and IT Use Germany

Die Betriebsvereinbarung Datenschutz / IT-Nutzung in Deutschland ist in BetrVG §87 Abs. 1 Nr. 6 (Mitbestimmung technische Überwachung) geregelt. Das Mitbestimmungsrecht des Betriebsrats nach §87 Abs. 1 Nr. 6 BetrVG ist der zentrale Anknüpfungspunkt: Der Betriebsrat hat mitzubestimmen bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind oder geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Das Bundesarbeitsgericht (BAG 1 ABR 16/86; BAG 1 ABR 85/21) hat diesen Begriff weit ausgelegt: Erfasst sind nicht nur klassische Überwachungssysteme wie Videoüberwachung oder Zutrittskontrollanlagen, sondern auch E-Mail-Systeme, Internet-Proxy-Server, Kommunikationsplattformen (Microsoft Teams, Zoom, Slack), Arbeitszeiterfassungssoftware und GPS-Tracking-Systeme.

Art. 88 DSGVO räumt den Mitgliedstaaten ausdrücklich die Möglichkeit ein, spezifischere Regelungen für die Verarbeitung personenbezogener Daten im Beschäftigungskontext durch Kollektivvereinbarungen zu treffen. §26 Abs. 4 BDSG setzt dies um: Betriebsvereinbarungen können als kollektivrechtliche Grundlage für die Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis dienen — auch wenn keine individuellen Einwilligungen nach Art. 7 DSGVO vorliegen. Die Betriebsvereinbarung ersetzt damit die Einwilligung des einzelnen Arbeitnehmers für die in ihr geregelten Datenverarbeitungen.

Gleichzeitig darf eine Betriebsvereinbarung nicht gegen DSGVO-Grundsätze verstoßen: Sie muss nach Art. 5 DSGVO die Grundsätze der Zweckbindung, Datenminimierung, Speicherbegrenzung und Integrität / Vertraulichkeit einhalten. Auch das allgemeine Persönlichkeitsrecht der Arbeitnehmer nach Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG und das Fernmeldegeheimnis nach Art. 10 GG sowie §88 TKG sind zu beachten — insbesondere wenn der Arbeitgeber private E-Mail-Nutzung gestattet und damit faktisch zum Anbieter eines Telekommunikationsdienstes werden könnte.

Eine Betriebsvereinbarung zu Datenschutz und IT-Nutzung in Deutschland wird in folgenden Situationen benötigt:

Einführung neuer IT-Systeme: Jede Einführung einer technischen Einrichtung, die zur Überwachung von Verhalten oder Leistung der Arbeitnehmer geeignet ist (§87 Abs. 1 Nr. 6 BetrVG), erfordert die Zustimmung des Betriebsrats. Dies gilt für E-Mail-Systeme, Videokonferenzplattformen, ERP-Systeme (SAP), CRM-Systeme, Zeiterfassungs-Apps und Zutrittskontrollanlagen.

Datenschutzkonforme Grundlage für Beschäftigtendaten: Unternehmen, die Beschäftigtendaten verarbeiten — Leistungsdaten, Krankentage, GPS-Daten von Dienstfahrzeugen, Verkaufskennzahlen — benötigen eine DSGVO-konforme Rechtsgrundlage nach Art. 6 DSGVO oder §26 BDSG. Die Betriebsvereinbarung ist die bevorzugte Rechtsgrundlage, da sie eine kollektivrechtliche Legitimation schafft.

Private IT-Nutzung am Arbeitsplatz: Ob und in welchem Umfang Arbeitnehmer betriebliche IT-Geräte oder Internetanschlüsse privat nutzen dürfen, ist häufig unklar. Die Betriebsvereinbarung schafft klare Regeln und schützt sowohl den Arbeitgeber vor Haftung für private Inhalte als auch den Arbeitnehmer vor willkürlichen Kontrollen.

Videoüberwachung im Betrieb: Die Installation von Videokameras im Betrieb — ob zur Diebstahlprävention, Zutrittskontrolle oder Qualitätssicherung — unterliegt dem Mitbestimmungsrecht nach §87 Abs. 1 Nr. 6 BetrVG und muss nach DSGVO Art. 13 transparent gemacht werden. Die Betriebsvereinbarung legt fest, wo Kameras installiert werden dürfen, wie lange Aufnahmen gespeichert werden und wer Zugang hat.

BYOD und Mobile Device Management: Bei Nutzung privater Geräte (Smartphones, Tablets) für berufliche Zwecke (BYOD — Bring Your Own Device) entstehen komplexe datenschutzrechtliche Fragen. Die Betriebsvereinbarung regelt, welche MDM-Lösungen (Mobile Device Management) zulässig sind und wie der Zugriff auf private Daten verhindert wird.

Eine rechtswirksame Betriebsvereinbarung zu Datenschutz und IT-Nutzung in Deutschland muss folgende Kernbestandteile enthalten:

Zweck und Rechtsgrundlage: Benennung der Rechtsgrundlagen nach §26 BDSG i.V.m. DSGVO Art. 88 und BetrVG §87 Abs. 1 Nr. 6. Klarstellung, dass die Betriebsvereinbarung als kollektivrechtliche Grundlage für die geregelten Datenverarbeitungen gilt.

Katalog der IT-Systeme: Abschließende oder exemplarische Auflistung der erfassten IT-Systeme (E-Mail, Internet, Zeiterfassung, Videokonferenz, Zutrittskontrolle, GPS-Tracking). Für jedes System: Zweck, Art der verarbeiteten Daten, Zugriffsberechtigte, Speicherdauer.

Zulässige private IT-Nutzung: Klarstellung, ob und in welchem Umfang private Nutzung betrieblicher IT-Mittel gestattet ist. Wenn private Nutzung erlaubt ist: Abgrenzung von beruflicher und privater Kommunikation, Konsequenzen für die Reichweite möglicher Kontrollen (Fernmeldegeheimnis nach Art. 10 GG, §88 TKG).

Kontrollbefugnisse und Grenzen (DSGVO Art. 5; §26 BDSG): Welche Kontrollen sind dem Arbeitgeber erlaubt? Anlassbezogene Stichproben bei konkretem Missbrauchsverdacht (verhältnismäßig) vs. routinemäßige flächendeckende Überwachung (unverhältnismäßig und unzulässig). Verbot verdeckter Kontrollen ohne konkreten Verdacht (BAG 2 AZR 597/12).

Speicherfristen und Löschkonzept (DSGVO Art. 5 lit. e; Art. 17): Maximale Speicherdauer für Protokolldaten, Verbindungsdaten, Videoaufzeichnungen. Automatisierte Löschroutinen oder Festlegung manueller Löschprozesse.

Datenschutzbeauftragter und Betriebsrat-Rechte: Einbeziehung des betrieblichen Datenschutzbeauftragten nach Art. 37 DSGVO i.V.m. §38 BDSG. Informations- und Kontrollrechte des Betriebsrats nach §80 Abs. 1 und 2 BetrVG.

Sanktionen bei Verstößen: Klare Regelung der Konsequenzen bei Verstößen gegen die IT-Nutzungsrichtlinien — von Abmahnung bis zu verhaltensbedingter Kündigung nach KSchG. Hinweis, dass Verstöße auch strafrechtlich relevant sein können (§202a StGB — Ausspähen von Daten).

Das Portal forms-legal.com stellt dieses Muster als strukturierten Ausgangspunkt zur Verfügung. Verwandte Dokumente: Datenschutzerklärung Website und Betriebsvereinbarung Home Office.

Das Ausfüllen der Betriebsvereinbarung zu Datenschutz und IT-Nutzung erfordert die Einbeziehung des Datenschutzbeauftragten, der IT-Abteilung und des Betriebsrats.

Erster Schritt: IT-Systemkatalog erstellen. Inventarisieren Sie alle im Betrieb eingesetzten IT-Systeme, die Daten über Arbeitnehmer erzeugen oder verarbeiten können. Für jedes System: Zweck, Datenkategorien, Zugriffsberechtigte, Speicherdauer.

Zweiter Schritt: Datenschutz-Folgenabschätzung (DSFA). Prüfen Sie nach DSGVO Art. 35, ob eine DSFA erforderlich ist — etwa bei systematischer Überwachung von Arbeitnehmern im großen Maßstab (Art. 35 Abs. 3 lit. b DSGVO). Der Datenschutzbeauftragte ist nach Art. 35 Abs. 2 DSGVO einzubeziehen.

Dritter Schritt: Regelung der privaten IT-Nutzung. Entscheiden Sie: Totales Verbot privater Nutzung (einfachere Kontrollsituation), eingeschränkte private Nutzung (z.B. 15 Minuten täglich) oder liberale Regelung. Jede Variante hat rechtliche Konsequenzen für den Umfang möglicher Kontrollen.

Vierter Schritt: Kontrollrechte klar begrenzen. Legen Sie fest, welche Kontrollen anlassbezogen (bei konkretem Verdacht) und welche routinemäßig zulässig sind. Beschreiben Sie das Verfahren für anlassbezogene Kontrollen — wer entscheidet, wer führt durch, wer ist informiert, wird der Betriebsrat einbezogen?

Fünfter Schritt: Speicherfristen definieren. Für jede Datenkategorie klare Speicherfrist festlegen. Beachten Sie gesetzliche Mindestaufbewahrungsfristen (z.B. §16 ArbZG: Überstundendokumentation mindestens 2 Jahre; §257 HGB und §147 AO: Buchhaltungsunterlagen 6 oder 10 Jahre).

Sechster Schritt: Betriebsratsverhandlung. Der Betriebsrat hat nach §87 Abs. 1 Nr. 6 BetrVG ein erzwingbares Mitbestimmungsrecht. Verhandeln Sie gemeinsam mit dem Betriebsrat; der Betriebsrat kann eine unabhängige Sachverständige nach §80 Abs. 3 BetrVG hinzuziehen. Nach Einigung unterzeichnen Arbeitgeber und Betriebsrat; die Vereinbarung wird im Betrieb ausgelegt.

Die rechtlichen Anforderungen an eine Betriebsvereinbarung zu Datenschutz und IT-Nutzung in Deutschland sind besonders komplex, da mehrere Rechtsgebiete ineinandergreifen.

DSGVO-Grundsätze (Art. 5): Zweckbindung (Daten dürfen nur für festgelegte Zwecke verarbeitet werden), Datenminimierung (nur notwendige Daten), Speicherbegrenzung (keine unbegrenzte Aufbewahrung), Richtigkeit, Integrität und Vertraulichkeit, Rechenschaftspflicht (Nachweis der Einhaltung). Verstöße: Art. 83 DSGVO — bis zu 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes.

BDSG §26 (Beschäftigtendatenschutz): Daten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, soweit dies erforderlich ist. Bei Datenverarbeitung auf Grundlage einer Betriebsvereinbarung (§26 Abs. 4 BDSG) müssen die Regelungen der DSGVO eingehalten werden; die Betriebsvereinbarung kann nicht als Umgehungsvehikel für unverhältnismäßige Verarbeitungen dienen.

Fernmeldegeheimnis (Art. 10 GG; §88 TKG): Erlaubt der Arbeitgeber private Nutzung des betrieblichen E-Mail-Systems, kann er zum Anbieter eines Telekommunikationsdienstes werden und unterliegt dann dem Fernmeldegeheimnis nach §88 TKG. Das bedeutet: Der Arbeitgeber darf E-Mails nicht ohne richterlichen Beschluss lesen — auch nicht eigene betriebliche E-Mails, wenn diese auch für private Nutzung freigegeben sind. Ausweg: Privater E-Mail-Verkehr über externe Systeme gestatten oder strikt auf berufliche Nutzung beschränken.

Vidoeüberwachung (§4 BDSG): §4 BDSG erlaubt Videoüberwachung öffentlich zugänglicher Räume unter engen Voraussetzungen; für nicht-öffentliche Arbeitsbereiche gilt die DSGVO unmittelbar. Betriebsvereinbarungen können die Videoüberwachung am Arbeitsplatz legitimieren; sie müssen aber verhältnismäßig sein und dürfen nicht die Würde der Arbeitnehmer verletzen (Art. 1 GG).

Strafrecht: §202a StGB (Ausspähen von Daten), §303a StGB (Datenveränderung), §303b StGB (Computersabotage) sind relevant für schwerwiegende IT-Verstöße durch Arbeitnehmer oder Arbeitgeber.

Fehler bei der Betriebsvereinbarung zu Datenschutz und IT-Nutzung in Deutschland können erhebliche Rechtsfolgen haben.

Fehlende DSGVO-Kompatibilität: Eine Betriebsvereinbarung, die gegen DSGVO-Grundsätze verstößt (z.B. keine Speicherbegrenzung, unverhältnismäßige Überwachung), ist rechtswidrig und schützt den Arbeitgeber nicht vor Bußgeldern nach Art. 83 DSGVO. Die Datenschutzbehörden (Landesbeauftragte für Datenschutz) prüfen Betriebsvereinbarungen auf DSGVO-Konformität.

Kein Verfahren für anlassbezogene Kontrollen: Fehlt ein klares Verfahren für den Umgang mit Verstößen — wer darf kontrollieren, wie wird der Betriebsrat einbezogen, wie wird dokumentiert —, riskieren Arbeitgeber, dass Kontrollergebnisse im Arbeitsgerichtsprozess nicht verwertbar sind (Beweisverwertungsverbot).

Private IT-Nutzung nicht klar geregelt: Die größte praktische Fehlerquelle ist eine unklare Regelung der privaten IT-Nutzung. Ohne klare Verbots- oder Erlaubnisregelung können Arbeitgeber in die Situation geraten, unbeabsichtigt Anbieter von Telekommunikationsdiensten zu sein, was ihre Kontrollmöglichkeiten stark einschränkt.

Kein Löschkonzept: Viele Betriebsvereinbarungen regeln die Erhebung und Nutzung von Daten, vergessen aber die Löschfristen. Ohne Löschfristen werden Daten faktisch unbegrenzt gespeichert — dies verstößt gegen Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung).

Betriebsrat umgangen: Führt der Arbeitgeber IT-Systeme ein, ohne den Betriebsrat nach §87 Abs. 1 Nr. 6 BetrVG zu beteiligen, kann der Betriebsrat nach §23 Abs. 3 BetrVG die Unterlassung und Beseitigung der Systeme verlangen — bis hin zur Abschaltung installierter Software.