Works Agreement IT Usage Germany

Die Betriebsvereinbarung IT-Nutzung in Deutschland ist in BetrVG §87 Abs. 1 Nr. 6 (technische Überwachungseinrichtungen) geregelt. Rechtsgrundlage ist neben § 87 Abs. 1 Nr. 6 BetrVG insbesondere Art. 88 Datenschutz-Grundverordnung (DSGVO), der den Mitgliedstaaten ermöglicht, durch Kollektivvereinbarungen — also auch durch Betriebsvereinbarungen — spezifischere Regelungen zum Schutz der Rechte und Freiheiten der Beschäftigten bei der Verarbeitung personenbezogener Daten im Beschäftigungskontext zu treffen. Das Bundesdatenschutzgesetz (BDSG) konkretisiert in § 26 die zulässige Datenverarbeitung für Beschäftigte; eine Betriebsvereinbarung nach § 26 Abs. 4 BDSG kann die datenschutzrechtliche Grundlage für die Verarbeitung von Arbeitnehmerdaten im IT-Bereich schaffen.

Das erzwingbare Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG gilt für alle technischen Einrichtungen, die zur Verhaltens- oder Leistungsüberwachung geeignet sind — unabhängig davon, ob der Arbeitgeber tatsächlich beabsichtigt, Überwachungsdaten auszuwerten. Schon die abstrakte Eignung zur Überwachung genügt (BAG, Beschluss vom 14.09.1984, Az. 1 ABR 23/82). Typische Streitfälle sind: Keylogger, E-Mail-Archivierung, GPS-Tracking in Firmenfahrzeugen, Zeiterfassungssysteme mit Fingerabdrucksensor sowie KI-gestützte Produktivitätsüberwachungstools.

Die Betriebsvereinbarung IT-Nutzung regelt sowohl die private als auch die dienstliche Nutzung betrieblicher IT-Systeme. Sie legt fest, ob und in welchem Umfang private Nutzung erlaubt ist, welche Protokolldaten gespeichert werden dürfen, wer Zugriff auf diese Daten hat und unter welchen Voraussetzungen eine Auswertung zulässig ist. Ohne klare Regelung sind Arbeitgeber und Arbeitnehmer gleichermaßen rechtlich ungeschützt. Der Europäische Gerichtshof für Menschenrechte (EGMR) hat im Urteil »Barbulescu v. Rumänien« (2017) die Anforderungen an die Verhältnismäßigkeit der Überwachung am Arbeitsplatz präzisiert.

Die Betriebsvereinbarung IT-Nutzung schützt beide Seiten: Den Arbeitgeber vor unbefugter Nutzung betrieblicher Ressourcen für private Zwecke und vor Haftungsrisiken durch Urheberrechtsverstöße oder Datenschutzverstöße durch Arbeitnehmer; den Arbeitnehmer vor übermäßiger digitaler Überwachung und vor willkürlichen Kontrollmaßnahmen ohne gesetzliche Grundlage. Klare Regelungen verringern Konflikte und Rechtsstreitigkeiten erheblich.

Die Betriebsvereinbarung IT-Nutzung bildet gemeinsam mit der Betriebsvereinbarung Datenschutz und der Betriebsvereinbarung Homeoffice ein umfassendes digitales Regelwerk für den modernen deutschen Betrieb. Auf forms-legal.com stehen vorstrukturierte Vorlagen zur Verfügung, die sämtliche Anforderungen nach BetrVG, DSGVO und BDSG bereits berücksichtigen. Die Vereinbarung fördert eine Kultur des verantwortungsvollen Umgangs mit IT-Ressourcen und schafft klare Verhältnisse für alle Beschäftigten — vom Auszubildenden bis zur Führungskraft. Betriebe ohne Betriebsrat können eine vergleichbare IT-Nutzungsrichtlinie als einseitige Arbeitgeberregelung nach Art. 6 Abs. 1 lit. f DSGVO und § 26 BDSG einführen, haben dabei aber keinen bindenden Interessenausgleich mit einer Arbeitnehmervertretung.

Eine Betriebsvereinbarung IT-Nutzung in Deutschland ist in folgenden Situationen gesetzlich geboten oder praktisch unerlässlich.

Einführung neuer Software oder IT-Systeme: Jedes Mal, wenn der Arbeitgeber neue Software einführt, die technisch zur Verhaltens- oder Leistungsüberwachung geeignet ist — sei es ein Projektmanagementsystem, ein CRM, eine Zeiterfassungssoftware oder ein E-Mail-Archivierungssystem — löst das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG aus. Der Arbeitgeber darf die Software ohne Zustimmung des Betriebsrats oder eine Betriebsvereinbarung nicht einführen. Verstöße berechtigen den Betriebsrat zu einstweiligem Rechtsschutz beim Arbeitsgericht (ArbG).

Einführung von Homeoffice und Remote-Work: Mit der Verbreitung von Homeoffice entstehen neue Fragen zur IT-Nutzung: Darf der Arbeitgeber Screenshots machen, Mausbewegungen protokollieren oder Videokonferenzen aufzeichnen? Eine Betriebsvereinbarung IT-Nutzung schafft klare Regeln für die digitale Zusammenarbeit von zuhause und schützt Arbeitnehmer vor unverhältnismäßiger Überwachung nach Art. 8 EMRK.

Regelung der privaten Internetnutzung am Arbeitsplatz: Arbeitgeber müssen klar regeln, ob private Internetnutzung am Arbeitsplatz erlaubt ist. Ist private Nutzung vollständig verboten, darf der Arbeitgeber alle IT-Aktivitäten protokollieren und auswerten. Ist private Nutzung erlaubt oder geduldet, ist eine inhaltliche Kontrolle der Kommunikation stark eingeschränkt und erfordert besondere Rechtsgrundlagen nach § 26 BDSG und Art. 88 DSGVO.

Einführung von KI-gestützten Produktivitätstools: KI-Tools wie Microsoft Viva Insights, die Arbeitszeitmuster, Kommunikationsverhalten und Produktivitätskennzahlen analysieren, unterliegen zwingend dem Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Ohne Betriebsvereinbarung dürfen diese Tools nicht eingesetzt werden. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat wiederholt auf die datenschutzrechtlichen Risiken hingewiesen.

Datenschutzkonforme Regelung nach DSGVO: Seit Mai 2018 sind Unternehmen nach Art. 5, 6 und 88 DSGVO verpflichtet, eine klare Rechtsgrundlage für die Verarbeitung personenbezogener Daten ihrer Arbeitnehmer zu haben. Eine Betriebsvereinbarung IT-Nutzung schafft nach § 26 Abs. 4 BDSG eine zulässige kollektivrechtliche Grundlage für die Datenverarbeitung im Beschäftigungsverhältnis und ersetzt in vielen Fällen die Notwendigkeit individueller Einwilligungserklärungen nach Art. 6 Abs. 1 lit. a DSGVO.

Die Betriebsvereinbarung IT-Nutzung in Deutschland muss mehrere gesetzlich erforderliche und praktisch unerlässliche Elemente enthalten, um die Anforderungen von BetrVG, DSGVO und BDSG zu erfüllen.

Geltungsbereich und erfasste IT-Systeme: Die Vereinbarung benennt vollständig alle erfassten IT-Systeme: Computer (Desktop, Laptop, Tablet), Smartphones, E-Mail-Systeme (z. B. Microsoft Exchange, Google Workspace), Videokonferenztools (z. B. Microsoft Teams, Zoom), Intranet und Kollaborationsplattformen, Zeiterfassungssysteme, Zugangskontrollsysteme sowie Fahrzeugtelematik. Systeme, die nicht ausdrücklich aufgeführt sind, fallen grundsätzlich nicht in den Geltungsbereich.

Regelung der privaten Nutzung: Die Vereinbarung legt fest, ob private Nutzung der IT-Systeme erlaubt, eingeschränkt oder vollständig verboten ist. Unterscheidungen nach Art des Systems sind möglich (z. B. E-Mail dienstlich only, Internet in der Mittagspause privat erlaubt bis 30 Minuten). Konsequenzen unerlaubter privater Nutzung — Abmahnung nach § 1 KSchG, ordentliche oder außerordentliche Kündigung nach § 626 BGB — sind zu benennen.

Protokollierung und Datenspeicherung: Die Vereinbarung regelt, welche Protokolldaten (Logins, Internetzugriffe, E-Mail-Metadaten, Druckerprotokolle) gespeichert werden, wie lange sie aufbewahrt werden (Speicherfrist in Tagen oder Wochen), wer Zugriff auf diese Daten hat (IT-Abteilung, Datenschutzbeauftragter, Betriebsrat, Vorgesetzte) und unter welchen konkreten Voraussetzungen eine Auswertung zulässig ist (z. B. bei konkretem Missbrauchsverdacht nach richterlichem Beschluss oder nach vorheriger Unterrichtung des Betriebsrats).

Verhaltenskontrolle und verbotene Überwachungsmaßnahmen: Die Vereinbarung definiert, welche Überwachungsmaßnahmen ausdrücklich verboten sind: Keylogger, Screenshots im Minutentakt, heimliche Videoüberwachung, permanentes GPS-Tracking ohne konkreten Anlass. Das Bundesarbeitsgericht (BAG) hat im Urteil vom 27.07.2017 (Az. 2 AZR 681/16) entschieden, dass heimliche Überwachungsmaßnahmen ohne Rechtsgrundlage und Betriebsvereinbarung unzulässig sind und gewonnene Beweise im Prozess unverwertbar sein können.

Datenschutz und DSGVO-Compliance: Die Vereinbarung enthält eine Datenschutzklausel, die die Verarbeitung personenbezogener Daten nach Art. 5, 6 und 88 DSGVO sowie § 26 BDSG regelt. Zweck der Datenverarbeitung, Kategorien der verarbeiteten Daten, Speicherfristen und Rechte der Arbeitnehmer nach Art. 12–22 DSGVO (Auskunft, Berichtigung, Löschung) sind konkret zu benennen.

Auf forms-legal.com bietet die Vorlage für die Betriebsvereinbarung IT-Nutzung alle erforderlichen Klauseln nach BetrVG, DSGVO und BDSG. Ergänzend ist die de-betriebsvereinbarung-datenschutz für umfassende Datenschutzregelungen zu empfehlen.

Verstöße und Sanktionen: Die Vereinbarung regelt das Verfahren bei Verstößen gegen die IT-Nutzungsrichtlinien: Welche Beweise dürfen wie ausgewertet werden, welche Schritte folgen (Gespräch, Abmahnung, Kündigung), und wer ist in welchem Stadium zu beteiligen (Datenschutzbeauftragter nach Art. 37 DSGVO, Betriebsrat nach § 102 BetrVG, Schwerbehindertenvertretung nach SGB IX).

Laufzeit und Anpassungsklausel: Die Vereinbarung hat eine feste Laufzeit (z. B. zwei Jahre) mit einer Anpassungsklausel, die bei Einführung neuer Technologien oder Änderungen der Rechtslage — insbesondere Änderungen der DSGVO oder BDSG — eine Neuverhandlung vorsieht. Bei Kündigung gilt die Nachwirkung nach § 77 Abs. 6 BetrVG.

Regelung für mobiles Arbeiten und BYOD: Die Vereinbarung regelt den Einsatz privater Geräte für dienstliche Zwecke (Bring Your Own Device, BYOD) und legt Sicherheitsanforderungen fest: VPN-Pflicht, Geräteverschlüsselung nach Art. 32 DSGVO, Trennung privater und dienstlicher Daten durch MDM-Lösungen (Mobile Device Management). Bei BYOD hat der Arbeitnehmer das Recht auf Löschung dienstlicher Daten vom Privatgeraet nach Ausscheiden aus dem Betrieb. Passende Ergänzungsdokumente: de-betriebsvereinbarung-homeoffice für Homeoffice-Regelungen sowie de-datenschutzerklärung-mitarbeiter für individuelle Arbeitnehmerrechte nach DSGVO.

Die Betriebsvereinbarung IT-Nutzung in Deutschland korrekt auszufüllen erfordert die enge Zusammenarbeit von Arbeitgeber, IT-Abteilung, Datenschutzbeauftragtem und Betriebsrat.

Schritt 1 — Parteien eintragen: Name und Rechtsform des Arbeitgebers (z. B. Musterfirma GmbH), Sitz, Handelsregisternummer (HRB), Name des Geschäftsführers nach § 35 GmbHG sowie Name des Betriebsratsvorsitzenden nach § 26 BetrVG eintragen. Datum der Unterzeichnung im Format TT.MM.JJJJ. Der Betriebsrat fasst zuvor einen Beschluss nach § 33 BetrVG; das Protokoll ist aufzubewahren.

Schritt 2 — IT-Systeme vollständig auflisten: Alle technischen Systeme benennen, die im Betrieb eingesetzt werden und potenziell zur Verhaltens- oder Leistungsüberwachung geeignet sind. Hersteller und Softwarebezeichnung angeben (z. B. Microsoft Outlook 365, SAP HR, DATEV). Bei künftigen Neueinführungen ist vor Inbetriebnahme eine Anpassung der Betriebsvereinbarung oder eine Ergänzungsvereinbarung erforderlich.

Schritt 3 — Private Nutzung klar definieren: Entscheidung treffen: private Nutzung vollständig verboten, eingeschränkt erlaubt (z. B. 30 Minuten pro Tag) oder unbeschränkt erlaubt in der Mittagspause. Diese Entscheidung ist zentral für die datenschutzrechtliche Bewertung — bei erlaubter privater Nutzung unterliegen private E-Mails dem Fernmeldegeheimnis nach § 88 TKG (Telekommunikationsgesetz); deren inhaltliche Kontrolle durch den Arbeitgeber ist grundsätzlich verboten.

Schritt 4 — Protokollierung und Zugriff regeln: Für jedes IT-System angeben: Was wird protokolliert (Login-Zeiten, Internetseiten ja/nein, E-Mail-Metadaten ja/nein)? Wie lange werden Protokolldaten gespeichert (z. B. 7 Tage Rollenprotokoll)? Wer darf auf Protokolldaten zugreifen (nur IT-Security, nicht Vorgesetzte)? Unter welchen Umständen ist eine Auswertung zulässig (konkreter Missbrauchsverdacht, Betriebsrat informiert)?

Schritt 5 — Datenschutzbeauftragten einbinden: Den betrieblichen Datenschutzbeauftragten (DSB) nach Art. 37 DSGVO in die Erstellung der Betriebsvereinbarung einbinden. Der DSB prüft, ob die Regelungen mit DSGVO, BDSG und den Beschlüssen der Datenschutzkonferenz (DSK) vereinbar sind. Das Verarbeitungsverzeichnis nach Art. 30 DSGVO ist entsprechend zu aktualisieren.

Schritt 6 — Unterzeichnung und Bekanntmachung: Beide Parteien unterzeichnen das Original eigenhändig. Die Betriebsvereinbarung ist nach § 77 Abs. 2 BetrVG an geeigneter Stelle bekannt zu machen — Aushang, Intranet oder Mitarbeiterhandbuch. Alle Arbeitnehmer erhalten eine Kopie oder werden auf die elektronische Abrufbarkeit hingewiesen. Neueingestellte Mitarbeiter werden im Onboarding auf die IT-Nutzungsvereinbarung hingewiesen.

Schritt 7 — Onboarding-Integration: Die Betriebsvereinbarung IT-Nutzung ist fester Bestandteil des Onboarding-Prozesses. Neueingestellte Arbeitnehmer erhalten die Vereinbarung am ersten Arbeitstag und bestätigen schriftlich oder elektronisch deren Kenntnisnahme. Im Intranet oder Mitarbeiterhandbuch ist die jeweils aktuelle Fassung abrufbar. Bei Änderungen der Vereinbarung werden alle Beschäftigten unverzüglich nach § 77 Abs. 2 BetrVG informiert und die neue Fassung bekannt gemacht.

Für die Betriebsvereinbarung IT-Nutzung in Deutschland gelten folgende gesetzliche Anforderungen des Betriebsverfassungsgesetzes (BetrVG), der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG).

Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG: Der Betriebsrat hat ein erzwingbares Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die zur Verhaltens- oder Leistungsüberwachung geeignet sind. Das Mitbestimmungsrecht besteht schon bei abstrakter Überwachungseignung — eine tatsächliche Auswertungsabsicht ist nicht erforderlich (BAG, Beschluss vom 14.09.1984, Az. 1 ABR 23/82). Ohne Zustimmung des Betriebsrats oder Betriebsvereinbarung dürfen solche Systeme nicht betrieben werden.

Datenschutzrecht nach DSGVO und BDSG: Art. 88 DSGVO erlaubt Betriebsvereinbarungen als Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten. § 26 Abs. 4 BDSG bestätigt dies explizit für das deutsche Recht. Die Betriebsvereinbarung muss die Anforderungen der Art. 5 und 6 DSGVO erfüllen: Zweckbindung, Datensparsamkeit, Speicherbegrenzung, Integrität und Vertraulichkeit.

Fernmeldegeheimnis nach § 88 TKG: Erlaubt der Arbeitgeber private Internetnutzung, kann er als Telekommunikationsdienstleister nach § 3 TKG eingestuft werden. In diesem Fall unterliegen private Kommunikationsinhalte dem Fernmeldegeheimnis; deren inhaltliche Kontrolle ist ohne Einwilligung des Arbeitnehmers strafbar nach § 206 StGB. Die Betriebsvereinbarung muss diese Konsequenz klar adressieren.

Verbotene Überwachungsmaßnahmen: Heimliche Videoüberwachung, Keylogger und permanente GPS-Ortung ohne konkrete Verdachtsgrundlage verstoßen gegen das allgemeine Persönlichkeitsrecht nach Art. 2 Abs. 1 GG und Art. 8 EMRK. Das BAG hat im Urteil vom 27.07.2017 (Az. 2 AZR 681/16) entschieden, dass durch rechtswidrige Überwachung gewonnene Beweise im Kündigungsschutzprozess unverwertbar sind.

Beweiserhebung bei Verstößen: Eine Betriebsvereinbarung IT-Nutzung kann unter klar definierten Voraussetzungen (konkreter Missbrauchsverdacht, Betriebsrat und Datenschutzbeauftragter unterrichtet) die Auswertung von Protokolldaten erlauben. Ohne diese Grundlage sind im Strafrecht und Zivilrecht gewonnene IT-Beweise möglicherweise nicht verwertbar.

Schriftform nach § 77 Abs. 2 BetrVG: Betriebsvereinbarungen sind schriftlich abzuschließen und von Arbeitgeber und Betriebsratsvorsitzenden nach § 26 BetrVG eigenhändig zu unterzeichnen. Eine elektronische Signatur genügt nicht.

Nachwirkung nach § 77 Abs. 6 BetrVG: Bei Kündigung einer Betriebsvereinbarung über erzwingbare Mitbestimmungsgegenstände wirken die Normen weiter, bis eine neue Regelung sie ersetzt. Das bedeutet: Auch nach Kündigung der IT-Betriebsvereinbarung gelten die Überwachungsverbote weiter, bis eine neue Vereinbarung abgeschlossen ist.

Bei der Erstellung der Betriebsvereinbarung IT-Nutzung in Deutschland machen Arbeitgeber und Betriebsräte typische Fehler, die zu Unwirksamkeit, Datenschutzverstößen oder unverwertbaren Beweismitteln führen.

Fehler 1 — Betriebsrat übergangen: Der Arbeitgeber führt neue Software ohne Betriebsvereinbarung ein — z. B. ein Zeiterfassungssystem mit Fingerabdrucksensor oder Microsoft Teams mit aktiviertem Aktivitäts-Tracking. Das Bundesarbeitsgericht (BAG) hat entschieden, dass der Betriebsrat den Einsatz solcher Systeme ohne Betriebsvereinbarung durch einstweilige Verfügung stoppen kann. Bis zur Einigung kann die IT-Einführung komplett blockiert werden.

Fehler 2 — Private Nutzung nicht klar geregelt: Fehlt eine klare Aussage zur erlaubten oder verbotenen privaten Nutzung, entstehen rechtliche Graubereiche: Bei geduldeter privater Nutzung kann der Arbeitgeber private E-Mails nicht inhaltlich kontrollieren (Fernmeldegeheimnis nach § 88 TKG). Eine ausdrückliche Regelung verhindert diesen Graubereich.

Fehler 3 — Protokollierungsregeln zu unbestimmt: Formulierungen wie »Protokolldaten werden für interne Zwecke gespeichert« genügen nicht. Art. 5 Abs. 1 lit. b DSGVO verlangt Zweckbindung; Art. 5 Abs. 1 lit. e DSGVO verlangt Speicherbegrenzung. Ohne konkrete Zwecke und Fristen ist die Datenverarbeitung nicht DSGVO-konform.

Fehler 4 — Datenschutzbeauftragter nicht eingebunden: Der Datenschutzbeauftragte nach Art. 37 DSGVO muss frühzeitig in die Erstellung der Betriebsvereinbarung eingebunden werden. Fehlt seine Prüfung, riskiert das Unternehmen Bußgelder der Datenschutzbehörde nach Art. 83 DSGVO von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Fehler 5 — Beweismittel unverwertbar durch unzulässige Überwachung: Wird ein Arbeitnehmer per Keylogger oder heimlicher Videoüberwachung ohne Betriebsvereinbarung und ohne konkreten Verdacht überwacht und werden die so gewonnenen Daten im Kündigungsschutzprozess verwendet, sind diese Beweise unverwertbar (BAG, Urteil vom 27.07.2017, Az. 2 AZR 681/16). Der Arbeitgeber verliert die Kündigung trotz nachgewiesenen Fehlverhaltens.

Fehler 6 — Keine Anpassungsklausel für neue Technologien: Die IT-Landschaft verändert sich schnell. Ohne eine Klausel, die bei Einführung neuer Technologien eine Aktualisierung der Vereinbarung vorsieht, ist der Betrieb gezwungen, bei jeder Neueinführung eine separate Betriebsvereinbarung abzuschließen oder die Nachwirkungsregelung zu riskieren.

Fehler 7 — DSGVO-Verarbeitungsverzeichnis nicht aktualisiert: Jede Betriebsvereinbarung IT-Nutzung, die die Verarbeitung personenbezogener Daten regelt, muss im Verarbeitungsverzeichnis nach Art. 30 DSGVO dokumentiert sein. Fehlt dieser Eintrag, riskiert das Unternehmen bei einer Prüfung durch die Datenschutzbehörde Bußgelder nach Art. 83 Abs. 4 DSGVO.