Beschäftigtendaten : Self-Service für den Betriebsrat?
Das Betriebsverfassungsgesetz (BetrVG) gibt Betriebsräten verschiedene Einsichtsund Informationsrechte. Bisher stellt die Personalabteilung die erforderlichen Daten zusammen und legt sie dem Betriebsrat vor. Die Bereitstellung dieser Daten ist eine Daueraufgabe, welche sich gut durch Lesezugriffe des Betriebsrats auf die in IT-Systemen, bspw. Zeiterfassung, Bewerbermanagementsystem oder Personalverwaltungssystem, gespeicherten Beschäftigtendaten technisch ersetzen ließe.
Das BetrVG definiert die Rechte des Betriebsrats ohne das Mittel, bspw. Lesezugriffe oder Papierkopie, zu ihrer Erfüllung vorzugeben. Auf die Wahl des Mittels findet damit die Datenschutz-Grundverordnung (DS‑GVO) Anwendung. Wie könnte demnach eine datenschutzrechtlich zulässige Gestaltung aussehen?
Erforderlich muss ein Zugriff sein
Damit eine Verarbeitung personenbezogener Daten zulässig wird, muss/ müssen insbesondere
- ein legitimer Zweck existieren,
- die verarbeiteten Daten für den Zweck erforderlich sein und
- eine Rechtsgrundlage aus dem Katalog von Art. 6 Abs. 1 DS‑GVO die Verarbeitung ausnahmsweise erlauben.
Diese Anforderungen gelten für alle Verarbeitungen personenbezogener Daten, also auch für die Zugriffe eines Betriebsrats auf IT-Systeme zur Abfrage von Beschäftigtendaten.
Ein legitimer Zweck ist regelmäßig vorhanden, da der Betriebsrat u. a. die Anwendung von Gesetzen, Tarifverträgen und Betriebsvereinbarungen zugunsten der Beschäftigten überwachen soll (§ 80 Abs. 1 Nr. 1 BetrVG). Für die im BetrVG festgelegten Informations- oder Mitbestimmungsrechte erlaubt entweder das BetrVG selbst die Verarbeitung (Art. 6 Abs. 1 lit. c) DS‑GVO) oder eine Interessensabwägung (Art. 6 Abs. 1 lit. f) DS‑GVO) trägt die Verarbeitung.
In der Praxis erweist sich die Erforderlichkeit als Hürde. Bezogen auf Zugriffsrechte bedeutet erforderlich, dass der Zweck ohne diese Zugriffe nicht erreicht werden kann. Es kommt deshalb darauf an, auf welche Daten zugriffen werden soll und welches Informations- oder Mitbestimmungsrecht durch den Zugriff ausgeübt werden soll.
Zugriffe auf Bewerbungen
Im Bewerbungsverfahren muss der Betriebsrat der Einstellung des ausgewählten Bewerbers zustimmen (§ 99 BetrVG). Dazu benötigt er insbesondere die Stellenausschreibung und die Bewerbungsunterlagen der Personen, die sich auf diese Stelle beworben haben. Diese Unterlagen können auch im Rahmen eines Leserechts auf die im Bewerbermanagementsystem gespeicherten Daten und Unterlagen dem Betriebsrat zur Verfügung gestellt werden (Bundesarbeitsgericht (BAG), Beschluss vom 13.12.2023, Az. 1 ABR 28/22).
Als Voraussetzung nennt das BAG:
- Jedes Betriebsratsmitglied muss Zugriff haben können mit einem für die Betriebsratsarbeit vorgesehen PC oder Notebook,
- auf alle für die Entscheidung im Rahmen von § 99 BetrVG erforderlichen Unterliegen kann zugegriffen werden und
- das Zugriffsrecht besteht für den Zeitraum, in dem Betriebsrat entscheidet.
Die erste Anforderung lässt sich durch eine entsprechende Geräteausstattung, auf die ein Betriebsrat – soweit für seine Arbeit erforderlich – ein Anrecht hat, sowie die Vergabe entsprechender Lesezugriffe umsetzen.
Auf Bewerbungsunterlagen, Protokolle der Vorstellungsgespräche und weitere für die Ausübung des Mitbestimmungsrechts nach § 99 BetrVG relevante Daten und Unterlagen muss sich das Leserecht erstrecken. Daten, die nicht für die Ausübung des Mitbestimmungsrechts erforderlich sind, bspw. Bewerbungen auf andere Stellen oder zurückgezogene Bewerbungen, dürfen nicht im Zugriff des Betriebsrats sein. Art. 25 Abs. 2 DS‑GVO beschränkt Zugriffsrechte auf die Daten, die für den Zweck – hier die Ausübung des Mitbestimmungsrechts – benötigt werden.
Sobald der Betriebsrat in einer Betriebsratssitzung seine Entscheidung getroffen hat, muss der Arbeitgeber die Zugriffsrechte entziehen. Nachdem die Entscheidung getroffen wurde, ist das Mitbestimmungsrecht ausgeübt, d. h. der Zweck ist entfallen. Der Arbeitgeber hat sicherzustellen, dass nicht erforderliche Zugriffsrechte unverzüglich entzogen werden (Art. 25 Abs. 2 DS‑GVO).
Für die Ausübung dieses Mitbestimmungsrechts sind schreibende Zugriffe nicht erforderlich, d. h. diese dürfen nicht erteilt werden.
Zugriffe auf die Zeiterfassung
Das genannte Urteil des BAG bedeutet nicht, dass ein Betriebsrat grundsätzlich Leserechte auf Beschäftigtendaten in IT-Systemen erhalten darf. Das BAG stellt im Einklang mit Art. 25 Abs. 2 DS‑GVO auf die Erforderlichkeit zur Ausübung der vom BetrVG zugewiesenen Rechte und Aufgaben ab.
Das Landesarbeitsgericht (LAG) Köln hält permanente Lesezugriffe auf personenbezogenen Arbeitszeitdaten im Zeitwirtschaftssystem für unzulässig (LAG Köln (09.01.2026 – 9 TaBV 22/25, nicht rechtskräftig). Das Gericht stellt auch darauf ab, dass der Arbeitgeber überprüfen können muss, ob die gewünschten Daten für die Durchführung der Überwachungsaufgaben nach § 80 Abs. 1 BetrVG erforderlich sind. Gleiches sieht das Gericht auch bei den Unterrichtungsrechten nach § 80 Abs. 2 BetrVG als gegeben an.
Das Arbeitsgericht (ArbG) Elmshorn sieht es nicht als Aufgabe des Betriebsrats an, „jegliches Verhalten des Arbeitgebers auf etwaige Gesetzesverstöße zu prüfen“ (Beschluss vom 23.08.2023, Az. 3 BV 31 e/23, Rn. 59). Der Betriebsrat habe sich auf Stichprobenkontrollen zu beschränken. Permanente Zugriffsrechte auf personenscharfe Zeiterfassungsdaten gehen über Stichprobenkontrollen hinaus.
Zugriffsrechte auf Zeiterfassungsdaten sind deshalb so auszugestalten, dass sie einer Stichprobenkontrolle entsprechen. Da es im ersten Prüfschritt, bei dem geprüft wird, ob mögliche Verstöße des Arbeitgebers im Raum stehen, nicht auf die Identität des konkreten Beschäftigten ankommt, sind Daten ohne Personenbezug zu verwenden.
Betriebsvereinbarung als Lösung?
Mithilfe von Betriebsvereinbarungen kann die Umsetzung datenschutzrechtlicher Vorschriften im Unternehmen konkretisiert werden. Insbesondere kann darin geregelt werden, wer was wann und wie zu tun hat sowie wer gegenüber wem welche Rechte hat.
Eine Betriebsvereinbarung kann jedoch keine Verarbeitungen legitimieren oder Betroffenenrechte einschränken (Europäischer Gerichtshof (EuGH), Urteil vom 19.12.2024, C-65/23). Da sich die Aufgaben eines Betriebsrats abschließend aus dem BetrVG ergeben, kann eine Betriebsvereinbarung dem Betriebsrat keine zusätzlichen (freiwilligen) Zugriffsrechte, die er nach dem BetrVG nicht hätte, einräumen.
Über Betriebsvereinbarungen lassen sich bspw. die Modalitäten von Zugriffen regeln.
Fazit
Für die Arbeit des Betriebsrats gelten die üblichen Zulässigkeitsanforderungen aus dem Datenschutzrecht. Mit Blick auf Zugriffsrechte des Betriebsrats auf IT-Systeme, die Beschäftigtendaten verarbeiten, wird die Erforderlichkeit der Datenzugriffe zur Aufgabenerfüllung zum zentralen Maßstab.
Betriebsvereinbarungen können Prozesse und Zuständigkeiten regeln, aber sie dürfen keine zusätzlichen Zugriffsrechte schaffen, die für die Aufgabenerfüllung nicht erforderlich sind.
Soll Betriebsräten Zugriff auf IT-Systeme mit Beschäftigtendaten eingeräumt werden, empfiehlt es sich, zu prüfen,
- ob die Zugriffe für die Erfüllung der durch das BetrVG zugewiesenen Aufgaben erforderlich sind und keine Stichproben oder aggregierten oder pseudonymen Daten ausreichen;
- ob die Zugriffe nach Abschluss der Tätigkeit wieder entzogen werden.
Erhält ein Betriebsrat Zugriff auf aggregierte Daten, die keine Rückschlüsse auf Beschäftigte zulassen, bspw. Die Anzahl an Beschäftigten mit mehr als zehn Überstunden für den Gesamtbetrieb, erfolgt kein Eingriff in das Persönlichkeitsrecht der Beschäftigten. Solche Zugriffe sind auch auf Dauer zulässig.
Bei einer effektiven Umsetzung lässt sich das Konzept des SelfService durchaus auf die Tätigkeit des Betriebsrats anwenden, sofern die gesetzlichen Vorgaben eingehalten werden. Bei einer mangelhaften Umsetzung birgt es jedoch Risiken.
Dr. Niels Lepperhoff, Xamit Bewertungsgesellschaft mbH