Wenn eine neue Software Verhalten oder Leistung von Beschäftigten technisch erfassen kann, gehört die Beteiligung des Betriebsrats in die Planung vor Einführung und Anwendung. Die Aussage des Einkaufs, das Produkt diene ausschließlich der Zusammenarbeit, beantwortet die Mitbestimmungsfrage nicht. Entscheidend sind die tatsächlichen Funktionen, Daten und Auswertungsmöglichkeiten.
Für einen deutschen Betrieb mit Betriebsrat führt dieser Leitfaden zu einem konkreten Verhandlungspaket: Funktionsübersicht, Datenfelder, zulässige Auswertungen, Rollen, Löschung und überprüfbare Freigabebedingungen. Als fiktives Beispiel dient ein Kundendienst, der ein neues Ticketsystem einführen möchte. Das Verfahren ist von einer allgemeinen IT-Nutzungsrichtlinie zu unterscheiden, weil hier eine bestimmte Konfiguration verhandelt und geprüft wird.
Die technische Eignung untersuchen
§ 87 Absatz 1 Nummer 6 BetrVG erfasst die Einführung und Anwendung technischer Einrichtungen zur Überwachung von Verhalten oder Leistung. Nach der Rechtsprechung kommt es auf die objektive Eignung an, nicht auf eine subjektive Überwachungsabsicht. Das Bundesarbeitsgericht erläutert dies unter anderem im Beschluss 1 ABR 13/17 auch für eingegebene Daten, die ein System weiterverarbeitet.
Im Ticketsystem entstehen Bearbeiterkennung, Zuweisungszeit, Statuswechsel, Antwortzeit und eine Bewertung durch den Kunden. Aus diesen Angaben lassen sich personenbezogene Leistungsübersichten erstellen. Die Bezeichnung „Servicequalität“ nimmt den Funktionen ihre Überwachungseignung nicht. Ebenso wenig genügt die Zusage, eine vorhandene Rangliste zunächst nicht anzusehen.
Die technische Prüfung erfasst außerdem Exporte, Schnittstellen und Administratoransichten. Ein gewöhnliches Dashboard kann stark begrenzt sein, während ein Tabellenexport jede einzelne Aktivität enthält. Das Verhandlungspaket muss diese zweite Auswertungsebene zeigen. Sonst bezieht sich die Einigung auf eine Oberfläche, während ein anderer Zugang dieselben Beschränkungen umgeht.
Livefunktionen nicht übersehen
Eine dauerhafte Speicherung ist nicht in jedem Fall Voraussetzung einer mitbestimmungsrelevanten technischen Überwachung. Im Beschluss 1 ABR 16/23 behandelte das Bundesarbeitsgericht ein Headset-System, das Vorgesetzten das Mithören der Kommunikation ermöglichte. Für die Prüfung zählt deshalb auch, ob technisch vermittelt laufend personenbezogene Informationen wahrgenommen werden können.
Das Beispielteam prüft folglich die Liveansicht des Ticketsystems. Sie zeigt ursprünglich den aktuellen Status jedes Mitarbeiters und die Dauer seit dem letzten Tastendruck. Der Fachbereich benötigt für die Verteilung offener Kundenanfragen jedoch zunächst verfügbare Kapazität, nicht einen kontinuierlichen Aktivitätsindikator pro Person. Die Planung entfernt die Tastendruckanzeige aus dem vorgesehenen Betrieb.
Bei Kameras oder einer Bildschirmfreigabe werden Aufnahme, Liveansicht, Fernzugriff und Speicherung getrennt aufgeführt. Die konkrete Kameraprüfung wird mit dem Leitfaden zu Videoüberwachung und Datenschutz verbunden. Ein ausgeschalteter Rekorder allein sagt nicht, welche Beobachtung über den Livezugang möglich bleibt.
Rechtzeitig belastbare Unterlagen bereitstellen
Nach § 80 Absatz 2 BetrVG ist der Betriebsrat zur Durchführung seiner Aufgaben rechtzeitig und umfassend zu unterrichten; die erforderlichen Unterlagen sind auf Verlangen bereitzustellen. Für ein Softwareprojekt bedeutet eine brauchbare Unterrichtung mehr als die Vertriebspräsentation des Herstellers.
Im Beispiel erhält der Betriebsrat eine konkrete Funktionsbeschreibung der vorgesehenen Version, eine Datenfeldliste, Rollenansichten und einen Datenfluss. Die Unterlagen nennen außerdem deaktivierte Funktionen und erklären, wer sie wieder aktivieren könnte. Die Projektleitung kennzeichnet offene Anbieterfragen, statt fehlende Informationen als bereits geklärt darzustellen.
Ein Demonstrationszugang verwendet synthetische Beschäftigte und Kundenfälle. Anhand eines solchen Testdatensatzes können die Beteiligten nachvollziehen, welche Aussage eine einzelne Auswertung tatsächlich erzeugt. Dafür müssen keine echten individuellen Leistungsdaten vorab in ein noch nicht freigegebenes System importiert werden. Ein „Pilot“ mit realen Beschäftigten wird nicht automatisch als mitbestimmungsfreie Vorbereitung behandelt.
Ein ausgefülltes Funktionspaket erstellen
| Funktion im Ticketsystem | Vorgesehener Zweck | Konfiguration für die Verhandlung |
|---|---|---|
| Offene Anfragen je Team | Arbeitsvorrat erkennen | Teamansicht ohne individuelle Rangliste |
| Zuweisung an Bearbeiter | Zuständigkeit im Einzelfall | Sichtbar für beteiligte Fallbearbeiter und zuständige Leitung |
| Individuelle Antwortzeiten | Im Ursprungsprodukt verfügbar | Kein allgemeines Leistungsranking; Auswertung nicht freigegeben |
| Kundenkommentar | Rückmeldung zum konkreten Vorgang | Begrenzter Zugriff, keine automatische Übernahme in Personalakte |
| Sicherheitsprotokoll | Missbrauch untersuchen | Separater Zweck, eingeschränkte Sicherheitsrolle |
| Export sämtlicher Aktivitäten | Technisch möglich | Standardmäßig gesperrt; Ausnahmeverfahren konkret festlegen |
Die Tabelle ist ein Verhandlungsvorschlag für den fiktiven Betrieb, keine vorweggenommene Zulässigkeitsbestätigung. Für jede erlaubte Funktion werden Notwendigkeit und Auswirkungen begründet. Die Beteiligten dürfen die Grenzen nicht nur in einem allgemeinen Satz verstecken, während die übrige Anlage unbegrenzte Auswertungen zulässt.
Die Fachabteilung erläutert zum Beispiel, weshalb die Zuweisung im einzelnen Kundenfall benötigt wird: Eine Rückfrage muss an den aktuellen Bearbeiter gelangen. Daraus folgt nicht, dass die Geschäftsleitung monatelange Zeitreihen aller Beschäftigten vergleichen muss. Dieser Unterschied zwischen Aufgabensteuerung und individueller Dauerbewertung wird im Daten- und Rollenkonzept konkret umgesetzt.
Mitbestimmung und Datenschutz getrennt erfüllen
Eine Betriebsvereinbarung kann im Beschäftigungskontext eine wichtige Grundlage sein. § 26 Absatz 4 BDSG verweist dabei auf die Anforderungen des Artikels 88 Absatz 2 DSGVO. Die Vereinbarung darf das Datenschutzniveau nicht durch eine pauschale Einigung absenken.
Der EuGH hat im Urteil C-65/23 vom 19. Dezember 2024 klargestellt, dass insbesondere die Anforderungen der Artikel 5, 6 und 9 relevant bleiben und die Erforderlichkeit umfassender gerichtlicher Kontrolle unterliegt. Eine kollektiv vereinbarte Verarbeitung wird nicht allein durch die Unterschriften erforderlich.
Das Projekt prüft deshalb Zweck, Rechtsgrundlage, Datenumfang, Speicherdauer, Betroffenenrechte und Sicherheit zusätzlich. Fehlt ein Betriebsrat, entfällt damit nicht die datenschutzrechtliche Prüfung. Umgekehrt ersetzt eine positive Stellungnahme des Datenschutzbeauftragten nicht die Mitbestimmung. Die Funktionen der beteiligten Stellen werden im Projektplan sauber benannt.
Auswertungen so beschreiben, dass man sie prüfen kann
Eine Klausel „keine unangemessene Überwachung“ lässt zu viele Entscheidungen offen. Das Beispielunternehmen legt stattdessen fest, welche Berichte erzeugt werden dürfen, welche Datenfelder sie enthalten und welche Empfänger sie erhalten. Abgelehnte Auswertungen werden ebenfalls bezeichnet, damit ein späterer Systemadministrator nicht versehentlich die ursprünglichen Standardberichte aktiviert.
Eine konkrete Regelung kann etwa bestimmen, dass die Teamplanung nur den Bestand offener Vorgänge nach Kategorie und vereinbartem Zeitraum sieht. Kleine Gruppen, seltene Spezialfälle und Zusatzinformationen können allerdings Rückschlüsse auf Einzelne ermöglichen. Die Aggregation wird daher anhand der tatsächlichen Teamstruktur geprüft und nicht allein wegen einer ausgeblendeten Namensspalte als anonym bezeichnet.
Für Kundenbeschwerden wird ein eigener Ablauf festgelegt: sachliche Prüfung des konkreten Vorgangs, begrenzter Zugriff und Gelegenheit zur Einordnung des Sachverhalts. Eine schlechte Kundenbewertung wird nicht automatisch in eine Personalmaßnahme übersetzt. Falls später Entscheidungen allein automatisiert mit rechtlicher oder ähnlich erheblicher Wirkung getroffen werden sollen, ist eine eigenständige Prüfung nach Artikel 22 DSGVO erforderlich.
Rollen und außergewöhnliche Zugriffe festlegen
Die Berechtigungsmatrix unterscheidet Fallbearbeitung, Teamsteuerung, Personalverwaltung, IT-Administration und Sicherheitsuntersuchung. Eine Administrationsbefugnis soll nicht ohne weiteres zur fachlichen Auswertung von Leistungsdaten führen. Der Betrieb prüft technisch, ob eine Rolle Berichte exportieren, gelöschte Inhalte wiederherstellen oder Protokolle verändern kann.
Im Beispiel wird eine außergewöhnliche Auswertung nur für einen dokumentierten konkreten Anlass beantragt. Der Antrag nennt Zweck, Datenumfang, Zeitraum, beteiligte Rollen und die erforderlichen rechtlichen Prüfungen. Eine solche interne Prozedur schafft jedoch selbst keine neue Rechtsgrundlage; insbesondere strafbezogene Ermittlungen benötigen die einschlägigen Voraussetzungen.
Die spätere Nutzung von Beweismitteln und mögliche arbeitsrechtliche Folgen werden nicht mit pauschalen Garantien über Verwertbarkeit geregelt. Die Vereinbarung beschreibt stattdessen das zulässige Verfahren und die Schutzmaßnahmen. Für Zugriffssituationen nach dem Ausscheiden verweist sie auf den gesonderten Ablauf zum Mitarbeiterpostfach, soweit das System entsprechende Kommunikation enthält.
Speicherung nach Datenarten aufteilen
Kundenfall, individuelle Aktivitätsanzeige und Sicherheitsprotokoll haben unterschiedliche Zwecke. Sie erhalten daher keine gemeinsame Aufbewahrungsdauer bloß aus Bequemlichkeit. Der Fachbereich begründet, wie lange ein abgeschlossener Vorgang bearbeitet werden muss; die Sicherheit beschreibt ihren notwendigen Untersuchungszeitraum; nicht erforderliche Aktivitätsdaten werden gar nicht erst erhoben oder früher entfernt.
Im Beispiel war ursprünglich eine unbefristete Exportablage vorgesehen. Die Projektleitung ersetzt sie durch einen festgelegten, zugriffsbeschränkten Ablagezweck mit Löschung und Nachweis. Auch Empfänger heruntergeladener Berichte müssen die vereinbarten Grenzen einhalten. Eine Löschregel nur im Hauptsystem erfasst lokale Tabellenkopien nicht.
Das Löschkonzept nennt die betroffenen Speicher und Exportwege. Die technische Abnahme überprüft mit einem Testfall, dass ein abgelaufener Datensatz tatsächlich verschwindet und nicht weiterhin über eine Administrationssuche verfügbar bleibt. Ausnahmen für konkrete Rechtsverteidigung werden gesondert begründet und auf den erforderlichen Bestand begrenzt.
Information und Risikoanalyse vorbereiten
Beschäftigte erhalten eine verständliche Beschreibung der tatsächlich aktiven Funktionen. Ein Hinweis, man verwende „eine moderne Serviceplattform“, reicht nicht, wenn Statuswechsel, Kommentare und Auswertungen personenbezogen gespeichert werden. Die Information erklärt Zwecke, Empfänger, Fristen, Rechte und Kontakt sowie die praktischen Grenzen des Systems.
Die IT-Nutzungsrichtlinie wird mit der ausgehandelten Konfiguration abgeglichen. Ein allgemeines Verbot privater Nutzung erlaubt keine beliebige Auswertung dienstlicher Tätigkeiten. Die Kenntnisnahme der Information ist zudem keine vorsorgliche Einwilligung in jede spätere Erweiterung.
Eine mögliche Datenschutz-Folgenabschätzung wird vor dem Start geprüft, insbesondere bei umfangreicher systematischer Beobachtung oder sonst voraussichtlich hohen Risiken. Die Beteiligung des Betriebsrats kann wichtige Kenntnisse über die tatsächlichen Auswirkungen liefern. Sie ersetzt die DSFA jedoch nicht und macht ein weiterhin hohes Restrisiko nicht automatisch hinnehmbar.
Änderungen und Freigabe als konkreten Prozess vereinbaren
Das Freigabepaket enthält im Beispiel die Version T-03, den Datenfluss, die erlaubten Berichte, Rollenmatrix, Löschregeln, Information und Ergebnisse der Abnahme. Vor dem Betrieb wird geprüft, ob die produktive Konfiguration diesen Unterlagen entspricht. Der Installateur bestätigt nicht lediglich, dass die Software erfolgreich startet.
Für neue Funktionen gibt es einen Änderungskanal. Ein Herstellerupdate mit automatischer Zusammenfassung, Stimmungsbewertung oder zusätzlichem Leistungsbericht wird vor Aktivierung anhand seiner tatsächlichen Datenverarbeitung bewertet. Soweit Mitbestimmung besteht, wird sie erneut berücksichtigt. Ein ursprüngliches „Ja zum Produkt“ deckt keine beliebige künftige Verarbeitung ab.
Bei Uneinigkeit sieht § 87 Absatz 2 BetrVG die Entscheidung der Einigungsstelle vor. Ein Beschaffungsdatum oder angekündigter Starttermin ersetzt diesen Beteiligungsweg nicht. Die Projektleitung plant daher fachliche und technische Arbeit so, dass die Einigung über die konkrete Anwendung tatsächlich vor ihrer Einführung möglich bleibt.
Die letzte Probe besteht aus drei Rollen: Ein Mitarbeiter bearbeitet einen Testfall, eine Führungskraft öffnet ihre Berichte, ein Administrator versucht einen untersagten Export. Die Ergebnisse zeigen, ob die ausgehandelte Grenze praktisch trägt. Erst dann lässt sich eine nachvollziehbare Freigabe für genau diesen Betrieb dokumentieren.