Kein automatischer Zugriff auf Daten in HR-Systemen für Betriebsräte

Sachverhalt

Zwei Arbeitgeberinnen mit gemeinsam 19 Regionaldirektionen hatten mit dem Gesamtbetriebsrat eine Gesamtbetriebsvereinbarung („GBV“) über die einheitliche Einführung eines Personalmanagementsystems geschlossen. Das System enthält unter anderem ein Modul zur Zeiterfassung. In der GBV wurden den lokalen Betriebsräten Zugriffsrechte auf verschiedene Zeiterfassungsdaten einschließlich der Gründe für Abwesenheiten (z. B. Krankheit, Elternzeit, Mutterschutz) eingeräumt.

Ein lokaler Betriebsrat erstellte eine Auswertung der Abwesenheitsgründe der Mitarbeiter seines Betriebs. Nachdem diese Auswertung unverschlüsselt auf einem betriebsinternen Laufwerk auftauchte, sperrten die Arbeitgeberinnen auf Anraten der Datenschutzbeauftragten die Zugriffsberechtigungen aller Betriebsräte. Der Gesamtbetriebsrat verlangt die erneute Einräumung der Zugriffsrechte der lokalen Betriebsräte.

Die Entscheidung

Das LAG Köln wies den Antrag des Gesamtbetriebsrats zurück. Nach Auffassung des Gerichts fehlte dem Gesamtbetriebsrat bereits die Zuständigkeit, die Zugriffsrechte wirksam zu regeln. Die Einräumung von Zugriffsrechten für Betriebsräte sei nicht vom Mitbestimmungsrecht bei der Einführung technischer Einrichtungen nach § 87 Abs. 1 Nr. 6 BetrVG erfasst. Insbesondere bestehe auch keine „Annexkompetenz“. Vielmehr diene der Datenzugriff der Wahrnehmung der gesetzlichen Überwachungs- und Informationsrechte nach § 80 BetrVG, die grundsätzlich den örtlichen Betriebsräten zustehen. Für eine Regelung auf Gesamtbetriebsebene hätte daher eine entsprechende Übertragung der Zuständigkeit vorliegen müssen.

Darüber hinaus äußerte das Gericht erhebliche datenschutzrechtliche Bedenken gegen einen dauerhaften Zugriff auf personenbezogene Arbeitszeit- und Abwesenheitsdaten. Ein permanenter Online-Zugriff sei nicht erforderlich, um die Aufgaben des Betriebsrats wahrzunehmen. Besonders kritisch sei zudem, dass durch die Abwesenheitsgründe auch Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten verarbeitet würden. Die Voraussetzungen der potenziell einschlägigen Rechtsgrundlagen eines entsprechenden Zugriffs nach § 26 Abs. 3, Abs. 4 BDSG oder Art. 9 DSGVO sah das Gericht nicht als erfüllt an.

Konsequenzen für die Praxis

Die Entscheidung verdeutlicht, dass die Zuständigkeiten von Konzern-, Gesamt- und örtlichen Betriebsräten bei der Gestaltung digitaler HR-Systeme sorgfältig geprüft werden müssen. Nicht jede Frage, die mit einem mitbestimmungspflichtigen IT-System zusammenhängt, fällt automatisch in die Zuständigkeit des Gesamt- oder Konzernbetriebsrats.

Zugleich stellt das LAG Köln klar, dass sich aus den Informationsrechten des Betriebsrats kein genereller Anspruch auf einen dauerhaften Direktzugriff auf Datenbestände ableiten lässt. Vielmehr ist stets eine Rechtsgrundlage erforderlich. Fehlt sie, kann dies die Wirksamkeit solcher Regelungen infrage stellen. Arbeitgeber haben daher zusätzliche Argumente, Forderungen von Betriebsräten zur Einräumung von Zugriffsrechten abzuwehren.

Praxistipp

Unternehmen sollten bestehende Konzern-, Gesamt- und Betriebsvereinbarungen zu HR- und Zeiterfassungssystemen daraufhin überprüfen, ob die jeweiligen Regelungen von dem zuständigen Gremium abgeschlossen wurden. Ebenso empfiehlt sich eine Überprüfung von Rollen- und Berechtigungskonzepten aus datenschutzrechtlicher Sicht. Besondere Aufmerksamkeit verdienen Zugriffe auf Gesundheitsdaten oder andere besonders schützenswerte personenbezogene Informationen, da hierfür erhöhte rechtliche Anforderungen gelten.