Art. 33 DS-GVO und die dort geregelten Melde- und Dokumentationspflichten bei Datenpannen sollten in jedem Unternehmen – unabhängig von der Größe – mittlerweile gut bekannt und ein entsprechendes Procedere zur Einhaltung der kurzen Meldepflicht (72 Stunden) eingeführt sein. Aus arbeitsrechtlicher Sicht stellt sich die spannende Frage, ob der Betriebsrat zu beteiligen ist, wenn einheitliche Regeln aufgestellt werden, die festlegen, in welcher Form Arbeitnehmer Datenpannen an ihren Vorgesetzten, den Datenschutzbeauftragten oder die Geschäftsführung zu melden haben.
Der konkrete Fall: Entscheidung des LAG Schleswig-Holstein, 06.08.2019 – 2 TaBV
In einer Arbeitsanweisung hatte der Arbeitgeber konkretisiert, wie die Beschäftigten die Meldepflichten nach Art. 33, 34 DS-GVO („Datenpanne“) umzusetzen hatten. Die Arbeitsanweisung enthielt ein standardisiertes Meldeverfahren mit bestimmten Vorgaben zum Meldeweg und zum Inhalt der Meldung. Bei einer Datenpanne sollten die Mitarbeiter (ausschließlich) per E-Mail an eine vorgegebene E-Mail Adresse Mitteilung machen und u.a. Angaben zur Art des Verstoßes und der Anzahl betroffener Personen sowie zu den ergriffenen Maßnahmen usw. übermitteln. Außerdem sollten die betroffenen Arbeitnehmer verpflichtet werden, im Anschluss an eine Meldung kurzfristig für das Datenschutz-Einsatzteam erreichbar zu bleiben und Abwesenheiten vorab anzumelden. Diese Arbeitsanweisung wurde an die Projekt- und Teamleitern im Betrieb in schriftlicher Form ausgeteilt.
Der Betriebsrat hielt einige der in der Arbeitsanweisung enthaltenen Vorgaben für mitbestimmungspflichtig und leitete schließlich beim Arbeitsgericht ein Beschlussverfahren ein, um sein Mitbestimmungsrecht feststellen zu lassen.
Mitbestimmtes Ordnungsverhalten
Nachdem schon das Arbeitsgericht dem Antrag des Betriebsrats stattgegeben und die Mitbestimmungspflicht nach § 87 Abs. 1 Nr. 1 BetrVG bejaht hatte, wurde diese Entscheidung vom Landesarbeitsgericht bestätigt.
Kern der Begründung: Die in Streit stehenden Inhalte der Arbeitsanweisung seien dem Ordnungsverhalten i.S.d. § 87 Abs. 1 Nr. 1 BetrVG zuzuordnen und unterlägen deshalb der erzwingbaren Mitbestimmung des Betriebsrats. Der Arbeitgeber hätte betriebliche Verhaltensregeln aufgestellt, die ein standardisiertes Vorgehen bei Datenpannen vorgeben. Alle Arbeitnehmer, die eine Datenpanne bemerken, sollten verpflichtet werden, eine E-Mail mit vorgegebenen Inhalt zu versenden. Eine Meldung auf anderen Kommunikationswegen (telefonisch, mündlich) und an andere Personen sei damit ausgeschlossen. Auch durch die Anweisung, kurzfristig für das Datenschutzteam erreichbar zu sein und Abwesenheitszeiten dort zu melden, werde das Verhalten der Arbeitnehmer im Betrieb geregelt und Vorgaben gemacht, die keinen Bezug zur geschuldeten Arbeitsleistung hätten. All dies führe zu einer Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 1 BetrVG.
Über § 87 Abs. 1 Nr. 1 BetrVG der Mitbestimmung unterworfene „Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer im Betrieb“ sind nach der üblichen Definition dann betroffen, wenn verbindliche Verhaltensregeln für die Arbeitnehmer eines Betriebs zur Sicherung eines ungestörten Arbeitsablaufs und des reibungslosen Zusammenlebens und Zusammenwirkens der Arbeitnehmer im Betrieb aufgestellt.
Typische Fälle des Mitbestimmungsrechts nach § 87 Abs. 1 Nr. 1 BetrVG sind:
Kleiderordnungen im Betrieb, Verpflichtung zum „Whistle-Blowing“, Tragen von Namensschildern, Einführung von Arbeitszeiterfassung, Regeln zur Nutzung von Wasch- und Umkleideräumen, Nutzung von betrieblichen Einrichtungen zu privaten Zwecken (Telefon, Handy), Erlass eines Alkoholverbots
Besteht ein Mitbestimmungsrecht des Betriebsrats nach § 87 BetrVG, hat dies zur Folge, dass der Arbeitgeber die fragliche Maßnahme nur dann umsetzen darf, wenn der Betriebsrat – im Regelfall durch Abschluss einer Betriebsvereinbarung – von seiner Mitbestimmung Gebrauch gemacht hat.
Mitbestimmungsfreies Arbeitsverhalten
Bei der Begründung seiner Entscheidung musste das LAG eine Abgrenzung zum sogenannten Arbeitsverhalten vornehmen. Konkretisiert der Arbeitgeber durch Weisungen lediglich die Arbeitspflicht des Arbeitnehmers, ist kein Raum für Mitbestimmungsrechte des Betriebsrats. Das Arbeitsverhalten ist berührt, wenn der Arbeitgeber kraft seiner Organisations- und Leitungsmacht näher bestimmt, welche Arbeiten auszuführen sind und in welcher Weise das geschehen soll.
Kein Mitbestimmungsrecht besteht typischerweise bei:
Vorgaben zur äußeren Form von Geschäftsbriefen, Verbot der Privatnutzung betrieblicher Einrichtungen, Erlass einer Dienstreiseordnung, Einsatz von Privatdetektiven, Einführung von Tätigkeitsberichten.
Mitbestimmung bei der Konkretisierung der Meldepflichten?
Wenn man Definition und Beispiele für mitbestimmtes Ordnungs- und mitbestimmungsfreies Arbeitsverhalten vergleicht, drängt sich auf, dass das Ergebnis des LAG, die Regelungen zur Umsetzung der Meldepflichten dem mitbestimmten Ordnungsverhalten zuzuordnen, sicherlich nicht zwingend ist. Ordnet der Arbeitgeber an, dass die Mitarbeiter Verstöße i.S.d. Art. 33 DS-GVO an ihn zu melden haben, konkretisiert er für diese Situation die Arbeitsleistung und gestaltet/steuert nicht das allgemeine Verhalten der Arbeitnehmer untereinander. Die Mitwirkung des Arbeitnehmers bei der Einhaltung der Datenschutzbestimmung ist unmittelbare arbeitsvertragliche Pflicht und keine Frage bloßer „Verhaltensregeln“. Aus diesem Grund ist ein Mitbestimmungsrecht des Betriebsrats jedenfalls dann abzulehnen, wenn der Arbeitgeber lediglich Anweisungen gibt, die – anders als im hier entschiedenen Fall – die Inhalte des Art. 33 DS-GVO wiedergeben und keine Formalien einführen, die das Gesetz nicht vorsieht. Jedenfalls dürfte die Begründung des LAG in diesem Sinne zu verstehen sein. Höchstrichterliche Rechtsprechung des BAG existiert zu dieser Frage noch nicht.
Inga Leopold, Rechtsanwältin und Fachanwältin für Arbeitsrecht
Ihre Ansprechpartner im Arbeitsrecht:
RA und FAArbR Dr. Stephan Pauly, Tel.: 0228‑6209010, E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.
RA und FAArbR Dr. Stephan Osnabrügge, Tel.: 0228-6209030, E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.
RAin und FAinArbR Dr. Susanne Sadtler, Tel.: 0228-6209040, E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.
RAin und FAinArbR Inga Leopold, Tel.: 0228-6209030, E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.
RAin Dr. Julia Jankowski, Tel.: 0228-6209050, E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.
RA Radoslaw Kleczar, Tel.: 0228-6209070, E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.
RA Andreas Höffken, Tel.: 0228-6209000, E-Mail: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.
