News
/ 31. Juli 2025

Keine Mitbestimmung beim Datenschutz

Mit der stetigen Einführung neuer IT-Systeme gewinnt der Beschäftigtendatenschutz zunehmend an Bedeutung. Betriebsratsgremien pochen dabei regelmäßig auf Mitbestimmung. Das LAG Hessen hat nun klargestellt: Für den Datenschutz ist allein der Arbeitgeber verantwortlich.

Worum geht es?

In einem Unternehmen führte die Arbeitgeberin ein konzernweit einheitliches IT-System zur Stammdatenverwaltung ein, das auf Servern in den USA gehostet wurde. Nach drei Sitzungen der Einigungsstelle wurde eine Betriebsvereinbarung (BV) beschlossen, die u. a. Regelungen zu Protokolldaten, Datenimport/-export sowie zur Leistungs- und Verhaltenskontrolle enthielt. Kurz nach Inkrafttreten kündigte der Betriebsrat die BV mit Verweis auf datenschutzrechtliche Bedenken und focht den letzten Einigungsstellenspruch an. Er bemängelte, das IT-System sei in der BV nicht vollständig erfasst, sondern nur in Teilen geregelt. Zudem sei die datenschutzrechtliche Tragweite des Mitbestimmungsrechts nach § 87 Abs. 1 Nr. 6 BetrVG verkannt worden. Die Datenverarbeitung sei nicht rechtskonform – etwa würden technische Grundanforderungen nicht eingehalten und personenbezogene Daten ohne tragfähige Rechtsgrundlage in Drittländer übermittelt.

Das sagt das Gericht

Das Gericht wies die Klage des Betriebsrats ab. Das Mitbestimmungsrecht aus § 87 Abs. 1 Nr. 6 BetrVG erstrecke sich nicht auf die allgemeine Gewährleistung des Persönlichkeitsrechts der Beschäftigten und bezwecke daher auch nicht die umfassende Einhaltung datenschutzrechtlicher Vorgaben. Die Verantwortung für die Einhaltung der Datenschutzbestimmungen liege allein beim Arbeitgeber, der gemäß Art. 4 Nr. 7 DSGVO (Datenschutzgrundverordnung) datenschutzrechtlich verantwortliche Stelle sei. Ein Mitbestimmungsrecht des Betriebsrats in Bezug auf datenschutzrechtliche Pflichten bestehe demnach nicht.

LAG Hessen, Beschluss vom 05.12.2024, Az.: 5 TaBV 4/24 (nicht rechtskräftig)

Das bedeutet für Sie

Beachten Sie, dass sich der § 87 Abs. 1 Nr. 6 BetrVG ausschließlich auf technische Einrichtungen bezieht, die zur Leistungs- oder Verhaltenskontrolle der Beschäftigten bestimmt oder geeignet sind – nicht aber auf die allgemeine Einhaltung datenschutzrechtlicher Vorgaben. Datenschutzregelungen unterliegen nicht der erzwingbaren Mitbestimmung, da sie bereits gesetzlich normiert sind. Aufgrund des Gesetzesvorbehalts in § 87 Abs. 1 BetrVG ist eine Mitbestimmung durch den Betriebsrat insoweit ausgeschlossen.

Daniel Roth