Betriebsrat, Personalrat oder MAV: Wer bestimmt bei Datenschutz und KI mit?

Ein Unternehmen führt eine neue Personalsoftware ein. Wenig später soll ein KI-Assistent hinzukommen. Die Geschäftsführung prüft Datenschutz, IT-Sicherheit und Verträge. Dann stellt sich die Frage: Muss auch die Arbeitnehmervertretung beteiligt werden?

Die Antwort lautet häufig ja. Aber nicht jede Arbeitnehmervertretung hat dieselben Rechte. Und Beteiligung bedeutet nicht automatisch Mitbestimmung.

Für Unternehmen ist deshalb der erste Schritt immer die Klärung: Welches Arbeitnehmervertretungsrecht gilt überhaupt?

In privatwirtschaftlichen Unternehmen ist regelmäßig das Betriebsverfassungsgesetz maßgeblich. Dort reichen die Rechte des Betriebsrats von Information und Beratung bis zu einer erzwingbaren Mitbestimmung.

Im öffentlichen Dienst gelten dagegen Personalvertretungsgesetze. Für Bundesdienststellen ist dies insbesondere das Bundespersonalvertretungsgesetz. § 80 BPersVG enthält unter anderem Mitbestimmungsrechte bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung bestimmt sind.

Kirchliche Arbeitgeber bilden eine dritte Gruppe. Nach § 118 Abs. 2 BetrVG findet das Betriebsverfassungsgesetz auf Religionsgemeinschaften und ihre karitativen und erzieherischen Einrichtungen grundsätzlich keine Anwendung. Dort können beispielsweise das Mitarbeitervertretungsgesetz der EKD oder eine katholische Mitarbeitervertretungsordnung maßgeblich sein.

Das aktuelle MVG-EKD enthält eigene Informations- und Mitbestimmungsrechte. Dazu gehört insbesondere die Einführung oder Anwendung technischer Einrichtungen oder Maßnahmen, die geeignet sind, Verhalten oder Leistung von Mitarbeitenden zu überwachen.

Ein häufiger Irrtum lautet: Sobald personenbezogene Daten von Beschäftigten verarbeitet werden, muss der Betriebsrat zustimmen. So einfach ist es nicht.

Die DSGVO und das BDSG regeln, ob und unter welchen Voraussetzungen Beschäftigtendaten verarbeitet werden dürfen. Die Beteiligungsrechte des Betriebsrats ergeben sich dagegen vor allem aus dem Betriebsverfassungsgesetz. Beide Ebenen müssen deshalb getrennt geprüft werden.

§ 26 BDSG erlaubt unter bestimmten Voraussetzungen die Verarbeitung von Beschäftigtendaten und stellt ausdrücklich klar, dass die Beteiligungsrechte der Interessenvertretungen unberührt bleiben. Außerdem können Kollektivvereinbarungen eine Grundlage für Beschäftigtendatenverarbeitungen bilden.

Das bedeutet für die Praxis: Ein System kann datenschutzrechtlich grundsätzlich zulässig sein und trotzdem vor seiner Einführung der Mitbestimmung unterliegen. Umgekehrt führt nicht jede zulässige Datenverarbeitung automatisch zu einem Mitbestimmungsrecht.

Besonders wichtig ist § 87 Abs. 1 Nr. 6 BetrVG. Danach hat der Betriebsrat bei Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen.

Das betrifft heute deutlich mehr als klassische Zeiterfassungs- oder Videoüberwachungssysteme. Denkbar sind beispielsweise HR-Systeme, Kollaborationsplattformen, Telefonanlagen, Zutrittssysteme, GPS-Funktionen, Auswertungen von Kommunikationsdaten, KI-Scoring, Protokolldaten oder Software zur Produktivitätsanalyse.

Daneben können weitere Rechte greifen. § 90 BetrVG nennt ausdrücklich Arbeitsverfahren und Arbeitsabläufe einschließlich des Einsatzes künstlicher Intelligenz. Der Arbeitgeber muss den Betriebsrat frühzeitig informieren und die Auswirkungen beraten.

Bei Personalfragebögen und allgemeinen Beurteilungsgrundsätzen greift § 94 BetrVG. Bei Auswahlrichtlinien kann § 95 einschlägig sein. Bei personellen Einzelmaßnahmen kommt § 99 hinzu.

Mitbestimmung bedeutet nicht, dass der Betriebsrat Beschäftigtendaten unbegrenzt erhalten darf.

§ 79a BetrVG verpflichtet auch den Betriebsrat zur Einhaltung datenschutzrechtlicher Vorgaben. Soweit er personenbezogene Daten zur Erfüllung seiner Aufgaben verarbeitet, bleibt der Arbeitgeber datenschutzrechtlich Verantwortlicher. Arbeitgeber und Betriebsrat müssen sich bei der Einhaltung des Datenschutzes unterstützen.

Ähnliche Regelungen enthält das Bundespersonalvertretungsrecht. Auch das MVG-EKD ordnet Datenschutzpflichten der Mitarbeitervertretung an und sieht die Dienstgeberseite grundsätzlich als verantwortliche Stelle an.

Unternehmen sollten deshalb nicht mit dem Argument „Der Betriebsrat braucht alles" komplette Datenbestände herausgeben. Entscheidend ist die Erforderlichkeit für die konkrete Aufgabe.

Datenschutz, Arbeitsrecht und Mitbestimmung sollten nicht nacheinander in getrennten Projekten bearbeitet werden. Bei einem neuen KI- oder IT-System können gleichzeitig Fragen zu Datenschutz, technischer Überwachung, Arbeitsorganisation, Personalplanung, Gleichbehandlung, Qualifikation und IT-Sicherheit entstehen.

Wer erst kurz vor dem Go-live prüft, ob der Betriebsrat oder die MAV beteiligt werden muss, riskiert Verzögerungen. In der Praxis ist es sinnvoller, die Arbeitnehmervertretung als festen Prüfschritt in den Beschaffungs- und Freigabeprozess einzubauen.