Mitbestimmung des Betriebsrates bei der Festlegung eines Meldeweges im Rahmen der Feststellung einer Datenpanne nach der DSGVO - Zuständigkeit Leitsatz 1. Die Herausgabe einer Arbeitsanweisung an die

§ 87Nr.

40; Fitting, 25. Aufl., § 87 Rn. 65). Das sind Regeln und Weisungen, die von den Arbeitnehmern bei der Erbringung der geschuldeten Arbeitsleistung zu beachten sind (BAG 08.06.1999 – 1 ABR 67/98 –

§ 87Nr.

31 Ordnung des Betriebes). Vorgegeben wird im vorliegenden Fall nicht, welche Arbeit auf welche Art und Weise auszuführen ist. Die Vorgabe einen „D. B.“ in der vorgegebenen Art und Weise zu melden, führt dazu, dass der Arbeitgeber in der Lage ist, seinen Verpflichtungen nach Art. 33 DSGVO nachzukommen. Konsequenterweise werden in der Literatur auch Regelungen über sogenannte Compliance-Systeme, mit denen gesetzliche Organisations- und Überwachungspflichten des Arbeitsgebers institutionalisiert werden, um ein regelkonformes Verhalten von Arbeitnehmern und Geschäftsführung zu gewährleisten, dem Tatbestand des § 87 Abs. 1 Nr. 1 BetrVG zugeordnet (Fitting, BetrVG, 28. Aufl., § 87, Rn. 71 m.w.N.). Randnummer 81 Indem die Arbeitgeberin die Arbeitnehmer angewiesen hat, im Falle eines „D. B.“ umgehend per E-Mail an eine bestimmte E-Mail-Adresse mit einem feststehenden und vom Arbeitnehmer darzulegenden Inhalt zu senden, hat sie eine betriebliche Verhaltensregel geschaffen. Sie lässt den Arbeitnehmern keine Wahl, wie sie die Meldung eines „D. B.“ vornehmen. Sie verlangt feststehend die Meldung per E-Mail mit einem vorgegebenen Inhalt. Dadurch kann der Arbeitgeber die Angaben der Arbeitnehmer standardisiert nach eigenen Vorgaben erheben und verarbeiten. Es wird eine betriebliche Verhaltensregel geschaffen, die strikt einzuhalten ist, Die Arbeitnehmer sind nicht mehr frei in ihrer Wahl, wie sie eine Datenpanne melden. Andere Meldewege, die durchaus denkbar wären, etwa eine Meldung per Telefon, eine mündliche Meldung gegenüber dem Vorgesetzten, sind nicht möglich, weil sie den Vorgaben der Arbeitsanweisung widersprechen. Bei der Meldung eines Verstoßes den ein oder mehrere Arbeitskollegen begangen haben, ist auch das Verhalten der Arbeitnehmer untereinander durch die Vorgaben in der streitgegenständlichen Arbeitsanweisung betroffen. Randnummer 82 Die Beschwerdekammer erkennt nicht, warum die Meldung feststehend per E-Mail erfolgen muss. Aus den Regelungen der DSGVO folgt eine derartige Vorgabe nicht Es sind andere Meldewege denkbar, z.B. die Meldung per Telefon oder mündlich, per SMS. Zuzugeben ist dem Arbeitgeber in diesem Falle allerdings, dass die Einhaltung der Textform sicherstellt, dass die notwendigen Informationen nach Art. 33 Abs. 3 DSGVO abgegeben werden. Randnummer 83 Im Ergebnis besteht der mitbestimmungspflichtige Sachverhalt darin, dass der Arbeitgeber kraft seines Direktionsrechts ein standardisiertes Vorgehen der Arbeitnehmer erreichen will, dass weder durch vertragliche Nebenpflichten noch durch gesetzliche Vorschriften (DSGVO) zwingend vorgegeben wird. Der Arbeitgeber will, dass alle Arbeitnehmer den gleichen Mitteilungsweg wählen. Randnummer 84

1. cc)Die Regelung in Ziffer 9 der Arbeitsanweisung „D. B.“ zur Meldung der Abwesenheitszeiten beim Datenschutz-Einsatzteam unterfallen ebenfalls der Mitbestimmungspflicht des Betriebsrates nach § 87 Abs. 1 Nr. 1 BetrVG. Die Anweisung nach Ziffer 9 der Arbeitsanweisung „D. B.“ verpflichtet denjenigen, der einen „D. B.“ feststellt bzw. meldet bzw. dafür verantwortlich ist, während des gesamten Prozesses der „D. B. N.“ zur Mitwirkung und Unterstützung. Der Arbeitnehmer wird verpflichtet, eine kurzfristige Erreichbarkeit zu gewährleisten. Abwesenheitszeiten sind beim Datenschutz-Einsatzteam vorab zu melden. Den Arbeitnehmern wird aufgegeben, sich so zu verhalten, dass er jederzeit in einer kurzen Zeitspanne dem Arbeitgeber zur Verfügung steht. Es handelt sich nicht um allgemeine Leitsätze, sondern um konkrete Regelungen über gesonderte Abmeldepflichten bei Verlassen des Arbeitsplatzes und der Vorgabe jederzeit während des Prozesses der “N.“ kurzfristig und damit schnell erreichbar zu sein. Mit diesen Vorgaben in Ziffer 9 der Arbeitsanweisung „D. B.“ wird das Verhalten der Arbeitnehmer im Betrieb geregelt. Diese Vorgaben haben keinen Bezug zu der Erbringung der geschuldeten Arbeitsleistung. Sie unterfallen der Mitbestimmung des Betriebsrates nach § 87 Abs. 1 Nr. 1 BetrVG (vgl. dazu Fitting, § 87 Rn. 71 zu Regelungen über das Betreten und Verlassen des Betriebes; BAG v. 21.04.20014 – 1 ABR 07/03 – NZA 2004, 556). Randnummer 85
2. dd)Die seitens des Arbeitgebers vorgebrachten Argumente, dass es sich bei den Regelungen der Arbeitsanweisung „D. B.“ um ein Gesamtpaket handele, es müsse ein einheitliches Meldesystem bestehen, um eine einheitliche Reaktion zu ermöglichen, überzeugt nicht. Letztlich geht es bei der Frage der Mitbestimmung um den einzuhaltenden Meldeweg. Soweit ein Meldeweg mit dem Betriebsrat abgestimmt ist, ist dieser von den Arbeitnehmern einzuhalten. Die Frage des Meldeweges und der damit verbundenen Pflichten des Arbeitnehmers lassen sich gesondert und anders regeln ohne dass damit die gesamte Arbeitsanweisung sinnlos wird. Es handelt sich um einen gesonderten und abtrennbaren Regelungsbereich der Arbeitsanweisung. Randnummer 86
3. b)Die Mitbestimmung des Betriebsrates entfällt auch nicht wegen § 87 Abs. 1 Eingangshalbsatz BetrVG, weil die streitige Angelegenheit bereits tariflich oder gesetzlich geregelt ist. Die Pflicht zur Meldung eines „D. B.“ sowie die Frage der Erreichbarkeit eines Arbeitnehmers im Falle eines „D. B.“ sind weder gesetzlich noch tariflich geregelt. Auf die überzeugenden Ausführungen des erstinstanzlichen Urteils (S. 12 – 13) wird Bezug genommen. Randnummer 87 3. Entgegen der Auffassung des Arbeitgebers steht nicht dem Konzernbetriebsrat/Gesamtbetriebsrat, sondern dem örtlichen Betriebsrat das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 1 BetrVG bei den Ziffern 2a und 9 der Arbeitsanweisung „D. B.“ zu. Die Zuständigkeit des Konzern- oder Gesamtbetriebsrates ergibt sich weder originär aus den §§ 58 Abs. 1, 50 Abs. 1 BetrVG. Auch eine abgeleitete Zuständigkeit aus einer Beauftragung nach den §§ 58 Abs. 2, 50 Abs. 2 BetrVG liegt nicht vor. Randnummer 88
4. a)Die Voraussetzungen der §§ 58 Abs. 1, 50 Abs. 1 BetrVG liegen nicht vor. Randnummer 89 Nach der Kompetenzzuweisung des Betriebsverfassungsgesetzes ist für die Wahrnehmung von Mitbestimmungsrechten in erster Linie der von den Arbeitnehmern unmittelbar durch die Wahl legitimierte Betriebsrat zuständig. Er hat die Interessen der Belegschaft des einzelnen Betriebes gegenüber dem Unternehmer zu vertreten. Diese Aufgabe weisen § 50 Abs. 1 Satz 1 BetrVG dem Gesamtbetriebsrat und § 58 Abs. 1 Satz 1 BetrVG dem Konzernbetriebsrat nur für den Fall zu, dass die zu regelnde Angelegenheit nicht auf den einzelnen Betrieb oder zumindest das Unternehmen beschränkt ist und deshalb die Interessen der Arbeitnehmer nicht mehr auf der betrieblichen Ebene bzw. der Ebene des Unternehmens gewahrt werden können (BAG 19.06.2007 – 1 AZR 454/06 –). Randnummer 90 Nach § 58 Abs. 1 Satz 1 erster Halbsatz BetrVG ist der Konzernbetriebsrat für die Behandlung von Angelegenheiten zuständig, die den Konzern oder mehrere Konzernunternehmen betreffen und nicht durch die einzelnen Gesamtbetriebsräte innerhalb ihrer Unternehmen geregelt werden können. Diese originäre Zuständigkeit des Konzernbetriebsrats ist nach denselben Kriterien zu bestimmen wie die Zuständigkeit des Gesamtbetriebsrats (BAG 24.01.2006 – 3 AZR 483/04 – AP BetrVG § 1 Ablösung Nr. 50; 19.06.2007 – 1 AZR 454/06 –). Die originäre Zuständigkeit des Konzernbetriebsrats kann sich danach aus objektiv zwingenden Gründen oder aus der „subjektiven Unmöglichkeit“ einer Regelung auf Betriebs- oder Unternehmensebene ergeben. Randnummer 91
5. bb)Im vorliegenden Fall war eine unternehmensübergreifende oder konzerneinheitliche Regelung weder aus objektiven Gründen zwingend erforderlich noch nach der Theorie der subjektiven Unmöglichkeit geboten. Randnummer 92 Eine konzerneinheitliche/unternehmenseinheitliche Regelung war nicht zwingend erforderlich. Ein objektiv zwingendes Erfordernis für eine konzerneinheitliche oder unternehmensübergreifende Regelung kann sich aus technischen oder rechtlichen Gründen ergeben. Allein der Wunsch des Konzerns/Unternehmens nach einer konzerneinheitlichen oder unternehmensübergreifenden Regelung, sein Kosten- oder Koordinierungsinteresse sowie reine Zweckmäßigkeitsgesichtspunkte genügen nicht, um die Zuständigkeit des Konzernbetriebsrats/Gesamtbetriebsrats zu begründen. Maßgeblich sind stets die konkreten Umstände des Konzerns, seiner Unternehmen und Betriebe (BAG 19.06.2007 – 1 AZR 454/06 –). Randnummer 93 Danach begründet allein der Wunsch der Arbeitgeberin konzernweit oder unternehmensweit den gleichen Meldeweg vorzugeben und die Erreichbarkeit des Mitarbeiters während des Prozesses der N. sicherzustellen, weder technisch noch rechtlich ein zwingendes Erfordernis für eine konzern- oder unternehmenseinheitliche Regelung. Randnummer 94 Auch ohne einen einheitlich geregelten Meldeweg kann erfasst werden, wann in welchem Betrieb ein „D. B.“ mit welchen Auswirkungen im Einzelnen vorliegt. Die Arbeitgeberin trägt selbst vor, dass ein Konzernbetriebsrat derzeit nicht existiert. Auch die Tatsache, dass das Datenschutz-Einsatzteam betriebsübergreifend zusammengesetzt ist, führt nicht dazu, dass der Gesamt- oder Konzernbetriebsrat zuständig ist. Das Datenschutzteam ist ersichtlich dazu eingesetzt worden, um eine effektive Reaktion auf ein „D. B.“ zu ermöglichen (Ziffer 8 der Arbeitsanweisung „D. B.“). Die Frage, wer bei einem „D. B.“ über die erforderlichen Reaktionen entscheidet, ist von der Frage des Meldeweges und der geforderten Erreichbarkeit unabhängig, weil sich diese Reaktionen zeitlich erst nach der Feststellung eines „D. B.“ ergeben. Dieses Datenschutz-Einsatzteam kann auch bei einem unterschiedlich ausgestalteten Meldeverfahren entscheiden. Randnummer 95 Eine rechtliche Notwendigkeit für eine unternehmens- oder konzerneinheitliche Regelung folgt entgegen der Auffassung der Arbeitgeberin auch nicht aus der Frage, wer Verantwortlicher im Sinne der Datenschutzgrundverordnung ist. Nach Art. 4 Ziffer 7 der DSGVO ist „Verantwortlicher“ die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Die Frage, wer Verantwortlicher im Sinne der DSGVO ist, brauchte die Kammer nicht entscheiden. Bei der Frage der Mitbestimmung im Hinblick auf die Ziffern 2a und 9 der Arbeitsanweisung „D. B.“ geht es allein um die Ausgestaltung des Meldeverfahrens. In diesem Rahmen hat der Betriebsrat ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 1 BetrVG, weil die Mitarbeiter vor Ort in ihrem Verhalten und in der Ordnung des Betriebes betroffen sind. Eine eigene Datenerhebung durch den Betriebsrat erfolgt allerdings nicht. Randnummer 96 Auch aus der Rahmen-Konzern Betriebsvereinbarung „IT Systeme und Datenschutz“ ergibt sich keine rechtliche Notwendigkeit für eine konzern- oder unternehmensübergreifende Regelung. Die Rahmen-Konzern Betriebsvereinbarung betrifft den Umgang mit Daten sowie die Planung, Einführung, Anwendung und Änderung von Systemen der Informationstechnik (§ 4) sowie die Sicherstellung der Datensicherheit (§14). Vorgaben bezüglich einer konzernübergreifenden Sicherstellung der Vorgaben der Rahmen-Konzern Betriebsvereinbarung durch ein einheitliches Meldeverfahren und die Bereithaltung der Arbeitnehmer für die Zeit der „N.“ ergeben sich hieraus nicht. Auch die Vorgabe des § 6 Abs. 2 der Konzern-Betriebsvereinbarung, dass alle zum Einsatz kommenden Anwendungen mit denen personenbezogene Daten erhoben, verarbeitet und/oder ausgewertet werden einer Einzelkonzernbetriebsvereinbarung bedürfen, führt nicht zur Zuständigkeit des Konzern- bzw. Gesamtbetriebsrates. Allein durch die Festschreibung einer solchen Zuständigkeit können die gesetzlichen Vorgaben der §§ 58 und 50 BetrVG nicht umgangen werden. Randnummer 97 Unbestritten muss der Arbeitgeber die Einhaltung der DSGVO in Bezug auf die einzelnen Kunden sicherstellen. Die Einhaltung der DSGVO hat mit dem Meldeverfahren an sich nichts zu tun. Dieses kann in den einzelnen Betrieben unterschiedlich ausgestaltet sein (z.B. Meldung per Telefon, Meldung per E-Mail, in unterschiedlichen zeitlichen Vorgaben etc.). Randnummer 98 Soweit der Arbeitgeber sich darauf beruft, dass die Zuständigkeit des Gesamt- bzw. Konzernbetriebsrates dadurch begründet sei, dass die Installation der personenbezogenen Daten auf einem zentralen Rechner notwendig sei, weil ansonsten die Gefahr bestünde, dass die gleichen Daten eine unterschiedliche Aktualität aufweisen würden und die zentrale Speicherung zu einem höheren Datenschutzstandard führen würde, führt diese Argumentation ebenfalls nicht zu einer Zuständigkeit von Gesamt- oder Konzernbetriebsrat. Bei dieser Argumentation handelt es sich allein um Zweckmäßigkeitsüberlegungen. Wie der Arbeitgeber die Datenspeicherung/Datensicherheit tatsächlich umsetzt, liegt in seiner Organisationshoheit. Dies hat mit der Frage eines einheitlichen Meldesystems und der Frage der Erreichbarkeit von Mitarbeitern nach einem „D. B.“ nichts gemein. Unabhängig von der Frage auf welchem Wege sich die Arbeitnehmer nach einem „D. B.“ melden, kann der Arbeitgeber die Fragen der technischen Umsetzung bzw. Speicherung der Daten entscheiden. Auch hier fehlt der Bezug zu dem einzig und allein mitbestimmungspflichtigen Meldeverfahren. Randnummer 99 Die Zuständigkeit des Konzernbetriebsrats folgt im vorliegenden Fall auch nicht aus der von der Rechtsprechung entwickelten Theorie der „subjektiven Unmöglichkeit“. Randnummer 100 Nach der ständigen Rechtsprechung des Bundesarbeitsgerichts ist mit dem Begriff des „Nichtregelnkönnens“ im Sinne von § 58 Abs. 1 BetrVG nicht nur die objektive, sondern auch die subjektive Unmöglichkeit gemeint (BAG 10.10.2006 – 1 ABR 59/05 –

§ 77Tarifvorbehalt Nr.

24). Eine solche wird dann angenommen, wenn eine auf die einzelnen Betriebe oder Unternehmen beschränkte Regelung deshalb nicht möglich ist, weil der Arbeitgeber den der Mitbestimmung unterfallenden Regelungsgegenstand mitbestimmungsfrei so vorgegeben hat, dass eine Regelung nur betriebs- oder unternehmensübergreifend erfolgen kann. Die Rechtsprechung wurde im Wesentlichen für freiwillige Leistungen des Arbeitgebers entwickelt, bei denen dieser mitbestimmungsfrei darüber entscheiden kann, ob die Leistung überhaupt gewährt wird und wo lediglich deren Verteilung der Mitbestimmung des Betriebsrats unterfällt. In einem solchen Fall kann der Arbeitgeber, ohne der Zustimmung des Betriebsrats zu bedürfen, frei darüber befinden, ob überhaupt, in welcher Höhe und an welchen Empfängerkreis er die zusätzliche Leistung zu erbringen bereit ist. Damit hat er es zugleich in der Hand, die Ebene vorzugeben, auf der die Mitbestimmung bei der Verteilung der Leistung zu erfolgen hat. Randnummer 101 Um einen solchen Fall der „subjektiven Unmöglichkeit“ handelt es sich jedoch nicht, wenn der Arbeitgeber, wie im vorliegenden Fall, alle Arbeitnehmer anweisen will, den gleichen Meldeweg im Falle eines „D. B.“ einzuhalten. Der Arbeitgeber kann nicht mitbestimmungsfrei darüber entscheiden, welches Meldeverfahren die Arbeitnehmer im Falle eines „D. B.“ einhalten und wie lange und in welcher Weise sie sich im Rahmen der „N.“ bereithalten. Der Arbeitgeber kann weder das Meldeverfahren an sich noch das Verhalten der Arbeitnehmer für die Dauer der „N.“ durch einseitige, mitbestimmungsfreie Vorgaben festlegen. Insofern unterscheidet sich der Fall maßgeblich von dem Fall der mitbestimmungsfreien Vorgabe eines zu verteilenden Leistungsvolumens. Randnummer 102 b) Weder der Konzernbetriebsrat noch der Gesamtbetriebsrat sind nach §§ 50 Abs. 2, 58 Abs. 2 Satz 1, § 50 Abs. 2 BetrVG beauftragt worden. III. Randnummer 103 Eine Kostenentscheidung ist nicht veranlasst, § 2 Abs. 2 GKG. Gründe für die Zulassung der Revision sind nicht ersichtlich. Auf die Möglichkeit nach § 92 a ArbGG wird hingewiesen. Permalink Diesen Link können Sie kopieren und verwenden, wenn Sie genau dieses Dokument verlinken möchten: https://www.gesetze-rechtsprechung.sh.juris.de/perma?d=NJRE001399978