Zwischen Schutz und Steuerung: Warum moderne Betriebsvereinbarungen der Schlüssel zur digitalen Fairness sind

Unternehmen wollen KI, RPA und Copilot – aber was ist mit den Menschen, die diese Systeme nutzen (oder von ihnen beurteilt werden)?
Betriebsvereinbarungen sind heute kein bürokratischer Restposten mehr. Sie sind digitale Verträge zwischen Management und Belegschaft – und entscheiden darüber, ob Technologie Innovation oder Kontrolle bedeutet.

1. Einleitung

Die digitale Transformation verändert Unternehmen grundlegend. Datengetriebene Prozesse durchdringen alle Arbeitsbereiche – von der Personalplanung bis zur Kommunikation. Mit der Verlagerung in digitale Systeme steigt jedoch auch das Risiko der Überwachung von Beschäftigten. Moderne Software erlaubt eine Auswertung von Verhalten, Leistung und sozialen Interaktionen in bisher unbekanntem Ausmaß. Künstliche Intelligenz (KI), People Analytics, Robotic Process Automation (RPA) oder cloudbasierte Lösungen wie Microsoft 365 zeigen die enorme Reichweite technischer Kontrolle.

Hier treten Betriebsvereinbarungen als Instrumente der Mitbestimmung und des Datenschutzes auf den Plan. Sie sollen nicht nur Rechtssicherheit schaffen, sondern ein Gleichgewicht zwischen digitaler Innovation und Persönlichkeitsrechten ermöglichen. Dieser Essay untersucht, warum Betriebsvereinbarungen heute unverzichtbar sind. Er analysiert den rechtlichen Rahmen, aktuelle technologische Herausforderungen, praktische Anwendungsfälle und formuliert Anforderungen an eine moderne Regelungskultur im Betrieb.

2. Rechtlicher Rahmen: DSGVO, BetrVG und EuGH

Die zentrale rechtliche Grundlage für Datenschutz im Beschäftigungsverhältnis bildet die Datenschutz-Grundverordnung (DSGVO), ergänzt durch das Bundesdatenschutzgesetz (BDSG). Artikel 5 DSGVO normiert Grundsätze wie Zweckbindung, Datenminimierung und Transparenz. § 26 BDSG erlaubt die Verarbeitung personenbezogener Daten, wenn sie für das Beschäftigungsverhältnis erforderlich ist oder ein berechtigtes Interesse besteht.

Zudem räumt § 87 Abs. 1 Nr. 6 des Betriebsverfassungsgesetzes (BetrVG) dem Betriebsrat ein erzwingbares Mitbestimmungsrecht bei der Einführung technischer Einrichtungen ein, die zur Verhaltens- oder Leistungskontrolle bestimmt sind – oder auch nur potenziell dafür geeignet wären.

Diese Rechtslage wurde durch das Urteil des Europäischen Gerichtshofs (EuGH) vom 19. Dezember 2024 (C‑65/23) weiter geschärft: Betriebsvereinbarungen dürfen keine Datenschutzverstöße legitimieren. Der EuGH stellte klar, dass Betriebsparteien den Schutzrahmen der DSGVO nicht unterschreiten dürfen – eine Vereinbarung ersetzt kein gesetzliches Verbot. Damit wird die Qualität und DSGVO-Konformität jeder BV noch wichtiger.

3. Technologische Entwicklungen

3.1 Künstliche Intelligenz

KI-Systeme wie Microsoft Copilot oder ChatGPT verändern die Arbeitswelt. Ihre Fähigkeit, Texte zu generieren, Meetings auszuwerten oder Nutzungsverhalten zu analysieren, eröffnet neue Effizienzpotenziale – aber auch Risiken der Überwachung. Besonders problematisch ist die Erfassung individueller Nutzungsmuster, etwa beim Schreiben von E-Mails oder in der Nutzung von Office-Dokumenten. Betriebsräte fordern daher klare Regelungen zur Transparenz, zur Datennutzung und zu den Grenzen algorithmischer Analysen.

3.2 People Analytics

People Analytics zielt darauf ab, mit Hilfe von Daten individuelle Leistungen, Kommunikation oder Potenziale von Mitarbeitenden zu messen. Die eingesetzten Systeme sammeln oft verdeckt Informationen und erstellen daraus Profile. Ohne Betriebsvereinbarung besteht die Gefahr unkontrollierter Leistungskontrolle und Diskriminierung. Daher fordern viele Datenschutzexperten und Gewerkschaften, dass solche Systeme nur mit Zustimmung des Betriebsrats und nach klaren Regeln eingesetzt werden dürfen.

3.3 Robotic Process Automation (RPA)

RPA automatisiert wiederkehrende, regelbasierte Aufgaben. An sich stellt sie kein Überwachungsinstrument dar, doch sobald RPA mit lernenden KI-Elementen kombiniert wird oder Einfluss auf Arbeitsplatzgestaltung hat, besteht erheblicher Regelungsbedarf. Betriebsvereinbarungen müssen sicherstellen, dass Automatisierung nicht zu versteckten Rationalisierungsmaßnahmen ohne Beteiligung des Betriebsrats führt.

3.4 Microsoft-Technologien

Produkte wie Microsoft 365, Viva Insights oder Productivity Score bieten umfassende Datenanalysen zur Arbeitsweise von Beschäftigten. Diese können genutzt werden, um Produktivität zu steigern – oder um individuelle Leistung auszuwerten. Hier ist die Grenze zur Überwachung fließend. Die Einführung solcher Systeme erfordert daher eine sorgfältige Abstimmung mit dem Betriebsrat, idealerweise in Form einer Rahmenvereinbarung, die den Datenschutz und die Mitbestimmung systematisch sichert.

4. Mitbestimmungsrechte und Notwendigkeit von Betriebsvereinbarungen

Betriebsvereinbarungen konkretisieren gesetzliche Datenschutzvorgaben für den konkreten betrieblichen Kontext. Sie schaffen Transparenz, definieren Verantwortlichkeiten und ermöglichen technische Innovationen im Einklang mit den Rechten der Beschäftigten. Insbesondere bei Systemen, die eine Überwachung ermöglichen, ist die Mitbestimmung des Betriebsrats zwingend erforderlich.

Zudem stärken Betriebsvereinbarungen das Vertrauen in neue Technologien. Sie ermöglichen es Beschäftigten, den digitalen Wandel aktiv mitzugestalten, statt ihm ausgeliefert zu sein. In Zeiten rascher technischer Entwicklung bieten sie einen verlässlichen, gemeinsam verhandelten Rahmen für die betriebliche Zusammenarbeit.

5. Anforderungen an Betriebsvereinbarungen

Eine effektive Betriebsvereinbarung sollte:

• den Geltungsbereich klar definieren,
• die Zwecke der Datenverarbeitung beschreiben,
• die Datenerhebung auf das Notwendige beschränken (Datenminimierung),
• Transparenzpflichten enthalten,
• Mitbestimmungs- und Informationsrechte des Betriebsrats sichern,
• technische Schutzmaßnahmen wie Pseudonymisierung und Zugriffskontrollen vorsehen,
• Löschfristen und Speichergrenzen benennen,
• Verfahren bei Verstößen regeln.

6. Praxisbeispiele

Copilot-Einführung

Ein Unternehmen testete Microsoft Copilot in einer Abteilung. Die Nutzung erfolgte freiwillig. Die BV schloss eine personenbezogene Auswertung aus und schrieb Anonymisierung vor. Der Betriebsrat erhielt Einblick in technische Konfigurationen, begleitet durch eine Datenschutzfolgeabschätzung.

Viva Insights im Großkonzern

Ein Konzern führte Viva Insights ein. Die BV legte fest, dass nur aggregierte Teamanalysen erlaubt sind. Individuelle Reports wurden ausgeschlossen. Daten mussten spätestens nach drei Monaten gelöscht werden.

RPA mit Governance-Board

Ein Industriebetrieb implementierte RPA zur Automatisierung von Standardprozessen. Eine Rahmenvereinbarung regelte die Beteiligung eines RPA-Gremiums, Schulungsangebote für Betroffene, Transparenzpflichten und eine Reporting-Pflicht an den Betriebsrat.

7. Grenzen und Ausblick

Betriebsvereinbarungen sind wirkungsvolle Instrumente, aber keine Allheilmittel. Ihre Wirksamkeit hängt von der Kooperation der Betriebsparteien ab. Zudem müssen sie regelmäßig überprüft und aktualisiert werden, da technische Entwicklungen schneller voranschreiten als betriebliche Regelungen.

Die geplante KI-Verordnung der EU wird zusätzliche Anforderungen schaffen, insbesondere bei sogenannten Hochrisiko-KI-Systemen. Unternehmen sind gut beraten, schon jetzt flexible und dynamische Vereinbarungen zu gestalten, die technologische Offenheit mit datenschutzrechtlicher Sorgfalt verbinden.

8. Fazit

In einer digitalisierten Arbeitswelt sind Betriebsvereinbarungen unverzichtbar. Sie schaffen klare Regeln, schützen Persönlichkeitsrechte und ermöglichen dennoch Innovation. Damit tragen sie wesentlich zur sozialen Gestaltung technologischen Wandels bei. Für Unternehmen bedeuten sie nicht Einschränkung, sondern ein verlässliches Fundament für rechtskonformes und verantwortliches Handeln.

Literaturverzeichnis

• AlgorithmWatch. People Analytics in Unternehmen – Zwischen Effizienz und Überwachung. Berlin, 2020.
• Bräutigam, Peter. „KI im Arbeitsverhältnis – Mitbestimmung und Datenschutz.“ Neue Zeitschrift für Arbeitsrecht (NZA), Heft 3/2024.
• Bundesarbeitsgericht. Urteil vom 29. Juni 2017 – 2 AZR 597/16.
• Bundesarbeitsgericht. Beschluss vom 25. August 2020 – 1 ABR 42/19.
• Europäischer Gerichtshof. Urteil vom 19. Dezember 2024 – C-65/23.
• FORBA und Arbeiterkammer Wien. Die DSGVO in der betrieblichen Praxis – Auswirkungen auf Betriebsvereinbarungen und Mitbestimmung. Wien, 2021.
• GPA. Die wunderbare Welt von Microsoft: Datenschutz und Mitbestimmung bei Cloud-Diensten. Wien, 2022.
• Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit. Checkliste Datenschutz beim Einsatz von KI-Chatbots. Hamburg, 2023.
• Holthausen, Martin. „Datenschutz und People Analytics im Unternehmen.“ Recht der Arbeit, Nr. 1/2021.
• Köllner, Raphael. „Datenschutzrechtliche Implikationen von Viva Insights.“ Zeitschrift für Datenschutz (ZD), 4/2021.
• Landesbeauftragter für Datenschutz und Informationsfreiheit Baden-Württemberg. Handreichung Datenschutz und Mitbestimmung bei Microsoft 365. Stuttgart, 2022.
• Lugowski, Raphael. „Mitbestimmung bei Microsoft Copilot: KI-Tools und neue Herausforderungen.“ Computer und Arbeit, 7/2023.
• Telekom Konzernbetriebsrat. KI-Manifest: Rahmenbedingungen für den Einsatz künstlicher Intelligenz. Bonn, 2022.

Muster einer Betriebsvereinbarung (BV)

Wichtiger Hinweis: Dieses Beispiel einer Betriebsvereinbarung ist ein Muster bzw. eine Orientierung und erhebt keinen Anspruch auf Vollständigkeit oder Rechtsverbindlichkeit. Vor der Umsetzung sollte stets geprüft werden, ob die konkrete Unternehmenssituation und die aktuelle Rechtslage gegebenenfalls weitere oder andere Regelungen erfordern.

1. Präambel

1.1. Zweck
Mit dieser Betriebsvereinbarung verpflichten sich der Arbeitgeber und der Betriebsrat zu gemeinsamen Grundsätzen für den Umgang mit Daten im Unternehmen. Ziel ist es, Transparenz zu schaffen und Mitarbeiterrechte zu schützen, indem umfassende Regelungen getroffen werden, die den gesetzlichen Bestimmungen (u. a. Betriebsverfassungsgesetz, DSGVO, BDSG) entsprechen.

1.2. Grundsätze

• Schutz der Privatsphäre aller Beschäftigten.
• Vermeidung jeglicher missbräuchlicher Überwachung und Kontrolle.
• Transparenz bezüglich Art und Umfang der Datenerhebung und -verarbeitung.
• Zweckbindung: Daten dürfen nur für definierte und legitime Zwecke genutzt werden.
• Datensparsamkeit: Erhebung und Verarbeitung personenbezogener Daten ist auf das Nötigste zu beschränken.
• Kontroll- und Mitbestimmungsrechte des Betriebsrats sicherstellen.
• Zusammenarbeit mit dem Datenschutzbeauftragten (DSB) sowie Einhaltung aller relevanten Datenschutzvorschriften (DSGVO, BDSG).

2. Geltungsbereich

2.1. Sachlicher Geltungsbereich
Diese Betriebsvereinbarung erstreckt sich auf alle Verfahren, in denen Daten von Beschäftigten erhoben, gespeichert, verarbeitet oder ausgewertet werden. Dazu gehören u. a.:

• Software- und Cloud-Anwendungen,
• interne Plattformen und Datenbanken,
• Kommunikations- und Kollaborationstools,
• Analyse-, Reporting- und Monitoring-Systeme,
• interne Anfragen, Umfragen und Mitarbeiterbefragungen,
• jede weitere Art von digitalen Werkzeugen, die Daten generieren oder verarbeiten.

2.2. Persönlicher Geltungsbereich
Die Regelungen dieser BV gelten für alle Beschäftigten des Unternehmens, einschließlich Auszubildender, Praktikanten, Werkstudierender, Teil- und Vollzeitangestellter sowie Führungskräfte und befristet Beschäftigter. Ebenfalls eingeschlossen sind Leiharbeitnehmer während ihres Einsatzes im Betrieb.

2.3. Räumlicher Geltungsbereich
Diese BV findet Anwendung an allen Standorten des Unternehmens sowie an externen Einsatzorten, sofern dort Hard- und Software des Unternehmens oder in dessen Auftrag genutzte Dienste zum Einsatz kommen (z. B. Homeoffice, mobiles Arbeiten).

3. Begriffsbestimmungen

3.1. Personenbezogene Daten
Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 DSGVO). Dazu zählen z. B. Name, Mitarbeiter-ID, Standortdaten, Kommunikationsdaten, IP-Adresse (sofern beziehbar auf eine Person), Leistungs- und Verhaltensdaten.

3.2. Verarbeitung
Jeder Vorgang im Zusammenhang mit personenbezogenen Daten, wie das Erheben, Speichern, Auswerten, Organisieren, Verändern, Übermitteln oder Löschen von Daten (Art. 4 DSGVO).

3.3. Leistungs- und Verhaltenskontrolle
Jede Datennutzung, die primär dazu dient, das Verhalten, die Arbeitsweise oder die Performance einzelner Beschäftigter systematisch zu überwachen, zu bewerten oder zu vergleichen – über das hinaus, was zur normalen Arbeitsorganisation oder Vertragserfüllung notwendig ist (vgl. § 87 Abs. 1 Nr. 6 BetrVG).

4. Datenschutz- und Datenverarbeitungsprinzipien

4.1. Verbot der missbräuchlichen Verhaltens- und Leistungskontrolle

• Die Erhebung und Auswertung personenbezogener Daten darf nicht zum Zweck einer individualisierten Leistungskontrolle, Verhaltensüberwachung oder sonstigen Evaluierung von Mitarbeitenden eingesetzt werden.
• Erlaubt ist die anonymisierte oder pseudonymisierte Auswertung von Daten, sofern kein Rückschluss auf einzelne Personen möglich ist und ein legitimer betrieblicher Zweck vorliegt (z. B. Prozessoptimierung, Kapazitätsplanung auf Teamebene).

4.2. Zweckbindung

• Personenbezogene Daten werden nur für den vorher klar definierten Zweck erhoben, verarbeitet und genutzt.
• Eine Zweckänderung (z. B. Weiterverwendung der Daten für andere Projekte) setzt die vorherige Unterrichtung des Betriebsrats und ggf. dessen Zustimmung voraus, sofern dies mitbestimmungspflichtig ist.

4.3. Datensparsamkeit und -minimierung

• Es dürfen nur solche Daten erhoben werden, die unbedingt erforderlich sind, um den genannten Zweck zu erfüllen.
• Überflüssige Daten sind unverzüglich zu löschen oder zu anonymisieren.

4.4. Transparenz und Information der Beschäftigten

• Vor der Einführung neuer Systeme oder Tools ist den Beschäftigten und dem Betriebsrat rechtzeitig mitzuteilen, in welchem Umfang Daten verarbeitet werden.
• Die Beschäftigten erhalten Informationen, welche personenbezogenen Daten erhoben werden, zu welchem Zweck und an wen die Daten übermittelt werden können.

4.5. Datensicherheit

• Der Arbeitgeber ist verpflichtet, geeignete technische und organisatorische Maßnahmen (z. B. Zugriffsbeschränkungen, Verschlüsselung, regelmäßige Updates) zu ergreifen, um personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen.

5. Rolle des Datenschutzbeauftragten (DSB)

5.1. Benennung und Unabhängigkeit

• Das Unternehmen hat einen Datenschutzbeauftragten (DSB) benannt, der in seinen Aufgaben unabhängig ist und keinen Weisungen unterliegt, die seine Kontroll- und Beratungsfunktion beeinträchtigen könnten.
• Die Kontaktdaten des DSB sind allen Beschäftigten und dem Betriebsrat bekannt zu geben.

5.2. Aufgaben und Zusammenarbeit

• Der DSB überwacht die Einhaltung der DSGVO, des BDSG und dieser BV. Er prüft regelmäßig, ob die im Unternehmen eingesetzten Systeme und Datenverarbeitungsverfahren den Datenschutzgrundsätzen entsprechen.
• Der DSB steht dem Betriebsrat beratend zur Seite, insbesondere bei Einführung neuer datenverarbeitender Tools und Systeme oder bei Zweckänderungen bestehender Prozesse.
• Bei Beschwerden von Beschäftigten über unzulässige Datenerhebungen oder -verarbeitungen kann sich der Betriebsrat und/oder die betroffene Person an den DSB wenden. Dieser ist verpflichtet, Beschwerden zügig zu prüfen und entsprechende Maßnahmen zu veranlassen.

5.3. Informationsrecht

• Der DSB erhält vom Arbeitgeber unaufgefordert alle Informationen über die Einführung oder wesentliche Änderungen von Systemen, in denen personenbezogene Daten verarbeitet werden.
• Er informiert im Gegenzug den Betriebsrat über relevante Feststellungen oder Vorfälle, die den Beschäftigtendatenschutz berühren, sofern nicht gesetzliche Verschwiegenheitspflichten entgegenstehen.

6. Mitbestimmungs- und Kontrollrechte des Betriebsrats

6.1. Information bei Einführung oder Änderung

• Der Betriebsrat ist nach § 80 BetrVG i. V. m. § 87 Abs. 1 Nr. 6 BetrVG umfassend über die Planung, Einführung und Anwendung neuer Tools bzw. Systeme zu unterrichten, wenn diese personenbezogene Daten erheben oder verarbeiten könnten.
• Der Betriebsrat muss ausreichend Zeit und Information erhalten, um eine Bewertung bzgl. Datenschutz und möglicher Verhaltens- oder Leistungskontrolle vorzunehmen. Bei Bedarf kann er sich durch den DSB beraten lassen.

6.2. Kontroll- und Einsichtsrecht

• Der Betriebsrat hat das Recht, Einsicht in Konfigurationen, Funktionsbeschreibungen, Datenschutzkonzepte, Protokolle sowie ggf. Testumgebungen zu nehmen, um sicherzustellen, dass die Anforderungen dieser BV eingehalten werden.
• Bei Verdachtsmomenten (z. B. Beschwerde von Beschäftigten) kann der Betriebsrat Stichproben oder auditorische Kontrollen einfordern. Das Vorgehen hierzu wird in Abstimmung mit dem DSB geregelt, um Datenschutzbelange zu wahren.

6.3. Gemeinsame Regelungen

• Sollen Systeme eingeführt werden, die verhaltens- oder leistungsrelevante Daten im großen Umfang erfassen, ist vorab eine erweiterte Regelung (z. B. ergänzende BV) oder zumindest eine Freigabe des Betriebsrats erforderlich.
• Kommt keine Einigung zustande, kann die Einigungsstelle angerufen werden (siehe § 87 BetrVG).

7. Anonymisierung und Pseudonymisierung

7.1. Aggregierte Auswertungen

• Daten für Auswertungen (z. B. in Berichten) sind grundsätzlich zu anonymisieren oder zumindest zu pseudonymisieren, sodass kein Rückschluss auf einzelne Personen möglich ist.
• Ergebnisse sollen idealerweise auf Team-, Abteilungs- oder Standortebene dargestellt werden, nicht auf Individualebene.

7.2. Zulässige Einzelfälle

• In begründeten Fällen (z. B. notwendige Fehlersuche in Prozessen oder gesetzliche Aufklärungsmaßnahmen) kann eine personalisierte Auswertung erfolgen, jedoch nur bei bestehendem berechtigten Interesse (DSGVO/BDSG) und unter Information des Betriebsrats.
• Der DSB sollte hierbei konsultiert werden, um sicherzustellen, dass die Maßnahme verhältnismäßig ist und die Rechte der Beschäftigten nicht unverhältnismäßig einschränkt.

8. Aufbewahrung, Archivierung und Löschung

8.1. Speicherfristen

• Personenbezogene Daten sind nach Erfüllung des Erhebungszwecks unverzüglich zu löschen, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.
• Die maximale Aufbewahrungsdauer ist in einem Verfahrensverzeichnis festzulegen, auf das der Betriebsrat und der DSB zugreifen können.

8.2. Backup und Archiv

• Auch in Backups oder Archiven gespeicherte Daten sind nach Ablauf definierter Fristen zu löschen oder zu anonymisieren.
• Ein entsprechendes Löschkonzept sollte im Rahmen der IT-Richtlinien existieren; der DSB kann hierzu Empfehlungen geben.

9. Keine Individualstatistiken ohne ausdrückliche Zustimmung

9.1. Grundsatz

• Das Erstellen von personenbezogenen Statistiken, die Leistungs-, Aktivitäts- oder Verhaltensdaten einzelner Beschäftigter abbilden, ist untersagt, sofern keine gesetzliche oder vertragliche Verpflichtung besteht oder eine separate Vereinbarung (z. B. Provisionsregelungen im Vertrieb) dies rechtfertigt.
• Eine Ausnahme liegt nur dann vor, wenn es zur Arbeitsorganisation und Aufgabenerfüllung unbedingt erforderlich ist, etwa bei gesetzlich vorgeschriebener Zeit- oder Sicherheitsdokumentation.

9.2. Ausnahmen und Procedere

• Soll aus zwingenden betrieblichen Gründen eine personalisierte Auswertung erfolgen (z. B. Missbrauchs- oder Strafermittlungen), ist dies nur unter Einhaltung der rechtlichen Vorschriften (z. B. § 26 BDSG) gestattet.
• Der Betriebsrat ist zeitnah zu informieren, der DSB ist hinzuzuziehen, um Datenschutzaspekte zu prüfen.

10. Regelungen bei neuen Technologien (z. B. KI, Automatisierung)

10.1. Zukunftssichere Auslegung

• Diese BV gilt auch für neu hinzukommende Technologien, wie künstliche Intelligenz, Machine Learning, Automatisierungs-Robotics oder Chatbots, sofern sie personenbezogene Daten verarbeiten oder verhaltensbezogene Auswertungen ermöglichen.
• Der Betriebsrat ist bei Einführung solcher Technologien genauso frühzeitig zu informieren wie bei konventionellen Systemen, um seine Mitbestimmungsrechte wahrzunehmen. Der DSB prüft, ob die neuen Anwendungen den Datenschutzgrundsätzen entsprechen.

10.2. Separate Vereinbarungen

• Ist der Einsatz von KI-Systemen oder Automatisierungslösungen sehr umfangreich oder umfasst er komplexe Algorithmen mit potenziellen Risiken für Mitarbeiterrechte, empfiehlt sich eine separate BV („KI-BV“).
• Solange keine separate BV existiert, gelten die in dieser BV verankerten Datenschutzprinzipien sowie die Einbindung des DSB.

11. Datensicherheit und Verantwortlichkeiten

11.1. Technische und organisatorische Maßnahmen

• Der Arbeitgeber ist verpflichtet, gängige IT-Sicherheitsstandards einzuhalten (u. a. Zugangskontrollen, Verschlüsselung, Firewalls, Virenscanner).
• Regelmäßige Sicherheitsaudits oder -tests sollen helfen, Schwachstellen frühzeitig zu erkennen. Der DSB kann zu Rate gezogen werden, um Maßnahmen zu empfehlen.

11.2. Verantwortliche und Ansprechpartner

• Der Datenschutzbeauftragte (DSB) ist zuständig für Beratung, Prüfung und Kontrolle aller datenschutzrelevanten Vorgänge.
• Der Betriebsrat kann sich mit allen systemrelevanten und datenschutzbezogenen Fragen an den DSB oder die Geschäftsleitung wenden.

12. Schulungen und Awareness

12.1. Sensibilisierung der Beschäftigten

• Das Unternehmen verpflichtet sich, regelmäßige Schulungen oder Informationsveranstaltungen zu Datenschutz und Datensicherheit anzubieten.
• Alle Beschäftigten erhalten Einweisungen in die relevanten Systeme und Tools, sodass sie die Datenverarbeitung nachvollziehen können und wissen, wie sie ihre Datenschutzrechte wahrnehmen können.

12.2. Sensibilisierung der Führungskräfte

• Führungskräfte sind in besonderer Weise auf ihre Verantwortung hinzuweisen, keine unzulässige Performance- oder Verhaltenskontrolle durch Datenauswertungen vorzunehmen.
• Der DSB stellt sicher, dass Führungskräfte über aktuelle Datenschutzanforderungen informiert bleiben.

13. Sanktionen bei Verstößen

13.1. Arbeitgeberseitige Verstöße

• Bei Verstößen des Arbeitgebers oder seiner Beauftragten gegen diese BV kann der Betriebsrat Maßnahmen nach dem Betriebsverfassungsgesetz einleiten (z. B. Einigungsstelle, Beschwerde bei Aufsichtsbehörden, ggf. gerichtliche Schritte).
• Zusätzlich drohen Bußgelder nach DSGVO/BDSG, falls Verstöße gegen Datenschutzvorschriften vorliegen.
• Der DSB ist über Verstöße zu unterrichten und kann zur Klärung beitragen.

13.2. Verstöße durch Beschäftigte

• Beschäftigte, die unbefugt Datenzugriffe vornehmen oder Daten missbräuchlich weitergeben, können arbeitsrechtlich belangt werden (Abmahnung, Kündigung), sofern ein entsprechender Tatbestand gegeben ist.

14. Inkrafttreten, Laufzeit und Kündigung

14.1. Inkrafttreten
Diese Betriebsvereinbarung tritt am TT.MM.JJJJ in Kraft.

14.2. Laufzeit
Sie gilt unbefristet, sofern nicht anders vereinbart.

14.3. Kündigung

• Eine Kündigung der BV kann durch beide Seiten mit einer Frist von 3 Monaten zum Monatsende erfolgen.
• Bis zum Abschluss einer Nachfolgeregelung gelten die Bestimmungen fort (Nachwirkung gemäß § 77 Abs. 6 BetrVG).

15. Salvatorische Klausel

Sollten einzelne Bestimmungen dieser BV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame Regelung, die dem Sinn und Zweck der unwirksamen Bestimmung am nächsten kommt.

16. Schlussbestimmungen

16.1. Nebenabreden
Ergänzende Regelungen oder Abweichungen zu dieser BV bedürfen der Schriftform und der Zustimmung beider Parteien (Arbeitgeber und Betriebsrat).

16.2. Hinweis auf Ergänzende Betriebsvereinbarungen
Bei komplexeren Themen (z. B. Einführung umfangreicher KI-Lösungen, spezieller Zeitmanagement- oder Monitoring-Tools) kann eine separate BV getroffen werden, die auf den Grundprinzipien dieser Haupt-BV aufbaut, aber spezifische Fragen (z. B. Algorithmus-Checks, Bias-Kontrolle) vertiefend regelt.

Ort, Datum, Unterschriften

• Arbeitgeber
  ___________
  (Unterschrift, Ort, Datum)
• Betriebsratsvorsitzende/r
  ___________
  (Unterschrift, Ort, Datum)
• Datenschutzbeauftragte/r (als beratende/r Mitunterzeichner/in)
  ___________
  (Unterschrift, Ort, Datum)

Hinweise zur Anpassung dieser BV

1. Individuelle Ergänzungen: Jedes Unternehmen kann zusätzliche Details (z. B. exakte Speicherfristen, konkrete Meldewege oder Anwendungsbereiche) in den Text integrieren.
2. Erweiterung um KI-Aspekte: Wenn der Einsatz von KI-Anwendungen erhebliche Auswirkungen auf die Arbeitsorganisation oder den Datenschutz hat, sollte eine KI-spezifische BV erwogen werden, die auf diese Haupt-BV verweist.
3. Kontinuierliche Aktualisierung: Technologische Veränderungen und gesetzliche Neuerungen machen regelmäßige Überprüfungen (z. B. jährlich) empfehlenswert.
4. Rechtliche Beratung: Bei Unklarheiten oder besonders komplexen Anwendungen lohnt es sich, Fachanwälte oder Datenschutzexperten hinzuzuziehen, um die Rechtssicherheit zu gewährleisten.