Deutsche Unternehmen müssen ihre digitale Infrastruktur widerstandsfähiger gegen Angriffe machen. Dieses Erfordernis trifft auf ein Mitbestimmungsrecht nach dem Betriebsverfassungsgesetz (BetrVG) aus einer Zeit, in der Software noch auf Disketten ausgeliefert wurde. Heutzutage verändern Cloud-Anbieter ihre Produkte nicht zuletzt aus Sicherheitsgründen fortlaufend. Jede dieser Änderungen – auch im Bereich der Hardware – kann dazu führen, dass der Betriebsrat beteiligt werden muss. Ein Beispiel ist der Remote-Zugriff auf betriebliche Server: Ein Unternehmen will verhindern, dass Beschäftigte mit privaten Geräten auf betriebliche Systeme zugreifen. Es führt deshalb eine Mehrfaktor-Authentifizierung ein, untersagt die Nutzung fremder WLAN-Netze für Zugriffe und stellt für betriebliche Zwecke mobile Endgeräte bereit. Solche Maßnahmen dienen nicht der Leistungskontrolle, es handelt sich vielmehr um elementare IT-Hygiene. Nur so können Unternehmen Sicherheitsstandards einheitlich durchsetzen. Zugleich erzeugen die dafür notwendigen Systeme aber Zugriffs- und Nutzungsdaten. Hier kommt nun das Mitbestimmungsrecht des Betriebsrats ins Spiel. Weite Auslegung des Mitbestimmungsrechts Der Betriebsrat ist zwingend zu beteiligen, bei „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“ (§ 87 Abs. 1 Nr. 6 BetrVG). Die Gerichte legen die Vorschrift weit aus. Demnach bedarf es keiner Kontrollabsicht des Arbeitgebers, sofern das System nur objektiv geeignet ist, Daten zum Verhalten oder zur Leistung von Arbeitnehmern zu erheben. Allein die Möglichkeit reiche aus, um das Mitbestimmungsrecht zu begründen, bestätigte das Bundesarbeitsgericht einem Gesamtbetriebsrat in seinem Beschluss zur unternehmensweiten Einführung von Microsoft Office 365 (vom 8. März 2022. Az.: 1 ABR 20/21). Damit droht selbst dann ein Mitbestimmungsverfahren, wenn ein Unternehmen die Kommunikation auf betriebliche Endgeräte umstellt – obwohl Daten zu Leistung oder Verhalten bloß als Nebenfolge der Sicherheitsarchitektur anfallen und die echte Konfliktlinie vielleicht nur zwischen den unterschiedlichen Präferenzen der Verhandlungspartner zu den Betriebssystemen der Endgeräte verläuft. Blockade notwendiger Umstellungen Verschärft werden die Probleme durch die Rechtsfolge der Mitbestimmungsregel: Maßnahmen, die darunter fallen, darf der Arbeitgeber nicht einseitig umsetzen. Bei Verstößen kann der Betriebsrat Unterlassung verlangen. So kann aus einem Beteiligungsrecht in der Praxis ein Druckmittel des Betriebsrats werden, missliebige Umstellungen zu blockieren. Hinzu kommt ein fachliches Problem, das oft unterschätzt wird: Betriebsräte und Arbeitgeber sollen technische Risiken beurteilen und datenschutzgerechte Grenzen setzen – beides gehört meist nicht zu ihrem Kerngeschäft. Beide Seiten verhandeln also häufig außerhalb ihrer Kompetenzen. Die Folge ist: Der Betriebsrat zieht oft Sachverständige hinzu, das Unternehmen beauftragt Berater. So entwickelt sich ein kostspieliges Ritual, das von der nächsten Aktualisierung – oder einem Angriff von außen – überholt zu werden droht. IT-Sicherheit schützt auch die Beschäftigten Sicherheitsarchitektur entscheidet am Ende mit darüber, ob Kriminelle ganze Betriebsabläufe lahmlegen können. Wer eine notwendige Maßnahme aufschieben muss, weil noch technische oder rechtliche Fragen verhandelt werden, riskiert Versicherungsschutz, wirtschaftliche Existenz und – nicht zuletzt – Arbeitsplätze. So dient IT-Sicherheit nicht nur dem Unternehmen, sondern auch den Beschäftigten. All das ist kein Argument gegen Mitbestimmung: IT erzeugt fortlaufend Daten über Zugriffe, Bearbeitungszeiten, Kommunikationswege und Nutzungsverhalten. Was der IT-Sicherheit oder Problemanalyse dient, kann auch zur Leistungsbewertung verwendet werden. KI erweitert dieses Potential und Beschäftigte brauchen vielleicht mehr denn je Schutz vor einer heimlichen, digitalen Taktung ihres Arbeitstags. Gerade deshalb bedarf es einer strukturellen Korrektur, um den faktischen Stillstand bis zur Einigung zu überwinden. Der Arbeitgeber sollte Maßnahmen mit Relevanz für die IT-Sicherheit kurzfristig umsetzen dürfen. Bei Gefahr im Verzug – etwa bei sicherheitskritischen Updates – müsste dies sofort möglich sein. Vorab, spätestens gleichzeitig, wäre der Betriebsrat umfassend zu informieren. Dem Betriebsverfassungsrecht ist das Prinzip einer vorläufigen Durchführung mit späterer Kontrolle nicht fremd. So darf der Arbeitgeber in Eilfällen jemanden einstellen, ohne die Zustimmung des Betriebsrats abzuwarten (§§ 99, 100 BetrVG). Er muss ihn vorher unterrichten; die Rechtmäßigkeit bleibt überprüfbar. Dieses erprobte Modell könnte der Gesetzgeber auf digitale Eilmaßnahmen übertragen. Was jetzt zu tun ist Alternativ könnte es helfen, wenn das BAG seine ausufernde Rechtsprechung zum Mitbestimmungsrecht des Betriebsrats bei Einführung und Anwendung von technischen Einrichtungen zurückfährt. Der Wortlaut des Gesetzes ist eigentlich eindeutig: Die Maßnahmen des Arbeitgebers müssen dazu „bestimmt“ sein, Verhalten oder Leistung zu kontrollieren. Flankierend braucht es betriebliche Rahmenvereinbarungen, die zulässige Umstellungen vorab definieren und personenbezogene Auswertungen begrenzen oder ausschließen. Der Betriebsrat verlöre nicht die Kontrolle, sondern könnte die Maßnahme überprüfen und sie gegebenenfalls korrigieren lassen. Mitbestimmung darf keine digitale Stolperfalle sein. Sie muss Beschäftigte wirksam vor Kontrolle schützen – aber ohne die Cyberresilienz der Betriebe zu beeinträchtigen. Der Autor ist Partner bei ATN d`Avoine Teubler Neu.