Zum Inhalt
brklarBetriebsverfassung, erklärt

Welche Angaben über ein IT-System sieht das Gesetz vor?

Modul 4 von 615 Minuten§§ 80, 90, 121 BetrVG, Art. 4 DSGVO u. a.Stand

IT und Digitalisierung · IT-System bewerten · Informationen einfordern

Jonas und Ayşe sitzen im Musterwerk an einem Tisch mit Unterlagen.
Szene im Musterwerk. Alle Personen auf brklar sind erfunden.

Lernziele

  • Unterschied zwischen der Unterrichtung des Betriebsrats nach § 90 Abs. 1 BetrVG und dem Unterlagenanspruch nach § 80 Abs. 2 BetrVG
  • Dokumente und Angaben, die die DSGVO vom Verantwortlichen verlangt: Verzeichnis, Folgenabschätzung, Vertrag mit dem Auftragsverarbeiter
  • Ausnahme in Art. 30 Abs. 5 DSGVO und ihre drei Gegenausnahmen
  • Voraussetzungen der Drittlandübermittlung und Stand um den Angemessenheitsbeschluss für die USA

Soweit es sich bei einem IT-System um eine technische Anlage oder ein Arbeitsverfahren handelt, ist der Betriebsrat nach § 90 Abs. 1 Nr. 2 oder 3 BetrVG über die Planung rechtzeitig unter Vorlage der erforderlichen Unterlagen zu unterrichten. Davon unabhängig verlangt die DSGVO vom Verantwortlichen ein Verzeichnis der Verarbeitungstätigkeiten (Ausnahme für Unternehmen unter 250 Mitarbeitern mit drei Gegenausnahmen), bei voraussichtlich hohem Risiko eine Folgenabschätzung und bei Verarbeitung im Auftrag einen Vertrag mit dem Auftragsverarbeiter.

Wann ist der Betriebsrat über ein IT-System zu unterrichten?

Nach § 90 Abs. 1 Nr. 2 und 3 BetrVG ist der Betriebsrat über die Planung „von technischen Anlagen“ sowie „von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von Künstlicher Intelligenz“ rechtzeitig unter Vorlage der erforderlichen Unterlagen zu unterrichten; ein IT-System fällt darunter, soweit es sich um eine technische Anlage oder ein Arbeitsverfahren handelt. Die Maßnahmen und ihre Auswirkungen auf die Arbeitnehmer sind nach Absatz 2 Satz 1 so rechtzeitig zu beraten, dass Vorschläge und Bedenken des Betriebsrats bei der Planung berücksichtigt werden können. Eine Zustimmung sieht § 90 nicht vor.

Daneben steht § 80 Abs. 2 BetrVG: rechtzeitige und umfassende Unterrichtung und auf Verlangen die „erforderlichen Unterlagen“, wenn der Betriebsrat sie zur Durchführung einer Aufgabe braucht (1 ABR 46/10). Welche Dokumente erforderliche Unterlagen sind, zählt keine der beiden Vorschriften auf; Verarbeitungsverzeichnis, Folgenabschätzung und Berechtigungskonzept nennen sie nicht. Zur Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG siehe das Modul „IT-Mitbestimmung“.

Welche Dokumentation verlangt die DSGVO vom Verantwortlichen?

Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Für ihn gilt:

Gegenstand Was verlangt wird Ausnahme oder Grenze
Verzeichnis, Art. 30 schriftlich oder elektronisch alle Verarbeitungstätigkeiten mit Zwecken, Kategorien, Empfängern, Drittlandübermittlungen und „wenn möglich“ Löschfristen; der Aufsichtsbehörde auf Anfrage vorzulegen (Abs. 1, 3, 4) Abs. 5: nicht für Unternehmen oder Einrichtungen mit weniger als 250 Mitarbeitern, es sei denn, die Verarbeitung birgt ein Risiko, erfolgt nicht nur gelegentlich oder schließt besondere Datenkategorien (Art. 9 Abs. 1) oder Daten nach Art. 10 ein
Folgenabschätzung, Art. 35 vorab bei voraussichtlich hohem Risiko, „insbesondere bei Verwendung neuer Technologien“; Mindestinhalt nach Abs. 7: Beschreibung, Notwendigkeit, Risiken, Abhilfemaßnahmen; Rat des Datenschutzbeauftragten, sofern benannt (Abs. 2) Abs. 10: Beruht die Verarbeitung auf einer Rechtsgrundlage nach Art. 6 Abs. 1 Buchst. c oder e, die den Vorgang regelt und bei deren Erlass schon eine Folgenabschätzung erfolgte, gelten Abs. 1 bis 7 nur nach dem Ermessen der Mitgliedstaaten
Auftragsverarbeitung, Art. 28 nur Auftragsverarbeiter mit hinreichenden Garantien; Vertrag oder anderes Rechtsinstrument mit Mindestinhalt (Abs. 3) gilt für Verarbeitung im Auftrag (Abs. 1); schriftlich, auch elektronisch (Abs. 9)
Sicherheit, Art. 32 geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau, vom Verantwortlichen und vom Auftragsverarbeiter Maßstab: Stand der Technik, Kosten, Umstände

Art. 35 Abs. 9 DSGVO verlangt, „gegebenenfalls“ den Standpunkt der betroffenen Personen oder ihrer Vertreter einzuholen, unbeschadet des Schutzes gewerblicher oder öffentlicher Interessen oder der Sicherheit der Verarbeitungsvorgänge. Art. 30 und Art. 35 nennen den Betriebsrat nicht, Art. 32 weder Protokollierung noch Rollenkonzepte.

Besteht ein Einsichtsrecht in Verzeichnis und Folgenabschätzung?

Ob Verzeichnis und Folgenabschätzung zu den nach § 80 Abs. 2 Satz 2 BetrVG erforderlichen Unterlagen zählen, steht unter „Was lässt dieses Modul offen?“. Das Bundesarbeitsgericht behandelte die Gegenrichtung: Dem Auskunftsanspruch steht nicht entgegen, dass der Betriebsrat weder dargelegt hat, ein Verzeichnis nach Art. 30 DSGVO zu führen, noch eine Folgenabschätzung nach Art. 35 vorgenommen zu haben (1 ABR 14/22). Ein Einsichtsrecht folgt daraus nicht.

Was gilt für die Übermittlung in ein Drittland?

Die Übermittlung personenbezogener Daten an ein Drittland ist nur zulässig, wenn die Bedingungen des Kapitels V und die sonstigen Bestimmungen der Verordnung eingehalten werden (Art. 44 DSGVO). Art. 45 und 46 nennen unter anderem zwei Wege: einen Angemessenheitsbeschluss der Kommission oder geeignete Garantien, sofern den betroffenen Personen durchsetzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen.

Für die USA besteht der Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023; er stellt ein angemessenes Schutzniveau fest für Übermittlungen aus der Union an Organisationen in den USA, die in der „Data Privacy Framework List“ des US-Handelsministeriums aufgeführt sind (Art. 1). Das Gericht der EU hat am 03.09.2025 die Klage eines Einzelnen gegen diesen Beschluss als jedenfalls unbegründet abgewiesen (T-553/23). Das Rechtsmittel C-703/25 P ist im Amtsblatt vom 22.12.2025 bekannt gemacht; am 27.10.2026 fand sich beim Amt für Veröffentlichungen der EU nur diese Bekanntmachung, kein Urteil, kein Beschluss und keine Schlussanträge.

Wie sieht das in einem Unternehmen aus?

Die Musterwerk GmbH mit 150 Beschäftigten plant ein cloudbasiertes Personalverwaltungssystem eines Anbieters mit Sitz außerhalb der EU.

  • Unterrichtung. Gilt das System als technische Anlage oder als Arbeitsverfahren, kommt § 90 Abs. 1 Nr. 2 oder 3 BetrVG in Betracht (siehe „Was lässt dieses Modul offen?“).
  • Verzeichnis. 150 liegt unter 250; ob Art. 30 Abs. 5 DSGVO greift, hängt von den drei Gegenausnahmen ab.
  • Auftragsverarbeitung. Verarbeitet der Anbieter im Auftrag, kommt ein Vertrag nach Art. 28 Abs. 3 DSGVO in Betracht.
  • Drittland. Läge eine Übermittlung vor, kämen Art. 44 bis 46 DSGVO in Betracht.
  • Folgenabschätzung. Ob ein voraussichtlich hohes Risiko nach Art. 35 Abs. 1 vorliegt, ist eine Bewertung.

Was passiert, wenn es fehlt oder falsch läuft?

Wer die Pflichten aus § 90 Abs. 1 und Abs. 2 Satz 1 BetrVG nicht, wahrheitswidrig, unvollständig oder verspätet erfüllt, handelt ordnungswidrig; die Geldbuße kann bis zu zehntausend Euro betragen (§ 121 Abs. 1 und 2 BetrVG). § 80 Abs. 2 steht nicht in der Aufzählung; seine Durchsetzung erklärt die Seite Auskünfte und Unterlagen. Wie die Unterrichtung nach § 90 durchgesetzt wird und welche Folgen DSGVO-Verstöße haben, ist unter „Was lässt dieses Modul offen?“ aufgeführt.

Was lässt dieses Modul offen?

Die folgenden Fragen beantwortet dieses Modul nicht. Eine Entscheidung dazu ist für es nicht ausgewertet; das heißt nicht, dass es keine gibt.

  • Einsicht und Vertreter. Ob der Betriebsrat von der Arbeitgeberin Einsicht in Verarbeitungsverzeichnis oder Folgenabschätzung verlangen kann und ob er „Vertreter der betroffenen Personen“ nach Art. 35 Abs. 9 DSGVO ist.
  • Mitbestimmung. Ob der Betriebsrat bei Verzeichnis, Folgenabschätzung, Vertrag oder Berechtigungskonzept mitzubestimmen hat.
  • Auslegung. Ob ein IT-System unter § 90 Abs. 1 Nr. 2 oder Nr. 3 BetrVG fällt.
  • Übermittlung. Was als Übermittlung an ein Drittland gilt, auch bei Sitz des Anbieters außerhalb der EU oder Zugriff aus einem Drittland.
  • Durchsetzung. Wie der Betriebsrat die Unterrichtung nach § 90 durchsetzt; ob die Ordnungswidrigkeit nach § 121 BetrVG auch bei fahrlässigem Handeln geahndet werden kann (§ 10 OWiG nicht gelesen); Folgen von DSGVO-Verstößen.
  • Einzelne Maßnahmen. Was Art. 32 DSGVO an Protokollierung und Berechtigungen verlangt.
  • Angemessenheitsbeschluss. Ausgang des Rechtsmittels C-703/25 P; Berichtigungen zum Durchführungsbeschluss (EU) 2023/1795 sind nicht abgeglichen.

Fundstellen

  • Betriebsverfassungsgesetz: § 80 Abs. 2, § 90 Abs. 1 Nr. 2 und 3 und Abs. 2 Satz 1, § 121 Abs. 1 und 2, § 87 Abs. 1 Nr. 6
  • DSGVO: Art. 4 Nr. 7, Art. 28 Abs. 1, 3 und 9, Art. 30 Abs. 1 und 3 bis 5 (Abs. 5 in der Fassung der Berichtigung ABl. L 314, 22.11.2016, S. 72), Art. 32 Abs. 1, Art. 35 Abs. 1, 2, 7, 9 und 10, Art. 44, Art. 45 Abs. 1, Art. 46 Abs. 1 (Art. 28, 30 und 32 mit Berichtigung ABl. L 127, 23.5.2018, S. 2)
  • Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10.07.2023, ABl. L 231, 20.09.2023, S. 118: Art. 1
  • BAG, Beschluss vom 07.02.2012, 1 ABR 46/10: Rn. 7 zwei Voraussetzungen des Anspruchs
  • BAG, Beschluss vom 09.05.2023, 1 ABR 14/22: Rn. 80 Verzeichnis und Folgenabschätzung des Betriebsrats nicht Voraussetzung der Auskunft
  • Gericht der EU, Urteil vom 03.09.2025, T-553/23: Tenor, Rn. 15, Rn. 204
  • EuGH, Rechtsmittel C-703/25 P, ABl. C/2025/6610 vom 22.12.2025: Bekanntmachung; Abfrage beim Amt für Veröffentlichungen am 27.10.2026 ohne Urteil, Beschluss und Schlussanträge.

Dieses Modul ist allgemeine Rechtsinformation und keine Rechtsberatung. Es beschreibt die Rechtslage, nicht einen bestimmten Vorgang, und ersetzt keine Prüfung durch eine Rechtsanwältin, einen Rechtsanwalt oder die zuständige Gewerkschaft.

Zum Selbstprüfen

Entfällt die Pflicht zum Verzeichnis von Verarbeitungstätigkeiten, wenn ein Unternehmen weniger als 250 Mitarbeiter hat?

Nicht ohne Weiteres. Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Mitarbeitern aus, es sei denn, die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, erfolgt nicht nur gelegentlich oder schließt besondere Datenkategorien nach Art. 9 Abs. 1 oder Daten nach Art. 10 ein. Trifft eine dieser drei Gegenausnahmen zu, gilt die Pflicht aus Art. 30 Abs. 1 (berichtigte Fassung, ABl. L 314, 22.11.2016, S. 72).

Welche Unterrichtung sieht § 90 Abs. 1 BetrVG bei technischen Anlagen und Arbeitsverfahren vor, und was folgt aus einem Verstoß?

Die Arbeitgeberin hat den Betriebsrat über die Planung technischer Anlagen (Nr. 2) und von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von Künstlicher Intelligenz (Nr. 3) rechtzeitig unter Vorlage der erforderlichen Unterlagen zu unterrichten. Wer diese Pflicht nicht, wahrheitswidrig, unvollständig oder verspätet erfüllt, handelt ordnungswidrig; die Geldbuße kann bis zu zehntausend Euro betragen (§ 121 Abs. 1 und 2 BetrVG). Der Durchsetzungsweg für die Unterrichtung nach § 90 ist in diesem Modul nicht ausgewertet.

Was hat das Gericht der Europäischen Union am 03.09.2025 in der Rechtssache T-553/23 zum Angemessenheitsbeschluss für die USA entschieden, und ist das Verfahren abgeschlossen?

Es hat die Klage gegen den Durchführungsbeschluss (EU) 2023/1795 abgewiesen (Tenor). Gegen das Urteil ist das Rechtsmittel C-703/25 P eingelegt (Amtsblatt vom 22.12.2025). Eine Abfrage beim Amt für Veröffentlichungen der EU am 27.10.2026 ergab dazu nur diese Bekanntmachung, kein Urteil, keinen Beschluss und keine Schlussanträge; die Datenbank des Gerichtshofs ist nicht ausgewertet.

Ausführlich im Wissen