{"id":4025,"date":"2018-07-25T11:01:26","date_gmt":"2018-07-25T10:01:26","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=4025"},"modified":"2018-08-01T09:48:54","modified_gmt":"2018-08-01T08:48:54","slug":"it-sicherheitsrecht-wann-ist-der-betriebsrat-einzubeziehen","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2018\/07\/25\/it-sicherheitsrecht-wann-ist-der-betriebsrat-einzubeziehen\/","title":{"rendered":"IT-Sicherheitsrecht:  Wann ist der Betriebsrat einzubeziehen?"},"content":{"rendered":"<p style=\"padding-left: 30px;\"><em>Pflichten und Haftung im Unternehmen (mit DSGVO &amp; NIS-RL-UmsetzungsG). Der Praxisleitfaden liefert praxisorientierte Hinweise zur Einhaltung der anwendbaren IT-Sicherheitspflichten und zu den Haftungsrisiken bei Sicherheitsdefiziten. Hier im Blog werden einige zentrale Ausz\u00fcge ver\u00f6ffentlicht.<\/em><\/p>\n<p style=\"padding-left: 30px;\"><em>Voigt, <\/em>IT-Sicherheitsrecht, 2018, 287 Seiten, 79,80 Euro<\/p>\n<p>In mitbestimmten Unternehmen l\u00f6sen Ma\u00dfnahmen rund um die IT-Infrastruktur h\u00e4ufig Informations- und Mitbestimmungsrechte des Betriebsrats aus. Zur rechtskonformen Erreichung von IT-Sicherheit im Unternehmen ist die <span style=\"text-decoration: underline;\">ordnungsgem\u00e4\u00dfe Beteiligung des Betriebsrats<\/span> unerl\u00e4sslich. Um den Schutz der Arbeitnehmer auch gew\u00e4hrleisten zu k\u00f6nnen, hat der Betriebsrat verschiedene Mitwirkungs- und Mitbestimmungsrechte:<\/p>\n<p><strong>1. Mitwirkungsrechte<\/strong><\/p>\n<p>Umfassende Mitwirkungsrechte erm\u00f6glichen dem Betriebsrat Zugriff auf Informationen:<\/p>\n<ul>\n<li><strong>IT-Sicherheitsvorkehrungen im Unternehmen:<\/strong><br \/>\nDas Zugriffsrecht umfasst auch Informationen zu den IT-Sicherheitsvorkehrungen des Unternehmens, sofern die mit den Vorkehrungen umgesetzten IT-sicherheitsrechtlichen Vorschriften auch auf Arbeitnehmer Anwendung finden. Das ist zumindest im Bereich des Datenschutzrechts der Fall\u00a0(zum Datenschutzrecht <em>Kort<\/em>, ZD 2017, 3, 5; s. auch <em>Wedde<\/em> in Voigt\/ von dem Bussche, Konzerndatenschutz, 2.\u00a0Aufl. (im Erscheinen), Besch\u00e4ftigtendatenschutz, Rz.\u00a070).<\/li>\n<li><strong>IT-Betriebsrichtlinien:<\/strong><br \/>\nUnter die \u00dcberwachungsaufgabe des Betriebsrats\u00a0f\u00e4llt insbesondere auch die Durchf\u00fchrung von zugunsten der Arbeitnehmer geltenden Betriebsvereinbarungen (<em>Th\u00fcsing<\/em> in Richardi, BetrVG, 15. Auflage 2016, \u00a7\u00a080 Rz.\u00a013). So hat der Betriebsrat etwa die Aufgabe, daf\u00fcr einzutreten, dass der Arbeitgeber Pflichten erf\u00fcllt, die sich f\u00fcr diesen aus IT-Betriebsrichtlinien (hierzu <a href=\"https:\/\/www.cr-online.de\/blog\/2018\/07\/19\/it-sicherheitsrecht-implementierung-von-it-betriebsrichtlinien\/\" target=\"_blank\" rel=\"noopener\"><em>Voigt<\/em>, &#8222;Implementierung von IT-Betriebsrichtlinien&#8220;, CRonline Blog v. 19.7.2018<\/a>\u00a0und detailliert\u00a0<em>Voigt<\/em>, IT-Sicherheitsrecht, Rz.\u00a0167\u00a0ff.) ergeben (vgl. <em>Th\u00fcsing<\/em> in Richardi, BetrVG, 15. Auflage 2016, \u00a7\u00a080 Rz.\u00a013). Zur Aus\u00fcbung dieser \u00dcberwachungsaufgaben hat der Betriebsrat gegen\u00fcber dem Arbeitgeber u.a. Informationsrechte und einen Anspruch auf \u00dcberlassung f\u00fcr die Aufgaben erforderlicher Unterlagen, \u00a7\u00a080 Abs.\u00a02 BetrVG.<\/li>\n<\/ul>\n<p>Zu beachten bleibt allerdings, dass die (durchsetzbaren) Mitwirkungsrechte des Betriebsrats nicht zu dessen Mitbestimmungsrecht in den betroffenen Angelegenheiten f\u00fchren (siehe auch BAG, Beschl. v. 16.7.1985 \u2013 1 ABR 9\/83, <a href=\"https:\/\/online.otto-schmidt.de\/db\/suche?q=%5B%7B%22txt%22:%22pubyear:1986%22%7D,%7B%22txt%22:%22source_page:231%22%7D,%7B%22txt%22:%22all_source_2:db%22%7D%20%5D\" target=\"_blank\" rel=\"nofollow\">DB 1986, 231<\/a>).<\/p>\n<p><strong><span style=\"text-decoration: underline;\">Kurz:<\/span><\/strong>\u00a0 Der Betriebsrat kann Vorschl\u00e4ge bzgl. der verschiedenen Angelegenheiten machen. Der Arbeitgeber ist nicht verpflichtet, diese auch anzunehmen. Damit haben die Mitwirkungsrechte letztlich keinen signifikanten Einfluss auf die Entscheidungen des Arbeitgebers bzgl. der IT-Sicherheit.<\/p>\n<p><strong>2.\u00a0Mitbestimmungsrechte<\/strong><\/p>\n<p>Zahlreiche Angelegenheiten\u00a0mit IT-Sicherheitsbezug im Unternehmen l\u00f6sen\u00a0Mitbestimmungsrechte des Betriebsrats aus. Dies ergibt sich insbesondere aus folgenden Vorschriften:<\/p>\n<ul>\n<li><strong>Verhalten und Ordnung im Betrieb<\/strong>, \u00a7\u00a087 Abs.\u00a01 Nr.\u00a01 BetrVG:<br \/>\nGegenstand der Mitbestimmung ist das betriebliche Zusammenleben und -wirken der Arbeitnehmer, welches der Arbeitgeber beeinflussen und koordinieren kann (<em>Werner<\/em> in Rolfs\/Giesen\/Kreikebohm\/Udsching, BeckOK ArbeitsR, 44. Edition, Stand: 1.6.2017, \u00a7\u00a087 BetrVG Rz.\u00a027 m.w.N.). <span style=\"text-decoration: underline;\">IT-Betriebsrichtlinien<\/span> (s. hierzu <em>Voigt<\/em>, IT-Sicherheitsrecht, Rz.\u00a082\u00a0ff.) k\u00f6nnen so ein Mitbestimmungsrecht auf Grundlage dieser Vorschrift ausl\u00f6sen.<\/li>\n<li><strong>Verteilung und Lage der Arbeitszeit<\/strong>, \u00a7\u00a087 Abs.\u00a01 Nr.\u00a02 BetrVG:<br \/>\nAuch wenn das Mitbestimmungsrecht zun\u00e4chst keinen IT-Sicherheitsbezug aufzuweisen scheint, k\u00f6nnen IT-Betriebsrichtlinien zugleich Regelungen zur Arbeitszeit enthalten. Dies betrifft etwa <span style=\"text-decoration: underline;\">BYOD-Regelungen<\/span>, die Vorgaben zur zeitlichen dienstlichen Erreichbarkeit oder Rufbereitschaft umfassen.<\/li>\n<li><strong>Einf\u00fchrung und Anwendung technischer Einrichtungen<\/strong>, \u00a7\u00a087 Abs.\u00a01 Nr.\u00a06 BetrVG:<br \/>\nDieses Mitbestimmungsrecht soll den Schutz des einzelnen Arbeitnehmers gegen anonyme Kontrolleinrichtungen bezwecken, die h\u00e4ufig versteckte \u00dcberwachungsm\u00f6glichkeiten bieten (<em>Mengel<\/em> in Hauschka\/Moosmayer\/L\u00f6sler, Corporate Compliance, 3. Auflage 2016, \u00a7\u00a039 Rz.\u00a076). Aus diesem Grund unterfallen nicht nur IT-Systeme einem Mitbestimmungsrecht, die tats\u00e4chlich der <span style=\"text-decoration: underline;\">\u00dcberwachung von Arbeitnehmern<\/span> dienen, sondern auch solche, die dies nur <span style=\"text-decoration: underline;\">objektiv erm\u00f6glichen<\/span> (siehe hierzu <em>Wedde<\/em> in Voigt\/ von dem Bussche, Konzerndatenschutz, 2. Aufl. (im Erscheinen), Besch\u00e4ftigtendatenschutz, Rz. 95; BAG, Beschl. v. 6.12.1983 \u2013 1 ABR 43\/81, NJW 1984, 1476, 1476).<br \/>\nEine Vielzahl EDV-gest\u00fctzter Anwendungen ist dazu geeignet, Mitarbeiterverhalten am Arbeitsplatz zu beobachten. Der <span style=\"text-decoration: underline;\">weite Anwendungsbereich<\/span> dieses Mitbestimmungsrechts f\u00fchrt zu einem Beteiligungsrecht des Betriebsrats bei einer Vielzahl von IT-Sicherheitsfragen.<\/li>\n<\/ul>\n<p>Unternehmen m\u00fcssen sicherstellen, den Betriebsrat bei der Umsetzung von IT-Sicherheit im Unternehmen entsprechend fr\u00fchzeitig einzubeziehen, um dessen Zustimmung zu bewirken.<\/p>\n<p><strong>Bei Verletzung des Mitbestimmungsrechts:<\/strong><\/p>\n<ul>\n<li>hat der Betriebsrat einen einklagbaren Unterlassungsanspruch in Bezug auf die Ma\u00dfnahme des Arbeitgebers, die der Mitbestimmung durch den Betriebsrat unterliegt.<\/li>\n<li>Zudem wird der Arbeitgeber dazu verpflichtet, die vom Unterlassungsanspruch betroffenen Ma\u00dfnahmen r\u00fcckg\u00e4ngig zu machen und zu beseitigen.<\/li>\n<\/ul>\n<p>Beides\u00a0w\u00fcrde f\u00fcr Unternehmen zu erheblichen Verz\u00f6gerungen bei der Umsetzung von IT-Sicherheitsvorkehrungen f\u00fchren und damit die Einhaltung von Sicherheitsstandards erheblich erschweren.<\/p>\n<p>Sofern der Betriebsrat ordnungsgem\u00e4\u00df beteiligt wurde, aber seine <span style=\"text-decoration: underline;\">Zustimmung verweigert<\/span>, kann der Arbeitgeber jedoch eine <span style=\"text-decoration: underline;\">Einigungsstelle<\/span> anrufen, die einen verbindlichen Beschluss in der Angelegenheit fassen wird.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Pflichten und Haftung im Unternehmen (mit DSGVO &amp; NIS-RL-UmsetzungsG). Der Praxisleitfaden liefert praxisorientierte Hinweise zur Einhaltung der anwendbaren IT-Sicherheitspflichten und zu den Haftungsrisiken bei Sicherheitsdefiziten. Hier im Blog werden einige zentrale Ausz\u00fcge ver\u00f6ffentlicht. Voigt, IT-Sicherheitsrecht, 2018, 287 Seiten, 79,80 Euro In mitbestimmten Unternehmen l\u00f6sen Ma\u00dfnahmen rund um die IT-Infrastruktur h\u00e4ufig Informations- und Mitbestimmungsrechte des Betriebsrats [&hellip;]<\/p>\n","protected":false},"author":3266,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[1,34,9,51,28,33,50,144],"tags":[504,279,666,387],"_links":{"self":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4025"}],"collection":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/users\/3266"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/comments?post=4025"}],"version-history":[{"count":6,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4025\/revisions"}],"predecessor-version":[{"id":4045,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4025\/revisions\/4045"}],"wp:attachment":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/media?parent=4025"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/categories?post=4025"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/tags?post=4025"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}