IT-Sicherheit geht vor! Kein unkontrollierter IT-Zugang des Betriebsrats

Das BAG hat dem Verlangen eines Betriebsrates nach einem von der IT-Infrastruktur des Arbeitgebers unabhängigen Internet- und einem gesonderten Telefonanschluss eine klare Absage erteilt (Beschluss vom 20.04.2016 – 7 ABR 50/14). Der Betriebsrat wollte jede Kontrollmöglichkeit durch die Arbeitgeberin ausschließen (durch Einrichtung eines von der Konzernmutter unabhängigen Proxy-Servers). Ausschlaggebend für die Entscheidung war das gegenseitig aufzubringende Vertrauen der Betriebsparteien. Ohne konkrete Anhaltspunkte durfte der Arbeitgeberin keine missbräuchliche Überwachung des Betriebsrats unterstellt werden. Auch das nachvollziehbare Bedürfnis nach erforderlicher IT-Sicherheit der Arbeitgeberin war für die Entscheidung des BAG maßgeblich.

Ausgangslage und Entscheidung des BAG

Ein Internetzugang wurde dem Betriebsrat – wie allen zugriffsberechtigten Personen im Betrieb – über den Proxy-Server der Konzernmutter vermittelt. Technisch bestand für die Arbeitgeberin dadurch die Möglichkeit, User- und IP-Adressen sowie die URL der Browserzugriffe zu protokollieren und personen- bzw. betriebsbezogen auszuwerten. Die E-Mail-Postfächer waren Administratoren zugänglich. Im Konzern für nicht notwendig erachtete Internetseiten (z.B. „youtube“ und „eRecht24“) wurden außerdem über einen Filter gesperrt. Die Telekommunikation war über einen Nebenstellenanschluss gewährleistet, der die Auswertung der Verbindungsdaten erlaubte. Das BAG entschied zusammengefasst:

• Ein genereller Anspruch auf Einrichtung eines separaten und vom Proxy-Server der Arbeitgeberin unabhängigen Internetzugangs besteht ohne das Vorliegen konkreter Anhaltspunkte der unzulässigen Überwachung der Internetnutzung durch die Arbeitgeberin nicht.
• Nur falls der Betriebsrat unter Berücksichtigung der berechtigten Arbeitgeberinteressen den Zugriff auf einzelne, durch den Proxy-Server bislang gesperrte Internetseiten für erforderlich erachtet, kann er die Freischaltung dieser Internetseiten verlangen.
• Der Betriebsrat darf einen von der Telefonanlage der Arbeitgeberin unabhängigen Telefonanschluss nicht ohne Weiteres für erforderlich erachten, wenn er über einen Nebenstellenanschluss die Möglichkeit uneingeschränkter Telekommunikation hat.

Das Zünglein an der Waage: Die Interessenabwägung

Anspruchsgrundlage für die begehrte Ausstattung des Betriebsrats war § 40 Abs. 2 BetrVG, der die Arbeitgeberin zur Bereitstellung von Informations- und Kommunikationstechnik im erforderlichen Umfang verpflichtet.

Der Betriebsrat hat nach § 40 Abs. 2 BetrVG die Erforderlichkeit der von ihm begehrten Ausstattung zu prüfen und dabei die Interessen der Belegschaft an einer sachgerechten Ausübung des Betriebsratsamts einerseits und die berechtigten Interessen der Arbeitgeberin andererseits gegeneinander abzuwägen. Bei dem Verlangen nach einem Internetzugang sowie an der Teilhabe am E-Mail-Verkehr können betriebliche Belange der Arbeitgeberin (z.B. besondere Geheimhaltungsinteressen/greifbare Anhaltspunkte eines Missbrauchs) der Erforderlichkeit der Ausstattung entgegenstehen. Jedes Betriebsratsmitglied soll aber grundsätzlich in der Lage sein, sich insbesondere bei der Vorbereitung auf Betriebsratssitzungen über anstehende Betriebsratsaufgaben zu informieren und hierzu zu recherchieren (BAG, Beschl. v. 14.07.2010 – 7 ABR 80/08). In der Praxis ist der Betriebsrat deshalb regelmäßig mit Internetanschluss und E-Mail-Zugang auszustatten.

Im vorliegenden Fall verlangte der Betriebsrat aber darüber hinaus, die Nutzung dieser Sachmittel unkontrollierbar zur Verfügung zu stellen, und berücksichtigte dabei die Sicherheitsinteressen seiner Arbeitgeberin nicht. Es liege aber im berechtigten Interesse der Arbeitgeberin, so nun das BAG (7 ABR 50/14), dass der Betriebsrat Internetrecherchen und den E-Mail-Verkehr über das geschützte technische Netzwerk (den Proxy-Server) durchführt, um den für erforderlich gehaltenen Sicherheitsstandard der IT-Systeme zu gewährleisten. Diese berechtigten Interessen überwogen im hiesigen Fall das Interesse des Betriebsrats. Warum welcher IT-Sicherheitsstandard von der Arbeitgeberin für erforderlich gehalten wurde bzw. werden durfte, wird in den Entscheidungen des BAG und der Vorinstanzen nicht erläutert und musste von der Arbeitgeberin augenscheinlich auch nicht näher dargelegt werden. Es genügte, dass die Arbeitgeberin die Erforderlichkeit der Verwendung des Proxy-Servers für die IT-Sicherheit schlicht behauptete. Ebenso wenig war es für das BAG problematisch, dass der Proxy-Server derjenige der Konzernmutter war und diese somit die Sicherheitsstandards festlegte. Dies kann man nur so verstehen, dass sich die Arbeitgeberin diese Sicherheitsstandards zu eigen machte, da die Sicherheitsinteressen der Konzernmutter indes in die Erforderlichkeitsprüfung nicht einbezogen werden durften, weil im Rahmen von  § 40 Abs. 2 BetrVG nur die Interessen der jeweiligen Arbeitgeberin zu berücksichtigen sind.

Hätte der Betriebsrat allerdings konkrete Anhaltspunkte für eine unzulässige Kontrolle der Internetnutzung oder des E-Mail-Verkehrs durch die Arbeitgeberin dargelegt, – so klingt es in der Entscheidung des BAG an – hätte die Abwägung auch zugunsten des Betriebsrats ausfallen können.

Umgekehrt: Abstrakte Missbrauchsgefahr durch den Betriebsrat nicht ausreichend

In einer Entscheidung des BAG aus dem Jahr 2012 (Beschl. v. 18.07.2012 – 7 ABR 23/11) durfte umgekehrt die Arbeitgeberin dem Betriebsrat einen nicht personalisierten Internetzugang nicht mit der Begründung verweigern, dass dadurch eine abstrakte Missbrauchsgefahr wegen der theoretischen Möglichkeit der sachfremden Nutzung des Internetanschlusses durch einzelne Betriebsratsmitglieder bestehe.

Vertrauen ist gut, Kontrolle nicht besser!

Mit derselben Argumentation wies das BAG in der aktuellen Entscheidung den Anspruch des Betriebsrats ab. Der Grundsatz der vertrauensvollen Zusammenarbeit (§ 2 Abs. 1 BetrVG) stehe – für Arbeitgeber wie für Betriebsrat – einer Vermutung entgegen, dass die Betriebsparteien das Internet missbräuchlich nutzen bzw. Gespräche abgehört werden. Dies ergebe sich unter anderem auch aus dem Verbot der Behinderung der Betriebsratsarbeit des § 78 BetrVG und der Strafbarkeit einer solchen Behinderung im Sinne von § 119 Abs. 1 Nr. 2 BetrVG. Solange also keine durch objektive Tatsachen begründete Vermutung einer missbräuchlichen Ausnutzung abstrakter Kontrollmöglichkeiten vorliegt, sei davon auszugehen, dass der Arbeitgeber keine Überwachung der Internet- und Telekommunikationsaktivitäten vornimmt. Entsprechend müssen weder der Internet- und E-Mail-Zugang noch die Telekommunikation frei von irgendwelchen abstrakten Kontrollmöglichkeiten bereitgestellt werden.

Bewertung

Die Entscheidung des BAG ist begrüßenswert konsequent: Im Jahr 2012 hat es dem Betriebsrat einen Vertrauensvorsprung gewährt, wonach dieser nicht ohne konkrete Anhaltspunkte der unzulässigen Internetnutzung verdächtigt werden darf. Umgekehrt wurde dem Arbeitgeber nun auf derselben Grundlage ein Vertrauensvorsprung gewährt, wonach diesem nicht grundlos eine unzulässige Datenüberwachung zu unterstellen ist. Das BAG bestätigte überdies eine äußerst hohe Bedeutung der IT-Sicherheit im Unternehmen auch mit Blick auf die Rechte des Betriebsrates. Eine Übermittlung von Daten per E-Mail an einen separaten Anschluss des Betriebsrates führe zu einer nicht notwendigen Sicherheitslücke, die der Arbeitgeber nicht hinnehmen muss.