Die Verarbeitung von Beschäftigtendaten ist immer nur dann zulässig, wenn ein entsprechender Erlaubnistatbestand zur Datenverarbeitung einschlägig ist. Sofern ein Betriebsrat besteht, sind neben den datenschutzrechtlichen Voraussetzungen jedoch auch die kollektivarbeitsrechtlichen Voraussetzungen der Datenverarbeitung zu beachten. Möchten Arbeitgebende eine bestimmte Maßnahme umsetzen, die auch die Verarbeitung von Beschäftigtendaten beinhaltet, so sind die Mitbestimmungsrechte des Betriebsrats zu berücksichtigen. Insbesondere im Rahmen der erzwingbaren Mitbestimmung kann der Betriebsrat sonst Unterlassungsansprüche geltend machen. Maßnahmen, die die Arbeitnehmenden belasten, können zudem im individuellen Verhältnis Arbeitgebende – Arbeitnehmende unwirksam sein.
Das Betriebsverfassungsrecht schafft jedoch für den Beschäftigtendatenschutz kein spezielles, quasi übergeordnet diesem Thema „gewidmetes“ Mitbestimmungsrecht. Das bedeutet zunächst, dass nicht jede Verarbeitung von Beschäftigtendaten eine mitbestimmungspflichtige Maßnahme darstellt und der Betriebsrat auch nicht per se zu beteiligen ist. Dies ist nur dann der Fall, wenn die Maßnahme tatsächlich aufgrund der allgemeinen, zumeist sachthemenbezogenen Mitbestimmungsrechte diese intensive vorherige Einbindung der Arbeitnehmervertretung erfordert.
Der Betriebsrat hat die Aufgabe, die Einhaltung datenschutzrechtlicher Vorgaben zu überprüfen. Im Rahmen der erzwingbaren Mitbestimmung in sozialen Angelegenheiten bedarf es jedoch regelmäßig des Abschlusses einer Betriebsvereinbarung, die die Umsetzung der von den Arbeitgebenden geplanten Maßnahmen konkret regelt und auch datenschutzrechtliche Vorgaben macht. In der betrieblichen Praxis sind hierbei insbesondere die Einführung und fortlaufende Nutzung technischer Einrichtungen sowie die Ausgestaltung von mobiler Arbeit zu nennen.
Die Definition des Bundesarbeitsgerichts von technischen Einrichtungen im Sinne der erzwingbaren Mitbestimmung ist weit. Sobald Arbeitgebende beabsichtigen, eine technische Einrichtung einzuführen, die in der Lage ist, die Leistung oder das Verhalten der Arbeitnehmenden zu überwachsen, ist der Betriebsrat zu beteiligen. Dabei ist die reine Möglichkeit der Leistungs- und Verhaltenskontrolle ausreichend; sie muss nicht beabsichtigt sein. So stellt bereits die Einrichtung einer Facebook-Unternehmensseite mit frei zugänglichen Besuchenden-Beiträgen zum Verhalten von Arbeitnehmenden eine mitbestimmungspflichtige Maßnahme dar. Dasselbe gilt regelmäßig für Softwareprodukte, die einsehbare Log-Dateien mit Bearbeitungszeitpunkten und -dauer erstellen.
Auch Regelungen zu mobiler Arbeit, die mittels „Informations- und Kommunikationstechnik“ erbracht wird, sind erzwingbar mitbestimmungspflichtig; allerdings nur im Hinblick auf die Ausgestaltung der mobilen Arbeit, nicht ihre Einführung an sich. Der Gesetzgeber wollte hiermit etwaige Regelungslücken schließen und die typischen Regelungen zur mobilen Arbeit der erzwingbaren Mitbestimmung zuordnen.
Um einheitliche Regelungen zum Beschäftigtendatenschutz zu schaffen, bietet sich in der betrieblichen Praxis regelmäßig der Abschluss einer Rahmenbetriebsvereinbarung zum Einsatz von Informations- und Kommunikationstechnologie an (sog. „IT-Rahmenbetriebsvereinbarung“). So können die Betriebsparteien einheitliche Vorgaben zum Beschäftigtendatenschutz und gleichzeitig einen Erlaubnistatbestand zur Verarbeitung von Beschäftigtendaten schaffen, die in diesem Rahmen dann durch Spezialregelungen zu einzeln mitbestimmungspflichtigen „Einrichtungen“ (z.B. spezielle Softwareprodukte) ergänzt werden.
Auch wenn der Beschäftigtendatenschutz an sich kein originäres (übergeordnetes) Mitbestimmungsrecht darstellt, ist er doch faktisch im Rahmen der weiten bestehenden Mitbestimmungsrechte des allgemeinen Betriebsverfassungsrechts wichtiges „Thema“ und häufig Regelungsgegenstand von Vereinbarungen der Betriebsparteien. Da die Verarbeitung von Beschäftigtendaten für die Durchführung des Geschäftsbetriebs und die Teilnahme am Wirtschaftsleben zwingend erforderlich, die Nutzung von IT-Systemen schlichtweg nicht mehr aus dem Arbeitsleben wegzudenken ist, gewinnt der Beschäftigtendatenschutz als Mitbestimmungsgegenstand eine immer stärker wachsende Bedeutung. Für die Praxis bietet es sich an, durch Rahmenbetriebsvereinbarungen einen betrieblichen Standard zum Beschäftigtendatenschutz festzusetzen.