Tipps für die Einführung komplexer IT-Systeme – Teil 1: Workday

Bei der Einführung komplexer IT-Systeme mit umfangreichen Beständen an personenbezogenen Daten ist die Wahrung der betrieblichen Mitbestimmung ein wichtiger Zeit- und Kostenfaktor. Dies gilt regelmäßig auch dann, wenn bereits eine IT-Rahmen-Betriebsvereinbarung vorhanden ist. Die Nutzungszwecke und der Umfang der Verhaltens- und Leistungskontrolle müssen hier von den Betriebsparteien regelmäßig konkret (ggf. in Abweichung von der Rahmenvereinbarung) justiert werden. Wir stellen in einer neuen Reihe von Beiträgen solche IT-Systeme vor und geben Tipps für den Prozess der Verhandlungen mit dem Betriebsrat.

Die Ausgangslage

Ein Unternehmen ohne eine Software zum Human Capital Management („HCM“) ist kaum noch denkbar. Je nach Digitalisierungsgrad geht es dabei um die technische Unterstützung zentraler – oder gar aller – Personalprozesse vom Bewerbermanagement bis zum Austrittsgespräch. Zunehmender Beliebtheit bei Unternehmen erfreut sich dabei die Software von Workday. Diese Liebe wird von Betriebsräten häufig nicht geteilt. Damit sind Konflikte im Einführungsprozess vorgezeichnet.

Allgemein bekannt ist, dass die Einführung eines IT-Systems aufgrund der weiten Auslegung der Regelung § 87 Abs. 1 Nr. 6 BetrVG durch die Rechtsprechung fast ausnahmslos das Mitbestimmungsrechts des Betriebsrates auslöst. Dies gilt selbstverständlich auch für Workday. Weitere IT-spezifische Mitwirkungsrechte können daneben treten, insbesondere wenn­ das IT-System – wie bei Workday je nach genutzter Anwendung möglich – künstliche Intelligenz beinhaltet. Hier entsteht ein zusätzliches Informations- und Beratungsrecht des Betriebsrates. In diesem Falle ist auch der IT-Sachverständige auf Seiten des Betriebsrates „gesetzt“ (vgl. § 80 Abs. 3 Satz 2 BetrVG), was bei komplexen IT-System indes ohnehin der betrieblichen Praxis entspricht. Damit einher geht die Thematisierung datenschutzrechtlicher Fragestellungen, die nicht selten den Umfang der Mitbestimmung überschreiten, denn ein allgemeines Mitbestimmungsrecht des Betriebsrates zum Datenschutz gibt es (bislang) nicht.

­Besonderheiten bei der Einführung von Workday

Workday bietet neben den Kernmodulen zur Personaldatenpflege und Entgeltzahlung Module für Recruiting, Performance Management sowie das Talent Management. Es können daher praktisch alle Personalprozesse über Workday standardisiert werden. Entsprechend der Vielzahl der abgebildeten der Personalprozesse, können auch Mitbestimmungsrechte des Betriebsrates – jenseits der klassischen IT-Mitbestimmung – einschlägig sein. Diese Mitbestimmungsrechte sind häufig noch nicht durch eine Betriebsvereinbarung ausgeübt oder müssen aufgrund der Standardisierung durch Workday an die neue Situation angepasst werden.

Tipp 1: Analyse sämtlicher potentiellen Mitbestimmungsrechte

Nach der Festlegung des Nutzungsumfangs der Workday-Module ist es wichtig, ein tiefgreifendes Verständnis der betrieblich vorhandenen und durch Workday vorgegebenen Personalprozesse zu erhalten. In den Modulen Recruiting, Talent Management und Performance Management werden regelmäßig Beurteilungsgrundsätze und Auswahlrichtlinien verwendet, sodass §§ 94, 95 BetrVG berücksichtigt werden muss. Zusätzlich können mit den Modulen Talent Management und Performance Management auch Funktionen eingeführt werden, welche sich als Personalfragebögen darstellen, so dass auch § 94 Abs. 1 BetrVG einschlägig sein kann. Werden diese Mitbestimmungsrechte nicht beachtet, kann – trotz ordnungsgemäßer Durchführung der IT-Mitbestimmung – ein betriebsverfassungsrechtswidriger Zustand eintreten, mit dem der Betriebsrat die Nutzung von Workday bzw. den jeweils betroffenen Modulen ggf. stoppen kann.

Diese Situation gewinnt zusätzliche Brisanz, da sich bei Unternehmensgruppen die Frage des jeweils zuständigen Gremiums stellt. Umfassende HCM-Systeme werden typischerweise konzern- oder zumindest unternehmensweit eingeführt. Für die Einführung von Workday ist dann der Gesamt- oder Konzernbetriebsrat zuständig. Aus der Zuständigkeit des Konzern- oder Gesamtbetriebsrats für die Regelungsmaterie IT-System folgt jedoch keineswegs zwangsläufig dessen Zuständigkeit für andere, ebenfalls betroffene Regelungsmaterien. Sind mehrere Mitbestimmungsrechte betroffen, muss zwischen den Zuständigkeiten der unterschiedlichen Gremien differenziert werden. Die Zuständigkeit kann so auseinanderfallen, was die Einführung der Software naturgemäß nicht erleichtert.

Tipp 2: Sandbox und datenschutzrechtliche Herausforderungen

Die Einführung von Workday umfasst nicht nur ein Produktivsystem. Daneben sind weitere Test-Systeme (sogenannte Tenants) enthalten, in denen Tests für Updates oder Funktionserweiterung durchgeführt werden, ohne dass der Produktivbetrieb und die dortigen Datenbestände im Produktivsystem betroffen werden. Diese Tenants enthalten dabei eine 1:1-Kopie der Echtdaten des Produktivsystems, die jeweils anlassbezogen aktualisiert werden. Für diese Tenants wird der Begriff „Sandbox“ (Sandkasten) verwendet. Wichtig ist die Erkenntnis, dass die Datenverarbeitung in diesen Tenants nicht für die jeweiligen Zwecke des Produktivsystems, sondern für den gesonderten Zweck, des Tests der Änderung von Softwareelementen vor Übernahme in das Produktivsystem erfolgt.

Eine datenschutzrechtliche Herausforderung besteht darin, dass Datenverarbeitungen zu Testzwecken nicht auf die gleichen Rechtsgrundlagen gestützt werden können, wie die Datenverarbeitung im Produktivsystem. Die Zwecke müssen separat für die weiteren Tenants beschrieben und vereinbart werden. Dies gilt umso mehr, als das LAG Baden-Württemberg in einem Urteil vom 25.02.2021 (Az: 17 Sa 37/20) ausgeführt hat, dass eine Verarbeitung personenbezogener Daten zu Testzwecken weder auf § 26 Abs. 1 BDSG noch auf Art. 6 Abs. 1 Satz 1 lit. f) DSGVO gestützt werden kann. Es ist zwar anzunehmen, dass diese Entscheidung nur für Tests im Vorfeld der Einführung eines neuen IT-Systems gilt und nicht auch für weitere Tenants eines bereits implementierten Produktivsystems Geltung beansprucht. Man sollte dieser Entscheidung gleichwohl Aufmerksamkeit schenken, zeigt sie doch die Möglichkeit auf, eine Rechtsgrundlage in Form einer Betriebsvereinbarung auch für Testzwecke zu schaffen.

Tipp 3: Software as a Service („SaaS“) und „ewige Mitbestimmung“

Die Einführung von Workday setzt die Wahrung der IT-spezifischen Mitbestimmungsrecht des Betriebsrates sowie der weiteren Mitbestimmung der technisch unterstützen Personalprozesse voraus. Ist dieser umfassende und herausfordernde Mitbestimmungsprozess abgeschlossen und der „Go-Live“ geschafft, möchte man sich gerne neuen Themen zuwenden. Bei Workday ist jedoch zu beachten, dass es sich um eine sogenannte SaaS-Lösung (Software as a Service) handelt. Software und IT-Infrastruktur werden beim Dienstleister – in diesem Fall Workday – betrieben. Dies äußert sich unter anderem darin, dass Workday zweimal jährlich automatisch Updates einspielt. Durch diese Updates werden aber nicht nur Bugs behoben oder Sicherheitslücken geschlossen. Es sind regelmäßig auch neue oder angepasste Funktionen in den Updates enthalten, die das Unternehmen nur in sehr begrenztem Umfang ablehnen kann. Je nach Änderung leben bereits ausgeübte Mitbestimmungsrechte erneut auf oder es werden andere erstmalig „aktiviert“. Es entsteht ein „ewiger Mitbestimmungsprozess“. Damit nicht genug: Workday kündigt die Updates mit einer Vorlaufzeit von sechs bis acht Wochen vor der automatischen Einspielung an, so dass ein beschleunigter Mitbestimmungsprozess erforderlich ist. Ansonsten droht nach dem Update ein betriebsverfassungsrechtswidriger Zustand. Daher sind die Betriebsparteien gut beraten, bereits in der Betriebsvereinbarung zur Einführung von Workday einen Prozess zum Umgang mit Updates einschließlich eines verbindlichen Streitschlichtungsmechanismus festzulegen.

Fazit

Sowohl die Skepsis der Betriebsräte als auch die Vielfalt der Mitbestimmungsrechte machen es erforderlich, den Mitbestimmungsprozess bei der Einführung von Workday besonders sorgfältig vorzubereiten. Der Mitbestimmungsprozess muss dabei nicht nur den Status quo abdecken, sondern sollte auch künftige potentielle Konflikte berücksichtigen. Nur so kann sichergestellt werden, dass Einführung und Betrieb von Workday die vielfältigen betriebsverfassungsrechtlichen und datenschutzrechtlichen Stolpersteine vermeiden. Die Sorgfalt bietet aber auch Vorteile: Durch klare und transparente Regelungen sowie eindeutigen Verarbeitungszwecke wird Sicherheit Arbeitgeber und die Beschäftigten – aber natürlich auch für den Betriebsrat geschaffen.