Muss der Betriebsrat einem Phishing-Test zustimmen?
Ja, wenn Klicks einzelnen Beschäftigten zugeordnet werden können. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein Mitbestimmungsrecht bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen. Das Bundesarbeitsgericht lässt dafür genügen, dass die Einrichtung objektiv geeignet ist, solche Informationen zu erheben oder aufzuzeichnen. Eine Überwachungsabsicht ist nicht nötig. Ob jemand in einer Testmail auf einen Link klickt, ist aus meiner Sicht eine Information über Verhalten bei der Arbeit. Ein Beitrag im Betriebs-Berater von 2026 sieht die Vorschrift bei Phishing-Plattformen ebenfalls regelmäßig als eröffnet an.
Kommt keine Einigung zustande, entscheidet die Einigungsstelle (§ 87 Abs. 2 BetrVG). Läuft die Kampagne zentral über mehrere Betriebe, kann der Gesamtbetriebsrat zuständig sein, wie das Bundesarbeitsgericht zu Microsoft 365 entschieden hat. Betreffen die Regeln auch das Verhalten im Betrieb, etwa eine Meldepflicht für verdächtige Mails, kann zusätzlich § 87 Abs. 1 Nr. 1 BetrVG berührt sein.
Ändert eine anonyme Auswertung etwas?
Maßgeblich ist, was technisch passiert, nicht was im Bericht steht. Verschickt das Werkzeug personalisierte Links und speichert, wer geklickt hat, lassen sich die Daten Personen zuordnen, auch wenn der Bericht nur Summen zeigt. Datenschutzrechtlich ist das höchstens eine Pseudonymisierung nach Art. 4 Nr. 5 DSGVO, die Daten bleiben personenbezogen (Erwägungsgrund 26).
Anders kann es liegen, wenn Klicks tatsächlich niemandem zugeordnet werden können. Das Bundesarbeitsgericht verlangt für die Überwachung grundsätzlich, dass Beschäftigte identifizierbar sind. Bei Daten zu einer ganzen Gruppe greift die Mitbestimmung nur, wenn der Druck auf die Gruppe auf die Einzelnen durchschlägt. Als Beispiel nennt das Gericht eine überschaubare Gruppe von sechs bis acht Beschäftigten im Gruppenakkord. Eine Auswertung nach kleinen Abteilungen kann deshalb heikel sein.
Ich empfehle, den Betriebsrat auch bei einer wirklich anonymen Kampagne früh einzubinden. Nach § 80 Abs. 2 BetrVG ist er für seine Aufgaben ohnehin rechtzeitig und umfassend zu unterrichten.
Worauf stützen Sie die Datenverarbeitung?
Auf § 26 Abs. 1 BDSG würde ich mich nicht stützen. Der Europäische Gerichtshof entschied 2023 zu einer weitgehend gleichen hessischen Vorschrift, dass solche Regeln unangewendet bleiben müssen, wenn sie die Vorgaben von Art. 88 DSGVO nicht einhalten. Das Bundesarbeitsgericht hat das 2025 in einem Fall zu Testdaten in einem Personalsystem für § 26 Abs. 1 BDSG so entschieden. Damit gilt die DSGVO unmittelbar.
Die hessische Datenschutzaufsicht nennt für Maßnahmen zur IT-Sicherheit ausdrücklich das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Die Methode muss dann erforderlich und verhältnismäßig sein und den Eingriff auf ein Mindestmaß beschränken. Die Behörde empfiehlt eine Verhältnismäßigkeitsprüfung. Eine Stellungnahme einer deutschen Aufsichtsbehörde speziell zu Phishing-Tests habe ich nicht gefunden.
Eine Einwilligung ist im Arbeitsverhältnis problematisch, weil § 26 Abs. 2 BDSG die Freiwilligkeit an der Abhängigkeit der Beschäftigten misst. Eine Betriebsvereinbarung kann nach § 26 Abs. 4 BDSG Grundlage sein. Sie muss laut Europäischem Gerichtshof aber auch Art. 5 und Art. 6 Abs. 1 DSGVO einhalten, und Gerichte dürfen die Erforderlichkeit voll prüfen.
Was sollte in der Vereinbarung stehen?
Mitbestimmung lässt sich am klarsten in einer schriftlichen Betriebsvereinbarung nach § 77 Abs. 2 BetrVG festhalten. Aus meiner Sicht gehören mindestens diese Punkte hinein:
- Zweck: Übung und Sensibilisierung, keine Leistungs- oder Verhaltenskontrolle
- Zeitraum, Zahl der Kampagnen und Abstimmung der Testmails
- Welche Daten erfasst werden und ob Klicks Personen zugeordnet werden können
- Wer welche Auswertung sieht und ab welcher Gruppengröße ausgewertet wird
- Keine arbeitsrechtlichen Folgen aus dem Testergebnis
- Löschfristen
- Eingesetztes Werkzeug, Dienstleister und Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)
- Information der Beschäftigten nach Art. 13 DSGVO
- Anschließende Schulung: Hier kann § 98 BetrVG zur betrieblichen Berufsbildung dazukommen
Wie läuft ein fairer Test ab?
Das BSI nennt Phishing-Simulationen als ein Mittel, um den Blick der Beschäftigten für verdächtige Mails zu schulen, und rät zu klaren Wegen: Beschäftigte sollen wissen, an wen sie sich ohne Bedenken wenden können. Meine Empfehlungen für die Durchführung:
- Vorab informieren, dass im festgelegten Zeitraum Testmails kommen können und was ausgewertet wird. Tag und Inhalt müssen nicht bekannt sein.
- Wer klickt, landet auf einer kurzen Lernseite und bekommt keinen Vorwurf.
- Auch Meldungen auswerten, denn sie zeigen, ob der Meldeweg funktioniert.
- Keine Köder, die Angst um den Arbeitsplatz oder um das Gehalt auslösen.
Wichtiger Hinweis
Dieser Artikel ist keine Rechtsberatung. Ich berate zu Organisation und Informationssicherheit. Die arbeits- und datenschutzrechtliche Bewertung Ihres Falls gehört zu Ihrem Datenschutzbeauftragten oder einer Kanzlei.