Anforderungen an die beriebsverfassungsrechtliche Regelung der Betriebsdatenerfasssung

Traditionelle Betriebsdatenerfassungssysteme (BDE-Systeme) speichern die Rückmeldungen der einzelnen Arbeitsgänge von Fertigungsaufträgen. Dies geschieht in Personen identifizierender Form, wenn die Daten gleichzeitig für eine Entgeltfindung  z.B. im Rahmen eines Einzelakkords verwendet werden sollen. Ein Rückmeldevorgang umfasst dann in der Regel

• eine Identifizierung des Fertigungsauftrags,
• eine Identifizierung des Arbeitsgangs (bzw. der Arbeitsfolge) im Rahmen des Fertigungsauftrags,
• eine Kennzeichnung der Maschine oder Anlage bzw. des Arbeitsplatzes, an dem die Rückmeldung erfolgt
• einen Zeitstempel der Rückmeldung (Datum, Uhrzeit),
• Angaben über die Anzahl der gefertigten Stücke (oft unterschieden in Gutstücke und Ausschuss) und
• ggf. eine Identifizierung der rückmeldenden Person (Personalnummer) oder Gruppe.

Aus dem übergeordneten Produktionssteuerungssystem steht die Planzeit für die Dauer des Arbeitsgangs (oft getrennt in Rüstzeit und Ausführungszeit) zur Verfügung, die aus einem hinterlegten Planzeitenkatalog und der geplanten Stückzahl berechnet wird. Aus den Zeitstempeln der Rückmeldung kann das System dann die Istzeit, also die tatsächliche Bearbeitungszeit, berechnen, die der aus den Planungsdaten berechneten Sollzeit gegenüber gestellt werden kann.
Unterbrechungen der Produktion können ebenfalls erfasst werden, oft versehen mit aus der Sensorik der Produktionsanlagen automatisch gewonnenen Informationen oder manuell eingegebenen Informationen über die Art der Störung oder Unterbrechung, ebenfalls mit Zeitstempel und ggf. mit Personenidentifizierung.
Die Daten werden dann an das übergelagerte Produktionsplanungssystem (oft Teil eines ERP-Systems) übermittelt, wodurch dieses System dann über ein Planungssystem hinaus zum Produktionssteuerungssystem wird. Für diese Schnittstelle ist die Personenidentifizierung der Rückmeldung nicht erforderlich.
Soll das System auch für die Entgeltfindung genutzt werden, so ist eine weitere Schnittstelle zum entsprechenden Abrechnungssystem erforderlich. Deren Ausgestaltung hängt von der Art des Entgelts ab.

Überwachungseignung eines BDE-Systems

In einfachster Ausprägung erfasst ein BDE-System nur Fertigmeldungen ohne Zeitstempel und Personenidentifizierung. Dann weiß das übergeordnete Produktionssteuerungssystem über den aktuellen Stand eines Fertigungsauftrags Bescheid, muss ansonsten aber mit den Sollzeiten als Istzeiten arbeiten (z.B. sog. Normalverfahren bei SAP).
Erfolgt eine Rückmeldung mit Zeitangaben und Personenidentifizierung einschließlich Unterbrechungszeiten, so ist der Produktionsablauf im System lückenlos dokumentiert. Es ist dann für die Dauer der gespeicherten Daten jederzeit bekannt, wer an welcher Stelle wie lange was gemacht hat. Es ist die perfekteste denkbare Überwachung des Produktionsgeschehens, die Arbeit ist sozusagen „gläsern“. Die Informationen sind auch ohne Personalnummer im Sinne des Datenschutzrechtes personenbezogen, weil Ort und Zeit der abgebildeten Ereignisse dokumentiert sind und sich somit in der Regel immer bestimmen lässt, welche Person die im System abgebildete Arbeit ausgeführt hat bzw. für sie verantwortlich war.
Die Überwachungseignung hängt weiter von der Dauer der gespeicherten Daten ab. Es macht einen Unterschied, ob die arbeitsgangbezogenen Daten nur für die Laufzeit eines Fertigungsauftrags oder auf unbestimmte Zeit gespeichert sind. Je länger die Speicherdauer, umso umfangreichere vergleichende Auswertungen sind möglich.
Eine solche umfassende Datenspeicherung muss als tief greifender Eingriff in die Persönlichkeitsrechte begriffen werden und befindet sich daher im Kernbereich der Mitbestimmung gemäß § 87 Abs. 1 Nr. 6 BetrVG, einer Bestimmung, die sich bekanntlich aus dem Gebot des Schutzes der Persönlichkeitsrechte ableitet. Geeignete Auswertungen dieser Daten ließen Rückschlüsse über die Art der Bearbeitung zu, z.B. die Geschwindigkeit, die individuellen Abweichungen vom im System hinterlegten Planzeiten, die Anzahl und Dauer der Unterbrechungen und vieles mehr. Die Detailliertheit der hierbei gewinnbaren Informationen hängt dann weit gehend von der Art der Arbeit (Beeinflussbarkeitsgrad der Bearbeitung oder Unterbrechung) und der Differenziertheit der verwendeten Schlüssel (z. B. für die Unterbrechungsgründe) ab.
Wenn in so weit gehender Weise in die Persönlichkeitsrechte eingegriffen wird, so bedarf es der strengen Beachtung des Grundsatzes der strikten Zweckbindung und des Grundsatzes der Verhältnismäßigkeit.

Zweckbindung

BDE-Systeme speichern ihre Daten in der Regel in Datenbanksystemen. Die erklärte Zielsetzung einer jeden relationalen Datenbank (im Gegensatz zu objektorientierten Systemen) ist aber die Speicherung der Daten unabhängig von einem bestimmten Zweck, um sie für die Zukunft für verschiedenartigste Verwendungszwecke zur Verfügung zu haben. Dies entspricht einer Datenspeicherung auf Vorrat, die bei personenbezogenen Daten nach wiederholter höchstrichterlicher Rechtsprechung, nicht zuletzt des Bundesverfassungsgerichts, unzulässig ist. Der Grundsatz der Zweckbindung gebietet also, dass die Verwendung der Daten stets an konkrete Zwecke gebunden sein muss. Es genügt auch nicht, lediglich denkbare sinnvolle Verwendungszwecke zu benennen, z.B. die Erfassung der Istdaten mit dem Erfordernis einer genauen Nachkalkulation zu begründen, wenn sich dann herausstellt, dass eine Nachkalkulation mit der postulierten Genauigkeit gar nicht stattfindet.

Verhältnismäßigkeit

Die Zweckbindung personenbezogner Daten reicht für eine Verarbeitungserlaubnis jedoch nicht aus. Für jeden Verwendungszweck bedarf es einer Abwägung, ob die Erreichung des jeweiligen Zwecks den erforderlichen Eingriff in die Persönlichkeitsrechte auch rechtfertigt. Dabei ist der Grundsatz sparsamer Verwendung der personenbezogenen Daten zu beachten.

Systemanforderungen

Zunächst ist zu prüfen, ob eine direkte Personenidentifizierung der Rückmeldedaten überhaupt erforderlich ist. Dies ist in der Regel zu verneinen, wenn das System keine Aufgaben im Rahmen der Entgeltfindung wahrnehmen soll.
Wenn ein akzeptables Erfordernis für die Personen identifizierende Speicherung der Rückmeldedaten besteht, so sind die erfassten Datenströme zum frühest möglichen Zeitpunkt zu trennen,

• in einen Datenstrom mit direkter Personenidentifizierung, der die für die Abrechnung erforderlichen Daten, und nur diese Daten enthält und
• in einen Datenstrom ohne Personenidentifizierug für das produktionssteuernde System oder sonstige weiterverarbeitende Systeme, wobei der Umfang der Daten sich dann an der jeweiligen Zweckbestimmung dieses Systems ausrichtet.

Die „Rohdaten“ der Rückmeldung sind dann unmittelbar nach Übermittlung an die weiterverarbeitenden Systeme zu löschen.

Eine kurze Speicherdauer der Original-Rückmeldedaten ist wegen ihrer hohen Überwachungseignung dringend zu empfehlen. Lässt sich dies nicht realisieren, so bedarf es zusätzlicher Schutztechniken, deren Einsatz gewährleisten soll, dass keine nicht vereinbarten Auswertungen erfolgen.

Eine kompliziertere Situation tritt ein, wenn das BDE-System auch für das Sammeln der Entgelt-Abrechnungsdaten verwendet werden soll.  Angenommen es handelt sich bei einem Unternehmen um den (inzwischen selten gewordenen) Fall der Abrechnung im Einzelakkord. Dann genügt die personenbezogene Übermittlung der Soll- oder Planzeiten für die einzelnen Arbeitsgänge, denn die betroffenen Arbeitnehmer bekommen nur die auf dem elektronischen Lohnzettel vermerkte Vorgabezeit, also die geplante Rüst- und Bearbeitungszeit, bezahlt. Eine Übermittlung der Echtzeiten ist in diesem Fall nicht erforderlich. Aus der – durch das Zeiterfassungssystem oder anderweitig gemessenen – Arbeitszeit und der Summe der Vorgabezeiten berechnet sich dann der Leistungsgrad pro Abrechnungsperiode. Dieses Verfahren wird noch etwas komplizierter, wenn nicht durchgehend im Leistungslohn gearbeitet wird, sondern bestimmte Arbeiten wie z.B. Reparaturen oder Unterbrechungen wegen Störungen des Produktionsablaufs im Zeitlohn entgolten werden. Dafür erhalten die Arbeitnehmer dann eine elektronische Zeitgutschrift, deren Geldbetrag sich in der Regel nach dem Durchschnitt des Leistungslohnanteils berechnet. Somit ergibt sich die Höhe des zu zahlenden Entgelts aus der Summe aller Leistungslohnbelege und aller Zeitlohnbelege während der Abrechnungsperiode. Eine Übermittlung der Istzeiten für die Leistungslohnbelege ist nicht erforderlich. Soll dies dennoch geschehen, so muss es hierfür besondere und vor allem akzeptable Gründe geben. Werden nämlich Ist- und Vergabezeiten übermittelt, so wäre das Abrechnungssystem in der Lage, den Leistungsgrad pro Arbeitsgang zu berechnen. Tarifverträge sehen aber nur einen Bezug auf die jeweilige Abrechnungsperiode und nicht auf den einzelnen Tag oder gar einzelnen Arbeitsschritt vor. Zusätzliche Regelungen müssten den Abgleich der Sollzeiten mit den Istzeiten verlässlich ausschließen.

Der dauerhafte Vergleich von Soll- und Istzeiten käme einer permanenten elektronischen Zeiterfassung gleich, sozusagen die ständige REFA im Betrieb. Gängige Verfahren zur Ermittlung von Vorgabezeiten sehen aber dokumentationspflichtige Rahmbedingungen vor. So darf gemäß REFA-Grundsätzen eine Zeiterfassung nur unter Bedingungen erfolgen, bei denen eine dauerhafte Erbringung der gemessenen Leistung ohne Beeinträchtigung der Gesundheit gewährleistet ist. Dies ist aber nicht gegeben, wenn jede Arbeit zeitlich genau erfasst wird, egal wann, unter welchen Rahmenbedingungen auch immer.

Verbreitete Produktionssteuerungssysteme, z.B. das entsprechende SAP-Modul, unterscheiden bei der Rückmeldung ein Standardverfahren, ein Normalverfahren und ein Meilensteinverfahren. Beim sog. Standardverfahren werden alle Echtzeiten zurückgemeldet; dies entspricht dem soeben dargestellten worst case-Szenario. Beim sog. Normalverfahren erfolgt für den einzelnen Arbeitsgang nur eine Fertigmeldung ohne Zeitangaben. Das System behält den Überblich über den aktuellen Stand der Produktion und „rechnet“ dann weiter mit den Planzahlen, z.B. für eine Nachkalkulation. Beim Meilensteinverfahren findet eine Rückmeldung von Zeiten nur an ausgewählten Stationen der Produktion, meist an typischen Engpassstellen, statt. Damit ist nur noch eine punktuelle Überwachung des Produktionsablaufs gegeben, ein Verfahren, das sich im Frieden mit jedem Betriebsrat vereinbaren lässt.

Die Feinheit des Rückmeldenetzes ist entscheidend für die Schärfe der Überwachungseignung. Manche Arbeitgeber kommen auf die Idee, für Rüstzeiten und Bearbeitungszeiten getrennte Rückmeldungen zu verlangen. Diese Differenzierung ist für die Produktionssteuerung unerheblich. Wer dies tut, hat nur ein Interesse, nämlich die Planzeiten mit den Echtzeiten zu vergleichen, möglicherweise sogar dauerhaft. Da die Systeme nun so vorzügliche Zeiterfassungseigenschaften aufweisen, ist es hochgradig verlockend, sich darauf auch einzulassen. Bezahlt wird dies mit der dauerhaften Überwachung des Arbeitsgeschehens. Und dies verletzt den Verhältnismäßigkeitsgrundsatz. Kompromisse sind nur denkbar, wenn die Überwachung deutlich eingeschränkt ist, wie das folgende Regelungsbeispiel zeigt:

Viele Standard-BDE-Systeme lassen unter dem Gesichtspunkt ihrer usability, d.h. Anpassungsfähigkeit an Kunden- und Benutzerwünsche, viele Wünsche offen und erlauben zum Beispiel keine Modifizierungen des Rückmeldevorgangs. Wenn ein System nur zu Rückmeldungen mit Uhrzeitstempeln fähig ist, dann hilft eine Entkoppelung der Arbeit von der Rückmeldung. Zum Beispiel könnte vereinbart werden, dass die Rückmeldungen nur in bestimmten Zeitabständen, etwa am Ende einer jeden Schicht, zu erfolgen brauchen. Kleinere Arbeitsgänge könnten in Sammelmeldungen zusammengefasst werden. Das übergelagerte Produktionssteuerungssystem könnte dann immer noch mit hoher Genauigkeit sehen, wo ein Fertigungsauftrag gerade steht. Es wäre also abzuklären, mit welcher Genauigkeit die Information über den Status der Fertigungsaufträge erforderlich ist. Dies ist in der Regel am Leitstand des Fertigungssteuerungssystems sichtbar. Wenn das übergelagerte System aber nicht über eine solche Programmfunktion verfügt, dann erübrigt sich auch die Bereitstellung der Daten für eine solche Funktion.
Auf keinen Fall ist aber hinnehmbar, dass ein System flächendeckend die Istzeiten der Arbeitsabläufe erfasst und für Auswertungen, insbesondere für Vergleiche mit den Sollzahlen zur Verfügung stellt. Man mag nun den Standpunkt vertreten, die Speicherung allein sei noch kein Problem, dagegen lediglich auf die erlaubten Auswertungen komme es an. Bei der den Systemen zugrunde liegenden Technik, in der Regel relationale Datenbanken, ist dies ein nahezu fahrlässiger Standpunkt. Dann wäre es erforderlich, die erlaubten Auswertungen abschließend, sicher und kontrollierbar festzulegen, wie im folgenden Regelungsvorschlag beschrieben. Eine übersehene Excel-Schnittstelle, und die Regelung ist nicht mehr das Papier wert, auf dem sie aufgeschrieben ist. Einfacher ist der Verzicht auf die Speicherung von Daten, die nicht verwendet werden sollen. Alles andere muss sich den Vorwurf der Vorratsdatenspeicherung gefallen lassen.

Konsequenter wäre natürlich der Ausschluss jedweder Auswertung der Rückmeldedaten im BDE-System selber. Dies scheitert aber oft an der Fülle der von den Herstellern angebotenen Leistungsmerkmale und an der Unzulänglichkeit der weiterverarbeitenden Systeme. Ein Anliegen vieler Unternehmen besteht zum Beispiel darin, Produktionsunterbrechungen und Störungen genauer zu analysieren. Oft bieten die BDE-Systeme geeignete Programmfunktionen für solche Auswertungen. Dies muss man sich dann im Einzelfall ansehen. Vorzuziehen ist aber in jedem Fall die Verlagerung solcher Auswertungen in ein übergelagertes Produktionssteuerungssystem. Dessen Datenbasis könnte vom direkten Personenbezug seiner Daten bereits befreit sein, ein Tatbestand, der die betriebsverfassungsrechtliche Regelung dieses Systemteils erheblich vereinfacht.