Anruf-Drill statt Testanruf: Betriebsrat und Datenschutz

Inhalt in Kürze

• Ein Anruf-Drill ist mitbestimmungspflichtig — und zwar als eigener Vorgang. § 87 Abs. 1 Nr. 6 BetrVG erfasst Einführung und Anwendung.
• Eine Betriebsvereinbarung, die nur E-Mail-Simulationen nennt, deckt ihn nicht ab. Ein Absatz reicht meist, aber er muss geschrieben werden.
• § 26 Abs. 1 Satz 1 BDSG trägt nicht mehr. Wer ihn noch zitiert, arbeitet mit einer überholten Vorlage.
• Der Verzicht auf den echten Anruf spart drei Diskussionen: private Rufnummer, zusätzlicher Auftragsverarbeiter, eigene Datenart.

Die Frage kommt zuverlässig, sobald das Thema Betrugsanrufe auf den Tisch kommt: „Können wir unsere Leute nicht einfach mal testweise anrufen?“ Technisch: ja. Praktisch: Es lohnt sich selten — und der Grund ist nicht Vorsicht, sondern Aufwand.

Warum der Testanruf drei zusätzliche Baustellen aufmacht

Erstens die Rufnummer. Ein Anruf braucht eine. In vielen Betrieben ist das keine Durchwahl, sondern das private Mobiltelefon. Damit verarbeiten Sie ein Datum, das Beschäftigte oft freiwillig für Notfälle hinterlegt haben — nicht für Übungen.

Zweitens der Dienstleister. Ein Telefonieanbieter kommt als weiterer Auftragsverarbeiter hinzu, mit Vertrag nach Art. 28 DSGVO, Eintrag im Verzeichnis der Verarbeitungstätigkeiten und der Frage, wo Verbindungsdaten anfallen.

Drittens die Diskussion. Der Betriebsrat wird zu Recht fragen, ob Beschäftigte im Feierabend angerufen werden können und was mit Verbindungsdaten passiert. Beides hat mit dem Lernziel nichts zu tun.

Eine Übung im Browser umgeht alle drei Punkte, ohne beim Lerneffekt zu sparen: Das Telefon klingelt auf dem Bildschirm, eine synthetische Stimme setzt unter Druck, die Person entscheidet — und niemand wird angerufen. Wie das abläuft, steht im Überblicksartikel Vishing und Deepfake-Anrufe trainieren.

Mitbestimmung: ein neuer Kanal ist ein neuer Vorgang

§ 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Zwei Punkte daraus werden regelmäßig übersehen:

1. Es genügt die Eignung. Ob Sie einzelne Menschen tatsächlich auswerten wollen, spielt keine Rolle. Wenn die Einrichtung es könnte, greift die Mitbestimmung.
2. Auch die Anwendung ist erfasst, nicht nur die Anschaffung. Deshalb ist ein neuer Kanal mit einer neuen Datenart und einer eigenen Bewertung ein eigener mitbestimmungspflichtiger Vorgang — selbst wenn dieselbe Plattform dahintersteht und dieselben Personen betroffen sind.

Was in diesen Absatz gehört, ist überschaubar: Zweck und ausdrücklicher Ausschluss der Leistungskontrolle, der Datenumfang, die Auswertungsebene, die Folgenlosigkeit einer falschen Entscheidung, die Aufbewahrungsfrist und die Zugriffsrechte. Eine Muster-Betriebsvereinbarung mit diesen Punkten stellen wir im Betriebsrats-Paket kostenlos zur Verfügung.

Rechtsgrundlage: was seit dem BAG-Urteil noch trägt

Viele Vorlagen im Umlauf berufen sich auf Art. 6 Abs. 1 lit. f DSGVO „in Verbindung mit § 26 BDSG“. Diese Kombination sollte man nicht mehr verwenden.

Der EuGH hat am 30.03.2023 (Rechtssache C-34/21) entschieden, dass eine mitgliedstaatliche Vorschrift nur dann eine eigene Rechtsgrundlage für die Beschäftigtendatenverarbeitung bildet, wenn sie die Anforderungen des Art. 88 Abs. 2 DSGVO erfüllt. Das Bundesarbeitsgericht hat § 26 Abs. 1 Satz 1 BDSG daraufhin am 08.05.2025 (8 AZR 209/21) für unanwendbar erklärt.

Tragfähig ist deshalb:

Die Interessenabwägung nach lit. f fällt leichter, je weniger Daten anfallen — was zum nächsten Punkt führt.

Welche Daten überhaupt entstehen

Bei einem Anruf-Drill im Browser sind es erstaunlich wenige:

• Die Wahlentscheidungen. Welche der angebotenen Antworten gewählt wurden — mehr nicht. Kein Freitext, keine Eingaben.
• Zeitpunkte. Beginn, Ende oder Abbruch der Übung.
• Der Punktwert. Und dieser ist selbst personenbezogen: „Person X hat 33 von 100 erreicht“ ist eine Aussage über einen Menschen. Wer die Antwortfolge löscht und den Punktwert behält, hat nicht gelöscht.

Was nicht entsteht: kein Tonmitschnitt, kein Mikrofonzugriff, keine Rufnummer, keine geklonte Stimme einer realen Person. Wir bilden bewusst keine Stimme einer echten Führungskraft nach — auch nicht mit deren Einverständnis. Der maßgebliche Schutz ergibt sich aus dem allgemeinen Persönlichkeitsrecht (Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG); das Kunsturhebergesetz schützt nur Bildnisse, nicht die Stimme. Der eigentliche Grund ist aber ein anderer: Die Einwilligung der Führungskraft deckt nicht die Täuschung derjenigen, die den Anruf hören.

Zur Aufbewahrung: Zwölf Monate sind eine Hausregel, keine gesetzliche Vorgabe — es gibt keine Vorschrift einer Aufsichtsbehörde für Verhaltensdaten aus Awareness-Übungen. Zwölf Monate decken den Jahresvergleich ab, und der ist der einzige sachliche Grund, überhaupt etwas aufzubewahren. Danach wird die ganze Zeile gelöscht, nachdem die Welle personenfrei zusammengefasst wurde. Auswertungen entstehen ohnehin erst ab fünf beteiligten Personen.

KI-Stimme: die Kennzeichnung ist Pflicht

Wer mit synthetischer Sprache arbeitet, muss darauf hinweisen. Art. 50 Abs. 5 der Verordnung (EU) 2024/1689 verlangt eine klare, erkennbare und barrierefreie Information spätestens zum Zeitpunkt der ersten Interaktion. Die Pflicht gilt seit dem 02.08.2026, und eine Ausnahme für interne Schulungen gibt es nicht.

Praktisch heißt das: Der Hinweis steht vor dem Start, bleibt während des Gesprächs sichtbar und taucht in der Auflösung erneut auf — als Text, nicht als Symbol. Das nimmt der Übung übrigens nichts. Der Druck entsteht aus der Szene, nicht aus dem Glauben, ein echter Mensch sei am Apparat.

Und was verlangt NIS2?

Weniger, als oft behauptet wird. § 30 Abs. 2 Nr. 7 BSIG nennt „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“. Eine Vorschrift, die Phishing-Tests oder Simulationen ausdrücklich fordert, existiert nicht — weder im BSIG noch in einem BSI-Papier. Auch das gern zitierte Wort „Cyberhygiene“ kommt im BSIG nicht vor.

Übungen sind also ein geeignetes Mittel, kein vorgeschriebenes. Wer sie einsetzt, sollte das als Entscheidung begründen, nicht als Pflicht darstellen. Das gilt genauso für die Behauptung, eine Aufsichtsbehörde empfehle Awareness-Simulationen: Eine solche Aussage gibt es nicht.

Aus der Praxis

In Deutschland ist es häufig so, dass die Datenschutzbehörden eine beratende Funktion haben. Viele Mandanten haben Angst, eine Datenpanne zu melden – aber es ist nicht wie beim Finanzamt.

Nils OehmichenDatenschutzberater bei frag.hugo

Dieselbe Erfahrung machen wir beim Betriebsrat. Ein Gremium sagt selten grundsätzlich nein — es sagt nein zu Unklarheit. Wenn im Entwurf steht, welche Daten anfallen, ab welcher Gruppengröße ausgewertet wird und dass eine falsche Entscheidung folgenlos bleibt, ist die Sache meist nach einer Sitzung erledigt.

Ihr nächster Schritt

Holen Sie die bestehende Betriebsvereinbarung hervor und suchen Sie zwei Dinge: das Wort „E-Mail“ — und den Verweis auf § 26 BDSG. Beides ist ein Hinweis darauf, dass die Vorlage älter ist als der aktuelle Stand. Wie ein Anruf-Drill technisch abläuft, sehen Sie auf der Seite zur Phishing-Simulation; die Warnsignale selbst behandeln die Beiträge zu CEO-Fraud am Telefon und zum Deepfake-Anruf.

Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall. Eine Betriebsvereinbarung wird stets betriebsindividuell geschlossen.

Häufige Fragen (FAQ)

Ist ein Vishing-Training mitbestimmungspflichtig?

In Betrieben mit Betriebsrat regelmäßig ja. § 87 Abs. 1 Nr. 6 BetrVG erfasst technische Einrichtungen, die dazu geeignet sind, Verhalten oder Leistung zu überwachen. Entscheidend ist die Eignung, nicht die Absicht — auch eine ausschließlich aggregierte Auswertung unterliegt der Mitbestimmung.

Deckt unsere Betriebsvereinbarung zur Phishing-Simulation auch Anruf-Übungen ab?

In der Regel nicht. Die Vorschrift erfasst die Einführung und die Anwendung. Ein neuer Kanal mit einer neuen Datenart und einer eigenen Bewertung ist ein eigener mitbestimmungspflichtiger Vorgang, auch wenn dieselbe Plattform dahintersteht.

Welche Rechtsgrundlage trägt nach dem BAG-Urteil vom 08.05.2025?

Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO, konkretisiert durch Art. 32 Abs. 1 DSGVO, ergänzt um die Betriebsvereinbarung als Kollektivvereinbarung nach Art. 88 DSGVO. § 26 Abs. 1 Satz 1 BDSG hat das Bundesarbeitsgericht am 08.05.2025 (8 AZR 209/21) für unanwendbar erklärt, nachdem der EuGH die Anforderungen an nationale Normen geklärt hatte (30.03.2023, C-34/21).

Welche Daten fallen bei einem Anruf-Drill an?

Welche der angebotenen Antworten gewählt wurden, wann die Übung begonnen und geendet hat und welcher Punktwert sich daraus ergibt. Kein Ton, kein Mikrofonzugriff, keine Aufzeichnung, kein Freitext. Der Punktwert ist selbst personenbezogen und gehört in dieselbe Löschfrist wie der Rest.

Verlangt NIS2 Phishing-Tests?

Nein. § 30 Abs. 2 Nr. 7 BSIG verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik. Eine Vorschrift, die Simulationen oder Tests ausdrücklich fordert, gibt es weder im BSIG noch in einem BSI-Papier.