Muster-Betriebsvereinbarung für die Phishing-Simulation
Zwei Dokumente, die der Betriebsrat lesen will: eine Muster-Betriebsvereinbarung in zehn Paragrafen und ein Rechtsgrundlagen-Papier mit den Fundstellen im Wortlaut. Zum Übernehmen und Anpassen.
- Sofort per Mail
- Kein Spam
- DSGVO-konform
Alle Normzitate an den Primärquellen geprüft, zuletzt am 05.09.2026 — BetrVG, DSGVO, SGB V, ISO/IEC 27001
Muster-Betriebsvereinbarung für die Phishing-Simulation
Die Technik einer Phishing-Simulation ist selten das Problem. Was Projekte aufhält, ist die Frage, wie der Betriebsrat zustimmt — und die stellt sich meist erst, wenn schon Geld ausgegeben wurde. Dieses Paket nimmt Ihnen die zwei Dokumente ab, die dafür gebraucht werden. Beide sind allgemein gehalten: Sie können sie an jeden Betriebsrat weitergeben, auch wenn Sie am Ende mit einem anderen Anbieter arbeiten.
Anruf-Drills: Was der Betriebsrat dazu wissen muss
Neben der simulierten E-Mail gibt es seit Kurzem den Anruf-Drill: eine rund vierminütige, verzweigte Szene im Browser. Das Telefon klingelt auf dem Bildschirm, eine synthetische Stimme setzt unter Druck, die Beschäftigte wählt zwischen zwei bis vier Reaktionen, die Szene reagiert darauf, am Ende steht die Auflösung mit den Warnsignalen. Trainiert wird damit der Betrugsanruf — Vishing, CEO-Fraud, der angebliche Support.
Der wichtigste Satz zuerst: Eine Betriebsvereinbarung, die nur simulierte E-Mails nennt, deckt Anruf-Drills nicht ab.
§ 87 Abs. 1 Nr. 6 BetrVG erfasst die Einführung und die Anwendung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind. Ein Drill bringt einen neuen Kanal mit, eine neue Datenart — die Reihe der gewählten Antworten — und eine eigene Bewertung. Das ist ein eigener mitbestimmungspflichtiger Vorgang, auch wenn dieselbe Plattform dahintersteht und dieselben Personen betroffen sind. Auf die Absicht kommt es dabei nicht an, sondern auf die Eignung. Bevor der erste Drill läuft, gehört deshalb ein Absatz in die Vereinbarung oder ein eigener Beschluss auf den Tisch.
-
Es klingelt kein echtes Telefon
Keine Rufnummer wird verwendet, kein Telefonieanbieter eingeschaltet, kein privates Handy angerufen. Der Drill läuft im Browser über einen persönlichen Link.
-
Kein Mikrofon, keine Aufzeichnung
Die Übung greift zu keinem Zeitpunkt auf ein Mikrofon zu. Es wird nichts mitgeschnitten — weder Sprache noch Bild noch Bildschirminhalt.
-
Keine geklonte Stimme
Die Stimmen sind synthetisch und generisch. Die Stimme einer echten Führungskraft wird nicht nachgebildet, auch nicht mit deren Einverständnis. Personalisiert wird höchstens die Rolle, etwa „Ihre Geschäftsführung“.
-
Gespeichert werden nur die Wahlentscheidungen
Erhoben wird, welche der angebotenen Antworten gewählt wurden, wann der Drill begonnen und beendet wurde und welcher Punktwert sich daraus ergibt. Kein Freitext, keine Eingaben, keine Inhalte.
-
Abteilungswerte erst ab fünf Personen
Wie bei der E-Mail-Simulation entstehen Kennzahlen erst, wenn mindestens fünf Beschäftigte beteiligt waren — für die Organisation, die Abteilung und jede Welle gleichermaßen. Kleinere Gruppen bleiben leer statt gerundet.
-
Löschfrist zwölf Monate
Die Ergebnisse werden nach zwölf Monaten gelöscht, und zwar vollständig samt Punktwert — ein Punktestand ist selbst personenbezogen. Vorher wird die Welle personenfrei zusammengefasst. Zwölf Monate decken den Jahresvergleich ab; das ist der einzige fachliche Grund, sie überhaupt aufzubewahren.
-
Als KI-Stimme gekennzeichnet
Dass eine künstliche Stimme spricht, steht vor dem Start, während des Gesprächs und in der Auflösung — als Text, nicht als Symbol. Art. 50 Abs. 5 der Verordnung (EU) 2024/1689 verlangt den Hinweis spätestens zum Zeitpunkt der ersten Interaktion; die Pflicht gilt seit dem 02.08.2026.
Rechtsgrundlage der Verarbeitung ist das berechtigte Interesse an der Informationssicherheit nach Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO, konkretisiert durch Art. 32 Abs. 1 DSGVO, dazu die Betriebsvereinbarung als Kollektivvereinbarung nach Art. 88 DSGVO. Auf § 26 Abs. 1 Satz 1 BDSG stützen wir uns nicht mehr: Der EuGH hat entschieden, dass eine nationale Vorschrift nur dann eine eigene Rechtsgrundlage bildet, wenn sie die Anforderungen des Art. 88 Abs. 2 DSGVO erfüllt (Urteil vom 30.03.2023, C-34/21); das Bundesarbeitsgericht hat die Norm daraufhin für unanwendbar erklärt (Urteil vom 08.05.2025 – 8 AZR 209/21). Wer eine ältere Vorlage im Haus hat, sollte diese Stelle prüfen — sie steht in vielen Mustern noch drin.
Ein Textbaustein für den Drill-Absatz gehört zum Rechtspaket der Stufe Hugo Learn Programm. Wie ein Drill abläuft, sehen Sie auf der Seite zur Phishing-Simulation; die rechtliche Einordnung im Detail steht im Artikel Vishing und Deepfake-Anrufe trainieren. Eine Rechtsberatung im Einzelfall ersetzt beides nicht.
Die Vorlagen sind der Papierteil. Wie eine Kampagne im Betrieb tatsächlich abläuft — von der Freigabe der Zustellung über die Sofort-Lektion nach dem Klick bis zum Audit-Paket — steht auf unserer Seite zur Phishing-Simulation. Dort finden Sie auch den Rechner: Die Simulation ist ab Hugo Learn Standard enthalten (ab 14,90 € pro Mitarbeiter und Jahr, zusammen mit 31 Schulungsmodulen), das begleitete Jahresprogramm mit Betriebsrats-Modus und Audit-Nachweis beginnt bei 24,00 € und wird ab 26 Mitarbeitern angeboten.
Was in den zehn Paragrafen steht
7 Bausteine — sofort einsetzbar in Ihrem Unternehmen.
Ein Betriebsrat sagt selten grundsätzlich nein. Er sagt nein zu Unklarheit. Wenn im Entwurf steht, dass ein Klick folgenlos bleibt und ab welcher Gruppengröße überhaupt ausgewertet wird, ist das Gespräch meist nach einer Sitzung erledigt.
Häufige Fragen
Was Sie vor dem Download wissen sollten.
In Betrieben mit Betriebsrat regelmäßig ja. § 87 Abs. 1 Nr. 6 BetrVG greift bei technischen Einrichtungen, die dazu geeignet sind, Verhalten oder Leistung zu überwachen. Entscheidend ist die Eignung, nicht die Absicht — auch wer ausschließlich aggregiert auswerten will, unterliegt der Mitbestimmung. Ohne Vereinbarung ist die Simulation angreifbar.
Ja. Die beiden Dokumente sind allgemein gehalten und nennen keinen Anbieter, den Sie nicht ersetzen könnten. Sie dürfen sie für eigene Compliance-Zwecke frei nutzen und mit Quellenhinweis an Dritte weitergeben. Wir halten das für den ehrlicheren Weg: Wer die Vorlage gut findet, sieht sich unser Produkt ohnehin an.
Nein. Eine Betriebsvereinbarung wird stets betriebsindividuell geschlossen, und die Vorlage kennt Ihre Organisation nicht. Sie ist als Arbeitsgrundlage gedacht, über die Betriebsrat und Rechtsabteilung diskutieren — nicht als Dokument, das ungelesen unterschrieben wird. Der Hinweis steht auch im PDF selbst.
Die Personalvertretungsgesetze des Bundes und der Länder enthalten vergleichbare Mitbestimmungstatbestände für technische Überwachungseinrichtungen. Die inhaltlichen Punkte der Vorlage — Zweckbindung, Auswertungsebene, Folgenlosigkeit, Aufbewahrung — tragen dort genauso; die Paragrafenverweise müssen Sie an Ihr Landesrecht anpassen.
Das ist die berechtigte Kernfrage, und eine Zusage im Vertrag beantwortet sie nicht. Fragen Sie Ihren Anbieter konkret: Ist die Mindestgruppengröße in der Datenbank durchgesetzt oder nur eine Einstellung in der Oberfläche? Gibt es ein Protokoll, das Administratoren nicht ändern können? Braucht die Auflösung eines Einzelfalls die Freigabe einer zweiten Person? Läuft die Aufbewahrungsfrist wirklich ab? Bei Hugo Learn lautet die Antwort auf alle vier Fragen ja.
Die vorbefüllte Mitarbeiter-Information nach Art. 13 DSGVO, der DSFA-Baustein, die tatsächlich eingestellte Anonymitätsstufe und Aufbewahrungsfrist Ihrer Organisation sowie die Einbindung der Nachweise ins Audit-Paket. Das alles lässt sich nicht allgemein schreiben, weil es Ihre Organisation kennen muss — es gehört zur Stufe Hugo Learn Programm.
In der Regel nicht. § 87 Abs. 1 Nr. 6 BetrVG erfasst die Einführung und die Anwendung einer technischen Einrichtung, die zur Überwachung geeignet ist. Ein Anruf-Drill bringt einen neuen Kanal, eine neue Datenart — die Reihe der gewählten Antworten — und eine eigene Bewertung mit. Das ist ein eigener mitbestimmungspflichtiger Vorgang, auch wenn dieselbe Plattform dahintersteht. Eine Vereinbarung, die nur von simulierten E-Mails spricht, sollte deshalb um einen Absatz ergänzt werden; welche Punkte dieser Absatz abdecken muss, steht weiter unten auf dieser Seite.
Weder noch. Der Drill läuft vollständig im Browser: Es wird keine Telefonnummer verwendet, kein Telefonieanbieter eingeschaltet, kein Mikrofon angesprochen und nichts aufgezeichnet. Auch die Stimme einer echten Führungskraft wird nicht geklont — die Sprachausgabe ist synthetisch und generisch. Gespeichert wird ausschließlich, welche Antwortmöglichkeiten gewählt wurden, und das für zwölf Monate.
Jetzt herunterladen
E-Mail eintragen, Download kommt sofort per Mail.
