„Chef-Trojaner“ – wenn der Arbeitgeber die Grenzen des Arbeitnehmerdatenschutzes (Beschäftigtendatenschutzes) überschreitet

Überwachung Mitarbeiter

Die zunehmende Digitalisierung kann nicht nur den Arbeitsalltag im Büro erleichtern, sondern viele Risiken im Arbeitnehmerdatenschutz respektive Beschäftigtendatenschutz hervorrufen. Der Grund ist, dass sich für Vorgesetze immer mehr Möglichkeiten zur Verhaltens- und Leistungskontrolle sowie zur Überwachung der Mitarbeiter, mittels technisch gestützter IT-Systeme,  bieten. Es ist hierbei zunächst nebensächlich in welcher sogenannten „Verantwortlichen Stelle“ (z. B. Unternehmen, Behörde , Verein oder Verband) das Problem auftritt.

Das private Surfen deutscher Arbeitnehmer soll, so zumindest die Ansicht zahlreicher Arbeitgeber, verstärkt kontrolliert werden. Der Vorgesetzte könnte sich -dank digitaler Datenströme- jederzeit ein exaktes Bild über die Aktivitäten der Mitarbeiter verschaffen, dabei spielt vielfach keine Rolle, ob der Arbeitnehmer nun im Büro, im Homeoffice oder von unterwegs per Smartphone und Tablet arbeitet.

Gründe für die ansteigende Leistungs- und Verhaltenskontrolle sind zum einen der hohe finanzielle Schaden, der dem Arbeitgeber durch das private Surfen entsteht und andererseits auch Überlegungen im Hinblick auf die sogenannte Störerhaftung, die allerdings abgeschafft werden soll. Ein wesentlich höheres Risiko, das dem Arbeitgeber durch die Privatnutzung droht, ist allerdings der Verlust von sensiblen Daten, wie zum Beispiel von Firmengeheimnissen und personenbezogenen Daten, durch bewusstes oder unbewusstes Fehlverhalten der Mitarbeiter. Zum einen steigt die Gefahr vor Viren, Trojanern und anderen Schadprogrammen zum anderen ist das Risiko höher, dass Mitarbeiter sensible Daten an Unbefugte transferieren könnten. Die technische Entwicklung ist, wie bereits erläutert, ein weiterer Faktor, der die Verhaltens- und Leistungskontrolle verstärkt und den Arbeitnehmerdatenschutz / Angestelltendatenschutz gefährdet.

Doch wie viel Kontrolle ist erlaubt? Wo sind Grenzen im Arbeitnehmerdatenschutz / Beschäftigtendatenschutz?

Wie kann überwacht werden?

Zahlreiche Überwachungsprogramme existieren bereits seit Jahren. Jedoch wurden die Produkte ursprünglich, wie bei der Remote-Desktop-Software, für andere Zwecke entwickelt. Zweck der Remote-Desktop-Software war logischerweise der Einsatz zu Wartungsarbeiten und später, nach der Weiterentwicklung, erst  als „Spion-Software“.

Daneben existieren natürlich zahlreiche weitere Programme, die eine Kontrolle des Arbeitnehmers ermöglichen könnten und damit den Arbeitnehmerdatenschutz gefährden würden. Viele Hersteller werben mit sogenannter Monitoring-Software, die nicht nur Bildschirmaufnahmen ermöglicht, sondern regelmäßig Auswertungen an den Arbeitgeber übersendet. Des Weiteren ist eine Kontrolle mittels Filter-Programmen möglich. Je nach Einstellung könnten hier sogar Screenshots vom Bildschirm des Arbeitnehmers erstellt und an den Vorgesetzen verschickt werden. Kommunikationsdienste, wie zum Beispiel Skype for Business, können ebenfalls – wenn auch nur in einem sehr geringen Umfang – zur Kontrolle und Überwachung beitragen, weil der Vorgesetzte einsehen kann, wer verfügbar ist bzw. wer nicht verfügbar ist. Darüber hinaus tragen viele Mitarbeiter selbst zur erhöhten Kontrolle bei, indem sie verstärkt soziale Medien, wie Facebook, einsetzen. Doch selbst bei der typischen Ausübung ihrer Tätigkeit im Unternehmen hinterlassen die Mitarbeiter digitale Spuren, so können viele Unternehmen mittels GPS-Ortung der Firmen-Fahrzeuge den Aufenthaltsort oder Fahr- und Standzeiten ihrer Mitarbeiter ermitteln.

Für die Installation der Überwachungsprogramme auf dem Computer des Mitarbeiters gibt es mehrere Möglichkeiten. Der Systemadministrator kann die Software zum Beispiel unbemerkt installieren oder der Vorgesetzte sendet eine .EXE-Datei an alle Mitarbeiter, die nur noch ausgeführt werden muss. Durch die Versendung einer Anwendungssoftware und der unbemerkten / ungewollten Installation durch Mitarbeiter würde der Vorgesetze die gleichen Wege nutzen, wie die Versender von sonstiger Schadsoftware. Wer durch geeignete Datenschutzschulungen sensibilisiert ist, der dürfte auf eine solche „Masche“ natürlich nicht reinfallen.

Das der Arbeitnehmer nichts von der Installation und Ausführung merkt, ist sogar eine Eigenschaft, die von vielen Herstellern explizit beworben wird.

Was sagt der Arbeitnehmerdatenschutz?

In Hinblick auf den Beschäftigtendatenschutz greift § 32 BDSG für Beschäftigtendaten bzw. Arbeitnehmerdaten. Der richtige Umgang mit den betrieblichen Computern, den Handys und des WLANs bedarf allerdings klar definierter innerbetrieblicher Vorgaben. Diese Vorgaben können sich z. B. aus Arbeitsanweisungen, Betriebsvereinbarungen, Richtlinien oder sonstigen – bestenfalls schriftlichen –  Unterlagen ergeben. Derartige Maßnahmen sind anzuraten, da zu all diesen Themen für die Beschäftigten klare und verständliche rechtliche Regelungen weitestgehend fehlen. Viele Arbeitgeber versuchen den Umgang mit personenbezogenen Daten der Mitarbeiter im Zusammenhang mit der Internetnutzung durch klare und zur Transparenz beitragende Betriebsvereinbarungen zu regeln. In Unternehmen ohne Betriebsrat herrscht hingegen regelmäßig Chaos und Unstimmigkeit. Bei dem Betriebsrat handelt es sich um eine Kontrollinstanz, die auch auf die Einhaltung des Beschäftigtendatenschutzes hinwirkt. Gemäß § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat bei einer technischen Einrichtung, die eine Verhaltens- und Leistungskontrolle der Mitarbeiter ermöglicht, ein Mitbestimmungsrecht. Binden Sie als Firma daher frühzeitig Ihren Betriebsrat, als Behörde Ihren Personalrat und in sozialen Einrichtungen Ihre Mitarbeitervertretung (MAV) ein und schaffen Sie verständliche Vorgaben. Eine gute Zusammenarbeit mit Ihrem Datenschutzbeauftragten ist dabei absolut empfehlenswert.

Darf der Chef zusehen?

Um diese Frage zu beantworten, muss geprüft werden, welche Art der Internetnutzung vorliegt. Grundsätzlich sind drei Arten der Internetnutzung zu differenzieren:

  1. Betriebliche Nutzung

Um diese Art der Nutzung handelt es sich, wenn ein spezifischer Bezug zu den Arbeitsaufgaben des Arbeitnehmers besteht. Der Arbeitnehmer schreibt zum Beispiel E-Mails, um mit Kunden geschäftliche Angelegenheiten zu erörtern.

  1. Dienstlich veranlasste Nutzung

Diese könnte vorliegen, wenn ein Arbeitnehmer seinen Ehepartner kontaktiert, um ihm mitzuteilen, dass er sich aufgrund seiner Arbeit verspäten wird.

  1. Private Nutzung

Eine private Nutzung liegt vor, wenn kein spezifischer Bezug zu den Arbeitsaufgaben des Arbeitnehmers besteht.

Um die private Internetnutzung im Unternehmen zu regeln, bestehen für den Arbeitgeber verschiedene Formen von Nutzungsregelungen:

  1. Verbot

Wurde durch den Arbeitnehmer ein Verbot der privaten Internetnutzung am Arbeitsplatz ausgesprochen, unterliegt der Arbeitgeber auch nicht dem Fernmeldegeheimnis des § 88 Telekommunikationsgesetzes (TKG). Der Arbeitgeber darf in diesem Fall stichprobenartig prüfen, ob das Surfen der Arbeitnehmer dienstlicher Natur ist, wobei eine vollständige Verhaltens- und Leistungskontrolle des Arbeitsnehmers auch bei einem Verbot untersagt ist. Heißt: bestmöglich nur Kontrollen in der Kombination Vertreter des Unternehmens + Vertreter Betriebsrat + externer Datenschutzbeauftragter bzw. interner Datenschutzbeauftragter.

  1. Ausdrückliche Erlaubnis

Bei einer erlaubten Privatnutzung tritt der Arbeitergeber als Telekommunikationsanbieter auf und muss sich an Telekommunikationsgesetz, folglich an das Fernmeldegeheimnis, gemäß § 88 TKG, halten. In diesem Fall sollte der Arbeitgeber weder Verbindungsdaten noch den E-Mail-Verkehr einsehen. Dies gilt sogar, wenn der Mitarbeiter (ungeplant) für einige Wochen/Monate ausfällt oder das Beschäftigungsverhältnis beendet wird. Zudem darf der Arbeitgeber nicht auf die E-Mail-Postfächer und die Verbindungsdaten zugreifen, sogar bei Einwilligung des Arbeitnehmers. Der Grund ist, dass das Fernmeldegeheimnis nicht nur den Arbeitnehmer schützen soll, sondern auch die Kommunikationspartner.  Heißt: Vor sämtlichen Maßnahmen unbedingt  eine Abstimmung zwischen Vertreter des Unternehmens + Vertreter Betriebsrat + externer Datenschutzbeauftragter bzw. interner Datenschutzbeauftragter durchführen.

  1. Duldung

Eine sehr kritische Konstellation stellt die Duldung der privaten Internetnutzung durch den Arbeitgeber dar. Sollte die private Nutzung für den Arbeitgeber erkennbar sein und offensichtlich geduldet werden, entsteht nach einer Zeit von ca. 6-12 Monaten regelmäßig eine sogenannte betriebliche Übung. Diese kann zur Folge haben, dass der Arbeitnehmer auch in Zukunft das Internet zu privaten Zwecken nutzen darf. Das Beenden einer betrieblichen Übung, wenn es zu einer Verschlechterung für den Arbeitnehmer führt, ist in der Praxis gar nicht so einfach. Das Bundesarbeitsgericht (BAG) entschied, dass eine betriebliche Übung nicht mittels gegenläufiger betrieblicher Übung (BAG, Urteil vom 18.03.2009, Az.: 10 AZR 281/08) beseitigt werden kann. Zudem entschied das BAG im Urteil vom 05.08.2009, dass eine Betriebsvereinbarung, in der nicht klar formuliert ist, dass die betriebliche Übung mit der Vereinbarung beendet werden soll, zu keiner Beseitigung führt (Az.: 10 AZR 483/08).

Bei einer Duldung der privaten Nutzung muss sich der Arbeitgeber ebenfalls an das Fernmeldegeheimnis, gemäß § 88 TKG, halten und darf weder die Verbindungsdaten noch den E-Mail-Verkehr einsehen.

Soweit der Arbeitgeber die private Nutzung des Internets am Arbeitsplatz gestattet hat, darf er diese nicht kontrollieren. Das Überwachen des E-Mail-Verkehrs, der Browserverlaufs oder anderer Verbindungsdaten ist bei erlaubter oder geduldeter Privatnutzung untersagt, sonst würde er die Privatsphäre seiner Mitarbeiter verletzen. Insbesondere die informationelle Selbstbestimmung der Mitarbeiter (Arbeitnehmerdatenschutz) sollte gewahrt werden, denn jeder Mensch soll selbst darüber entscheiden, welche personenbezogenen Daten er preisgeben möchte. Bei der Kontrolle der privaten Internetnutzung könnte der Arbeitgeber, ohne Einwilligung des Mitarbeiters und ohne gesetzlicher Grundlage, eine Vielzahl an persönlichen Daten erheben und verarbeiten. Das Fernmeldegeheimnis soll die freie Persönlichkeitsentfaltung gewährleisten. Hierdurch sind sowohl der Inhalt, die näheren Umstände und die beteiligten Personen des Kontakts erfasst, § 88 Abs. 1 S. 1 TKG.

Ist die private Internet-Nutzung durch den Arbeitgeber nicht gestattet, ist es ihm unter bestimmten Voraussetzungen erlaubt Mitarbeiter zu überwachen. Dies wird damit begründet, dass eine unerlaubte private Internet-Nutzung letztlich einen Missbrauch der Arbeitszeit bedeutet. Um dem entgegenzuwirken, ist eine stichprobenartige Überprüfung durch den Arbeitgeber zulässig. Eine permanente Überwachung als eine Art elektronische Verhaltens- und Leistungskontrolle ist aber unter keinen Umständen erlaubt. Sind Prozesse geplant, die eine Leistungs- und Verhaltenskontrolle ermöglichen, so hat der Betriebsrat, gemäß § 87 Abs. 1 Nr. 6 BetrVG, ein Mitbestimmungsrecht und der Datenschutzbeauftragte sollte ebenfalls einbezogen werden. Laut § 4d Abs. 5 BDSG sollten Verfahren, die eine Verhaltens- und Leistungskontrolle ermöglichen durch den Datenschutzbeauftragten vorab kontrolliert werden (sogenannte Vorabkontrolle).

Eine stichprobenartige Kontrolle bei untersagter Internetnutzung sollte, wie bereits erwähnt, ebenfalls nur unter Anwesenheit eines Betriebsratsmitglieds und des Datenschutzbeauftragten erfolgen. Klare Prozesse, die Abstimmungen und gute Zusammenarbeit fordern, sind gefragt.

Strafbarkeit bei Fehlverhalten?

Der Arbeitgeber kann – wie bereits erläutert – durch die ausdrückliche Erlaubnis zur privaten Internetnutzung, rechtlich gesehen zum Anbieter von Telekommunikationsdienstleistungen werden. In diesem Fall unterliegt der Arbeitgeber dem Fernmeldegeheimnis, § 88 TKG. Dies kann erhebliche Konsequenzen mit sich bringen. Der Zugriff auf Inhalte privater E-Mails könnte ggf. zum einen als Ausspähen von Daten nach § 202 a Strafgesetzbuch (StGB) gewertet werden und damit zu einer Geldstrafe oder sogar einer Freiheitsstrafe von bis zu drei Jahren führen. Werden zudem Inhalte blockiert, wie zum Beispiel private E-Mails mittels Spam-Filter, oder teilt der Arbeitgeber die gewonnenen Informationen mit weiteren Personen, greift § 206 StGB. Eine Verletzung des Fernmeldegeheimnisses kann, laut § 206 StGB, zu einer Geldstrafe oder zu einer Freiheitsstrafe von bis zu fünf Jahren führen. Folge ist, dass der Arbeitgeber die näheren Umstände von Seitenaufrufen seitens seiner Arbeitnehmer in der Regel nicht mehr protokollieren und E-Mails nicht einsehen, filtern oder archivieren dürfte.

Der Arbeitgeber darf als Kommunikationsanbieter, gemäß § 100 Abs. 1 TKG, bei Störungen oder Fehlern auf Verkehrsdaten zurückgreifen. Der Zugriff auf die Daten sollte allerdings ausschließlich zum Erkennen und Beseitigen der Fehler erfolgen. Eine unzulässige Verwendung kann, gemäß § 149 Abs. 1 Nr. 16 und Abs. 2 Nr. 2 TKG, zu einem Bußgeld von bis zu 300.000 Euro führen.

Sind Sie innerhalb Ihres Unternehmens auf eine derartige Situation gestoßen und wissen Sie nicht, wie Sie verhalten sollen? Als erster Ansprechpartner sollte Ihr Datenschutzbeauftragter dienen. Falls Sie diese Funktion noch nicht besetzt haben, fordern Sie doch gleich ein unverbindliches Angebot an oder nehmen Sie direkt Kontakt zu uns auf.

Als externer Datenschutzberater oder externer Datenschutzbeauftragter unterstützen wir Sie natürlich sofort in allen Fragen rund um das Thema des Angestelltendatenschutzes / Beschäftigtendatenschutzes /Arbeitnehmerdatenschutz.

 

Nützliche Dienstleistungen können z. B. sein:

Unser Dienstleistungsangebot offerieren wir:

  • Unternehmen / Firmen [Einzelunternehmen, kleine und mittelständische Unternehmen (KMU) und Konzerne]
  • Behörden und Körperschaften des öffentlichen Rechts
  • Stiftungen bzw. Gesellschaften in kirchlicher Trägerschaft [unter Anwendung des Datenschutzgesetzes der Evangelischen Kirche in Deutschland (DSG-EKD) bzw. der Anordnung über den Kirchlichen Datenschutz (KDO)]
  • Vereinen / Verbänden
  • sowie in Einzelfällen interessierten Privatpersonen.