Auf unseren Beitrag „TeamViewer: Datenschutzrechtliche Grenzen im Unternehmenseinsatz“ meldete sich TeamViewer und verlangte eine Gegendarstellung, da der Beitrag wohl falsche Tatsachenbehauptungen enthalte.

Inhaltsverzeichnis

1. Gesetzesgrundlage
2. Gegendarstellung
3. Stellungnahme

1. Gesetzesgrundlage

Dabei stützt TeamViewer seinen Anspruch auf Gegendarstellung auf § 11 Hamburgisches Pressegesetz.

Zunächst stellen wir fest, dass TeamViewer die falsche Rechtsgrundlage für den Anspruch auf eine Gegendarstellung gewählt hat. Nicht § 11 Hamburgisches Pressegesetz, sondern § 56 RStV ist hier die einschlägige Norm, da unser Newsletter sowohl periodisch erscheinend, als auch journalistisch-redaktionell aufbereitet ist. Uns ist Transparenz sehr wichtig und somit kommen wir selbstverständlich dem Verlangen auf eine Gegendarstellung nach. Es folgt die Gegendarstellung von TeamViewer, wie sie uns erreichte.

2. Gegendarstellung

Am 12.09.2014 hat Herr Tim Becker unter dem Titel „TeamViewer: Datenschutzrechtliche Grenzen im Unternehmenseinsatz“ einen Fachbeitrag über die TeamViewer-Software verfasst.

Dieser enthält falsche Tatsachenbehauptungen, die wir nachfolgend richtig stellen möchten:

Aussage Herr Becker: „Zusätzlich kann TeamViewer so konfiguriert werden, dass dieser als Hintergrundprozess für den Nutzer unsichtbar arbeitet.“

Hierzu stellen wir fest, dass TeamViewer niemals so konfiguriert werden kann, dass das Programm unsichtbar als Hintergrundprozess arbeitet. Der Nutzer sieht immer, wenn eine Verbindung besteht; dies wird ihm durch ein aktives TeamViewer-Fenster auf seinem Monitor angezeigt. Der Mitarbeiter hat zudem die Möglichkeit, die Fernwartung jederzeit zu unterbrechen.

Aussage Herr Becker: „Weiterhin besteht die Möglichkeit, dass der Rechner im Rahmen der so genannten Wake-on-LAN-Funktion automatisch eingeschaltet und anschließend aus der Ferne gesteuert werden kann. Auch hier ist jedoch eine gesonderte Konfiguration nötig.“

Hierzu stellen wir fest, dass Wake-on-LAN kein automatisches Einschalten des Rechners erlaubt. Vielmehr muss das Aufwachen aktiv von einem anderen Rechner aus angestoßen werden. Zuvor muss bei dem aufzuweckenden Rechner lokal eingestellt werden, wer zum Aufwecken berechtigt ist.

Ist der Remote-Rechner eingeschaltet/aufgeweckt, setzt die Verbindung mit ihm die Kenntnis des Passwortes des lokalen Benutzers voraus. Dieser Schritt kann unter keinen Umständen von TeamViewer umgangen werden, auch nicht mit einer „gesonderten Konfiguration“.

Aussage Herr Becker: „Datenschutzrechtlich ist TeamViewer vor allem deshalb problematisch, weil die Software grundsätzlich auch dazu eingesetzt werden kann, das Verhalten und/oder die Leistung der Arbeitnehmer (heimlich) zu überwachen.“

Hierzu stellen wir fest, dass eine heimliche Überwachung mit TeamViewer ausgeschlossen ist. Zudem sieht der Anwender, sobald eine Anfrageverbindung eingeht. Während der gesamten Remote-Verbindung ist ein Verbindungsfenster sichtbar, das den aktiven Status anzeigt. Der Mitarbeiter hat zudem die Möglichkeit, die Fernwartung jederzeit zu unterbrechen.

In einem der Kommentare zu dem Artikel von Herrn Becker steht geschrieben: „Daneben bietet TeamViewer auch die Möglichkeit einen TeamViewer Server im eigenen Unternehmen aufzusetzen. Damit ist dann auch keine „3rd Party“ involviert.“

Hierzu stellen wir fest, dass wir keine Möglichkeit bieten, einen TeamViewer Server im eigenen Unternehmen aufzusetzen.

3. Stellungnahme

Diese Gegendarstellung möchten wir jedoch gerade mit Blick auf den Arbeitnehmerdatenschutz nicht unkommentiert stehen lassen und nehmen deshalb zu den einzelnen Punkten wie folgt Stellung.

TeamViewer Server im eigenen Unternehmen?

Zunächst korrigieren wir die Aussage aus dem Kommentar. Man kann keinen TeamViewer Server im eigenen Unternehmen aufsetzen. Hierbei handelt es sich um einen bedauerlichen redaktionellen Fehler unsererseits.

„Unsichtbarer“ Hintergrundprozess?

Diesbezüglich nutzen wir die Gelegenheit, um Missverständnisse zu beseitigen und stellen noch einmal deutlicher heraus, was mit der Formulierung gemeint war. Die weiteren Ausführungen und Ergebnisse basieren auf einer Prüfung auf einem Windows-System.

Durch entsprechende Einstellungen in der Windows-Registry kann das Programm TeamViewer (nicht die Fernwartung selbst) als Hintergrundprozess vom Nutzer vollständig unbemerkt mit dem Systemstart gestartet werden. In diesem Fall erscheint auch kein TeamViewer Icon im System-Tray (alle Icons, bis auf die Urzeit werden ausgeblendet). Erst beim Fernzugriff selbst erscheint ein kleines Fenster. Dieser Fernzugriff ist mittels der TeamViewer-Host-Version auch ohne eine aktive Handlung des Nutzers möglich, wenn der Zugreifende das Passwort kennt, was regelmäßig der Fall ist, wenn er den TeamViewer-Host eingerichtet hat. Gemeint war daher, dass der Nutzer nicht zwingend aktiv an der Freigabe mitwirken muss und somit auch ein unbeaufsichtigter Zugriff auf den Rechner des Nutzers, z.B. in dessen Abwesenheit möglich ist.

Zudem weißt das eingeblendete Fenster nicht deutlich auf einen „Fernzugriff“ auf den eigenen Rechner hin. Für den Nutzer ist damit nicht eindeutig ersichtlich, dass auf seinen Rechner zugegriffen wird. Vielmehr erinnert das Anzeigefenster an ein kleines Chat-Tool (Symbole wie: Audiokonferenz, Dateiübertragung, Chatfenster). Der Durchschnitts-Nutzer, aus dessen Betrachtung eine Beurteilung vorgenommen werden muss, wird bei einer derartigen Anzeige nicht in erster Linie an eine Übernahme/Beobachtung seines Rechners denken, wenn er das TeamViewer Fenster sieht. Wird der Rechner von seinem Arbeitgeber vorkonfiguriert, wird er die installierten Programme und beim Systemstart erscheinenden Fenster regelmäßig nicht ernsthaft hinterfragen. Der Zugriff kann daher „unbemerkt“ vom Nutzer erfolgen.

Darüber hinaus kann auch für kurze Zeit eine Verbindung aufgebaut und etwa ein Screenshot erstellt werden, während der Nutzer abwesend ist. Damit wird auch die Möglichkeit der Mitarbeiterüberwachung eröffnet (hierzu: siehe unten).

Zwar kann der Nutzer den Fernzugriff jederzeit durch klicken des „X“ beenden. Dazu müsste er jedoch erst einmal wissen, dass auf sein Rechner zugegriffen wird. Hier fehlt es aus unserer Sicht aus den oben genannten Gründen eindeutig an Transparenz gegenüber dem Nutzer. Hinzu kommt, dass TeamViewer auch so konfiguriert werden kann, dass das Programm (nicht die Fernwartung) vom Nutzer nicht beendet werden kann („erweiterte Einstellungen“). Damit ist sodann selbst bei einer Unterbrechung des Fernzugriffs durch den Nutzer eine jederzeitige neue Verbindung durch den Fernzugreifenden (z.B. bei Abwesenheit des Mitarbeiters) möglich.

Fernsteuerung nach Wake-on-LAN-Funktion?

Hinsichtlich der von uns gewählten Beschreibung der Wake-on-LAN-Funktion sehen wir keinen Widerspruch zu den tatsächlichen Gegebenheiten. Es versteht sich von selbst, dass eine Aufwachfunktion zunächst initiiert werden muss, indem ein anderer Rechner den Fernzugriff anstößt. Der Wortlaut: „Auch hier ist jedoch eine gesonderte Konfiguration nötig.“ beschreibt dabei zusammenfassend, dass diese Funktion nicht standardmäßig eingeschaltet ist und von dem Administrator oder der Person, die eine Überwachung/Fernwartung vornehmen möchte entsprechend eingerichtet („konfiguriert“) werden muss. Beim Einrichten ist dieser Person selbstverständlich auch das von ihm vergebene Passwort bekannt. Damit kann er ohne Zutun des Nutzers Kontrolle über den Rechner des Nutzers erlangen.

Datenschutzrechtlich ist TeamViewer vor allem deshalb problematisch, weil…

Zunächst merken wir an, dass wir die Auffassung vertreten, dass es sich bei der fraglichen Aussage aus dem Artikel vielmehr um eine Meinungsäußerung, als um eine Tatsachenbehauptung handelt. Gleichwohl möchten wir auch zu diesem Aspekt eine rechtliche Würdigung vornehmen.

Dass TeamViewer im dargestellten Einsatzszenario datenschutzrechtlich problematisch ist und grundsätzlich auch zur Leistungs- und Verhaltenskontrolle eingesetzt werden kann, werden wir daher mit der folgenden rechtlichen Würdigung noch einmal darstellen. Die Frage der datenschutzrechtlichen Zulässigkeit stellt sich insbesondere im Rahmen des Arbeitnehmerdatenschutzes. Schon aus zahlreichen Diskussionen mit Betriebsräten verschiedener Unternehmen, die regelmäßig Bedenken gegen den Einsatz von TeamViewer haben, zeigt sich, dass TeamViewer ein gewisses Konfliktpotential in sich birgt. Gemäß § 87 Abs. 1 Nr. 6 BetrVG besteht ein Mitbestimmungsrecht des Betriebsrates bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen;“. TeamViewer stellt eine technische Einrichtung im Sinne des § 87 Abs. 1 Nr. 6 BetrVG dar. Eine technische Einrichtung ist dann zur Überwachung bestimmt, wenn sie objektiv geeignet ist, Verhalten und Leistung der Arbeitnehmer zu überwachen (Klebe in: Däubler/Kittner/Klebe/Wedde § 87 BetrVG Rn. 154 m.w.N.). Die objektive Eignung liegt bereits vor, wenn durch Verarbeitung gleich welcher Daten Aussagen über Verhalten und Leistung der Arbeitnehmer gewonnen werden können (Klebe in: Däubler/Kittner/Klebe/Wedde § 87 BetrVG Rn. 154 m.w.N.). Schließlich ist es irrelevant, ob der Arbeitgeber eine Beurteilung von Verhalten oder Leistung überhaupt beabsichtigt und entsprechend vornimmt (Klebe in: Däubler/Kittner/Klebe/Wedde § 87 BetrVG Rn. 153 m.w.N.). Durch die Beobachtung des Bildschirms des Arbeitnehmers (mit oder ohne Kenntnis des Mitarbeiters) wird dem Arbeitgeber ein direkter Blick auf die Tätigkeit des Arbeitnehmers ermöglicht. Er kann das (Arbeits-)Verhalten des Arbeitnehmers direkt bewerten und seine Tätigkeiten bewerten. Wie oben dargestellt ist ein Fernzugriff auch unbeaufsichtigt durch den Arbeitnehmer möglich. In diesem Fall kann der Arbeitgeber z.B. mittels Screenshots in regelmäßigen Abständen die Leistung des Arbeitnehmers, etwa den Arbeitsfortschritt, oder auch das Unterlassen der vertraglich geschuldeten Arbeitsleistung protokollieren, auswerten und bewerten. Gerade durch einen unbemerkten Zugriff kann der Arbeitgeber überprüfen, ob der Arbeitnehmer seiner vertraglich geschuldeten Leistungspflicht nachkommt. Somit können mittels TeamViewer Aussagen über das Verhalten und die Leistung der Arbeitnehmer getroffen werden, weshalb die objektive Eignung vorliegt. Mithin ist TeamViewer auch dazu bestimmt i.S.d. § 87 Abs. 1 Nr. 6 BetrVG das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Erfolgt ein Zugriff in Abwesenheit des Mitarbeiters (Mittagspause oder Toilettengang) findet eine Überwachung auch unbemerkt, also „heimlich“ statt.

Damit bestehen nach unserer Auffassung keine Zweifel, dass TeamViewer mit Blick auf den Arbeitnehmerdatenschutz datenschutzrechtlich problematisch ist und entsprechende Vorkehrungen zum datenschutzkonformen Einsatz im Unternehmen unternommen werden. Hierzu verweisen wir auf die Maßnahmen aus dem streitigen Artikel.

BYOD stellt Unternehmen vor eine Reihe von Herausforderungen. Vielleicht können Konzepte wie CYOD oder COPE Abhilfe verschaffen. Bei CYOD und COPE verbleiben die jeweiligen Geräte im Unternehmenseigentum, das Unternehmen gestattet aber in der Regel die Privatnutzung der Geräte.

CYOD und COPE – die Konzepte und was sich dahinter verbirgt

Das eigene Gerät auch im Berufsalltag einsetzen zu können vermeidet eine umständliche Doppelnutzung. Wie bereits vor einiger Zeit in unserem Artikel Bring Your Own Device (BYOD) – Nutzen und Risiken dargestellt, birgt das Konzept neben Vorteilen aber auch eine Reihe von Risiken.

Neben datenschutzrechtlichen, lizenzrechtlichen und steuerrechtlichen Implikationen bestehen auch eine Reihe sicherheitsrelevante Risiken. So müssen Vorkehrungen getroffen werden, damit die jeweiligen im Nutzereigentum befindlichen Endgeräte über gewisse Mindestsicherheitsstandards verfügen, um das Unternehmensnetzwerk und die betrieblichen Server vor unbefugtem Zugriff zu schützen.

Bei CYOD – Choose your own Device und COPE – Corporate-Owned, Personally Enabled stellt das Unternehmen, anders als bei BYOD, ausschließlich selbst beschaffte Geräte zur Verfügung. Der Mitarbeiter kann aus diesen Geräten dasjenige auszusuchen, das am besten seiner dienstlichen Nutzung entspricht. Bei COPE ist der Mitarbeiter zusätzlich bis zu einem gewissen Grad auch für die Einrichtung und den laufenden Betrieb selbst verantwortlich.

Implikationen von CYOD und COPE

Welche Problemstellungen sich bei dem Einsatz von CYOD oder COPE ergeben, hängt im Wesentlichen davon ab, inwieweit die Mitarbeiter die zur Verfügung gestellten Geräte auch privat nutzen dürfen.

Möchte das Unternehmen die private Nutzung zulassen treten auch bei CYOD und COPE viele der bereits bei BYOD bestehenden Probleme auf. Daneben kann COPE nur sinnvoll eingesetzt werden, wenn der jeweilige Mitarbeiter über die notwendigen IT-Kenntnisse verfügt, um für Support und Wartung zu sorgen. Zusätzlich muss sich das Unternehmen mit der Frage auseinandersetzen, wer für Schäden haftet, die durch fehlgeschlagene Wartungsversuche der Mitarbeiter entstehen.

Will man CYOD oder COPE erfolgreich einsetzen bedarf es ebenso wie bei BYOD einer umfassenden Vereinbarung zur Gerätenutzung und einer klaren Trennung zwischen privaten und dienstlichen Daten. Denn auch hier ist der Arbeitnehmer in seinem Recht auf informationelle Selbstbestimmung zu schützen.

Vorteile der Konzepte

Der Vorteil der beiden Konzepte im Gegensatz zu BYOD ist, dass sich die Geräte jeweils im Unternehmenseigentum befinden und durch dieses ausgesucht werden. Dadurch hat das Unternehmen von vornherein einen wesentlich weiteren Spielraum, es kann von vornherein nur Geräte zu Verfügung stellen, die den Sicherheitsanforderungen genügen und kann die Nutzung stärker reglementieren, als das bei privaten Geräten möglich wäre. So kann vorab festgelegt werden, welche Geräte unterstützt werden und welche Software gestattet ist. Auch ist es der IT von Anfang an möglich, eine technische Trennung zwischen privaten und dienstlichen Bereichen zu organisieren.

Dadurch lassen sich zumindest einige Gefahren von BYOD vermeiden und grundlegende Voraussetzungen können von vornherein unternehmensseitig festgelegt werden.

Schafft man es, die möglichen Problemstellungen in ein solides Regelwerk zu implementieren und den Mitarbeitern gleichzeitig hochwertige Geräte anzubieten, bieten diese Konzepte eine geeignete Alternative zum BYOD Konzept.

Interessen von Arbeitnehmern und Arbeitgebern prallen nicht selten heftig aufeinander und dies vor allem dann, wenn die Befürchtung einer Überwachung am Arbeitsplatz im Raume steht.

Ob es um Telefon-, E-Mail- oder Internetnutzung oder den Einsatz von GPS-Systemen oder Videoüberwachungsanlagen geht – überall wird eine Überwachung durch den Arbeitgeber vermutet. Doch auch in alltäglichen Situationen, wie etwa der Arbeitszeiterfassung, Veröffentlichung von Mitarbeiterfotos oder der Einsichtnahme in Social Networks gehen die Meinungen über die (datenschutz-)rechtliche Zulässigkeit weit auseinander.

Hier finden Sie einen Überblick der praxisrelevantesten Problemfelder und was Sie im Hinblick auf den Datenschutz beachten müssen – damit es eben zu keiner Überwachung am Arbeitsplatz kommt.

Telefon

Die Telefondatenerfassung durch den Arbeitgeber stellt diesen vor erhebliche datenschutzrechtliche Probleme; denn will er prüfen, ob und wie viel sein Arbeitnehmer privat telefoniert, muss er die datenschutzrechtlichen Vorgaben einhalten. Wichtig für Arbeitgeber und Arbeitnehmer ist vor allem, dass geklärt ist, ob die private Telefonnutzung grundsätzlich erlaubt ist oder nicht.

Telefonnutzung vs. Datenschutz

Viele Unternehmen möchten im Rahmen des Qualitätsmanagements die Telefonate eigener Mitarbeiter abhören bzw. aufzeichnen, um diese später zum Zwecke der Servicequalität auszuwerten. Ein solches Vorgehen ist datenschutzrechtlich problematisch, da es grundsätzlich an einer Ermächtigungsgrundlage für die Erhebung der Daten fehlt. Als Lösung für dieses Problem kommt die Einwilligung der Betroffenen in Betracht.

Abhören bzw. Aufzeichnung von Telefonaten zur Qualitätskontrolle

E-Mail

Bei der E-Mail-Nutzung durch den Arbeitnehmer am Arbeitsplatz stellt sich ein ähnliches Problem; erlaubt oder duldet der Arbeitgeber die private Nutzung, muss er nicht nur den Datenschutz, sondern auch das Fernmeldegeheimnis beachten. Als Lösung hierfür kommen Betriebsvereinbarungen oder auch individualvertragliche Vereinbarungen zwischen Arbeitgeber und Arbeitnehmer in Betracht.

E-Mail vs. Datenschutz

Internetnutzung

Die Internetnutzung am Arbeitsplatz ist heutzutage absolut keine Seltenheit mehr; allerdings steigt damit auch die Versuchung, das Web “ab und zu” auch mal für private Angelegenheiten zu benutzen. Grundsätzlich ist dies jedoch verboten. Trotzdem darf der Arbeitgeber nicht unablässig das Nutzungsverhalten des Arbeitnehmers überwachen; technische und rechtliche Voraussetzungen müssen in jedem Betrieb gewährleisten, dass der Datenschutz eingehalten wird.

Internetnutzung vs. Datenschutz

GPS

Der Arbeitgeber beispielsweise eines Logistikunternehmens hat selbstverständlich ein Interesse daran, zu wissen, wo sich sein LKW-Fahrer gerade befindet. Allerdings: nicht immer ist dies ohne weiteres möglich. Das Verbot mit Erlaubnisvorbehalt, ein Grundprinzip des Datenschutzrechts, gilt auch für GPS-Systeme. Vor der Einführung eines solchen Systems sind vom Arbeitgeber also ganz bestimmte Voraussetzungen zu beachten.

GPS vs. Datenschutz

Mitarbeiterfotos

Der Mitarbeiter eines Betriebes tritt dort nicht als Privatperson, sondern als Arbeitnehmer auf, als Zugehöriger eines Unternehmens. Trotzdem kann mit von ihm angefertigten Mitarbeiterfotos nicht beliebig umgegangen werden. Der Datenschutz spielt hier insofern eine Rolle als die zulässige Nutzung solcher Fotos durch den Arbeitgeber durch das Kunsturhebergesetz begrenzt wird. Eine Einwilligung des betroffenen Arbeitnehmers ist immer erforderlich.

Mitarbeiterfotos vs. Datenschutz

Was ist aber, wenn ein Mitarbeiter die Firma verlässt? Wie weit reicht die Einwilligung? Wann muss ich als Arbeitgeber die Fotos von meinen Ex-Mitarbeitern auf der Webseite löschen? Muss der Arbeitgeber die Fotos von Mitarbeitern auch dann löschen, wenn die Fotos nur zur dekorativen Zwecken dienen? Mit diesen Themen befasst sich dieser Beitrag.

Ex-Mitarbeiterfotos vs. Datenschutz

Social Network

Facebook, Google+, Twitter – Social Networks sind aus dem heutigen Internet-Alltag nicht mehr wegzudenken. Und die meisten Personen zeigen sich hier sehr öffentlich – an den Datenschutz denken weder die Plattformbetreiber noch die User. Gerade am Arbeitsplatz sollten solche Seiten nicht besucht werden. Und auch der Arbeitgeber ist in der Informationsbeschaffung aus Social Networks begrenzt. Für eine Überwachung des Arbeitnehmers braucht der Arbeitgeber immer eine Rechtfertigung. Denn der Datenschutz muss auch hier gewahrt werden.

Social Network vs. Datenschutz

Videoüberwachung

Die Videoüberwachung am Arbeitsplatz stellt wohl einen der erheblichsten Eingriffe in die Rechte des Arbeitnehmers dar. Denn wird er durch eine Kamera gefilmt, wird nicht nur jeder seiner Schritte überwacht, er kann sich auch kaum noch frei bewegen. Hinzu kommt der datenschutzrechtliche Aspekt: Die Regelungen des Bundesdatenschutzgesetzes geben klare Richtlinien für die Videoüberwachung in öffentlichen und nicht-öffentlichen Räumen vor.

Videoüberwachung vs. Datenschutz

Arbeitszeiterfassung

Die Arbeitszeiterfassung ist für den Arbeitgeber eine einfache Möglichkeit, zu überprüfen, ob der Arbeitnehmer seine vertraglich vereinbarten Anwesenheits- und Arbeitszeiten erfüllt. Allerdings muss im Rahmen des Datenschutzes beachtet werden, dass die Zweckbindung einer solchen Arbeitszeiterfassung stets zu gewährleisten ist. In einigen Fällen ist auch der Betriebsrat hinzuzuziehen.

Arbeitszeiterfassung vs. Datenschutz

Wie sieht die Zukunft des Beschäftigtendatenschutzes aus?

Das Bundeskabinett hatte am 15. Dezember 2010 den bereits angekündigten Entwurf zum Arbeitnehmerdatenschutz beschlossen. Wann und in welcher Form der Entwurf im Bundestag verabschiedet wird, ist noch ungewiss. Mittlerweile hat am 23.05.2011 eine Anhörung im Innenausschuss des Bundestages stattgefunden, bei der der Regierungsentwurf sowie die alternativen Entwürfe der Fraktionen von SPD, Bündnis90/DIE GRÜNEN und Die Linke behandelt worden sind.

Der Entwurf der Bundesregierung zum Arbeitnehmerdatenschutzgesetz sieht zahlreiche gesetzliche Neuerungen vor, die als neugefasste §§ 32 ff. in das Bundesdatenschutzgesetz einfließen sollen. Aber auch hier werden letztlich einige Fragen des Datenschutzes am Ende offen bleiben, in der Presseerklärung des BMI heißt es daher auch:

„ …Da ein Gesetz nicht jeden Einzelfall im Detail regeln kann, werden einige Fragen auch weiterhin der Klärung durch die Rechtsprechung bedürfen…“

Seit dem 29.01.2013 sind die Diskussionen um ein Arbeitnehmerdatenschutzgesetz zum erliegen gekommen. Auf der Seite arbeitnehmerdatenschutz.de können Sie die bisherigen Gesetzesentwürfe der Bundesregierung, welche mit kurzen Kommentaren und passenden Urteilen verknüpft worden sind, noch einmal nachschlagen.

Arbeitgeber müssen die Daten ihrer Arbeitnehmer nicht zur Vorbereitung eines Gerichtsverfahrens an Dritte herausgeben. Welche Konsequenzen ergeben sich daraus für den Datenschutz im Unternehmen?

Keine Pflicht zur Herausgabe der privaten Anschrift

In dem jetzt entschiedenen Gerichtsverfahren ging es um die Zustellung einer Klage in einem Arzthaftungsprozess. Der Kläger wollte hierfür die Privatanschrift seines behandelnden Arztes erfahren. Der Arbeitgeber weigerte sich jedoch und der geschädigte Patient klagte auf Herausgabe der Informationen.

Leider lässt sich der bisher vom BGH veröffentlichten Pressemitteilung nicht entnehmen, warum die Klage auf Auskunft am Ende bis zum Bundesgerichtshof aufrechterhalten wurde. Die Schadensersatzklage konnte zwischenzeitlich nämlich nach einigen Schwierigkeiten an die dienstliche Anschrift des Arztes zugestellt werden. Die Offenbarung der privaten Kontaktdaten war im Ergebnis also nicht mehr erforderlich.

Die rechtliche Begründung des Gerichts

Spannend ist aber vor allem die rechtliche Begründung des Urteils:

„Der Auskunftserteilung steht außerdem die datenschutzrechtliche Vorschrift des § 32 Abs. 1 Satz 1 Bundesdatenschutzgesetz (BDSG) entgegen. Die Regelung gestattet dem Arbeitgeber die Erhebung, Verarbeitung und Nutzung von Daten für Zwecke des Beschäftigungsverhältnisses.

Der Arbeitgeber ist aber grundsätzlich nicht berechtigt, personenbezogene Daten, die für Zwecke des Beschäftigungsverhältnisses erhoben worden sind, an Dritte weiterzuleiten.

Da die Daten für die Zwecke des Beschäftigungsverhältnisses erhoben worden sind, ist die Übermittlung an Dritte nach dem für den Datenschutz geltenden Zweckbindungsgebot grundsätzlich als zweckfremde Verwendung ausgeschlossen.

Eine Weiterleitung privater Kommunikationsdaten an Dritte bedarf vielmehr der Einwilligung des Betroffenen oder der besonderen Gestattung durch eine Rechtsvorschrift.“

§ 32 BDSG regelt die Verwendung von Daten für Zwecke des Beschäftigungsverhältnisses. Dass die Übermittlung für diesen Zweck nicht erforderlich ist, leuchtet auch direkt ein. Dies müsste sogar gelten, wenn die Klage nicht auf anderem Wege zugstellt worden wäre.

Alternative Begründungsansätze

Mit Spannung darf man das ausführliche Urteil in dieser Sache erwarten. Neben § 32 BDSG kommt nämlich noch § 28 BDSG als Erlaubnisnorm in Betracht. Und die Anwendbarkeit von § 28 neben § 32 BDSG ist seit Jahren ein Streitpunkt unter Juristen.

Kurz gesagt: Die Datennutzung für die Klage des Patienten sei ja keine Verwendung für Zwecke des Beschäftigungsverhältnisses und daher müsse eine solche Verwendung zumindest im Einzelfall auch möglich sein. Vor diesem Hintergrund wird eine Anwendung von § 28 vielfach gefordert.

Ganz von der Hand zu weisen ist diese Auffassung nicht. Was wäre denn, wenn die Klinik sich selbst vor Schadensersatzansprüchen schützen könnte, wenn sie die Daten mitteilte? Wäre die Übermittlung dann möglich, weil die Klinik eigene Interessen geltend machen könnte?

Auswirkungen auf Unternehmen

Das Urteil hat auch Auswirkungen auf Unternehmen. Wenn die Übermittlung nämlich nicht durchgeführt werden muss, weil sie nach § 32 BDSG nicht erforderlich ist, dann darf sie auch nicht durchgeführt werden. Das gilt selbst dann, wenn das Unternehmen die Daten freiwillig weitergeben möchte. Zweckbindung und Erforderlichkeitsgrundsatz verhindern hier die Datennutzung zu diesem Zweck.

Den Verantwortlichen im Personalbereich eines Unternehmens kann daher nur noch einmal ans Herz gelegt werden, jede Bekanntgabe von Mitarbeiterdaten gewissenhaft zu prüfen. Das gilt für private Anfragen genauso wie für Anfragen der Polizei oder des Jugendamtes.

Außerdem sollte immer der Datenschutzbeauftragte mit einbezogen werden. Eine vorschnell gegebene Auskunft lässt sich nämlich nicht mehr rückgängig machen.

Privatwirtschaftliche Unternehmen haben insbesondere im Vertriebsbereich das Interesse, Arbeitnehmerdaten in  sog. „Rennlisten“ oder „Bestenlisten“ betriebsintern zu veröffentlichen. In entsprechenden Übersichten sollen die Leistungen von Mitarbeitern, z.B. ihre Verkaufserfolge, vergleichend gegenüber gestellt werden.

Die betriebsinterne Bekanntgabe des Rankings soll den Mitarbeitern einen direkten Leistungsvergleich ermöglichen und sie indirekt zu mehr Leistung anspornen.

Datenschutzrechtliche Bedenken

Grundsätzlich ist datenschutzrechtlich nichts dagegen einzuwenden, dass der Arbeitgeber die Vertriebsaktivitäten seiner Mitarbeiter zum Zwecke der Vertriebssteuerung erfasst und auswertet. Er hat ein berechtigtes Informationsinteresse, um die Vertriebsaktivitäten seiner Mitarbeiter effizient gestalten zu können.

Die Nutzung der Daten zur Erstellung und Veröffentlichung von Rennlisten wirft jedoch erhebliche datenschutzrechtliche Bedenken auf.

Diskriminierung leistungsschwacher Mitarbeiter

Unzweifelhaft bezweckt der Arbeitgeber mit der Veröffentlichung der Listen i.d.R. einen gewissen Druck auf leistungsschwache Mitarbeiter auszuüben, damit diese sich in Zugzwang sehen. Die Veröffentlichung der Liste kann damit durchaus zu einer Diskriminierung leistungsschwacher Mitarbeiter führen.

Gerade bei Bestenlisten ist zu bedenken, dass indirekt auch Informationen über die nicht aufgeführten Mitarbeiter preisgegeben werden können. Wenn in der Abteilung nur eine geringe Mitarbeiterzahl beschäftigt ist, ist eine Diskriminierung der nicht aufgeführten Mitarbeiter wahrscheinlich.

Ansporn auch bei anonymisierten Rennlisten

Genauer betrachtet erscheint schon fraglich, ob eine namentliche Aufführung der Mitarbeiter vonnöten ist, um den Ansporn-Effekt zu erzielen.

Auch bei einer anonymisierten Darstellung wird jeder Mitarbeiter aus der Leistungsübersicht sein Leistungsniveau ablesen und seine Leistungsfähigkeit zu der seiner Kollegen in Relation setzen können. Die Diskriminierungsgefahr wäre gebannt.

Personenbezug nur im Ausnahmefall

Sofern die betriebsinterne Veröffentlichung von Arbeitnehmerdaten in „Rennlisten“ oder „Bestenlisten“ ausnahmsweise personenbezogen erfolgen soll, so kann dies nur nach strenger Prüfung des Vorliegens datenschutzrechtlicher Voraussetzungen als zulässig erachtet werden.

In Betracht kommt eine Zulässigkeit bspw. bei einer schon im Arbeitsvertrag geregelten Erforderlichkeit oder dem Vorliegen einer wirksamen Einwilligung (wobei der Aspekt der Freiwilligkeit aufgrund des Abhängigkeitsverhältnisses problematisch ist).

Heute Morgen bin ich über einen aktuellen Bericht auf heise online gestolpert dessen Überschrift mich ins Grübeln brachte. Heise titelte: „Keine Entschädigung bei verschwiegener Schwerbehinderung“ und löste damit eine kontroverse Diskussion innerhalb der Leserschaft im Kommentarbereich aus.

Offene Fragen

Mir als Jurist und passioniertem Datenschützer gingen bei dieser Überschrift gleich mehrere Gedanken durch den Kopf:

• Haben wir nicht einmal gelernt, dass die generelle Frage nach einer Schwerbehinderung durch den Arbeitgeber regelmäßig eine unzulässige Frage ist?
• Steht es nicht grundsätzlich jedem frei, seinen Gesundheitszustand offen zu legen?
• Wie kann ein Gericht eine Informationspflicht scheinbar hintenherum einführen, die es doch gerade nicht gibt, und einem Betroffenen einen Rechtsanspruch unter Hinweis auf ein rechtlich korrektes Verhalten verwehren?
• Ist letzteres, wie der Titel suggeriert, in diesem Fall überhaupt geschehen?
• Muss jetzt jeder Schwerbehinderte schon in seinen Bewerbungsunterlagen seine Schwerbehinderung angeben?

Wie diversen Kommentaren auf heise online zu entnehmen ist, stellten sich viele Leser die gleichen Fragen. Dieses Urteil verlangt, insbesondere da die Schwerbehinderung als sog. besonderes personenbezogenes Datum i.S.d. § 3 Abs. 9 BDSG gilt, nach einer Auseinandersetzung und möglicherweise auch Klarstellung.

Der Fall

Um die Diskussion nachvollziehen zu können, lohnt es sich, sich zunächst mit dem Urteil des Arbeitsgerichts Stuttgart eingehender zu befassen:

Das Arbeitsgericht Stuttgart hatte sich in seinem Urteil vom 29.01.2014 (Az.: 11 Ca 6438/13) mit der Frage zu befassen, ob einem abgelehnten Bewerber gemäß §§ 81 Abs. 2 SGB IX (10. Buch des Sozialgesetzbuches), 15 Abs. 2 AGG (Allgemeines Gleichbehandlungsgesetz) ein Entschädigungsanspruch wegen Benachteiligung aufgrund einer Schwerbehinderung gegen den potentiellen Arbeitgeber zusteht.

Der Sachverhalt

Der schwerbehinderte Kläger hatte sich bei der Beklagten auf eine Stellenausschreibung beworben und in seiner Bewerbung nach Auffassung der Beklagten nicht ausdrücklich auf die bestehende Schwerbehinderung hingewiesen. Er hatte lediglich im Lebenslauf als Zusatz zu einem Zeitraum der Arbeitsunfähigkeit den Hinweis aufgenommen „Schwerbehinderung“ und zusätzlich nach seinen Angaben die Anlagen mit „Lebenslauf mit Behinderung“ bezeichnet. Letzteres wurde allerdings von der Beklagten bestritten. Weitere ausdrückliche Erklärungen oder Nachweise zu einer bestehenden Schwerbehinderung, insbesondere im Anschreiben, gab der Kläger nicht ab.

Der Kläger wurde durch die Beklagte nicht zu einem Vorstellungsgespräch eingeladen. Hierauf machte er einen Anspruch auf Schadenersatz in Höhe von 3 Bruttomonatsgehältern geltend und begründete diesen damit, dass er von der Beklagten nur aufgrund seiner bestehenden Schwerbehinderung nicht eingeladen worden sei.

Die Ablehnung

Das Arbeitsgericht erkannte zwar an, dass in der ausgebliebenen Einladung zu einem Vorstellungsgespräch zwar eine Benachteiligung liege, lehnte einen Anspruch auf Schadenersatz unter Verweis auf die fehlende Kausalität zwischen der Benachteiligung und der bestehenden Schwerbehinderung ab.

Rechtlicher Rahmen

Nach der herrschenden Rechtsprechung und juristischen Fachliteratur gilt: Eine bestehende Schwerbehinderung muss nur dann mitgeteilt werden, wenn diese Auswirkungen auf die berufliche Leistungspflicht hat. Ein Bewerber hat grundsätzlich das Recht, diese zu verschweigen.

Nach §§ 81 Abs. 2 SGB IX, 15 Abs. 2 AGG steht einem Beschäftigten (hierzu gehören ausdrücklich auch Bewerber) gegen den Arbeitgeber ein Anspruch auf Schadenersatz zu, wenn er wegen eines in § 1 AGG enthaltenen Merkmales, hier die Schwerbehinderung, benachteiligt wird.

Nach ständiger Rechtsprechung des Bundesarbeitsgerichts liegt ein Nachteil im Rahmen einer Auswahlentscheidung, insbesondere bei Einstellung oder Beförderung, bereits dann vor, wenn der Beschäftigte nicht in die Auswahl einbezogen, sondern vorab ausgeschieden wird. Die Benachteiligung liegt in der Versagung einer Chance.

§ 15 Abs. 2 AGG erfordert weiterhin, dass die Benachteiligung gerade auf der Berücksichtigung des unzulässigen Merkmales beruht, d.h. gerade die hier im Raum stehende Schwerbehinderung des Klägers muss auch der Grund für die Nichtberücksichtigung gewesen sein (vgl.: § 2 Abs. 1 Ziff. 1 AGG „wegen“). Dies ist die sog. Kausalität.

Normalerweise hat im deutschen Zivilrecht jede Partei die Umstände darzulegen und zu beweisen, die für sie von Vorteil, also anspruchsbegründend sind. Gem. § 22 AGG kann eine Benachteiligung in diesem Sinne allerdings schon angenommen werden, bzw. die Kausalität wird vermutet, wenn der Bewerber Indizien vorträgt, die seine Benachteiligung vermuten lassen. In diesem Falle greift eine sog. Beweislastumkehr und der Arbeitgeber hat seinerseits die Pflicht, die vermutete Benachteiligung zu widerlegen.

Die Entscheidung des Gerichtes

Nach der Auffassung des Arbeitsgerichtes Stuttgart bedarf es für die Annahme der Beweislastumkehr allerdings einer ausreichenden Darstellung darüber, dass der Arbeitgeber den Grund, auf den der Bewerber seine Benachteiligung stützen will, auch tatsächlich kennt, oder hätte kennen können. Dies wurde im vorliegenden Fall vom Gericht abgelehnt.

Hierzu führt das Gericht aus:

“Es obliegt deshalb dem abgelehnten Bewerber, die Kenntnis bzw. Möglichkeit hierzu darzulegen. […]Aus dem Bewerbungsschreiben selbst ergibt sich kein Hinweis auf das Vorliegen einer Schwerbehinderung.[…] Es genügt nicht, dass ein Hinweis so beschaffen ist, dass der Leser der Bewerbung objektiv die Möglichkeit hat, die Schwerbehinderung zur Kenntnis zu nehmen.[…] Mit der Zielsetzung der §§ 81 ff. SGB IX einerseits und der §§ 15, 7, 3, 1 AGG andererseits ist es nicht zu vereinbaren, dass ein Bewerber lediglich versteckte Hinweise auf eine Schwerbehinderung gibt. […]”

Und die Folgen?

Über das Ergebnis und die Begründung des Gerichtes, eine ausreichende Kenntnisnahmemöglichkeit des Arbeitgebers habe nicht vorgelegen, kann sicherlich diskutiert werden. Dies ist wie immer Auslegungsfrage. Wichtiger für die datenschutzrechtliche Praxis ist jedoch, hat dieses Urteil nun Folgen für den Schwerbehindertendatenschutz?

Schweigerecht ausgehebelt?

Hat das Gericht mit dieser Entscheidung das Schweigerecht generell ausgehebelt?

Nein!

Auch weiterhin gilt, dass eine Schwerbehinderung nicht generell offengelegt werden muss und der Arbeitgeber danach nicht grundlos fragen darf.

Generelle Offenbarungspflicht?

Hat das Gericht damit eine generelle Offenbarungspflicht begründet?

Nein!

Das Arbeitsgericht Stuttgart hat vielmehr einen seit langem bekannten und akzeptierten Grundsatz gestärkt, dass derjenige, der aus einem Umstand Vorteile ziehen will, muss diesen auch offenlegen. Das ist nicht neu und findet sich zum Beispiel auch im Bereich der Urlaubsgewährung. So haben Schwerbehinderte i.S.d. § 81 SGB IX gem. § 125 SGB IX 5 Tage zusätzlichen Urlaub. Hierzu bedarf es allerdings der Offenbarung gegenüber dem Arbeitgeber.

Darf ein Arbeitgeber seinen Angestellten kündigen, nur weil er ihn auf Facebook als „Geschäftsführer eines Unternehmens, der seine Mitarbeiter nicht im Griff hat“ beschrieben hat? Bei dieser Aussage handelt es sich wohl eher um eine freie Meinungsäußerung als Beleidigung.

Beleidigung – ob im Internet oder im realen Leben – ist eine Straftat und kann ggf. eine Kündigung rechtfertigen. Freie Meinungsäußerung ist dagegen in Deutschland durch Art. 5 GG geschützt.

Oder liegt das Problem ganz woanders?

Wo liegt das Problem?

Das Problem bei solchen Sachverhalten liegt meistens in der Verwertbarkeit der Aussage im gerichtlichen Prozess. Jeder Arbeitgeber soll sich fragen, wo die Grenzen liegen, wenn er sich über seine Mitarbeiter im Internet informieren (oder dann ausspionieren) möchte.

Gibt es klare gesetzliche Regelungen?

Die Rechtsprechung ist in solchen Fällen ist sehr unübersichtlich (ein Beispiel ist hier zu finden). Eine BGH-Entscheidung zu dieser Thematik gibt es noch nicht, daher gibt es auch keine Rechtssicherheit für Arbeitnehmer.

Das bedeutet: es ist immer noch nicht ganz klar, welche Informationen der Arbeitgeber über seine Mitarbeiter aus sozialen Netzwerken erheben darf und welche nicht.

Das Gesetz sagt mit § 32 Abs. 1 BDSG lediglich, dass

“Personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden dürfen, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist.”

Welche Informationen darf der Arbeitgeber auf Facebook über seine Mitarbeiter erheben?

Letztendlich kommt es darauf an, welche Kommunikation als vertraulich zu bezeichnen ist. Da muss sich der Arbeitgeber in die Lage des Arbeitnehmers setzten und überlegen, ob ein bestimmter Beitrag der Allgemeinheit gewidmet war oder nur einem bestimmten bzw. bestimmbaren Personenkreis.

Allgemein lässt sich sagen, dass Informationen, die bei Facebook veröffentlicht werden, als vertrauliche Kommunikation einzustufen sind. Das gilt auch dann, wenn der Arbeitgeber sein Profil für die Facebook-Gemeinschaft öffentlich zugänglich macht. Da Facebook teilweise heimlich bzw. intransparent seine AGB’s sowie Einstellungen ändert, könnte es dem jeweiligen Mitarbeiter gar nicht offensichtlich sein, dass sein Profil von jedem Facebook-Nutzer angesehen werden kann. Eine Ausnahme gilt nur dann, wenn der Arbeitgeber sein Facebook-Profil über Google-Suche sichtbar hält. Google ist unstreitig als allgemein zugängliche Informationsquelle anzusehen.

Erhebung von Informationen aus Xing oder LinkedIn sind wohl unproblematischer. Der Ziel von diesen Netzwerken ist es, Kontakte im beruflichen Umfeld anzusprechen und damit auch den eigenen Arbeitgeber.

Fünf Monate nach Beginn seiner Prüfung bei der Essener Autowaschkette Mr. Wash, kommt der zuständige NRW-Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI), Ulrich Lepper, zu dem Ergebnis, dass das Unternehmen seine Mitarbeiter und Kunden in 60 Fällen unzulässig und rechtswidrig gefilmt hat.

Der Fall Mr. Wash

Bereits Anfang des Jahres berichteten diverse Medien, darunter vor allem der Stern, und der Focus, dass die Essener Waschstraßenkette Mr. Wash ihre knapp 800 Beschäftigten in 23 Filialen sowie 10 weiteren Niederlassungen in unzulässiger Weise per Webcams überwachten. So waren diverse Webcams nicht nur auf sicherheitsrelevante Bereiche, wie z.B. die Waschstraßenein- und ausfahrt, sondern auch so ausgerichtet, dass schon dem Laien-Betrachter auffiel, dass hier offensichtlich die Mitarbeiter selbst im Focus der Aufnahme standen.

Seitens des Unternehmens wurde damals die Existenz dieser Aufzeichnungen auch bestätigt, welches gegenüber dem Stern hierzu ausführte, es liege

“in der Natur der Sache, dass im Erfassungsbereich dieser Kameras auch Personen zu erkennen sind.”

In keinem Fall sei es hier um die Überwachung von Mitarbeitern und Kunden gegangen.

Unzulässige Videoüberwachung

Dies sah nun der Landesbeauftragte für Datenschutz und Informationsfreiheit in Nordrhein-Westfalen erwartungsgemäß ein wenig anders und kam zu dem Ergebnis, dass die in den Medien erhobenen Vorwürfe zumindest in 60 Fällen berechtigt waren.

Hierfür forderte das LDI NRW das Unternehmen zunächst gem. § 38 Abs. 3 BDSG zur umfassenden Auskunft über Art und Zweck der in den Filialen installierten Videoüberwachung auf und prüfte die Vorwürfe stichprobenartig in zwei Filialen vor Ort.

Zwar gab es nach Angaben des Sprechers des LDI-NRW, Nils Schröder, die dieser gegenüber dem Stern machte,

“keine verdeckte Überwachung der Mitarbeiter in Sozialräumen,”

doch auch die auf Fahrlässigkeit beruhende unzulässige, da zu weit gehende, offene Videoüberwachung von Mitarbeitern und Kunden sei ein

“relativ schwerer Verstoß.”

Positiv wurde durch das LDI bewertet, dass sich Mr. Wash im Rahmen der Überprüfung kooperativ verhalten habe.

Und die Quittung?

Neben einer Verfügung gem. § 38 Abs 5 BDSG, die unzulässige Videoüberwachung sofort zu beenden und die betreffenden Webcams unverzüglich abzubauen oder so zu verändern, dass diese die Rechte der Betroffenen in ausreichendem Maße berücksichtigen, hagelte es ein deftiges Bußgeld.

Ganze 64.000 € muss Mr. Wash nun an die Staatskasse zahlen.

Zu beachten ist hier, dass sich das Bußgeld, nach Informationen der WAZ aus zwei Bußgeldtatbeständen zusammensetzt:

1. So beläuft sich das Bußgeld für die eigentliche unzulässige Videoüberwachung auf 54.000 €.
2. Da sich aber zusätzlich herausstellte, dass Mr. Wash trotz gesetzlicher Erforderlichkeit keine Datenschutzbeauftragten bestellt hatte, wurden hierfür noch einmal 10.000 € Geldbuße fällig.

Die Höhe des Bußgeldes bleibt der Beurteilung der zuständigen Stelle vorbehalten. Das LDI wies jedoch darauf hin, dass das Bußgeld im Falle des Vorsatzes sogar doppelt so hoch hätte ausfallen können.

Zwischenzeitlich sind, nach Informationen der WAZ, bereits 30 der 60 Kameras abgebaut, bzw. anders ausgerichtet und ein betrieblicher Datenschutzbeauftragter durch das Unternehmen bestellt worden.

Fazit

Videoüberwachung ist einer der stärksten Eingriffe, die ein Betroffener in seinem Persönlichkeitsrecht und seinem Recht auf informationelle Selbstbestimmung erleiden kann. Dies wurde erst kürzlich durch den Düsseldorfer Kreis, dem Gremium der Konferenz der Datenschutzbeauftragten des Bundes und der Länder in seiner Orientierungshilfe Videoüberwachung bestätigt.

Nicht selten erleben wir in unserer täglichen Praxis als Datenschutzbeauftragte, dass die Sensibilität für Datenschutz im Allgemeinen zunimmt, dass gerade im Bereich der Videoüberwachung jedoch noch viele Fehler gemacht werden. Solche Fehler können, wie dieser Fall anschaulich darstellt, erhebliche Folgen für Ihr Unternehmen bedeuten. Eine umfassende Vorabkontrolle durch Ihren Datenschutzbeauftragten kann diese Risiken deutlich minimieren.

Interessen von Arbeitnehmern und Arbeitgebern prallen nicht selten heftig aufeinander und dies vor allem dann, wenn die Befürchtung einer Überwachung am Arbeitsplatz im Raume steht.

Ob es um Telefon-, E-Mail- oder Internetnutzung oder den Einsatz von GPS-Systemen oder Videoüberwachungsanlagen geht – überall wird eine Überwachung durch den Arbeitgeber vermutet. Doch auch in alltäglichen Situationen, wie etwa der Arbeitszeiterfassung, Veröffentlichung von Mitarbeiterfotos oder der Einsichtnahme in Social Networks gehen die Meinungen über die (datenschutz-)rechtliche Zulässigkeit weit auseinander.

Hier finden Sie einen Überblick der praxisrelevantesten Problemfelder und was Sie im Hinblick auf den Datenschutz beachten müssen – damit es eben zu keiner Überwachung am Arbeitsplatz kommt.

Telefon

Die Telefondatenerfassung durch den Arbeitgeber stellt diesen vor erhebliche datenschutzrechtliche Probleme; denn will er prüfen, ob und wie viel sein Arbeitnehmer privat telefoniert, muss er die datenschutzrechtlichen Vorgaben einhalten. Wichtig für Arbeitgeber und Arbeitnehmer ist vor allem, dass geklärt ist, ob die private Telefonnutzung grundsätzlich erlaubt ist oder nicht.

Telefonnutzung vs. Datenschutz

Viele Unternehmen möchten im Rahmen des Qualitätsmanagements die Telefonate eigener Mitarbeiter abhören bzw. aufzeichnen, um diese später zum Zwecke der Servicequalität auszuwerten. Ein solches Vorgehen ist datenschutzrechtlich problematisch, da es grundsätzlich an einer Ermächtigungsgrundlage für die Erhebung der Daten fehlt. Als Lösung für dieses Problem kommt die Einwilligung der Betroffenen in Betracht.

Abhören bzw. Aufzeichnung von Telefonaten zur Qualitätskontrolle

E-Mail

Bei der E-Mail-Nutzung durch den Arbeitnehmer am Arbeitsplatz stellt sich ein ähnliches Problem; erlaubt oder duldet der Arbeitgeber die private Nutzung, muss er nicht nur den Datenschutz, sondern auch das Fernmeldegeheimnis beachten. Als Lösung hierfür kommen Betriebsvereinbarungen oder auch individualvertragliche Vereinbarungen zwischen Arbeitgeber und Arbeitnehmer in Betracht.

E-Mail vs. Datenschutz

Internetnutzung

Die Internetnutzung am Arbeitsplatz ist heutzutage absolut keine Seltenheit mehr; allerdings steigt damit auch die Versuchung, das Web “ab und zu” auch mal für private Angelegenheiten zu benutzen. Grundsätzlich ist dies jedoch verboten. Trotzdem darf der Arbeitgeber nicht unablässig das Nutzungsverhalten des Arbeitnehmers überwachen; technische und rechtliche Voraussetzungen müssen in jedem Betrieb gewährleisten, dass der Datenschutz eingehalten wird.

Internetnutzung vs. Datenschutz

GPS

Der Arbeitgeber beispielsweise eines Logistikunternehmens hat selbstverständlich ein Interesse daran, zu wissen, wo sich sein LKW-Fahrer gerade befindet. Allerdings: nicht immer ist dies ohne weiteres möglich. Das Verbot mit Erlaubnisvorbehalt, ein Grundprinzip des Datenschutzrechts, gilt auch für GPS-Systeme. Vor der Einführung eines solchen Systems sind vom Arbeitgeber also ganz bestimmte Voraussetzungen zu beachten.

GPS vs. Datenschutz

Mitarbeiterfotos

Der Mitarbeiter eines Betriebes tritt dort nicht als Privatperson, sondern als Arbeitnehmer auf, als Zugehöriger eines Unternehmens. Trotzdem kann mit von ihm angefertigten Mitarbeiterfotos nicht beliebig umgegangen werden. Der Datenschutz spielt hier insofern eine Rolle als die zulässige Nutzung solcher Fotos durch den Arbeitgeber durch das Kunsturhebergesetz begrenzt wird. Eine Einwilligung des betroffenen Arbeitnehmers ist immer erforderlich.

Mitarbeiterfotos vs. Datenschutz

Was ist aber, wenn ein Mitarbeiter die Firma verlässt? Wie weit reicht die Einwilligung? Wann muss ich als Arbeitgeber die Fotos von meinen Ex-Mitarbeitern auf der Webseite löschen? Muss der Arbeitgeber die Fotos von Mitarbeitern auch dann löschen, wenn die Fotos nur zur dekorativen Zwecken dienen? Mit diesen Themen befasst sich dieser Beitrag.

Ex-Mitarbeiterfotos vs. Datenschutz

Social Network

Facebook, Google+, Twitter – Social Networks sind aus dem heutigen Internet-Alltag nicht mehr wegzudenken. Und die meisten Personen zeigen sich hier sehr öffentlich – an den Datenschutz denken weder die Plattformbetreiber noch die User. Gerade am Arbeitsplatz sollten solche Seiten nicht besucht werden. Und auch der Arbeitgeber ist in der Informationsbeschaffung aus Social Networks begrenzt. Für eine Überwachung des Arbeitnehmers braucht der Arbeitgeber immer eine Rechtfertigung. Denn der Datenschutz muss auch hier gewahrt werden.

Social Network vs. Datenschutz

Videoüberwachung

Die Videoüberwachung am Arbeitsplatz stellt wohl einen der erheblichsten Eingriffe in die Rechte des Arbeitnehmers dar. Denn wird er durch eine Kamera gefilmt, wird nicht nur jeder seiner Schritte überwacht, er kann sich auch kaum noch frei bewegen. Hinzu kommt der datenschutzrechtliche Aspekt: Die Regelungen des Bundesdatenschutzgesetzes geben klare Richtlinien für die Videoüberwachung in öffentlichen und nicht-öffentlichen Räumen vor.

Videoüberwachung vs. Datenschutz

Arbeitszeiterfassung

Die Arbeitszeiterfassung ist für den Arbeitgeber eine einfache Möglichkeit, zu überprüfen, ob der Arbeitnehmer seine vertraglich vereinbarten Anwesenheits- und Arbeitszeiten erfüllt. Allerdings muss im Rahmen des Datenschutzes beachtet werden, dass die Zweckbindung einer solchen Arbeitszeiterfassung stets zu gewährleisten ist. In einigen Fällen ist auch der Betriebsrat hinzuzuziehen.

Arbeitszeiterfassung vs. Datenschutz

Wie sieht die Zukunft des Beschäftigtendatenschutzes aus?

Das Bundeskabinett hatte am 15. Dezember 2010 den bereits angekündigten Entwurf zum Arbeitnehmerdatenschutz beschlossen. Wann und in welcher Form der Entwurf im Bundestag verabschiedet wird, ist noch ungewiss. Mittlerweile hat am 23.05.2011 eine Anhörung im Innenausschuss des Bundestages stattgefunden, bei der der Regierungsentwurf sowie die alternativen Entwürfe der Fraktionen von SPD, Bündnis90/DIE GRÜNEN und Die Linke behandelt worden sind.

Der Entwurf der Bundesregierung zum Arbeitnehmerdatenschutzgesetz sieht zahlreiche gesetzliche Neuerungen vor, die als neugefasste §§ 32 ff. in das Bundesdatenschutzgesetz einfließen sollen. Aber auch hier werden letztlich einige Fragen des Datenschutzes am Ende offen bleiben, in der Presseerklärung des BMI heißt es daher auch:

„ …Da ein Gesetz nicht jeden Einzelfall im Detail regeln kann, werden einige Fragen auch weiterhin der Klärung durch die Rechtsprechung bedürfen…“

Seit dem 29.01.2013 sind die Diskussionen um ein Arbeitnehmerdatenschutzgesetz zum erliegen gekommen. Auf der Seite arbeitnehmerdatenschutz.de können Sie die bisherigen Gesetzesentwürfe der Bundesregierung, welche mit kurzen Kommentaren und passenden Urteilen verknüpft worden sind, noch einmal nachschlagen.

Im Rahmen seiner Entscheidung vom 19.02.2015 hat das Bundesarbeitsgericht in dem Verfahren 8 AZR 1007/13 die Observation einer Arbeitnehmerin durch einen im Auftrag des Arbeitgebers tätigen Detektiv mittels heimlicher Videoaufnahmen für rechtswidrig befunden und der betroffenen Arbeitnehmerin ein Schmerzensgeld zugesprochen. Damit bestätigte das BAG die vorinstanzliche Entscheidung des LAG Hamm (Urteil vom 11.07.2013 – Az.: 11 Sa 312/13).

Was war geschehen?

Der Arbeitgeber hatte wegen des Verdachts der vorgetäuschten Arbeitsunfähigkeit einer Mitarbeiterin einen Detektiv beauftragt, die Arbeitnehmerin zu überwachen. Der Detektiv fertigte in dem mehrtägigen Observationszeitraum verschiedentlich heimlich Bild- und Videoaufnahmen von der Arbeitnehmerin an, welche diese “an ihrer Wohnanschrift, beim Warten am Fußweg, beim Begrüßen eines Hundes und in einem Waschsalon” zeigten. Nachdem die Arbeitnehmerin seitens des Arbeitgebers mit den Aufnahmen konfrontiert worden war, machte sie gegen den Arbeitgeber schließlich gerichtlich einen Schmerzensgeldanspruch geltend, da sie sich eines schwerwiegenden Eingriffs in ihr Persönlichkeitsrecht ausgesetzt sah. Der Arbeitgeber wehrte sich gegen den geltend gemachten Anspruch.

Erstinstanzlich war ein Schmerzensgeldanspruch der Arbeitnehmerin abgelehnt, in der Berufungsinstanz jedoch in Höhe von 1.000,00 EUR zugesprochen worden. Sowohl Arbeitnehmerin als auch Arbeitgeber gingen in Revision, über welche nunmehr das BAG entscheiden hat.

Wieso ist diese Entscheidung interessant?

Überwachungsmaßnahme

Die Entscheidung des BAG zusammen mit der Entscheidung der Vorinstanz verdeutlichen noch einmal, dass eine verdeckte Videoüberwachung im öffentlichen Raum ohne Kenntlichmachung entgegen § 6b Abs. 1 BDSG dann zulässig ist – aber auch nur dann, wenn die verdeckte Überwachung das einzige zur Verfügung stehende Mittel zur Überführung eines Arbeitnehmers ist, der der Begehung von Straftaten (z.B. Betrug gem. § 263 StGB durch Vortäuschen einer krankheitsbedingten Arbeitsunfähigkeit und damit unberechtigter Entgeltfortzahlung) konkret verdächtig ist. Das bedeuet, es darf kein anderes gleichermaßen zielführendes, aber weniger eingreifendes Mittel zur Verfügung stehen (z.B. ausschließliche Observation und Benennung des Observierenden als Zeugen).

Die Entscheidungen weisen nochmals darauf hin, dass die heimliche Fertigung von Bild- und insbesondere Videoaufnahmen von Personen als schwerwiegender Eingriff in das allgemeine Persönlichkeitsrecht (nämlich durch quasi “Konservierung” der äußeren Erscheinung) von § 32 Abs. 1 Satz 2 BDSG, der datenschutzrechtliche Spezialvorschrift für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten im Beschäftigtenverhältnis zur Aufdeckung von Straftaten ist, gerechtfertigt sein muss. Liegen die Voraussetzungen wie in dem zugrunde liegenden Fall nicht vor, ist die entsprechende Datenerhebung, -verarbeitung und -nutzung rechtswidrig. Der Rückgriff auf allgemeine Datenschutzvorschriften zur Rechtfertigung des Eingriffs scheidet aus.

Arbeitsunfähigkeitsbescheinigung

Bestätigt wird zugleich, dass aus einer ärztlichen Arbeitsunfähigkeitsbescheinigung zunächst die tatsächliche Vermutung für das Bestehen einer kranksheitsbedingten Arbeitsunfähigkeit folgt. Diese Vermutung könne der Arbeitgeber allerdings durch Vorbringen von Tatsachen erschüttern, die ernsthafte Zweifel begründeten.

Ernsthafte Zweifel könnten sich z.B. dann ergeben, wenn der Arbeitnehmer

• im Rahmen einer Auseinandersetzung am Arbeitsplatz oder nach einem Streit um Urlaubsgewährung eine nachfolgende Arbeitsunfähigkeit angekündigt hat,
• während der bescheinigten Arbeitsunfähigkeit Tätigkeiten nachgeht, die mit der bescheinigten Arbeitsunfähigkeit nicht vereinbar erscheinen,
• widersprüchliche Angaben zu seiner Arbeitsunfähigkeit macht oder der Aufforderung zu einer Begutachtung durch den medizinischen Dienst der Krankenkassen nicht folgt.

Schmerzensgeld

Generell wird über die Höhe des Schmerzensgeldes immer für den konkreten Einzelfall unter Abwägung der jeweiligen Umstände entschieden. Bislang zugesprochene Entschädigungen bei rechtswidrigen Überwachungen umfassten Beträge von mehreren hundert bis mehreren tausend Euro. In dem der BAG-Entscheidung zugrunde liegenden Fall wurden erhöhend die mehrtägige Überwachung sowie die heimliche Anfertigung von Videoaufnahmen während dieser Zeit berücksichtigt.

Die einmal erteilte Einwilligung eines Arbeitnehmers zur Nutzung von Videoaufnahmen durch den Arbeitgeber kann nach einem aktuellen Urteil des Bundesarbeitsgerichts nur unter bestimmten Voraussetzungen zurück genommen werden. Das Ausscheiden des Arbeitnehmers aus dem Unternehmen stellt keinen ausreichenden Grund für einen Widerruf dar.

Schriftliche Einwilligung und Widerruf

Für ein Werbevideo auf der Unternehmenshomepage hatte ein Arbeitgeber Filmaufnahmen von seiner Belegschaft angefertigt. Alle abgebildeten Arbeitnehmer unterzeichneten eine schriftliche Einwilligungserklärung, nach der die Aufnahmen für die Öffentlichkeitsarbeit des Unternehmens verwendet werden durften.

Drei Jahre nach Abschluss der Dreharbeiten schied ein Arbeitnehmer aus dem Unternehmen aus und verlangte die Entfernung des Videos von der Homepage. Einen besonderen Grund für den Widerruf der Einwilligung gab er dabei nicht an.

Urteil des BAG

Das aktuelle Urteil des Bundesarbeitsgerichtes (BAG) stellt jetzt klar, dass der Arbeitgeber zur Löschung nicht verpflichtet ist. Allein die Tatsache des Ausscheidens aus dem Unternehmen führe nach Ansicht der Richter nicht zu einem automatischen Erlöschen der Einwilligung.

Möglich sei jedoch prinzipiell ein Widerruf der Einwilligung. Da die Einwilligung damals aber zeitlich unbeschränkt abgegeben worden sei, müsse der Arbeitnehmer jetzt einen plausiblen Grund für die gegenläufige Ausübung seines Rechts auf informationelle Selbstbestimmung angeben. Anderenfalls sei er in seinen Rechten nicht verletzt und könne die weitere Veröffentlichung nicht untersagen.

Abwägung erforderlich

Das Urteil verdeutlicht noch einmal die Schwierigkeiten bei der Nutzung von Fotos und Videos für Marketingzwecke.

In aller Regel sind die gesetzlichen Ausnahmen des Kunsturheberrechtsgesetzes (KUG) nicht anwendbar, so dass eine Einwilligung des Abgebildeten erforderlich ist. Da Einwilligungen aber prinzipiell immer widerrufen werden können, muss vielfach eine Abwägung der widerstreitenden Interessen erfolgen, um zu einem gerechten Ergebnis zu kommen.

In der Abwägung der Interessen wird man für das Unternehmen den Aufwand für die Erstellung der Marketingmittel berücksichtigen müssen. Die professionelle Produktion eines Werbefilms verursacht hohe Kosten, was auch den mitwirkenden Arbeitnehmern bekannt ist. Die nachträgliche Entfernung einzelner Mitarbeiter aus dem fertigen Video oder die vollständige Löschung dürfte daher in der Regel unzumutbar sein.

Möglich sind jedoch Extremfälle, bei denen es dem Arbeitnehmer nicht mehr zugemutet werden kann, weiter für das Unternehmen zu werben. Dies betrifft beispielsweise die weitere Werbung für einen Sportwagenhersteller, nachdem der Mitarbeiter bei einem Autounfall schwer verletzt wurde.

Besonders schwierig sind die Fälle, in denen die Gründe für die Unzumutbarkeit allein im Verantwortungsbereich des Arbeitnehmers liegen. Zu denken wäre hier an die weitere Werbung für einen Fleischproduzenten, nachdem der Mitarbeiter sich nur noch vegetarisch ernährt.

Auswirkungen für Unternehmen

Noch ist offen, auf welche Bereiche sich das aktuelle Urteil übertragen lässt. Im Bereich der Fotografie ist der Aufwand beispielsweise deutlich geringer. Das Entfernen eines Fotos von der Homepage wird daher im Zweifel wahrscheinlich zumutbar sein.

Eine Fotoverwendung auf gedrucktem Marketingmaterial dürfte noch einmal anders zu bewerten sein. Hier wird man eventuell eine Aufbrauchfrist für bereits produzierte Materialien annehmen müssen, eine Neuproduktion wäre dann untersagt.

Wichtig: Das Gericht hat die Schriftform der Einwilligungserklärung für zwingend erforderlich gehalten. Dies gilt es für die Zukunft zu beachten.

Der Arbeitgeber hat ein legitimes Interesse daran, sich vorab ausführlich über die Personen zu informieren, die er sich „ins Haus holen“ will. Oftmals reichen Zeugnisse nicht aus, um die für ihn relevanten Informationen zu erhalten. Eine Auskunft beim ehemaligen Arbeitgeber könnte Abhilfe verschaffen – aber ist das überhaupt zulässig?

Bedürfnis nach einer Arbeitgeberauskunft

Arbeitszeugnisse müssen der Wahrheit entsprechen, d.h. die Beurteilung des Arbeitnehmers ist nach objektiven Gesichtspunkten wahrheitsgemäß vorzunehmen. Sie sind jedoch häufig relativ formell und unpersönlich. Zudem sind sie je nachdem, ob ein einfaches oder ein qualifiziertes Zeugnis erteilt wurde mehr oder weniger aussagekräftig.

Gerade wenn es um die Besetzung leitender Positionen oder Positionen mit besonderer Verantwortung geht, möchte der Arbeitgeber sich jedoch ein reelles Bild von dem zukünftigen Arbeitnehmer machen, dass sein Verhalten im Alltag widerspiegelt. Fraglich ist jedoch, inwieweit der Ex-Arbeitgeber überhaupt Auskünfte über den ehemaligen Arbeitnehmer geben darf.

Datenschutz vs. Arbeitgeberauskunft

Die Einholung einer Auskunft beim ehemaligen Arbeitgeber begegnet datenschutzrechtlichen Bedenken. Zum einen stellt diese Vorgehensweise eine Durchbrechung des Grundsatzes der Direkterhebung dar, § 4 Abs. 2 S. 1 BDSG:

Personenbezogene Daten sind beim Betroffenen zu erheben. […]

Zum anderen steht es dem Arbeitnehmer frei, zu entscheiden ob er ein einfaches oder ein qualifiziertes Arbeitszeugnis für seine Bewerbung anfordert (vgl. §§ 630 BGB, 109 Abs. 1 GewO), er entscheidet mithin selbst, wie detailliert er seinem zukünftigen Arbeitgeber Auskunft geben möchte. Diese Entscheidungsfreiheit würde durch eine Auskunftsanfrage beim ehemaligen Arbeitgeber unterlaufen.Zudem besteht bei einer mündlichen Auskunft – obwohl diese ebenfalls der Wahrheitspflicht unterliegt – eher die Gefahr, dass für den Arbeitnehmer nachteilige Dinge erwähnt werden.

Im Übrigen sind dem ehemalige Arbeitgeber bei der Weitergabe von Informationen ebenfalls rechtlichen Schranken gesetzt. Er unterliegt selbst dem Datengeheimnis des § 5 BDSG und ist auch nach Beendigung des Arbeitsverhältnisses dazu  verpflichtet in Bezug auf seine ehemaligen Beschäftigten Vertraulichkeit bewahren.

Dementsprechend bedarf die Erteilung der Auskunft bzw. die Anfrage einer solchen einer sorgfältigen Abwägung mit den schutzwürdigen Interessen des betroffenen Arbeitnehmers.

Umsetzung in der Praxis

In Anbetracht des informationellen Selbstbestimmungsrechts des Arbeitnehmers spricht vieles dafür, die Arbeitgeberauskunft von der Einwilligung des Betroffenen abhängig zu machen, um seinem Selbstbestimmungsrecht gerecht zu werden.

In jedem Fall sollte man die folgenden Dinge beachten:

• Unabhängig von einer zuvor erteilten Einwilligung dürfen nur solche Informationen abgefragt bzw. weitergegeben werden, die ohnehin von dem Fragerecht des Arbeitgebers erfasst sind.
• Auskünfte sollten nur von dem jeweils letzten Arbeitgeber eingeholt bzw. durch den vorherigen Arbeitgeber erteilt werden.
• Bei einem noch bestehenden Arbeitsverhältnis sind Auskunftsanfragen grundsätzlich zu unterlassen.
• Bei der Auskunft müssen die schutzwürdigen Interessen des Arbeitnehmers im Hinblick auf den Grundsatz der Vertraulichkeit seiner Personalakte berücksichtigt werden.
• Bei der Weitergabe von Auskünften sollte berücksichtigt werden, ob der Arbeitnehmer ein einfaches oder ein qualifiziertes Arbeitszeugnis angefordert hat.

Im Zweifel fragen sie am besten Ihren Datenschutzbeauftragten.

Immer wieder kann es zu unvorhergesehenen Zwischenfällen kommen, durch die die Geschäftsleitung sich gezwungen sieht, in die E-Mail-Korrespondenz eines Mitarbeiters Einsicht zu nehmen. Zweifellos bewegt man sich damit auf gefährlichem Terrain, insbesondere, wenn die Privatnutzung des betrieblichen E-Mail-Accounts erlaubt ist. Unter welchen Umständen die Einsichtnahme trotzdem möglich ist, zeigen wir nachfolgend auf.

Privatnutzung des betrieblichen E-Mail-Accounts erlaubt?

Zuerst muss die Frage geklärt werden, ob und inwiefern die private Nutzung von Internet und E-Mail erlaubt ist. Dies sollte schriftlich und im Vorfeld geregelt sein. Entschließt man sich für ein Verbot jeglicher Privatnutzung, ist man auf der sicheren Seite – sofern dieses Verbot auch nachhaltig kontrolliert und bei Nichteinhaltung sanktioniert wird. Will der Arbeitgeber nun die E-Mails des Arbeitnehmers überprüfen, kann er dies unter Einhaltung der nachfolgend beschriebenen Schritte rechtskonform tun.

In den meisten Unternehmen fehlt es jedoch an einer Regelung oder jedenfalls an deren konsequenter Durchsetzung. Leider gibt es in solchen Fällen derzeit keinen rechtssicheren Weg der Einsichtnahme. Die nachstehende Übersicht kann als Wegweiser dienen, sollte aber auf keinen Fall als Patentrezept missverstanden werden. Eine individuelle Prüfung der Sachlage und der rechtlichen Optionen sollte immer durch einen spezialisierten Juristen durchgeführt werden!

Zur Durchführung des Arbeitsverhältnisses erforderlich?

Grundsätzlich ist jede Verarbeitung personenbezogener Daten verboten – es sei denn, es gibt eine Rechtsgrundlage. Im Falle einer unvorhergesehenen längeren Abwesenheit eines Mitarbeiters kann es zur Aufrechterhaltung eines störungsfreien Geschäftsbetriebs erforderlich sein, bestimmte Informationen aus der E-Mail-Korrespondenz des abwesenden Mitarbeiters zu erlangen. Die Rechtsgrundlage findet sich dann in § 32 Abs. 1 S. 1 BDSG. Der Zugriff auf den E-Mail-Account muss dabei auf das Nötigste begrenzt werden, um den Eingriff so gering wie möglich zu halten. Außerdem müssen die Interessen des Mitarbeiters gegen die des Unternehmens abgewogen werden.

Im Rahmen der Verhältnismäßigkeit muss überprüft werden, ob

• ein legitimer Zweck verfolgt wird,
• die Einsicht in die E-Mails dazu dient, diesen Zweck zu erreichen
• die Einsichtnahme das mildeste von mehreren gleich effektiven Mitteln ist
• und dem Mitarbeiter unter Berücksichtigung aller Umstände zumutbar ist.

Zur Aufdeckung einer Straftat erforderlich?

Steht ein Mitarbeiter unter Verdacht, eine Straftat begangen zu haben, darf gemäß § 32 Abs. 1 S. 2 BDSG unter bestimmten Voraussetzungen auf seinen E-Mail-Account zugegriffen werden.

Es muss ebenfalls eine Verhältnismäßigkeitsprüfung nach obiger Auflistung vorgenommen werden.

Der Suchzeitraum sollte eingegrenzt werden auf den Zeitraum einer möglichen Tatbegehung. Sofern möglich, sollte nach bestimmten Stichworten gesucht werden, die mit der Tat in Zusammenhang stehen.

 Immer gilt:

•  wenn möglich Eingrenzung der Suche nach Zeitraum, Personenkreis, Stichworte
• Ausschluss offensichtlich privater E-Mails
• 6-Augen-Prinzip: Bei der Einsichtnahme sollten der Datenschutzbeauftragte, ein Mitarbeiter der IT-Abteilung, ein Vertreter der Geschäftsführung und gegebenenfalls ein Mitglied des Betriebsrates anwesend sein
• sollte die Überprüfung nicht durch die interne IT-Abteilung bewerkstelligt werden können und daher ein Dienstleister mit der Durchsicht der E-Mail-Accounts beauftragt werden, muss mit diesem eine Vereinbarung zur Auftragsdatenverarbeitung gemäß § 11 BDSG abgeschlossen werden.
• keine flächendeckende Kontrolle der gesamten E-Mail-Korrespondenz
  

Da es sich um ein sehr sensibles Thema handelt, sollte in jedem Fall der betriebliche Datenschutzbeauftragte von Anfang an in die Thematik eingebunden werden!

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Andrea Voßhoff, hat den 25. Tätigkeitsbericht zum Datenschutz veröffentlicht. Der Bericht umfasst den Zeitraum der Jahre 2013 und 2014. Damit ist dies der erste Bericht nach den Enthüllungen durch Edward Snowden. Deshalb werden auch Themen angesprochen, die ohne die entsprechenden Enthüllungen niemals thematisiert worden wären.

System der „Checks and Balances“ in Gefahr

Durch das System von „Checks and Balances“ wird die Gewaltenteilung im Grunde erst ermöglicht. Denn nur durch gegenseitige Kontrollen kann einem staatlichen Machtmissbrauch vorgebeugt und damit der Grundgedanke hinter der Gewaltenteilung verwirklicht werden.

Insbesondere zur Ausweitung der Befugnisse der Geheimdienste führt sie aus:

„Ich möchte aber auch an dieser Stelle noch einmal betonen, dass das System der „Checks and Balances“ im Bereich der Nachrichtendienste in eine massive Schieflage geraten ist. So sind, insbesondere seit dem Jahr 2001, die Aufgaben und Befugnisse der Sicherheitsbehörden sowie deren Personal- und Sachmittel erheblich ausgebaut, die verbundübergreifende Zusammenarbeit von Polizeien und Nachrichtendiensten national und international intensiviert, zentrale Großdatenbanken errichtet und eine neue Sicherheitsstruktur geschaffen worden. Die neu errichteten nationalen Kooperationszentren der Sicherheitsbehörden des Bundes und der Länder (z. B. das Gemeinsame Extremismus- und Terrorismusabwehrzentrum (GETZ)) verdeutlichen exemplarisch diese Entwicklung.“

Zu dem fehlenden gleichwertigen Ausbau der Kontrollorgane kritisiert die Bundesdatenschutzbeauftragte:

„Auf Seiten der Kontrollorgane ist keine entsprechende Entwicklung erfolgt, d. h. auch insoweit bestehen gravierende gesetzgeberische Defizite, die im Interesse der Bürgerinnen und Bürger schnellstmöglich beseitigt werden müssen. In Folge dieser Entwicklung ist es mir angesichts der mir zur Verfügung stehenden geringfügigen Personal- und Sachmittel nicht mehr möglich, meine gesetzlich zugewiesenen Beratungs- und Kontrollaufgaben angemessen zu erfüllen. Damit ist es mir auch nicht mehr möglich, die vom Bundesverfassungsgericht in seinem Urteil zum Antiterrordateigesetz betonte Kompensationsfunktion meiner Kontrollen für die betroffenen Bürgerinnen und Bürger sachgerecht zu gewährleisten, d. h. an Stelle der Betroffenen zu überprüfen, ob ihre Rechte bei heimlichen Eingriffen der Sicherheitsbehörden gewahrt worden sind. Nach dem Urteil des Bundesverfassungsgerichts sind diese Prüfungen von herausragender Bedeutung, da die Betroffenen in aller Regel keine Kenntnis von diesen heimlichen Eingriffen haben bzw. erlangen können. Ich appelliere dringend an den Gesetzgeber, seiner Verantwortung gerecht zu werden und ein ausgewogenes Verhältnis von Sicherheit und Kontrolle herzustellen.

Für den Schutz der Grundrechte und das Vertrauen der Bevölkerung in effiziente, unabhängige Kontrollorgane – und damit für Wesenselemente des demokratischen Rechtsstaates – ist dies unerlässlich.“

Vielen Dank an das Team von Posteo, die diese Passage gestern bereits getwittert hatten.

Weitere Themen

Ausgewählte Themen des 318 seitigen Berichtes finden sich in der Anlage zur Pressemitteilung.

• Hier wird noch einmal die seit Ende 2014 verabschiedete Gesetzesänderung angesprochen, wonach die Dienststelle der BfDI zum 1.1.2016 eine eigenständige oberste Bundesbehörde wird. Damit soll eine völlige Unabhängigkeit gewährleistet werden, da eine Kontrolle nur noch durch die Gerichte und das Parlament erfolgen kann.
• Weiterhin kritisiert die Bundesdatenschutzbeauftragte die Verhandlungsführung der Bundesregierung im Rahmen der geplanten EU-Datenschutzgrundverordnung.
• Zum Beschäftigtendatenschutz fordert Sie in ihrem Bericht neue nationale gesetzliche Regelungen, die insbesondere die Themen Videoüberwachung am Arbeitsplatz, private Nutzung dienstlicher und dienstliche Nutzung privater Kommunikationsmittel, Whistleblowing oder Datenschutz in der Bewerbungsphase berücksichtigen.

Das Landesarbeitsgericht Köln (LAG Köln, 2 Sa 181/14) hat entschieden, dass die Vorschriften des Bundesdatenschutzgesetzes kein Beweisverwertungsverbot zugunsten eines Arbeitnehmers auslösen, wenn diesem wegen Arbeitszeitbetrug gekündigt wurde. Die Daten, die zu Aufdeckung des Betrugs geführt haben, dürften im Einzelfall für die Begründung einer fristlosen Kündigung verwertet werden. Weder die Verletzung eines Mitbestimmungsrechts des Betriebsrats nach § 87 BetrVG, noch die Regelung des § 32 BDSG schütze den Arbeitnehmer vor einer Verwertung per se.

Der Sachverhalt

Die betroffene Arbeitnehmerin war als Bürokraft tätig, zu ihrer Hauptaufgabe gehörte die Pflege einer Datenbank. Dabei durfte sie in Absprache mit ihrem Arbeitgeber drei Tage von zu Hause aus arbeiten (Homeoffice, Telearbeit) und trug ihre Arbeitszeiten manuell in ein Zeiterfassungsprogramm ein. Nachdem die Angestellte einen Freizeitausgleich für angeblich angefallene Überstunden beantragte, kontrollierte der Arbeitgeber die Überstunden. Denn waren diese nicht während der Arbeitstage im Büro angefallen. Es stellte sich heraus, dass die elektronisch gespeicherten Eingabezeiten für die häuslichen Dateneingaben in die Datenbank (Zeitstempel) nicht mit den Arbeitszeiten in dem Arbeitszeiterfassungsprogramm übereinstimmten. Der Arbeitgeber kündigte der Arbeitnehmerin wegen Arbeitszeitbetrug fristlos das Beschäftigungsverhältnis, denn sie hatte tatsächlich 15 Arbeitsstunden zu viel eingetragen.

In der darauf seitens der Arbeitnehmerin erhobenen Kündigungsschutzklage, mit welcher die Unwirksamkeit der Kündigung festgestellt werden sollte, wendete sich die Arbeitnehmerin vor allem gegen die Verwertung der entsprechenden Daten, die zur Aufdeckung des Betrugs geführt haben. Zunächst bekam sie vor dem Arbeitsgericht Recht, das Landesarbeitsgericht Köln entschied anders.

Verwertung der Daten rechtmäßig

Das Gericht stellte zunächst fest, dass die Täuschung des Arbeitgebers über geleistete Arbeitsstunden in einem erheblichen Umfang regelmäßig einen Grund für eine fristlose Kündigung darstellt. Darüber hinaus sei die Verwertbarkeit der herangezogenen Daten weder wegen Missachtung des Mitbestimmungsrechts des Betriebsrats noch aus datenschutzrechtlichen Erwägungen (§ 32 BDSG) ausgeschlossen.

Kein Verwertungsverbot wegen Verletzung des Mitbestimmungsrechts des Betriebsrats

Ein Verwertungsverbot ergab sich zunächst nicht aus der Nichtbeachtung des Mitbestimmungsrecht des Betriebsrats nach § 87 Nr. 6 BetrVG zu der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen;“

Dazu das Gericht:

„Auch dann, wenn die Art der Datenverarbeitung bereits vor der erstmaligen Konstitution eines Betriebsrats im Betrieb durchgeführt wurde, steht dem Betriebsrat das Mitbestimmungsrecht zur automatischen Datenverarbeitung nach § 87 Abs. 1 Nr. 6 BetrVG zu. Allerdings folgt hieraus nicht die Unverwertbarkeit der erhobenen Daten im Prozess (BAG vom 13.12.2007 – 2 AZR 537/06).“

Kein Verwertungsverbot aus § 32 BDSG

Ebenso wenig folgt ein Verwertungsverbot aus § 32 BDSG. Generell nehmen die Gerichte zwar ein Beweisverwertungsverbot für solche Daten an, die der Arbeitgeber gegen die Bestimmungen des BDSG, also rechtswidrig, erhoben hat. Im vorliegenden Fall sei die Auswertung aber rechtmäßig, da die Kontrolle verhältnismäßig und für die Durchführung des Arbeitsverhältnisses erforderlich gewesen sei.

Der Arbeitgeber habe vorliegend,

„… grundsätzlich ein Interesse daran, die von ihr als ihr Geschäftszweck gespeicherten Daten, die in einer Datenbank gepflegt werden, zu der mehrere Personen schreibenden Zugang haben, dem einzelnen Mitarbeiter zuordnen zu können und auch anhand des Speicherdatums feststellen zu können, ob die eingegebenen Daten tatsächlich dem aktuellen durch die Speicherung dokumentierten Zeitpunkt entsprechen.“ (…) Die Pflege der Datenbank ist damit eine wesentliche geschäftliche Aufgabe der Beklagten. Sind die Dateneingaben fehlerhaft oder nicht aktuell, so können bei den Nutzern der Datenbank erhebliche wirtschaftliche Schäden entstehen. Es ist deshalb für die Durchführung der Arbeitsverhältnisse der mit der Dateneingabe befassten Mitarbeiter erforderlich, Fehler in der Dateneingabe, die sich sowohl auf die Inhalte als auch auf den Gültigkeitszeitraum der eingegebenen Daten beziehen, kontrollieren und vermeiden zu können. Nur dann, wenn identifiziert werden kann, wer Fehleingaben gemacht hat, kann die Beklagte arbeitsrechtlich tätig werden und die erforderliche Qualität der Dateneingaben wirklich sicherstellen. Die erkennende Kammer hält deshalb auch unter Berücksichtigung des Rechts auf informationelle Selbstbestimmung die vorgenommene Abspeicherung des sog. M-Date und des M-User für zulässig.“

Bei der Entscheidungsfindung hat das Gericht das allgemeine Persönlichkeitsrecht der Arbeitnehmerin gegen das Interesse des Arbeitgebers an der Auswertung der automatisiert erhobenen Datenlisten zu Lasten der Arbeitnehmers abgewogen.

Hierbei wurde seitens der Richter betont, dass der Arbeitgeber aufgrund der von der Angestellten eingereichten Zeitaufschreibungen und der in der gleichen Zeit erledigten Arbeitsmenge den konkreten Verdacht haben musste, dass die angegebenen Arbeitszeiten nicht zutreffend sind. Die Widerlegung des Verdachts gelang der Arbeitnehmerin im Laufe des Verfahrens nicht. Auch ergab sich für den Arbeitgeber keine andere Überprüfungsmöglichkeit als die elektronische Auswertung der Datenbankeingaben.

Das vorrangige Ziel des Datenschutzes sei nicht der Täterschutz, das stellte das Gericht mit seiner Entscheidung klar. In einem konkreten Verdachtsfall, wie im vorliegenden Fall, steht das Persönlichkeitsrecht hinter der Möglichkeit der Datenermittlung und -auswertung des Arbeitgebers zurück.

Fazit

Der Fall zeigt einmal mehr, welche Auswirkungen neue Arbeitsformen, wie die Arbeit von zu Hause (Homeoffice), und die umfassende digitale Erfassung und Dokumentierung von Arbeitsleistungen in der heutigen Arbeitswelt haben. Es zeigt auch, welchen großen Einfluss das Datenschutzrecht hat.

Gerade deshalb bietet sich im Interesse der Arbeitgeber und Arbeitnehmer eine transparente und verbindliche betriebliche Regelung zu Einsichts- oder etwaigen Kontrollrechten des Arbeitgebers an. Sofern ein Betriebsrat im Unternehmen besteht, ist eine Betriebsvereinbarung die beste Wahl, um dessen Beteiligungsrechte und den sonstigen Anforderungen des Datenschutzrechts gerecht zu werden. Bei Abwesenheit eines Betriebsrats kommt eine Zusatzvereinbarung zum Arbeitsvertrag in Betracht.

Die rechtlichen Einzelheiten zum Thema Arbeitszeiterfassung und Datenerhebung hatten wir bereits in unserem Beitrag „Überwachung am Arbeitsplatz: Arbeitszeiterfassung vs. Datenschutz“ behandelt. Weitere Informationen zum Thema Regelung zur Zeiterfassung in der Betriebsvereinbarung finden sie hier.

Die Nutzung internetbasierter Dienste gehört heute zum Alltag. Für den Arbeitgeber stellen sich jedoch mehrere Probleme, wenn er die Internetnutzung am Arbeitsplatz zulässt. Dieser Beitrag soll aufzeigen, wie die Privatnutzung für Arbeitgeber und Arbeitnehmer paxisnah gestaltet werden kann.

Ausgleich konträrer Interessen

Der Arbeitgeber gilt rechtlich als Telekommunikations- bzw. Telemedienanbieter und hat dementsprechend die (strengeren) datenschutzrechtlichen Vorgaben des Telekommunikations- bzw. Telemediengesetzes zu beachten, sobald er die uneingeschränkte Internetnutzung zulässt. Daher hat der Arbeitgeber grundsätzlich ein Interesse daran, wenn nicht sogar eine Pflicht, zu kontrollieren, was und wann die Mitarbeiter im Internet tun, z.B. soll das Einschleusen von Schadprogramme verhindert werden.

Auf der anderen Seite hat der Arbeitnehmer ein Recht darauf, in seinem Nutzungsverhalten nicht überwacht zu werden. Damit stellt sich die Frage, wie man mit diesen konträren Interessen in der Praxis in Einklang bringt.

Duldung privater Internetnutzung birgt Gefahr der betrieblichen Übung

Eine vermeintlich „saubere“ Lösung aus Arbeitgebersicht liegt darin, die private Internetnutzung ausdrücklich zu verbieten. Abgesehen von der Frage, ob ein solches Totalverbot noch zeitgemäß ist, stellt sich die Frage, ob und wie dieses Verbot kontrolliert und sanktioniert werden muss. Duldet der Arbeitgeber nämlich die Internetnutzung und kontrolliert nicht, ob das Verbot eingehalten wird, gerät er in Gefahr der sog. „betrieblichen Übung“.

Entscheidend für die Entstehung eines Anspruchs aus betrieblicher Übung ist nach der Rechtsprechung des Bundesarbeitsgerichts (z.B. BAG vom 17. März 2010, Az: 5 AZR 317/09), nicht der Verpflichtungswille des Arbeitgebers, sondern wie der Erklärungsempfänger die Erklärung oder das Verhalten des Arbeitgebers nach Treu und Glauben unter Berücksichtigung aller Begleitumstände verstehen durfte.

Kontroll- und Sanktionsgebot des Arbeitgebers

Im Ergebnis könnte daher die Duldung bzw. fehlende Kontrolle und Sanktionierung der Internetnutzung – trotz des ausdrücklichen Verbotes – zur Zulässigkeit der privaten Internetnutzung und zur Einstufung des Arbeitsgebers als Telekommunikations- bzw. Telemedienanbieter führen. Daher muss der Arbeitgeber auch bei einem Verbot der Internetnutzung dieses Verbot kontrollieren. Die Schwierigkeit liegt jedoch darin, dies auf die richtige Art und Weise zu tun.

Totalüberwachung vs. Stichproben

Eine Totalüberwachung durch technische Tools durch den Arbeitgeber verstößt gegen die Menschenwürde  (Art. 1 Abs. 1 Grundgesetz) und verbietet sich grundsätzlich. Auch Einwilligungen der Mitarbeiter in den Arbeitsverträgen oder Betriebsvereinbarungen helfen daher hier nicht weiter, da die Menschenwürde absolut geschützt ist und weder durch den Arbeitnehmer selbst noch einen Betriebsrat zur Disposition gestellt werden kann.

Der Arbeitgeber kann stattdessen auf Stichproben zurückgreifen oder nur bestimmte Verhaltensweisen überwachen. Je nach Ausgestaltung der organisatorischen Maßnahmen und technischen Mittel gibt es hier durchaus Spielraum für Arbeitgeber. So kann der Arbeitgeber sog. Filtersoftware einsetzen, die den Zugang zu bestimmten – in der Regel rechtswidrigen – Internetseiten unterbindet. Oft werden diese Einstellungen direkt an der Firewall umgesetzt. Da solche Maßnahmen als Regelungen des Umfangs der Gestattung der Privatnutzung des Internet anzusehen sind, kann der Arbeitgeber diese sogar ohne Mitbestimmung des Betriebsrates ergreifen.

Software zum Schutz der Persönlichkeitsrechte

In Abstimmung mit dem IT-Leiter und dem Datenschutzbeauftragten kann spezielle Software eingesetzt werden, die es ermöglicht z.B. „Accounts“ einzurichten, um dann per Klick den „Privatmodus“ zu aktivieren oder Zeitkontingente festzulegen. Technische Lösungen hierfür gibt es auf dem Markt. Dies hat den Vorteil für den Arbeitgeber, dass er die dienstliche Internetnutzung dann auch regelmäßig kontrollieren kann, ohne in Gefahr zu laufen, die Persönlichkeitsrechte seiner Mitarbeiter zu verletzen.

Die Mitarbeiter müssen zwar über den Umfang der Protokollierung und Datenverarbeitung (Auswertung von Protokollen und Inhalten) der dienstlichen Nutzung unterrichtet werden, § 4 Abs. 3 BDSG, einer Einwilligung bedarf es aber nicht. Daher ist eine Nutzung dieser Daten für Verhaltens- oder Leistungskontrollen ausgeschlossen, denn Verhaltens- und Leistungskontrollen sind nur mit Einwilligung der betroffenen Mitarbeiter erlaubt. (Schmitz in Hoeren/Sieber/Holznagel, Multimedia-Recht, Teil 16.2 Datenschutz im Internet Rz 123)

Arbeitnehmerfreundliche Auswertung der dienstlichen Internetnutzung

Die organisatorische Umsetzung der Auswertung der dienstlichen Internetnutzung sollte zudem in Absprache oder gemeinsam mit dem Datenschutzbeauftragten als „neutrale“ Instanz erfolgen. Dies trägt zur rechtskonformen Umsetzung des Datenschutzrechts bei und stellt zudem eine vertrauensbildende Maßnahme gegenüber den Mitarbeitern dar.

Es gibt verschiedene Szenarien, wie diese Maßnahmen organisatorisch arbeitnehmerfreundlich gestaltet werden können. Um zu verhindern, dass der nur eine Person (z.B. IT-Leiter) Zugriff auf die Daten hat, kann man beispielsweise ein Vier-Augen-Prinzip bzw. ein Zwei-Passwort-Prinzip (IT-Leiter & Datenschutzbeauftragter) mit entsprechenden Zugangsbeschränkungen einführen.

Praxistipps für Arbeitgeber

• Privatnutzung grundsätzlich verbieten und nur in engem Rahmen die Privatnutzung zulassen (innerhalb dieses Rahmens treffen ihn dann ggf. die Vorschriften des TKG/TMGs)
• Datenschutzkonforme Tools einsetzen, über die Mitarbeiter privat ins Internet kommen
• Organisatorische Maßnahmen für eine datenschutzkonforme Auswertung mit dem Datenschutzbeauftragten und IT-Leiter etablieren

Das Landesarbeitsgericht Berlin-Brandenburg hat laut Pressemitteilung vom 12.02.2016 (Az.: 5 Sa 657/15) entschieden, dass Arbeitgeber – auch ohne Zustimmung des Arbeitnehmers – im Rahmen der Feststellung eines kündigungsrelevanten Fehlverhaltens den Browserverlauf prüfen dürfen.

Sachverhalt

Der Arbeitnehmer hatte im Zuge seiner Arbeitstätigkeit Zugriff auf einen Dienstrechner mit Internetanschluss. Die private Nutzung des Internets war ihm lediglich in Ausnahmefällen während der Arbeitspausen gestattet, also während der regulären Arbeitszeit verboten. Aufgrund von Hinweisen auf eine erhebliche private Nutzung des Internets während den regulären Arbeitszeiten, kontrollierte der Arbeitgeber den Browserverlauf des Arbeitnehmers. Festgestellt wurde eine private Nutzung des Internets an fünf von 30 Arbeitstagen während der regulären Arbeitszeit. Daraufhin wurde dem Arbeitnehmer wegen der ausgiebigen Privatnutzung des Internets aus wichtigem Grund gekündigt.

Rechtmäßigkeit der Kündigung

Das LArbG Berlin-Brandenburg hatte keine Bedenken gegen die Rechtmäßigkeit der außerordentlichen Kündigung. Nach der Auffassung des Gerichts rechtfertige die dokumentierte unerlaubte Nutzung des Internets nach Abwägung der beiderseitigen Interessen eine sofortige Auflösung des Arbeitsverhältnisses.

Auch ein etwaiges Beweisverwertungsverbot in Bezug auf die durch die Auswertung des Browserverlaufs erhobenen Daten zum Nachteil des Arbeitgebers wurde verneint. Einerseits handele es sich zwar um personenbezogene Daten, in deren Kontrolle seitens des Arbeitnehmers nicht eingewilligt wurde. Andererseits sei eine solche Erhebung und anschließende gerichtliche Verwertung dieser Daten aber statthaft, weil das BDSG eine solche Maßnahme zur Missbrauchskontrolle auch ohne eine derartige Einwilligung erlaube und für den Arbeitgeber keine Alternative bestanden habe, mit anderen Mitteln den Umfang der privaten Internetnutzung des Arbeitnehmers festzustellen.

Die Entscheidung ist (noch) nicht rechtskräftig. Die Revision an das Bundesarbeitsgericht wurde zugelassen.

Datenschutzrechtlicher Hintergrund

Auch wenn der Bedarf aller Beteiligten nach einer Grenzziehung des für Arbeitgeber Zulässigen in diesem sensiblen Bereich an der Schnittstelle zwischen Arbeit und Privatleben besonders dringend ist, ist der Gesetzgeber seiner Verantwortung (bislang) nicht nachgekommen. Als Rechtsgrundlage zur Speicherung und Auswertung der Daten des Browserverlaufs der Arbeitnehmer zu Kontrollzwecken kommt § 32 Abs. 1 S. 1 BDSG in Betracht. Dieser Norm lässt sich jedoch lediglich entnehmen, dass die Überwachungsmaßnahme zur Durchführung oder zur Beendigung des Beschäftigungsverhältnisses erforderlich zu sein hat. Daraus folgt ein arbeitgeberseitiges Kontrollrecht in Bezug auf die korrekte Verwendung der eingesetzten Arbeitsmittel. Bei der Wahrnehmung dieses Rechts hat der Arbeitgeber die Schutzinteressen der Arbeitnehmer jedoch angemessen zu berücksichtigen, d.h. die Zulässigkeit der Kontrolle des Browserverlaufs ist einer strikten Verhältnismäßigkeitsprüfung zu unterziehen.

Eine ausgiebige Überprüfung der Verhältnismäßigkeit der konkreten Maßnahme ist an dieser Stelle – schon mangels Details der in Frage stehenden Überprüfung – nicht zu leisten. Hinzuweisen ist aber darauf, dass ein Mittel nur dann erforderlich ist, wenn es geeignet ist, den erstrebten Zweck zu erreichen und unter gleichermaßen geeigneten Mitteln auch das mildeste Mittel darstellt. Bei der Überprüfung des Browserverlaufs im Arbeitsverhältnis sollten daher datenschutzrechtliche Grundprinzipien wie Datensparsamkeit, Datenvermeidung, Transparenz und auch Zweckbindung unbedingt beachtet werden. Zur Missbrauchskontrolle werden regelmäßig anlassbezogene, stichprobenartige Überprüfungen des „Surfverhaltens“ der Arbeitnehmer genügen. Demnach wird eine umfassende Überprüfung des Browserverlaufs grundsätzlich erst dann zulässig sein, wenn gewisse Anhaltspunkte der privaten Nutzung des Internets durch den Mitarbeiter vorliegen, obwohl diese Nutzung verboten ist. In Betracht kommt insbesondere der Verdacht eines Verstoßes gegen festgeschriebene Verhaltensvorschriften bzw. den festgelegten Umfang der erlaubten Privatnutzung. Eine allumfassende ständige Überprüfung des Browserverlaufs aller Mitarbeiter – ohne Verdacht auf ein etwaiges Fehlverhalten – würde eine laufende Verhaltens- und Leistungskontrolle bedeuten, zur Erstellung eines den Interessen des Arbeitnehmers entgegenstehenden „Persönlichkeitsprofils“ führen und bleibt somit unzulässig.

Ratschläge an Arbeitnehmer

Aufgrund dieser Entscheidung ist allen Arbeitnehmern, bei denen die private Internetnutzung am Arbeitsplatz nicht klar geregelt bzw. verboten ist, äußerste Zurückhaltung bei Nutzung des Dienstrechners zu privaten Zwecken anzuraten. Bei Überschreiten der jeweils geltenden zulässigen Grenzen der privaten Nutzung droht – auch ohne vorherige Abmahnung – die außerordentliche Kündigung. Das „Surfen“ im Internet während der Arbeitszeit ist unzulässig, wenn der Arbeitgeber dies explizit verboten hat. Hat er hingegen die Nutzung des Internets auch zu privaten Zwecken gestattet oder duldet er diese zumindest, kann das Internet auch am Arbeitsplatz privat im angemessenen zeitlichen Umfang genutzt werden. Wann allerdings die Grenzen für eine private Internetnutzung in angemessenem zeitlichem Umfang überschritten sind und diese Nutzung zu einer erheblichen Beeinträchtigung der Arbeitspflicht des Beschäftigten führt, ist – wie an dem vorliegenden Sachverhalt zu sehen ist – stets eine Entscheidung des Einzelfalls.

Ratschläge an Arbeitgeber

Um derartige Gerichtsverfahren zu vermeiden, ist Arbeitgebern zu raten, die private Internetnutzung ihrer Mitarbeiter klar und transparent zu regeln, z. B. in einer Unternehmensrichtlinie oder einer Betriebsvereinbarung. Dies führt zu mehr Rechtssicherheit am Arbeitsplatz, die letztendlich allen Beteiligten zu Gute kommt. In einer Betriebsvereinbarung sollte u.a. festgelegt werden,

• in welchem Umfang und für welche Zwecke Verkehrsdaten protokolliert und ausgewertet werden dürfen,
• welche Stellen im Unternehmen die Auswertungen durchführen und für welche Zwecke die Auswertungen verwendet werden dürfen,
• welche Maßnahmen bei Verstößen festgesetzt werden, insbesondere im Hinblick auf die Vorgehensweise bei der Auswertung von Protokollen (zunächst ohne Personenbezug, anschließend, soweit erforderlich, mit Bezug auf die jeweilige Person),
• wann der Betroffene von Kontrollmaßnahmen zu unterrichten ist und
• in welcher Form der Betriebsrat und ggf. der Datenschutzbeauftragte an den Kontrollen beteiligt sein soll.

Die freiwillig abgegebene Einwilligung der Mitarbeiter ist dann wirksame Grundlage für die Protokollierung und ggf. Auswertung der erhobenen Nutzerdaten. Diese Einwilligung ist durch die Arbeitnehmer persönlich, ausdrücklich und gesondert abzugeben. Sie kann nicht durch Betriebsvereinbarung oder tatsächliche Inanspruchnahme der Dienstrechner zu privaten Zwecken ersetzt werden, vgl. § 88 Abs. 3 Satz 3 TKG. Den Beschäftigten ist vor der Einwilligung zudem Gelegenheit zu geben, bestehende Regelungen zur Nutzung des Internets einzusehen. Arbeitnehmer, die diese Bedingungen nicht akzeptieren wollen, können ihre Einwilligung ohne jeden arbeitsrechtlichen Nachteil verweigern. Eine private Nutzung des Internets ist dann verboten.

Die Einführung und nähere Ausgestaltung der Internet- und E-Mail-Nutzung durch die Beschäftigten im Betrieb unterliegt der Mitbestimmung des Betriebsrates nach § 87 Abs. 1 Nr. 6 BetrVG. Jedenfalls in den Fällen, in denen keine Anonymisierung der Protokolldaten erfolgt, erlauben internetfähige Arbeitsplätze die Protokollierung der Vorgänge und damit eine Überwachung des Arbeitnehmerverhaltens. Dagegen unterliegt das Verbot des Arbeitgebers, Internet und E-Mail privat zu nutzen, grundsätzlich nicht dem Mitbestimmungsrecht des Betriebsrates.

Ausblick

Die Entscheidung des LArbG Berlin-Brandenburg hat die Kontrollrechte des Arbeitgebers in Bezug auf digitales Fehlverhalten von Arbeitnehmern enorm gestärkt. Abzuwarten bleibt, ob der betroffene Arbeitnehmer Revision gegen die Entscheidung einlegen wird und ob das dann zuständige Bundesarbeitsgericht die Verhältnismäßigkeit der Kontrolle bejahen, sowie die außerordentliche Kündigung des Arbeitnehmers – auch ohne vorherige Abmahnung – für rechtmäßig erklären wird.

Dieser Artikel ist Teil unserer Reihe zur EU-Datenschutz-Grundverordnung und soll klären, ob und wenn welche Änderungen das voraussichtlich im Frühsommer 2018 Inkrafttreten der EU-Datenschutz-Grundverordnung (EU-DSGVO) für die Zulässigkeit einer Videoüberwachung hat.

Wie ist die bisherige Rechtslage?

Wir haben die Grundsätze zur Zulässigkeit von Videoüberwachung bereits umfangreich dargestellt. Hier nochmals kurz die wesentlichen Eckpunkte:

Derzeit richtet sich die datenschutzrechtliche Zulässigkeit nach § 6b Bundesdatenschutzgesetz (BDSG). Demnach ist eine Videoüberwachung nur zu bestimmten – in § 6b BDSG aufgelisteten – Zwecken zulässig. Zudem muss auf die Überwachung mit Videokameras hingewiesen und die verantwortliche Stelle benannt werden. Weiter ist es so, dass zwischen dem reinen Monitoring / Beobachten und dem Speichern von Aufnahmen unterschieden wird. Letzteres bedarf einer besonderen Rechtfertigung und es müssen verbindliche Löschungsfristen für die Aufnahmen festgelegt werden. Zudem darf nur eine bestimmte Personengruppe Zugriff auf die Überwachungsbilder haben. Auch dies ist verbindlich festzulegen.

Alle diese Voraussetzungen werden derzeit in Rahmen einer stets erforderlichen „Vorabkontrolle“ geprüft. Die Vorabkontrolle wird entweder durch die Aufsichtsbehörden oder den betrieblichen Datenschutzbeauftragten durchgeführt. Dies hat sich in der Praxis als wirksames Mittel gegen eine Ausuferung von Videoüberwachungen bewährt, da häufig noch durch Änderung des Kamerawinkelns oder Verpixelungsmöglichkeiten ein besserer Schutz vor Eingriffen in Persönlichkeitsrechte erreicht werden kann.

Welche Regelungen zur Videoüberwachung enthält die EU-DSGVO?

Im Gegensatz zum BDSG enthält die EU-Datenschutz-Grundverordnung keine konkrete Regelung zur Zulässigkeit von Videoüberwachung. Erwähnung findet diese lediglich in Artikel 33 EU-DSGVO. Dieser regelt die Notwendigkeit einer sog. „Datenschutz-Folgenabschätzung“. Die Datenschutz-Folgenabschätzung ist wohl einer Vorabkontrolle gleichzustellen und soll in Konstellationen, in denen die Datenverarbeitung ein erhöhtes Eingriffspotential aufweist, den Schutz erhöhen.

Künftig geringere rechtliche Anforderungen an die Zulässigkeit?

Es besteht tatsächlich die Möglichkeit, dass künftig geringere datenschutzrechtliche Anforderungen an die Zulässigkeit einer Videoüberwachung gestellt werden. Jedenfalls lassen dies die „sparsamen“ Regelungen in der EU-DSGVO vermuten.

Während bislang stets eine Vorabkontrolle durchzuführen ist, kann dem Wortlaut der EU-Datenschutz-Grundverordnung entnommen werden, dass die Notwendigkeit einer Datenschutz-Folgenabschätzung nicht generell bei jeder Videoüberwachung erforderlich sein wird, sondern nur dann, wenn eine „systematische“ und „weiträumige“ Überwachung stattfindet.

Unterscheidet die EU-DSGVO zwischen verschiedenen Arten der Videoüberwachung?

Was genau unter den Voraussetzungen „systematisch“ und  „weiträumig“ zu verstehen ist, geht aus der EU-Datenschutz-Grundverordnung nicht hervor. Jedenfalls lassen die Begriffe einen erheblichen Interpretationsspielraum zu. Da mittlerweile praktisch jede Überwachung unter Einsatz automatisierter Verfahren vorgenommen wird, kann es aus Sicht des eingesetzten Verfahrens wohl keine „unsystematische“ Überwachung geben. Wegen der Verwendung dieses konkreten Begriffs, geht der europäische Gesetzgeber offensichtlich gleichwohl davon aus, dass nicht jede automatisierte Überwachung „systematisch“ ist. Was hierunter jedoch genau zu verstehen ist, bleibt offen. Gleiches gilt für den Begriff „weiträumig“. Soll hier z.B. von der Größe der überwachten Fläche ausgegangen werden? Und falls ja: Wie groß muss diese Fläche sein?

Auch der Umkehrschluss ist interessant: Da die EU-DSGVO nur unter den vorbezeichneten Voraussetzungen eine Datenschutz-Folgenabschätzung für erforderlich hält, geht der europäische Gesetzgeber offenbar davon aus, dass nicht jede Videoüberwachung einen erheblichen Eingriff in die Rechte der Betroffenen darstellt. Dieser Wertung kann entnommen werden, dass die EU-Datenschutz-Grundverordnung bestimmte Formen der Videoüberwachung für nicht besonders risikobehaftet erachtet und diese Formen künftig leichter möglich sein werden.

Verdeckte oder offene Beobachtung – Hinweis auf Videoüberwachung?

Eine Videoüberwachung stellt einen erheblichen Eingriff in die Persönlichkeitsrechte der Betroffenen dar. Als besonders intensiv wird der Eingriff erachtet, wenn eine diese verdeckt; also ohne Wissen des Betroffenen stattfinden könnte. Falls eine verdeckte und damit heimliche Überwachung möglich wäre, könnte sich faktisch niemand mehr sicher sein, ob er nicht gerade überwacht wird. Aus diesem Grund ist nach der derzeitigen Rechtslage die verdeckte Videoüberwachung von öffentlichen Räumen untersagt und § 6b Abs. 2 BDSG verlangt, dass über die Überwachung informiert und auf einem Hinweisschild auch die verantwortliche Stelle genannt wird.

In der EU-DSGVO fehlt eine derartige eindeutige Regelung. Es ist daher nach unserer Auffassung nicht ausgeschlossen, dass das Verbot der verdeckten Überwachung von öffentlichen Räumen daher – jedenfalls in gewissen Konstellationen – entfällt und eine verdeckte Überwachung auch öffentlicher Räume nach Inkrafttreten der EU-Datenschutz-Grundverordnung daher möglich wird.

Regelungen zur Videoüberwachung von Mitarbeitern?

Die Frage nach der Zulässigkeit von Videoüberwachung von Mitarbeitern / Arbeitnehmern ist eine der in der Praxis wichtigsten Fragen. Derzeit ist die Rechtslage zusammengefasst so:

• Am Arbeitsplatz ist – unter den Voraussetzungen des § 6b BDSG – eine offene Videoüberwachung möglich.
• In engen Ausnahmefällen ist auch eine verdeckte Videoüberwachung gestattet. Allerdings nur, wenn ein konkreter Verdacht einer strafbaren Handlung oder einer anderen schweren Verfehlung zu Lasten des Arbeitgebers vorliegen, weniger einschneidende Mittel müssen ausgeschöpft sind, die Videoüberwachung als einziges Mittel verbleibt und sie insgesamt nicht unverhältnismäßig ist.
• Sozialräume dürfen grundsätzlich nicht überwacht werden.

Aufgrund der hohen Praxisrelevanz wäre zu wünschen gewesen, dass die EU-DSGVO konkreten Regelungen zur Zulässigkeit einer Videoüberwachung von Mitarbeitern aufweist. In einer Entwurfsversion zu EU-DSGVO waren solche konkreten Regelungen noch vorgesehen. Dort sollte in Artikel 82 EU-DSGVO ausdrücklich das Verbot zur Überwachung von Sozialräumen geregelt werden. Zudem war ein generelles Verbot einer verdeckten Videoüberwachung vorgesehen. In der nun verabschiedeten Fassung der EU-Datenschutz-Grundverordnung sind allerdings leider Regelungen zur Zulässigkeit einer Videoüberwachung von Arbeitnehmern nicht zu finden.

Das Fehlen von konkreten Regelungen ist deshalb so bedauerlich, weil die Frage nach einer solchen Zulässigkeit für den Bereich des Arbeitnehmerdatenschutz in der Praxis eine hohe Relevanz hat. Da im Spannungsfeld „Videoüberwachung von Mitarbeitern“ sich anerkennenswerte Interessen von Arbeitgebern und Mitarbeitern oft nahezu gleichrangig gegenüberstehen, wäre es hilfreich gewesen, hier klare gesetzliche Vorgaben zu schaffen.

Welchen Einfluss haben die Aufsichtsbehörden?

Eine abschließende Bewertung der Frage zu den künftigen datenschutzrechtlichen Anforderungen an die Zulässigkeit einer Videoüberwachung ist selbstverständlich zu diesem Zeitpunkt nicht möglich. Vielmehr wird man die Umsetzung in der Praxis abwarten müssen.

Eine erhebliche Rolle für deren Handhabung wird voraussichtlich den datenschutzrechtlichen Aufsichtsbehörden zufallen. Gemäß Artikel 33 Abs. 2a EU-DSGVO ist es Aufgabe der jeweiligen Aufsichtsbehörden eine Liste mit Datenverarbeitungsprozessen zu erstellen, die einer Datenschutz-Folgenabschätzung unterworfen werden müssen. Denkbar ist, dass hier die Begriffe „systematisch“ und „weiträumig“ in einer Form ausgelegt werden, die faktisch dann doch – wieder – dazu führen, dass faktisch jede Videoüberwachung einer besonderen Kontrolle unterliegt. Zwar ist es so, dass im Grundsatz die Aufsichtsbehörden nicht ermächtigt sind, Vorgaben zu definieren, die strengere Maßstäbe als die EU-DSGVO beinhalten. Da aber – wie dargestellt – die Voraussetzungen einen erheblichen Interpretationsspielraum bieten, verstößt eine enge Auslegung der Begriffe nicht per se gegen diesen Grundsatz.

Hier finden Sie weitere ausgewählte Artikel zur EU-Datenschutz-Grundverordnung.

Wissen ist Macht – was schon zu Schulzeiten galt, lässt sich ebenso gut auf den Beruf übertragen. Arbeitgeber setzen zur Weiterbildung ihrer Mitarbeiter heutzutage vermehrt Online-Tools ein, mit Vorteilen für beide Seiten. Allerdings bieten die neuen Tools auch ganz neue Möglichkeiten der Kontrolle der eigenen Mitarbeiter. Welche datenschutzrechtlichen Vorgaben beachtet werden müssen, damit die Online-Schulung nicht zum Mittel der Überwachung wird, soll im Folgenden dargestellt werden. Dieser Artikel ist Teil unserer Serie zum Arbeitnehmerdatenschutz.

Pflicht zur beruflichen Weiterbildung

Soviel vorab: Arbeitgeber können ihre Mitarbeiter bis zu einem gewissen Grad zur Weiterbildung „zwingen“. Nämlich dann, wenn Arbeitnehmer wegen der im Laufe der Zeit gestiegenen Anforderungen nicht mehr über die erforderlichen Kenntnisse und Fähigkeiten verfügen, um ihre arbeitsvertraglich festgelegten Aufgaben zu erfüllen. Gleiches gilt, wenn es neue Gesetze oder Richtlinien gibt, die die Arbeitnehmer bei ihrer Tätigkeit beachten müssen. Dann sind die Mitarbeiter verpflichtet, sich das erforderliche Wissen anzueignen.

Eine Pflicht zur Weiterbildung besteht jedenfalls, wenn die Fortbildung während der Arbeitszeit erfolgt. Dann gehört die Weiterbildung zur vertraglich geschuldeten Arbeitsleistung des Arbeitnehmers. Unter gewissen Umständen – insbesondere bei höher qualifizierten und gut bezahlten Mitarbeitern – kann auch die Teilnahme an beruflichen Fortbildungen in den Abendstunden oder am Wochenende gefordert werden.

Vorteile und Nachteile von Online-Schulungen

Online-Schulungen bieten hierbei für Arbeitnehmer wie Arbeitgeber eine Reihe von Vorteilen: Dadurch, dass die Schulungsinhalte online zur Verfügung gestellt werden, entfallen lästige und gegebenenfalls zeitintensive Wege zum Schulungsort. Ebenso entstehen für die Teilnahme keine Reisekosten. Arbeitnehmer können je nach Zeit und Arbeitspensum an der Fortbildung teilnehmen und sie bei Bedarf unterbrechen, um wieder ihrer Arbeit nachzugehen.

Die Flexibilität hat aber auch ihre Kehrseite, denn der Arbeitgeber hat selbstverständlich ein Interesse daran zu wissen, ob seine Mitarbeiter die Schulung erfolgreich abgeschlossen haben. Und hier kommt der Datenschutz ins Spiel: Aus datenschutzrechtlicher Sicht stellt sich die Frage, inwieweit die bei der Benutzung des Online-Tools anfallenden Nutzungsdaten der Arbeitnehmer vom Arbeitgeber festgehalten und ausgewertet werden dürfen, um den Lernerfolg der Mitarbeiter festzustellen.

Datenschutzrechtliche Voraussetzungen beim E-Learning

Rechtsgrundlage für die Erhebung und Speicherung der Nutzungsdaten und/oder des Prüfungsergebnisses von Arbeitnehmern bei Online-Schulungen ist § 32 Abs. 1 S. 1 BDSG.

Das Online-Tool stellt zwar einen Teledienst im Sinne des § 1 Abs. 1 TMG dar, das TMG findet jedoch gemäß § 11 Abs. 1 Nr. 1 TMG keine Anwendung, wenn das Tool vom Arbeitgeber seinen Arbeitnehmern zur Verfügung gestellt wird.

Gemäß § 32 Abs. 1 S. 1 BDSG dürfen personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses unter anderem dann erhoben, verarbeitet oder genutzt werden, wenn dies für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Es dürfen also jeweils nur die erforderlichen Daten erhoben und an den Arbeitgeber weitergeleitet werden.

Maßstab der Erforderlichkeit

Maßgeblich für die Erforderlichkeit ist, dass der Arbeitgeber ein berechtigtes Interesse an der Kenntnis der jeweiligen Daten hat. Eine Leistungskontrolle des Lernverhaltens der Mitarbeiter soll gerade verhindert werden.

In diesem Sinne zulässig ist jedenfalls, dass dem Arbeitgeber das Ergebnis der Online-Schulung mitgeteilt wird – also entweder der erfolgreiche Abschluss oder das Nichtbestehen. Falls die Schulung innerhalb einer bestimmten Zeit zu absolvieren ist, auch die Nichteinhaltung der vorgegebenen Zeit.

Unzulässig ist es demgegenüber, dass der Arbeitgeber Daten hinsichtlich des Lernfortschritts oder Lerntempos erhält. Das gilt beispielsweise für die von einem Arbeitnehmer benötigte Dauer für einen Lernabschnitt, ebenso wie für benötigte Wiederholungsraten.

Dies würde die Mitarbeiter unter einen unzulässigen Kontrolldruck hinsichtlich ihrer Lernerfolge setzen. Werden solche Daten automatisch durch das Schulungstool erhoben, sind sie unverzüglich zu löschen, sobald sie nicht mehr für die Steuerung des Lernsystems erforderlich sind.

Wichtig: Konkrete Regelung in einer Betriebsvereinbarung

Aufgrund der Kontrollmöglichkeiten, die Online-Schulungstools dem Arbeitgeber eröffnen, unterliegt deren Einsatz der betrieblichen Mitbestimmung gemäß § 87 Abs. 1 Nr. 6 BetrVG bzw. §§ 96 – 98 BetrVG.

Ist ein Betriebsrat in dem Unternehmen vorhanden, muss folglich eine Betriebsvereinbarung über Einsatz und Nutzung des Tools geschlossen werden. In der Betriebsvereinbarung sollte dann entsprechend der obigen Anforderungen explizit geregelt werden, welche Nutzungsdaten an den Arbeitgeber übermittelt werden dürfen. Ebenso sind Fristen festzulegen, nach deren Ablauf der Arbeitgeber die erhobenen Daten zu löschen hat.

Wird das Schulungstool durch einen Dritten bereitgestellt, ist schließlich noch an den Abschluss eines Auftragsdatenverarbeitungsvertrages (ADV) zu denken.

Dann spricht aus datenschutzrechtlicher Sicht nichts gegen die Verwendung eines Online-Tools zur Schulung der Mitarbeiter.

Aufgrund der großen Resonanz und regelmäßigen Anfragen zu unserem Artikel „Überwachung am Arbeitsplatz: GPS vs. Datenschutz“, wollen wir an dieser Stelle einen Überblick für Betroffene schaffen, welche Möglichkeiten Ihnen zur Verfügung stehen, um die rechtliche Zulässigkeit eines GPS-Systems am Arbeitsplatz einschätzen zu können und sich ggf. gegen eine unzulässige Überwachung zur Wehr zu setzen.

Verwertung von GPS-Daten grundsätzlich möglich

Eine Verwertung von GPS-Daten durch den Arbeitgeber ist grundsätzlich möglich, sofern diese sich im Rahmen der gesetzlichen Möglichkeiten bewegt. Die gesetzlichen Voraussetzungen haben wir bereits beschrieben. Drei Punkte möchten wir noch einmal herausstellen:

• Eine Totalüberwachung der Arbeitnehmer, also insbesondere auch während der Pausen, ist nicht erlaubt.
• Der Arbeitgeber muss die Arbeitnehmer über den Einsatz und Zweck einer GPS-Überwachung informieren.
• Es muss ein Löschkonzept für die erhobenen personenbezogenen Daten geben.

Möglichkeiten des Arbeitnehmers

Da es für den Arbeitnehmer trotz Kenntnis der einschlägigen Regelungen im Einzelfall schwierig sein kann, die rechtliche Zulässigkeit einer GPS-Anwendung zu bestimmen oder gegen eine offensichtlich unzulässige Dauerüberwachung vorzugehen, kann er die Hilfe folgender Institutionen bzw. Rechte in Betracht ziehen:

1. Betriebsrat
2. Datenschutzbeauftragter
3. Auskunftsrecht
4. Aufsichtsbehörde
5. Rechtsanwalt

1. Betriebsrat

Falls in dem Unternehmen ein Betriebsrat existiert, hat dieser die Interessen der Arbeitnehmer zu vertreten. Dies gilt auch für Fragen des Datenschutzes und der Persönlichkeitsrechte, § 75 Abs. 2 Betriebsverfassungsgesetz (BetrVG). Darüber hinaus ist der Betriebsrat bei der Einführung eines GPS-Systems zu beteiligen und es ist eine Betriebsvereinbarung zu schließen, welche die Anwendung des Systems regelt, § 87 Abs. 1 Nr. 6 BetrVG. Dort muss festgehalten werden, auf welche Daten der Arbeitgeber zu welchem Zweck zugreifen darf und dass eine allgemeine Leistungs- und Verhaltenskontrolle nicht zulässig ist. Bedenken des Arbeitnehmers sollten daher an den Betriebsrat herangetragen werden und die betreffende Betriebsvereinbarung kann eingesehen werden.

2. Datenschutzbeauftragter

Gibt es einen betrieblichen Datenschutzbeauftragten (DSB), so ist auch dieser Ansprechpartner für jeden Mitarbeiter in allen Fragen des Datenschutzes. Der DSB ist dabei stets zur absoluten Vertraulichkeit verpflichtet. Der Datenschutzbeauftragte untersteht zwar direkt der Geschäftsleitung, er ist aber bei seiner Aufgabenerfüllung nicht weisungsgebunden und er hat auf die Einhaltung des Datenschutzes im Unternehmen hinzuwirken. Der DSB kann die Geschäftsleitung letztlich zwar nur auf Datenschutzverstöße und alle damit verbundenen rechtlichen und tatsächlichen Risiken hinweisen und hat selbst keine Entscheidungsbefugnis, dies reicht aber oft schon aus, um ein Umdenken bei der Geschäftsleitung herbeizuführen. Darüber hinaus kann der Datenschutzbeauftragte den Mitarbeiter über die tatsächliche Tragweite der Datenverarbeitung und deren Auswirkungen aufklären und somit eventuelle Unsicherheiten und Ängste aus der Welt schaffen.

3. Auskunftsrecht

Sollte sich der Arbeitnehmer nicht sicher sein, wie umfangreich die Datenverarbeitung durch das GPS-System tatsächlich ist und es ist kein Betriebsrat oder Datenschutzbeauftragter im Betrieb vorhanden der ihm weiterhelfen kann, so kann er gegenüber dem Arbeitgeber auch sein gesetzliches Auskunftsrecht geltend machen, § 34 Abs. 1 BDSG. Der Arbeitgeber muss dem Arbeitnehmer Auskunft darüber erteilen, welche personenbezogenen Daten er wie und zu welchem Zweck von dem Arbeitnehmer erhebt, verarbeitet und nutzt.

4. Aufsichtsbehörde

Der Arbeitnehmer kann sich grundsätzlich auch an die Aufsichtsbehörde wenden. Hier ist aber zunächst Zurückhaltung zu empfehlen, vor allem so lange die rechtliche Zulässigkeit der Datenverarbeitung durch das GPS-System unklar ist und der Arbeitnehmer außerdem ein Interesse daran hat, das Verhältnis zu seinem Arbeitgeber nicht nachhaltig negativ zu beinträchtigen. Darüber hinaus hat ein Arbeitnehmer natürlich auch Treuepflichten gegenüber seinem Arbeitgeber zu beachten und kann diesen nicht ohne ausreichende Grundlage bei der Behörde „anschwärzen“. Der Arbeitnehmer kann zwar auch hier immer anonym bleiben, oft wird es dem Arbeitgeber aber natürlich trotzdem möglich sein, die passenden Rückschlüsse zu ziehen, wenn es plötzlich Post von der Behörde gibt. Der Arbeitnehmer sollte daher seinen Fall der Aufsichtsbehörde schildern und dabei zunächst sowohl seine Identität als auch die seines Arbeitgebers anonym halten. Die Aufsichtsbehörde wird trotzdem eine rechtliche Beurteilung hinsichtlich der Zulässigkeit der Datenverarbeitung abgeben. Auf dieser Basis kann sich der Arbeitnehmer dann überlegen, wie er weiter vorgeht. Zu Bedenken ist dabei aber stets, dass ein Einschreiten der Behörde mit hohen Bußgeldern und einem zusätzlichem Reputationsschaden für den Arbeitgeber verbunden sein kann und eine künftige Zusammenarbeit zwischen Arbeitgeber und Arbeitnehmer deswegen mindestens „schwierig“ sein wird.

5. Rechtsanwalt

Natürlich kann sich der Arbeitnehmer immer auch an einen Rechtsanwalt wenden, damit dieser die rechtliche Zulässigkeit des GPS-Systems am Arbeitsplatz prüft und gegebenenfalls den Arbeitgeber zunächst auffordert, die Datenverarbeitung und Nutzung auf ein mit den Persönlichkeitsrechten des Arbeitnehmers verträgliches Maß anzupassen. Bleibt der Arbeitgeber daraufhin untätig, steht noch der Klageweg vor den Arbeitsgerichten offen.

Abgestufte Vorgehensweise

Der Arbeitnehmer sollte sich durch Konsultierung der o.g. Stellen erst einmal Klarheit darüber verschaffen, ob das GPS-System in unzulässiger Weise in seine Persönlichkeitsrechte eingreift. Danach sollte in jedem Fall zunächst versucht werden, über den Betriebsrat, den Datenschutzbeauftragten, oder durch ein offenes Gespräch mit dem Arbeitgeber selbst, eine Lösung herbeizuführen. Erst wenn das alles nichts hilft und der Arbeitnehmer für sich selbst entschieden hat, dass er unter diesen Umständen nicht arbeiten kann oder will, sollte der Gang zum Anwalt oder der Behörde in Erwägung gezogen werden.