Wie viel Überwachung am Arbeitsplatz ist erlaubt?

Keiner wird bestreiten, dass im Arbeitsleben neben arbeitsrechtlichen Pflichtverstößen in gewissem Umfang auch Straftaten wie Diebstahl, Unterschlagung und Datenmanipulation vorkommen. Der Arbeitgeber muss in der Lage sein, sich dagegen wehren zu können. Dazu muss er auch prüfen können, ob überhaupt Pflichtverstöße oder Straftaten begangen wurden. Doch wie weit reichen seine Kontrollrechte? Darf er für Kontrollmaßnahmen auch die IT-Systeme einsetzen? Wie weit reicht das Recht auf informationelle Selbstbestimmung der Beschäftigten? Erlaubt man dem Arbeitgeber, die IT-Systeme für Kontrollen einzusetzen, müssen zugleich deren Grenzen klar sein. Da bei solchen Maßnahmen immer die persönlichen Daten der Beschäftigten betroffen sind, benötigt der Arbeitgeber für einen solchen Eingriff eine gesetzliche Legitimationsgrundlage (»Verbot mit Erlaubnisvorbehalt«). Die Gerichte haben hier einige Linien aufgezeigt, vieles ist aber noch ungeklärt. In folgenden Fällen sollen Mitarbeiterkontrollen durch den Arbeitgeber zulässig sein.

1. Kontrolle wegen Verdachts auf eine Straftat

Liegt ein konkreter Verdacht vor, dass ein Arbeitnehmer im Beschäftigungsverhältnis eine Straftat begangen hat, kann der Arbeitgeber Kontrollmaßnahmen unter Einsatz der IT-Systeme vornehmen, um die Sachlage zu klären. Der Verdacht muss durch tatsächliche Anhaltspunkte erhärtet sein. Diese sind zu dokumentieren. Rechtsgrundlage ist § 26 Abs. 1 Satz 2 BDSG (»Zur Aufdeckung von Straftaten dürfen personenbezogene Daten verarbeitet werden...«).

Dabei muss jede einzelne Maßnahme des Arbeitgebers verhältnismäßig sein (§ 26 Abs. 1 Satz 2 BDSG). Es ist deswegen unzulässig, bei jedem noch so kleinen Verdacht – man denke beispielsweise an geklaute Frikadellen vom Büffet – Überwachungsmaßnahmen vorzunehmen, da diese einen gravierenden Eingriff in die Persönlichkeitsrechte der Beschäftigten darstellen.

Das heißt: Nur bei erheblichen Straftaten, die den Arbeitgeber auch erheblich beeinträchtigen, sind derlei Überwachungsmaßnahmen verhältnismäßig.

Wichtige Grenzen sind neben der Verhältnismäßigkeit die allgemeinen Grundsätze des Datenschutzrechts nach Art. 5 Abs. 1 DSGVO: Zweckbindung, Datenminimierung und Transparenz.

Heimliche Überwachungsaktionen sind wegen Verstoßes gegen das Transparenzgebot daher unzulässig. Alle Kontrollmaßnahmen müssen offen kommuniziert werden. Kontrollmaßnahmen sind immer nur bei Verdacht auf »Straftaten«, nicht aber bei bloßen Ordnungswidrigkeiten zulässig. Welcher Verdachtsgrad zur Einleitung der Kontrollmaßnahmen erforderlich ist, ist heftig umstritten.

Einige Gerichte haben zuletzt Kontrollmaßnahmen beim bloßen »Anfangsverdacht« für zulässig erklärt, was durchaus auf Kritik stößt. Vage Anhaltspunkte oder bloße Mutmaßungen des Arbeitgebers sind allerdings keinesfalls ausreichend. Nicht legitim sind rein präventive Maßnahmen, die ohne konkreten Verdacht auf die ganze Belegschaft zielen, wie etwa sogenannte »Screenings«. Unzulässig sind damit auch »Data Leak Prevention«-Systeme, sofern diese eine permanente Rasterfahndung ermöglichen.

2. Kontrolle wegen Verdachts auf eine arbeitsrechtliche Pflichtverletzung

Deutlich problematischer stellt sich der Fall dar, wenn der Arbeitgeber möglichen »arbeitsrechtlichen Pflichtverletzungen« nachgeht, die deutlich unterhalb des Schweregrads der Straftat liegen (z. B. unzulässiges Surfen im Internet, blaumachen). Einige Gerichte halten Kontrollen auch in solchen Fällen für zulässig, was den Handlungsspielraum der Arbeitgeber in problematischer Weise erweitert (zuletzt BAG 29.6.2017 – 2 AZR 597/16).

Die Gerichte stützen sich dabei meist auf § 26 Abs. 1 Satz 1 BDSG, der dem Arbeitgeber eine Datenverarbeitung und folglich Überwachung zum Zweck der »Beendigung des Arbeitsverhältnisses« erlaubt. Kontrollen sollen also möglich sein, um Beweismaterial für eine Kündigung zu sammeln, falls ein Anfangsverdacht auf eine Pflichtverletzung vorliegt. Dabei sind aber die Grundsätze nach Art. 5 DSGVO und das Verhältnismäßigkeitsprinzip zu beachten. Daher sollte man annehmen, dass nur bei gravierenden Verstößen gegen arbeitsrechtliche Pflichten ein massiver Eingriff in die Persönlichkeitsrechte der Beschäftigten durch Kontrollmaßnahmen gerechtfertigt ist. Die Gerichte scheinen hier teilweise anderer Meinung zu sein.

Mehr lesen bei:

Bettina Frowein, »Wann ist Kontrolle am Arbeitsplatz zulässig?«, in: »Computer und Arbeit« 11/2019, S. 8 ff.

Jetzt 2 Ausgaben »Computer und Arbeit« gratis testen und sofort online auf alle Inhalte zugreifen!

© bund-verlag.de (ct)