IT-Kontrollen auch „heimlich“ zulässig?

Seit der Entscheidung des BAG vom 20. Juni 2013 (2 AZR 546/12) zu Beweisverwertungsverboten bei heimlichen Mitarbeiterkontrollen hat sich bei vielen Arbeitgebern der Eindruck gebildet, dass Datenschutz und allgemeines Persönlichkeitsrecht gleichsam als Trumpfkarte jegliche berechtigten Kontrollinteressen des Arbeitgebers aushebeln. Häufig wird daher sogar von einfachsten Formen der Mitarbeiterkontrolle Abstand genommen. Das ist aber keineswegs erforderlich. Wir zeigen anhand zweier aktueller Entscheidungen, welche Spielräume die Entscheidung des BAG hinsichtlich verdeckter IT-Kontrollen lässt.

„Heimliche“, aber zulässige Einsichtnahme

(Gerichtsfeste) Kontrollen können durchgeführt werden, wenn die heimliche Einsichtnahme in Daten das mildeste Mittel zur Aufklärung von Verdachtsmomenten darstellt. Selbst datenschutzwidrig erlangte Informationen können im Prozess verwertbar sein, da keine notwendige Verbindung zwischen Datenschutzverstoß und Beweisverwertungsverbot besteht. Nur intensive Eingriffe in das Persönlichkeitsrecht führen zur Unverwertbarkeit. Das gilt etwa, wenn bei verbotener Privatnutzung die (heimliche) Sichtung als privat markierter Kalendereinträge im dienstlichen elektronischen Kalender erfolgt, um den Verdacht eines Arbeitszeitbetrugs aufzuklären. Selbst wenn eine Sichtung im Beisein der Betroffenen ein milderes Mittel gewesen wäre, ist die Eingriffsintensität so gering, dass die entsprechenden Daten dennoch im Prozess verwertet werden können (LAG Rheinland-Pfalz vom 25. November 2014, 8 Sa 363/14 [Revision zugelassen, BAG 2 AZR 258/15]).

Will der Arbeitgeber unerlaubte private Internetnutzung am Arbeitsplatz überprüfen, ist er berechtigt, auch ohne Zustimmung des Arbeitnehmers den Browserverlauf des Dienst-PC auszuwerten. Zwar handelt es sich hierbei klar um personenbezogene Daten. Die Datenauswertung für die Zwecke einer Missbrauchskontrolle ist jedoch auch ohne solche Einwilligung zulässig, wenn und weil der Arbeitgeber keine andere Möglichkeit hat, den Umfang einer unerlaubten Internetnutzung nachzuweisen (LAG Berlin-Brandenburg vom 14. Januar 2016, 5 Sa 657/15 [Revision zugelassen]).

Kein „automatisches“ Beweisverwertungsverbot aufgrund Eingriffs in das Persönlichkeitsrecht

Das BAG hat in seiner Entscheidung vom 20. Juni 2013 zwar festgestellt, dass ein unverhältnismäßiger Eingriff in Persönlichkeitsrechte des Arbeitnehmers gegen Art. 2 Abs. 1 GG verstößt und deshalb zu einem prozessualen Beweisverwertungsverbot führen kann. Entscheidend ist dabei aber die Intensität des Verstoßes, so dass selbst ein datenschutzrechtlicher Verstoß bei der Erlangung von Informationen nicht zwingend dazu führen muss, dass die Tatsachen später im Prozess unverwertbar wären.

Rahmenbedingungen für die Kontrolle der IT-Nutzung allgemein

Was muss der Arbeitgeber im Alltag beachten? Das richtet sich danach, ob die Privatnutzung dienstlicher EDV erlaubt oder verboten ist.

Ist sie verboten, hat er sich „lediglich“ an das BDSG zu halten.

• Hinsichtlich der Verbindungs-, Nutzungs- und Inhaltsdaten ist § 32 BDSG anwendbar, der es erlaubt, personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses zu erheben, verarbeiten oder nutzen, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses, dessen Durchführung oder Beendigung erforderlich ist. Zur Aufdeckung von Straftaten dürfen personenbezogene Daten eines Beschäftigten dagegen nur dann erhoben, verarbeitet oder genutzt werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass der Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat, die Erhebung, Verarbeitung oder Nutzung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse des Beschäftigten demgegenüber nicht überwiegt.

• Jenseits der gesetzlichen Erlaubnistatbestände darf der Arbeitgeber personenbezogene Daten nur speichern und verwenden, wenn der Arbeitnehmer schriftlich und konkret seine Einwilligung nach § 4a BDSG erteilt hat oder dies in einer Betriebvereinbarung („andere Rechtsvorschrift“ im Sinne des § 4 Abs. 1 BDSG) geregelt ist.

Hat der Arbeitgeber hingegen die private Nutzung dienstlicher IT (ausdrücklich oder konkludent) gestattet, sieht er sich bei jeder Kontrolle erheblichen Risiken ausgesetzt:

• Nach (derzeit noch) herrschender, aber wenig überzeugender Meinung ist der Arbeitgeber, der seinen Arbeitnehmern die private Nutzung von IT-Diensten gestattet, als Anbieter von Telemedien im Sinne des TMG zu klassifizieren und als solcher an das Fernmeldegeheimnis (§ 7 Abs. 2 TMG; § 88 TKG) gebunden. Dann wäre jede Kontrolle etwa privater e-Mails sogar mit dem Risiko einer Strafbarkeit (§ 206a StGB) behaftet. Während die zutreffende Gegenansicht (zuletzt: LAG Niedersachsen vom 31. Mai 2010, 12 Sa 875/09; LAG Berlin-Brandenburg vom 16. Februar 2011 – 4 Sa 2132/10) auf dem Vormarsch ist, gibt es noch keine höchstrichterliche Klärung zu dieser Frage. Selbst der Arbeitgeber, der sich – zu Recht – auf diese landesarbeitsgerichtlichen Entscheidungen beruft, steht vor dem Problem, dass die Aufsichtsbehörden für den Datenschutz (bislang) noch der Gegenansicht zuneigen und daher mit entsprechenden Maßnahmen schnell bei der Hand sind.
• Einziges Hilfsmittel für den Zugriff auf Kommunikationsinhalte und –teilnehmer ist insoweit die ausdrückliche schriftliche vorherige Einwilligung des Arbeitnehmers in die Einsichtnahme. Selbst eine Betriebsvereinbarung als Eingriffsgrundlage kann keinen Eingriff in das Fernmeldegeheimnis rechtfertigen. Nutzerdaten dürfen nur erfasst und verwendet werden, soweit die Daten zur Ermittlung des Entgelts und zur Abrechnung mit ihren Teilnehmern benötigt werden (§§ 97 I TKG, 15 I TMG) – was weder Zeitpunkt noch Dauer, Art, Inhalt oder Häufigkeit der Inanspruchnahme bestimmter Telemedien umfasst.
• Das Bundesdatenschutzgesetz gilt – eine Anwendbarkeit von TKG und TMG vorausgesetzt – nach § 1 Abs. 3 S. 1 BDSG nur subsidiär.

Arbeitgebern ist anzuraten, nicht vorschnell vor vermeintlichen (datenschutz-) rechtlichen Hürden zu kapitulieren, sondern die sich bietenden rechtlichen Möglichkeiten auszunutzen, um Missbrauch dienstlicher IT und das Entstehen „rechtsfreier Räume“ zu verhindern. Auf der Kehrseite ist eine genaue Kenntnis der rechtlichen Grenzen des Handelns zwingend erforderlich.

Mehr zum Thema Mitarbeiterüberwachung lesen Sie am morgigen Freitag in dem Beitrag von Dr. Christoph Bergwitz zur Frage der Zulässigkeit verdeckter Videoüberwachung.