Vielen Arbeitnehmern ist es nicht bewusst, aber: ihre Arbeitgeber sammeln immer häufiger und in immer größerem Umfang ihre Daten.

Das liegt vor allem daran, dass die elektronische Datenverarbeitung in den letzten Jahren enorm zugenommen hat. Damit können Arbeitgeber über Hard- und Software viel leichter an Informationen gelangen. So können sie beispielsweise feststellen, wer, wann, wo und wie lange ein bestimmtes Gerät genutzt und was er dort genau gemacht hat. Doch bedeutet der Umstand, dass Arbeitgeber solche Daten sammeln können, nicht zwangsläufig, dass sie das auch dürfen.

Da es viele Möglichkeiten gibt, Informationen zu sammeln, kommt es für die Frage, ob der Arbeitgeber sie auch rechtmäßig erlangt, sammelt und verarbeitet, immer auf den Einzelfall an. Einen solchen Fall entschied das Bundesarbeitsgericht (BAG) kürzlich:

Der Kläger war seit 2011 bei der Arbeitgeberin als Web-Entwickler beschäftigt. Anfang April 2015 teilte sie ihren Arbeitnehmern mit, dass der Internet-Traffic und die Benutzung ihrer Systeme „mitgeloggt“ würden. Dazu installierte sie auch auf dem Dienstcomputer des Klägers eine Software (sog. „Keylogger“). Diese protokollierte seine Tastatureingaben und fertigte regelmäßig Bildschirmfotos (Screenshots) an. Alle Informationen wurden dabei dauerhaft gespeichert.

Nachdem die Arbeitgeberin die Daten, die der Keylogger erstellt hatte, ausgewertet hatte, fand ein Gespräch mit dem Kläger statt. Darin gestand er, seinen Dienstcomputer während seiner Arbeitszeit geringfügig privat genutzt zu haben, um ein Computerspiel zu programmieren und den E-Mail-Verkehr der Firma seines Vaters abzuwickeln. Die Arbeitgeberin konnte aufgrund der gewonnen Daten jedoch davon ausgehen, dass er den Computer vielmehr in erheblichem Umfang genutzt hatte. Sie kündigte deshalb das Arbeitsverhältnis außerordentlich fristlos, hilfsweise ordentlich. Dagegen erhob der Kläger Kündigungsschutzklage.

Das BAG entschied nun, dass die Kündigung unwirksam war. Da die Arbeitgeberin die Daten durch den Keylogger rechtswidrig erlangt hatte, durfte sie die Kündigung damit nicht begründen.

Die Arbeitgeberin hat durch den Keylogger den Kläger in seinem Grundrecht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG) verletzt. Das Bundesdatenschutzgesetz (BDSG) konkretisiert den Schutz dieses Grundrechts.

Nach § 4 Abs. 1 BDSG sind die Erhebung, die Verarbeitung und die Nutzung personenbezogener Daten nur zulässig, wenn der Betroffene, beispielsweise der Arbeitnehmer, darin einwilligt oder ein Sachverhalt vorliegt, in dem der Arbeitgeber dies auch ohne die Einwilligung des Arbeitnehmers darf. Letzteres regelt beispielsweise § 32 Abs. 1 BDSG. Danach sind die Erhebung, die Verarbeitung und die Nutzung von personenbezogenen Daten eines Arbeitnehmers auch ohne seine Zustimmung zulässig, wenn ein konkreter Verdacht einer Straftat oder einer anderen schwerwiegenden Pflichtverletzung besteht, der durch konkrete Tatsachen begründet wird.

Im Fall des BAG lag keine Einwilligung des Klägers vor. Die Arbeitgeberin hatte auch noch keinen konkreten Verdacht hinsichtlich des Klägers, als sie den Keylogger installierte. Sie hatte die Daten also bloß „ins Blaue hinein“ erhoben. Sie hätte sie nur dann zur Begründung der Kündigung heranziehen dürfen, wenn sie schon vor der Installation des Keyloggers einen konkreten und begründeten Verdacht gehabt hätte, dass der Kläger den Computer unrechtmäßig nutzt. Das war hier allerdings nicht gegeben. Der Verdacht ergab sich vielmehr erst aus der Datenerhebung selbst.

Dass der Kläger selbst im Gespräch eingeräumt hatte, den Computer privat genutzt zu haben, konnte die verhaltensbedingte Kündigung jedoch auch nicht rechtfertigen, da die Arbeitgeberin ihn vorher hätte abmahnen müssen.

Das BAG verglich den Einsatz des Keyloggers mit der verdeckten Videoüberwachung am Arbeitsplatz.

Das Urteil zeigt, dass die Möglichkeiten der Datenerhebung nicht nur Vorteile bringen, sondern vor allem für Arbeitgeber sehr tückisch sind. Sie sollten sich daher strikt an die Vorgaben des Datenschutzes halten. Vor allem, weil im Mai nächsten Jahres die EU-Datenschutzgrundverordnung (EU-DSGVO) in Kraft tritt, sollten sie jetzt aktiv werden und prüfen, ob sie nicht nur die aktuellen Regelungen des BDSG, sondern auch die dann geltenden Regelungen der Verordnung einhalten.

Bei der Datenerhebung, -verarbeitung und -nutzung gilt dabei grundsätzlich: so viel wie nötig, so wenig wie möglich.

So sollten Arbeitgeber beispielsweise neue Software, die Arbeitsabläufe vereinfacht, kritisch betrachten, wenn sie die Überwachung der Arbeitnehmer erleichtert. Sie sollten sich fragen, welche Informationen sie wie erheben, verarbeiten und nutzen und ob sie für das Arbeitsverhältnis wirklich notwendig sind. Das gilt besonders für hochsensible Daten der Arbeitnehmer wie Benutzernamen, Passwörter, PIN-Daten etc. Sind die Informationen nicht erforderlich, sollten sie auf deren Erhebung verzichten bzw. sie umgehend löschen, um keinen Verstoß gegen die Regelungen des Datenschutzes zu riskieren.

Ihr Ziel sollte sein, den digitalen Fingerabdruck ihrer Arbeitnehmer so klein wie möglich zu halten.

Arbeitnehmer sollten dagegen nicht vorschnell handeln und arbeitsvertragliche Verstöße nicht einräumen, wenn der Arbeitgeber selbst einen Verstoß begangen hat, nämlich gegen den Datenschutz. Anderenfalls geben sie ihm weitere Argumente für Abmahnungen oder Kündigungen, da sie selbst zugeben, dass sie etwas falsch gemacht haben.

Auch Betriebsräte sollten das Thema Datenschutz nicht ignorieren. Sie sollten vielmehr ihre dahingehenden Rechte geltend machen und die Datenverarbeitung im Betrieb daraufhin überprüfen, ob der Arbeitgeber die aktuellen und kommenden Regelungen einhält.

Urteil des BAG vom 27.07.2017, Az. 2 AZR 681/16