Kontrolle von E-Mail und Internet

Ein unendliches Thema oder nur eine Verlockung, der man als Vorgesetzter nur zu gerne nachgibt?

Von Kriminaldirektor Werner Märkert

Moderne Medien wie Internet, E-Mail sowie die Nutzung von sozialen Netzwerken sind aus unserer privaten und beruflichen Welt nicht mehr wegzudenken: Sie sind inzwischen fester Bestandteil der täglichen Arbeit. Wir werden so flexibler bei der Gestaltung und Organisation von Arbeits- und Informationsabläufen und kommen schneller an private und dienstliche Informationen.

Gleichzeitig verschwimmen aber auch die privaten und dienstlichen Grenzen immer mehr.¹ Stichworte sind dabei z.B. die ständige Erreichbarkeit der Mitarbeiter „rund um die Uhr“ und die mobilen sowie die Heimarbeitsplätze. Die private Nutzung des Internets oder E-Mail am Arbeitsplatz wird so sehr schnell zu einer Selbstverständlichkeit mit einigen Risiken.

Jeder dienstliche Computer ist nicht nur mit dem dienstlichen Netz, sondern meist auch mit dem Internet verbunden. Man erkannte so sehr schnell, dass die neuen Entwicklungen nicht nur ein großes Missbrauchspotenzial beinhalten, sondern auch viele neue Möglichkeiten der Kontrolle von Mitarbeitern eröffnen. Datenskandale wie z.B. bei Lidl belegen dies und leiteten nach und nach eine öffentliche Diskussion über Notwendigkeit, Zulässigkeit und Umfang von dienstlichen oder beruflichen Kontrollmaßnahmen der Mitarbeiter in einem Unternehmen ein.

In privaten Betrieben und in der öffentlichen Verwaltung wurde relativ locker mit entsprechenden Kontrollkompetenzen umgegangen und eventuelle Beteiligungsrechte von Datenschutzbeauftragten und Personalvertretungen spielten anfangs nur eine geringe Rolle. Heute gibt es zum Teil sehr detaillierte, zugleich aber auch sehr unterschiedliche Dienstvereinbarungen zwischen Personalräten und der Behördenleitung – insbesondere was die E-Mail- und Internetnutzung angeht. Gewerkschaften und Personalräten mussten dazu Fragen wie: „Was ist erlaubt?“ „Was darf kontrolliert werden?“ „Wer darf kontrollieren?“ „Geht das Direktionsrecht des Vorgesetzten so weit, dass er eine Kontrolle durch den Systemadministrator anordnen kann?“ „In welchem Umfang darf kontrolliert werden?“ klären.

Besondere Schwierigkeit bereitet in diesem Zusammenhang die rechtliche Bewertung:

• Gilt das Telekommunikationsrecht?
• Sind Arbeitgeber in bestimmten Fällen Anbieter von Telekommunikationsdiensten?
• Wie weit reicht das Fernmeldegeheimnis?
• In welchem Umfang gilt das Bundesdatenschutzrecht?
• Gelten Regelungen für E-Mail nur für die externe oder auch für die interne Nutzung sowie für die Telefonie?

Viele dieser Fragen scheinen mittlerweile geklärt zu sein. Für andere Problemstellungen wartet man dringend auf das angekündigte und immer wieder vertagte Arbeitnehmerdatenschutzgesetz².

Kontrolle erlaubt oder verboten?

Im privatwirtschaftlichen und behördlichen Bereich begründen Arbeitgeber ihr berechtigtes Interesse an einer Kontrolle der Beschäftigten damit, dass sie schließlich kontrollieren müssen, ob strafbare Handlungen begangen werden oder ein Missbrauch³ stattfindet, indem z.B. das Verbot der privaten Nutzung nicht befolgt wird bzw. eine erlaubte private Nutzung sich nicht in dem vorgesehenen Rahmen bewegt. Grundsätzlich gilt, dass der Arbeitnehmer wissen muss, was in seinem Arbeitsbereich erlaubt ist und was nicht. Dienstvereinbarungen, die dies regeln, sind den Beschäftigten dokumentiert zur Kenntnis zu geben.

Für die Beurteilung, ob und wenn ja, in welcher Art und Weise der Arbeitgeber eine „elektronische Bürokontrolle“ durchführen darf, ist grundsätzlich ausschlaggebend, ob neben der dienstlichen auch die private Nutzung von E-Mail und Internet am Arbeitsplatz ausdrücklich oder stillschweigend gestattet ist.

Fallgestaltung: Es gibt keine Regelung!

Fehlt eine Regelung zur privaten Nutzung von E-Mail und Internet, so muss der Arbeitnehmer davon ausgehen, dass die private Nutzung grundsätzlich nicht erlaubt ist. Erlaubt der Arbeitgeber jedoch stillschweigend in Kenntnis der tatsächlich stattfindenden privaten Nutzung – evtl. auch trotz einer anderslautenden Anordnung – die private Nutzung, so darf der Arbeitnehmer von einer stillschweigenden Erlaubnis ausgehen, aus der eine sogenannte „betriebliche Übung“ entstehen kann. In diesen Fällen, sowie auch in den Fällen einer ausdrücklich erlaubten privaten Nutzung, gilt aber, dass die Nutzung zu keiner Beeinträchtigung der Arbeitsleistung führen darf.

Fallgestaltung: Die private Nutzung ist verboten!

Wenn der öffentliche Arbeitgeber nur die dienstliche Nutzung erlaubt, richtet sich die Zulässigkeit der Kontrolle, unter Beachtung des Rechts der Mitarbeiter auf informationelle Selbstbestimmung, nach dem Bundesdatenschutzgesetz⁴.

Als dienstliche Nutzung ist grundsätzlich jede die Arbeit fördernde Nutzung zu verstehen. Dies liegt vor, wenn ein inhaltlicher Bezug zu den dienstlichen Aufgaben besteht und sie den objektiven Interessen oder Pflichten⁵ des Arbeitgebers entsprechen. So stellt z. B. eine E-Mail oder Chat-Nachricht an den Ehepartner, dass man wegen Überstunden erst später nach Hause kommt, eine dienstliche Nutzung dar. Gleiches dürfte für die sogenannte „sozial adäquate Kommunikation“ zwischen Kollegen gelten. Wenn diese Nachrichten dann zudem noch eindeutig als „privat“ zu erkennen sind, dürften Sie vom Arbeitgeber nicht gelesen werden, so das die Nachweisbarkeit einer erlaubten „sozial adäquaten Kommunikation“ in diesen Fällen beim Arbeitnehmer liegt.

Bei der Bewertung sind die berechtigten Interessen des Arbeitgebers mit denen des Arbeitnehmers abzuwägen. Ist die private Nutzung verboten, so sind die privaten Belange des Mitarbeiters weniger berührt und treten hinter den berechtigten Kontrollrechten des Arbeitgebers zurück, ohne dass der Arbeitnehmer seine Grundrechtsposition gänzlich aufgibt. Kontrollen sind nur in Form von Stichproben sowie bei konkretem Missbrauchsverdacht zulässig. Daraus ist ableitbar, dass eine Totalüberwachung im Sinne einer automatisierten Vollkontrolle als schwerwiegender Eingriff in die Persönlichkeitsrechte der Beschäftigten unterbleiben muss. Inhaltskontrollen sind grundsätzlich zulässig – es sei denn, Dateien oder E-Mails sind eindeutig als „persönlich/privat“ zu erkennen.

Fallgestaltung: Die private Nutzung ist erlaubt!

Kein Arbeitnehmer hat das Recht, eine private Nutzung von E-Mail oder Internet von seinem privaten oder behördlichen Arbeitgeber zu verlangen. Dem gegenüber kann aber jeder Arbeitgeber als Inhaber der entsprechenden Betriebsmittel die private Nutzung von E-Mail oder Internet ganz oder teilweise untersagen. So kann z. B. der Datenumfang beschränkt, die Nutzung nur in bestimmten Zeiten erlaubt (z. B. nur in der Mittagspause) oder an besondere Bedingungen (z. B. nur dann, wenn in eine Kontrolle eingewilligt wird) geknüpft werden. Erlaubt der Arbeitgeber die private Nutzung in irgendeiner Form, so wird er grundsätzlich zum Anbieter von Telekommunikationsdienstleistungen⁶, was für ihn die Konsequenz hat, das der als TK - Anbieter dem Fernmeldegeheimnis⁷ unterliegt, d .h. dass seine Kontrollrechte stark eingeschränkt sind. So darf er allenfalls die Internet- und E-Mail-Nutzung nur innerhalb der Arbeitszeit kontrollieren. Wurden feste Zeiten für die private Nutzung vereinbart, darf er grundsätzlich nur außerhalb dieser festen Zeiten kontrollieren.

Diese grundsätzliche Rechtsmeinung ergänzt eine Entscheidung des LAG Berlin - Brandenburg⁸. Demnach wird ein Arbeitgeber nicht automatisch zum Diensteanbieter nach dem TKG⁹, wenn die Einsichtnahme von E-Mails dienstlich notwendig ist und unter Beteiligung des Betriebsrats und Datenschutzbeauftragten erfolgt und auch in bestehenden Dienst- oder Betriebsvereinbarungen geregelt ist.

Fallgestaltung: Zugriff auf Daten bei Abwesenheit

Weitere Probleme bestehen immer dann, wenn der Arbeitnehmer unerwartet längere Zeit krank ist und der Arbeitgeber auf seinen E-Mail-Account zugreifen muss.¹⁰

Hierzu sollte man Folgendes beachten:

• Regelt die Dienstvereinbarung diesen Fall?
• Wurden Vertretungsregeln oder eine automatische Weiterleitung an andere Accounts vereinbart?
• Kann der Abwesenheitsassistent auch von einem Administrator aktiviert werden?
• Besteht ein dringendes dienstliches Bedürfnis für diese Maßnahme?
• Ist eine Kontaktaufnahme mit dem Mitarbeiter möglich, um sein Einverständnis einzuholen?
• Evtl. Vorabinformation an den örtlichen Personalrat!
• Nur die Mails öffnen, die einen offenkundigen dienstlichen Bezug haben!
• Mails nur in Anwesenheit des behördlichen Datenschutzbeauftragten öffnen und die Öffnung des Accounts, der Mails und die Kontrollzeit genau protokollieren.  

Rechtsfolgen

Rechtsfolgen bei unerlaubter Nutzung

Das Bundesarbeitsgericht¹¹ hat unter Fortführung seiner Rechtsprechung sehr deutlich gemacht, dass eine belegbare exzessive private Nutzung des Internets während der Arbeitszeit eine erhebliche Pflichtverletzung darstellt, die eine verhaltensbedingte Kündigung sogar ohne vorherige Abmahnung rechtfertigen kann. Die geforderte Darlegungs- und Beweislast einer exzessiven Nutzung dürfte angesichts des Datenumfangs der regelmäßig gespeicherten Daten in IT - Systemen kein wirkliches Problem darstellen.

Bei einem vergleichbaren dienstlichen Fehlverhalten dürfte es sich somit um ein schwerwiegendes Dienstvergehen mit entsprechenden disziplinarrechtlichen Folgen handeln.

Rechtsfolgen bei rechtswidrigen Kontrollen

Arbeitgeber und die zuständigen Systemadministratoren können je nach Fallgestaltung die Straftatbestände der

• Verletzung des Briefgeheimnisses (§ 202 StGB)
• Ausspähens von Daten (§ 202 a StGB)
• Verletzung des Fernmeldegeheimnisses (§ 206 StGB
• Datenveränderung (§ 303 a Abs. 1 StGB)

erfüllen. Bislang wurden dem Verfasser jedoch keine entsprechenden Verurteilungen bekannt.

Dienstvereinbarungen

Inhalte einer Dienstvereinbarung (IT - Policy)

Bei den Landes- und Bundesverwaltungen sollte man bestrebt sein, gleichlautende Dienstvereinbarungen abzuschließen. Es kann, darf und sollte nicht sein, dass bei einer obersten Landesbehörde z.B. eine eingeschränkte private Internetnutzung in Pausenzeiten erlaubt ist und bei den nachgeordneten Behörden man eine solche Regelung vergebens sucht.

Wesentliche Inhalte sollten sein:

• Verbot oder Grenzbeschreibung einer privaten Nutzung (z.B. nur Mittagspause, nur außerhalb der Kernarbeitszeiten, maximale Dauer der Nutzung pro Tag/Woche/Monat, Verbot des Herunterladens von Dateien, private Mails deutlich kennzeichnen etc.).
• Eindeutig klare Regelungen der technischen und organisatorischen Fragen einer Protokollierung und Auswertung.
• Genaue Beschreibung der Daten, die gespeichert werden.
• Nennung / Beschreibung generell gesperrter Seiten.
• Hinweise auf den Einsatz von sog. E-Mail-Filter oder Webfilter sowie anderer Analysentechniken um bestimmte Inhalte (z.B. Erotik, Gewalt etc.) zu verhindern einschließlich der Protokollierung und der weiteren Verfahrensweise bei Auffälligkeiten.
• Genaue Zweckbeschreibung für die Protokolldaten.
• Speicherdauer der Protokolldaten.
• Beschreibung klarer Bewertungs- und Verfahrenshinweise bei Verdachtsfällen 
• Festschreibung des Beweisverwertungsverbots, wonach Informationen aus den Protokolldateien, nur für den beschriebenen Zweck, und z.B. nicht zur Begründung personeller Maßnahmen verwendet werden dürfen.
• Festschreibung, dass der Personalrat das Recht hat, in begründeten Fällen vom Arbeitgeber weitere technische Sicherungen zu verlangen.
• Belehrungszeiträume für die Beschäftigten.

 nach oben