Kameras, Analyse des Surfverhaltens: Wie sieht es aus mit der Überwachung am Arbeitsplatz? In einem Fall, bei der eine Kioskmitarbeiterin per Kamera dabei beobachtet wurde, wie sie sich aus der Kasse bediente, führte das Überwachungsvideo zu ihrer Kündigung. Aber war die Überwachung überhaupt rechtens? Zu diesem Thema haben wir uns mit dem Straubinger Sicherheitsexperten Frank Haug unterhalten.

Wer seine Mitarbeiter per E-Mail-Analyse oder Videoaufzeichnung überwacht, darf das laut Experten der Arag zwar tun, muss die Überwachung aber transparent und nachvollziehbar machen und Datenschutz sowie Löschfristen beachten. Zudem müssen Arbeitgeber Auskunft über die gespeicherten Daten geben, wenn Mitarbeiter oder Kunden danach fragen. Allerdings dürfen beispielsweise Aufnahmen von offenen Videoüberwachungen gespeichert und erst später ausgewertet werden, wenn es dafür einen Anlass gibt. Wird dabei eine Straftat entdeckt, darf diese angezeigt werden, auch wenn die Löschfrist nicht eingehalten wurde.

Fall wird neu verhandelt

Dabei verweisen die Experten der Arag auf einen konkreten Fall, in dem die Videoauswertung eines Kioskbesitzers erst einige Monate nach der Tat zeigte, dass eine Mitarbeiterin sich aus der Kasse bedient hatte. Die spät entdeckte Diebin wurde fristlos gefeuert. Doch sie wehrte sich dagegen und bekam vor dem Landesarbeitsgericht (LAG) Hamm in erster Instanz Recht. Das Videomaterial war zu alt und hätte unverzüglich gelöscht werden müssen. Das anschließend angerufene Bundesarbeitsgericht (BAG) sah den Fall jedoch anders und erkannte das Beweismaterial an. Es verwies den Fall erneut ans LAG. Dort wird nun entschieden, ob die Videoüberwachung überhaupt erlaubt war. Diese Frage war noch nicht bewertet worden.

Auch mit dem Sicherheitsexperten Frank Haug der Firma F.H.S. Data-Forensic, Sachverständiger IT-Forensic und Betrieblicher Datenschutzbeauftragter, haben wir uns über das Thema Überwachung am Arbeitsplatz unterhalten.

Herr Haug, nehmen wir an, ich bin im Büro öfter auf Facebook als bei der Arbeit. Weiß das mein Arbeitgeber?

Frank Haug: Falls der Arbeitgeber selbst Facebook nutzt und sich dessen Mitarbeiter in seiner Freundesliste befindet, dann könnte der Arbeitgeber einfach via Chatfunktion im "Online-Status" feststellen, ob der Mitarbeiter gerade bei Facebook eingeloggt ist. Das sonstige Nutzungsverhalten der Mitarbeiter ließe sich auch mittels tiefergreifender, IT-forensischer Methoden auswerten: Beispielsweise, zu welchem Zeitpunkt genau der Mitarbeiter welche URLs aufgerufen, irgendwelche Bilder hoch- oder heruntergeladen hat oder auf welchen Datenträger er diese abgespeichert hat.

Was ist den Firmen bei der Überwachung erlaubt?

Haug: Neben dem Datenschutz sind unter anderem auch arbeitsrechtliche Aspekte zu beachten. Grundsätzlich bedarf eine Überwachungsmaßnahme eines berechtigten Interesses des Unternehmens oder sie ist durch Gesetze erlaubt. In den meisten Fällen bedarf eine Überwachungsmaßnahme der Einwilligung der Mitarbeiter oder des Betriebsrats. In bestimmten Ausnahmefällen könnte der Arbeitgeber auch ohne Zustimmung des Betroffenen zum Beispiel den Browserverlauf dessen PCs auswerten. Zum Beispiel dann, wenn es darum geht, gezielt ein Fehlverhalten, welches eine Kündigung des Mitarbeiters rechtfertigen würde, nachzuweisen.

Wieso entscheiden sich Firmen, ihre Mitarbeiter zu überwachen?

Haug: Die Überwachung von Arbeitnehmern kann aus den unterschiedlichsten Gründen erfolgen: zum Beispiel Bestimmung des genauen Aufenthaltsortes des Mitarbeiters, Aufdeckung von Straftaten wie Diebstahl von Firmeneigentum, Nachweis des Verstoßes gegen das Verbot der privaten Nutzung von E-Mail und Internet, Nachweis von unberechtigten Dateizugriffen oder Datendiebstahl, Auswertung der Qualität von Kundenberatungen, Analyse von Arbeitsschritten im Rahmen einer REFA-Maßnahme.

Wo ist die Grenze? Was geht den Arbeitgeber nichts an?

Haug: Bei einer geplanten Videoüberwachung der Mitarbeiter bedarf es deren Einwilligung. Installierte Kameras müssen zudem sichtbar installiert werden. Heimliche Videoaufzeichnungen dagegen sind nur ausnahmsweise dann zulässig, wenn diese anlassbezogen durchgeführt werden: Zum Beispiel bei erhärtetem Verdacht bei Diebstählen von Firmeneigentum oder Vandalismus. Hierbei dürfen allerdings schutzwürdige Interessen der betroffenen Mitarbeiter nicht überwiegen: Die Aufzeichnung von Sanitär- und Umkleideräumen oder Schlafräumen zum Beispiel sind generell verboten. Nicht zulässig ist zusätzlich die Aufzeichnung von Tonspuren, da dies die Vertraulichkeit des Wortes verletzen würde. Hier wäre bereits der Versuch strafbar. Private E-Mails unterliegen dem Briefgeheimnis. Wurde die private Nutzung des firmeneigenen E-Mailaccounts durch den Arbeitgeber nicht explizit verboten, dann dürfen auf die E-Mail-Postfächer von Mitarbeitern nicht ohne weiteres und ohne deren Zustimmung durch deren Kollegen oder Vorgesetzte eingesehen werden. Ebenso wenig dürfen private E-Mails archiviert werden. Unternehmen sind daher gut beraten, mittels einer internen IT-Richtlinie oder Betriebsvereinbarung eine Regelung zu verabschieden, worin sowohl die private Nutzung des firmeneigenen E-Mail-Accounts sowie des Internets generell verboten wird.

Was hat sich bei dem Thema in den letzten Jahren verändert? Welche Auswirkungen hatte die EU-Datenschutz-Grundverordnung?

Haug: Die wichtigsten Neuerungen der DSGVO sind etwa die Pflicht zur Führung eines Verzeichnis über Verarbeitungstätigkeiten sowie über technisch organisatorische Maßnahmen. Unternehmen welche verpflichtet sind, einen Datenschutzbeauftragten zu bestellen, müssen diesen zusätzlich bei der zuständigen Aufsichtsbehörde für den Datenschutz benennen. Einwilligung in die Verarbeitung von personenbezogenen Daten erst ab einem Alter von 16 Jahren möglich. Bei Verarbeitung von personenbezogenen Daten im Auftrag gelten die Verantwortlichkeiten für die Datensicherheit für Auftragnehmer und Auftraggeber zu gleichen Teilen. Neu sind zum Beispiel das "Recht auf Vergessen werden" sowie das "Recht auf Datenübertragbarkeit". Beim Mitarbeiterdatenschutz gilt: Pflicht zur Datensparsamkeit sowie transparente Informationspflicht über die Verarbeitung von personenbezogener Daten der Mitarbeiter. Vor Inbetriebnahme einer Verarbeitung von besonders sensiblen Datenkategorien oder auch bei Videoüberwachung von öffentlichen Plätzen ist eine Datenschutzfolgeabschätzung durch den Datenschutzbeauftragten durchzuführen.