Datenschutz am Arbeitsplatz – Überwachung, E-Mail & BYOD

Rechtsgrundlagen: DSGVO und BDSG im Arbeitsverhältnis

Der Beschäftigtendatenschutz wird in Deutschland durch ein Zusammenspiel mehrerer Gesetze geregelt. Die DSGVO bildet den europäischen Rahmen, während § 26 BDSG als nationale Spezialvorschrift die Verarbeitung personenbezogener Daten im Beschäftigungskontext konkretisiert. Art. 88 DSGVO enthält eine Öffnungsklausel, die es den Mitgliedstaaten erlaubt, spezifischere Regelungen für den Beschäftigtendatenschutz zu treffen.

Grundsätzlich gilt: Jede Verarbeitung von Beschäftigtendaten muss erforderlich und verhältnismäßig sein. Der Arbeitgeber muss immer den mildesten Eingriff wählen, der seinen berechtigten Zweck erreicht. Darüber hinaus spielt das Betriebsverfassungsgesetz eine zentrale Rolle, da der Betriebsrat bei technischen Überwachungsmaßnahmen ein Mitbestimmungsrecht hat. Seit Inkrafttreten des TTDSG gelten zudem besondere Regeln für den Schutz der Vertraulichkeit elektronischer Kommunikation am Arbeitsplatz.

Videoüberwachung am Arbeitsplatz

Die Videoüberwachung am Arbeitsplatz ist ein besonders sensibler Bereich des Beschäftigtendatenschutzes. Grundsätzlich ist zwischen offener und verdeckter Überwachung zu unterscheiden. Eine offene Videoüberwachung öffentlich zugänglicher Räume richtet sich nach § 4 BDSG und erfordert eine Interessenabwägung. In nicht öffentlich zugänglichen Arbeitsräumen ist sie nur unter strengeren Voraussetzungen zulässig.

Eine verdeckte Videoüberwachung ist nach der ständigen Rechtsprechung des Bundesarbeitsgerichts (BAG) nur als letztes Mittel (ultima ratio) zulässig. Es muss ein konkreter, dokumentierter Verdacht einer schwerwiegenden Pflichtverletzung bestehen, mildere Mittel müssen ausgeschöpft sein, und die Maßnahme muss zeitlich und räumlich begrenzt werden. Aufnahmen ohne diese Voraussetzungen unterliegen einem Beweisverwertungsverbot im arbeitsgerichtlichen Verfahren.

E-Mail- und Internetnutzung kontrollieren

Die Frage, ob und wie der Arbeitgeber die E-Mail- und Internetnutzung seiner Beschäftigten kontrollieren darf, hängt maßgeblich davon ab, ob die private Nutzung erlaubt oder verboten ist. Ist die Privatnutzung ausdrücklich verboten, darf der Arbeitgeber dienstliche E-Mails grundsätzlich einsehen – etwa bei Abwesenheit oder zur Qualitätskontrolle. Ist die Privatnutzung hingegen erlaubt oder geduldet, wird der Arbeitgeber zum Telekommunikationsanbieter im Sinne des TTDSG.

Als Telekommunikationsanbieter unterliegt der Arbeitgeber dem Fernmeldegeheimnis und darf grundsätzlich nicht auf private E-Mails zugreifen. Auch eine stichprobenartige Kontrolle des Internetverlaufs ist dann stark eingeschränkt. In der Praxis empfiehlt es sich daher dringend, die private Nutzung klar zu regeln – idealerweise in einer schriftlichen IT-Nutzungsrichtlinie oder Betriebsvereinbarung. Wird die private Nutzung schlicht geduldet (weder erlaubt noch verboten), entsteht eine rechtliche Grauzone, die im Streitfall zulasten des Arbeitgebers gehen kann.

GPS-Tracking und Ortung von Dienstfahrzeugen

GPS-Tracking in Dienstfahrzeugen ist grundsätzlich zulässig, wenn ein berechtigtes Interesse des Arbeitgebers vorliegt – etwa zur Tourenoptimierung, zum Diebstahlschutz oder zur Arbeitszeiterfassung im Außendienst. Der Arbeitgeber muss die betroffenen Beschäftigten jedoch vorab transparent über die Ortung informieren (Art. 13 DSGVO). Eine heimliche GPS-Überwachung ist grundsätzlich unzulässig.

Die Grenzen des GPS-Trackings liegen dort, wo lückenlose Bewegungsprofile erstellt werden. Eine permanente Echtzeitverfolgung jedes Fahrzeugs über den gesamten Arbeitstag hinweg ist in der Regel unverhältnismäßig. Zudem müssen die erhobenen Standortdaten nach einem angemessenen Zeitraum gelöscht werden – eine Speicherung über 30 Tage hinaus ist ohne besonderen Grund schwer zu rechtfertigen. Bei umfangreicher Ortung kann zudem eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein.

BYOD: Private Geräte dienstlich nutzen

Bring Your Own Device (BYOD) beschreibt die Praxis, dass Beschäftigte ihre privaten Smartphones, Laptops oder Tablets auch für dienstliche Zwecke nutzen. Dies bringt erhebliche datenschutzrechtliche Herausforderungen mit sich, da auf einem Gerät private und dienstliche Daten vermischt werden. Der Arbeitgeber bleibt als Verantwortlicher im Sinne der DSGVO für den Schutz der dienstlich verarbeiteten personenbezogenen Daten verantwortlich.

• Schriftliche BYOD-Vereinbarung zwischen Arbeitgeber und Beschäftigtem abschließen
• Technische Datentrennung durch Container-Apps oder MDM-Lösungen sicherstellen
• Fernlöschungsmöglichkeit für dienstliche Daten bei Geräteverlust einrichten
• Regelung für das Ausscheiden: Vollständige Löschung dienstlicher Daten vom Privatgerät
• Verschlüsselung und Passwortschutz als Mindeststandard festlegen
• Haftungsfragen bei Datenverlust oder Beschädigung des privaten Geräts klären

Eine BYOD-Regelung sollte zwingend schriftlich vereinbart werden und mindestens folgende Punkte abdecken: technische Datentrennung (etwa durch Mobile Device Management oder Container-Lösungen), Zugriffsrechte des Arbeitgebers auf das Gerät, Verhalten bei Verlust oder Diebstahl, Fernlöschungsmöglichkeit für dienstliche Daten sowie die Regelung bei Ausscheiden aus dem Unternehmen. Ohne klare Vereinbarung riskiert der Arbeitgeber sowohl Datenschutzverstöße als auch Konflikte mit den Persönlichkeitsrechten der Beschäftigten.

Mitbestimmung des Betriebsrats

Der Betriebsrat hat nach § 87 Abs. 1 Nr. 6 BetrVG ein erzwingendes Mitbestimmungsrecht bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Dieses Mitbestimmungsrecht erstreckt sich auf Videokameras, GPS-Tracker, Software zur Bildschirmüberwachung, Zeiterfassungssysteme und auch auf E-Mail-Archivierungssysteme.

Entscheidend ist, dass das Mitbestimmungsrecht bereits dann greift, wenn die technische Einrichtung objektiv zur Überwachung geeignet ist – unabhängig davon, ob der Arbeitgeber sie tatsächlich zu diesem Zweck einsetzt. In der Praxis wird die Überwachung häufig durch eine Betriebsvereinbarung geregelt, die dann auch als Rechtsgrundlage für die Datenverarbeitung nach § 26 Abs. 4 BDSG dienen kann. Führt der Arbeitgeber eine Überwachungsmaßnahme ohne Beteiligung des Betriebsrats ein, kann dieser die Unterlassung verlangen – notfalls per einstweiliger Verfügung. Der Betriebsrat hat zudem ein eigenes Initiativrecht und kann die Einführung datenschutzfreundlicher Lösungen vorschlagen.

Rechte der Arbeitnehmer bei Datenschutzverstößen

Arbeitnehmern stehen bei Datenschutzverstößen durch den Arbeitgeber verschiedene Rechtsbehelfe zur Verfügung. Das Auskunftsrecht nach Art. 15 DSGVO gilt uneingeschränkt auch im Arbeitsverhältnis – der Arbeitgeber muss auf Anfrage umfassend darüber informieren, welche personenbezogenen Daten er verarbeitet. Darüber hinaus können Beschäftigte sich bei der zuständigen Datenschutzaufsichtsbehörde beschweren.

Besonders relevant ist der Schadensersatzanspruch nach Art. 82 DSGVO: Wer durch einen Datenschutzverstoß einen materiellen oder immateriellen Schaden erleidet, kann Ersatz verlangen. Deutsche Arbeitsgerichte haben in den letzten Jahren zunehmend Schmerzensgelder für Datenschutzverstöße zugesprochen – etwa bei unzulässiger Videoüberwachung, verspäteter oder unvollständiger Auskunftserteilung oder der unbefugten Weitergabe von Gesundheitsdaten. Im arbeitsgerichtlichen Verfahren kommt zudem ein Beweisverwertungsverbot in Betracht, wenn der Arbeitgeber Beweise unter Verstoß gegen Datenschutzvorschriften erlangt hat.