Erhalten Beschäftigte von ihrem Arbeitgeber betriebliche Kommunikationsmittel (zum Beispiel Telefon, PC, Internet, E-Mail oder Mobiltelefon) zur Nutzung überlassen, stellt sich die Frage, auf welcher gesetzlichen Grundlage die dabei entstehenden Daten vom Arbeitgeber überwacht werden können. Im Grundsatz ist hier zwischen privater und dienstlicher Nutzung zu unterscheiden. Konsequenz einer vom Arbeitgeber (stillschweigend) gestatteten Privatnutzung ist ein weitgehender Verlust von Kontrollmöglichkeiten über den Datenverkehr der betrieblichen Telekommunikation.
Dienstliche Nutzung
Soweit beim Einsatz betrieblicher Kommunikationsmittel Bezug zu den dienstlichen Aufgaben des Arbeitnehmers (das heißt zu seinen Dienstpflichten) besteht, ist von einer dienstlichen Nutzung auszugehen. Darauf, ob die konkrete Nutzungshandlung zweckmäßig ist, kommt es nicht an. Entscheidend ist aber, dass die jeweilige Nutzung unter abstrakt-objektiven Gesichtspunkten dazu geeignet ist, dienstliche Aufgaben zu fördern. Darunter fällt auch der Austausch von Daten innerhalb des Unternehmens. Was von den Arbeitsvertragsparteien jeweils als Dienstpflicht angesehen wird, ist im Idealfall im Arbeitsvertrag beschrieben oder ergibt sich zum Beispiel aus der Stellenausschreibung. Als dienstliche Nutzung ist ebenfalls die sogenannte betrieblich veranlasste Privatnutzung (zum Beispiel Mitteilung an den Ehepartner, dass sich die Heimkehr verzögert) oder die Förderung des Privatkontaktes zu Kunden anzusehen.
Private Nutzung
Private Nutzung ist in Abgrenzung zur oben vorgenommenen Definition alles, was nicht den dienstlichen Aufgaben des Arbeitnehmers zuzurechnen ist. Die Abgrenzung zwischen dienstlicher und privater Nutzung kann im Einzelfall schwierig sein und gerade in IT-"affinen" Unternehmen zu Problemen führen. Um Überschneidungen zu vermeiden, sind in der Praxis klare Absprachen zwischen Unternehmensleitung und Belegschaft empfehlenswert.
Kontrollmöglichkeiten
Der Arbeitgeber wird regelmäßig ein Interesse daran haben, zu erfahren, ob seine Angestellten die betrieblichen Kommunikationsmittel dienstlich oder privat nutzen. Im Hinblick auf die Zulässigkeit hierfür erforderlicher Kontrollen ist zwischen äußeren Verbindungsdaten und sogenannten Inhaltsdaten zu unterscheiden. Unter äußeren Verbindungsdaten sind all jene Daten zu fassen, die Art und Umfang des genutzten Dienstes umschreiben (bei der E-Mail zum Beispiel Absender, Empfänger, Datum und Größe der E-Mail; bei der Internetnutzung beispielsweise Verbindungszeit, Datenmenge oder URL).
Ein Beispiel: Hinsichtlich der Kontrolle von Inhaltsdaten stehen dem Arbeitgeber bei dienstlich veranlasster Internetnutzung und dem Verbot privater Internetnutzung weitreichende Kontrollbefugnisse zu. Als Gläubiger der vom Arbeitnehmer geschuldeten Arbeitsleistung ist er befugt, sich über eben diese Arbeitsleistung Kenntnis zu verschaffen. Er kann dazu auch Einsicht in den Datenverkehr nehmen. Die gesetzlichen Vorgaben finden sich insofern in den §§ 32, 28 Bundesdatenschutzgesetz (BDSG). Der Arbeitgeber sollte seine Mitarbeiter allerdings über seine Kontrollrechte und Rechte zur Einsichtnahme informieren und ihnen so die Chance geben, sich darauf einzustellen.
Erlaubte Privatnutzung - Erfassung von Verkehrsdaten
Bei Erlaubnis privater Nutzung des betrieblichen Internetanschlusses beziehungsweise E-Mail-Zugangs durch den Arbeitgeber unterliegen die dabei anfallenden Daten dem Anwendungsbereich des Telekommunikationsgesetzes (TKG). Der Arbeitgeber wird in diesem Zusammenhang als "geschäftsmäßiger Anbieter von Telekommunikationsdiensten" im Sinne von § 3 Nr. 6 TKG definiert, da er seinen Internetzugang (auch) für fremde Zwecke zur Verfügung stellt. Zwischen Arbeitgeber und Arbeitnehmer entsteht dadurch neben dem schon bestehenden Arbeitsverhältnis ein vertragliches Verhältnis hinsichtlich der Nutzung der betrieblichen Telekommunikationsanlagen. "Telekommunikation" ist in diesem Zusammenhang weit auszulegen und soll sowohl die Telefonie als auch die Datenübertragung umfassen. Unerheblich für diese Einordnung ist, ob die Nutzung durch den Arbeitnehmer entgeltlich ist und sich nur an eine geschlossene Benutzergruppe richtet.
(Stillschweigend) erlaubte Privatnutzung vs. Fernmeldegeheimnis
Die Einordnung als Telekommunikationsdienstleistung im Sinne des TKG hat zur Folge, dass der Arbeitgeber im Verhältnis zu seinen Arbeitnehmern den Verpflichtungen zum Schutz des Fernmeldegeheimnisses (§ 88 TKG) unterliegt. Der Schutz des Fernmeldegeheimnisses ist, wie das Bundesverfassungsgericht jüngst klarstellte, sehr weitreichend und greift im Falle einer an den Arbeitnehmer adressierten E-Mail nur dann nicht mehr, wenn der betreffende Mitarbeiter von einer eingehenden E-Mail tatsächlich Kenntnis erlangt hat und er die Kenntnisnahme durch den Arbeitgeber verhindern kann.
Inhalte, die nun dem Telekommunikationsgeheimnis unterfallen, dürfen nur verwendet werden, wenn eine gesetzliche Vorschrift dies erlaubt, die sich ausdrücklich auf einen Telekommunikationsvorgang bezieht. Das TKG selbst regelt in den § 91 ff. TKG bereichsspezifische Eingriffstatbestände, die sich allerdings nur auf Verkehrsdaten (äußere Verbindungsdaten) beziehen.
Darunter fallen
- die Datenerfassung zu Abrechnungszwecken (§ 96 Abs. 1 TKG; diese erfordert zudem eine Entgeltregelung zwischen den Arbeitsvertragsparteien),
- die Beseitigung von Störungen von Telekommunikationsanlagen (§ 100 Abs. 1 TKG; dies rechtfertigt beispielsweise die vom Arbeitgeber eingesetzte automatische Virenprüfung) und
- die Missbrauchskontrolle (§ 100 Abs. 3 TKG).
Der Dienstanbieter soll dadurch vor einer nicht gestatteten Inanspruchnahme seiner Telekommunikationsanlagen geschützt werden. Hat ein Arbeitgeber die private Internetnutzung zum Beispiel inhaltlich/zeitlich beschränkt, so läge in der Überschreitung dieser Nutzungsregelung ein Missbrauch im Sinne des § 100 Abs. 3 TKG. Für einen Verstoß müssen allerdings "tatsächliche Anhaltspunkte" vorliegen, die der Arbeitgeber zudem auch dokumentiert haben muss. Nicht ausreichend ist hingegen die abstrakte Gefahr des Missbrauchs. Eine verdachtsunabhängige, wenn auch nur stichprobenartige Kontrolle kann unter den Voraussetzungen des § 100 Abs. 3 TKG daher nicht gerechtfertigt werden.
Protokollierung von Inhaltsdaten bei erlaubter Privatnutzung
Kommen die Vorschriften des TKG zur Anwendung, darf sich der Arbeitgeber grundsätzlich keine Kenntnis vom Inhalt eines Telekommunikationsvorgangs verschaffen (zum Beispiel Inhalt einer E-Mail oder Auswertung, welche Internetseiten aufgerufen wurden). Zwar lässt die rechtswissenschaftliche Literatur bei schwerwiegenden Verstößen wie Straftaten teilweise Ausnahmen zu. Jedoch fehlt es, soweit das Fernmeldegeheimnis reicht, an einem spezifischen, das verfassungsmäßig verbriefte Fernmeldegeheimnis berücksichtigenden Eingriffstatbestand.
Wichtig in der Praxis: Kontrolle des Verbots
Für die Praxis wichtig ist an dieser Stelle noch der Hinweis, dass das abstrakte Verbot der privaten Nutzung betrieblicher Kommunikationsmittel allein nicht ausreichend ist. Denn verbietet der Arbeitgeber zwar die private Nutzung, duldet aber innerbetrieblich stillschweigend die Privatnutzung, kann dies dem Verbot seine Wirksamkeit nehmen. Es ist daher empfehlenswert, im Falle des Verbots privater Nutzung von betrieblichen Kommunikationsmitteln dieses auch im Betrieb durchzusetzen, insbesondere mit dokumentierten Stichproben.
Fazit
Gerade aufgrund der Reichweite des Fernmeldegeheimnisses nach der Lesart des Bundesverfassungsgerichts lautet der an Arbeitgeber gerichtete Rat in der Praxis zumeist, die private Nutzung betrieblicher Kommunikationsmittel zu untersagen. In jedem Fall empfiehlt es sich, den Umgang mit betrieblichen Kommunikationsmitteln und etwaige Kontrollmaßnahmen innerbetrieblich zu regeln, beispielsweise in einer Betriebsvereinbarung. Nur mit einer klaren und transparenten Regelung im Betrieb können beim Einsatz von Kommunikations- und Überwachungstechniken Rechtsunsicherheiten vermieden werden. OE
Dr. Sebastian Kraska ist Rechtsanwalt und externer Datenschutzbeauftragter im IITR Institut für IT-Recht - Kraska GmbH. Alma Lena Fritz ist Rechtsassessorin.
Kontakt:
IITR Institut für IT-Recht - Kraska GmbH, Gröbenzell, Tel.: 089 5130392-0, E-Mail: skraska@iitr.de, Internet: www.iitr.de