Viele Beschäftigte nutzen den dienstlichen Computer nicht ausschließlich für berufliche Zwecke. Ein kurzer Blick auf Nachrichtenportale, Online-Banking in der Mittagspause oder eine private Internetsuche wirken im Arbeitsalltag oft nebensächlich. Kommt es später zu einer arbeitsrechtlichen Auseinandersetzung, stellt sich jedoch schnell eine zentrale Frage: Darf der Arbeitgeber den Browserverlauf oder sonstige Internetnutzungsdaten kontrollieren?
Die Antwort lautet: Es kommt darauf an.
Der dienstliche Computer gehört zwar dem Arbeitgeber. Daraus folgt aber nicht, dass sämtliche Aktivitäten von Beschäftigten uneingeschränkt überwacht oder ausgewertet werden dürfen. Zu berücksichtigen sind insbesondere das allgemeine Persönlichkeitsrecht der Beschäftigten, die Datenschutz-Grundverordnung, das Bundesdatenschutzgesetz sowie – bei bestehendem Betriebsrat – die Mitbestimmung.
Ausgangspunkt: Was ist zur privaten Nutzung geregelt?
Für Arbeitgeber ist zunächst entscheidend, ob die private Internetnutzung ausdrücklich verboten, in bestimmten Grenzen erlaubt oder überhaupt nicht geregelt ist.
Ist die private Nutzung ausdrücklich verboten, kann der Arbeitgeber grundsätzlich erwarten, dass der Internetzugang ausschließlich dienstlich genutzt wird. Bestehen konkrete Anhaltspunkte für Verstöße, kann eine Kontrolle unter bestimmten Voraussetzungen zulässig sein.
Ist die private Nutzung ausdrücklich erlaubt, ist der Schutz der Privatsphäre der Beschäftigten stärker zu berücksichtigen. Umfangreiche oder anlasslose personenbezogene Auswertungen sind dann besonders kritisch.
Fehlt jede Regelung, entsteht in der Praxis häufig Unsicherheit. Dann kann eine bisherige Duldung oder betriebliche Übung relevant werden. Genau deshalb sollten Arbeitgeber klare IT- und Internetnutzungsregelungen schaffen.
Keine Kontrolle „ins Blaue hinein“
Ein häufiger Fehler besteht darin, anzunehmen, der Arbeitgeber dürfe jederzeit den gesamten Browserverlauf auslesen. Das ist rechtlich zu kurz gedacht.
Personenbezogene Kontrollen müssen einem konkreten Zweck dienen, erforderlich sein und sich am Grundsatz der Verhältnismäßigkeit messen lassen. Eine anlasslose Vollkontrolle sämtlicher Internetaktivitäten aller Beschäftigten ist datenschutzrechtlich regelmäßig hoch problematisch.
Anders kann es aussehen, wenn konkrete Anhaltspunkte bestehen, etwa für:
- erhebliche Arbeitszeitverstöße,
- unerlaubte Privatnutzung in erheblichem Umfang,
- Verstöße gegen IT-Sicherheitsrichtlinien,
- Nutzung ausdrücklich untersagter Webseiten,
- Verdacht auf Datenabfluss oder sonstige Sicherheitsvorfälle.
Auch dann gilt: Es dürfen nur die Daten ausgewertet werden, die für den konkreten Prüfzweck erforderlich sind. Technische Verfügbarkeit ersetzt keine rechtliche Zulässigkeit.
Browserverlauf, Protokolldaten und Beweisverwertung
Die Rechtsprechung zeigt, dass die Auswertung von Internetnutzungsdaten im Einzelfall zulässig sein kann. In einem Fall des Landesarbeitsgerichts Berlin-Brandenburg wurde die Auswertung des Browserverlaufs im Zusammenhang mit exzessiver privater Internetnutzung behandelt. Entscheidend waren dabei unter anderem die konkrete Verdachtslage, der Umfang der Nutzung und die Verhältnismäßigkeit der Auswertung.
Gleichzeitig zeigt die Rechtsprechung des Bundesarbeitsgerichts zur Keylogger-Überwachung klare Grenzen: Der Einsatz einer Software, die Tastatureingaben und Bildschirmaktivitäten umfassend protokolliert, ist ohne einen durch konkrete Tatsachen begründeten Verdacht einer Straftat oder schwerwiegenden Pflichtverletzung unzulässig.
Für Arbeitgeber folgt daraus: Nicht jede Protokollierung ist unzulässig, aber auch nicht jede technisch mögliche Auswertung ist erlaubt. Je intensiver die Maßnahme in die Privatsphäre eingreift, desto höher sind die Anforderungen an Anlass, Transparenz, Erforderlichkeit und Dokumentation.
Datenschutzrechtliche Anforderungen
Bei Browser- und Protokolldaten handelt es sich regelmäßig um personenbezogene Daten, wenn sie einzelnen Beschäftigten zugeordnet werden können. Damit gelten die Grundsätze der DSGVO, insbesondere Zweckbindung, Datenminimierung, Transparenz, Speicherbegrenzung und Integrität.
Im Beschäftigungskontext ist zusätzlich § 26 BDSG zu berücksichtigen. Für Kontrollen zur Aufdeckung von Straftaten verlangt § 26 BDSG dokumentierte tatsächliche Anhaltspunkte, Erforderlichkeit und eine Interessenabwägung.
Auch außerhalb eines Straftatverdachts sollten Arbeitgeber vor einer personenbezogenen Auswertung dokumentieren:
- welcher konkrete Anlass besteht,
- welcher Zweck verfolgt wird,
- welche Daten benötigt werden,
- warum mildere Mittel nicht ausreichen,
- wer Zugriff auf die Daten erhält,
- wie lange die Daten gespeichert werden,
- wie die Betroffenen informiert wurden.
Betriebsrat und Mitbestimmung
Besteht ein Betriebsrat, ist zusätzlich § 87 Abs. 1 Nr. 6 BetrVG zu prüfen. Danach hat der Betriebsrat mitzubestimmen, wenn technische Einrichtungen eingeführt oder angewendet werden, die dazu bestimmt oder geeignet sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen.
Das betrifft nicht nur klassische Überwachungssysteme. Auch Protokollierungsfunktionen, Security-Tools, Webfilter, Monitoring-Systeme oder Auswertungen von Systemlogs können mitbestimmungsrelevant sein, wenn sie Rückschlüsse auf Verhalten oder Leistung einzelner Beschäftigter ermöglichen.
Arbeitgeber sollten deshalb frühzeitig prüfen, ob bestehende IT-Tools, Richtlinien oder Kontrollprozesse mitbestimmungspflichtig sind.
To-dos für Arbeitgeber
Arbeitgeber sollten die private Internetnutzung nicht erst im Konfliktfall regeln. Sinnvoll ist ein strukturierter Blick auf Richtlinien, technische Umsetzung und Datenschutzdokumentation.
1. Regelung zur privaten Nutzung schaffen
Legen Sie fest, ob private Internetnutzung verboten, eingeschränkt erlaubt oder in bestimmten Situationen gestattet ist.
2. IT- und Internetnutzungsrichtlinie aktualisieren
Die Richtlinie sollte verständlich regeln, welche Nutzungen erlaubt sind, welche untersagt sind und welche Sicherheitsvorgaben gelten.
3. Protokollierung transparent machen
Beschäftigte sollten wissen, welche technischen Protokolldaten entstehen, zu welchen Zwecken sie gespeichert werden und unter welchen Voraussetzungen eine personenbezogene Auswertung in Betracht kommt.
4. Kontrollkonzept definieren
Legen Sie fest, wann eine Auswertung erfolgen darf, wer entscheidet, wer beteiligt wird und wie die Maßnahme dokumentiert wird.
5. Verhältnismäßigkeit prüfen
Vor jeder personenbezogenen Auswertung sollte geprüft werden, ob ein konkreter Anlass besteht und ob weniger eingriffsintensive Maßnahmen ausreichen.
6. Datenschutzbeauftragten einbeziehen
Der Datenschutzbeauftragte sollte bei Richtlinien, Informationspflichten, Löschfristen, Protokollierungskonzepten und konkreten Kontrollprozessen frühzeitig eingebunden werden.
7. Betriebsrat beteiligen
Soweit ein Betriebsrat besteht, sind mögliche Mitbestimmungsrechte vor Einführung oder Anwendung technischer Kontrollmöglichkeiten zu prüfen.
8. Lösch- und Zugriffskonzept festlegen
Protokolldaten sollten nicht unbegrenzt gespeichert werden. Zugriff, Speicherdauer und Löschung müssen geregelt und technisch umgesetzt sein.
Fazit
Arbeitgeber dürfen den Browserverlauf nicht beliebig kontrollieren. Zulässigkeit und Umfang hängen von den betrieblichen Regelungen, dem konkreten Anlass, der Erforderlichkeit, der Verhältnismäßigkeit und der datenschutzrechtlichen Ausgestaltung ab.
Der wichtigste Praxisschritt liegt deshalb vor dem Konfliktfall: klare Regeln zur privaten Internetnutzung, transparente Informationen zur Protokollierung, dokumentierte Zuständigkeiten und ein abgestuftes Kontrollverfahren.
Wer erst im Streitfall beginnt, diese Fragen zu klären, hat meist schon ein Problem.
Gerne unterstützen wir Sie bei der rechtssicheren und datenschutzkonformen Ausgestaltung Ihrer IT- und Internetnutzungsregelungen. Sprechen Sie uns gerne an – wir stehen Ihnen mit fachlicher Expertise an der Schnittstelle von Datenschutz, Compliance und Unternehmenspraxis zur Verfügung: consulting@AdOrgaSolutions.de
Quellenhinweise:
- LAG Berlin-Brandenburg, Urteil vom 14.01.2016 – 5 Sa 657/15: Auswertung des Browserverlaufs bei exzessiver privater Internetnutzung; behandelt wurden insbesondere Anlasskontrolle, Browserverlauf und Beweisverwertung. https://gesetze.berlin.de/bsbe/document/NJRE001251987
- BAG, Urteil vom 27.07.2017 – 2 AZR 681/16: Keylogger-Überwachung; ohne konkreten, durch Tatsachen begründeten Verdacht einer Straftat oder schwerwiegenden Pflichtverletzung unzulässig. https://www.bundesarbeitsgericht.de/en/entscheidung/2-azr-681-16/
- § 26 BDSG: Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses; besondere Anforderungen bei Verarbeitung zur Aufdeckung von Straftaten.
- § 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmung bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind.
- DSK-Orientierungshilfe zur datenschutzgerechten Nutzung von E-Mail und anderen Internetdiensten am Arbeitsplatz: praxisrelevante Hinweise zur Regelung und Kontrolle von Internet- und E-Mail-Nutzung am Arbeitsplatz. https://www.datenschutzkonferenz-online.de/media/oh/201601_oh_email_und_internetdienste.pdf
