Source: https://www.verbraucherbote.de/arbeitnehmerueberwachung-mittels-keylogger-6396?pk_campaign=feed&pk_kwd=arbeitnehmerueberwachung-mittels-keylogger
Timestamp: 2017-10-17 06:00:50+00:00

Document:
Arbeitnehmerüberwachung mittels Keylogger › VerbraucherBote
VerbraucherBote > Arbeit > Arbeitnehmerüberwachung mittels Keylogger
Arbeit6. Oktober 2017
Ein Sachvortrags- oder Beweisverwertungsverbot wegen einer Verletzung des gemäß Art. 2 Abs. 1 iVm. Art. 1 Abs. 1 GG geschützten allgemeinen Persönlichkeitsrechts einer Partei (vgl. auch Art. 8 Abs. 1 EMRK) kann sich im arbeitsgerichtlichen Verfahren aus der Notwendigkeit einer verfassungskonformen Auslegung des Prozessrechts – etwa von § 138 Abs. 3, § 286, § 331 Abs. 1 Satz 1 ZPO – ergeben. Wegen der nach Art. 1 Abs. 3 GG bestehenden Bindung an die insoweit maßgeblichen Grundrechte und der Verpflichtung zu einer rechtsstaatlichen Verfahrensgestaltung[1] hat das Gericht zu prüfen, ob die Verwertung von heimlich beschafften persönlichen Daten und Erkenntnissen, die sich aus diesen Daten ergeben, mit dem allgemeinen Persönlichkeitsrecht des Betroffenen vereinbar ist[2]. Das Grundrecht schützt neben der Privat- und Intimsphäre und seiner speziellen Ausprägung als Recht am eigenen Bild auch das Recht auf informationelle Selbstbestimmung, das die Befugnis garantiert, selbst über die Preisgabe und Verwendung persönlicher Daten zu befinden[3].
Die Bestimmungen des Bundesdatenschutzgesetzes (BDSG) über die Anforderungen an eine zulässige Datenverarbeitung konkretisieren und aktualisieren den Schutz des Rechts auf informationelle Selbstbestimmung und am eigenen Bild (§ 1 Abs. 1 BDSG). Sie regeln, in welchem Umfang im Anwendungsbereich des Gesetzes Eingriffe durch öffentliche oder nicht-öffentliche Stellen iSd. § 1 Abs. 2 BDSG in diese Rechtspositionen zulässig sind. Sie ordnen für sich genommen jedoch nicht an, dass unter ihrer Missachtung gewonnene Erkenntnisse oder Beweismittel bei der Feststellung des Tatbestands im arbeitsgerichtlichen Verfahren vom Gericht nicht berücksichtigt werden dürften[4]. Ist allerdings die Datenverarbeitung gegenüber dem betroffenen Arbeitnehmer nach den Vorschriften des BDSG zulässig, liegt insoweit keine Verletzung seines Rechts auf informationelle Selbstbestimmung und am eigenen Bild vor[5].
In Anwendung dieser Grundsätze hat sich im vorliegenden Fall in der Vorinstanz das Landesarbeitsgericht Hamm[6] zu Recht gehindert gesehen, seiner Entscheidung den streitigen Sachvortrag der Arbeitgeberin über die Nutzung des Dienst-PC durch den Arbeitnehmer am 21. und 23.04.2015 zugrunde zu legen. Hierdurch hätte das Landesarbeitsgericht eine durch die Arbeitgeberin begangene Grundrechtsverletzung perpetuiert und vertieft. Die Datenerhebung durch den Keylogger griff in das Recht des Arbeitnehmers auf informationelle Selbstbestimmung ein. Der Arbeitnehmer hat in die Maßnahme nicht eingewilligt. Der Eingriff war nicht aufgrund überwiegender Interessen der Arbeitgeberin nach § 32 Abs. 1 oder § 28 Abs. 1 BDSG gerechtfertigt. Ebenso lagen keine weiteren, über das schlichte Beweisinteresse der Arbeitgeberin hinausgehenden Aspekte vor, die gerade die in Frage stehende verdeckte Informationsbeschaffung durch einen Keylogger als gerechtfertigt erscheinen lassen könnten.
Der Arbeitnehmer hat in die Datenerhebungen nicht dadurch gemäß § 4a BDSG eingewilligt, dass er der Ankündigung der Arbeitgeberin nicht widersprochen hat. Allein in der Tatsache, dass ein Arbeitnehmer einer ihm mitgeteilten Maßnahme nicht entgegen tritt, liegt keine Einverständniserklärung in die Informationserhebung. Das Unterlassen eines Protests kann nicht mit einer Einwilligung gleichgesetzt werden[7]. Das gilt insbesondere, wenn – wie vorliegend – eine vom Arbeitgeber gesetzte „Widerspruchsfrist“ noch nicht abgelaufen ist. Im Übrigen hatte die Arbeitgeberin dem Arbeitnehmer nicht eröffnet, es sollten alle Tastatureingaben an seinem Dienst-PC „mitgeloggt“ und regelmäßig Screenshots gefertigt werden. Auch konnte der Arbeitnehmer nicht erkennen, zu welchem Zweck er überwacht wurde. Die E-Mail der Arbeitgeberin vom 19.04.2015 legte den Schluss nahe, dass allein eine etwaige Internetaktivität über das neue Netzwerk und diese auch „nur“ hinsichtlich der abgerufenen Inhalte („Download von illegalen Filmen“, „Betreiber zur Verantwortung gezogen“, „rechtlicher Missbrauch“) kontrolliert werden sollte. Das Landesarbeitsgericht hat nicht festgestellt, in der mündlichen Unterweisung am 20.04.2015 seien anderslautende oder weiter gehende Aussagen getroffen worden. Dementsprechend ließ die Arbeitgeberin dem Arbeitnehmer in ihrem Schreiben vom 05.05.2015 lediglich mitteilen, sie habe „im Zuge der Umstellung des Internetanschlusses zur Vermeidung eines etwaigen Missbrauchs die Onlineaktivitäten, die über diesen Anschluss laufen, kontrolliert und diese Kontrolle im Vorfeld sowohl per E-Mail als auch im Rahmen einer Ansprache an die gesamte Belegschaft angekündigt.“
Bei dem verdeckten Einsatz eines Keyloggers wird der betroffene Arbeitnehmer in der Befugnis, selbst über die Preisgabe und Verwendung persönlicher Daten zu befinden, beschränkt, indem er zum Ziel einer nicht erkennbaren – systematischen – Beobachtung durch den Arbeitgeber gemacht wird und dadurch auf sich beziehbare Daten über sein Verhalten preisgibt, ohne die Überwachung oder gar den mit ihr verfolgten Verwendungszweck zu kennen[8].
Wird der Keylogger offen eingesetzt, liegt ein Eingriff in das Recht auf informationelle Selbstbestimmung vor, weil die Aufzeichnung und Speicherung sämtlicher Tastatureingaben und bestimmter Bildschirminhalte der Vorbereitung möglicher belastender Maßnahmen (Ermahnung, Abmahnung, Kündigung) dienen und zugleich abschreckend wirken und insoweit das Verhalten des Betroffenen lenken soll[9].
Der Eingriff in den Schutzbereich von Art. 2 Abs. 1 iVm. Art. 1 Abs. 1 GG entfällt nicht dadurch, dass lediglich Verhaltensweisen am Arbeitsplatz erfasst werden. Das allgemeine Persönlichkeitsrecht gewährleistet nicht allein den Schutz der Privat- und Intimsphäre, sondern trägt in Gestalt des Rechts auf informationelle Selbstbestimmung auch den informationellen Schutzinteressen desjenigen Rechnung, der sich in die (Betriebs-)Öffentlichkeit begibt[10].
Ein Eingriff in das Recht auf informationelle Selbstbestimmung setzt nicht voraus, dass der betroffene Arbeitnehmer das informationstechnische System, über das Daten erhoben werden, als eigenes nutzt und deshalb den Umständen nach davon ausgehen darf, dass er allein oder zusammen mit anderen zur Nutzung berechtigten Personen über das System selbstbestimmt verfüge. Diese Einschränkung betrifft allein das ebenfalls von Art. 2 Abs. 1 iVm. Art. 1 Abs. 1 GG geschützte Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, dem ggf. eine lückenfüllende Funktion zukommt[11].
Nach § 32 Abs. 1 Satz 1 BDSG dürfen personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses ua. dann erhoben, verarbeitet oder genutzt werden, wenn dies für dessen Durchführung oder Beendigung erforderlich ist. Zur Durchführung gehört die Kontrolle, ob der Arbeitnehmer seinen Pflichten nachkommt[12], zur Beendigung iSd. Kündigungsvorbereitung[13] die Aufdeckung einer Pflichtverletzung, die die Kündigung des Arbeitsverhältnisses rechtfertigen kann[14]. Sofern nach § 32 Abs. 1 Satz 1 oder Satz 2 BDSG zulässig erhobene Daten den Verdacht einer solchen Pflichtverletzung begründen, dürfen sie für die Zwecke und unter den Voraussetzungen des § 32 Abs. 1 Satz 1 BDSG auch verarbeitet und genutzt werden[15]. Der Begriff der Beendigung umfasst dabei die Abwicklung eines Beschäftigungsverhältnisses[16]. Der Arbeitgeber darf deshalb alle Daten speichern und verwenden, die er benötigt, um die ihm obliegende Darlegungs- und Beweislast in einem potentiellen Kündigungsschutzprozess zu erfüllen[17].
§ 32 Abs. 1 Satz 2 BDSG erlaubt die Datenerhebung, -verarbeitung und -nutzung in Fällen, in denen – unabhängig von den in § 32 Abs. 1 Satz 1 BDSG näher bestimmten Zwecken – Anhaltspunkte für den Verdacht einer im Beschäftigungsverhältnis begangenen Straftat bestehen. Der Gesetzgeber geht davon aus, dass Maßnahmen, die vom Arbeitgeber ergriffen werden, um strafbares Verhalten eines Arbeitnehmers aufzudecken, in der Regel besonders intensiv in dessen allgemeines Persönlichkeitsrecht eingreifen[16]. Das ist insbesondere bei einer zu diesem Zweck erfolgenden (verdeckten) Überwachung von Beschäftigten der Fall, weshalb die – von der Gesetzesbegründung in Bezug genommenen – restriktiven Grundsätze der hierzu ergangenen Rechtsprechung in § 32 Abs. 1 Satz 2 BDSG gesondert kodifiziert wurden. Die Vorschrift soll hinsichtlich der Eingriffsintensität damit vergleichbare Maßnahmen erfassen[18]. Diese sollen allenfalls dann zulässig sein, wenn der durch konkrete Tatsachen begründete „einfache“ Verdacht (Anfangsverdacht)[19] einer im Beschäftigungsverhältnis begangenen Straftat besteht.
§ 32 Abs. 1 Satz 2 BDSG entfaltet keine „Sperrwirkung“ dergestalt, dass eine anlassbezogene Datenerhebung durch den Arbeitgeber ausschließlich zur Aufdeckung von Straftaten zulässig wäre und sie nicht nach § 32 Abs. 1 Satz 1 BDSG zulässig sein könnte[20]. Allerdings muss der mit einer Datenerhebung verbundene Eingriff in das allgemeine Persönlichkeitsrecht des Arbeitnehmers auch im Rahmen von § 32 Abs. 1 Satz 1 BDSG einer Abwägung der beiderseitigen Interessen nach dem – dort gleichfalls verankerten – Grundsatz der Verhältnismäßigkeit standhalten[21]. Dieser verlangt, dass der Eingriff geeignet, erforderlich und unter Berücksichtigung der gewährleisteten Freiheitsrechte angemessen ist, um den erstrebten Zweck zu erreichen[22]. Es dürfen keine anderen, zur Zielerreichung gleich wirksamen und das Persönlichkeitsrecht der Arbeitnehmer weniger einschränkenden Mittel zur Verfügung stehen. Die Verhältnismäßigkeit im engeren Sinne (Angemessenheit) ist gewahrt, wenn die Schwere des Eingriffs bei einer Gesamtabwägung nicht außer Verhältnis zu dem Gewicht der ihn rechtfertigenden Gründe steht[23]. Die Datenerhebung, -verarbeitung oder -nutzung darf keine übermäßige Belastung für den Arbeitnehmer darstellen und muss der Bedeutung des Informationsinteresses des Arbeitgebers entsprechen. Danach muss im Falle einer der (verdeckten) Videoüberwachung vergleichbar eingriffsintensiven Maßnahme, die auf § 32 Abs. 1 Satz 1 BDSG gestützt werden soll, der auf konkrete Tatsachen begründete Verdacht einer schwerwiegenden, jedoch nicht strafbaren Pflichtverletzung bestehen. Eine entsprechende verdeckte Ermittlung „ins Blaue hinein“, ob ein Arbeitnehmer sich pflichtwidrig verhält, ist auch nach § 32 Abs. 1 Satz 1 BDSG unzulässig[24]. Sie ist, ohne dass es noch darauf ankäme, ob mildere, gleich effektive Mittel vorhanden waren, jedenfalls unangemessen (nicht verhältnismäßig im engeren Sinne).
Aus Vorstehendem folgt zugleich, dass weniger intensiv in das allgemeine Persönlichkeitsrecht des Arbeitnehmers eingreifende Datenerhebungen nach § 32 Abs. 1 BDSG ohne Vorliegen eines durch Tatsachen begründeten Anfangsverdachts, zumal einer Straftat oder anderen schweren Pflichtverletzung, zulässig sein können. Das gilt vor allem für nach abstrakten Kriterien durchgeführte, keinen Arbeitnehmer besonders unter Verdacht stellende offene Überwachungsmaßnahmen, die der Verhinderung von Pflichtverletzungen dienen sollen. Solche präventiven Maßnahmen können sich schon aufgrund des Vorliegens einer abstrakten Gefahr als verhältnismäßig erweisen, wenn sie keinen solchen psychischen Anpassungsdruck erzeugen, dass die Betroffenen bei objektiver Betrachtung in ihrer Freiheit, ihr Handeln aus eigener Selbstbestimmung zu planen und zu gestalten, wesentlich gehemmt sind[25]. Dementsprechend kann die vorübergehende Speicherung und stichprobenartige Kontrolle der Verlaufsdaten eines Internetbrowsers zulässig sein, um die Einhaltung eines vom Arbeitgeber aufgestellten kompletten Verbots oder doch einer Beschränkung der Privatnutzung von IT-Einrichtungen zu kontrollieren. Dabei werden lediglich die Adressen und Titel der aufgerufenen Seiten und der Zeitpunkt des Aufrufs protokolliert und damit nicht mehr Daten gespeichert, als benötigt werden, um einen möglichen inhaltlichen oder zeitlichen Missbrauch der Nutzungsrechte festzustellen[26]. Würden die gespeicherten Verlaufsdaten nicht zumindest stichprobenartig überprüft, könnten Zuwiderhandlungen gegen das Verbot oder die Beschränkung der Privatnutzung von IT-Einrichtungen des Arbeitgebers nicht geahndet werden und könnte die Datenerhebung ihre verhaltenslenkende Wirkung nicht entfalten.
Mit diesem Inhalt steht § 32 Abs. 1 BDSG im Einklang mit den Vorgaben der eine umfassende Harmonisierung[27] vorsehenden Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24.10.1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (ABl. L 281 vom 23.11.1995 S. 31)). Einerseits wird mit dem aus dem Grundsatz der Verhältnismäßigkeit abgeleiteten Erfordernis des auf konkrete Tatsachen gestützten Anfangsverdachts einer Straftat oder anderen schweren Pflichtverletzung für besonders eingriffsintensive Maßnahmen nicht entgegen Art. 5 der Richtlinie ein zusätzlicher, die Datenerhebung erschwerender Grundsatz eingeführt oder durch eine zusätzliche Bedingung die Tragweite eines der in Art. 7 der Richtlinie vorgesehenen Grundsätze verändert[28]. Andererseits genügt der vom Bundesarbeitsgericht herangezogene Verhältnismäßigkeitsgrundsatz dem durch die Richtlinie sowie Art. 7 der Charta der Grundrechte der Europäischen Union[29] und Art. 8 EMRK[30] garantierten Schutzniveau für die von einer Datenerhebung Betroffenen[31].
Das Landesarbeitsgericht hat angenommen, die Arbeitgeberin habe lediglich einen Vorfall konkret beschrieben. Das von einer Arbeitnehmerin mitgeteilte einmalige hastige „Wegklicken“ einer „stark bebilderten“ Webseite sei aber nicht geeignet, den konkreten Verdacht einer exzessiven Privatnutzung des Dienst-PC zu begründen. Im Weiteren sei der Vortrag der Arbeitgeberin substanzlos geblieben. Das gelte zum einen für die einer Beweisaufnahme nicht zugängliche Behauptung, auch andere Mitarbeiter hätten angegeben, der Arbeitnehmer gehe während seiner Arbeitszeit in erheblichem Umfang außerdienstlichen Aktivitäten nach. Zum anderen habe die Arbeitgeberin nicht substantiiert dargetan, dass die Leistungen des Arbeitnehmers erheblich nachgelassen hätten.
Das Berufungsgericht hat es – stillschweigend, zu Recht als unmaßgeblich angesehen, dass die Arbeitgeberin die tatsächlichen Anhaltspunkte, die aus ihrer Sicht den Verdacht strafbaren Verhaltens des Arbeitnehmers begründeten, nicht iSv. § 32 Abs. 1 Satz 2 BDSG dokumentiert hat. Ein solches Versäumnis führt weder zu einer Präklusion mit Vortrag zu den Verdachtsmomenten im Prozess noch begründet es für sich genommen die Unverwertbarkeit der aus der Maßnahme gewonnenen Erkenntnisse. Die Vorgabe, die Tatsachen zu dokumentieren, auf die sich ein Anfangsverdacht gründet, verfolgt den Zweck, dem hiervon erfassten Personenkreis die nachträgliche Rechtmäßigkeitskontrolle zu erleichtern. Aus ihr kann ein prozessuales Verwertungsverbot jedenfalls dann nicht abgeleitet werden, wenn der Arbeitgeber den Verdacht von Straftaten spätestens im Rechtsstreit durch konkrete Tatsachen untermauert und dadurch eine Rechtmäßigkeitskontrolle gesichert ist[32].
§ 28 Abs. 1 BDSG schied als Erlaubnisnorm aus. Die Vorschrift findet im Beschäftigungsverhältnis nur Anwendung, wenn nicht – wie hier – die Zwecke des § 32 Abs. 1 BDSG betroffen sind[33]. Demgegenüber kann eine Datenerhebung, die weder der Aufdeckung von Straftaten iSd. § 32 Abs. 1 Satz 2 BDSG noch sonstigen Zwecken des Beschäftigungsverhältnisses iSv. § 32 Abs. 1 Satz 1 BDSG dient, „zur Wahrung berechtigter Interessen“ iSv. § 28 Abs. 1 Satz 1 Nr. 2 BDSG zulässig sein[34].
Es kann dahinstehen, ob Erkenntnisse, die der Arbeitgeber im Anwendungsbereich des § 32 Abs. 1 BDSG unter Verletzung des Rechts auf informationelle Selbstbestimmung gewonnen hat, ausnahmsweise im Rechtsstreit verwertet werden dürfen. Das könnte nur dann in Betracht kommen, wenn weitere, über das schlichte Beweisinteresse hinausgehende Aspekte hinzutreten und diese besonderen Umstände gerade die in Frage stehende Informationsbeschaffung als gerechtfertigt ausweisen[35]. Im Streitfall fehlt es schon an erstem. Ein Arbeitgeber, der – wie hier die Arbeitgeberin – eine Überwachungsmaßnahme „ins Blaue hinein“ veranlasst, befindet sich weder in einer Notwehr- oder notwehrähnlichen Situation gemäß § 227 BGB bzw. § 32 StGB noch in einer Notstandslage iSv. § 34 StGB[36].
Das Landesarbeitsgericht hat zu Recht angenommen, die Kündigungen seien auch als Verdachtskündigungen unwirksam. Es musste den Sachvortrag der Arbeitgeberin, mit dem sie die durch den Keylogger gewonnenen Erkenntnisse in den Rechtsstreit eingeführt hat, auch bei der Würdigung außer Acht lassen, ob gegen den Arbeitnehmer der dringende Verdacht eines Verhaltens bestand, das, wäre es erwiesen, eine außerordentliche, fristlose Kündigung gerechtfertigt hätte[37].
Arbeitszeit Außerordentliche Kündigung Betriebskosten Betriebskostenabrechnung Darlegungslast Diskriminierung Eigenbedarf Eigenbedarfskündigung Eigentumswohnung Erstzulassung Fernabsatz Flugannullierung Flugreise Fristlose Kündigung Gebrauchtwagenkauf Gewährleistung Instandsetzung Kaufvertrag Kaution Kautionsrückzahlung Kfz-Kauf Kündigungsfrist Makler Mangel Mietkaution Mietkündigung Mietmangel Mietminderung Mietverhältnis Mietvertrag Mietwohnung Mindestlohn Nacherfüllung Sachmangel Sachmängelhaftung Schadensersatz Umzug Verhaltensbedingte Kündigung Verjährung Weihnachtsgeld Widerruf Widerrufsbelehrung Widerrufsrecht Wohnraummiete Öffentlicher Dienst

References: Art. 2
 Art. 1
 Art. 8
 § 138
 § 286
 § 331
 Art. 1
 § 1
 § 32
 § 28
 § 4
 Art. 2
 Art. 1
 Art. 2
 Art. 1
 § 32
 § 32
 § 32

§ 32
 § 32
 § 32

§ 32
 § 32
 § 32
 § 32
 § 32
 § 32
 § 32
 Art. 5
 Art. 7
 Art. 7
 Art. 8
 § 32

§ 28
 § 32
 § 32
 § 32
 § 28
 § 32
 § 227
 § 32
 § 34