Source: https://www.it-recht-kanzlei.de/E-Mail-privat-L%C3%B6sung-Kontrolle.html
Timestamp: 2020-07-04 06:31:41+00:00

Document:
Individuelle Einwilligungen sind möglich. Diese müssten nach § 4a BDSG schriftlich und freiwillig abgegeben werden. Die Freiwilligkeit kann aufgrund des unterschiedlichen Kräfteverhältnisses zwischen Arbeitgeber und Arbeitnehmer, insbesondere vor dem Abschluss des Arbeitsvertrages, nicht vorliegen. Diesbezüglich bedarf es aber immer einer Einzelfallbetrachtung. Weiterhin darf die Einwilligung in nicht allgemeinegehaltene Erklärungen formuliert werden. Nicht ausreichend sind danach Formulierungen wie „Der Arbeitnehmer gestattet dem Arbeitgeber jede Nutzung persönlicher Daten, die im Arbeitsverhältnis anfallen.“ Vielmehr bedarf es einer detaillierten Formulierung. Schließlich muss der Arbeitgeber den Arbeitnehmer rechtzeitig und umfassend über Zweck, Art und Umfang der beabsichtigten Datennutzung informieren.
Neben dem Aufwand die Einwilligung einzuholen, besteht die praktische Gefahr, dass einzelne Mitarbeiter die Einwilligung nicht erteilen, sodass keine umfassende und automatisierte Archivierung möglich ist. Zudem ist die Einwilligung jederzeit widerruflich.
Auch kann über die Datenerhebung und –verarbeitung eine Betriebsvereinbarung geschlossen werden, da eine solche eine „andere Rechtsvorschrift“ im Sinne des § 4 BDSG ist. Dabei ist die Mitwirkung des Betriebsrats nach § 87 I Nr. 6 BetrVG nötig.
Für die Emailarchivierung kommt innerhalb eines Betriebes § 32 BDSG als gesetzliche Rechtfertigung zur Anwendung. Dieser erlaubt die Erhebung, Verarbeitung und Nutzung personenbezogener Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist.
Erforderlich ist die Verwendung personenbezogener Daten dann, wenn keine objektiv zumutbare Alternative existiert. Die Erforderlichkeit ist anzunehmen, wenn die berechtigten Interessen des Arbeitgebers auf andere Weise nicht oder nicht angemessen gewahrt werden können. Es ist eine Interessensabwägung zwischen dem Datenschutz des Arbeitnehmers (Art. 2 I GG i.V.m. Art.1 I GG) und dem Schutz des eingerichteten und ausgeübten Gewerbebetriebes des Arbeitgebers (Art. 14 I GG) vorzunehmen.
Bei der Archivierung ist zu berücksichtigen, dass sich für den Arbeitgeber aus den zahlreichen gesetzlichen Vorschriften nicht nur ein Interesse, sondern eine Pflicht zur Archivierung ergibt. Deshalb kann die Erforderlichkeit im Sinne des § 32 BDSG unseres Erachtens nur zu bejahen sein. Allerdings sollte der Arbeitgeber seiner Pflicht aus § 4 III BDSG den Arbeitnehmer über die Archivierung zur Informieren nachkommen.
2. Möglichkeit = Zulassung mitarbeitereigener Mobilgeräte
3. Möglichkeit = Vorbehaltslose Erlaubnis des Einsatzes von E-Mails zu privaten Zwecken
4. Möglichkeit = Die Zwischenlösungen
a. Zugriff auf Web-Accounts
b. Zuweisung einer privaten neben der geschäftlichen E-Mailadresse
c. Kennzeichnung der privaten E-Mails.
d. Anlegen eines Ordners mit privaten E-Mails
e. Gesonderte Surfstationen für Arbeitnehmer
f. Einwilligung in die Archivierung der privaten E-Mails
g. privates Surfen über einen eigenen Proxyserver
Diese Alternative ist aus rechtlicher Sicht alles andere als ideal. Dem Arbeitgeber ist es verwehrt, den privaten E-Mailverkehr seiner Mitarbeiter zu lesen, ja geschweige denn zu archivieren, da das Fernmeldegeheimnis nach § 88 III TKG gilt. Konsequenz: Dem Arbeitergeber bleibt nichts anderes übrig, als sich, in der Regel sehr aufwendigen und damit kostenintensiven technischen Lösungen zu bedienen, die in der Lage sind, private Mails von dienstlichen zu trennen. Von manchen Juristen wird vertreten, dass es in diesem Fall dem Arbeitgeber nicht verwehrt werden dürfe, immerhin den Betreff der jeweiligen E-Mail zu öffnen bzw. sichtbar zu machen.
Dies ist jedoch abzulehnen, da jeglicher Inhalt der privaten Mail, also auch der Betreff, vom Fernmeldegeheimnis geschützt ist. Können private Mails von den betrieblichen Mails nicht unterschieden werden, ist dem Arbeitgeber auch der Zugriff auf die geschäftlichen Emails versagt.
Anders ist es nur hinsichtlich der Verkehrsdaten nach § 100 III TKG.
Der Zugriff auf den Inhalt der Emails kann für den Arbeitgeber zu einer Strafbarkeit nach §§ 206 und 202a StGB führen.
Theoretisch ist es möglich, dass der Arbeitgeber mit den Mitarbeitern Individualvereinbarungen trifft, in denen die Mitarbeiter in die Emailarchivierung einwilligen. Diese Einwilligung muss in Anlehnung an das BDSG freiwillig abgegeben werden. In der Praxis wird es jedoch nur schwer möglich sein, von allen Arbeitnehmern eine Einwilligung zu erhalten.
In dieser Konstellation ergibt sich eine Pflichtenkollision des Arbeitgebers. Er verletzt entweder die Straftatbestände nach §§ 206, 202a StGB (Datenschutz, Fernmeldegeheimnis) oder nach 238b StGB (Buchführungspflicht). Da es nun an einer Norm wie § 32 BDSG fehlt, welche die Datenerhebung an das Kriterium der Erforderlichkeit knüpft, wäre es denkbar über den rechtfertigenden Notstand nach § 34 StGB zu lösen. Dieser knüpft auch an eine Abwägung an. Ob die Einhaltung der Buchführungspflicht dem Interesse an Datenschutz und Fernmeldegeheimnis wie von § 34 StGB verlangt wesentlich überwiegt, ist Ansichtssache. Da es hierzu allerdings keine Rechtsprechung gibt, kann von dieser Lösung nur abgeraten werden.
Der Arbeitgeber erlaubt den Zugriff auf eine private E-Mailadresse des Arbeitnehmers in einem Freemail-Account wie gmx.de, yahoo.de, web.de etc. und verbietet den privaten E-Mailverkehr über die geschäftliche E-Mailadresse. Dadurch bleibt die geschäftliche E-Mailadresse von privaten Inhalten frei und kann ohne Konflikt mit dem Fernmeldegeheimnis archiviert werden. Ein Verstoß dagegen ist ein Verstoß des Arbeitgebers gegen seine Treuepflicht, sodass er nicht mehr schutzwürdig ist.
Durch das Erlauben der privaten Nutzung wird der Arbeitgeber nun wieder Anbieter der Telekommunikation. Wie oben dargelegt, darf dann der Arbeitgeber weder vom Inhalt noch von den Verbindungsdaten der Telekommunikation Kenntnis nehmen. Deshalb ist zu beachten, dass ein Firmennetzwerkrouter nicht die Webanfragen protokollieren darf. Ebenso darf dies nicht durch Proxy-Router geschehen. Denn auch diese schreiben normalerweise die Webanfragen mit. Eine Webanfrage ist der Aufruf einer (Web-) Seite über einen Browser.
Weiter sollte das private Surfen zeitlich beschränkt werden, also zum Beispiel auf die Zeiten von 08:00 Uhr bis 09:30 Uhr, von 12:00 Uhr bis 13:00 Uhr. Denn damit ist der Arbeitgeber nur in diesen Zeiträumen Anbieter nach dem TKG. Somit bleibt ihm in der übrigen Zeit die Möglichkeit die Arbeitnehmer zu überwachen (dazu mehr im 7.Teil der Serie „Überwachung und Kontrolle“).
Den Mitarbeitern kann neben einer geschäftlichen E-Mailadresse auch eine privat und als solche gekennzeichnete E-Mailadresse (z.B. Max.Muster.Privat@Firmenname.de) zur Verfügung gestellt werden - verbunden mit der Auflage, dass nur letztere zu privaten Zwecken genutzt werden darf. Der Arbeitgeber würde dann nur die E-Mails der geschäftlichen E-Mailadresse archivieren. Damit würde eine zentrale, sowie effiziente Archivierung ermöglicht werden, da auf diese Weise eine Vermischung privater wie auch dienstlicher E-Mail ausgeschlossen sein würde. Nicht zuletzt würde man damit auch etwaigen Konflikten mit Betriebsräten aus dem Weg gehen können, die ansonsten bei betrieblichen Vereinbarungen zur E-Mailnutzung hinzugezogen werden müssten. So wird etwa das Mitbestimmungsrecht von Betriebsräten seitens der Rechtsprechung recht weit gefasst. Es sei demnach ausreichend, wenn technische Maßnahmen dazu geeignet sein könnten, den Arbeitnehmer zu überwachen - was naturgemäß gerade für Telekommunikationssysteme gilt.
Nicht ausreichend ist es, wenn im Rahmen der geschäftlichen E-Mailadresse nur zwei verschiedene (Unter-) Folder eingerichtet werden und einer für betriebliche E-Mails und der andere für geschäftliche E-Mails verwendet wird. Denn, wie im 4. Teil der Serie unter VII.2.c. beschrieben, werden die E-Mails bereits und sofort beim Eingang auf dem Server des Arbeitgebers archiviert. Somit wäre eine private E-Mail schon archiviert und die Trennung von den betrieblichen E-Mails käme zu spät.
Was passiert jedoch, wenn der Arbeitnehmer versehentlich (oder auch nicht) ein private E-Mail vom Account der geschäftlichen E-Mail-Adresse versendet? Dann kann sich unseres Erachtens der Arbeitgeber gegenüber dem Arbeitnehmer auf dessen Arbeitnehmertreupflicht berufen. Der Arbeitnehmer hat diese verletzt und ist nicht schutzwürdig, vor allem deswegen, weil der Arbeitgeber ausreichend tätig geworden ist, um dem Arbeitnehmer eine sichere Möglichkeit zur privaten Nutzung zu ermöglich.
Der Arbeitgeber richtet einen eigenen Proxyserver ein, über den ausschließlich das private Surfen der Arbeitnehmer läuft. Zudem ist auf allen lokalen Rechner eine Software installiert, über die der Arbeitnehmer bestimmen kann, ob er gerade privat oder dienstlich surft. Damit kann das private Surfen von dienstlichen getrennt werden. Die Arbeitnehmer dürfen die dienstliche E-Mailadresse nicht zu privaten Zwecken benutzen. Aber sie können jederzeit auf ihre Web-Accounts zugreifen.
Hinsichtlich der Daten, die auf dem Proxyserver für das private Surfen anfallen, ist der Arbeitgeber Diensteanbieter nach dem TKG, Damit hat er für diesen Server nur die beschränkten Zugriffsrechte, die ihm das TKG einräumt. Hinsichtlich der anderen Server, über die das dienstliche Surfen und E-Mailen läuft, ist der Arbeitgeber kein Diensteanbieter und damit kann er auf diese Server zugreifen. Somit ist die E-Mail-Archivierung möglich.
Ja. Um zum Beispiel die Weitergabe von Betriebsgeheimnissen, eine unerlaubte private Nutzung des E-Mail-Systems, oder die Begehung von Straftaten durch den Arbeitnehmer aufzudecken und zu unterbinden, möchte und muss der Arbeitgeber den Arbeitnehmers kontrollieren und überwachen. Technisch gesehen greift der Arbeitgeber dabei auf den E-Mail-Server zu oder setzt einen Sniffer ein.
Aber auch die Frage inwieweit der Arbeitgeber den Arbeitnehmer überwachen darf, sprich einzelne Mails lesen und das Abrufen von Internetseiten nachvollziehen darf, hängt vom TKG und dem BDSG ab.
Das TKG gilt in diesem Falle nicht, da der Arbeitgeber kein Dienstanbieter im Sinne des TKGs ist. Aber dann gilt das BDSG. Gemäß § 4 BDSG dürfen personenbezogene Daten nur erhoben oder genutzt werden, wenn dies durch den Betroffenen oder durch Gesetz oder eine andere Rechtsvorschrift gestattet ist.
Für die Überwachung kommt innerhalb eines Betriebes § 32 BDSG als gesetzliche Gestattung im Sinne des § 4 BDSG zur Anwendung. Dieser erlaubt nach Abs.1 S.1 die Erhebung, Verarbeitung und Nutzung personenbezogener Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist.
Erforderlich ist die Verwendung personenbezogener Daten dann, wenn keine objektiv zumutbare Alternative existiert. Die Erforderlichkeit ist anzunehmen, wenn die berechtigten Interessen des Arbeitgebers auf andere Weise nicht oder nicht angemessen gewahrt werden können. Es ist eine Interessensabwägung zwischen dem Datenschutz des Arbeitnehmers (Art. 2 I GG i.V.m. Art.1 I GG) und dem Schutz des eingerichteten und ausgeübten Gewerbebetriebes (Art. 14 I GG) vorzunehmen.
Im Rahmen der Überwachung eines Arbeitnehmers wird beim E-Mailverkehr zwischen den Verbindungsdaten (Datum, Uhrzeit, Datenvolumen und wohl auch E-Mail-Adressen) und dem E-Mail-Inhalten differenziert. Während erstere nach der Rechtsprechung gespeichert werden können, ist dies bei Letzteren umstritten.
Denn zum Teil werden die Grundsätze zur Telefonüberwachung als Vergleichsmaßstab heran gezogen. Danach ist eine Überwachung der -Mail nicht möglich, da die Inhalte eines Telefonats durch den Arbeitgeber weder mitgeschnitten noch mitgehört werden dürfen.
Teilweise wird die E-Mail jedoch mit dem Geschäftsbrief gleichgesetzt wird. Danach kann der Inhalt einer E-Mail problemlos, ebenso wie der Inhalt eines Geschäftsbriefes, gelesen werden. Diese Ansicht ist unserer Auffassung auch richtig, da die E-Mail wie ein Geschäftsbrief später für Dritte abrufbar ist und dies dem Arbeitnehmer beim Verfassen bewusst ist. Die Flüchtigkeit des gesprochenen Worts wie bei einem Telefonat ist bei der E-Mail nicht gegeben.
Die E-Mailarchivierung ist zwar ein zentraler Punkt, jedoch sollten bei der Erstellung einer IT-Richtlinie noch einige Punkte mehr beachtet werden. Im Folgenden werden diese aufgelistet und kurz beschrieben, Sie sind unseres Erachtens unbedingt regelungsbedürftig.
2.2. Wer trägt die Verantwortlichkeit für die Richtlinie?
zum Beispiel: Benutzung betriebsfremder Hardware oder Software ohne die gültige Lizenz zu installieren, zu speichern oder in irgendeiner Form zu nutzen
zum Beispiel: Besondere Regelung für besonders wichtige Backups
Umfasst sind Endgeräte (Festnetztelefone, Mobilteile, das Telefaxgerät), die hausinterne Telefonanlage samt Anschlüsse sowie die Mobiltelefone
5.1. Nutzung
Dokumentation über den Einzelgebührennachweis durch den Netzbetreiber
Mittel (Extra-Postfach für private E-Mails oder Browsernutzung für ein Webbasiertes Postfach); Umfang und Tageszeiten; Zulassung privater Nutzung stellt eine freiwillige Leistung des Unternehmens dar.
6.3. Verhaltensgrundsätze
Keine Nutzung der IT-Systeme „Internet“ und „E-Mail“ zu Zwecken, die die Interessen, das Ansehen oder die Sicherheit des Unternehmens beeinträchtigen oder die gegen geltende Rechtsvorschriften verstoßen.
6.3.1. Verbote
Unter anderem: Versand unternehmensrelevanter Daten ohne dienstliche Notwendigkeit an externe E-Mailkonten; Abrufen, Verbreiten oder Speichern von beleidigenden, verleumderischen, verfassungsfeindlichen, rassistischen, sexistischen, gewaltverherrlichenden oder pornografischen Äußerungen oder Abbildungen
6.3.3. Blockierte Internetseiten
6.4. Kontrolle
6.6.3. Maßnahmen bei Verdacht auf Infektion durch Schadprogramme
Zum Bereich mobiler Geräte gehören insbesondere Firmen-Handys, PDAs, Notebooks. Als externe Datenträger werden z.B. CDs, DVDs, USB-Sticks, mobile Festplatten, sonstige Speicher-Chips, Disketten etc. bezeichnet.
7.1. Allgemeine Richtlinien für den Umgang mit mobilen Geräten
7.2. Herausgabepflicht zum Ende des Arbeitsverhältnisses
Zum Beispiel: nur „komplexe“ Kennwörter vergeben; vertraulich behandeln; Änderung aus Sicherheitsgründen nach Ablauf eines bestimmten Zeitraumes (derzeit ca. 1 Jahr)
9.2.2. Herausgabepflicht zum Ende des Arbeitsverhältnisses
Gezielte personenbezogene Auswertung bei begründetem Verdacht auf missbräuchliche/ unerlaubte Nutzung
Zurück zu den[ anderen Teilen der FAQ.](/faq-email-archivierung.html)

References: § 4
 § 4
 § 87
 § 32
 Art.1
 § 32
 § 4
 § 88
 § 100
 § 32
 § 34
 § 34
 § 4
 § 32
 § 4
 Art.1