F&A: Kontrolle des PC-Browserverlaufs einer angestellten MFA

Antwort:

Vorab ist zu sagen, dass die Ausgestaltung der Internetnutzung, sprich was während der Arbeitszeit erlaubt bzw. nicht erlaubt ist, aus Sicht des Verfassers allein dem Arbeitgeber obliegt. Wenn dieser die Internetnutzung während der Arbeitszeit explizit verboten hat, dann ist die entsprechende Nutzung unzulässig. Sollte jedoch die private Nutzung gestattet bzw. zumindest geduldet sein, dann ist die private Nutzung nach Ansicht des Verfassers im angemessenen zeitlichen Umfang zulässig. Allerdings ist die Frage der Angemessenheit und der durch eine etwaig übermäßige Nutzung verursachten erheblichen Beeinträchtigung der Arbeitspflicht jeweils anhand der konkreten Umstände im Einzelfall zu beurteilen. Aus diesem Grund empfiehlt sich die Festlegung eindeutiger Regelungen über die Unzulässigkeit bzw. Zulässigkeit der privaten Internetnutzung, damit auch für die Arbeitnehmer eine Transparenz des rechtlich zulässigen Rahmens geschaffen wird, sodass für diese ersichtlich wird, wann arbeitsrechtliche Konsequenzen drohen können.

Die Anfrage wird dahingehend verstanden und zur Grundlage der Beantwortung gemacht, dass eine Überprüfung des Browserverlaufs ohne einen konkreten Anfangsverdacht bezüglich eines Verstoßes stattfinden soll. Nicht ersichtlich wird aus der Anfrage, inwieweit die Nutzung des Internets zu privaten Zwecken in der Praxis erlaubt ist.

Durch eine Kontrolle des Browserverlaufs, die aus Sicht des Verfassers eine Datenerhebung darstellt, wird grundsätzlich in das Grundrecht des allgemeinen Persönlichkeitsrechts des Arbeitnehmers, konkret das Recht auf informationelle Selbstbestimmung eingegriffen. Es spielt dabei im Hinblick auf einen Eingriff in den Schutzbereich des Rechts auf informationelle Selbstbestimmung keine Rolle, ob diese Daten in verdeckter Form erhoben werden oder ob dies ganz offen und erkennbar für den Arbeitnehmer geschieht. Das Bundesarbeitsgericht hat hierzu mit aktuellem Urteil jedoch entschieden, dass wenn die Datenverarbeitung gegenüber dem betroffenen Arbeitnehmer nach den Vorschriften des BDSG zulässig ist, insoweit keine Verletzung seines Rechts auf informationelle Selbstbestimmung vorliegt (vgl. BAG, Urteil vom 27.07.2017 – 2 AZR 681/16). Hierzu bedarf es aber entweder einer Einwilligung des betroffenen Arbeitnehmers oder eben einer gesetzlichen Grundlage nach dem BDSG.

Sofern keine Einwilligung der Mitarbeiter für die Überprüfung vorliegt, käme § 32 Abs. 1 S. 1 BDSG nach der BAG-Rechtsprechung als Rechtsgrundlage in Betracht. Hiernach dürfen personenbezogene Daten eines Beschäftigten für Zwecke des Beschäftigungsverhältnisses u. a. dann erhoben, verarbeitet oder genutzt werden, wenn dies für dessen Durchführung oder Beendigung erforderlich ist. Zur Durchführung gehört nach Auffassung des BAG die Kontrolle, ob der Arbeitnehmer seinen Pflichten nachkommt. Sofern nach § 32 Abs. 1 S. 1 BDSG zulässig erhobene Daten den Verdacht einer solchen Pflichtverletzung begründen, dürfen sie für die Zwecke und unter den Voraussetzungen des § 32 Abs. 1 S. 1 BDSG auch verarbeitet und genutzt werden (vgl. BAG, a. a. O.).

Allerdings muss nach der obigen BAG-Rechtsprechung stets eine Abwägung der beiderseitigen Interessen nach dem Grundsatz der Verhältnismäßigkeit stattfinden. Dies bedeutet, dass der Eingriff geeignet, erforderlich und angemessen ist zur Erreichung des angestrebten Zwecks. Es dürfen keine anderen, zur Zielerreichung gleich wirksamen und das Persönlichkeitsrecht der Mitarbeiter weniger einschränkenden Mittel zur Verfügung stehen. Die Verhältnismäßigkeit im engeren Sinne (Angemessenheit) ist gewahrt, wenn die Schwere des Eingriffs bei einer Gesamtabwägung nicht außer Verhältnis zu dem Gewicht der ihn rechtfertigenden Gründe steht. Die Datenerhebung, -verarbeitung oder -nutzung darf keine übermäßige Belastung für die Mitarbeiter darstellen und muss der Bedeutung des Informationsinteresses des Arbeitgebers entsprechen (vgl. BAG, a. a. O.).

Hieraus folgt aus Sicht des BAG, dass weniger intensiv in das allgemeine Persönlichkeitsrecht der Mitarbeiter eingreifende Datenerhebungen nach § 32 Abs. 1 BDSG auch ohne Vorliegen eines durch Tatsachen begründeten Anfangsverdachts zulässig sein können. Das gelte vor allem für nach abstrakten Kriterien durchgeführte, keinen Mitarbeiter besonders unter Verdacht stellende offene Überwachungsmaßnahmen, die der Verhinderung von Pflichtverletzungen dienen sollen. Solche präventiven Maßnahmen können sich schon aufgrund des Vorliegens einer abstrakten Gefahr als verhältnismäßig erweisen, wenn sie keinen solchen psychischen Anpassungsdruck erzeugen, dass die Betroffenen bei objektiver Betrachtung in ihrer Freiheit, ihr Handeln aus eigener Selbstbestimmung zu planen und zu gestalten, wesentlich gehemmt sind (vgl. BAG, a. a. O.). Die vorübergehende Speicherung und stichprobenartige Browserverlaufskontrolle stellt nach Ansicht des Verfassers einen solch weniger intensiven Eingriff dar.

Demnach könne nach Auffassung des BAG die vorübergehende Speicherung und stichprobenartige Kontrolle der Verlaufsdaten eines Internetbrowsers zulässig sein, um die Einhaltung eines vom Arbeitgeber aufgestellten kompletten Verbots oder doch einer Beschränkung der Privatnutzung von IT-Einrichtungen zu kontrollieren. Dabei dürfen aus Sicht des BAG jedoch lediglich die Adressen und Titel der aufgerufenen Seiten und der Zeitpunkt des Aufrufs protokolliert und damit nicht mehr Daten gespeichert als benötigt werden, um einen möglichen inhaltlichen oder zeitlichen Missbrauch der Nutzungsrechte festzustellen. Denn würden die gespeicherten Verlaufsdaten nicht zumindest stichprobenartig überprüft, könnten Zuwiderhandlungen gegen das Verbot oder die Beschränkung der Privatnutzung von IT-Einrichtungen des Arbeitgebers nicht geahndet werden und könnte die Datenerhebung ihre verhaltenslenkende Wirkung nicht entfalten, so das BAG (vgl. BAG, a. a. O.).

Zusammenfassend ist deshalb aus Sicht des Verfassers eine lediglich stichprobenartige Kontrolle des Browserverlaufs und eine vorübergehende Speicherung der Verlaufsdaten auch ohne konkreten Verdacht auf einen Verstoß zulässig, wenn der Zweck dieser Kontrolle in der Überprüfung der Einhaltung eines vom Arbeitgeber aufgestellten umfänglichen Nutzungsverbotes oder eines beschränkten Nutzungsrechts der privaten Internetnutzung besteht. Hierbei dürfen dann nach der BAG-Rechtsprechung aber nur die Adressen und Titel der aufgerufenen Seiten und der Zeitpunkt des Aufrufs notiert werden.