Speicherung und Auswertung von Internetbrowser-Verlaufsdaten

Ein datenschutzrechtliches Problem, das geeignet ist, wohl jeden Betrieb zu beschäftigen, der seinen Mitarbeitern Computerarbeitsplätze mit Internetverbindung zur Verfügung stellt, ist die Frage nach der Speicherung und Auswertung von Internetbrowser-Verlaufsdaten. 

Diese Frage stellt sich in der Praxis sowohl bei der Erstellung und Pflege eines datenschutzrechtlichen  Verfahrensverzeichnisses und der Datenschutzinformation für Mitarbeiter, als auch im Rahmen der Kündigung und eines möglichen Kündigungsschutzprozesses. Schließlich kann nach richtiger Auffassung des LAG Berlin-Brandenburg eine außerordentliche Kündigung wegen exzessiver Privatnutzung des dienstlichen Internetanschlusses während der Arbeitszeit selbst dann gerechtfertigt sein, wenn dem Arbeitnehmer die Privatnutzung arbeitsvertraglich etwa innerhalb der Arbeitspausen erlaubt ist. Im Kündigungsschutzprozess können unter Umständen die vom Arbeitgeber ausgewerteten Einträge der aufgerufenen Internetseiten in der Chronik des auf dem Dienstrechner des Arbeitnehmers installierten Internetbrowsers zum Beweis einer solch exzessiven privaten Internetnutzung verwertet werden.

Bei einem Verbot privater Internetnutzung am Arbeitsplatz

Ein grundsätzliches Beweisverwertungsverbot besteht im Hinblick auf erfasste Browserverläufe nicht, weil § 26 BDSG die Speicherung und Auswertung der Verlaufsdaten in der Chronik eines Internetbrowsers zu Zwecken der Missbrauchskontrolle auch ohne Einwilligung des Arbeitnehmers erlaubt. Dies ist auch sachgerecht. Denn würden die Verlaufsdaten nicht zumindest stichprobenartig überprüft, könnten Zuwiderhandlungen gegen das generelle Verbot oder die Beschränkung der Privatnutzung von IT-Einrichtungen des Arbeitgebers nicht geahndet werden und das Verbot seine verhaltenslenkende Wirkung nicht entfalten.

Voraussetzung für diese Protokollierung und Überprüfung der Daten nach § 26 Abs. 1 S. 1 BDSG  ist allerdings, dass dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist. Erforderlich ist die Datenverarbeitung dann, wenn kein gleich geeignetes und weniger einschneidendes Mittel zur Aufklärung der Gegebenheiten vorhanden ist. Konkret bedeutet dies, dass die Speicherung und Auswertung des Browserverlaufs zulässig ist, wenn dem Arbeitgeber ein mit anderen Mitteln zu führender konkreter Nachweis des Missbrauchs des dienstlichen Internetanschlusses  und dessen Umfang nicht zur Verfügung steht.

Nach § 26 Abs. 1 S. 2 BDSG darf eine Überwachung erfolgen, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt

Umfang der erlaubten Überwachung

Eine zentrale Rolle bei der Bewertung der Rechtmäßigkeit der Überwachung des Browserverlaufs spielt der Umfang der Überwachung.

In der sogenannten Keylogger- Entscheidung des Bundesarbeitsgerichts vom  27.07.2017, Az.2 AZR 681/16, war über die Installation einer Software am Dienstrechner des Arbeitnehmers zu entscheiden. Diese Software zeichnete über einen längeren Zeitraum sämtliche Tastatureingaben des Beschäftigten auf und speicherte diese dauerhaft. Zusätzlich erstellte und speicherte das Programm in regelmäßigen Abständen Screenshots vom PC des Arbeitnehmers. Der Einsatz des Keyloggers ist dem Arbeitgeber nach Ansicht des Gerichts nicht erlaubt. Eine Maßnahme, die hinsichtlich der Intensität des durch sie bewirkten Eingriffs in das allgemeine Persönlichkeitsrecht des Arbeitnehmers mit einer verdeckten Videoüberwachung vergleichbar ist, stellt sich in der Regel als unverhältnismäßig dar, wenn nicht tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat.

Voraussetzung für die Rechtmäßigkeit jedweder Kontrolle des Browserverlaufs ist stets, dass weniger einschneidende Mittel zur Aufklärung eines Verdachts ergebnislos ausgeschöpft sind, die vorgenommene Maßnahme damit praktisch das einzig verbleibende Mittel darstellt und die Maßnahme insgesamt nicht unverhältnismäßig ist (BAG, Urteil vom 21.11.2013).

Als weniger einschneidendes Mittel zur Überprüfung der Einhaltung eines Verbots kommt beispielsweise eine Protokollierung von Adressen und Titeln der aufgerufenen Seiten und demsZeitpunkt des Aufrufs in Betracht.  Damit würden nicht mehr Daten gespeichert, als benötigt werden, um einen möglichen inhaltlichen oder zeitlichen Missbrauch der Internetnutzung festzustellen. Zudem empfiehlt sich in Anbetracht des nach der Datenschutzgrundverordnung zwingend einzuhaltenden Grundsatzes der Datensparsamkeit, eine stichprobenartige anstelle einer regelmäßigen Kontrolle des Surfverhaltens. Wenn keine Zuwiderhandlung festgestellt wird, müssen die gewonnenen Erkenntnisse und Verlaufsdaten unverzüglich gelöscht werden und dürfen keinesfalls weiterhin gespeichert werden.

Bei erlaubter privater Nutzung des dienstlichen Internetanschlusses

Unterschiedlicher Auffassung sind Aufsichtsbehörden, Gerichte und Literatur zur Zeit noch, wenn es um die Speicherung und Auswertung von Internetbrowser-Verlaufsdaten geht, obwohl die private Internetnutzung vom Arbeitgeber – zumindest in einem gewissen Umfang - gestattet ist. Hier stellt sich die außerordentlich strittige Frage, ob das Telekommunikationsgesetz (TKG) anwendbar ist,  wenn der Arbeitgeber den Arbeitnehmern eine private Nutzung des dienstlichen Internetanschlusses erlaubt.  

Folge einer Anwendbarkeit des TKG wäre, dass der Arbeitgeber als Telekommunikationsanbieter gemäß § 3 Nr. 6 und Nr. 10 KG dem Fernmeldegeheimnis nach § 88 Abs. 1 TKG unterläge und damit keine Möglichkeit zur Überprüfung der Internetnutzung des Arbeitnehmers hätte. Ferner ergäbe sich aus § 88 Abs. 3 TKG ein Beweisverwertungsverbot hinsichtlich protokollierter Browserverläufe etwa im Rahmen einer Kündigungsschutzklage.

Damit der Arbeitgeber allerdings dem Regelbereich des TKG unterliegt, müsste dieser die Bereitstellung des Internetzugangs als Telekommunikationsdienst geschäftsmäßig erbringen.Während die Aufsichtsbehörden und Gerichte mehrheitlich, leider aber ohne jede Begründung, annehmen, dass ein solches geschäftsmäßiges Erbringen eines Telekommunikationsdienstes bei erlaubter privater Nutzung des dienstlichen Internetanschlusses durch den Arbeitnehmer gegeben ist,  werden in der Literatur und vereinzelt auch in der Rechtsprechung erhebliche Zweifel diesbezüglich laut. Das LAG Berlin-Brandenburg (Urteil vom 14.1.2016) und das LAG Niedersachsen (Urteil vom 31.5.2010) verneinen die Anwendbarkeit des TKG und stellen fest, dass dementsprechend aus § 88 Abs. 3 TKG auch kein Beweisverwertungsverbot folge. Allerdings stützen die Gerichte diese Annahme  ebenfalls nicht auf eine nachvollziehbare Begründung, die einer angemessenen Auseinandersetzung mit dem TKG entspringt, sondern begnügen sich mit einer knappen Feststellung dieses Umstands.

Worin die Geschäftsmäßigkeit eines Arbeitgebers, der seinen Beschäftigten das private Surfen im Internet erlaubt, liegen oder gerade nicht liegen soll, bleibt damit weiterhin ungeklärt. Auch die Tatsache, dass das TKG das Verhältnis zwischen Anbieter und Verbraucher jedoch nicht die Beziehung zwischen Arbeitgeber und Arbeitnehmer zu regeln bestimmt ist, und welche Konsequenz daraus folgt, wird von den Aufsichtsbehörden und Gerichten leider nicht diskutiert. Wenn sich dogmatisch und praktisch auch vieles gegen die Anwendung des TKG sowie dem damit einhergehenden Beweisverwertungsverbot anführen lässt, kann die Anwendbarkeit des TKG auf den Arbeitgeber, der die Privatnutzung dienstlicher Internetanschlüsse erlaubt, schlechterdings nicht grundsätzlich ausgeschlossen werden. Hier muss auf einen Wandel in der Rechtsprechung und einem Einlenken der Aufsichtsbehörden gehofft werden.

Fazit

Die vorübergehende Speicherung und stichprobenartige Kontrolle der Verlaufsdaten eines Internetbrowsers kann zulässig sein, um die Einhaltung eines vom Arbeitgeber aufgestellten kompletten Verbots oder einer Beschränkung der Privatnutzung von IT-Einrichtungen zu kontrollieren. Die konkrete Erforderlichkeit einzelner Kontrollmaßnahme hängt dabei vom Einzelfall ab.

Folgende Voraussetzungen sind  aber stets einzuhalten:

  • Die Privatnutzung des Internets ist verboten oder nur beschränkt erlaubt.
  • Es werden nicht mehr Daten gespeichert, als benötigt werden, um einen möglichen inhaltlichen oder zeitlichen Missbrauch der Internetnutzung festzustellen.
  • Eine stichprobenartige wird einer regelmäßigen Kontrolle vorgezogen.
  • Im Falle des bestehenden Verdachts einer begangenen Straftat sind weniger einschneidende Mittel zur Aufklärung ergebnislos ausgeschöpft .

Für die erlaubte private Internetnutzung am Arbeitsplatz sollte aus rechtsdogmatischen und praktischen Gründen dasselbe gelten. Leider ist hier die Rechtslage noch nicht eindeutig.

Im Hinblick auf die eingangs aufgeführten notwendigen Dokumente wie das Verfahrensverzeichnis und die Datenschutzinformation für Mitarbeiter bestehen Aufbewahrungsfristen nach der Abgabenordnung und dem Handelsgesetzbuch. Hier können auch arbeitsgerichtliche Klagefristen zu  berücksichtigen sein. Aus diesem Grund sollten eindeutige Vereinbarungen zwischen dem Arbeitgeber und den Arbeitnehmern geschlossen werden, in denen die private Internetnutzung geregelt ist.

 

Melden Sie sich hier zum Webinar "Von Zeiterfassung und Videoüberwachung - Arbeitnehmerdatenschutz und DSGVO" am 26.10. um 10 Uhr an. 

10. Oktober 2018