12.12.2017
Überwachung der Internetnutzung am Arbeitsplatz – Ist das zulässig?

Jacqueline Neiazy
Partnerin & Zertifizierte Datenschutzauditorin
„Recht auf Privatleben Vs. Recht auf Kontrolle“ – Der Europäische Gerichtshof für Menschenrechte (EGMR) entscheidet zur Zulässigkeit von Überwachungsmaßnahmen der Internetnutzung am Arbeitsplatz.
Der Fall
Ein rumänischer Arbeitnehmer hatte über den zur geschäftlichen Kommunikation eingerichteten Yahoo Messenger – trotz ausdrücklichen Verbots der privaten Internetnutzung – mit seiner Verlobten und seinem Bruder persönliche Mitteilungen ausgetauscht. Wenig später wurde der Mann gekündigt. Das Unternehmen hatte die Chats des Mitarbeiters aufgezeichnet und ausgewertet. In Rumänien klagte der 38-Jährige vergeblich gegen seine Entlassung.
Das Urteil
Der Gerichtshof stellte fest, dass Anweisungen des Arbeitgebers das private soziale Leben am Arbeitsplatz nicht auf Null reduzieren dürfen. Die Achtung des Privatlebens und die Vertraulichkeit der Korrespondenz bleibt bestehen, auch wenn diese gegebenenfalls eingeschränkt werden kann.
Nach Auffassung des Gerichtshofs verstößt die Annahme, dass der Inhalt von Mitteilungen in jeder Phase des Disziplinarverfahrens zugänglich sei, gegen den Grundsatz der Transparenz. Vor Einleitung von Überwachungstätigkeiten müsse eine Warnung des Arbeitgebers erfolgen, insbesondere wenn sie auch den Zugang zu den Inhalten der Mitteilungen der Arbeitnehmer umfassen. Die Überwachungsmaßnahme müsse darüber hinaus verhältnismäßig sein.
Kostenfreie Expertise im E-Mail-Postfach
Alle wichtigen Neuigkeiten zu Datenschutz, Informationssicherheit, KI und Datenstrategien einmal monatlich bequem im E-Mail-Postfach – natürlich kostenlos.
Der Arbeitgeber als Telekommunikationsanbieter / Fernmeldegeheimnis
Nach überwiegender Ansicht der deutschen Datenschutzbehörden wird der Arbeitgeber zum Telekommunikationsanbieter und unterliegt damit dem Fernmeldegeheimnis, wenn er die private Internetnutzung explizit erlaubt oder zumindest duldet. Gemäß § 88 Abs. 3 TKG ist es ihm damit untersagt, sich über das für die geschäftsmäßige Erbringung der Telekommunikationsdienste einschließlich des Schutzes seiner technischen Systeme erforderliche Maß hinaus Kenntnis vom Inhalt der Telekommunikation zu verschaffen. Ein Zugriff auf die private Kommunikation – insbesondere auf den Inhalt – ist damit grundsätzlich unzulässig. Der Arbeitgeber muss sich in jedem Fall durch den Arbeitnehmer vom Fernmeldegeheimnis befreien lassen und die Einwilligung des Arbeitnehmers in die Protokollierung und mögliche Überwachung einholen.
Auswirkungen des Urteils:
Straßburg zufolge ist die Überwachung der privaten Kommunikation – wenn überhaupt – nur unter sehr engen Grenzen möglich. Richtlinien zur privaten Internetnutzung müssen klar und transparent ausgestaltet sein. Der Arbeitgeber darf überhaupt nur dann auf den tatsächlichen Inhalt der betreffenden Mitteilungen zugreifen, wenn der Arbeitnehmer hinreichend genau davon unterrichtet worden ist, dass eine Protokollierung stattfindet und Kontrollen möglich sind. In welcher Form die Warnung erfolgen muss, geht aus dem Urteil nicht hervor. Allein schon aus Nachweisgründen sollte die Warnung jedenfalls schriftlich vor Einleitung der konkreten Überwachungsmaßnahme erfolgen.
Die konkrete Überwachungsmaßnahme an sich – insoweit in Übereinstimmung mit dem BAG – muss darüber hinaus verhältnismäßig sein. Als Grund für einen Zugriff auf den Inhalt kommen allenfalls konkrete Anhaltspunkte auf eine Straftat oder auf besonders schwere Pflichtverstöße durch den Mitarbeiter (z.B. Verrat von Betriebsgeheimnissen) in Betracht.
Empfehlung für die Praxis
Arbeitgeber sollten ihre Richtlinien zur privaten Internetnutzung eingehend prüfen. Vor allem die Kontrollrechte müssen klar definiert sein.
Folgende Punkte müssen zwingend geregelt werden:
– private Internetnutzung erlaubt / verboten
– Befreiung des Arbeitgebers vom Fernmeldegeheimnis (wenn Internetnutzung erlaubt)
– Hinweis, dass die Internetnutzung protokolliert wird
– Hinweis, dass Kontrollen durchgeführt werden können; wichtig dabei:
a) in welcher Phase
b) aus welchem Grund
c) auf welche Art
d) und in welchem Umfang auf Inhalte der Kommunikation zugegriffen werden kann
Vor Einleitung der tatsächlichen Überwachungsmaßnahme sollte eine schriftliche Warnung bzw. Abmahnung erfolgen!
Weitere Neuigkeiten
22.09.2025
Privacy by Design: Die 10 wichtigsten Maßnahmen
Privacy by Design heißt: Datenschutz muss von Beginn an Teil von Produkt‑, Prozess‑ und IT‑Design sein. Entscheidend sind klare Zwecke und Datenflüsse, echte Datenminimierung mit Löschregeln, datenschutzfreundliche Defaults sowie praktikable Prozesse für Sicherheit, Betroffenenrechte und Dienstleister. Dieser Beitrag zeigt die zehn wichtigsten Maßnahmen für eine schlanke, prüfbare Umsetzung.
Weiterlesen … Privacy by Design: Die 10 wichtigsten Maßnahmen
18.09.2025
KI und Ransomware: Wie Cyberkriminelle Künstliche Intelligenz zur Waffe machen
Ransomware bleibt eine der disruptivsten Cyberbedrohungen für Unternehmen weltweit. Was einst als einfache Schadsoftware begann, die Dateien für schnelles Lösegeld verschlüsselte, hat sich zu einer milliardenschweren kriminellen Industrie entwickelt. Der neueste Trend, der Ransomware noch gefährlicher macht, ist der Einsatz von Künstlicher Intelligenz (KI) durch Cyberkriminelle. KI ist längst nicht mehr nur ein Werkzeug der Verteidiger – Angreifer lernen, ihre Fähigkeiten auszunutzen, um schneller, ausgefeilter und wirkungsvoller anzugreifen.
Weiterlesen … KI und Ransomware: Wie Cyberkriminelle Künstliche Intelligenz zur Waffe machen
09.09.2025
Risikomanagement nach ISO 27005 in 6 Schritten umsetzen
Risikomanagement ist das Herzstück eines wirksamen Informationssicherheits-Managementsystems (ISMS). Die ISO/IEC 27005 liefert dafür einen praxistauglichen Leitfaden – flexibel, skalierbar und direkt anschlussfähig an ISO/IEC 27001. In diesem Beitrag zeigen wir, wie Sie strukturiert vorgehen und welche Vorteile sich daraus für Ihr Unternehmen ergeben.
Weiterlesen … Risikomanagement nach ISO 27005 in 6 Schritten umsetzen