Mitarbeiter überwachen: was deutsches Recht erlaubt, und unter welchen Bedingungen

Kurze Antwort

Die Verarbeitung von Beschäftigtendaten ist nach Paragraf 26 des Bundesdatenschutzgesetzes zulässig, wenn sie für die Durchführung des Beschäftigungsverhältnisses erforderlich ist. Erforderlich heißt nicht nützlich: Eine dauerhafte Überwachung der gesamten Tätigkeit ist regelmäßig unverhältnismäßig, eine anlassbezogene Kontrolle in begründeten Fällen nicht.

Der zweite und in der Praxis entscheidende Punkt ist Paragraf 87 Absatz 1 Nummer 6 des Betriebsverfassungsgesetzes. Technische Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen, unterliegen der Mitbestimmung des Betriebsrats. Ohne Betriebsvereinbarung ist die Einführung unwirksam — auch dann, wenn alle Beschäftigten zustimmen.

Was in der Praxis geprüft wird, sind vier Dokumente: die Betriebsvereinbarung, das Verzeichnis der Verarbeitungstätigkeiten, die Datenschutz-Folgenabschätzung und der Nachweis, dass die Beschäftigten informiert wurden.

• Paragraf 26 BDSG: Erforderlichkeit, nicht Nützlichkeit
• Paragraf 87 BetrVG: Betriebsrat entscheidet mit
• Ohne Betriebsvereinbarung unwirksam
• Zustimmung einzelner Beschäftigter ersetzt das nicht
• Vier Dokumente, die eine Prüfung erwartet

Drei Konstellationen und ihre Rechtslage

Erste Konstellation: Leistungs- und Verhaltenskontrolle. Zeiterfassung, Zugriffsprotokolle, Kennzahlen. Zulässig, aber mitbestimmungspflichtig, sobald die Daten einer Person zugeordnet werden können. Der Betriebsrat hat hier ein Initiativrecht, nicht nur ein Vetorecht.

Zweite Konstellation: anlassbezogene Kontrolle bei konkretem Verdacht. Ein begründeter Verdacht auf eine Straftat zu Lasten des Betriebs erlaubt eng begrenzte Maßnahmen — aber nur, wenn mildere Mittel ausgeschöpft sind und die Maßnahme zeitlich befristet bleibt. Pauschale Vorratsüberwachung lässt sich damit nicht begründen.

Dritte Konstellation: Sicherheit von Systemen und Daten. Protokollierung von Zugriffen auf Kundendaten ist zulässig und oft erforderlich, solange die Protokolle nicht zur Leistungsbewertung zweckentfremdet werden. Genau diese Zweckentfremdung ist der häufigste Streitpunkt in Betriebsvereinbarungen.

Einführung in der richtigen Reihenfolge

Schritt eins ist die Zweckbestimmung, schriftlich und eng. Nicht Leistung im Allgemeinen, sondern ein konkreter Zweck mit messbarer Grenze: Schutz von Kundendaten, Einhaltung von Compliance-Vorgaben, Sicherheit von Produktionsanlagen.

Schritt zwei ist die Betriebsvereinbarung. Sie regelt Zweck, Datenarten, Speicherdauer, Zugriffsberechtigte, Auswertungsverbote und die Rechte der Beschäftigten. Ohne diese Vereinbarung ist alles Weitere juristisch haltlos, unabhängig davon, wie gut die Software ist.

Schritt drei ist die Dokumentation: Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO, Datenschutz-Folgenabschätzung bei systematischer Überwachung, und eine nachweisbare Information der Beschäftigten. Erst danach folgt die technische Einrichtung.

Schritt vier ist die Begrenzung im Betrieb: Rollentrennung zwischen Administration und Auswertung, Protokollierung der Zugriffe auf die Überwachungsdaten selbst, und eine definierte Löschfrist, die technisch durchgesetzt wird — nicht nur auf dem Papier steht.

• Zweck schriftlich und eng definieren
• Betriebsvereinbarung vor der Technik
• Verzeichnis nach Artikel 30 DSGVO
• Datenschutz-Folgenabschätzung bei systematischer Überwachung
• Zugriffe auf Überwachungsdaten selbst protokollieren

Warum Verbraucherprodukte hier nicht passen

Eltern-Kontroll-Apps sind für ein Gerät, einen Nutzer und ein Sorgerechtsverhältnis gebaut. Ihnen fehlen genau die Eigenschaften, die ein Betrieb braucht: Rollen- und Rechtetrennung, revisionssichere Protokolle, Auftragsverarbeitungsvertrag, Löschkonzept und ein Verzeichnis der Verarbeitungstätigkeiten.

Der praktische Unterschied zeigt sich bei der ersten Prüfung. Ein Verbraucherprodukt kann nicht belegen, wer wann welche Daten eingesehen hat. Für den Betrieb ist genau dieser Nachweis der Kern — nicht die Frage, ob Standort oder Chat gelesen werden können.

Ein weiterer Unterschied ist die Kündbarkeit. Endet ein Abo, müssen die Daten gelöscht werden, und der Betrieb muss das nachweisen können. Bei Consumer-Angeboten fehlt dafür häufig jede vertragliche Grundlage.

Was technisch möglich und was zulässig ist

Technisch lässt sich heute fast alles erfassen: Bildschirminhalte, Tastatureingaben, Standort, Kommunikation. Die entscheidende Frage ist nicht die technische Machbarkeit, sondern ob die Erfassung für den Zweck erforderlich ist. Bildschirmaufzeichnung ist es fast nie; Zugriffsprotokolle auf sensible Daten sind es häufig.

Bei mobiler Arbeit kommt die Standortfrage hinzu. Dauerhafte Standortverfolgung von Beschäftigten ist nur in eng definierten Fällen zulässig, etwa bei Außendienst mit Nachweispflichten. Für Bürotätigkeiten ist sie regelmäßig unverhältnismäßig, auch wenn sie technisch ein Kinderspiel ist.

Bei Kommunikation gilt dieselbe Grenze wie im Privatleben: Der Inhalt privater Nachrichten ist geschützt. Eine Software, die private Chats mitliest, ist im Betrieb kein Feature, sondern ein Haftungsrisiko.

Checkliste vor der Entscheidung

Diese Fragen entscheiden, ob ein Anbieter im Unternehmenskontext brauchbar ist. Wer sie nicht beantworten kann, verkauft ein Verbraucherprodukt mit Unternehmenspreis.

• Gibt es einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO?
• Sind Rollen und Rechte technisch getrennt?
• Werden Zugriffe auf Überwachungsdaten protokolliert?
• Ist eine automatische Löschfrist konfigurierbar?
• Wo liegen die Daten, und gilt EU-Recht?
• Unterstützt der Anbieter die Betriebsvereinbarung inhaltlich?

Die vier Dokumente, die geprüft werden

Betriebsvereinbarung: Sie muss Zweck, Umfang, Datenarten, Speicherdauer und Auswertungsverbote enthalten. Fehlt sie, ist die Einführung unwirksam, und erhobene Daten sind nicht verwertbar.

Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO: Zweck, Kategorien betroffener Personen, Empfänger, Löschfristen. Es ist kein Papier für die Schublade, sondern das erste Dokument, das eine Aufsichtsbehörde anfordert.

Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO: Bei systematischer Überwachung von Beschäftigten ist sie in der Regel erforderlich. Sie muss die Risiken benennen und Maßnahmen zu ihrer Begrenzung beschreiben.

Informationsnachweis: Beschäftigte müssen verständlich informiert werden, bevor die Verarbeitung beginnt. Ein Aushang im Flur genügt nicht; erforderlich ist ein nachweisbarer Zugang zur Information.