Keylogger-Entscheidung – Eine Lehrstunde für Arbeitgeber

Im Juli dieses Jahres hat die sogenannte Keylogger-Entscheidung des Bundesarbeitsgerichts (BAG v. 27.07.2017 – 2 AZR 681/16) großes mediales Interesse geweckt. Die im Tagesgeschäft naturgemäß oberflächliche Berichterstattung hat Arbeitgebern jedoch nicht die wichtigen Erkenntnisse für die Handhabung eigener Angelegenheiten vermittelt.

Dies soll mit diesem Kommentar nachgeholt werden.

Der Fall: Ein Arbeitgeber informierte seine Belegschaft darüber, dass er auf den Dienst-PCs eine Software aufspielt, die alle Tastatureingaben protokolliert und regelmäßig Screenshots fertigt (Keylogger). Eine spätere Auswertung ergab, dass ein Arbeitnehmer während der Arbeitszeit seinen Dienst-PC zu einem hohen Anteil privat nutzte. Auf Befragen räumte er lediglich den Bruchteil einer Nutzung ein. Die gegen die Kündigung des Arbeitgebers erhobene Kündigungsschutzklage war in allen Instanzen erfolgreich. Der hieraus gezogene Schluss, dass der Einsatz eines Keyloggers unzulässig sei, wird der Entscheidung nicht gerecht.

Vielmehr hat sich das Gericht ausführlich mit einigen Details des Datenschutzrechts befasst und quasi Vorgaben für den Einsatz von Überwachungsinstrumenten erteilt, sodass zusammengefasst die Erkenntnis gewonnen werden kann, dass der Einsatz von Keyloggern nicht per se unzulässig ist. Es kommt vielmehr auf die Umstände des Einzelfalles an.

Zunächst ist zur Kenntnis zu nehmen, dass der fehlende Widerspruch der Belegschaft nicht als legitimierendes Einverständnis zum Einsatz des Keyloggers genügt. Es bedarf vielmehr einer schriftlichen Einwilligung. Fehlt diese, kommt es darauf an, dass ein Anfangsverdacht vorliegt, der Anlass zur Annahme einer Pflichtverletzung gibt, ohne dass ein regelrechter Straftatbestand vorliegen muss. In einem solchen Fall steht die Verletzung datenschutzrechtlicher Ordnungsvorschriften der prozessualen Verwertbarkeit nicht entgegen. Vermag der Arbeitgeber hingegen den Anfangsverdacht, der seine Maßnahme veranlasste, nicht substantiiert darzulegen und zu beweisen, führt der Verstoß gegen die datenschutzrechtlichen Ordnungsvorschriften dazu, dass der Arbeitgebervortrag zur Pflichtverletzung nicht gewürdigt wird, ohne dass es auf eine Beweiserheblichkeit ankommt.

Konsequenzen für die Praxis

Grundsätzlich kann der Einsatz von Überwachungsinstrumenten zulässig sein. Es ist jedoch erforderlich, dass der Arbeitgeber einen Anfangsverdacht gewinnt und zur Vorbereitung einer eventuellen arbeitsgerichtlichen Auseinandersetzung eine Dokumentation darüber anlegt, welche konkreten Verdachtsmomente ihn zum Einsatz der Überwachung veranlasst haben. Hat der Arbeitgeber seine Hausaufgaben in dieser Form erledigt, wird er mit seinem Vortrag zur Arbeitspflichtverletzung gewürdigt, der auf den gewonnenen Erkenntnissen beruhen kann.

Alternativ kann der Arbeitgeber erwägen, schriftliche Einwilligungen zum Einsatz der Überwachungsinstrumente einzuholen oder sich auf eine stichprobenartige Kontrolle der Verlaufsdaten eines Internetbrowers beschränken, um die Einhaltung eines von ihm aufgestellten vollständigen Verbots oder einer Beschränkung der Privatnutzung von IT-Einrichtungen zu kontrollieren. Die Eingriffsintensität einer solchen präventiven Überwachungsmaßnahme muss jedoch signifikant unterhalb der Schwelle der bei konkreten Verdachtsmomenten erlaubten Maßnahmen liegen.

Die Mitbestimmungsrechte sind bei Überwachungsmaßnahmen grundsätzlich zu beachten. Ein Verstoß gegen diese muss bei einer zulässigen Erhebung jedoch nicht zu einem Verwertungsverbot führen, sofern keine entsprechenden Vertriebsvereinbarungen vorliegen.