Arbeitgeber darf nicht unbefugt Keylogger verwenden und Arbeitnehmern wegen darüber gewonnenen Kenntnissen kündigen

Haftungsbegründendes Verhalten

Der Arbeitgeber hätte den Arbeitnehmer weder mittels Keylogger überwachen, noch diesem kündigen dürfen

Technische Umstände

Keylogger ermöglicht das uneingeschränkte Überwachen und Kontrollieren der Arbeitsschritte des Arbeitnehmers am überwachten Computer

Persönliche Umstände

Der Keylogger hätte erst bei ausreichend begründetem Verdacht einer Straftat oder einer schwerwiegenden Pflichtverletzung eingesetzt werden dürfen

Möglichkeiten der Haftungsvermeidung

Der Einsatz von Keyloggern durch den Arbeitgeber setzt voraus, dass ein auf den Arbeitnehmer bezogener, durch konkrete Tatsachen begründeter Verdacht einer Straftat oder schwerwiegenden Pflichtverletzung vorliegt

Zitate, Zusammenfassende Würdigung, Strategien zur Haftungsvermeidung

Im Rahmen einer Kündigungsschutzklage beanstandete der Arbeitnehmer unter anderem die Verwendung eines sog. Keyloggers durch seinen Arbeitgeber. Dieser Keylogger hatte es dem Arbeitgeber ermöglicht, die Tastatureingaben des Arbeitnehmers am Arbeitsrechner zu überwachen und nachzuvollziehen. Der Arbeitgeber hatte zuvor in einem Schreiben auf die Verwendung von Keyloggern hingewiesen. Auch hatte er seine Arbeitnehmer dazu aufgefordert, für den Fall, mit der Verwendung nicht einverstanden zu sein, das ausdrücklich zu erklären. Der hier klagende Arbeitnehmer hatte sein fehlendes Einverständnis nicht erklärt.

Das BAG befand die Kündigung für unwirksam. Schon der Einsatz des Keyloggers zur Überwachung des Arbeitnehmers sei ein unzulässiger Eingriff in das Recht auf informationelle Selbstbestimmung gewesen. Daher hatten die befassten Gerichte die mittels Keylogger erhobene Daten bei der Entscheidung unberücksichtigt zu lassen.

Grundsätzlich könne eine Datenverarbeitung gegenüber dem betroffenen Arbeitnehmer auch ohne Verletzung des Rechts auf informationelle Selbstbestimmung möglich sein. Hier sei das aufgrund eines Verstoßes gegen das BDSG jedoch nicht der Fall gewesen:

Die Datenerhebung durch den Keylogger griff in das Recht des Klägers auf informationelle Selbstbestimmung ein. Der Kläger hat in die Maßnahme nicht eingewilligt. Der Eingriff war nicht aufgrund überwiegender Interessen der Beklagten nach § 32 Abs. 1 oder § 28 Abs. 1 BDSG gerechtfertigt.

Die Aufzeichnung und Speicherung der Tastatureingaben am Dienst-PC des Klägers sowie das Fertigen von Screenshots durch den Keylogger stellten Datenerhebungen iSv. § 3 Abs. 1, Abs. 2 Satz 1, Abs. 3 und Abs. 7 BDSG dar. Die Beklagte hat sich dadurch Einzelangaben über persönliche und sachliche Verhältnisse einer bestimmten natürlichen Person, nämlich des Klägers als dem Nutzer des ihm zugeordneten Rechners, verschafft.

Der mit einer Datenerhebung verbundene Eingriff in das allgemeine Persönlichkeitsrecht des Arbeitnehmers muss auch im Rahmen von § 32 Abs. 1 Satz 1 BDSG einer Abwägung der beiderseitigen Interessen nach dem – dort gleichfalls verankerten – Grundsatz der Verhältnismäßigkeit standhalten.

Es seien keine überwiegenden Interessen des Arbeitgebers erkennbar gewesen. Aufgrund der lang andauernden Aufzeichnung des Verhaltens des Arbeitnehmers hatte der Eingriff zudem auch eine besonders hohe Intensität.

ANMERKUNGEN

Der Gegenstand des Verfahrens war die Entscheidung über die wirksame Kündigung eines Arbeitnehmers. Besonders praxisrelevant war die damit verbundene Frage nach der Zulässigkeit des Einsatzes von sog. Keyloggern, mit denen das Arbeitsverhalten von Arbeitnehmern durch den Arbeitgeber verfolgt und überwacht werden kann. Das ist auch deswegen richtungsweisend, weil der Arbeitgeber ohne Widerspruch der Arbeitnehmer den Einsatz der Keylogger angekündigt hatte.

Auch das BAG befand, dass im Kündigungsverfahren solche Inhalte nicht berücksichtigt werden konnten, die nur durch den Einsatz der Keylogger zur Kenntnis gekommen sind, da hier ein Verstoß gegen das informelle Selbstbestimmungsrecht des Arbeitnehmers gegeben wäre.

Die Datenerhebung mittels Keyloggers habe in die Rechte des Arbeitnehmers eingegriffen. Weder lag eine Einwilligung vor, noch sei ein anderer Rechtfertigungsgrund aufgrund der überwiegenden Interessen des Arbeitgebers gegeben. Der Arbeitgeber hatte zwar unter Ankündigung des Keylogger-Einsatzes eine Widerspruchsfrist gesetzt. Diese war zum einen noch überhaupt nicht abgelaufen, zum anderen konnte das Schweigen des Arbeitnehmers hierauf keine datenschutzrechtliche Einwilligung darstellen.

§ 32 Abs. 1 S. 1 BDSG hätte dem Arbeitgeber den Einsatz nur beim Vorliegen eines, durch konkrete Tatsachen begründeten Verdachts einer Straftat oder einer anderen schweren Pflichtverletzung erlaubt.

Das Gericht ging allerdings auch grundsätzlich davon aus, dass generelle Überwachungsmaßnahmen mit Präventivfunktion nicht von vornherein ausgeschlossen sind. Diese Maßnahmen dürfen jedoch nicht von ähnlich intensiver Wirkung wie die des Keyloggers und daher auch nicht in gleichem Maße geeignet sein, das Verhalten der Arbeitnehmer zu beeinflussen und zu steuern.

Praxishinweis: Der verdeckte Einsatz von Keyloggern ist, dem BAG nach, nicht ohne Weiteres zulässig. Der Arbeitnehmer werde, ohne das selbst erkennen zu können, zum Ziel einer systematischen Beobachtung gemacht. Aufgrund der Verdecktheit der Maßnahme könne er deren Zweck nicht erkennen. Der offene Einsatz der Keylogger habe hingegen für die Arbeitnehmer einen Abschreckungs- und Bedrohungscharakter und sei geeignet, das Verhalten der Arbeitnehmer zu lenken.

Änderung des BDSG: Auch nach Änderung des BDSG durch das Datenschutz-Anpassungs- und Umsetzungsgesetz zur Anpassung an die Datenschutzgrundverordnung (DS-GVO, beide seit dem 25.05.2018 in Kraft) wird das Gericht mutmaßlich keine andere Beurteilung ähnlicher Sachverhalte zulassen. Die Anforderungen für Arbeitgeber sind durch die Neuerungen eher gestiegen (vgl. Brink/Schwab, jurisPR-ArbR 8/2018 Anm.4; Granetzny, Reuters, jurisPR-Compl 5/2017 Anm. 4).

Dokumentationspflicht: Über den hauptsächlichen Entscheidungsinhalt hinaus befand das BAG auch, dass die Verdachtsgründe für die anschließend zulässige Überwachung im Nachhinein dokumentiert werden dürften. Eine der Maßnahme vorangehende Dokumentation bedürfe es nicht (vgl. auch Spitz, jurisPR-ITR 21/2017 Anm. 3)