Datenschutzrechtliche Vorschriften : 36 Jahre Internet in der Firma – nichts gelernt?
Vor 36 Jahren begann die Kommerzialisierung des Internets. Ausgehend von einem Netzwerk, das wenige Universitäten verbindet, entstand ein Netz, das heute fast jeden Haushalt und fast jedes Unternehmen erreicht. Mit der Verbreitung des Internets verschob sich auch die Nutzungsweise.
1997 griffen 59 Prozent der Internetnutzer ausschließlich vom Arbeitsplatz auf Internetdienste zu. [1]Damals wurde lebhaft diskutiert, ob Arbeitgeber die private Internetnutzung erlauben oder verbieten sollten und welche Konsequenzen sich daraus arbeitsrechtlich, telekommunikationsrechtlich und datenschutzrechtlich ergäben. Das Bundesarbeitsgericht (BAG) entschied 2005 (Urteil vom 07.07.2005, 2 AZR 581/04), dass eine private Internetnutzung mittels Computer und Internetanschluss des Arbeitgebers außerhalb der Pausenzeiten eine Verletzung der arbeitsvertraglichen Leistungspflicht darstelle. Deshalb wäre auch bei einer erlaubten Internetnutzung diese nur im geringen Umfang während der Arbeitszeit gestattet.
Heute hat fast jeder Arbeitnehmer mindestens ein internetfähiges privates Smartphone. Damit besteht keine „Notwendigkeit“ für eine private Internetnutzung am Arbeitsplatz mehr. Stattdessen stellt sich die Frage, ob ein Arbeitgeber die private Nutzung privater Smartphones während der Arbeitszeit verbieten darf. Das BAG hat diese Frage bejaht (Urteil vom 17.10.2023, 1 ABR 24/22).
Doch was passiert, wenn ein Beschäftigter sich dienstliche Unterlagen und personenbezogene Daten an seine private E‑Mail-Adresse schickt?
Weiterleitung geschäftlicher E‑Mails an die eigene private Adresse
Schickt sich ein Vorstand einer Aktiengesellschaft dienstliche E‑Mails mit personenbezogenen Daten an seine private E‑Mail-Adresse, so begeht er eine unrechtmäßige Datenverarbeitung. Die Zusendung ist unrechtmäßig, da regelmäßig weder eine Einwilligung der betroffenen Personen vorliegt noch eine andere Rechtsgrundlage aus Art. 6 Abs. 1 Datenschutz-Grundverordnung (DS‑GVO) trägt. Das Oberlandesgericht (OLG) München (Endurteil vom 31.07.2024, 7 U 351/23 e) sah für den Versand von neun E‑Mails aufgrund deren Inhaltes eine fristlose Kündigung als zulässig an.
Das Gericht stellte zudem klar, dass sich eine fehlende Rechtsgrundlage nach Art. 6 Abs. 1 DS‑GVO nicht durch eine „Genehmigung“ eines anderen Vorstands ersetzen lässt. Wie bereits der Europäische Gerichtshof (EuGH) mehrfach geurteilt hat, muss eine der in Art. 6 Abs. 1 DS‑GVO aufgeführten Rechtsgrundlagen die Verarbeitung erlauben. Diese Liste ist abschließend.
Sicherung von Beweismitteln?
Wer eine rechtliche Auseinandersetzung mit seinem Arbeitgeber befürchtet oder plant, braucht Beweise. Die gesuchten Beweise finden sich häufig in den Unterlagen oder Daten des Arbeitgebers. Gegen eine Kopie, um Waffengleichheit herzustellen, wird keiner etwas haben können, oder?
Das OLG München hat sich in dem oben erwähnten Urteil mit dieser Frage beschäftigt. Im Endergebnis überträgt es die Rechtsprechung des BAG (Urteil vom 08.05.2014, 2 AZR 249/13) auf Vorstände. Der Zweck „Beweissicherung gegenüber dem Arbeitgeber“ heiligt die Mittel nicht. Beschäftigte dürfen geschäftliche Unterlagen und Daten – auch ohne Personenbezug – nicht ohne Erlaubnis des Arbeitgebers für eigene Zwecke kopieren oder sich aneignen. Beide Gerichte verweisen auf die bestehenden Einsichtsrechte sowie auf die prozessualen Rechte im Gerichtsverfahren.
Ausnahme für Betriebsratsvorsitzende?
Macht es einen Unterschied, wenn ein Vorsitzender des Betriebsrates geschäftliche E‑Mails zu sich nach Hause schickt, um sie dort auf dem privaten PC zu bearbeiten?
Ein Betriebsratsvorsitzender stellte in seinem E‑Mail-Programm eine Regel ein, die alle eingehenden E‑Mails an seine private E‑Mail-Adresse weiterleitete. Der Arbeitgeber mahnte den Betriebsratsvorsitzenden wegen dieser unrechtmäßigen Weiterleitung ab und sperrte die private E‑Mail-Adresse technisch.
Daraufhin richtete sich der Betriebsratsvorsitzende eine neue private E‑Mail-Adresse ein. Bei einer Überprüfung stellte der Arbeitgeber fest, dass der Betriebsratsvorsitzende eine vollständige Personalliste von seiner privaten E‑Mail-Adresse an seine geschäftliche E‑Mail-Adresse gesendet hatte. Es wurde festgestellt, dass er sich die Liste vorher an seine private E‑Mail-Adresse gesendet und die E‑Mail anschließend gelöscht hatte. Die Personalliste enthielt u. a. Namen, Stellung im Betrieb, Zeitansatz, Tarifgruppe, Stufe, Grundentgelt, den zeitlichen Stufenverlauf, den Tarifeintritt und die Eingruppierung sämtlicher Beschäftigter.
Vor Gericht begründete der Betriebsratsvorsitzende sein Handeln damit, dass er für die Bearbeitung einen großen Monitor benötige und sein Betriebsrats-Notebook keinen Anschluss für seinen privaten Monitor aufwiese. Er hielt es für zu langwierig, bei der Unternehmens-IT nach einem passenden Kabel zu fragen. Im Übrigen habe er die Daten von seinem privaten PC, welcher wegen des installierten Virenscanners und der Aktualität aller Updates sicher sei, gelöscht. Der Betriebsrat sprang vor Gericht dem Vorsitzenden zur Seite und bestritt die Unrechtmäßigkeit seines Handelns.
Das LAG Hessen (Urteil vom 10.03.2025, 16 TaBV 109/24) stellte fest, dass ein gegen datenschutzrechtliche Pflichten verstoßendes Mitglied aus dem Betriebsrat ausgeschlossen werden darf. Das LAG Hessen folgt damit der Rechtsprechung des BAG, nach der ein Betriebsrat „bei jeder Datenverarbeitung – und damit auch bei der Verarbeitung besonderer Kategorien personenbezogener Daten – die Datenschutzbestimmungen einzuhalten und ihre Vorgaben zu beachten“ habe (BAG, Beschluss vom 09.05.2023, 1 ABR 14/22, Rn 57).
Neben der fehlenden Rechtsgrundlage wog für das LAG Hessen schwer, dass die unrechtmäßige Verarbeitung die Gehaltshöhe der Beschäftigten betraf. Das Gericht sieht für die Gehaltsliste einen hohen Schutzbedarf hinsichtlich der Vertraulichkeit. Durch die Weiterleitung an und die Speicherung auf dem privaten PC wurden die Beschäftigten zusätzlichen Risiken ausgesetzt. Die Umgehung der Sperre der privaten E‑Mail-Adresse des Betriebsratsvorsitzenden sowie die gezeigte Unbelehrbarkeit rundeten für das Gericht das Bild ab. Der Betriebsratsvorsitzende wurde aus dem Betriebsrat ausgeschlossen.
Das LAG Hessen stellte bei dieser Gelegenheit klar, dass ein Betriebsrat keine privaten Arbeitsmittel für die Erledigung seiner Aufgaben verwenden darf. Die Arbeitsmittel hat der Arbeitgeber zu stellen, sofern sie für die Betriebsratsarbeit erforderlich sind.
Fazit
Die Grenzen zwischen Arbeitsmitteln und privaten Geräten geraten im betrieblichen Alltag manchmal aus dem Blick. Es lohnt sich deshalb regelmäßig, Beschäftigte an die Spielregeln zu erinnern. Geschäftsführer und Vorstände sind gesetzlich verpflichtet, mit gutem Beispiel voranzugehen und in ihrem persönlichen Handeln datenschutzrechtliche Vorschriften einzuhalten.
Das Weiterleiten geschäftlicher E‑Mails mit personenbezogenen Informationen an private E-Mail-Adressen stellt grundsätzlich eine unrechtmäßige Datenverarbeitung dar und kann eine fristlose Kündigung rechtfertigen. Vorstände und Geschäftsführer können eine unrechtmäßige Datenverarbeitung nicht „absegnen“. Unterlagen oder Daten zur eigenen Beweissicherung zu kopieren oder sich nach Hause zu schicken, ist unzulässig.
Betriebsräte genießen keine Sonderstellung. Sie sind verpflichtet, durchgängig alle datenschutzrechtlichen Vorschriften bei ihrer Betriebsratsarbeit einzuhalten. Betriebsräte müssen für ihre Betriebsratsarbeit ausschließlich die vom Arbeitgeber bereitgestellten Geräte und Softwareprogramme verwenden. Die Nutzung privater Geräte oder Softwareprogramme ist unzulässig. Verstöße dagegen können zum Ausschluss aus dem Betriebsrat führen.
Sobald Unternehmen Kenntnis von Verstößen ihrer Organe und Beschäftigten gegen die DS‑GVO erlangen, müssen sie diese unterbinden, um nicht selbst gegen ihre Sicherstellungspflicht zu verstoßen. Unternehmen müssen sicherstellen, dass die gesetzlichen Vorgaben der DS‑GVO vollumfänglich von ihren Organen (Geschäftsführung, Betriebsrat) und ihren Beschäftigten eingehalten werden. Die jüngste Rechtsprechung gibt Unternehmen geeignete Mittel und Argumente an die Hand.
Dr. Niels Lepperhoff, Xamit Bewertungsgesellschaft mbH
[1] van Eimeren, Birgit, Oehmichen, Ekkehardt, Schröter, Christian (1997): ARDOnline-Studie 1997 – Onlinenutzung in Deutschland S. 18, URL: https://archiv.ard-zdf-medienstudie.de/files/Download-Archiv/Onlinestudie/1997/Online97.pdf