Arbeitnehmerdatenschutz: Tipps zum Monitoring

Es klingt nach „1984“ von George Orwell, nach totaler Überwachung: Ein Monitoring-Tool protokolliert jeden Tastenanschlag des Nutzers oder Arbeitnehmers, jede besuchte Webseite, es hält jede E-Mail, jeden Chat, jede Aktivität in sozialen Netzwerken fest und speichert den Bildschirminhalt als Screenshot ab.

Bestimmte Monitoring-Tools zeichnen alles auf

Um die Aktivitäten auf einem Endgerät, in der Cloud oder im Netzwerk derart zu beobachten, ist kein Blick über die Schulter des Nutzers nötig. Es gibt Monitoring-Lösungen, die jede Aktivität aufzeichnen und melden. Für den Datenschutz kann dies mehr als kritisch sein. Daher sind Grenzen für solche Überwachungs-Maßnahmen notwendig.

Beispiel aus der Praxis

Was alles bei einer IT-Überwachung möglich ist, zeigt ein Beispiel aus der Praxis:

• Zum Funktionsumfang einer bestimmten Lösung gehört eine Bildschirmaufnahme, die in regelmäßigen Abständen Fotos von der aktiven Bildschirm-Oberfläche jedes Beschäftigten fertigt.
• Im Netzwerk sieht der Arbeitgeber fast live, was der Mitarbeiter oder die Mitarbeiterin gerade am PC arbeitet, wie der Anbieter erklärt.
• Geschriebene E-Mails, Kundenbriefe, Chat-Unterhaltungen und weitere Tastenanschläge stehen im Protokoll. Das Tool erfasst jegliche Dateiveränderung und speichert jeden Druckauftrag.

Die Monitoring-Software wurde dazu entworfen, alle PC-Aktivitäten unbemerkt aufzuzeichnen und zu speichern, so eine Mitteilung des Anbieters. Der Hersteller schreibt dazu: „Wichtig: Der Gesetzgeber sieht vor, dass eine Überwachung nicht im Geheimen erfolgen darf. Sie muss den überwachten Personen angekündigt werden.“

Überwachte Person muss informiert sein

Weiterhin erklärt der Anbieter auf seiner Website: Der Käufer darf die Monitoring-Software nur auf PCs installieren, die er oder sie besitzt. Andernfalls müsse er den Eigentümer des PCs informieren. Die Software-Lizenzvereinbarung verpflichte den Käufer, jeden zu informieren, dessen PC-Aktivitäten die Monitoring-Software aufzeichnen. Ohne Genehmigung der zu überwachenden Personen mache man sich bei Nichtbeachtung im Sinne von § 201, § 202 Strafgesetzbuch (StGB) strafbar.

Das gehört zum Datenschutz beim Monitoring

Aus Sicht des Datenschutzes ist klar, dass ein heimliches, pauschales Monitoring nicht zulässig ist. Zudem gilt es, den Zweck der Überwachung und Aufzeichnung zu wahren: Verhaltens- und Leistungskontrollen sind nicht das zulässige Ziel. Sondern nur, die IT-Sicherheit zu gewährleisten  (Zweckbindung) und einen Arbeitnehmer oder eine Arbeitnehmerin bei einem konkreten, begründeten Verdacht zu überwachen.

Anstatt die Namen der Beschäftigten zu den überwachten Aktivitäten zu vermerken und zu protokollieren, sind Pseudonyme der Weg der Wahl, die nur dann aufgelöst werden dürfen, wenn sich ein begründeter Verdacht ergibt.

Neben dem Datenschutzbeauftragten sind die Mitarbeitervertreter in Vorhaben zur Überwachung einzubeziehen.

Die Überwachung der privaten Kommunikation ist ebenfalls nicht erlaubt. Unternehmen sollten deshalb für begründete, konkrete Überwachungs-Maßnahmen entweder die Überwachung auf den betrieblichen Anteil begrenzen. Oder sie verbieten die private Nutzung der betrieblichen Kommunikationsmittel.

Die Aufsichtsbehörden für den Datenschutz haben bereits mehrfach klargestellt: „Heimliche Kontrollen im Beschäftigungsverhältnis oder Dauerüberwachungen des Verhaltens der Beschäftigten sollten grundsätzlich, im Betrieb ebenso wie im „Home Office“, verboten sein“.

KI-Unterstützung am Arbeitsplatz und Monitoring der Beschäftigten

Neben den besonderen Risiken einer möglichen Überwachung bei Nutzung mobiler Endgeräte wie Smartphones spielt eine weitere technologische Entwicklung bei Monitoring eine zunehmend große Rolle: Künstliche Intelligenz (KI).

So sind bereits Lösungen auf dem Markt, die eine Leistungsbewertung auf Basis von KI-basierten Analysen anbieten, die die Emotionen am Arbeitsplatz auf Basis von KI erfassen und bewerten wollen oder die zu anderen Zwecken Beschäftigtendaten mit Hilfe von KI auswerten wollen.

Dabei gilt: Wird KI im Beschäftigungsverhältnis eingesetzt, kann die Verarbeitung der Daten unter Umständen zulässig sein. Dies setzt allerdings voraus, dass die Datenverarbeitung mit einem KI-System zur Durchführung des Beschäftigungsverhältnisses (oder des Bewerbungsverfahrens) geeignet, erforderlich und angemessen ist. Es darf dafür aber keine zumutbare und vergleichbar effektive datenschutzfreundlichere Alternative geben, so zum Beispiel der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg.