Die Grenzen der rechtmässigen Datenbeschaffung

Am Arbeitsplatz sind Personendaten in Hülle und Fülle vorhanden. Die Datenbeschaffung wird aus technischer Sicht immer einfacher und schneller. Wer will, kann fast alles über seine Mitarbeitenden erfahren. Doch längst nicht alles, was technisch möglich ist, ist auch erlaubt. In einem späteren Gerichtsverfahren sind grundsätzlich nur rechtmässig beschaffte Informationen als Beweis zugelassen. Im Rahmen einer internen Untersuchung muss sich also ein Arbeitgeber immer bewusst machen, dass nur die rechtmässig erworbenen Daten letztendlich auch etwas nützen – und dazu muss man wissen, wo die Grenzen der rechtmässigen Datenbeschaffung überschritten werden. 

IT-Nutzung klar regeln

Die Datenströme, die in einem Unternehmen fliessen, bieten eine Vielzahl von Auswertungsmöglichkeiten. Besteht der Verdacht eines unkorrekten Verhaltens eines einzelnen Mitarbeitenden, denkt man schnell daran, anhand von Datenauswertungen das Fehlverhalten beweisbar zu machen. Der Arbeitgeber will also das Verhalten eines Mitarbeitenden anhand elektronischer Daten erklären und beweisen. Damit der Arbeitgeber dies überhaupt tun darf, sollte in der Regel die IT-Nutzung mit einer klaren Weisung (Reglement oder Richtlinie) definiert sein. Idealerweise wird in einem solchen Nutzungsreglement auf die Möglichkeit der Überwachung explizit hingewiesen. Der Mitarbeitende muss vom ersten Tag an wissen, was er im Umgang mit IT, Software und Internet tun darf und was nicht. Und er muss auch wissen, welche Kompetenzen sich der Arbeitgeber ausbedungen hat. 

Je klarer die IT-Nutzung geregelt ist, desto eher ist die Datenbeschaffung zulässig und letztendlich als Beweismittel tauglich. Der Arbeitgeber darf im Rahmen seines Weisungsrechts die Regeln für die E-Mail- oder Internetnutzung ­sowie für die geschäftliche Social-Media-Akti­vität der Mitarbeitenden aufstellen. Verstösst ein Mitarbeitender gegen solche ­betriebsinternen Regeln, liegt eine Vertragsverletzung vor, welche die nachfolgende Datenbeschaffung legitimiert. An eine interne Untersuchung muss daher schon lange vorher gedacht werden, indem ein taugliches IT-Reglement erstellt wird. 

Präventive Datenüberprüfung 

Von zentraler Bedeutung für einen Arbeitgeber sind die E-Mail- und die Internetnutzung eines Mitarbeitenden, wenn gegen diesen ein Verdacht oder ein ­kon­kreter Vorwurf erhoben wird. Diese ­Daten sind vorhanden, sie liegen dem Arbeitgeber jederzeit vor. Missbräuche könnten also im Nachgang relativ einfach ermittelt und sanktioniert werden. 

Eine permanente respektive präventive Überwachung des E-Mail-Verkehrs oder der IT-Nutzung ganz allgemein ist dann zulässig, wenn sie anonym erfolgt. Sobald personenbezogene Auswertungen angestellt werden sollen, ist man als Arbeitgeber nicht mehr frei, die technischen Möglichkeiten voll zu nutzen. Hier setzt der Gesetzgeber gegenüber der technischen Machbarkeit klare Grenzen. Denn grundsätzlich stellt die Datenüberwachung eine Persönlichkeitsverletzung dar, die nur dann rechtmässig ist, wenn die rechtlichen Voraussetzungen dafür erfüllt sind. 

Hinsichtlich der Rechtmässigkeit bezüglich der Bearbeitung von Personendaten müssen drei Voraussetzungen erfüllt sein: 

• Verhältnismässigkeit 
• Zweckgebundenheit 
• Erkennbarkeit 

Die Datenbearbeitung muss also im konkreten Zusammenhang mit dem damit verbundenen Zweck erfolgen und die Datenbeschaffung sowie deren Zweck müssen erkennbar sein. Zudem muss die Datenbearbeitung verhältnismässig sein, was dann verneint wird, wenn andere Mittel zur Verfügung stünden, die we­niger stark in die Persönlichkeit eingreifen und mit denen das gleiche Ziel erreicht werden kann. Im Arbeitsverhältnis kommt verschärfend hinzu, dass ausschliesslich Daten erhoben werden dürfen, die zur Durchführung des Arbeitsvertrages relevant sind. Es wäre also nicht zulässig, anhand der aufgerufenen Websites zu ermitteln, welche Ferienziele beim Mitarbeitenden anstehen. 

Der Einsatz von elektronischen Kontroll- oder Überwachungssystemen ist nicht zulässig, wenn dies allein der Verhaltensüberprüfung dient (Art. 26 ArGV 3). Also beispielsweise, um zu prüfen, ob der Mitarbeitende im Homeoffice auch pünktlich mit der Arbeit beginnt oder wie lange er Mittagspause macht. Solche IT-Überwachungen sind nur dann rechtmässig, wenn erstens die Überwachung aus anderen Gründen als der Verhaltensüberprüfung der Mitarbeitenden erfolgt, wenn zweitens diese Überwachung für die Zielerreichung notwendig ist und wenn drittens die Gesundheit der Mitarbeitenden dadurch nicht beeinträchtigt wird. 

Korrespondenz

E-Mail-Korrespondenz eines Mitarbeitenden darf nicht ohne Weiteres gelesen werden. Private Mails dürfen generell nicht überwacht werden, was aber voraussetzt, dass die Trennung zwischen privaten und geschäftlichen Mails möglich ist. Eine pauschale Zustimmung der Mitarbeitenden zur Überwachung der E-Mails würde die Prüfung privater Mails nicht rechtfertigen, wohl aber die geschäftlichen. 

Hegt der Arbeitgeber den Verdacht, dass ein Mitarbeitender nicht in dem Umfang, den er angibt, arbeitet, stattdessen aber eine exzessive private E-Mail-Korrespondenz pflegt, darf der Arbeitgeber nicht ohne Vorankündigung die Mails prüfen und auswerten. Korrekterweise muss der Arbeitgeber dem Mitarbeitenden vorgängig mitteilen, dass ein solcher Verdacht besteht und sich der Arbeitgeber vorbehält, personenbezogene Datenauswertung der Mail-Korrespondenz in der Zukunft vornehmen zu lassen. Eine präventive, versteckte Datenerhebung respektive Überwachung eines Mitarbeitenden ist in aller Regel unrechtmässig. 

Zwar ist es ein Leichtes, bei einem Verdacht auf bestehende Daten zuzugreifen und daraus Erkenntnisse zu ziehen, erlaubt ist dieses Vorgehen aber sowohl aus datenschutzrechtlicher als auch aus arbeitsrechtlicher Sicht nur beschränkt. Es braucht in der Regel eine vorgängige Ankündigung, wonach der Arbeitgeber dem Mitarbeitenden mitteilt, dass er eine personenbezogene Auswertung der Daten vornehmen wird.

Eine Datenauswertung aufgrund anonymer Stichproben darf nur dann ohne Ankündigung direkt personenbezogen erfolgen, wenn dies zur Aufdeckung einer schweren Straftat dient. Dies wurde vom Bundesgericht beispielsweise bejaht, wo der Verdacht der Pornografie bestand. Und selbstverständlich reicht es nicht aus, wenn jemand lediglich eine lose Vermutung äussert. Es müssen schon konkrete Verdachtsmomente vorliegen, damit eine unangekündigte Auswertung der Daten rechtmässig ist. 

(Un-)Zulässige Überwachung

Wenn die GPS-Daten eines Firmenfahrzeuges gesammelt und ausgewertet werden, ist dies zulässig, wenn nicht konkrete Rückschlüsse auf den Fahrer gemacht werden können oder wenn die Überwachung allein der Optimierung der Tourenplanung dient. Nicht zulässig ist die Überwachung, wenn dem Mitarbeitenden die Privatnutzung des Fahrzeugs ausdrücklich gestattet ist und der Arbeitgeber wissen will, wie weit der Mitarbeitende beispielsweise in die Ferien fährt. 

Bei Videoüberwachung am Arbeitsplatz ist zunächst wieder der Zweck entscheidend. Dient die Überwachung dazu, zu kontrollieren, wie sich die Mitarbeitenden verhalten, ist dies klar nicht erlaubt. Vielfach wird aber eine Videokamera aus Sicherheitsgründen installiert, sei es, um das Eigentum des Arbeitgebers zu schützen (Diebstahlprävention), oder sei es, um die Sicherheit der Mitarbeitenden am Arbeitsplatz zu steigern (Unfallprävention). In diesen Fällen ist der Zweck an sich zulässig. Die Kamera muss aber so installiert und ausgerichtet werden, dass dies nicht zu einer permanenten Verhaltensüberwachung führt.

Konkret bedeutet dies, dass die Kamera so zu positionieren ist, dass zwar die Handlungen gefilmt werden, nicht aber die Personen darauf erkenntlich sind. Und natürlich ist die Auswertung einer Videoaufnahme nur dann zulässig, wenn die Mitarbeitenden vorgängig über die Kamera informiert wurden. Geheim aufgenommene Videoaufnahmen sind in der Regel nicht als Beweis zugelassen. 

Unzulässige Datenauswertung

Wenn die Datenauswertung aus den dargestellten Gründen als nicht rechtmässig beurteilt werden muss, ist diese in einem Prozessfall nicht zugelassen. Es reicht also beispielsweise nicht aus, dass der Arbeitgeber mittels Vorlage eines geschäftlichen E-Mails des Mitarbeitenden dar­legen kann, dass dieser sich unkorrekt verhalten hat. Der Arbeitgeber muss zudem auch darlegen, dass er dieses E-Mail rechtmässig beschafft hat. 

An dieser zweiten Hürde kann man schneller scheitern, als man denkt. Eine fristlose Kündigung könnte also trotz eines eindeutigen «Beweises» als unzulässig eingestuft werden, womit der Arbeitgeber zu einer Strafzahlung verpflichtet würde. Zudem besteht das Risiko einer Schadenersatzpflicht des Arbeitgebers, wenn er in unzulässiger Weise Daten beschafft resp. auswertet. Wenn aber das Interesse an der Wahrheitsfindung die Persönlichkeits- und Datenschutzrechte des Mitarbeitenden überwiegt, gelten die Beweise als rechtmässig erhoben und werden im Zivilprozess zugelassen.

Betriebsinterne Untersuchungen werden häufig durchgeführt. Eine vorgängige ­reglementarische Information hinsichtlich möglicher Untersuchungsmassnahmen sowie einer umsichtigen Vor­gehensweise entscheiden darüber, ob erhobene Daten schliesslich als Beweis zugelassen werden.