Datenschutz am Arbeitsplatz: Key­logger-Beweise im Kün­di­gungs­schutz­pro­zess unver­wertbar

Der Einsatz eines Software-Keyloggers, mit dem alle Tastatureingaben an einem dienstlichen Computer für eine verdeckte Überwachung und Kontrolle des Arbeitnehmers aufgezeichnet werden, ist nach § 32 Abs. 1 Bundesdatenschutzgesetz (BDSG) unzulässig, wenn kein auf den Arbeitnehmer bezogener, durch konkrete Tatsachen begründeter Verdacht einer Straftat oder anderen schwerwiegenden Pflichtverletzung besteht. So entschied das Bundesarbeitsgericht (BAG) am Donnerstag (Urt. v. 27.07.2017, Az.2 AZR 681/16).

In dem Verfahren wehrte sich der klagende Web-Entwickler gegen seine Kündigung. Die beklagte Arbeitgeberin hatte den Dienst-PC des Klägers mit einem sogenannten Keylogger präpariert. Damit wollte sie ihrer Vermutung nachgehen, dass sich der Mann während der Arbeitszeit unerlaubt und in einem großen Umfang mit anderen Aktivitäten befasst hatte.

Die installierte Keylogger-Software zeichnete sodann über einen längeren Zeitraum sämtliche Tastatureingaben des Klägers auf und speicherte diese dauerhaft. Zusätzlich erstellte und speicherte das Programm in regelmäßigen Abständen Screenshots vom PC des Arbeitnehmers. Die Auswertung der aufgezeichneten Log-Dateien ergab, dass der Kläger während der Arbeitszeit viel Zeit damit verbrachte, ein Raumschiff-PC-Spiel zu privaten Zwecken zu programmieren und zu spielen. Zudem hatte der Web-Entwickler den ausgewerteten Daten nach ebenfalls während der Arbeitszeit im großen Umfang unerlaubt für das Logistikunternehmen seines Vaters Aufträge bearbeitet sowie ein EDV-Tool hierfür entwickelt und bedient.

Die Arbeitgeberin hatte nach eigenen Angaben circa 6.000 E-Mails in diesem Zusammenhang entdeckt. Den Auswertungsergebnissen zufolge verbrachte der Kläger ebenfalls viel Zeit damit, auf diversen Internetseiten nach Flugzeugen und Freizeitparks zu suchen.

Vor Gericht stritt der Mann die Vorwürfe der Arbeitgeberin weitgehend ab. Er sei lediglich rund 10 Minuten pro Tag mit Tätigkeiten für das andere Unternehmen beschäftigt gewesen. Mit dem PC-Spiel habe er sich insgesamt nur drei Stunden in einem Zeitraum von vier Monaten beschäftigt. Für diese Aktivitäten habe er seinen Dienst-PC fast ausschließlich in den Pausen genutzt.

Compliance-Kündigung wegen datenschutzwidrig ermittelter Beweise unwirksam

In dem Fall ging es damit im Kern um die Frage, ob die Arbeitgeberin die Log-Dateien unter Verstoß gegen § 32 BDSG ermittelt hat und ob das Gericht datenschutzrechtswidrig erlangte Log-Dateien als Beweise verwerten darf. Die Privatnutzung des Dienst-PCs während der Arbeitszeit in dem vom Arbeitnehmer eingeräumten Umfang rechtfertigte nach Auffassung der Bundesrichter für sich genommen ohne vorherige Abmahnung keine Kündigung. Vielmehr hätte die Arbeitgeberin beweisen müssen, dass sich der Arbeitnehmer anstelle zu arbeiten in noch größerem Umfang unerlaubt mit anderen Tätigkeiten beschäftigt hat. Ein solches weitergehendes Fehlverhalten hätte sie aber nur mit Hilfe der Log-Dateien beweisen können.

Das ließ das BAG aber nicht zu: Die Erfurter Richter bewerteten den heimlichen Einsatz der Software durch die Arbeitgeberin ohne einen auf den Arbeitnehmer bezogenen konkreten, auf Tatsachen begründeten Verdacht einer Straftat oder anderweitigen schwerwiegenden Pflichtverletzung als einen unverhältnismäßigen und rechtswidrigen Eingriff in das Grundrecht des Klägers auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 Grundgesetz (GG). Damit bestätigte das BAG die Urteile des Landesarbeitsgerichts Hamm (Urt. v. 17.06.2016, Az. 16 Sa 1711/15) und des Arbeitsgerichts Herne (Urt. v. 14.10.2015, Az. 6 Ca 1789/15).

Datenschutzwidrig erlangte Beweise in der Regel nicht verwertbar

Wenn schon das Erheben des Beweismittels gegen das BDSG verstößt, ist dies ein wichtiges Indiz dafür, dass die Verwertung des Beweismittels durch das Gericht einen unvereinbaren Eingriff in das Grundrecht auf informationelle Selbstbestimmung darstellen würde.

Die Zulässigkeit der Ermittlungsmaßnahme hätte sich im vorliegenden Fall mangels Einwilligung des Betroffenen nur aus § 32 Abs. 1 BDSG ergeben können. Diese Vorschrift regelt die Datenverarbeitung im Beschäftigtenverhältnis. Danach sind gemäß der Rechtsprechung des BAG

Untersuchungsmaßnahmen des Arbeitgebers nur zulässig, wenn der gegen einen Arbeitnehmer gerichtete konkrete, auf Tatsachen begründete Verdacht einer strafbaren Handlung oder einer anderen schweren Verfehlung zu Lasten des Arbeitgebers besteht. Voraussetzung ist zudem, dass weniger einschneidende Mittel zur Aufklärung des Verdachts ergebnislos ausgeschöpft sind, die angedachte Maßnahme damit praktisch das einzig verbleibende Mittel darstellt und die Maßnahme insgesamt nicht unverhältnismäßig ist (BAG, Urt. v. 21.11.2013, Az. 2 AZR 797/11). An einem solchen konkreten Verdacht fehlte es in dem vorliegenden Fall. Da die Arbeitgeberin gegen den Arbeitnehmer "ins Blaue hinein" ermittelt habe, werteten die Bundesrichter die Überwachung mittels Keylogger-Software als einen Verstoß gegen das BDSG.

Nach Auffassung der Vorinstanz wäre der Einsatz des Keyloggers selbst bei Vorliegen eines konkreten Verdachts unverhältnismäßig gewesen, weil der Arbeitgeberin gleich geeignete, weniger einschneidende Ermittlungsmaßnahmen zur Verfügung gestanden hätten. Als Beispiel für eine solche Maßnahme nannte das Landesarbeitsgericht Hamm eine Untersuchung des Dienst-PCs des Klägers in seinem Beisein. Eine Untersuchung in Anwesenheit des Arbeitnehmers sei für die Aufklärung eines vermuteten Arbeitszeitbetrugs genauso gut geeignet wie die heimliche Überwachung durch einen Keylogger. Daher hätte die Arbeitgeberin nach Auffassung des Gerichts anstelle der heimlichen Überwachung diese weniger eingriffsintensive Ermittlungsmaßnahme wählen können und müssen.