Darf der Chef die E-Mails überwachen? Das sagt der Experte - Chronik

Eine Mailänder Bank lässt E-Mails eines Angestellten überwachen. Weil das dabei gesammelte belastende Material aus ihrer Sicht ausreicht, wird dieser schließlich wegen der Weitergabe von vertraulichen Informationen entlassen. Der Fall geht vor Gericht, und dort erfolgt der Paukenschlag. Die Entlassung wird in 2 Instanzen als rechtswidrig erklärt. Der Kassationsgerichtshof bestätigt schließlich mit einem Urteil vom 26. Juni diese Entscheidung. Die Überwachung des Schriftverkehrs auf dem Firmen-PC sei nicht zulässig, und zwar weil Regeln missachtet wurden. Was muss ein Arbeitgeber also beachten, wenn er eine Mitarbeiterin oder einen Mitarbeiter unter Verdacht hat und daher am Firmen-PC nach Beweisen sucht? Wir haben dazu den Bozner Rechtsanwalt und Datenschutz-Experten Christian Notdurfter befragt. Vertrauen ist gut, Kontrolle ist besser. Wie viel darf ein Unternehmen seine Mitarbeiterinnen und Mitarbeiter kontrollieren? Christian Notdurfter: Zum einen gibt es Kontrollen zum Schutz des Betriebsvermögens, die alle Arbeitnehmer bei der Erbringung ihrer Arbeitsleistung betreffen und den einschlägigen Anforderungen des Arbeitnehmerstatuts; zum anderen gibt es dann noch die so genannten defensiven Kontrollen im engeren Sinne, die eine nachträgliche, selektive Kontrolle aufgrund konkreter Anhaltspunkte für ein rechtswidriges Verhalten einzelner Arbeitnehmer rechtfertigen und außerhalb der Anforderungen des Arbeitnehmerstatuts durchführbar sind. Unter welchen Voraussetzungen darf ein Arbeitgeber gezielte, nachträgliche Kontrollen durchführen? Notdurfter: Dafür müssen insbesondere zwei Voraussetzungen erfüllt sein: Es muss ein begründeter Verdacht vorliegen und die Kontrollen müssen verhältnismäßig sein. Was heißt das konkret? Notdurfter: Der Arbeitgeber muss zum einen vor Gericht darlegen und beweisen können, dass vor Beginn der defensiven Kontrollen ein begründeter Verdacht auf ein konkretes rechtswidriges Verhalten bestanden hat, damit die Ergebnisse dieser nachträglichen Kontrollen vor Gericht verwertbar sind. Damit soll eine anlasslose und willkürliche Überwachung von Arbeitnehmern verhindert werden, auch im Hinblick auf das Potential hochinvasiver Überwachungen, das in Anwendungen der Künstlichen Intelligenz (KI) steckt. Zum anderen sind selbst bei Vorliegen eines begründeten Verdachts die widerstreitenden Interessen des Arbeitgebers und des Arbeitnehmers gegeneinander abzuwägen: Auf der einen Seite steht nämlich das Interesse des Arbeitgebers am Schutz seines Vermögens und des reibungslosen Funktionierens seines Unternehmens, auf der anderen Seite das Recht des Arbeitnehmers auf Achtung seiner Würde und Privatsphäre. Die Abwägung beider Rechte und Interessen muss unter Berücksichtigung der Umstände des Einzelfalls erfolgen. Der Kassationsgerichtshof hat in seinem Urteil auf die vom Europäischen Gerichtshof für Menschenrechte (EGMR) aufgestellten Abwägungskriterien verwiesen, die eine willkürliche Überwachung von Arbeitnehmern verhindern sollen. Pauschale Aussagen sind jedoch schwierig. Selbst eine verdeckte Videoüberwachung kann in besonders schwerwiegenden Fällen zulässig sein, wenn kein milderes Mittel zur Aufdeckung zur Verfügung steht. Man darf – salopp gesagt – nicht mit Kanonen auf Spatzen schießen. War die Kündigung der Bank in Mailand also rechtswidrig, weil sie diese Regeln missachtet hat? Notdurfter: Ja, die Essenz des bestätigten Urteils ist, dass der Grundsatz der Verhältnismäßigkeit und der Verfahrensgarantien gegen Willkür verletzt wurden. Im konkreten Fall konnte die Bank keinen begründeten Verdacht nachweisen, der die zeitlich nicht begrenzte und als massiv eingestufte Überwachung gerechtfertigt hätte; ebenso konnte sie nicht nachweisen, dass der Arbeitnehmer über die grundsätzliche Möglichkeit, das Ausmaß und die Eingriffsintensität der Überwachung informiert worden war. Darüber hinaus hatte die Bank wohl auch die eigene interne Regelung zur Nutzung der elektronischen Post verletzt. Welche Lehre lässt sich aus diesem Fall ziehen? Notdurfter: Es empfiehlt sich, eine wirksame unternehmensinterne Regelung zum Umgang mit E-Mail und Internet zu treffen, die u. a. auch eine etwaige private Nutzung regelt und über allfällige Kontrollmöglichkeiten hinreichend informiert. Eine solche Regelung kann zudem dazu beitragen, einen robusten unternehmensinternen Prozess zu etablieren, der im Ernstfall ein rechtssicheres Vorgehen begünstigt. Im gegenständlichen Fall hatte die Bank wohl eine solche Regelung, hielt sich aber offenbar selbst nicht daran, was ihr zum Verhängnis wurde.