Stellen Sie sich vor:

• Ihr Unternehmen wird Opfer einer Cyberattacke. Der Eindringling hat Zugang über den Microsoft Office 365 Account eines Mitarbeiters erlangt und hat als erstes das Postfach des Mitarbeiters ausgiebig geprüft und Emails gelöscht, oder
• Sie erhalten den Hinweis, dass ein Mitarbeiter wichtige Geschäftsgeheimnisse oder andere sicherheitsrelevante Informationen (z. B. Lagepläne) über Ihr Unternehmen an Dritte gegeben haben soll, oder
• Sie bekommen einen Hinweis, dass ein Mitarbeiter Aufträge gegen Kickback-Zahlungen an bestimmte Sub-Dienstleister vergibt, oder stellen Sie sich vor, dass Sie den Hinweis bekommen, ein Mitarbeiter würde andere Mitarbeiter bedrohen oder belästigen.

In diesen Fällen hat ein Unternehmen (jedenfalls in der Regel) nicht nur ein Interesse an der Aufklärung, etwa um den Unternehmensruf zu wahren, sondern kann auch rechtlich (z. B. aufgrund von Pflichten zur Aufklärung aus einer Cyberversicherung oder Compliancepflichten nach dem Hinweisgeberschutzgesetz oder Eigeninteresse zum Geschäftsgeheimnisschutz) dazu verpflichtet sein, dem Verdacht nachzugehen. In allen diesen Fällen kann eine Einsichtnahme in das E-Mailpostfach eines (oder mehrerer) bestimmten Mitarbeiters dringend erforderlich sein. Es stellt sich dann die Frage, ob Arbeitgeber Einsicht in die E-Mailpostfächer, Chat-Verläufe oder Browserhistorie ihrer Mitarbeiter nehmen dürfen. Eine klare und zuverlässige Antwort auf diese (mehr und mehr verbreitete Frage) verlangt in der Regel die konkrete Bewertung des Einzelfalls – ein pauschales Ja oder Nein ist nicht möglich.

Unternehmen können Vorsorge treffen, um im Fall der Fälle den erforderlichen ausreichenden Handlungsspielraum zu haben und (darauf kann es ankommen) direkt handlungsfähig zu sein.

Rechtlicher Bewertungsmaßstab für den Zugriff auf betriebliche Postfächer

Fernmeldegeheimnis

• Umdenken bei der Datenschutzaufsicht: Ist der Arbeitgeber doch kein Telekommunikationsdienstleister?

Der ewige Streit lautet wie folgt: Nach einer Meinung sind Arbeitgeber, die ihren Mitarbeitern die Privatnutzung von E-Mail und Internet gestatten, als Telekommunikationsdienstleister zu betrachten, weshalb (in der Konsequenz) für sie das sog. Fernmeldegeheimnis gelten soll. Das hat zur Folge, dass ein Zugriff auf das betriebliche E-Mailpostfach ausschließlich mit einer Einwilligung des Mitarbeiters zulässig ist. Will dieser seine Einwilligung aber nicht erteilen, steht das Unternehmen vor einem massiven Problem: Es darf die E-Mail-Inbox nicht sichten. Die gegenteilige Auffassung lehnt diese Ansicht ab: Arbeitgeber sind auch bei gestatteter Privatnutzung keine Telekommunikationsdienstleister. Interessant ist, dass die Datenschutzaufsichtsbehörden, welche seit jeher Verfechter der ersten Ansicht waren, ihre Auffassung anscheinend verändern. Jedenfalls die Aufsichtsbehörde in NRW (LDI NRW) und nach ihrer Auskunft auch der Bundesbeauftragte für den Datenschutz (BfDI) hält Arbeitgeber in diesem Fall nicht mehr für Telekommunikationsanbieter.¹ Das ist eine gute Nachricht für Unternehmen.

Datenschutzrecht

• Interessenabwägung unter Berücksichtigung der Unternehmens- und Mitarbeiterinteressen

Das Datenschutzrecht verbietet den Zugriff auf ein betriebliches Postfach, über das auch Privatkommunikation geführt wird, nicht per se. Allerdings sind die Anforderungen für einen rechtmäßigen Zugriff nicht klar gesetzlich vorgeschrieben und erschweren sich bei einer erlaubten Privatnutzung. Es muss eine umfassende Rechte- und Interessenabwägung durchgeführt werden, bei der viele Faktoren zu berücksichtigen sind, etwa ob eine Privatheitserwartung des Mitarbeiters besteht (war die Privatnutzung erlaubt oder durch den Vorgesetzten geduldet?) und welche Maßnahmen getroffen werden, um die Auswirkungen des Zugriffs auf ein Postfach so gering wie möglich zu halten. Ohne ein klares Verbot oder klare Regelungen zur Nutzung wird die Zulässigkeit des Zugriffs auf ein Postfach häufig vor einem Gericht entschieden. Schlechte Aussichten, wenn der Zugriff dringend erforderlich ist, um Schaden vom Unternehmen abzuwenden.

Auf die konkreten Umstände kommt es an

Innerhalb der oben erläuterten Kernthematik gibt es viele Einzelprobleme, die entstehen, wenn der Umgang mit betrieblichen Kommunikationsmitteln nicht ausreichend deutlich geregelt ist. Hier eine Auswahl der gängigen Painpoints, mit denen Unternehmen sich herumschlagen müssen:

• Wurde eine Privatnutzung zwar verboten und wurde das Verbot auch durchgesetzt oder wurde die Privatnutzung tatsächlich geduldet? In diesem Fall ist das Verbot im schlimmsten Fall unwirksam.
• Wurden Mitarbeiter bei erlaubter Privatnutzung hinreichend transparent darüber informiert, dass und in welchem Umfang ihr Arbeitgeber in bestimmten Umständen und zu bestimmten Zwecken (z. B. IT-Sicherheit oder interne Untersuchung) Zugriff auf das E-Mail-Postfach nehmen kann?
• Welche weiteren gerichtlichen Anforderungen wurden in der Vergangenheit für die Einsichtnahme in vergleichbaren Fällen aufgestellt?
• Sind die Mitarbeiter verpflichtet gewesen, ihre private Kommunikation in einen bestimmten Ordner („Privat“) zu speichern und die private von der betrieblichen Kommunikation separiert zu halten?
• Welche weiteren Maßnahmen müssen getroffen werden, um die Rechte des Mitarbeiters zu schützen, wenn ein mit privaten E-Mails „durchzogenes“ betriebliches Postfach überprüft werden soll?

Diese und weitere Fragen stellen sich nicht nur regelmäßig, sondern müssen üblicherweise auch sehr schnell beantwortet werden, da spezifische Maßnahmen von ihrer Klärung abhängen. Regelt ein Unternehmen die Privatnutzung hingegen umfassend und transparent, stellen sich diese Frage nicht.

Unsere Empfehlung

Vor dem Hintergrund der vorstehend aufgezeigten Herausforderungen empfehlen wir, eine Privatnutzung von E-Mail und Internet entweder zu untersagen oder aber klar zu regeln. So hat ein Unternehmen im Fall der Fälle alle Handlungsoptionen und kann schnell sowie rechtssicher die notwendigen Entscheidungen treffen.

Klare Regelung und die notwendige Transparenz erreicht ein Unternehmen unter anderem durch:

• Festgelegte Prozesse und Zuständigkeiten, die im Verdachtsfall greifen
• Klare und transparente IT-Nutzungsrichtlinien sowie das Monitoring deren Einhaltung
• Transparente Hinweise in internen und externen Datenschutzerklärungen

Wir freuen uns über einen Austausch mit Ihnen zu diesem Thema!

1. 29. Bericht der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen zum Datenschutz für die Zeit vom 1. Januar 2023 bis zum 31. Dezember 2023, S. 76 f. ↩