Kurzantwort
Ein Arbeitgeber darf Beschäftigte nicht vorsorglich lückenlos überwachen. Jede Verarbeitung braucht einen bestimmten Zweck und eine Rechtsgrundlage, muss erforderlich, transparent, verhältnismäßig und auf das Nötige begrenzt sein. Maßgeblich sind DSGVO und § 26 BDSG; Kommunikation kann zusätzlich dem Telekommunikations- und Endgeräteschutz unterliegen. Ein ausdrückliches Verbot privater Nutzung senkt die Privatheitserwartung, beseitigt aber weder Datenschutz noch Verhältnismäßigkeit.
Routinekontrollen – etwa IT-Sicherheitsprotokolle oder stichprobenartige Nutzungskontrollen – benötigen vorher festgelegte Zwecke, kurze Speicherfristen und möglichst geringe Detailtiefe. Verdeckte Überwachung erfordert regelmäßig konkrete, dokumentierte Tatsachen für eine Straftat oder ähnlich schwere Pflichtverletzung, keine gleich wirksame mildere Maßnahme und enge Begrenzung nach Person, Zeitraum und Datenart. Ein allgemeines Keylogging oder heimliches Lesen privater Nachrichten ist regelmäßig unzulässig.
Biometrische Identifizierung verarbeitet besondere Daten und braucht zusätzlich eine Ausnahme nach Artikel 9 DSGVO. Fingerabdruck-Zeiterfassung oder Gesichtserkennung scheitert häufig an der Erforderlichkeit, wenn Karte, Token oder organisatorische Kontrolle genügen. Beschäftigteneinwilligung ist wegen des Abhängigkeitsverhältnisses selten eine sichere Grundlage.
Algorithmen unterliegen denselben Regeln, bei allein automatisierten erheblichen Entscheidungen zusätzlich Artikel 22 DSGVO. Der EU AI Act verbietet bereits bestimmte Praktiken, insbesondere Emotionserkennung am Arbeitsplatz außerhalb medizinischer oder sicherheitsbezogener Ausnahmen. Beschäftigungs-KI kann Hochrisiko-KI sein. Betriebsrat oder Personalrat ist bei technisch geeigneter Leistungs- oder Verhaltenskontrolle regelmäßig zu beteiligen.
Rechtswidrig erhobene Daten sind im Arbeitsprozess nicht automatisch unverwertbar. Gerichte wägen Verfahrensrecht und Persönlichkeitsrechte ab. Anlassloses verdecktes Keylogging führte zu einem Verwertungsverbot; offen erhobene Videoaufnahmen eines vorsätzlichen Pflichtverstoßes konnten dagegen trotz möglicher Datenschutzmängel verwertet werden.
Rechtsgrundlagen und Prüfungsmaßstab
Artikel 5 DSGVO verlangt Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Sicherheit und Rechenschaft. Artikel 6 liefert die Rechtsgrundlage, Artikel 9 zusätzliche Schranken für besondere Kategorien, Artikel 13 und 14 Informationspflichten und Artikel 35 die Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko.
§ 26 Absatz 1 BDSG erlaubt Beschäftigtendaten, soweit sie für Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich sind. Das ist keine pauschale Arbeitgeberbefugnis. Zweck, Nutzen, Eingriffstiefe, Erwartungen, Alternativen und Schutzmaßnahmen sind konkret gegeneinander abzuwägen.
Für die Aufdeckung einer Straftat ist die Schwelle ausdrücklich höher:
„[...] zu dokumentierende tatsächliche Anhaltspunkte [müssen] den Verdacht begründen [...]“
—
Die Maßnahme muss zur Aufklärung erforderlich sein; Arbeitnehmerinteressen dürfen nicht überwiegen, und Art und Ausmaß müssen zum Anlass passen. Für schwere, nicht strafbare Vertragspflichtverletzungen wendet die Rechtsprechung eine vergleichbar strenge Verhältnismäßigkeitsprüfung an. Kollektivvereinbarungen können Rechtsgrundlage sein, müssen aber die Schutzvorgaben des Artikels 88 Absatz 2 DSGVO wahren.
Einwilligung ist nur wirksam, wenn sie wirklich freiwillig, informiert, bestimmt und widerruflich ist. § 26 Absatz 2 BDSG verlangt ausdrücklich, die Abhängigkeit im Arbeitsverhältnis zu berücksichtigen. Eine Wahl zwischen Fingerabdruck und beruflichem Nachteil ist keine freie Wahl; eine gleichwertige Alternative ohne Nachteil kann die Lage verbessern.
E-Mail, Chat, Internet und Geräte
Bei ausschließlich dienstlicher Nutzung darf der Arbeitgeber Geschäftsvorgänge organisatorisch zugänglich halten, Sicherheitslogs führen und die Einhaltung klarer IT-Regeln kontrollieren. Trotzdem ist eine permanente Inhaltskontrolle aller E-Mails oder Tastatureingaben nicht erforderlich. Vorrang haben abgestufte Maßnahmen: aggregierte oder pseudonymisierte Sicherheitsdaten, Metadaten statt Inhalte, Stichprobe statt Vollerfassung und erst bei konkretem Anlass eine gezielte Prüfung.
Erlaubte oder geduldete Privatnutzung erhöht die Vertraulichkeitserwartung erheblich. Als privat gekennzeichnete Ordner, persönliche Webmail und private Messenger-Inhalte verlangen besonders gewichtige Gründe. Vertretungsregeln sollten geschäftliche Korrespondenz zugänglich machen, ohne das gesamte Postfach offenzulegen. Nach Ausscheiden oder längerer Abwesenheit sind dokumentierte Zugriffsverfahren, Vier-Augen-Prinzip und Aussortierung privater Inhalte sinnvoll.
Das TDDDG schützt Vertraulichkeit und Daten bei Telekommunikations- und digitalen Diensten sowie den Zugriff auf Endgeräte. Ob und in welcher Rolle ein Arbeitgeber darunter fällt, hängt vom Dienst und dessen öffentlicher Bereitstellung ab; ein internes Unternehmensnetz ist nicht automatisch ein öffentlicher Telekommunikationsdienst. Die alte pauschale Aussage, jeder Arbeitgeber werde schon durch erlaubte Privatnutzung zum Telekommunikationsanbieter, ist nach der Reform des TKG nicht zuverlässig. DSGVO, BDSG, Grundrechte und Betriebsverfassung gelten unabhängig davon.
„Personenbezogene Daten müssen [...] dem Zweck angemessen und erheblich sowie auf das [...] notwendige Maß beschränkt sein.“
—
Verdeckte Kontrolle und Detektive
Verdeckte Videoüberwachung, GPS-Tracking, Keylogger, Bildschirmaufzeichnung oder Detektivbeobachtung sind besonders eingriffsintensiv. Regelmäßig erforderlich sind ein auf konkrete Tatsachen gestützter Verdacht gegen einen abgrenzbaren Personenkreis, eine erhebliche Pflichtverletzung, vorherige Prüfung milderer Mittel, kurze Dauer, räumliche Begrenzung und Ausschluss privater oder höchstpersönlicher Bereiche. Toiletten, Umkleiden und vergleichbare Rückzugsräume sind praktisch tabu.
Eine bloß geringe Produktivität, ein einmal weggeklicktes Fenster oder allgemeine Missbrauchsgefahr rechtfertigen kein Totalmonitoring. Das BAG erklärte im Fall 2 AZR 681/16 einen Keylogger, der sämtliche Tastatureingaben und regelmäßig Screenshots erfasste, mangels konkreten Verdachts für unzulässig. Der Eingriff erzeugte ein nahezu lückenloses Nutzungsprofil einschließlich Passwörtern und sensibler Inhalte.
Biometrie
Fingerabdruck-, Gesichts-, Iris- oder Stimmerkennung kann biometrische Daten verarbeiten. Artikel 9 DSGVO verbietet deren Verarbeitung zum Zweck der eindeutigen Identifizierung grundsätzlich, sofern keine Ausnahme greift. Im Beschäftigungskontext kann § 26 Absatz 3 BDSG besondere Daten zulassen, wenn dies für arbeits- oder sozialrechtliche Rechte und Pflichten erforderlich ist und Interessen der Beschäftigten nicht überwiegen.
Das Wort „erforderlich“ ist entscheidend. Für gewöhnliche Zeiterfassung oder Türöffnung bestehen meist weniger invasive Alternativen wie Ausweis, PIN oder Token. Biometrie kann eher vertretbar sein, wenn ein besonders gesicherter Bereich zuverlässig nur durch eindeutig berechtigte Personen betreten werden darf und Alternativen das konkrete Risiko nicht hinreichend beherrschen. Vor Einführung sind Fehlerraten, Template-Speicherung statt Rohbild, lokale statt zentrale Verarbeitung, Löschkonzept, Ausweichverfahren und Datenschutz-Folgenabschätzung zu prüfen.
Algorithmen und künstliche Intelligenz
Ein System zur Bewerberauswahl, Schicht- oder Aufgabenverteilung, Produktivitätsbewertung, Betrugserkennung oder Kündigungsempfehlung verarbeitet Beschäftigtendaten auch dann, wenn der Anbieter es nur „Assistenz“ nennt. Arbeitgeber müssen Datengrundlage, Zweck, Fehler- und Diskriminierungsrisiken, menschliche Kontrolle und Anfechtungsmöglichkeit dokumentieren.
Artikel 22 DSGVO gibt grundsätzlich das Recht, keiner ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden. Zulässige Ausnahmen verlangen besondere Garantien, mindestens menschliches Eingreifen, Darlegung des eigenen Standpunkts und Anfechtung. Eine Person, die eine Empfehlung nur abnickt, ist keine sinnvolle menschliche Kontrolle.
Der gilt ergänzend. Seit 2. Februar 2025 sind verbotene Praktiken und KI-Kompetenzpflichten anwendbar. Die Ableitung von Emotionen am Arbeitsplatz ist grundsätzlich verboten, außer für medizinische oder Sicherheitszwecke. KI für Einstellung, Auswahl, Arbeitsbedingungen, Beförderung, Kündigung, Aufgabenverteilung oder Leistungsüberwachung kann nach Anhang III Hochrisiko-KI sein. Die 2026 beschlossene Digital-Omnibus-Änderung verschiebt die Hochrisikopflichten für solche eigenständigen Systeme auf 2. Dezember 2027. Datenschutz, Diskriminierungsrecht und Mitbestimmung gelten jedoch schon heute.
Betriebsrat und Personalrat
§ 87 Absatz 1 Nummer 6 BetrVG gibt dem Betriebsrat ein erzwingbares Mitbestimmungsrecht bei Einführung und Anwendung technischer Einrichtungen, die objektiv geeignet sind, Verhalten oder Leistung zu überwachen. Eine Überwachungsabsicht ist nicht nötig. Das erfasst häufig Kamera, Zeiterfassung, DLP, Call-Analytics, GPS, Scoring und algorithmische Managementsysteme.
Weitere Rechte ergeben sich aus §§ 80, 90, 94 und 95 BetrVG: Information und Sachverständige, Planung technischer Arbeitsverfahren, Personalfragebogen und Beurteilungsgrundsätze sowie Auswahlrichtlinien; bei KI nennt das Gesetz besondere Erleichterungen. Eine Betriebsvereinbarung kann Zweck, Zugriffe, Auswertungen, Löschung und Kontrollen begrenzen. Sie kann aber weder DSGVO unterschreiten noch Gerichte verbindlich zu einem prozessualen Beweisverbot verpflichten. Im öffentlichen Dienst richten sich parallele Rechte nach dem einschlägigen Personalvertretungsgesetz.
Interne Untersuchung
Eine rechtmäßige Untersuchung beginnt mit einem schriftlichen Untersuchungsplan: Vorwurf und Zweck, Rechtsgrundlage, Datenquellen, betroffene Personen, Suchbegriffe, Zeitraum, Rollen, Zugriffsrechte, Aufbewahrung und Eskalation. Die Untersuchung sollte Beweise sichern, ohne ganze Postfächer oder Geräte auf Vorrat zu spiegeln. Treffer sind auf Relevanz zu prüfen; private, medizinische und anwaltliche Kommunikation ist auszusondern. Übermittlungen an Konzernstellen oder Berater außerhalb des EWR brauchen ein eigenes Transferinstrument.
Betroffene sind grundsätzlich nach Artikeln 13 oder 14 DSGVO zu informieren. Eine gesetzlich zulässige Verzögerung darf nur so lange und so weit reichen, wie frühzeitige Information die Untersuchung konkret gefährden würde. Befragungen sollen Vorwurf, Rollen und Protokollierung klar benennen; tarifliche, betriebliche und mitbestimmungsrechtliche Begleitungsrechte sind zu beachten.
Bei Hinweisen nach dem HinSchG gelten Identitätsschutz, Unabhängigkeit und Vertraulichkeit. Meldestellen dürfen Daten nur aufgabenbezogen verarbeiten; Identitäten dürfen nur in gesetzlichen Ausnahmefällen weitergegeben werden. Auch die beschuldigte Person und Dritte werden geschützt. Dokumentation ist grundsätzlich drei Jahre nach Verfahrensabschluss zu löschen, sofern keine verhältnismäßige längere Pflicht besteht.
Darf rechtswidrig erlangtes Material vor Gericht verwendet werden?
Deutschland kennt im Arbeitsprozess kein automatisches „fruit of the poisonous tree“-Prinzip. Datenschutzwidrigkeit allein ordnet nicht stets ein Sachvortrags- oder Beweisverwertungsverbot an. Das Gericht prüft, ob die eigene Verwertung eine Grundrechtsverletzung fortsetzen oder vertiefen würde, und wägt Persönlichkeitsrecht, Datenschutz, rechtliches Gehör und wirksame Rechtspflege.
„[...] grundsätzlich kein Verwertungsverbot [...] aus einer offenen Videoüberwachung [...]“
—
Im Video-Fall durfte offenes Material zu einem vorsätzlichen Vertragsverstoß grundsätzlich berücksichtigt werden, selbst wenn die Überwachung nicht vollständig datenschutzkonform war; eine schwerwiegende Grundrechtsverletzung kann anders liegen. Beim anlasslosen verdeckten Keylogger verwarf das BAG dagegen den daraus gewonnenen Vortrag. Heimlichkeit, Anlass, Eingriffstiefe, geschützter Raum, vorsätzliches Verhalten und verfügbare mildere Mittel bestimmen daher sowohl Rechtmäßigkeit als auch Prozessrisiko.
Fazit
Arbeitgeberkontrolle ist nur zweckgebunden, abgestuft und dokumentiert zulässig. Kommunikation verlangt Trennung von Geschäft und Privatheit; Biometrie eine zusätzliche Ausnahme und strenge Erforderlichkeit; Algorithmen echte menschliche Kontrolle, Transparenz und Diskriminierungsprüfung. Verdachtsmaßnahmen dürfen nicht zur Vorratsüberwachung werden. Betriebsrat, Datenschutzbeauftragter und gegebenenfalls Meldestelle sind früh einzubinden. Wer Beweise rechtswidrig beschafft, riskiert Aufsicht, Schadensersatz, unwirksame Personalmaßnahmen und – je nach Eingriffsgewicht – ein gerichtliches Verwertungsverbot.
Quellen
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.