Grupo: Seguridad de la información

Moin Björn,

grundlegend ist verbieten die derzeit einzige Möglichkeit, auf der sicheren Seite zu sein. Hat nur zur Folge, dass es durchaus einen negativen Niederschlag im Arbeitsklima kommen kann.
Der Arbeitgeber ist ja nicht verpflichtet Internet bereit zu stellen, kann es aber. Wenn er es restriktiv verbietet, dann ist der Schutz am größten.
So meine Erfahrung.

Dazu bin ich zu wenig Jurist, mal sicher ... wüsste nicht wie man das regelt.
Wobei ich mich frage, ob das Verhalten der Provider Pflicht ist?

Hier ein Auszug aus unserm Newsletter, wir haben das Thema mal für unsere Kunden ausgeleuchtet:

Sollen Unternehmen die private Nutzung von Internet und E-Mail am Arbeitsplatz grundsätzlich verbieten? Besteht ein Rechtsanspruch der Arbeitnehmer auf private Nutzung? Können Unternehmen die Privatnutzung von Internet zulassen und die von E-Mail verbieten? Welche Risiken birgt die tolerierte Privatnutzung für den Arbeitgeber?

Risiken bei stillschweigender Duldung
Ein rechtsunsicherer Zustand, in dem die private Nutzung der Internet- und Kommunikationstechniken am Arbeitsplatz weder ausdrücklich verboten noch durch Arbeitsvertrag oder Vereinbarung geregelt worden ist, birgt für den Arbeitgeber erhebliche Risiken. Seinem berechtigten Interesse, sowohl für die Sicherheit der Unternehmenswerte zu sorgen wie auch die Erfüllung der arbeitsvertraglichen Pflichten zu kontrollieren, steht das berechtigte Interesse der Arbeitnehmer gegenüber, an ihrem Arbeitsplatz nicht ständiger Überwachung und Kontrolle ausgesetzt zu sein.

• Nach jahrelang geduldeter privater Nutzung ist ein ausdrückliches Verbot praktisch nicht mehr durchsetzbar, die private Nutzung ist per „betrieblicher Übung“ zum Recht der Arbeitnehmer geworden.

• Durch die tolerierte Nutzung ist der Arbeitgeber zu einem Telekommunikations- und Teledienstanbieter mit sich daraus ergebenden zusätzlichen Pflichten geworden, z.B. Haftung bei Rechtsverstößen, Wahrung des Telekommunikationsgeheimnisses.

• Durch das Telekommunikationsgeheimnis und den Datenschutz sind die Kontrollmöglichkeiten des Arbeitgebers bei geduldeter Nutzung erheblich eingeschränkt: Weder für die Nutzung des Internets noch für den E-Mail Austausch ist eine systematische Überwachung zulässig. Aus unzulässiger Überwachung gewonnene Erkenntnisse dürfen jedoch nicht als Beweismittel verwendet werden, z.B. in einem Kündigungsschutzprozess.
Daraus ergibt sich, dass ein Unternehmen von vornherein auf eine klare Regelung setzen soll: Entweder es gilt ein generelles Verbot der privaten Nutzung, das auch angemessen kontrolliert wird. Oder eine private Nutzung wird in angemessenem Umfang erlaubt und – bei Betrieben mit Betriebsrat - wird eine Betriebsvereinbarung geschlossen, die den Rahmen der privaten Nutzung ebenso wie ihre Kontrollmöglichkeiten verbindlich festlegt.

Rechtslage bei ausdrücklichem Privatnutzungsverbot
Auf den ersten Blick erscheint ein ausdrückliches Privatnutzungsverbot als die einfachste Lösung:

• Bestimmungen des Telekommunikationsgesetzes (TKG) über das Telekommunikationsgeheimnis finden keine Anwendung. Es wird grundsätzlich davon ausgegangen, dass alle Kommunikation dem Unternehmen „gehört“.
Ein ausdrückliches Verbot der privaten Nutzung gilt für das gesamte Unternehmen, es kann nicht nur für einen Teil der Belegschaft ausgesprochen werden. Der entscheidende Punkt eines Privatnutzungsverbotes ist jedoch, dass es kontrolliert wird! Ein nicht kontrolliertes Nutzungsverbot ist wirkungslos, und damit kann die trotz Verbots durchgeführte Nutzung als Erlaubnis durch Duldung gewertet werden.

• Die Kontrollmaßnahmen müssen per Unternehmensrichtlinie oder Anweisung den Mitarbeitern bekannt gemacht werden. Die Mitarbeiter sind ebenfalls vorab auf mögliche Folgen bei Verstößen gegen das Privatnutzungsverbot hinzuweisen.

• Egal ob private Nutzung erlaubt ist oder nicht, muss der Arbeitgeber bestimmte Grenzen seiner Kontrolle immer beachten: Es dürfen nicht mehr als für Kontrollzwecke erforderliche Daten erhoben werden. Die Protokolldateien sind nach 3-6 Monaten zu löschen. Die Log-Daten dürfen nur für die Zwecke des ordnungsgemäßen Betriebsablaufs, der Abwehr und Aufklärung von Angriffen aus dem Netz und – bei begründetem Verdacht im Einzelfall – zur Aufklärung von Verstößen gegen das Privatnutzungsverbot genutzt werden.
Ein Arbeitgeber sollte in Betracht ziehen, dass der Gewinn an Rechtssicherheit eines ausdrücklichen Verbots der privaten Nutzung einen Verlust an Mitarbeitermotivation und Produktivität nach sich ziehen kann. Ein Weg, bei gleichzeitigem Höchstmaß an Schutz des Unternehmens eine beschränkte private Nutzung zuzulassen, ist das Bereitstellen von dedizierten PCs, welche durch technische Maßnahmen vom Unternehmensnetzwerk getrennt die private Nutzung ermöglichen.


Rechtslage bei Erlaubnis der privaten Nutzung
Grundsätzlich besteht kein Rechtsanspruch der Mitarbeiter auf eine Erlaubnis der privaten Nutzung. Es steht einem Unternehmen frei, nur die private Internetnutzung oder die private E-Mailnutzung zu gestatten. Eine solche Erlaubnis sollte unter Vorbehalt des Widerrufs, und unter festgelegten, überprüfbaren Regeln erteilt werden.
Bei Erlaubnis der privaten Nutzung tritt das Unternehmen als nicht-öffentlicher Anbieter von Telekommunikationsdiensten auf. Damit hat es die Vorschriften des Telekommunikationsgesetzes (TKG) und des Telemediengesetzes (TMG) zu berücksichtigen:

• Nicht nur die Inhalte aller eingehenden und ausgehenden E-Mails sind durch das Telekommunikationsgeheimnis geschützt, sondern auch alle Verbindungs- und Nutzungsdaten.
Normalerweise kann private und dienstliche Nutzung nicht technisch und organisatorisch voneinander getrennt werden, das heißt, sowohl die geschäftliche wie auch die private Nutzung läuft über dieselben Server und Postfächer. Daraus ergeben sich rechtliche Konsequenzen:

• Das Telekommunikationsgeheimnis verbietet bereits das Mitloggen privater Nutzung ohne Einwilligung des einzelnen Mitarbeiters. Dasselbe gilt umsomehr für die Kontrolle der Log-Daten durch den Arbeitgeber, soweit sie durch private Nutzung verursacht sind.

• Um überhaupt zu Kontrollzwecken auf Log-Daten zugreifen zu können, braucht der AG die persönliche Einwilligung des Mitarbeiters; gibt dieser sie nicht, so darf er auch keine private Nutzung vornehmen. Die betriebliche Nutzung bleibt jedoch kontrollierbar.

• In der Betriebsvereinbarung sollte vereinbart werden, welche Kontrollmaßnahmen zum Einsatz kommen werden, im Besonderen, wie mit den anfallenden Protokollen, Verbindungs- und Nutzungsdaten verfahren wird.
Dennoch sind wirkungsvolle Überprüfungen nicht nur möglich, sondern sogar notwendig:

• Eine Auswertung von Protokollen oder der Einsatz von Überwachungsprogrammen ist im begründeten Einzelfall möglich, wenn Anhaltspunkte für eine missbräuchliche Nutzung vorliegen.

• Durch stichprobenartige Kontrollen soll nicht nur festgestellt werden, ob Mitarbeiter die Regelungen der privaten Nutzung verletzen, sondern auch, ob ihr Nutzerverhalten Haftungsansprüche gegenüber dem Unternehmen als Inhaber des Netzanschlusses hervorrufen kann. Der Zugriff auf verbotene Inhalte im Internet oder der Austausch von urheberrechtlich geschützter Information über das Firmennetzwerk muss wirkungsvoll unterbunden werden.

Bei Fragen stehe ich gerne zur Verfügung. ;-)

Sehr schön ausführlich beschrieben .... interessant. Danke!

Marko Rogge schrieb:
Sehr schön ausführlich beschrieben .... interessant. Danke!
Wer weitere Fragen hat darf sich gerne melden ;-) Wir haben auch eine fast Vorlage für unsere Kunden, jedoch sollten diese mit einem Rechtsanwalt bzw. dem Datenschutzbeauftragten zusammen abgestimmt und angepasst werden. Schön, wenn Ihnen unsere Beschreibung gefällt ;-)

Hallo Herr Schulz,

jetzt würde ich sagen wäre ein Telefonat angebracht, ich hab noch nicht ganz verstanden, was das eigentliche Ziel ist. Rufen Sie einfach mal durch, ich kann es dann durch unseren Datenschutz-Experten prüfen lassen.

Viele Grüße
Nicolai Landzettel