DSGVO-konforme Mitarbeiterüberwachung: Was ist erlaubt?

Einleitung: Mitarbeiterüberwachung und DSGVO zusammen denken

Eine DSGVO-konforme Mitarbeiterüberwachung ist kein Freifahrtschein für lückenlose Kontrolle. Unternehmen dürfen unter bestimmten Voraussetzungen nachvollziehen, wie Arbeitsmittel genutzt werden und ob vereinbarte Arbeitszeiten oder Sicherheitsvorgaben eingehalten werden. Gleichzeitig schützt die Datenschutz-Grundverordnung (DSGVO) Beschäftigte vor unverhältnismäßiger, heimlicher oder zweckfremder Überwachung.

Für Arbeitgeber besteht die zentrale Aufgabe deshalb nicht darin, möglichst viele Daten zu sammeln. Entscheidend ist, einen klaren und legitimen Zweck zu definieren, nur notwendige Informationen zu verarbeiten und die Beschäftigten verständlich zu informieren. Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Prüfung durch eine Datenschutzbeauftragte, einen Datenschutzbeauftragten oder eine Rechtsberatung. Zusätzlich zur DSGVO können nationale arbeitsrechtliche Vorschriften, Tarifverträge, Betriebsvereinbarungen und Entscheidungen der zuständigen Behörden gelten.

Welche Rechtsgrundlage kann für die Überwachung gelten?

Personenbezogene Daten dürfen im Beschäftigungskontext nicht einfach deshalb verarbeitet werden, weil ein Unternehmen Eigentümer des Computers ist. In der Praxis kommen – abhängig vom konkreten Zweck und vom nationalen Recht – insbesondere folgende Grundlagen in Betracht:

• Erforderlichkeit für das Beschäftigungsverhältnis: Bestimmte Kontrollen können zulässig sein, wenn sie tatsächlich für die Durchführung des Arbeitsverhältnisses notwendig sind. Eine allgemeine oder pauschale Überwachung lässt sich damit jedoch nicht automatisch begründen.
• Berechtigtes Interesse: Ein Unternehmen kann beispielsweise ein berechtigtes Interesse an IT-Sicherheit, Missbrauchsprävention oder dem Schutz vertraulicher Informationen haben. Dann müssen die Interessen und Grundrechte der Beschäftigten sorgfältig abgewogen werden.
• Gesetzliche Pflichten: In einzelnen Bereichen können gesetzliche Dokumentations-, Sicherheits- oder Nachweispflichten eine Datenverarbeitung erforderlich machen.
• Einwilligung: Eine Einwilligung von Beschäftigten ist im Arbeitsverhältnis wegen des möglichen Abhängigkeitsverhältnisses oft problematisch. Sie muss freiwillig, informiert, eindeutig und jederzeit widerrufbar sein. Sie sollte daher nicht als Standardlösung für eine dauerhafte Kontrolle dienen.

Die passende Rechtsgrundlage hängt immer vom Ziel, vom Umfang der Erfassung, von der Organisation und vom jeweiligen Land ab. Eine Datenschutz-Folgenabschätzung kann erforderlich sein, wenn die Überwachung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Beschäftigten darstellt.

DSGVO-konforme Mitarbeiterüberwachung: Welche Prinzipien gelten?

1. Einen konkreten Zweck festlegen

Formulieren Sie vor der Einführung, was Sie erreichen möchten. Mögliche Zwecke sind etwa der Schutz vor Schadsoftware, die Untersuchung eines konkreten Sicherheitsvorfalls, die Dokumentation bestimmter Arbeitsabläufe oder eine bessere Ressourcenplanung. Der Zweck „allgemeine Kontrolle der Beschäftigten“ ist zu unbestimmt und erhöht das Risiko einer unverhältnismäßigen Verarbeitung.

2. Datenminimierung und Verhältnismäßigkeit beachten

Erheben Sie nur Daten, die für den festgelegten Zweck erforderlich sind. Eine permanente Aufzeichnung jedes Arbeitsschritts ist nicht automatisch notwendig, nur weil sie technisch möglich ist. Prüfen Sie, ob weniger eingreifende Mittel ausreichen – beispielsweise aggregierte Berichte, stichprobenartige Prüfungen, manuelle Nachweise oder rollenbasierte Zugriffe.

Auch der zeitliche Rahmen ist wichtig. Wenn ein Unternehmen Überwachungssoftware einsetzt, sollte sie nur während definierter Arbeitszeiten und auf verwalteten Unternehmensgeräten aktiv sein. Private Geräte und private Zeit sollten grundsätzlich nicht erfasst werden.

3. Beschäftigte transparent informieren

Heimliche Überwachung ist besonders riskant und kann – abgesehen von eng begrenzten, rechtlich geprüften Ausnahmefällen – unzulässig sein. Beschäftigte sollten vor Beginn der Verarbeitung erfahren:

• welche Daten erfasst werden,
• zu welchem Zweck die Erfassung erfolgt,
• auf welcher Rechtsgrundlage sie beruht,
• wie lange die Daten gespeichert werden,
• wer Zugriff erhält,
• ob Daten an Dienstleister oder in andere Länder übertragen werden,
• welche Rechte und Kontaktmöglichkeiten bestehen.

Die Informationen sollten leicht verständlich und rechtzeitig bereitgestellt werden. Bei wesentlichen Änderungen ist die Datenschutzinformation zu aktualisieren.

4. Zugriff und Aufbewahrung begrenzen

Nicht jede Führungskraft braucht Zugriff auf Rohdaten oder Bildschirmaufnahmen. Ein abgestuftes Berechtigungskonzept kann verhindern, dass sensible Informationen unnötig verbreitet werden. Legen Sie außerdem eine nachvollziehbare Lösch- und Aufbewahrungsfrist fest. Daten sollten nicht unbegrenzt gespeichert werden, nur weil zukünftige Verwendungsmöglichkeiten denkbar sind.

Besondere Vorsicht ist bei Bildschirmaufnahmen geboten: Sie können neben Arbeitsinhalten auch Kundendaten, Gesundheitsinformationen, private Nachrichten oder Zugangsdaten sichtbar machen. Speichern Sie solche Aufnahmen nur, wenn dies für einen klaren Zweck erforderlich ist, schützen Sie sie angemessen und prüfen Sie, ob eine geringere Auflösung, eine kürzere Speicherung oder eine gezielte Auslösung genügt.

Was ist typischerweise besonders problematisch?

Einige Überwachungspraktiken sind datenschutzrechtlich und arbeitsrechtlich besonders heikel:

• heimliche Bildschirm- oder Webcam-Aufnahmen,
• Überwachung außerhalb der Arbeitszeit,
• Erfassung auf privaten Geräten ohne klare technische Trennung,
• Aufzeichnung von Tastatureingaben oder Passwörtern,
• Bewertung von Beschäftigten ausschließlich anhand eines Aktivitätswerts,
• automatische Sanktionen ohne menschliche Prüfung,
• Überwachung intimer Bereiche oder privater Kommunikation,
• Nutzung der Daten für andere Zwecke als ursprünglich angekündigt.

Auch Produktivitätswerte müssen vorsichtig interpretiert werden. Wenige Mausbewegungen bedeuten nicht zwingend geringe Leistung; konzentrierte Recherche, Gespräche, Planung oder kreative Arbeit lassen sich oft nicht zuverlässig durch einfache Aktivitätsmetriken abbilden. Messwerte können Hinweise liefern, sollten aber nicht allein über Vergütung, Abmahnungen oder Kündigungen entscheiden.

Technische und organisatorische Schutzmaßnahmen

Datenschutz beginnt nicht erst mit einer Datenschutzerklärung. Unternehmen sollten vor dem Einsatz eine dokumentierte Prüfung durchführen und dabei Datenschutz, Informationssicherheit und Arbeitsrecht gemeinsam betrachten. Sinnvolle Maßnahmen sind:

1. Zweck und Umfang schriftlich dokumentieren. Beschreiben Sie, welche Fragen die Software beantworten soll und welche Daten dafür wirklich nötig sind.
2. Datenschutzbeauftragte und Arbeitnehmervertretung einbeziehen. Je nach Organisation können Mitbestimmungsrechte, Konsultationspflichten oder eine Betriebsvereinbarung relevant sein.
3. Rollen und Zugriffe beschränken. Trennen Sie Administration, Auswertung und Untersuchung konkreter Vorfälle.
4. Daten verschlüsseln und absichern. Nutzen Sie sichere Übertragungswege, starke Authentifizierung und angemessene Protokollierung von Zugriffen.
5. Löschfristen automatisieren. Vermeiden Sie die dauerhafte Ansammlung alter Aufnahmen und Berichte.
6. Dienstleister prüfen. Bei Cloudlösungen sind Auftragsverarbeitung, Unterauftragsverarbeiter, Speicherorte und mögliche Drittlandübermittlungen zu bewerten.
7. Regelmäßig evaluieren. Prüfen Sie, ob die Maßnahme ihren Zweck erfüllt und ob ein weniger eingreifendes Verfahren inzwischen ausreicht.

ZimaWork verfolgt bei der technischen Ausgestaltung einen transparenten Ansatz: Die Anwendung zeigt Beschäftigten einen Hinweis, bleibt über ein sichtbares Symbol im System erkennbar und zeichnet keine Tastatureingaben auf. Sie kann auf unternehmenseigenen Geräten und innerhalb festgelegter Arbeitszeiten eingesetzt werden. ZimaWork misst tatsächliche Aktivität, erfasst Bildschirme und kann mithilfe von KI erläutern, woran gearbeitet wurde. Diese Funktionen sind jedoch kein automatischer Nachweis für eine rechtmäßige Nutzung. Unternehmen müssen Zweck, Konfiguration, Zugriffsrechte, Speicherfristen und lokale Anforderungen selbst festlegen und prüfen.

Ein praktikabler Einführungsprozess

Beginnen Sie mit einem Pilotprojekt und einer kleinen, klar definierten Anwendung. Dokumentieren Sie, welches Problem gelöst werden soll und welche Alternativen geprüft wurden. Informieren Sie die betroffenen Beschäftigten vor dem Start, holen Sie – sofern erforderlich – die zuständigen Stellen ein und testen Sie, ob sensible Inhalte unnötig erfasst werden.

Definieren Sie außerdem, wie Ergebnisse verwendet werden dürfen. Ein Bericht zur Kapazitätsplanung ist etwas anderes als eine individuelle Leistungsbewertung. Legen Sie fest, wer einen konkreten Bericht anfordern darf, wann eine menschliche Prüfung notwendig ist und wie Beschäftigte Rückfragen oder Einwände einreichen können.

Nach dem Pilotprojekt sollten Sie die Auswirkungen bewerten: Werden die Ziele erreicht? Entstehen Fehlinterpretationen? Werden private oder besonders schützenswerte Informationen sichtbar? Ist die Belastung für Beschäftigte angemessen? Nur wenn die Antworten überzeugend ausfallen, sollte die Nutzung ausgeweitet werden.

Häufig gestellte Fragen

Ist Mitarbeiterüberwachung nach der DSGVO grundsätzlich verboten?

Nein. Sie kann für bestimmte legitime Zwecke zulässig sein. Die Verarbeitung muss jedoch rechtmäßig, transparent, zweckgebunden, erforderlich und verhältnismäßig sein. Zusätzlich gelten nationale arbeitsrechtliche Vorgaben.

Dürfen Arbeitgeber Bildschirmaufnahmen erstellen?

Das hängt vom Zweck, Umfang und Kontext ab. Bildschirmaufnahmen sind besonders eingriffsintensiv und können sensible Informationen enthalten. Eine pauschale oder dauerhafte Aufzeichnung ist daher rechtlich riskant und sollte nur nach sorgfältiger Prüfung eingesetzt werden.

Darf Überwachungssoftware auf privaten Computern installiert werden?

Das ist besonders problematisch. Wenn eine Kontrolle erforderlich ist, sollten Unternehmen möglichst verwaltete, unternehmenseigene Geräte und eine klare zeitliche Begrenzung verwenden. Private Nutzung und private Geräte müssen technisch und organisatorisch geschützt werden.

Sind Aktivitätswerte ein ausreichender Beleg für Leistung?

Nein. Aktivitätsdaten bilden Arbeitsleistung nur unvollständig ab und können leicht zu Fehlinterpretationen führen. Sie sollten höchstens als ein Hinweis unter mehreren betrachtet werden und keine automatische Entscheidung auslösen.

Braucht das Unternehmen eine Betriebsvereinbarung?

Das kann je nach Land, Organisation und vorhandener Arbeitnehmervertretung erforderlich oder sinnvoll sein. Vor der Einführung sollten Unternehmen die Mitbestimmungs- und Konsultationsrechte sowie die Datenschutzanforderungen fachkundig prüfen.