Mitarbeiterüberwachung und DSGVO: Schritt-für-Schritt-Leitfaden

Warum Mitarbeiterüberwachung und DSGVO zusammen gedacht werden müssen

Digitale Arbeitsplätze erleichtern die Zusammenarbeit, bringen aber auch neue Fragen zur Kontrolle und zum Datenschutz mit sich. Unternehmen möchten beispielsweise verstehen, wie Arbeitszeit erfasst wird, ob Prozesse funktionieren oder wo Sicherheitsrisiken entstehen. Beschäftigte haben gleichzeitig ein Recht auf Privatsphäre, Transparenz und einen fairen Umgang mit ihren personenbezogenen Daten.

Das Thema Mitarbeiterüberwachung und DSGVO sollte deshalb nicht als reine Technikfrage betrachtet werden. Entscheidend sind Zweck, Umfang, Rechtsgrundlage, Transparenz, Zugriffsschutz und die Verhältnismäßigkeit der eingesetzten Maßnahmen. Dieser Leitfaden beschreibt einen praktischen Weg zur Vorbereitung. Er ersetzt keine individuelle Rechtsberatung; bei sensiblen oder umfangreichen Projekten sollten Datenschutzbeauftragte und gegebenenfalls Arbeitsrechtsexperten einbezogen werden.

Schritt 1: Ziel und konkreten Zweck dokumentieren

Beginnen Sie nicht mit der Auswahl einer Software, sondern mit der Frage: Welches konkrete Problem soll gelöst werden?

Mögliche Zwecke können sein:

• Erfassung von Arbeitszeiten oder Abwesenheiten
• Schutz vor Sicherheitsvorfällen
• Nachvollziehbarkeit bestimmter Geschäftsvorgänge
• Planung von Kapazitäten und Arbeitsabläufen
• Erkennen technischer Probleme bei der Arbeit mit Unternehmenssystemen

Formulieren Sie den Zweck möglichst eng. „Die Produktivität aller Beschäftigten überwachen“ ist kein präziser Zweck und führt leicht zu einer unverhältnismäßigen Datenerhebung. Eine klare Zweckbeschreibung hilft später bei der Auswahl der Daten, der Speicherdauer und der Zugriffsrechte.

Schritt 2: Prüfen, ob die Überwachung wirklich erforderlich ist

Prüfen Sie, ob das Ziel auch mit weniger eingreifenden Mitteln erreicht werden kann. Für eine einfache Arbeitszeiterfassung benötigen Sie beispielsweise nicht automatisch Screenshots oder eine detaillierte Aktivitätsanalyse. Für die Untersuchung eines konkreten Sicherheitsvorfalls kann dagegen eine zeitlich und sachlich begrenzte Protokollierung gerechtfertigt sein.

Dokumentieren Sie außerdem, welche Alternativen geprüft wurden und warum sie nicht ausreichen. Diese Prüfung unterstützt das Prinzip der Datenminimierung: Es sollen nur solche personenbezogenen Daten verarbeitet werden, die für den festgelegten Zweck angemessen und notwendig sind.

Vermeiden Sie insbesondere eine dauerhafte Kontrolle ohne klaren Anlass. Auch wenn eine technische Lösung viele Daten erfassen kann, bedeutet das nicht, dass alle diese Daten verarbeitet werden sollten.

Schritt 3: Geeignete Rechtsgrundlage und nationale Regeln prüfen

Für jede Verarbeitung personenbezogener Daten benötigen Sie eine passende Rechtsgrundlage. Im Beschäftigungskontext kommen je nach Zweck und nationaler Umsetzung insbesondere gesetzliche Erlaubnistatbestände, berechtigte Interessen oder Regelungen zur Durchführung des Beschäftigungsverhältnisses infrage. Eine Einwilligung von Beschäftigten ist nicht automatisch die beste Lösung, da im Arbeitsverhältnis ein Abhängigkeitsverhältnis bestehen kann.

Zusätzlich zur DSGVO können nationale Datenschutzgesetze, arbeitsrechtliche Vorschriften, Tarifverträge und Betriebsvereinbarungen gelten. In Deutschland ist bei technischen Einrichtungen, die dazu bestimmt oder geeignet sind, das Verhalten oder die Leistung von Beschäftigten zu überwachen, außerdem die Mitbestimmung des Betriebsrats zu prüfen.

Halten Sie Ihre rechtliche Bewertung schriftlich fest. Bei einer umfangreichen oder besonders eingriffsintensiven Überwachung kann eine Datenschutz-Folgenabschätzung erforderlich sein. Lassen Sie in solchen Fällen frühzeitig den Datenschutzbeauftragten einbezogen.

Schritt 4: Nur notwendige Daten erfassen

Definieren Sie vor der Einführung genau, welche Daten anfallen. Dazu können beispielsweise Zeitstempel, Anwendungsnutzung, Geräteinformationen oder Sicherheitsprotokolle gehören. Je nach System können auch Bildschirmaufnahmen oder Auswertungen durch künstliche Intelligenz hinzukommen. Jede dieser Kategorien benötigt eine eigene Begründung.

Legen Sie klare Grenzen fest:

• keine Erfassung privater Geräte, wenn die Lösung nur auf Firmengeräten eingesetzt werden soll
• keine Überwachung außerhalb der festgelegten Arbeitszeiten
• keine Aufzeichnung von Tastatureingaben oder Passwörtern
• keine verdeckte Überwachung
• keine Erfassung privater Anwendungen oder Inhalte, soweit sie für den Zweck nicht erforderlich ist
• keine automatisierten Bewertungen, die Beschäftigte ohne menschliche Prüfung benachteiligen

Ein gutes System sollte technische Schutzmaßnahmen wie Zeitpläne, Rollenrechte und konfigurierbare Ausschlüsse unterstützen. Bei ZimaWork können Unternehmen beispielsweise festlegen, dass die Lösung nur auf firmeneigenen Geräten und innerhalb definierter Zeiten arbeitet. Die Plattform zeichnet nach ihrer Positionierung keine Tastatureingaben auf, zeigt einen Hinweis für Beschäftigte und hält ein sichtbares Symbol im Systembereich bereit.

Schritt 5: Transparenz von Anfang an sicherstellen

Beschäftigte müssen verständlich informiert werden. Eine schwer auffindbare Datenschutzerklärung allein reicht in der Praxis oft nicht aus. Erklären Sie in einfacher Sprache:

• welche Daten erfasst werden
• zu welchem Zweck die Verarbeitung erfolgt
• wann und wie die Erfassung stattfindet
• wer Zugriff auf die Daten hat
• wie lange Daten gespeichert werden
• ob externe Dienstleister beteiligt sind
• welche Rechte Beschäftigte haben
• an wen sie sich bei Fragen oder Beschwerden wenden können

Informieren Sie Beschäftigte vor dem Start und geben Sie ihnen eine Möglichkeit, Fragen zu stellen. Eine sichtbare Anzeige während der Erfassung kann das Vertrauen stärken und verdeckte Überwachung vermeiden. Besonders wichtig ist, dass die tatsächliche Konfiguration mit den veröffentlichten Informationen übereinstimmt.

Schritt 6: Speicherfristen und Zugriff sorgfältig festlegen

„Wir speichern die Daten so lange wie nötig“ ist als interne Regel zu unpräzise. Definieren Sie konkrete Fristen oder nachvollziehbare Kriterien. Arbeitszeitdaten können beispielsweise aufgrund gesetzlicher oder vertraglicher Anforderungen länger benötigt werden als kurzfristige technische Protokolle. Nicht mehr benötigte Daten sollten gelöscht oder anonymisiert werden.

Beschränken Sie den Zugriff nach dem Need-to-know-Prinzip. Führungskräfte benötigen nicht automatisch Zugriff auf sämtliche Rohdaten. Sinnvoll können abgestufte Rollen sein: etwa ein eingeschränkter Zugriff für Teamleitungen und ein umfassenderer Zugriff für eine autorisierte Sicherheits- oder Personalstelle. Sichern Sie Daten während der Übertragung und Speicherung, protokollieren Sie Zugriffe und überprüfen Sie Berechtigungen regelmäßig.

Achten Sie auch auf Dienstleister außerhalb des eigenen Unternehmens. Prüfen Sie Auftragsverarbeitungsverträge, Speicherorte, Unterauftragnehmer und geeignete technische sowie organisatorische Maßnahmen.

Schritt 7: Auswertungen fair und mit menschlicher Kontrolle verwenden

Aktivitätsdaten sind keine vollständige Messung von Leistung. Eine Person kann lange konzentriert an einem Konzept arbeiten, ohne viele Systemaktionen zu erzeugen. Umgekehrt bedeutet eine hohe Aktivität nicht automatisch wertvolle Arbeit.

Verwenden Sie Überwachungsdaten daher nicht als alleinige Grundlage für Abmahnungen, Leistungsbeurteilungen oder andere nachteilige Entscheidungen. Kombinieren Sie technische Hinweise mit Kontext, Ergebnissen, Gesprächen und den Aufgaben der jeweiligen Rolle. Prüfen Sie automatisierte oder KI-gestützte Zusammenfassungen durch eine verantwortliche Person und behandeln Sie sie als Unterstützung, nicht als objektives Urteil.

ZimaWork kann laut seiner Positionierung mithilfe von KI erklären, woran Beschäftigte gearbeitet haben. Solche Zusammenfassungen sollten dennoch nachvollziehbar bleiben und nicht ohne menschliche Prüfung zu arbeitsrechtlichen Konsequenzen führen.

Schritt 8: Einführung testen, prüfen und regelmäßig nachbessern

Führen Sie das System zunächst in einem begrenzten, repräsentativen Bereich ein. Prüfen Sie dabei, ob Zeitpläne, Ausschlüsse, Hinweise, Löschfristen und Rollenrechte wie vorgesehen funktionieren. Bitten Sie Beschäftigte und ihre Vertretungen um Rückmeldungen.

Erstellen Sie anschließend einen internen Prüfplan. Dieser sollte unter anderem folgende Fragen enthalten:

• Werden tatsächlich nur die vorgesehenen Daten erfasst?
• Sind private Bereiche und Zeiten ausgeschlossen?
• Sind Hinweise für Beschäftigte sichtbar und verständlich?
• Werden Löschfristen eingehalten?
• Haben nur berechtigte Personen Zugriff?
• Gibt es neue Risiken durch Funktionsänderungen oder KI-Auswertungen?
• Ist der ursprüngliche Zweck weiterhin gültig?

Dokumentieren Sie Entscheidungen, Prüfungen und Anpassungen. Datenschutz ist kein einmaliger Freigabeprozess, sondern eine fortlaufende Aufgabe.

Mitarbeiterüberwachung und DSGVO: praktische Checkliste

Vor dem produktiven Einsatz sollten Sie mindestens diese Punkte abhaken:

1. Zweck und Notwendigkeit sind dokumentiert.
2. Eine passende Rechtsgrundlage wurde geprüft.
3. Datenschutzbeauftragte und gegebenenfalls Betriebsrat wurden beteiligt.
4. Erfasste Daten, Zeiten und Geräte sind klar begrenzt.
5. Beschäftigte wurden verständlich informiert.
6. Speicherfristen und Löschprozesse sind festgelegt.
7. Zugriffe sind rollenbasiert und geschützt.
8. Automatisierte Auswertungen werden menschlich überprüft.
9. Ein Testlauf und regelmäßige Kontrollen sind geplant.

Fazit

Rechtmäßige Mitarbeiterüberwachung beginnt nicht mit maximaler Datenerfassung, sondern mit einem klaren Zweck und möglichst schonenden Verfahren. Transparenz, Datenminimierung, begrenzte Arbeitszeiten, sichere Zugriffe und menschliche Kontrolle sind zentrale Bausteine. Unternehmen sollten die DSGVO nicht als bloße Formalität behandeln: Ein nachvollziehbares Konzept schützt sowohl die Rechte der Beschäftigten als auch die Qualität der eigenen Entscheidungen.

Häufige Fragen zur Mitarbeiterüberwachung und DSGVO

Ist Mitarbeiterüberwachung nach der DSGVO grundsätzlich verboten?

Nein. Sie kann unter bestimmten Voraussetzungen zulässig sein. Maßgeblich sind unter anderem Zweck, Rechtsgrundlage, Erforderlichkeit, Verhältnismäßigkeit und Transparenz. Zusätzlich können nationale Arbeits- und Mitbestimmungsregeln gelten.

Dürfen Unternehmen Screenshots von Arbeitsgeräten erstellen?

Das hängt vom konkreten Zweck, Umfang und Kontext ab. Screenshots sind besonders eingriffsintensiv und müssen gut begründet, zeitlich begrenzt und transparent eingesetzt werden. Eine pauschale Dauerüberwachung ist rechtlich und vertrauensbezogen problematisch.

Ist eine Einwilligung der Beschäftigten ausreichend?

Nicht unbedingt. Im Arbeitsverhältnis ist die Freiwilligkeit einer Einwilligung besonders sorgfältig zu bewerten. Eine Einwilligung ersetzt außerdem keine Prüfung der Datenminimierung, Transparenz und Verhältnismäßigkeit.

Was sollten Unternehmen bei Überwachung auf privaten Geräten beachten?

Private Geräte bergen zusätzliche Risiken, weil dort regelmäßig private Kommunikation und persönliche Daten verarbeitet werden. Wenn möglich, sollte die Überwachung auf klar abgegrenzte, unternehmenseigene Geräte und definierte Arbeitszeiten beschränkt werden.