Sind Arbeitsplatz-Screenshots legal? Anforderungen für Unternehmen

Sind Arbeitsplatz-Screenshots legal? Eine erste Einordnung

Die Frage „Sind Arbeitsplatz-Screenshots legal?“ lässt sich nicht pauschal mit Ja oder Nein beantworten. Screenshots von Unternehmensgeräten können personenbezogene Daten enthalten und fallen daher häufig unter die Datenschutzregeln. Ob ihre Erfassung zulässig ist, hängt unter anderem vom Zweck, dem Umfang der Überwachung, der Information der Beschäftigten und den geltenden nationalen Vorschriften ab.

Für Arbeitgeber bedeutet das: Eine Überwachungssoftware sollte nicht einfach installiert werden, um jederzeit zu sehen, was Beschäftigte tun. Erforderlich ist ein nachvollziehbares, verhältnismäßiges Konzept mit klaren Grenzen. Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Prüfung durch eine Datenschutzbeauftragte, einen Datenschutzbeauftragten oder eine Rechtsberatung.

Warum Screenshots datenschutzrechtlich sensibel sind

Ein Screenshot kann mehr zeigen als ein geöffnetes Arbeitsprogramm. Je nach Situation sind darauf Namen, E-Mail-Adressen, Kundendaten, Gesundheitsinformationen, private Nachrichten oder vertrauliche Geschäftsinformationen sichtbar. Selbst wenn kein Text kopiert wird, kann das Bild Rückschlüsse auf eine bestimmte Person und deren Tätigkeit ermöglichen.

Damit sind Screenshots in vielen Fällen personenbezogene Daten. Unternehmen müssen insbesondere die Grundsätze der Datenschutz-Grundverordnung (DSGVO) beachten. Dazu gehören unter anderem:

• Rechtmäßigkeit, Fairness und Transparenz: Beschäftigte müssen wissen, ob und wie sie überwacht werden.
• Zweckbindung: Der Zweck der Screenshot-Erfassung muss vorher festgelegt und verständlich beschrieben werden.
• Datenminimierung: Es darf nicht mehr erfasst werden, als für den konkreten Zweck erforderlich ist.
• Speicherbegrenzung: Screenshots sollten nicht länger aufbewahrt werden als notwendig.
• Integrität und Vertraulichkeit: Die Daten müssen vor unbefugtem Zugriff geschützt werden.

Zusätzlich können arbeitsrechtliche Vorschriften, nationale Regelungen zur Beschäftigtendatenverarbeitung und Beteiligungsrechte eines Betriebsrats gelten. Die konkrete Rechtslage unterscheidet sich je nach Land und Anwendungsfall.

Sind Arbeitsplatz-Screenshots legal? Diese Voraussetzungen sind entscheidend

1. Einen klaren und legitimen Zweck definieren

Vor der Einführung sollte das Unternehmen schriftlich festhalten, warum Screenshots benötigt werden. Denkbare Zwecke können die Dokumentation sicherheitsrelevanter Vorgänge, die Untersuchung eines konkreten Verdachts oder die Absicherung bestimmter Unternehmenssysteme sein.

Ein allgemeines Interesse daran, „mehr Kontrolle“ zu haben, reicht als Begründung normalerweise nicht aus. Je umfassender und regelmäßiger die Überwachung ist, desto stärker muss der Zweck sachlich begründet sein. Produktivität allein ist kein Freibrief für eine dauerhafte Vollüberwachung.

2. Verhältnismäßigkeit prüfen

Die Erfassung muss geeignet, erforderlich und angemessen sein. Unternehmen sollten daher prüfen, ob ein weniger eingriffsintensives Mittel denselben Zweck erfüllt. Vielleicht reichen beispielsweise Zugriffsprotokolle, eine stichprobenartige Prüfung, Berichte zu Projektergebnissen oder Sicherheitswarnungen aus.

Besonders kritisch sind Screenshots, die ohne Anlass in kurzen Intervallen von allen Beschäftigten erstellt werden. Eine engere zeitliche Begrenzung, die Beschränkung auf bestimmte Systeme oder die Erfassung nur bei konkreten Sicherheitsereignissen kann verhältnismäßiger sein.

Auch die private Nutzung verdient Aufmerksamkeit. Wenn Beschäftigte Unternehmensgeräte außerhalb der Arbeitszeit privat verwenden dürfen, sollten Screenshots außerhalb definierter Arbeitszeiten deaktiviert werden. Idealerweise werden private Bereiche und Anwendungen technisch ausgeschlossen, soweit dies mit dem Zweck vereinbar ist.

3. Beschäftigte verständlich informieren

Transparenz ist eine zentrale Voraussetzung. Eine bloße Erwähnung in einer allgemeinen IT-Richtlinie genügt möglicherweise nicht, wenn die Überwachung weitreichend ist. Die Information sollte unter anderem erklären:

• welche Geräte und Bildschirme erfasst werden,
• wann und wie häufig Screenshots entstehen,
• zu welchen Zwecken die Daten verarbeitet werden,
• welche Daten zusätzlich ausgewertet werden,
• wie lange die Daten gespeichert bleiben,
• wer Zugriff erhält,
• ob Dienstleister beteiligt sind,
• welche Rechte Beschäftigte haben und an wen sie sich wenden können.

Die Information sollte vor dem Beginn der Erfassung erfolgen und verständlich formuliert sein. Verdeckte Überwachung ist rechtlich und vertrauensbezogen besonders riskant. Ein sichtbarer Hinweis im System kann die Transparenz unterstützen, ersetzt aber keine vollständige Datenschutzinformation.

4. Eine passende Rechtsgrundlage und Beteiligung klären

Für die Verarbeitung muss eine geeignete Rechtsgrundlage bestehen. Im Beschäftigungskontext ist die Einwilligung oft problematisch, weil zwischen Arbeitgeber und Arbeitnehmer ein Abhängigkeitsverhältnis besteht. Ob eine Einwilligung wirksam ist, hängt vom konkreten Fall und der nationalen Rechtslage ab.

Unternehmen sollten deshalb gemeinsam mit ihrer Datenschutzberatung prüfen, welche Rechtsgrundlage für den vorgesehenen Zweck passt. Außerdem ist zu klären, ob ein Betriebsrat, Personalrat oder eine vergleichbare Arbeitnehmervertretung beteiligt werden muss. In vielen Rechtsordnungen können technische Einrichtungen, die das Verhalten oder die Leistung von Beschäftigten überwachen können, Mitbestimmungsrechte auslösen.

5. Eine Datenschutz-Folgenabschätzung erwägen

Eine regelmäßige oder umfangreiche Überwachung von Beschäftigten kann ein hohes Risiko für deren Rechte und Freiheiten darstellen. In solchen Fällen kann eine Datenschutz-Folgenabschätzung erforderlich sein oder zumindest dringend empfohlen werden.

Dabei werden die Verarbeitung, mögliche Risiken und geplante Schutzmaßnahmen systematisch dokumentiert. Dazu gehören etwa Zugriffsbeschränkungen, Löschfristen, Verschlüsselung, eine Begrenzung der erfassten Zeiten und ein Verfahren für Auskunfts- oder Löschanfragen.

6. Zugriff und Aufbewahrung streng begrenzen

Screenshots sollten nur für berechtigte Personen zugänglich sein. Ein kleines, definiertes Nutzerteam ist besser als ein uneingeschränkter Zugriff für alle Führungskräfte. Rollen und Berechtigungen sollten regelmäßig überprüft werden; Zugriffe können zusätzlich protokolliert werden.

Legen Sie eine nachvollziehbare Löschfrist fest. Die passende Frist hängt vom Zweck ab: Daten für eine kurzfristige Fehleranalyse müssen nicht automatisch monatelang gespeichert werden. Werden einzelne Screenshots für einen dokumentierten Sicherheits- oder Compliance-Fall benötigt, sollte dieser Sonderfall getrennt behandelt und begründet werden.

Auch der Anbieter einer Überwachungssoftware muss sorgfältig geprüft werden. Wichtig sind unter anderem Angaben zu Datenstandort, Unterauftragsverarbeitern, Verschlüsselung, Löschung, Supportzugriffen und vertraglicher Auftragsverarbeitung.

Was ZimaWork bei einem transparenten Ansatz berücksichtigt

ZimaWork ist für firmeneigene Computer in Remote- und Büroumgebungen konzipiert. Die Plattform misst tatsächliche Aktivität, kann Screenshots jedes Bildschirms erfassen und nutzt KI, um zu erklären, woran gearbeitet wurde. Solche Funktionen können bei der Dokumentation von Arbeitsabläufen oder der Untersuchung bestimmter Vorgänge hilfreich sein, sollten aber immer in ein rechtlich geprüftes Überwachungskonzept eingebettet werden.

Der Ansatz ist auf Transparenz ausgelegt: Beschäftigte erhalten einen Hinweis, ein sichtbares Symbol im System informiert über die laufende Anwendung, und es werden keine Tastatureingaben aufgezeichnet. Außerdem sollte die Nutzung auf firmeneigene Geräte und vorher festgelegte Arbeitszeiten beschränkt werden. Diese technischen Grenzen sind wichtige Schutzmaßnahmen, machen eine eigene Prüfung von Zweck, Rechtsgrundlage, Information und Speicherfristen jedoch nicht überflüssig.

Praktische Checkliste vor der Einführung

Vor dem Start sollte ein Unternehmen mindestens folgende Fragen beantworten:

1. Welches konkrete Problem soll die Screenshot-Erfassung lösen?
2. Gibt es ein weniger eingriffsintensives Mittel?
3. Sind nur firmeneigene Geräte und definierte Arbeitszeiten betroffen?
4. Werden private Anwendungen oder sensible Inhalte möglichst ausgeschlossen?
5. Wurden Beschäftigte verständlich und vollständig informiert?
6. Wurde eine Arbeitnehmervertretung einbezogen, sofern erforderlich?
7. Sind Rechtsgrundlage und Datenschutz-Folgenabschätzung geprüft?
8. Wer darf die Daten sehen und wie werden Zugriffe geschützt?
9. Wann werden Screenshots automatisch gelöscht?
10. Gibt es einen Prozess für Beschwerden, Auskunft und Korrekturen?

Häufige Fragen zu Arbeitsplatz-Screenshots

Sind Screenshots auf Firmencomputern automatisch erlaubt?

Nein. Dass ein Gerät dem Unternehmen gehört, erlaubt nicht automatisch jede Form der Überwachung. Zweck, Umfang, Transparenz, Verhältnismäßigkeit und die anwendbaren Datenschutz- und Arbeitsregeln müssen geprüft werden.

Muss der Arbeitgeber Beschäftigte über Screenshots informieren?

In der Regel ja, wenn personenbezogene Daten verarbeitet werden. Die Information sollte vor Beginn der Erfassung erfolgen und Zweck, Umfang, Dauer, Zugriff und Rechte verständlich erklären.

Sind Screenshots während der Arbeitszeit weniger problematisch?

Die Beschränkung auf Arbeitszeiten kann den Eingriff reduzieren, macht die Verarbeitung aber nicht automatisch rechtmäßig. Auch dann gelten Anforderungen an Zweck, Erforderlichkeit, Transparenz und Datensicherheit.

Darf ein Unternehmen Screenshots zur Leistungskontrolle verwenden?

Das hängt vom konkreten Zweck und der Rechtsordnung ab. Eine flächendeckende, dauerhafte Kontrolle kann unverhältnismäßig sein. Unternehmen sollten zuerst prüfen, ob Ergebnisse oder weniger invasive Kennzahlen den Zweck erfüllen.

Was sollten Unternehmen vor der Einführung tun?

Sie sollten Datenschutz- und Arbeitsrechtsexpertise einbeziehen, den Zweck dokumentieren, Beschäftigte informieren, erforderliche Mitbestimmung klären und technische Schutzmaßnahmen wie Zugriffsbegrenzung und Löschfristen festlegen.