Ist die Überwachung von Beschäftigten in Spanien legal? Artikel 20.3 erklärt

Ist die Überwachung von Beschäftigten in Spanien legal? Eine kurze Antwort

Die Frage „Ist die Überwachung von Beschäftigten in Spanien legal?“ lässt sich nicht pauschal mit Ja oder Nein beantworten. Arbeitgeber dürfen die Erfüllung arbeitsvertraglicher Pflichten kontrollieren. Diese Befugnis ergibt sich insbesondere aus Artikel 20.3 des spanischen Arbeitnehmerstatuts (Estatuto de los Trabajadores). Sie endet jedoch dort, wo Maßnahmen unverhältnismäßig in die Privatsphäre, die Würde oder andere Grundrechte der Beschäftigten eingreifen.

Für Unternehmen bedeutet das: Überwachung kann rechtmäßig sein, wenn sie einen legitimen arbeitsbezogenen Zweck verfolgt, erforderlich und verhältnismäßig ist, transparent eingeführt wird und die Datenschutzvorschriften einhält. Eine pauschale oder heimliche Totalüberwachung ist dagegen rechtlich und organisatorisch riskant.

Artikel 20.3 des spanischen Arbeitnehmerstatuts erklärt

Artikel 20.3 erlaubt dem Arbeitgeber, Maßnahmen zur Überprüfung der Einhaltung arbeitsvertraglicher Pflichten und der Arbeitsleistung zu ergreifen. Dabei muss der Arbeitgeber die gebührende Rücksicht auf die menschliche Würde der Beschäftigten nehmen.

Die Vorschrift schafft also keine unbegrenzte Erlaubnis für jede technische Kontrolle. Sie bildet vielmehr die arbeitsrechtliche Grundlage für eine angemessene Kontrolle der Arbeit. Ob eine konkrete Maßnahme zulässig ist, hängt unter anderem von folgenden Fragen ab:

• Welches konkrete Ziel soll erreicht werden?
• Ist die Überwachung für dieses Ziel tatsächlich erforderlich?
• Gibt es ein weniger eingreifendes Mittel?
• Welche Daten werden erfasst und wie lange gespeichert?
• Werden Beschäftigte verständlich und rechtzeitig informiert?
• Findet die Kontrolle nur während der Arbeitszeit und auf beruflich genutzten Systemen statt?

Artikel 20.3 muss außerdem im Zusammenhang mit der spanischen Verfassung, der Datenschutz-Grundverordnung und dem spanischen Datenschutzrecht, insbesondere dem Gesetz über den Datenschutz und die digitalen Rechte, ausgelegt werden.

Welche Überwachungsmaßnahmen können zulässig sein?

Zulässig kann beispielsweise die Kontrolle der Nutzung firmeneigener Geräte sein, wenn sie der IT-Sicherheit, der Arbeitsorganisation oder der Überprüfung vereinbarter Aufgaben dient. Auch Zugriffsprotokolle, Zeiterfassung oder die Prüfung dienstlicher Kommunikationssysteme können unter bestimmten Voraussetzungen erlaubt sein.

Entscheidend ist nicht nur die eingesetzte Technik, sondern ihre konkrete Ausgestaltung. Eine Software, die lediglich aktive Arbeitszeit auf einem Firmencomputer misst, ist anders zu bewerten als ein System, das private Inhalte liest, jede Eingabe aufzeichnet oder Beschäftigte außerhalb der Arbeitszeit verfolgt.

Bei Videoüberwachung gelten zusätzliche Anforderungen. Die spanischen Datenschutzvorschriften enthalten hierzu besondere Regeln, unter anderem zur Information der Beschäftigten und zur Nutzung von Bildaufnahmen. Auch Geolokalisierung und die Kontrolle digitaler Geräte können besondere Informations- und Verhältnismäßigkeitsprüfungen erfordern.

Transparenz ist ein zentraler Bestandteil der Rechtmäßigkeit

Beschäftigte sollten vor Beginn der Überwachung klar erfahren:

• welche Systeme oder Geräte überwacht werden,
• welche Daten erhoben werden,
• zu welchem Zweck die Erhebung erfolgt,
• auf welcher rechtlichen Grundlage sie beruht,
• wer Zugriff auf die Daten hat,
• wie lange die Daten gespeichert werden,
• ob automatisierte Auswertungen oder künstliche Intelligenz eingesetzt werden,
• und an wen sie sich bei Fragen oder Beschwerden wenden können.

Die Datenschutzinformation sollte nicht in schwer verständlichen Formulierungen versteckt werden. Eine allgemeine Klausel wie „Das Unternehmen darf alle Aktivitäten kontrollieren“ reicht in der Regel nicht als gute Transparenzpraxis aus. Unternehmen sollten ihre interne Richtlinie, Arbeitsabläufe und technischen Einstellungen aufeinander abstimmen.

Heimliche Überwachung ist besonders problematisch. Sie kann in eng begrenzten Ausnahmefällen im Rahmen einer konkreten Untersuchung eine Rolle spielen, sollte aber nicht als normales Kontrollinstrument eingesetzt werden. Vor einer verdeckten Maßnahme ist eine individuelle rechtliche Prüfung ratsam.

Datenschutz, Zweckbindung und Verhältnismäßigkeit

Die Datenschutz-Grundverordnung verlangt unter anderem einen bestimmten Zweck, eine geeignete Rechtsgrundlage, Datenminimierung, begrenzte Speicherfristen und angemessene Sicherheitsmaßnahmen. Im Beschäftigungskontext kann die Verarbeitung arbeitsrechtlich begründet sein. Das bedeutet jedoch nicht, dass jede Form der Einwilligung automatisch erforderlich oder sinnvoll ist. Wegen des Abhängigkeitsverhältnisses zwischen Arbeitgeber und Beschäftigten ist eine Einwilligung nicht immer freiwillig genug, um die beste Grundlage zu bilden.

Praktisch sollten Unternehmen zunächst eine Datenschutz- und Verhältnismäßigkeitsprüfung durchführen. Dabei kann eine einfache Abstufung helfen:

1. Zweck definieren: Geht es um Zeiterfassung, Informationssicherheit, Kapazitätsplanung oder den Nachweis bestimmter Arbeitsschritte?
2. Mittel begrenzen: Nur die Daten erfassen, die für diesen Zweck erforderlich sind.
3. Privatsphäre schützen: Private Geräte, private Konten und Zeiten außerhalb der Arbeitszeit ausschließen.
4. Zugriff beschränken: Nur berechtigte Personen dürfen die Informationen sehen.
5. Löschung festlegen: Daten nicht länger aufbewahren als nötig.
6. Maßnahme überprüfen: Kontrollieren, ob der Zweck tatsächlich erreicht wird und ob weniger eingreifende Alternativen möglich sind.

Bei einer voraussichtlich hohen Gefahr für die Rechte und Freiheiten von Personen kann eine Datenschutz-Folgenabschätzung erforderlich sein. Das sollte mit der oder dem Datenschutzbeauftragten beziehungsweise einer spezialisierten Beratung geprüft werden.

Was gilt für Überwachung auf Firmencomputern?

Firmencomputer gehören dem Unternehmen, sind aber nicht automatisch ein rechtsfreier Raum. Auch auf einem unternehmenseigenen Gerät können Beschäftigte je nach Nutzung und Unternehmensregeln eine gewisse Erwartung an Vertraulichkeit haben. Deshalb sollten Arbeitgeber den erlaubten privaten Gebrauch klar regeln und technische Kontrollen auf berufliche Zwecke beschränken.

Eine verantwortungsvolle Lösung sollte beispielsweise:

• nur firmeneigene Geräte erfassen,
• nur innerhalb festgelegter Arbeitszeiten aktiv sein,
• keine Tastenanschläge aufzeichnen,
• keine privaten Geräte überwachen,
• die Beschäftigten durch eine sichtbare Benachrichtigung informieren,
• den Zugriff auf Auswertungen rollenbasiert begrenzen,
• und klare Löschfristen vorsehen.

ZimaWork ist ein Beispiel für einen transparenten Ansatz: Die Anwendung misst tatsächliche Aktivität, kann Bildschirme erfassen und mithilfe künstlicher Intelligenz Arbeitsschritte zusammenfassen. Gleichzeitig informiert sie Beschäftigte, zeigt ein sichtbares Symbol im Infobereich, zeichnet keine Tastenanschläge auf und ist für firmeneigene Geräte innerhalb definierter Zeiten ausgelegt. Ob eine solche Nutzung im konkreten Unternehmen rechtmäßig ist, hängt trotzdem von Zweck, Konfiguration, Information, Richtlinien und der jeweiligen Situation ab.

Beteiligung und interne Umsetzung

Vor der Einführung sollten Arbeitgeber die Personalvertretung oder Arbeitnehmervertretung einbeziehen, sofern eine solche besteht und die jeweiligen Regeln dies vorsehen. Außerdem empfiehlt sich eine schriftliche Richtlinie mit Beispielen für erlaubte und nicht erlaubte Nutzung.

Führungskräfte sollten wissen, dass Überwachungsdaten nicht automatisch ein vollständiges Leistungsurteil darstellen. Ein Aktivitätssignal erklärt nicht zwingend die Qualität, Schwierigkeit oder den Nutzen einer Aufgabe. Technische Daten sollten daher als Gesprächsgrundlage und organisatorische Information dienen, nicht als alleinige Grundlage für Sanktionen oder Personalentscheidungen.

Beschäftigte brauchen zudem einen klaren Weg, um fehlerhafte Daten, unangemessene Zugriffe oder eine private Ausnahmesituation zu melden. Regelmäßige Überprüfungen helfen, Fehlkonfigurationen und eine schleichende Ausweitung des Überwachungszwecks zu vermeiden.

Fazit: Artikel 20.3 ist keine pauschale Erlaubnis

Artikel 20.3 gibt Arbeitgebern in Spanien eine Grundlage, die Erfüllung arbeitsvertraglicher Pflichten zu kontrollieren. Er erlaubt aber keine grenzenlose Überwachung. Rechtssichere Systeme brauchen einen klaren Zweck, angemessene Grenzen, transparente Informationen, Datenschutz durch Technik und eine regelmäßige Verhältnismäßigkeitsprüfung.

Wer Überwachung einführt, sollte deshalb nicht nur fragen, ob die Technik verfügbar ist, sondern ob ihre konkrete Nutzung fair, notwendig und nachvollziehbar ist. Bei sensiblen Maßnahmen ist eine Beratung durch eine spanische Arbeits- und Datenschutzfachkraft sinnvoll.

Häufige Fragen

Ist jede Überwachung von Beschäftigten in Spanien verboten?

Nein. Artikel 20.3 erlaubt angemessene Kontrollmaßnahmen zur Prüfung arbeitsvertraglicher Pflichten. Sie müssen jedoch einem legitimen Zweck dienen und die Würde sowie Datenschutzrechte der Beschäftigten achten.

Müssen Beschäftigte über die Überwachung informiert werden?

Grundsätzlich ja. Informationen sollten verständlich erklären, welche Daten zu welchem Zweck erhoben werden, wer darauf zugreift und wie lange sie gespeichert werden. Für bestimmte Überwachungsarten gelten zusätzliche Anforderungen.

Darf ein Arbeitgeber private Geräte überwachen?

Eine Überwachung privater Geräte ist besonders eingriffsintensiv und in der Regel nicht mit einer gewöhnlichen Kontrolle der Arbeitsleistung gleichzusetzen. Unternehmen sollten sich auf firmeneigene Geräte und klar definierte Arbeitszeiten beschränken.

Sind Bildschirmaufnahmen automatisch legal?

Nein. Bildschirmaufnahmen müssen einen konkreten arbeitsbezogenen Zweck haben, erforderlich und verhältnismäßig sein. Beschäftigte sollten transparent informiert werden, und Zugriff sowie Speicherfrist müssen begrenzt sein.

Ist ZimaWork für Unternehmen in Spanien automatisch rechtskonform?

Nein. Kein Softwareanbieter kann die Rechtmäßigkeit jeder konkreten Nutzung garantieren. Unternehmen müssen Zweck, Konfiguration, Information, Speicherfristen und lokale arbeits- und datenschutzrechtliche Anforderungen selbst prüfen.