Vorlage für eine Richtlinie zur Mitarbeiterüberwachung: Was sollte sie enthalten?

Eine Vorlage für eine Richtlinie zur Mitarbeiterüberwachung hilft Unternehmen, Regeln für digitale Kontrollen verständlich und nachvollziehbar festzuhalten. Sie sollte jedoch nicht einfach aus dem Internet übernommen werden: Überwachungsmaßnahmen müssen zum Unternehmen, zum Zweck der Verarbeitung und zum geltenden Datenschutzrecht passen.

Eine gute Richtlinie beantwortet vor allem fünf Fragen: Warum wird überwacht? Was wird erfasst? Wann und auf welchen Geräten findet die Erfassung statt? Wer kann die Daten sehen? Und welche Rechte haben Beschäftigte? Je transparenter diese Fragen beantwortet werden, desto eher entsteht eine tragfähige Grundlage für einen verantwortungsvollen Einsatz.

Warum eine Richtlinie zur Mitarbeiterüberwachung wichtig ist

Digitale Arbeitsplätze erzeugen viele Informationen: Anmeldezeiten, genutzte Anwendungen, Projektfortschritte oder Sicherheitsereignisse. Unternehmen können diese Daten für verschiedene Zwecke nutzen, etwa für IT-Sicherheit, Kapazitätsplanung oder die Dokumentation von Arbeitsabläufen. Ohne klare Grenzen kann daraus jedoch schnell eine unverhältnismäßige Kontrolle werden.

Eine schriftliche Richtlinie schafft einheitliche Erwartungen. Beschäftigte wissen, welche Informationen verarbeitet werden und wofür. Führungskräfte erhalten Leitplanken für die Nutzung von Berichten. Gleichzeitig dokumentiert das Unternehmen, dass es Datenschutz, Transparenz und Zweckbindung ernst nimmt.

Die Richtlinie ersetzt keine Datenschutzprüfung und keine rechtliche Beratung. Je nach Land, Branche, Arbeitsvertrag und vorhandener Arbeitnehmervertretung können zusätzliche Anforderungen gelten. In Deutschland sind insbesondere die Datenschutz-Grundverordnung, das nationale Datenschutzrecht und die Beteiligungsrechte des Betriebsrats zu berücksichtigen.

Vorlage für eine Richtlinie zur Mitarbeiterüberwachung: Diese Inhalte gehören hinein

1. Zweck und konkrete Ziele

Beginnen Sie mit einer verständlichen Erklärung, warum die Maßnahme eingeführt wird. Mögliche Zwecke sind beispielsweise:

• Schutz vor Schadsoftware und unbefugtem Zugriff
• Unterstützung bei der Untersuchung konkreter Sicherheitsvorfälle
• bessere Planung von Projekten und Arbeitskapazitäten
• nachvollziehbare Dokumentation bestimmter Arbeitsabläufe
• Erkennung technischer Probleme oder ungewöhnlicher Systemaktivitäten

Vermeiden Sie allgemeine Formulierungen wie „zur Kontrolle der Produktivität“. Ein Zweck sollte konkret, legitim und überprüfbar sein. Außerdem sollte die Richtlinie klarstellen, welche Zwecke ausdrücklich ausgeschlossen sind, etwa eine permanente Bewertung des persönlichen Engagements oder die Überwachung privater Tätigkeiten.

2. Geltungsbereich

Legen Sie fest, für wen und für welche Systeme die Richtlinie gilt. Beschreiben Sie insbesondere:

• welche Beschäftigtengruppen betroffen sind
• ob die Regelung für Büroarbeitsplätze, mobiles Arbeiten oder beides gilt
• ob nur firmeneigene Geräte überwacht werden
• welche Anwendungen, Konten oder Netzwerke einbezogen sind
• zu welchen Zeiten die Erfassung stattfindet

Eine datenschutzfreundliche Grenze ist die Beschränkung auf unternehmenseigene Geräte und klar definierte Arbeitszeiten. Private Geräte sollten grundsätzlich nicht ohne eine gesonderte, sorgfältig geprüfte Grundlage überwacht werden. Auch bei firmeneigenen Geräten sollte die private Nutzung geregelt und möglichst ausgeschlossen oder technisch getrennt werden.

3. Erfasste Daten und nicht erfasste Daten

Beschreiben Sie konkret, welche Daten anfallen. Dazu können je nach System gehören:

• aktive Arbeitszeit oder Aktivitätszeiträume
• verwendete Anwendungen und besuchte Arbeitsseiten
• Projekt- oder Aufgabeninformationen
• technische Geräte- und Sicherheitsdaten
• Bildschirmaufnahmen, sofern sie erforderlich und rechtlich zulässig sind
• zusammengefasste Auswertungen oder Berichte

Ebenso wichtig ist eine Liste dessen, was nicht erfasst wird. Bei ZimaWork werden beispielsweise keine Tastatureingaben aufgezeichnet. Ein sichtbares Symbol im Infobereich und ein Hinweis für Beschäftigte machen die laufende Erfassung erkennbar. Solche Grenzen sollten in der Richtlinie ausdrücklich genannt werden, statt sie nur in technischen Dokumentationen zu verstecken.

Erklären Sie außerdem, ob Inhalte automatisch analysiert werden und ob künstliche Intelligenz zum Einsatz kommt. Wenn ein System mithilfe von KI zusammenfasst, woran gearbeitet wurde, sollte klar sein, dass diese Zusammenfassungen Unterstützung bieten und nicht ohne menschliche Prüfung über disziplinarische Maßnahmen entscheiden.

4. Transparenz und Information der Beschäftigten

Beschäftigte sollten vor Beginn der Erfassung informiert werden. Die Information sollte leicht zugänglich, verständlich und dauerhaft verfügbar sein. Sie sollte mindestens enthalten:

• Verantwortliche Stelle und Kontaktmöglichkeit
• Zweck und Rechtsgrundlage der Verarbeitung
• Kategorien der erfassten Daten
• betroffene Geräte und Zeiträume
• Empfänger oder Zugriffsberechtigte
• Speicherdauer und Löschregeln
• Rechte der betroffenen Personen
• Vorgehen bei Fragen oder Beschwerden

Eine bloße Zustimmung zu langen oder schwer verständlichen Bedingungen ist kein Ersatz für Transparenz. Auch sichtbare Hinweise direkt am Gerät, etwa ein Tray-Symbol, können helfen, den laufenden Zustand der Erfassung nachvollziehbar zu machen.

5. Zugriff, Rollen und Verantwortlichkeiten

Definieren Sie, wer welche Informationen sehen darf. Nicht jede Führungskraft benötigt Zugriff auf Rohdaten oder Bildschirmaufnahmen. Sinnvoll kann eine Rollenstruktur sein:

• IT-Sicherheit sieht technische Sicherheitsereignisse.
• Projektverantwortliche erhalten erforderliche, zusammengefasste Arbeitsinformationen.
• Personalverantwortliche greifen nur zu, wenn dies für einen festgelegten Zweck nötig ist.
• Administratoren verwalten das System, dürfen Daten aber nicht beliebig für Leistungsbewertungen verwenden.

Legen Sie fest, dass Zugriffe protokolliert und regelmäßig überprüft werden. Besonders sensible Daten sollten nur einem kleinen, autorisierten Personenkreis zugänglich sein. Bei Bildschirmaufnahmen ist eine zusätzliche Prüfung der Verhältnismäßigkeit wichtig, da sie unter Umständen vertrauliche Arbeitsinhalte oder personenbezogene Daten Dritter enthalten können.

6. Speicherdauer und Löschung

Eine Richtlinie sollte nicht nur sagen, dass Daten „sicher gespeichert“ werden. Sie muss auch erklären, wie lange verschiedene Datentypen aufbewahrt werden und wann sie gelöscht oder anonymisiert werden. Rohdaten benötigen oft eine kürzere Aufbewahrung als zusammengefasste Projektinformationen.

Definieren Sie außerdem Ausnahmen, zum Beispiel für einen dokumentierten Sicherheitsvorfall oder gesetzliche Aufbewahrungspflichten. Jede Ausnahme sollte begründet, zeitlich begrenzt und zugriffsbeschränkt sein. Regelmäßige Löschroutinen sind besser als eine unbegrenzte Speicherung „für alle Fälle“.

7. Nutzung für Leistung, Vergütung und Disziplinarmaßnahmen

Dieser Abschnitt verdient besondere Aufmerksamkeit. Eine Richtlinie sollte eindeutig festlegen, ob Überwachungsdaten für Leistungsbeurteilungen, Zielvereinbarungen, Vergütung oder arbeitsrechtliche Maßnahmen verwendet werden dürfen.

Automatisierte Aktivitätswerte sind kein vollständiges Bild der Arbeitsleistung. Kreative Arbeit, Gespräche, Planung, Weiterbildung und Denkpausen lassen sich nicht zuverlässig anhand von Mausbewegungen oder Bildschirmaktivität bewerten. Wenn Daten in Personalprozesse einfließen, müssen sie deshalb im Kontext geprüft werden. Eine einzelne Kennzahl oder Bildschirmaufnahme sollte niemals alleinige Grundlage für eine weitreichende Entscheidung sein.

8. Sicherheitsmaßnahmen und Umgang mit Vorfällen

Beschreiben Sie, wie die erfassten Daten geschützt werden. Dazu gehören beispielsweise Zugriffskontrollen, Verschlüsselung, sichere Authentifizierung, regelmäßige Berechtigungsprüfungen und ein Verfahren für Datenpannen.

Die Richtlinie sollte auch festlegen, wer einen Vorfall untersucht, wie Beweise gesichert werden und wann die Datenschutzverantwortlichen informiert werden. Überwachung sollte nicht dazu führen, dass besonders viele sensible Daten unkontrolliert an weitere Stellen weitergegeben werden.

9. Rechte, Beschwerden und Überprüfung

Nennen Sie die Rechte der Beschäftigten nach dem jeweils anwendbaren Datenschutzrecht, etwa Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung, soweit die gesetzlichen Voraussetzungen erfüllt sind. Geben Sie eine konkrete Kontaktadresse an und erläutern Sie den Beschwerdeweg.

Überprüfen Sie die Richtlinie regelmäßig: bei neuen Funktionen, Änderungen des Arbeitsmodells, neuen Rechtsanforderungen oder nach einem Sicherheitsvorfall. Eine Arbeitnehmervertretung, der Datenschutzbeauftragte und die betroffenen Fachabteilungen sollten angemessen einbezogen werden.

Praktische Checkliste vor der Veröffentlichung

Vor der Einführung sollten Sie prüfen:

• Ist der Zweck konkret und nachvollziehbar beschrieben?
• Werden nur notwendige Daten verarbeitet?
• Sind private Geräte und private Zeiten ausgeschlossen oder klar geregelt?
• Wissen Beschäftigte, wann und wie die Erfassung stattfindet?
• Sind Bildschirmaufnahmen und KI-Auswertungen gesondert erklärt?
• Gibt es klare Zugriffsrechte, Löschfristen und Prüfprozesse?
• Ist geregelt, ob Daten für Leistungs- oder Disziplinarentscheidungen verwendet werden?
• Wurden Datenschutzbeauftragte und Arbeitnehmervertretung einbezogen?
• Ist die Richtlinie verständlich und für alle Beschäftigten zugänglich?

ZimaWork kann Unternehmen dabei unterstützen, Aktivität auf firmeneigenen Computern innerhalb definierter Arbeitszeiten sichtbar zu machen. Die Plattform arbeitet transparent, zeigt einen Hinweis für Beschäftigte, verwendet ein sichtbares Symbol, zeichnet keine Tastatureingaben auf und kann Bildschirmaufnahmen sowie KI-gestützte Zusammenfassungen bereitstellen. Ob diese Funktionen im konkreten Unternehmen zulässig und angemessen sind, muss jedoch anhand des Zwecks, der Verarbeitung und der lokalen Anforderungen geprüft werden.

Häufige Fragen

Ist eine Vorlage für eine Richtlinie zur Mitarbeiterüberwachung rechtlich ausreichend?

Nein. Eine Vorlage ist ein Ausgangspunkt für die interne Abstimmung. Sie muss an das geltende Datenschutzrecht, die Arbeitsorganisation, die Geräte und die tatsächlichen Funktionen des eingesetzten Systems angepasst werden.

Darf ein Unternehmen Bildschirmaufnahmen anfertigen?

Das hängt von Zweck, Umfang, Notwendigkeit und den geltenden rechtlichen Anforderungen ab. Bildschirmaufnahmen sind besonders eingriffsintensiv und sollten nur eingesetzt werden, wenn sie begründet, transparent, zeitlich begrenzt und ausreichend geschützt sind.

Können Überwachungsdaten für Kündigungen verwendet werden?

Das lässt sich nicht pauschal beantworten. Die Zulässigkeit hängt unter anderem von Erhebungszweck, Information, Rechtsgrundlage, Verhältnismäßigkeit und nationalem Arbeitsrecht ab. Eine einzelne automatisch erzeugte Auswertung sollte niemals unkritisch als Entscheidungsgrundlage dienen.

Muss eine Arbeitnehmervertretung beteiligt werden?

Je nach Land, Organisation und konkreter Maßnahme können Beteiligungs- oder Mitbestimmungsrechte bestehen. Unternehmen sollten frühzeitig prüfen, ob eine Arbeitnehmervertretung einzubeziehen ist.

Was ist die wichtigste Regel einer solchen Richtlinie?

Die wichtigste Regel lautet: Nur das erfassen, was für einen klaren und legitimen Zweck erforderlich ist, und die Beschäftigten offen darüber informieren. Transparenz, Begrenzung und menschliche Prüfung sollten die Grundlage jeder Überwachung sein.