Das Symptom
In der Kasse fehlen dreihundert Euro, oder eine Kundenliste ist bei der Konkurrenz aufgetaucht, oder ein Kunde beschwert sich über einen Mitarbeiter. Der Chef geht zur IT: Zieh mal die Browserverläufe der ganzen Abteilung, schau ins Postfach von Herrn X, und die Kamera über der Kasse soll rückwirkend ausgewertet werden, am besten die letzten drei Monate. Aufgeschrieben ist nichts. Grundlage ist ein Bauchgefühl, ein Gerücht oder der Wunsch, bei der Gelegenheit einmal alle durchzuprüfen.
Die Administratorin hat die Rechte, um das alles in einer Stunde zu erledigen, und den Auftrag von oben. Was sie nicht hat, ist eine Antwort auf die Frage, ob sie das darf. Viele halten die Antwort für selbstverständlich: Es seien schließlich Firmenrechner, Firmenkonten und Firmenkameras, da gelte das Hausrecht. Das Bundesdatenschutzgesetz hat für genau diese Situation einen eigenen Satz, und der sieht anders aus.
Die „Layer 8“-Wahrheit
§ 26 Absatz 1 Satz 2 BDSG regelt, wann Daten von Beschäftigten zur Aufklärung eines Verdachts verarbeitet werden dürfen, und er beginnt mit seinem Anlass: „Zur Aufdeckung von Straftaten dürfen personenbezogene Daten von Beschäftigten nur dann verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.“
Drei Bedingungen, verbunden mit und, also alle zugleich. Die erste ist die anspruchsvollste, und sie steckt in vier Wörtern. Zu dokumentierende: Die Anhaltspunkte werden aufgeschrieben, und zwar sinnvollerweise bevor die Auswertung beginnt, nicht als Begründung hinterher. Tatsächliche: Ein Gefühl oder ein Gerücht ist keine Tatsache. Die betroffene Person: eine bestimmte Person, nicht eine Abteilung, nicht alle, die Zugang zur Kasse hatten. Straftat: Das Wort steht zweimal im Satz, und andere Anlässe nennt er nicht. Die Wörter Pflichtverletzung, Fehlverhalten und Hausrecht kommen in § 26 nicht vor; die Zählung am heute abgerufenen Text ergibt jeweils 0 Treffer. Für die Kundenbeschwerde über Unfreundlichkeit gibt Satz 2 deshalb nichts her. Was dort zulässig ist, misst sich an Satz 1, der die Verarbeitung erlaubt, soweit sie für die Durchführung des Beschäftigungsverhältnisses erforderlich ist.
Die zweite und dritte Bedingung schneiden den Umfang zu. Erforderlich zur Aufdeckung ist der Rechner der verdächtigen Person im fraglichen Zeitraum, nicht der Browserverlauf von zwanzig Leuten über drei Monate. Und Art und Ausmaß dürfen im Hinblick auf den Anlass nicht unverhältnismäßig sein: Ein fehlender Kugelschreiber trägt nicht dasselbe wie eine abgeflossene Kundendatenbank.
Absatz 7 schließt eine beliebte Lücke: „Die Absätze 1 bis 6 sind auch anzuwenden, wenn personenbezogene Daten, einschließlich besonderer Kategorien personenbezogener Daten, von Beschäftigten verarbeitet werden, ohne dass sie in einem Dateisystem gespeichert sind oder gespeichert werden sollen.“ Die handschriftliche Liste, wer wann an der Kasse stand, fällt nicht heraus, nur weil sie auf Papier steht. Und Absatz 6 hält fest, dass die Beteiligungsrechte der Interessenvertretungen unberührt bleiben; wird für die Auswertung eine technische Einrichtung genutzt, die dazu bestimmt ist, Verhalten oder Leistung zu überwachen, hat ein bestehender Betriebsrat nach § 87 Absatz 1 Nummer 6 BetrVG mitzubestimmen.
Wie eine Aufsichtsbehörde das in Verfahren übersetzt, zeigt die FAQ der BfDI für ihren Bereich, die öffentlichen Stellen des Bundes. Zum dienstlichen Internetzugang schreibt sie: „Eine Totalüberwachung des Surfverhaltens ist unverhältnismäßig und daher unzulässig.“ Eine zeitnahe Auswertung der Protokolldaten als Stichprobe oder im Zusammenhang mit einem konkreten Missbrauchsverdacht hält sie für zulässig. Für den Verdachtsfall empfiehlt sie, ein Verfahren festzulegen, „bei dem die betroffene Person von dem Verdacht in Kenntnis gesetzt wird und der behördliche Datenschutzbeauftragte sowie die Personalvertretung einbezogen werden“. Das sind Empfehlungen einer Behörde, keine Normen, und für private Arbeitgeber sind die Landesdatenschutzbehörden zuständig. Die BfDI hält § 26 BDSG im Übrigen selbst für zu unbestimmt und fordert ein eigenes Beschäftigtendatenschutzgesetz. Bis es das gibt, ist Satz 2 der Text, an dem sich jede Auswertung messen lassen muss.
Für die Administratorin heißt das: Der Auftrag von oben ersetzt die Dokumentation nicht. Ohne aufgeschriebene tatsächliche Anhaltspunkte gegen eine bestimmte Person ist der Griff in die Protokolle der ganzen Abteilung mit Satz 2 nicht zu begründen, und mit Hausrecht argumentiert dieser Satz an keiner Stelle.