Private E-Mail-Nutzung im Unternehmen

In einer zunehmend digitalisierten Arbeitswelt ist es für Beschäftigte offensichtlich nach wie vor verlockend, den beruflichen E-Mailaccount auch privat zu nutzen. Arbeitgeber sind oft geneigt, diese Nutzung zu übersehen oder zu dulden. 

Eine private Nutzung betrieblicher IT-Ressourcen bleibt jedoch ein Klassiker unter den datenschutzrechtlichen Problemen.

Rechtliche Fallstricke

Das gesetzlich verankerte Persönlichkeitsrecht des Beschäftigten ist zentraler Aspekt in diesem Zusammenhang. Es schützt in erster Linie den Arbeitnehmer und es kann für den Arbeitgeber schnell zu einer sehr großen Herausforderung werden, wenn private Daten im Unternehmen verarbeitet werden.

Dieses umfassende Recht steht einer Kontrolle und Einsicht durch den Arbeitgeber entgegen, da der Arbeitgeber grundsätzlich nur dann Arbeitnehmerdaten verarbeiten darf (worunter auch private E-Mails fallen), wenn dies für die Durchführung des Arbeitsverhältnisses bzw. der Wahrung arbeitsvertraglicher Rechte und Pflichten erforderlich ist. Eine darüberhinausgehende Verarbeitung von Arbeitnehmerdaten, insbesondere Daten privater Natur, die keinen Zusammenhang zu dem Arbeitsverhältnis aufweisen, ist nur im Ausnahmefall zulässig, da die Schutzwürdigkeit des Arbeitnehmers (insb. das verfassungsrechtlich verankerte Allgemeine Persönlichkeitsrecht und die Informationelle Selbstbestimmung) höher zu bewerten ist, als das Interesse des Arbeitgebers.

Typische datenschutzrechtliche Problemstellungen bei der Vermischung von privaten und dienstlichen Informationen sind:

• Der Arbeitgeber darf nicht auf einen dienstlichen E-Mail-Account zugreifen, wenn davon auch private Nachrichten des Arbeitnehmers umfasst sind.
• Virenscanner öffnen privaten Nachrichten und sortieren diese aus, weil der Scanner nicht zwischen Nachrichten des Unternehmens und privaten Nachrichten der Mitarbeiter unterscheiden kann.
• Dienstliche E-Mails sind – sofern es sich um Geschäftsbriefe handelt – für einen gesetzlichen Mindestzeitraum zu archivieren. Privaten Nachrichten sind in dem Fall ebenfalls von einer automatischen Archivierung oder Datensicherung umfasst.
• Eine automatisierte Löschung zum Ende der Speicherfrist unterscheidet nicht zwischen geschäftlichen und privaten Nachrichten.
• Werden über das dienstliche Postfach private E-Mail empfangen, können diese zusätzlich gefährliche Anhänge oder Links enthalten. Die Gefahr, dass Unternehmensdaten kompromittiert werden oder Schadsoftware auf die IT-Infrastruktur gelangt, steigt.

Einsichts- und Kontrollrechte bei rein dienstlicher Nutzung

Stellt ein Unternehmen seinen Beschäftigten E-Mail-Konten zur Verfügung, sollten diese zunächst ausschließlich für betriebliche Zwecke genutzt werden. Im Fall der rein betrieblichen Nutzung hat der Arbeitgeber ein eingeschränktes Einsichtsrecht.  Damit die betrieblichen Abläufe in gewohnter Form weiterlaufen können, müssen die E-Mails abwesender Mitarbeitender auch von anderen Mitarbeitenden bearbeitet werden können. Um dies zu gewährleisten, darf der Arbeitsgeber sich Zugriff auf die betrieblichen E-Mail-Konten abwesender Kollegen verschaffen. Voraussetzung dafür ist, dass betriebliche Umstände die Einsicht erforderlich machen. Dies trifft beispielsweise  dann zu, wenn Mitarbeitende durch Krankheit akut ausfallen oder für längere Zeit im Urlaub sind.

Außerdem ist es dem Arbeitgeber gestattet, stichprobenhaft auf betriebliche E-Mail-Konten zuzugreifen, um Sicherungs- oder IT-Kontrollmaßnahmen vorzunehmen.

Die Durchführung von Leistungsbeurteilungen der Beschäftigten ist hingegen nur dann legal, wenn den Mitarbeitenden vorher mitgeteilt wurde, dass diese Überwachungsmaßnahmen stattfinden und in welchem Umfang sie erfolgen. Die Mitteilung kann auch in Form einer Betriebsvereinbarung geregelt werden. Die systematische und lückenlose Überwachung ist verboten. Der Arbeitgeber muss immer eine Rechtsgrundlage für Kontrollmaßnahmen haben und es muss geprüft werden, ob nicht mildere Mittel zur Verfügung stehen, um die gleichen Ziele zu erreichen (Europäischer Gerichtshof für Menschenrechte, Urteil v. 5.9.2017, Az. 61496/08).

Empfehlungen

Ob eine private Nutzung des dienstlichen E-Mail-Postfaches geduldet wird, ist eine Organisationsentscheidung und obliegt allein der Geschäftsführung. Um datenschutzrechtlichen Problemen in der Praxis zu entgehen, ist es empfehlenswert, jegliche Nutzung des dienstlichen E-Mail-Accounts für den privaten Gebrauch zu untersagen. Diesen Weg empfehlen auch die Aufsichtsbehörden.

Richtlinie zur E-Mail-Nutzung bringt Klarheit

Handlungssicherheit für Arbeitgeber und Arbeitnehmer gleichermaßen lässt sich durch klare Regelung schaffen.

Auch sehr wohlwollenden Arbeitgebern gilt die Empfehlung, den privaten Gebrauch des geschäftlichen E-Mail-Postfaches weitgehend zu untersagen. Dies beseitigt die bereits angesprochenen, am schwierigsten zu lösenden Problemen. Enthält ein Postfach ausschließlich geschäftliche Informationen, ist der Zugriff durch einen Vertreter bei Abwesenheit des Postfachinhabers ohne größere Hürden möglich. Der Virenscanner öffnet keine privaten Nachrichten und es landet auch keine private Korrespondenz im Archiv oder in der Datensicherung.

Um die oben genannten Risiken bestmöglich zu minimieren, empfehlen wir Folgendes:

• Etablieren von Richtlinien zum Umgang mit dienstlichen E-Mail-Postfächern
• Sensibilisierung der Beschäftigten im Rahmen von Datenschutz- und IT-Sicherheitsschulungen
• Ergreifen technischer Maßnahmen (z. B. eingeschränkte Nutzerrechte, Gerätemanagement, Trennung von Profilen) die das Verbot technisch unterstützen.
• Weisen Sie klar darauf hin, dass die Einhaltung der Regelung auch überwacht wird und nennen Sie gegebenenfalls im Detail die Maßnahmen im Rahmen des Monitorings.

Für Fragen dazu oder für mögliche Umsetzungsempfehlungen kommen Sie gerne auf uns zu.