Rechtsfragen der Mitarbeiterkontrolle / 1 Allgemeines

Die Diskussion und Gesetzgebung zur Mitarbeiterüberwachung ist stark durch Fälle erheblichen Datenmissbrauchs in großen deutschen Unternehmen geprägt. Allerdings ist nicht jeder in der Öffentlichkeit diskutierte Fall tatsächlich ein (unstreitiger) Fall von Datenmissbrauch.^[1] Bekannt geworden sind jedoch auch unstreitige Fälle, in denen personenbezogene Daten etwa zu Krankheiten und Sexualleben verarbeitet wurden. Dies ist nach deutschem Recht schon seit Langem unzulässig und für solche Verstöße fehlt der Öffentlichkeit jedes Verständnis. Ein weiterer wesentlicher Faktor der Diskussion um Mitarbeiterkontrollen ist die zunehmende Aktivität deutscher Unternehmen bei der Bekämpfung von strukturellen Compliance-Verstößen wie bei Korruption, Steuerhinterziehung usw. sowie der Einsatz sog. "Internal Investigations", die typischerweise die Prüfung erheblicher Datenmengen umfassen.^[2] Die zum 25.5.2018 in Kraft getretene Vorschrift des § 26 Abs. 1 Satz 2 BDSG betrifft gerade Ermittlungen des Arbeitgebers "zum Zwecke der Aufklärung von Straftaten".

[1] Vgl. Diller, BB 2009, S. 438 ff.; a. A. wohl Kock/Francke, NZA 2009, S. 648 ff.

[2] Vgl. dazu nur Mengel, Compliance und Arbeitsrecht, 2009, S. 110 ff.; Mengel/Ullrich, NZA 2006, S. 240 ff. m. w. N. und allgemein Klengel/Mückenberger, CCZ 2009, S. 81 ff.

1.1 Notwendigkeit der Mitarbeiterkontrolle

Unredliche Mitarbeiter gehören leider zum Arbeitsalltag. Laut einer Studie der KPMG AG Wirtschaftsprüfungsgesellschaft "Wirtschaftskriminalität in Deutschland 2012", entsteht einem deutschen Unternehmen dadurch ein durchschnittlicher Schaden von rund 300.000 EUR pro Jahr.^[1]

Auch die Liste der Delikte, mit denen Mitarbeiter ihre Arbeitgeber schädigen, ist lang. Die Spannweite reicht von Verstößen gegen die Arbeitspflicht (z. B. Blaumachen, Krankmachen, Arbeitsbummelei, exzessive Nutzung betrieblicher Kommunikations- und Informationssysteme für private Zwecke, Ausübung von Nebentätigkeiten während der Arbeit) bis hin zu Straftaten, die sich unmittelbar gegen das Vermögen des Arbeitgebers richten (z. B. Diebstahl von Firmeneigentum, Unterschlagung anvertrauter Gelder, Abrechnungs- oder Spesenbetrug, Datenmanipulation, Bestechung, Geheimnisverrat). Viele Delikte werden von Mitarbeitern nicht oder nicht allein aus finanziellen Motiven begangen, sondern weil sich eine günstige Gelegenheit bietet oder als Reaktion auf ein tatsächlich oder vermeintlich zugefügtes Unrecht (z. B. unterbliebene Beförderung oder Gehaltserhöhung, Ablehnung eines Versetzungswunschs, Kritik durch Vorgesetzte).^[2]

[1] Vgl. Studie der KPMG AG Wirtschaftsprüfungsgesellschaft "Wirtschaftskriminalität in Deutschland 2012" S. 6; vgl. auch die Nachfolgestudie "Wirtschaftskriminalität in Deutschland 2020" S. 15; abrufbar unter https://hub.kpmg.de/wirtschaftskriminalitaet-in-deutschland-2020-im-spannungsfeld; vgl. auch die darauffolgende Studie "Wirtschaftskriminalität in Deutschland 2023" S. 16, aus der mittlerweile auf einen höheren durchschnittlichen Wert zu schließen ist; abrufbar unter https://hub.kpmg.de/wirtschaftskriminalitaet-in-deutschland-2023; zur Auswertung der Studien vgl. auch Mengel, Betriebskriminalität – Wege der Prävention und Reaktion, Ziff. 1.

[2] Vgl. auch Studie der KPMG 2020, S. 24 f., die menschliche Faktoren als Hauptursache für wirtschaftskriminelle Handlungen benennt. Die Studie der KPMG 2023, S. 22 nennt "Nachlässigkeit und Unachtsamkeit" als Hauptfaktoren, also ebenfalls menschliche Faktoren.

1.2 Grenzen der Kontrollbefugnis

Das Recht des Arbeitgebers, seine Mitarbeiter zu kontrollieren, ist grundsätzlich anerkannt. Es hat seine Grundlage einerseits in dem schutzwürdigen Interesse des Arbeitgebers zu prüfen, ob der Arbeitnehmer die vertraglichen Haupt- und Nebenpflichten ordnungsgemäß erfüllt. Andererseits auch in der Befugnis des Arbeitgebers, Angriffe auf seine rechtlich geschützten Güter und Interessen abzuwehren, etwa auf sein Eigentum, Immaterialgüterrechte sowie Betriebs- und Geschäftsgeheimnisse. Der Umfang der Kontrollrechte des Arbeitgebers wird durch das geltende Recht in dreifacher Hinsicht eingeschränkt.

1. Eine Grenze ergibt sich erstens für alle Kontrollen durch das allgemeine Persönlichkeitsrecht des Arbeitnehmers, das verfassungsrechtlich durch Art. 2 Abs. 1 GG i. V. m. Art. 1 Abs. 1 GG garantiert wird und das mittelbar über die zivilrechtlichen Generalklauseln auch im Arbeitsverhältnis zu beachten ist, wie aus der Theorie der objektiven Werteordnung folgt.^[1] Ferner durch § 75 Abs. 2 BetrVG für den Bereich der Betriebsverfassung.^[2]
2. Seit dem 25.5.2018 enthält § 26 BDSG (davor § 32 BDSG) eine eigenständige Vorschrift zum Arbeitnehmerdatenschutz, konkret zur Behandlung personenbezogener Daten von Arbeitnehmern.
3. Bestimmte Kontrollmaßnahmen unterliegen dem Mitbestimmungsrecht des Betriebsrats und können daher nicht einseitig durch den Arbeitgeber eingeführt bzw. angeordnet werden.

[1] Vgl. Mengel, BB 2004, S. 1445, 1447; Oetker, RdA 2004, S. 8, 11 jeweils m. w. N.

[2] Vgl. BAG, Urteil v. 15.4.2014, 1 ABR 2/13, NZA 2014 S. 551, 555.

1.3 Spezielle Kontrollgrenze gemäß § 26 BDSG und der DSGVO

Nach § 26 Abs. 1 BDSG dürfe...