Wenn der Chef deine E-Mails mitlesen will

E-Mails, Chats, Videokonferenzen, Kalender oder gemeinsam bearbeitete Dokumente: Wer digital arbeitet, hinterlässt laufend Datenspuren. Technisch lässt sich damit vieles nachvollziehen. Rechtlich ist aber längst nicht alles erlaubt.

Wir gehen mit Datenschutz-Expertin Clara Fritsch von der Gewerkschaft GPA der Frage nach, was Vorgesetzte mitlesen und kontrollieren dürfen, wie die Privatsphäre geschützt werden kann und welche Rechtsgrundlagen es dafür gibt.

oegb.at: Welche Herausforderungen entstehen durch die Digitalisierung bei Arbeitsprozessen?

Clara Fritsch: Bei jeder Tätigkeit, die digital und/oder online erledigt wird, wird mitprotokolliert. Es ist also – zumindest technisch – jede Arbeitsleistung nachvollziehbar. Diese digitalen Datenspuren, die jede/r Beschäftigte automatisch hinterlässt, könnten auch ausgewertet werden.

Wer hat wann wie lange mit wem gemeinsam an einem Dokument gearbeitet? Wer hat von welchem Gerät aus welche Seiten im Internet besucht? Welches Team veranstaltet die längsten Video-Calls? Wer wusste letzten Sommer beim Online-Quiz zur neuen Compliance-Richtlinie die meisten Antworten? Der Fantasie sind diesbezüglich kaum Grenzen gesetzt. Grenzen setzt allerdings der Gesetzgeber.

Sind alle Arbeitsbereiche gleich stark betroffen? Was bedeutet das für die Arbeit im Homeoffice?

Unterschiedliche Branchen und unterschiedliche Arbeitsbereiche sind selbstverständlich unterschiedlich betroffen. In der Finanzbranche sind wir es längst gewohnt, dass die Kontoführung über den Geldzählautomaten bis zur Überweisung digitalisiert abläuft.

In der Reinigung oder Pflege ist Digitalisierung wiederum nur begrenzt machbar, etwa bei der Bestellung oder der Dokumentation. Bei Reinigungs- oder Pflegearbeiten, die eben vor Ort, bei den Menschen, erledigt werden müssen, können die Beschäftigten auch nicht im Homeoffice arbeiten.

Homeoffice funktioniert bei ortsungebundenen Tätigkeiten und die werden dann in der Regel online abgewickelt. Und am Laptop beziehungsweise online zu arbeiten, bedeutet eben auch eine – zumindest technisch – lückenlose Kontrollmöglichkeit.

Auch im Homeoffice gelten Datenschutz und Mitbestimmungsrechte. Die Datenschutz-Grundverordnung (DSGVO) setzt Unternehmen klare Grenzen: Beschäftigtendaten dürfen nicht einfach gesammelt und ausgewertet werden, nur weil das technisch möglich ist. Es braucht dafür einen zulässigen Zweck und eine rechtliche Grundlage.

Was bedeutet das in der betrieblichen Praxis?

Um sich vor Datenverlust, Hackerangriffen, Erpressung, Spionage und Ähnlichem zu schützen, möchten Arbeitgeber schon möglichst frühzeitig vorhersagen können, dass „sich etwas anbahnt“. Dazu setzen sie spezielle „mitlernende“ Programme ein, die jede Tätigkeit – angeblich – daraufhin analysieren kann, ob Daten missbräuchlich verwendet werden.

Werden bestimmte Stichwörter bei E-Mails verwendet? Wird zu außergewöhnlichen Zeiten eine außergewöhnliche Transaktion vorgenommen? Werden bestimmte KundInnen außergewöhnlich häufig besucht und „beschenkt“?

Was ist erlaubt, was nicht?

Das hängt von vielen Fakten ab. Mitunter gibt es Vorgaben für eine Branche, bestimmte Daten zu erfassen. Im Finanzbereich erstreckt sich beispielsweise die Verpflichtung, Daten zur finanziellen Lage zu liefern, auch auf Familienmitglieder.

Auf internationalen Flughäfen werden KollegInnen großflächig getrackt, was Terrorattacken hintanhalten soll. Mitunter verlangen KundInnen bei Vertragsabschluss bestimmte Sicherheitsvorkehrungen. So wird etwa ein Autokonzern nur bei dem Zulieferer seine Teile bestellen, der höchste Sicherheitsstufen garantiert.

Mitunter wird das aber auch nur behauptet und in Wahrheit werden die KollegInnen unzulässig überwacht. Ein Regelwerk zur Datenverarbeitung muss daher sehr genau auf den Betrieb abgestimmt sein.

Ganz klar für alle gilt jedenfalls: heimliche Überwachung privater Kommunikation ist verboten.

Wenn Arbeitgeber personenbezogene Daten von Beschäftigten verarbeiten, brauchen sie dafür einen klaren Zweck und eine rechtliche Grundlage. Auch automatisierte Auswertungen – sogenanntes Profiling – sind nicht einfach beliebig zulässig. Besonders streng sind die Regeln, wenn ausschließlich automatisiert über Beschäftigte entschieden wird und diese Entscheidung erhebliche Folgen für sie hat.

Wir empfehlen allen BetriebsrätInnen, die Verwendung personenbezogener Daten in einer Betriebsvereinbarung zu regeln. Dazu beraten unsere RegionalsekretärInnen. Wir stellen Muster-Vereinbarungen zur Verfügung. Es gibt einschlägige Broschüren dazu und die GPA bietet auch Schulungen zu dem Thema an.

Wann muss der Betriebsrat einer Überwachung zustimmen?

Kontrollmaßnahmen und technische Systeme, die die Menschenwürde berühren, dürfen in einem Betrieb mit Betriebsrat nur mit dessen Zustimmung eingeführt werden. Das regelt § 96 Arbeitsverfassungsgesetz. Gibt es keinen Betriebsrat, ist bei solchen Kontrollmaßnahmen die Zustimmung der betroffenen Arbeitnehmer erforderlich.

Idealerweise sehen nur KollegInnen in den IT-Abteilungen die Protokolldaten und halten ihr Wissen geheim. Außerdem werden die Protokolldaten bestenfalls nur im konkreten Anlassfall und nur in Zusammenarbeit mit dem Betriebsrat angesehen. Ebenfalls idealerweise sind diese Modalitäten in einer Betriebsvereinbarung festgehalten, sodass eindeutig klar ist, was erlaubt ist und was nicht.

Wir wissen natürlich aus der Beratung, dass es so nicht immer läuft, aber es ist durchaus ratsam, wenn die BetriebsrätInnen immer wieder „nachstochern“, sich Dinge zeigen und erklären lassen, nachfragen, ob bestimmte Auswertungen tatsächlich erforderlich sind, ob bestimmte Daten tatsächlich gelöscht wurden etc. So zeigen sie, dass sie über ihre Rechte Bescheid wissen und sich um den Schutz der personenbezogenen Daten ihrer Beschäftigten kümmern.

Welche Strafen drohen bei illegaler Überwachung?

Datenschutzverstöße können teuer werden. Nach der DSGVO sind – je nach Verstoß – Geldbußen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes eines Unternehmens möglich.

Dass übermäßige Kontrolle von Beschäftigten weiterhin geahndet wird, zeigen aktuelle Fälle. Die französische Datenschutzbehörde verhängte gegen Amazon France Logistique eine Strafe von 32 Millionen Euro, weil Daten von Beschäftigten zu detailliert zur Kontrolle ihrer Arbeit ausgewertet wurden.

2025 wurde in Italien ein Unternehmen mit 120.000 Euro bestraft, weil GPS-Systeme in Firmenautos Beschäftigte auch auf privaten Fahrten erfassen konnten.

Die Fälle zeigen: Nicht alles, was technisch möglich ist, darf zur Kontrolle von Beschäftigten verwendet werden.

Wie können sich ArbeitnehmerInnen schützen?

Die schlechte Nachricht ist: Eine/r alleine kann tatsächlich wenig ausrichten. Weder kann er oder sie die komplexen Systeme in ihrer Wechselwirkung durchschauen noch hat er oder sie die Zeit, sich in der Freizeit mit dem Thema auseinanderzusetzen. Zwar bietet die DSGVO einige gute Rechte für Betroffene, doch das Durchzusetzen kann langwierig und schwierig werden. Nicht jeder ist ein Max Schrems.

Die gute Nachricht lautet: Zusammen mit den arbeitsrechtlichen Möglichkeiten, die der Betriebsrat hat, wird die Suppe sozusagen schon dicker.

Der Betriebsrat kann umfassende Informationen verlangen. Der Betriebsrat kann Verbesserungsvorschläge einbringen. Der Betriebsrat hat – bei beinahe allen Datenverarbeitungssystemen – das Recht, über eine Betriebsvereinbarung mitzubestimmen.

Jedenfalls kann man bei dem Einsatz nur gewinnen: nämlich eine geschützte Privatsphäre.