Abschnitt: Justiz & Recht | Technologie & KI Autor: V Leselänge: ~27 Min Quellen und weiterführende Literatur: 22 Einträge Themen: Arbeitgeber, E-Mail, Monitoring, § 316, DSGVO, Bărbulescu, Metadaten, Privatsphäre SEO / Arbeitstitel: Darf der Arbeitgeber Ihre E-Mails lesen und den Computer überwachen?
Darf der Arbeitgeber Ihre E-Mails lesen und den Computer überwachen? Die Frage klingt einfach, bis wir merken, dass wir nicht eine Sache vergleichen. Die Kontrolle der Zeit im Netz kann angemessen sein und das Lesen des Körpers der Nachricht trotzdem ein Exzess. Eine Richtlinie kann existieren und der Umfang trotzdem fehlen. Eine versteckte Kamera an der Kasse kann in einem Urteil bestehen und in der Umkleide nicht bestehen dürfen. Eine Einwilligung im Arbeitsvertrag kann unterschrieben sein, ohne eine freie Einwilligung nach der DSGVO zu sein.[9] Der folgende Text stellt deshalb nicht die Frage, wem der Computer gehört. Er fragt, wie tief der Eingriff reicht — und ob er Grund, Information und einen milderen Weg trägt.
1. Einhundertzwei Stunden im Netz in einem September sind kein geöffneter Körper der Dienstpost im Januar
Stellen wir uns eine Besprechung nach einem Vorfall vor. Der Arbeitgeber sagt: Notebook und Fach jmeno@firma.cz sind unsere. Der Beschäftigte antwortet mit Art. 13 der Charta und dem Geheimnis der Nachrichten.[3] Die IT zeigt einen Auszug der besuchten Seiten und der Zeit. HR bereitet ein Disziplinarverfahren vor. Die Arbeitsinspektion liest § 316 des Arbeitsgesetzbuchs. ÚOOÚ fragt nach dem Verantwortlichen für personenbezogene Daten und nach dem Rechtstitel. Jeder spricht von Kontrolle. Jeder meint aber eine andere Tiefe des Eingriffs.
Der Oberste Gerichtshof behandelte in der Sache 21 Cdo 1771/2011 einen Auszug der Internetaktivitäten eines Beschäftigten für den Zeitraum 1.–30. 9. 2009. Im Sachverhalt erschienen 102,97 Stunden Surfens ohne Zusammenhang mit der Arbeit. Das Gericht betonte, dass es nicht um das Lesen des Inhalts von E-Mails, SMS oder MMS ging, sondern um die Kontrolle der Nutzung der Arbeitsmittel.[6]
Die fachliche Analyse desselben Beschlusses auf epravo.cz arbeitet mit demselben Schnitt: Für die Beurteilung der privaten Nutzung des Internets war die Evidenz der Aktivität entscheidend, nicht die Öffnung der privaten Kommunikation.[17] Das ist wichtig, weil der Streit oft als allgemeine Erlaubnis zum Monitoring erzählt wird. Die genauere Lektüre sagt etwas Engeres.
Der Oberste Verwaltungsgerichtshof behandelte im Urteil 6 Ads 21/2026-27 vom 18. 3. 2026 eine andere Lage. Nach einem konkreten Abfluss personenbezogener Daten beim ČÚZK wurde der Inhalt der Dienstpost eines Staatsbediensteten in einem engen Fenster 2.–4. 1. 2024 kontrolliert. Die Disziplinarmaßnahme betrug 15 % des Gehalts für 3 Monate; es ist eine Sanktion in einer Dienstsache, kein Tarif für das Lesen von Mails.[7]
Auf den ersten Blick geht es um den Streit „darf oder darf nicht E-Mails lesen“. In Wirklichkeit vergleichen wir den Auszug der Aktivitäten mit der Öffnung des Inhalts der Post. Deshalb können alle teilweise recht haben und der gemeinsame Satz trotzdem falsch sein. Firmentechnik ist kein privater Tresor. Auch das Eigentum am Computer gibt kein freies Recht, jede Nachricht zu lesen.
Ein Firmencomputer ist kein privater Tresor. Auch eine Richtlinie ist keine Erlaubnis, Liebesbriefe zu lesen.
— Jiný Kontext
2. Die Kontrolle am Arbeitsplatz hat mindestens sechs Schichten
Die erste Schicht ist das Eigentum am Mittel. Notebook, Telefon, dienstliche E-Mail und Firmennetz können dem Arbeitgeber gehören. § 316 Abs. 1 des Arbeitsgesetzbuchs verbietet dem Beschäftigten, ohne Einwilligung die Produktions- und Arbeitsmittel des Arbeitgebers einschließlich der Rechentechnik und der Telekommunikationseinrichtungen für den persönlichen Bedarf zu nutzen; der Arbeitgeber darf die Einhaltung dieses Verbots in angemessener Weise kontrollieren.[1]
Die zweite Schicht ist die Erwartung der Privatsphäre am Arbeitsplatz. Der EGMR arbeitet in den Entscheidungen Halford, Copland und Bărbulescu damit, dass auch eine Kommunikation aus dem Arbeitsumfeld unter Privatleben und Briefverkehr fallen kann.[16][12][4] Der NSS 2026 zitiert diese Linie neben Art. 13 der Charta.[7][3]
Die dritte Schicht ist die Tiefe des Eingriffs. Die Sperre von Websites ist nicht dasselbe wie das Protokoll von Zeit und URL. Das Protokoll von Zeit und URL ist nicht dasselbe wie die Kopfzeile der E-Mail. Die Kopfzeile ist nicht der Körper der Nachricht. Der Körper der Nachricht ist nicht das Abhören eines Gesprächs. Eine Kamera an der öffentlich zugänglichen Kasse ist keine Kamera im Hinterraum der Beschäftigten.
Die vierte Schicht sind Rechtsregime nebeneinander. Das Arbeitsgesetzbuch löst die arbeitsrechtliche Grenze. Die Charta schützt Privatsphäre und Nachrichten. Die DSGVO löst personenbezogene Daten, Zweck, Minimierung, Information und Rechtstitel. Das Gesetz über die Arbeitsinspektion setzt Ordnungswidrigkeiten fest. Bei Kameras tritt die Methodik des ÚOOÚ als Leitfaden ein.[1][8][13][14]
Die fünfte Schicht sind Transparenz und Ausnahme. Die allgemeine Regel ist, im Voraus über Umfang und Art der Kontrolle zu informieren, wenn der Arbeitgeber einen Eingriff nach § 316 Abs. 2 einführt.[1] Die Ausnahme für den verdeckten Eingriff ist in der europäischen Rechtsprechung an einen starken und konkreten Grund gebunden, nicht an die Bequemlichkeit der Aufsicht.[5]
Die sechste Schicht ist die Verwendung des Ergebnisses. Ein Protokoll oder eine E-Mail, die zum Schutz von Vermögen oder Daten gewonnen wurde, darf nicht als Unterhaltung im Kollektiv enden. Der NSS hat im Jahr 2026 ausdrücklich bewertet, dass die Ergebnisse der Kontrolle nicht zu einem anderen Zweck verwendet wurden.[7]
3. Die beste Kontrolle ist die, deren Eingriff Sie erklären können
Die Technik kann viele Dinge protokollieren. Das ist keine Antwort. Die richtige Frage lautet, welcher Eingriff sich dem Beschäftigten, dem Gericht, der Arbeitsinspektion und dem ÚOOÚ erklären lässt. Wenn die Erklärung nur auf dem Satz „es ist unser Computer“ steht, ist sie schon vor dem ersten Protokoll schwach.
| Art des Versagens | Wie es aussieht | Wie man testet | Was den Schaden begrenzt |
|---|---|---|---|
| Verwechslung von Abs. 1 und Abs. 2 | Der Auszug der URL wird als Erlaubnis genommen, den Körper der Mail zu lesen | NS 21 Cdo 1771/2011 mit dem Wortlaut des § 316 Abs. 2 vergleichen | Metadaten früher als Inhalt und ein enger Grund |
| Richtlinie ohne Umfang | Der Satz „wir dürfen überwachen“ sagt nicht wie | Die Bărbulescu-Kriterien und § 316 Abs. 3 verwenden | Unmittelbare Information über Umfang und Art |
| Flächendeckung zur Sicherheit | Lesen aller Fächer ohne konkreten Vorfall | NSS vergleichen: ein Beschäftigter, 2.–4. 1. 2024, Datenabfluss | Zeitfenster, Gegenstand und Subsidiarität |
| Versteckte Kamera außerhalb des Extrems | Verdeckte Aufnahme im Hinterraum, in der Umkleide oder in der Küche | López Ribalda und das Regionalgericht Ostrava vergleichen | Sichtbarkeit, öffentlicher Raum und schwerwiegender Grund |
| Einwilligung als Stempel | Die Einwilligung im Vertrag soll den Titel der DSGVO ersetzen | WP29 2/2017 über die Ungleichheit der Parteien lesen | Berechtigtes Interesse oder Pflicht plus Information |
| Fremder Zweck des Ergebnisses | Das Protokoll aus der Kontrolle wird zu Verleumdungen oder anderem Druck verwendet | Zweck, Zugang und Aufbewahrungsdauer prüfen | Zugangsrechte und Audit |
Interpretationsschema: Die Tabelle sagt nicht, dass jede Kontrolle verboten ist. Sie zeigt die Stellen, an denen aus einer angemessenen Kontrolle ein tieferer Eingriff ohne Stütze wird.
Ein gutes Verfahren beginnt deshalb nicht damit, was die IT einschalten kann. Es beginnt damit, welchen Schaden die Kontrolle abwenden soll. Sonst beginnt sich das Werkzeug nach der Bequemlichkeit zu erweitern, nicht nach dem Grund. Zuerst werden mehr Websites protokolliert, dann mehr Kopfzeilen, dann werden einige Nachrichten geöffnet und am Ende weiß niemand genau, wann aus der Kontrolle des Arbeitsmittels die Aufsicht über die Privatsphäre wurde. Gerade dieser Übergang muss sichtbar sein, bevor der Streit kommt.
4. Die Kontrolle der Nutzung der Mittel ist nicht die Kontrolle des Inhalts der Post
§ 316 des Arbeitsgesetzbuchs ist kurz, aber wichtig gerade durch die Unterscheidung der Schichten. Absatz 1 zielt auf die Nutzung der Mittel des Arbeitgebers. Der Beschäftigte darf ohne Einwilligung Arbeitsmittel nicht für den persönlichen Bedarf nutzen, und der Arbeitgeber darf diese Regel angemessen kontrollieren.[1] Das ist die Grundlage für die Kontrolle, ob Firmentechnik missbraucht wird.
Absatz 2 ist eine andere Ebene. Er verbietet dem Arbeitgeber, ohne einen schwerwiegenden Grund, der in der besonderen Natur seiner Tätigkeit besteht, die Privatsphäre des Beschäftigten am Arbeitsplatz und in den gemeinsamen Räumen durch offene oder verdeckte Überwachung, durch das Abhören von Gesprächen, durch die Kontrolle der elektronischen Post oder von Briefsendungen zu stören.[1]
Absatz 3 sagt dann, dass der Beschäftigte, wenn beim Arbeitgeber ein schwerwiegender Grund nach Absatz 2 gegeben ist, unmittelbar über den Umfang der Kontrolle und die Arten ihrer Durchführung informiert werden muss.[1] Eine Richtlinie ist also kein Zauberwort. Sie muss sagen, was kontrolliert wird, wie und warum.
Daraus folgt nicht, dass der Arbeitgeber nie die elektronische Spur kontrollieren darf. Daraus folgt, dass die angemessene Kontrolle der Nutzung der Mittel und die Kontrolle des Inhalts der Nachrichten nicht derselbe Eingriff sind. Die erste fragt, ob und wie lange. Die zweite fragt, was genau geschrieben wurde.
5. Metadaten sind nicht Inhalt
Metadaten sind nicht bedeutungslos. Sie zeigen, wer kommuniziert hat, wann, über welchen Dienst, mit welcher Länge oder welchem Volumen. Beim Netz können sie die besuchte Domain und die Zeit zeigen. Bei der E-Mail können sie Absender, Adressat, Betreff, Zeit oder Größe zeigen. All das kann empfindlich sein.
Inhalt ist aber etwas anderes. Der Körper der E-Mail, der Anhang, der Text einer privaten Nachricht oder die Aufnahme eines Gesprächs greifen tiefer ein. Der Oberste Gerichtshof hat im Urteil 21 Cdo 1771/2011 gerade darauf gebaut, dass der Arbeitgeber nicht den Inhalt von E-Mails, SMS oder MMS kontrollierte, sondern den Auszug der Aktivitäten im Internet und die außerhalb des Arbeitszwecks verbrachte Zeit.[6]
Darin liegt die praktische Kraft des Wortes Metadaten. Es entschuldigt keine flächendeckende Aufsicht. Es hilft, ein milderes Mittel zu finden. Wenn der Arbeitgeber löst, ob der Beschäftigte die Arbeitszeit außerhalb der Arbeit verbringt, kann der Auszug von Zeit und Kategorien weniger invasiv sein als die Öffnung der persönlichen Kommunikation. Wenn er den Abfluss konkreter Daten löst, kann sich die Frage zum Inhalt verschieben. Aber gerade dann wächst die Anforderung an Grund, Umfang und Garantien.
Metadaten zeigen auch besser, wann es nötig ist zu stoppen. Wenn der Auszug zur Bestätigung der Verletzung der Regel reicht, besteht kein Grund, den Körper der Nachricht nur aus Neugier zu öffnen. Wenn der Auszug nicht reicht, muss der nächste Schritt eine eigene Begründung erhalten. Diese Abfolge ist kein bürokratischer Schmuck. Sie ist die Art, jedes Problem nicht in den tiefstmöglichen Eingriff zu verwandeln.
Das Beispiel ist schlicht. Wenn es um den Verdacht übermäßigen privaten Surfens geht, antwortet der Körper der E-Mail gewöhnlich nicht besser als der Arbeitsauszug der Netzaktivität. Wenn es um den Verdacht geht, dass eine konkrete Datei das Amt oder die Firma verlassen hat, muss die bloße Zahl der besuchten Seiten nicht reichen. Die Genauigkeit des Mittels soll der Genauigkeit des Grundes folgen. Nicht umgekehrt.
Metadaten sind nicht Inhalt. Der Auszug der Seiten ist kein geöffnetes Fach.
— Jiný Kontext
6. Die Firmenadresse mit Namen ist kein freier Tresor. Ein privates Konto ist eine andere Sache
E-Mail ist nicht eine Art von Raum. Ein privates Gmail oder Seznam, das auf einem Firmencomputer geöffnet ist, ist ein anderer Fall als die Arbeitsadresse jmeno@firma.cz. Eine sachliche Adresse vom Typ info@firma.cz ist noch eine andere. Die Erwartung der Privatsphäre unterscheidet sich nach dem Zweck des Kontos, der Bezeichnung, den inneren Regeln und der Information.
Die fachliche Literatur, die den historischen Standpunkt ÚOOÚ 2/2009 zitiert, beschreibt den Unterschied zwischen privatem Free-Mail, der Arbeitsadresse mit Namen und dem sachlichen Fach. Das private Konto hat die stärkste Erwartung der Privatsphäre. Bei der Arbeitsadresse mit Namen wird typisch eher die Kontrolle der Kopfzeilen als des Inhalts zugelassen. Die sachliche Adresse hat ein geringeres persönliches Element.[10][11]
Hier ist ein Vorbehalt nötig. Der Standpunkt ÚOOÚ 2/2009 fand sich zum September 2026 im Dossier auf der Website des ÚOOÚ nicht als aktuelles Dokument. Deshalb darf man damit nicht als verbindlicher lebender Regel arbeiten. Es ist eine historische Auslegung, die die Literatur zitiert. Den geltenden Rahmen muss man vor allem auf § 316, die Charta, die DSGVO, den EGMR und die tschechische Rechtsprechung bauen.[1][3][8][4][7]
Es ist also kein freier Tresor. Es ist auch keine Firmentafel ohne Privatsphäre. Es ist ein Arbeitswerkzeug, in dem eine persönliche Spur liegen kann. Und die Tiefe des Eingriffs muss dem Grund entsprechen.
7. Angekündigtes Monitoring ist keine versteckte Kamera
Sichtbares Monitoring mit klarer Ankündigung und eine verdeckte Aufnahme sind nicht zwei Fassungen desselben. Sie unterscheiden sich im Eingriff in die Erwartung der Privatsphäre. Der Beschäftigte, der weiß, was gemessen wird, wann und warum, kann sein Verhalten anpassen und sich wehren. Der verdeckte Eingriff nimmt diese Möglichkeit.
Der EGMR beurteilte in der Sache López Ribalda and Others v. Spain versteckte Kameras an den Kassen eines Supermarkts. Die Große Kammer hat am 17. 10. 2019 im Verhältnis 14 : 3 keine Verletzung des Art. 8 der Konvention festgestellt. Wesentlich war aber, dass es um einen der Öffentlichkeit offenen Raum ging, um begründeten Verdacht auf Diebstähle, Verluste und eine Aufnahme, die auf 10 Tage im Jahr 2009 begrenzt war.[5]
Daraus folgt nicht, dass eine versteckte Kamera bei der Arbeit allgemein in Ordnung ist. Daraus folgt, dass ein extremer und enger Sachverhalt vor dem EGMR bestehen kann. Das tschechische § 316 Abs. 2 reiht die verdeckte Überwachung ausdrücklich unter die Eingriffe, die ohne einen schwerwiegenden Grund, der in der besonderen Natur der Tätigkeit besteht, nicht eintreten dürfen, und Absatz 3 verlangt die Information über Umfang und Art der Kontrolle.[1]
Die praktische Unterscheidung ist einfach. Die der Öffentlichkeit offene Kasse ist keine Umkleide. Eine sichtbare Kamera mit Piktogramm ist keine versteckte Kamera. Eine kurze Kontrolle nach Verlusten ist keine flächendeckende Aufsicht zur Sicherheit.
8. Die Einwilligung im Arbeitsvertrag ist keine freie Einwilligung
Im Arbeitsrecht verwandelt sich die Einwilligung leicht in einen Stempel. Der Beschäftigte unterschreibt Vertrag, Anlage oder Richtlinie, weil er die Arbeit will oder behalten will. Gerade deshalb betont WP29 im Standpunkt 2/2017 zur Verarbeitung von Daten am Arbeitsplatz die Ungleichheit der Parteien und die Vorsicht bei der Verwendung der Einwilligung als Rechtstitel.[9]
Die DSGVO verlangt für die Verarbeitung personenbezogener Daten einen Rechtstitel, einen Zweck, Transparenz und Minimierung.[8] Beim Arbeitgeber ist es gewöhnlich angemessener, an eine Rechtspflicht oder ein berechtigtes Interesse zu denken, wenn die Bedingungen erfüllt sind. Das bloße „ich stimme jedem Monitoring zu“ ist schwach, weil der Beschäftigte keine wirkliche Wahl haben muss.
Das bedeutet nicht, dass der Beschäftigte keine Informationen erhalten soll. Im Gegenteil. Die Information ist von der Einwilligung verschieden. Der Arbeitgeber soll beschreiben, was er verarbeitet, warum, wie lange, wer dazu Zugang hat und wie sich der Beschäftigte wehren kann. Bei Eingriffen nach § 316 Abs. 2 arbeitet das Arbeitsgesetzbuch zudem mit der unmittelbaren Information über Umfang und Art der Kontrolle.[1]
Der kurze Satz lautet also: Die Einwilligung ist keine Abdeckplane. Wenn die Kontrolle ohne Einwilligung nicht bestünde, rettet sie die Unterschrift des Beschäftigten gewöhnlich nicht.
9. Bărbulescu ist kein Verbot des betrieblichen IT-Audits. Es sind sechs Kriterien
Bărbulescu v. Romania wird oft als Hammer verwendet. Die eine Seite sagt: Der EGMR hat Arbeitgebern verboten, Nachrichten zu lesen. Die andere sagt: Der Beschäftigte hat ein Firmenkonto genutzt, also hat er verloren. Keine der beiden Abkürzungen entspricht dem Urteil der Großen Kammer vom 5. 9. 2017, das im Verhältnis 11 : 6 eine Verletzung des Art. 8 der Konvention festgestellt hat, weil die innerstaatlichen Gerichte den Schutz des Beschäftigten vor Willkür nicht ausreichend geprüft haben.[4]
Wesentlich ist der Test. Der EGMR hat Fragen um die vorherige Information, den Umfang des Monitorings, den legitimen Grund, die Möglichkeit, weniger invasive Mittel zu verwenden, die Folgen für den Beschäftigten und die Garantien gegen Missbrauch formuliert. Der NSS hat im Jahr 2026 diesen Test in Punkt [27] zusammengefasst und auf den tschechischen Sachverhalt angewendet.[7]
Was zu prüfen ist
Der Test wird nicht über einen Satz in der Richtlinie gemacht. Er wird über den konkreten Eingriff gemacht. Wurde der Beschäftigte im Voraus über Natur und Umfang des Monitorings informiert? War der Eingriff sachlich und zeitlich begrenzt? Bestand ein legitimer Grund? Hätte ein milderes Mittel gereicht? Wozu wurde das Ergebnis verwendet? Gab es Garantien gegen Willkür?
Daraus folgt kein Verbot des IT-Audits. Daraus folgt die Pflicht, seine Tiefe zu tragen. Ein Audit der Zugänge nach einem Datenabfluss ist etwas anderes als das flächendeckende Lesen der Fächer aller Beschäftigten. Der Auszug der Metadaten ist etwas anderes als die Öffnung des Körpers der Nachricht.
10. López Ribalda hat Umkleiden nicht legalisiert
Das Urteil López Ribalda zitiert sich gut falsch. Ja, der EGMR hat darin eine verdeckte Kameraaufnahme ohne vorherige Information zugelassen. Aber es ging um Kassen eines Supermarkts, um den Verdacht auf Diebstähle, Verluste, einen der Öffentlichkeit offenen Raum und eine Aufnahme, die 10 Tage im Jahr 2009 dauerte.[5]
Gerade die Einzelheiten halten das Ergebnis zusammen. Wenn wir sie entfernen, bleibt keine Regel „versteckte Kameras sind erlaubt“. Es bleibt nur eine bequeme Phrase. Umkleide, Toilette, Ruheraum oder Büroküche haben eine andere Intensität der Privatsphäre als die Kasse, an der der Beschäftigte vor Kunden arbeitet.
Das tschechische Regime ist zudem nicht nur eine Abschrift des Art. 8 der Konvention. Das Arbeitsgesetzbuch spricht in § 316 Abs. 2 ausdrücklich von offener und verdeckter Überwachung und bindet sie an einen schwerwiegenden Grund in der besonderen Natur der Tätigkeit des Arbeitgebers.[1] Die Arbeitsinspektion kann das Arbeitsregime auch dann beurteilen, wenn jemand mit einem europäischen Urteil argumentiert.
Es ist kein Verbot von Kameras. Es ist die Anforderung an Ort, Zweck, Sichtbarkeit, Umfang, Information und Aufbewahrungsdauer.
11. Die Hardware kann dem Arbeitgeber gehören. Personenbezogene Daten im Protokoll unterliegen der DSGVO
Das Eigentum am Computer löst das Vermögen. Die DSGVO löst personenbezogene Daten. Diese Regime treffen sich, aber sie verschmelzen nicht. Der Arbeitgeber kann das Notebook besitzen und zugleich Verantwortlicher der Daten im Protokoll, in der E-Mail-Kopfzeile, in der Kameraaufnahme oder im Export aus einem Sicherheitswerkzeug sein.[8]
Der Verantwortliche nach der DSGVO bestimmt Zwecke und Mittel der Verarbeitung. Er muss einen Rechtstitel nach Art. 6 haben, die Grundsätze nach Art. 5 einhalten und nach Art. 13 informieren.[8] Das Gesetz Nr. 110/2019 Sb. ergänzt den tschechischen Rahmen der Verarbeitung personenbezogener Daten.[15] Bei tieferen oder systematischen Eingriffen kann auch eine Folgenabschätzung in Betracht kommen, wenn die Bedingungen des Art. 35 DSGVO erfüllt sind.[8]
Der praktische Fehler ist der Satz: „Es ist unser Computer, also können wir mit den Daten beliebig umgehen.“ Nein. Es ist unser Computer, also können wir Vermögen schützen und die Arbeit organisieren. Wenn dabei personenbezogene Daten über den Beschäftigten entstehen, treten Zweck, Minimierung, Transparenz und Zugangsrechte ins Spiel.
Die Charta der Grundrechte der EU schützt das Privat- und Familienleben und den Schutz personenbezogener Daten in Art. 7 und 8.[21] Die tschechische Charta schützt in Art. 13 das Geheimnis der Nachrichten, die per Telefon, Telegraf oder einer anderen ähnlichen Einrichtung aufgegeben werden.[3] Das Firmeneigentum schaltet diese Schichten nicht aus.
Die DSGVO zwingt den Arbeitgeber zugleich, auch scheinbar technische Einzelheiten in menschlicher Sprache zu beschreiben. Das Protokoll ist nicht nur eine Zeile im System. Es ist eine Angabe über einen konkreten Menschen, seinen Arbeitstag, manchmal über seine Kontakte und Gewohnheiten. Die Kameraaufnahme ist nicht nur ein Sicherheitsbild. Es ist die Aufzeichnung von Bewegung und Verhalten. Die E-Mail-Kopfzeile ist nicht nur eine betriebliche Marke. Sie kann Beziehung, Zeit und Richtung der Kommunikation zeigen. Deshalb reicht nicht, dass die Regel die IT-Abteilung kennt. Sie muss auch dem Menschen verständlich sein, den sie betrifft.
Das hat eine betriebliche Folge. Der Arbeitgeber sollte zeigen können, welche Angaben automatisch gesammelt werden, welche erst beim Vorfall und welche ohne besondere Genehmigung nicht geöffnet werden dürfen. Sonst wird aus dem Zugang des Verantwortlichen die informelle Macht des Administrators. Das Recht beurteilt dabei nicht nur die technische Möglichkeit, sondern auch den Zweck und die gesetzten Garantien.
12. Der NSS hat drei Tage nach dem Abfluss getragen. Eine flächendeckende Lektüre zur Sicherheit hätte er nicht getragen
Das Urteil des NSS 6 Ads 21/2026-27 ist gerade deshalb wichtig, weil es die Kontrolle des Inhalts der Dienstpost in konkreten Grenzen zugelassen hat. Es ging um ein Dienstverhältnis, einen konkreten Abfluss personenbezogener Daten, einen Staatsbediensteten des ČÚZK, das Zeitfenster 2.–4. 1. 2024 und die Information durch eine innere Vorschrift und durch eine Meldung bei der Anmeldung.[7]
Kommentare zum Urteil betonen, dass der NSS einen engen Eingriff nach dem Vorfall beurteilt hat und dass Arbeitgeber daraus keine freie Lizenz zum vorbeugenden Lesen der Post ableiten sollen.[19][22] Das ist die richtige Lektüre. Das Urteil ist eher eine Karte der Bedingungen als eine Erlaubnis.
Der NSS hat den Bărbulescu-Test angewendet und unter anderem Grund, Umfang, Information und Verwendung der Ergebnisse bewertet.[7] Würde der Arbeitgeber alle Fächer jeden Monat zur Sicherheit lesen, fehlte ihm gerade das, was das Urteil hält: ein konkreter Vorfall, begrenzte Zeit, begrenzter Personenkreis und der Zusammenhang mit dem Schutz der Daten.
Daraus folgt nicht, dass der Inhalt der Post immer unantastbar ist. Daraus folgt, dass die Öffnung des Inhalts ein spätes und enges Werkzeug ist. Zuerst kommen Vorbeugung, Berechtigungen, Schulung, technische Begrenzung, Kopfzeilen, Audit der Zugänge und andere mildere Wege.
Das Urteil ist auch für den Beschäftigten nützlich. Es sagt ihm nicht, dass das Arbeitsfach ein privates Tagebuch ist. Es sagt ihm, dass auch das Dienstfach kein Raum ohne Regeln ist. Wenn der Beschäftigte im Voraus informiert ist, in einem Dienstkonto arbeitet und ein konkreter Verdacht auf einen Datenabfluss entsteht, kann seine Erwartung der Privatsphäre enger sein. Wenn der Arbeitgeber aber eine flächendeckende Aufsicht ohne klaren Grund, ohne Umfang und ohne Kontrolle der Verwendung laufen lässt, verschwindet die Ähnlichkeit mit dem NSS.
13. Eine Kamera im Büro mit Küche ist keine Kamera an der Kasse
Das Regionalgericht in Ostrava behandelte im Urteil 22 Ad 11/2023-29 eine Geldbuße von 28 000 Kč für Kameras im Büro mit Küche ohne schwerwiegenden Grund.[18] Die Zahl ist eine Geldbuße in einer Gerichtssache, nicht der durchschnittliche Preis für ein schlecht gesetztes Kamerasystem. Wichtiger als der Betrag ist die Unterscheidung des Raums.
Die Kasse eines Supermarkts ist der Ort, an dem der Beschäftigte vor dem Kunden arbeitet und an dem Vermögensverluste gelöst werden. Die Büroküche ist Hinterraum. Umkleide und Toilette sind noch empfindlicher. Den Schluss aus einem Raum in den anderen ohne diese Schicht zu übertragen ist ein methodischer Fehler.
Die Methodik des ÚOOÚ zu Kamerasystemen arbeitet mit der Information und den Anforderungen der DSGVO als Leitfaden für den Verantwortlichen.[14] Sie ist kein Ersatz des Arbeitsgesetzbuchs. Sie hilft aber, praktische Fragen zu stellen: warum die Kamera existiert, was sie erfasst, wie lange die Aufnahme gehalten wird, wer sie sehen darf, ob ein Piktogramm existiert und wo der Beschäftigte die zweite Ebene der Informationen findet.
Die Kamera ist also immer auch eine räumliche Frage. Dieselbe Einrichtung kann je nachdem, wohin sie zeigt, eine andere rechtliche Bedeutung haben.
14. Die Obergrenze der Geldbuße ist nicht der Durchschnitt der verhängten Geldbußen
Das Recht arbeitet mit Obergrenzen. Die Medien machen daraus oft die erwartete Geldbuße. Das ist ein Fehler. Das Gesetz über die Arbeitsinspektion setzt in § 24a für die Störung der Privatsphäre des Beschäftigten nach umgrenzten Tatbeständen eine Obergrenze bis 1 000 000 Kč und für die fehlende Information über die Kontrolle nach § 316 Abs. 3 eine Obergrenze bis 100 000 Kč fest.[13]
Die DSGVO hat ein eigenes Sanktionsregime. Bei ausgewählten Verletzungen nach Art. 83 Abs. 5 kann die Obergrenze bis 20 000 000 EUR oder 4 % des gesamten weltweiten Jahresumsatzes betragen, je nachdem, welcher Wert höher ist.[8] Das ist die Obergrenze einer Verwaltungsbuße im europäischen Regime, keine automatische Geldbuße für eine Arbeits-E-Mail.
Diese Zahlen muss man mit Einheit, Zeitraum und Regime lesen. Es sind Obergrenzen in Rechtsvorschriften, die nach dem Dossier zum Jahr 2026 gelten. Sie messen nicht den Durchschnitt der verhängten Sanktionen. Sie messen nicht die Wahrscheinlichkeit der Kontrolle. Sie messen nicht den Reputationsschaden und nicht die Kosten des Streits.
Der Sinn der Obergrenzen ist ein anderer. Sie zeigen, dass Monitoring nicht nur eine interne IT-Einstellung ist. Es kann sich in eine arbeitsrechtliche und datenschutzrechtliche Sache mit Verantwortung vor zwei Arten von Organen verwandeln: der Arbeitsinspektion und dem ÚOOÚ.
15. Das Ergebnis darf nur dem Zweck der Kontrolle dienen
Die Rechtmäßigkeit der Gewinnung ist eine Frage. Die Verwendung des Ergebnisses ist die zweite. Der Arbeitgeber kann einen Grund haben, den Zugang zu Daten nach einem Vorfall zu prüfen. Das bedeutet noch nicht, dass der Inhalt der Kommunikation in der Firma zirkulieren, in einem unbegrenzten Ordner enden oder zu einem Zweck verwendet werden darf, der mit dem ursprünglichen Grund nicht zusammenhängt.
Die DSGVO steht auf dem Grundsatz der Zweckbindung und der Minimierung.[8] Wenn das Protokoll für einen Sicherheitsvorfall gesammelt wird, soll es zur Lösung des Vorfalls verwendet werden. Wenn die Kamera Vermögen schützt, soll sie nicht zum Werkzeug der dauerhaften Bewertung jeder Bewegung werden, sofern dafür kein eigener Grund und keine Information bestehen.
Der NSS hat im Urteil 6 Ads 21/2026-27 auch bewertet, dass die Ergebnisse der Kontrolle nicht zu einem anderen Zweck verwendet wurden.[7] Das ist keine Formalität. Gerade der Zweck hält den Eingriff in Grenzen. Sobald das Ergebnis außerhalb des ursprünglichen Rahmens verwendet wird, ändert sich auch die Beurteilung der Verhältnismäßigkeit.
Die praktische Regel lautet: Vor der Sammlung muss klar sein, wohin das Ergebnis geht. Wer es sieht, wie lange es aufbewahrt wird, ob es in der Disziplinarakte endet, ob es dem Anwalt übergeben wird und wann es gelöscht wird. Ohne das ist die Kontrolle nur eine offene Schublade.
16. Die Checkliste vor dem Eingriff sagt mehr als der Satz es ist unser Computer
Eine gute Kontrolle beginnt nicht mit der Installation eines Werkzeugs. Sie beginnt mit der Beschreibung des Eingriffs. Was genau wollen wir feststellen? Welchen Vorfall oder welches Risiko lösen wir? Welche Angaben reichen dazu? Welches Rechtsregime schaltet sich ein? Wer wird das Ergebnis lesen?
Drei Tests der Tiefe des Eingriffs
Der erste Test ist das Objekt. Wird Firmenequipment kontrolliert, ein Firmenkonto, ein privates Konto, das auf dem Firmencomputer geöffnet ist, oder ein privates Telefon? Jedes Objekt trägt eine andere Erwartung der Privatsphäre.
Der zweite Test ist der Inhalt. Werden Zeit und URL erfasst, die Kopfzeile der Post, der Körper der E-Mail, Bild, Ton oder eine GPS-Lage? Wenn es um den Inhalt der Nachricht, das Abhören oder die verdeckte Überwachung geht, gelangen wir in das strengere Regime des § 316 Abs. 2.[1]
Der dritte Test ist der Grund. Geht es um einen konkreten Abfluss, einen Vermögensverlust oder einen Sicherheitsvorfall, oder nur um Vorbeugung ohne Grenze? Bărbulescu und der NSS verlangen mehr als die allgemeine Möglichkeit, dass etwas geschehen könnte.[4][7]
Vor der Einführung des Monitorings
Der Arbeitgeber soll eine schriftliche und verständliche Mitteilung über Umfang und Art der Kontrolle haben, wenn er eine Kontrolle nach § 316 Abs. 2 einführt.[1] Daneben muss er nach der DSGVO über die Verarbeitung personenbezogener Daten, den Zweck, den Rechtstitel, die Empfänger und die Rechte der betroffenen Person informieren.[8]
Wie man testet, ob ein milderes Mittel reicht
Zuerst bieten sich die Sperre von Kategorien von Websites, die Begrenzung von Berechtigungen, das Protokoll der Kopfzeilen, Schulung, die zweiköpfige Genehmigung, das Audit der Zugänge oder die Kontrolle nur weniger Tage an. Erst wenn der mildere Weg zum Schutz des konkreten Interesses nicht reicht, hat es Sinn, über den Inhalt nachzudenken. Und auch dann nur im engen Fenster.
Wer Zweifel hat, löst zwei Adressen. Das Gebietsinspektorat der Arbeit beurteilt die arbeitsrechtliche Seite. ÚOOÚ beurteilt personenbezogene Daten. Die Erfüllung der einen Schicht entschuldigt automatisch nicht die Verletzung der anderen.[2][8]
Die Checkliste hat noch einen Vorteil. Sie zwingt, das Ende des Eingriffs zu schreiben. Wann endet das Monitoring? Wann wird die Aufnahme gelöscht? Wer bestätigt, dass der Zweck erfüllt ist oder weggefallen ist? Ohne Ende verwandelt sich auch eine angemessene Kontrolle leicht in eine dauerhafte Infrastruktur. Und eine dauerhafte Infrastruktur sucht dann neue Gründe für sich selbst.
Die Praxis des ÚOOÚ zeigt, dass diese Fragen nicht nur Schulung für Juristen sind. Die Kontrollunterlagen der Behörde arbeiten mit Anwesenheit, GPS, Kameras und § 316 Abs. 2 als gewöhnlicher Grenze zwischen der Leitung der Arbeit und dem Eingriff in die Privatsphäre.[20] Je früher die Firma diese Grenze zeichnet, desto weniger muss sie später erklären, warum sie sie überschritten hat.
17. Die versteckte Kostenstelle ist die Privatsphäre, die die Richtlinie nur aufgezählt hat
Die interne Richtlinie erzeugt oft das Gefühl einer fertigen Sache. Der Beschäftigte hat bestätigt, dass er überwacht werden kann. Das IT-Werkzeug läuft. HR weiß, wo sie den Auszug findet. Der Jurist hat einen Absatz über den Schutz des Vermögens. Der wirkliche Eingriff spielt sich aber nicht im Satz der Richtlinie ab. Er spielt sich darin ab, was gesammelt wird, wie lange, bei wem, in welchem Raum, nach welchem Grund und wer es liest.
Deshalb soll die Richtlinie eher eine Karte als ein Schild sein. Sie soll dem Beschäftigten sagen, was er erwarten kann, und dem Arbeitgeber Bremsen setzen. Wenn sie nur alle möglichen Eingriffe aufzählt, aber das gewöhnliche Betriebsprotokoll nicht von der Öffnung des Inhalts trennt, hilft sie keiner Seite. Der Beschäftigte weiß nicht, welche Privatsphäre wirklich bleibt. Der Arbeitgeber weiß nicht, wann er die eigene Regel überschreitet.
Die versteckte Kostenstelle ist deshalb nicht nur der Verlust des Vertrauens. Es ist auch die Ungenauigkeit. Die Firma, die Metadaten nicht vom Inhalt unterscheidet, verwendet ein zu starkes Werkzeug auf ein schwaches Problem. Die Firma, die die Kasse mit der Küche vertauscht, überträgt ein fremdes Urteil in einen anderen Raum. Die Firma, die auf die Einwilligung im Vertrag baut, übersieht die Ungleichheit der Parteien. Die Firma, die aus dem NSS 2026 eine flächendeckende Regel macht, übersieht drei Tage, einen Beschäftigten und einen konkreten Abfluss.
Daraus folgt nicht, dass der Arbeitgeber wehrlos ist. Daraus folgt, dass der Schutz von Arbeit, Vermögen und Daten eine genaue Tiefe braucht. Manchmal reichen das Verbot der privaten Nutzung und ein angemessener Auszug. Manchmal ist ein Audit nötig. Manchmal kann in einer engen Sache auch der Inhalt der Dienstpost kommen. Aber jedes Mal fragen wir, ob der Eingriff Grund, Information, Verhältnismäßigkeit und einen milderen Weg trägt.
In dem Augenblick, in dem der Arbeitgeber ein Notebook kauft, kauft er ein Arbeitsmittel. In dem Augenblick, in dem er verfolgt, was der Mensch darauf tut, tritt er in Privatsphäre und personenbezogene Daten ein. Und dann lautet die Frage nicht mehr: „Ist das unser Computer?“
Sie lautet: Wie tief reicht der Eingriff — und warum gerade so tief?
Verwandte Texte dieser Reihe
- Darf die Polizei Ihr Mobiltelefon durchsuchen? — anderer Titel, anderer Filter. Ein betriebliches IT-Audit ist keine strafrechtliche Besichtigung.
- Was weiß Ihr Mobiltelefon alles über Sie? — Schichten des Geräts gegenüber dem Arbeitskonto.