Abschnitt: Gerechtigkeit & richtig | Technologie & KI Autor: V Leselänge: ~27 Min Quellen und weiterführende Literatur: 22 Artikel Themen: Arbeitgeber, E-Mail, Überwachung, § 316, DSGVO, Bărbulescu, Metadaten, Datenschutz SEO / Arbeitstitel: Darf ein Arbeitgeber Ihre E-Mails lesen und Ihren Computer überwachen?
Darf ein Arbeitgeber Ihre E-Mails lesen und Ihren Computer überwachen? Die Frage klingt einfach, bis wir bemerken, dass wir eine Sache nicht vergleichen. Es kann sinnvoll sein, die Zeit auf der Website zu überprüfen, und das Lesen des Nachrichtentexts ist immer noch ein Übermaß. Eine Richtlinie kann existieren und dennoch keinen Geltungsbereich haben. Eine versteckte Kamera an der Kasse kann in einem Urteil auffallen, in der Umkleidekabine darf sie jedoch nicht aufstehen. Eine Einwilligung in einen Arbeitsvertrag kann unterzeichnet werden, ohne dass es sich dabei um eine freie Einwilligung im Sinne der DSGVO handelt.[9] Daher wird im folgenden Text nicht danach gefragt, wem der Computer gehört. Er fragt, wie tief die Intervention geht – und ob sie Vernunft, Informationen und eine sanftere Art und Weise mit sich bringt.
1. Einhundertzwei Stunden im Internet in einem September, der Text einer geschäftlichen E-Mail im Januar ist nicht geöffnet
Stellen wir uns ein Treffen nach dem Vorfall vor. Arbeitgeber sagt: Laptop und Klemmbrett name@firma.cz sie gehören uns. Der Mitarbeiter beachtet Artikel 13 der Charta und die Vertraulichkeit von Nachrichten.[3] Es zeigt eine Liste der besuchten Seiten und der Zeit an. Die Personalabteilung bereitet ein Disziplinarverfahren vor. Die Arbeitsaufsichtsbehörde liest § 316 des Arbeitsgesetzbuches. ÚOOÚ fragt nach dem Administrator der personenbezogenen Daten und dem Rechtstitel. Alle reden von Kontrolle. Aber jeder denkt an eine andere Interventionstiefe.
Im Fall 21 Cdo 1771/2011 befasste sich der Oberste Gerichtshof mit einer Liste der Internetaktivitäten eines Mitarbeiters für den Zeitraum 1.–30. 9. 2009. Tatsächlich wurden 102,97 Stunden nicht arbeitsbezogenes Surfen festgestellt. Das Gericht betonte, dass es nicht um das Auslesen des Inhalts von E-Mails, SMS oder MMS gehe, sondern um die Überprüfung der Nutzung von Arbeitsressourcen.[6]
Die Expertenanalyse derselben Entscheidung auf epravo.cz funktioniert mit dem gleichen Schnitt: Für die Beurteilung der privaten Nutzung des Internets sei die Aufzeichnung der Aktivität ausschlaggebend, nicht die Eröffnung der privaten Kommunikation.[17] Dies ist wichtig, da der Streit oft als pauschale Zustimmung zur Überwachung dargestellt wird. Eine genauere Lesart sagt etwas Engeres aus.
Mit einer anderen Situation befasste sich das Oberste Verwaltungsgericht im Urteil 6 Ads 21/2026-27 vom 18. 3. 2026. Nach einem konkreten Verlust personenbezogener Daten bei der ČÚZK wurde der Inhalt der Arbeitspost eines Beamten in einem engen Zeitfenster vom 2.–4. 1. 2024 überprüft. Die Disziplinarmaßnahme betrug 15 % des Gehalts für 3 Monate; Es handelt sich um eine Sanktion in einer Amtssache, nicht um eine Gebühr für das Lesen von E-Mails.[7]
Auf den ersten Blick handelt es sich hier um einen Streit darüber, ob man E-Mails lesen kann oder nicht. Tatsächlich vergleichen wir die Aktivitätsauflistung mit dem Öffnen von E-Mail-Inhalten. Daher können sie alle teilweise richtig und der gemeinsame Satz dennoch falsch sein. Firmengeräte sind kein privater Safe. Aber selbst der Besitz eines Computers berechtigt nicht dazu, jede Nachricht zu lesen.
Ein Firmencomputer ist kein privater Tresor. Auch die Erlaubnis zum Lesen von Liebesbriefen ist nicht vorgesehen.
– Jiný Kontext
2. Die Arbeitsplatzkontrolle besteht aus mindestens sechs Ebenen
Die erste Ebene ist der Besitz von Vermögenswerten. Laptop, Telefon, geschäftliche E-Mail und Firmennetzwerk können Eigentum des Arbeitgebers sein. Abschnitt 316 Abs. 1 des Arbeitsgesetzbuchs verbietet es Arbeitnehmern, die Produktions- und Arbeitsressourcen des Arbeitgebers, einschließlich Computertechnologie und Telekommunikationsausrüstung, ohne Zustimmung für den persönlichen Gebrauch zu nutzen; Der Arbeitgeber kann die Einhaltung dieses Verbots in angemessener Weise überwachen.[1]
Die zweite Ebene ist die Erwartung der Privatsphäre am Arbeitsplatz. In den Entscheidungen Halford, Copland und Bărbulescu geht der EGMR davon aus, dass auch Kommunikation aus dem Arbeitsumfeld unter das Privatleben und die Korrespondenz fallen kann.[16][12][4] NSS 2026 zitiert diese Zeile neben Artikel 13 der Charta.[7][3]
Die dritte Ebene ist die Tiefe des Eingriffs. Das Blockieren von Websites ist nicht dasselbe wie die Protokollierung von Zeit und URLs. Das Zeitprotokoll und die URL stimmen nicht mit dem E-Mail-Header überein. Der Header ist nicht der Hauptteil der Nachricht. Der Nachrichtentext ist kein Abhöranruf. Eine Kamera an einer öffentlich zugänglichen Kasse ist keine Kamera im Hintergrund der Mitarbeiter.
Die vierte Ebene sind nebeneinander liegende Rechtsordnungen. Das Arbeitsgesetzbuch befasst sich mit der arbeitsrechtlichen Grenze. Charter schützt Privatsphäre und Nachrichten. Die DSGVO befasst sich mit personenbezogenen Daten, Zweck, Datenminimierung, Benachrichtigung und Rechtsanspruch. Das Arbeitsaufsichtsgesetz sieht Straftaten vor. Bei Kameras kommt die ÚOOÚ-Methodik als Leitfaden ins Spiel.[1][8][13][14]
Die fünfte Ebene ist Transparenz und Befreiung. Grundsätzlich gilt, dass bei einem Eingriff des Arbeitgebers nach § 316 Abs. 2 vorab über Umfang und Art der Kontrolle zu informieren ist.[1] Die Ausnahme für verdeckte Eingriffe in die europäische Rechtsprechung ist an einen starken und konkreten Grund geknüpft und nicht an die Zweckmäßigkeit der Überwachung.[5]
Die sechste Ebene ist die Anwendung des Ergebnisses. Ein Protokoll oder eine E-Mail, die zum Schutz von Eigentum oder Daten beschafft wurde, sollte nicht als Unterhaltung im Kollektiv enden. Im Jahr 2026 stellte die NSS ausdrücklich fest, dass die Ergebnisse der Inspektion nicht für einen anderen Zweck verwendet wurden.[7]
3. Die beste Kontrolle ist diejenige, deren Eingriff Sie erklären können
Technologie kann viele Dinge protokollieren. Das ist nicht die Antwort. Die richtige Frage ist, welcher Eingriff dem Arbeitnehmer, dem Gericht, der Arbeitsaufsichtsbehörde und der ÚOOÚ erklärt werden kann. Beruht die Erklärung nur auf dem Satz „es ist unser Computer“, ist sie bereits vor dem ersten Logo schwach.
| Eine Art Misserfolg | Wie sieht er aus? | So testen Sie | Was wird den Schaden begrenzen? |
|---|---|---|---|
| Ersetzung von Abs. 1 und Abs. 2 | Die URL-Anweisung gilt als Erlaubnis, den Text der E-Mail zu lesen | Vergleiche NS 21 Cdo 1771/2011 mit der Diktion von § 316 Abs. 2 | Metadaten vor Inhalt und enger Begründung |
| Richtlinie ohne Geltungsbereich | Der Satz „wir dürfen überwachen“ sagt nicht aus, wie | Wenden Sie die Bărbulescu-Kriterien und § 316 Abs. 3 an | Direkte Informationen zu Umfang und Methode |
| Quadratmeterzahl, um sicher zu sein | Auslesen aller Postfächer ohne konkreten Vorfall | Vergleiche NSS: ein Mitarbeiter, 2.–4. 1. 2024, Datenschutzverletzung | Zeitfenster, Thema und Subsidiarität |
| Versteckte Kamera jenseits des Extrems | Versteckte Aufnahme im Hintergrund, im Ankleidezimmer oder in der Küche | Vergleichen Sie López Ribalda und KS Ostrava | Sichtbarkeit, öffentlicher Raum und das aus gutem Grund |
| Einwilligung als Stempel | Die Einwilligung im Vertrag soll den DSGVO-Titel ersetzen | Lesen Sie WP29 2/2017 zum Thema Parteienungleichheit | Berechtigtes Interesse oder Verpflichtung plus Informationen |
| Ausländischer Zweck des Ergebnisses | Das Audit-Protokoll wird für Verleumdungen oder andere Druckzwecke verwendet | Überprüfungszweck, Zugriff und Aufbewahrungsfrist | Zugriffsrechte und Auditierung |
Interpretationsschema: In der Tabelle steht nicht, dass jeder Scheck verboten ist. Es zeigt die Stellen, an denen vernünftige Kontrolle zu einem tieferen Eingriff ohne Unterstützung wird.
Ein guter Prozess beginnt daher nicht mit dem, was die IT aktivieren kann. Es beginnt damit, welchen Schaden die Kontrolle verhindern soll. Andernfalls beginnt die Erweiterung des Tools aus Bequemlichkeit und nicht aus Gründen der Vernunft. Zuerst werden mehr Websites protokolliert, dann mehr Kopfzeilen, dann werden mehrere Nachrichten geöffnet, und am Ende weiß niemand genau, wann die Kontrolle über die Arbeitsressource zur Überwachung der Privatsphäre wurde. Es ist dieser Übergang, der sichtbar sein muss, bevor ein Streit entsteht.
4. Die Kontrolle der Ressourcennutzung ist keine Kontrolle des E-Mail-Inhalts
§ 316 des Arbeitsgesetzbuches ist kurz, aber gerade wegen der Schichtunterscheidung wichtig. Abs. 1 zielt auf die Verwendung der Mittel des Arbeitgebers ab. Ein Arbeitnehmer darf Arbeitsmittel nicht ohne Zustimmung für den persönlichen Gebrauch nutzen, und der Arbeitgeber kann diese Regel angemessen kontrollieren.[1] Auf dieser Grundlage wird überprüft, ob die Technologie des Unternehmens nicht missbraucht wird.
Abs. 2 ist eine weitere Ebene. Es verbietet dem Arbeitgeber, die Privatsphäre des Arbeitnehmers am Arbeitsplatz und in öffentlichen Bereichen durch offene oder verdeckte Überwachung, Abhören von Anrufen, Überprüfen von E-Mails oder Korrespondenz zu verletzen, ohne dass aufgrund der besonderen Art seiner Tätigkeit ein triftiger Grund vorliegt.[1]
In Abs. 3 heißt es dann, dass der Arbeitgeber bei Vorliegen eines wichtigen Grundes nach Abs. 2 den Arbeitnehmer unmittelbar über den Umfang der Prüfung und die Art und Weise ihrer Durchführung informieren muss.[1] Die Richtlinie ist also kein Zauberwort. Sie müssen sagen, was wie und warum überprüft wird.
Daraus folgt nicht, dass der Arbeitgeber die elektronische Spur niemals überprüfen darf. Daraus folgt, dass eine angemessene Kontrolle der Ressourcennutzung und die Kontrolle des Nachrichteninhalts nicht dasselbe sind. Die erste Frage ist, ob und wie lange. Der zweite fragt, was genau geschrieben wurde.
5. Metadaten sind kein Inhalt
Metadaten sind nicht bedeutungslos. Sie zeigen, wer wann, über welchen Dienst, mit welcher Länge oder Lautstärke kommuniziert hat. Für eine Website können sie die besuchte Domain und die besuchte Zeit anzeigen. Für eine E-Mail können sie den Absender, den Empfänger, den Betreff, die Uhrzeit oder die Größe anzeigen. All das kann empfindlich sein.
Aber der Inhalt ist etwas anderes. Der Text einer E-Mail, ein Anhang, der Text einer privaten Nachricht oder die Aufzeichnung eines Anrufs gehen tiefer. Im Urteil 21 Cdo 1771/2011 stützte sich der Oberste Gerichtshof gerade darauf, dass der Arbeitgeber nicht den Inhalt von E-Mails, SMS oder MMS überprüfte, sondern eine Auflistung von Aktivitäten im Internet und der außerhalb der Arbeit verbrachten Zeit.[6]
Das ist die praktische Kraft des Wortes Metadaten. Es entschuldigt nicht die allgemeine Aufsicht. Es hilft, ein milderes Mittel zu finden. Wenn sich ein Arbeitgeber mit der Frage befasst, ob ein Arbeitnehmer Arbeitszeit außerhalb der Arbeit verbringt, kann die Auflistung der Zeit und Kategorien weniger aufdringlich sein als das Öffnen einer persönlichen Kommunikation. Wenn es sich um ein konkretes Datenleck handelt, kann sich die Frage auf den Inhalt verlagern. Doch dann wächst der Anspruch an Vernunft, Umfang und Garantien.
Metadaten zeigen auch besser an, wann man aufhören sollte. Wenn der Dump ausreicht, um einen Regelverstoß zu bestätigen, gibt es keinen Grund, den Nachrichtentext nur aus Neugier zu öffnen. Reicht die Aussage nicht aus, muss der nächste Schritt eine eigene Begründung erhalten. Diese Reihenfolge ist keine bürokratische Ausschmückung. Es ist eine Möglichkeit, nicht jedes Problem in die tiefgreifendste Intervention zu verwandeln.
Das Beispiel ist einfach. Wenn es um den Verdacht übermäßigen privaten Surfens geht, ist der Text einer E-Mail in der Regel keine bessere Antwort als eine Stellenanzeige mit Webaktivitäten. Besteht der Verdacht, dass eine bestimmte Datei außerhalb des Büros oder Unternehmens gelangt ist, reicht die bloße Anzahl der besuchten Seiten möglicherweise nicht aus. Die Präzision des Mittels sollte der Präzision des Grundes folgen. Nicht umgekehrt.
Metadaten sind kein Inhalt. Der Seitendump ist keine offene Box.
– Jiný Kontext
6. Eine Geschäftsadresse mit Namen ist kein kostenloser Tresor. Anders verhält es sich mit einem Privatkonto
E-Mail ist keine bestimmte Art von Speicherplatz. Bei einem persönlichen Gmail-Konto oder einer Liste, die auf einem Arbeitscomputer geöffnet ist, handelt es sich um einen anderen Fall als bei einer Arbeitsadresse name@firma.cz. Physischer Adresstyp info@firma.cz ist immer noch anders. Die Datenschutzerwartungen variieren je nach Kontozweck, Bezeichnung, internen Regeln und Berichten.
In der Fachliteratur wird unter Berufung auf die historische Meinung des Amtes für Gesundheits- und Sozialinspektion 2/2009 der Unterschied zwischen privater Gratis-Mail, einer Arbeitsadresse mit Namen und einem Postfach beschrieben. Ein privates Konto stellt den höchsten Anspruch an Privatsphäre dar. Bei einer Arbeitsadresse mit Namen dürfen in der Regel eher die Kopfzeilen als der Inhalt überprüft werden. Eine physische Adresse hat einen geringeren persönlichen Anteil.[10][11]
Hier ist ein Vorbehalt angebracht. Das Gutachten ÚOOÚ 2/2009 wurde in der Datei auf der ÚOOÚ-Website nicht als aktuelles Dokument mit Stand September 2026 gefunden und kann daher nicht als verbindliche Lebensregel herangezogen werden. Es handelt sich um eine historische Interpretation, die in der Literatur zitiert wird. Der gültige Rahmen muss hauptsächlich auf § 316, der Charta, der DSGVO, dem EGMR und der tschechischen Rechtsprechung aufbauen.[1][3][8][4][7]
Es handelt sich also nicht um einen kostenlosen Safe. Es ist nicht einmal ein Firmen-Bulletinboard ohne Privatsphäre. Es ist ein Arbeitsgerät, in dem eine persönliche Spur hinterlassen werden kann. Und die Tiefe des Eingriffs muss dem Grund entsprechen.
7. Bei der gemeldeten Überwachung handelt es sich nicht um eine versteckte Kamera
Sichtbare Überwachung mit klarer Benachrichtigung und versteckte Aufzeichnung sind nicht zwei Versionen derselben Sache. Sie unterscheiden sich in ihrem Eingriff in die Erwartungen an die Privatsphäre. Ein Mitarbeiter, der weiß, was wann und warum gemessen wird, kann sein Verhalten anpassen und sich verteidigen. Versteckter Treffer macht diese Option weg.
Im Fall López Ribalda und andere gegen Spanien befasste sich der EGMR mit versteckten Kameras an Supermarktkassen. Am 17. 10. 2019 stellte die Große Kammer im Verhältnis 14 : 3 fest, dass kein Verstoß gegen Artikel 8 der Konvention vorliegt. Aber das Wesentliche war, dass es sich um einen öffentlich zugänglichen Raum handelte, ein begründeter Verdacht auf Diebstahl oder Verlust bestand und die Aufzeichnung im Jahr 2009 auf 10 Tage begrenzt war.[5]
Dies bedeutet nicht, dass eine versteckte Kamera bei der Arbeit grundsätzlich in Ordnung ist. Daraus folgt, dass ein extremer und enger Sachverhalt vor dem EGMR bestehen kann. Der tschechische § 316 Abs. 2 stuft die verdeckte Überwachung ausdrücklich als einen der Eingriffe ein, die aufgrund der besonderen Art der Tätigkeit nicht ohne triftigen Grund erfolgen dürfen, und Abs. 3 verlangt Angaben über den Umfang und die Art der Kontrolle.[1]
Die praktische Unterscheidung ist einfach. Die öffentlich zugängliche Abendkasse ist keine Garderobe. Eine sichtbare Kamera mit Piktogramm ist keine versteckte Kamera. Eine Kurzkontrolle nach Verlusten ist sicher keine Pauschalkontrolle.
8. Die Einwilligung im Arbeitsvertrag ist keine freie Einwilligung
Im Arbeitsrecht wird die Einwilligung leicht zum Stempel. Ein Mitarbeiter unterzeichnet einen Vertrag, eine Ergänzung oder eine Weisung, weil er seinen Arbeitsplatz behalten möchte oder möchte. Aus diesem Grund betont die WP29 in der Stellungnahme 2/2017 zur Datenverarbeitung am Arbeitsplatz die Ungleichheit der Parteien und Vorsicht bei der Verwendung der Einwilligung als Rechtstitel.[9]
Die DSGVO verlangt Rechtstitel, Zweck, Transparenz und Minimierung für die Verarbeitung personenbezogener Daten.[8] Für den Arbeitgeber ist es bei Vorliegen der Voraussetzungen sinnvoller, eine rechtliche Verpflichtung oder ein berechtigtes Interesse zu berücksichtigen. „Ich stimme jeder Überwachung zu“ allein ist schwach, da der Mitarbeiter möglicherweise keine echte Wahl hat.
Dies bedeutet nicht, dass der Mitarbeiter keine Informationen erhalten sollte. Im Gegenteil. Information unterscheidet sich von Einwilligung. Der Arbeitgeber muss beschreiben, was er verarbeitet, warum, wie lange, wer Zugriff darauf hat und wie sich der Arbeitnehmer dagegen wehren kann. Bei Eingriffen nach § 316 Abs. 2 arbeitet das Arbeitsgesetzbuch auch mit unmittelbaren Angaben über Umfang und Art der Kontrolle.[1]
Der kurze Satz lautet also: Einwilligung ist kein Deckblatt. Würde der Scheck ohne Zustimmung nicht zustande kommen, reicht die Unterschrift des Mitarbeiters in der Regel nicht aus, um ihn zu sichern.
9. Bărbulescu ist kein Verbot der IT-Prüfung von Unternehmen. Es gibt sechs Kriterien
Bărbulescu v. Rumänien wird oft als Hammer verwendet. Die eine Seite sagt: Der EGMR hat Arbeitgebern das Lesen von Berichten verboten. Der zweite besagt: Der Mitarbeiter nutzte ein Firmenkonto, also verlor er. Keine einzige Abkürzung entspricht dem Urteil der Großen Kammer vom 5. 9. 2017, das mit einem Verhältnis von 11 : 6 einen Verstoß gegen Artikel 8 der Konvention feststellte, weil die nationalen Gerichte den Schutz des Arbeitnehmers vor Willkür nicht ausreichend überprüft hätten.[4]
Der Test ist unerlässlich. Der EGMR formulierte Fragen zu Vorabinformationen, Umfang der Überwachung, berechtigtem Grund, der Möglichkeit, weniger invasive Mittel einzusetzen, Konsequenzen für Arbeitnehmer und Schutzmaßnahmen gegen Missbrauch. Im Jahr 2026 fasste die NSS diesen Test in Punkt [27] zusammen und übertrug ihn auf die tschechische Sachlage.[7]
Was muss getestet werden
Der Test wird nicht an einem Satz in der Richtlinie durchgeführt. Dies erfolgt über einen spezifischen Eingriff. Wurde der Mitarbeiter vorab über Art und Umfang der Überwachung informiert? War der Eingriff materiell und zeitlich begrenzt? Gab es einen legitimen Grund? Würde ein milderes Mittel ausreichen? Wofür wurde das Ergebnis verwendet? Gab es Garantien gegen Willkür?
Ein Verbot der IT-Prüfung resultiert daraus nicht. Daher die Verpflichtung, seine Tiefe zu ertragen. Die Überwachung der Zugriffe nach einer Datenpanne unterscheidet sich vom flächendeckenden Scannen aller Postfächer der Mitarbeiter. Das Dumpen der Metadaten unterscheidet sich vom Öffnen des Nachrichtentexts.
10. López Ribalda hat Umkleidekabinen nicht legalisiert
Das Urteil López Ribaldo ist zu Recht falsch zitiert. Ja, der EGMR hat die darin enthaltenen versteckten Kameraaufnahmen ohne vorherige Information zugelassen. Aber es ging um Supermarktkassen, mutmaßliche Diebstähle, Verluste, einen öffentlich zugänglichen Bereich und einen Rekord von 10 Tagen im Jahr 2009.[5]
Es sind die Details, die das Ergebnis zusammenhalten. Wenn wir sie entfernen, bleibt die Regel „Versteckte Kameras sind erlaubt“ nicht bestehen. Es bleibt nur ein passender Satz übrig. In einem Ankleidezimmer, einer Toilette, einem Ruheraum oder einer Büroküche herrscht eine andere Intensität der Privatsphäre als in einer Kasse, wo ein Mitarbeiter vor den Augen der Kunden arbeitet.
Darüber hinaus ist das tschechische Regime nicht nur eine Kopie von Artikel 8 der Konvention. Das Arbeitsgesetzbuch spricht in § 316 Abs. 2 explizit von offener und verdeckter Überwachung und bindet diese an einen schwerwiegenden Grund in der Besonderheit der Tätigkeit des Arbeitgebers.[1] Die Arbeitsaufsichtsbehörde kann das Arbeitsregime auch dann beurteilen, wenn jemand gegen das europäische Urteil argumentiert.
Es ist kein Kameraverbot. Es handelt sich um eine Anforderung an Ort, Zweck, Sichtbarkeit, Umfang, Informationen und Aufbewahrungsfrist.
11. Die Hardware kann dem Arbeitgeber gehören. Personenbezogene Daten im Logo unterliegen der DSGVO
Der Besitz eines Computers löst Eigentum. Die DSGVO befasst sich mit personenbezogenen Daten. Diese Modi treffen aufeinander, verschmelzen jedoch nicht. Ein Arbeitgeber kann einen Laptop besitzen und gleichzeitig der Datenmanager für ein Protokoll, einen E-Mail-Header, eine Kameraaufzeichnung oder einen Export aus einem Sicherheitstool sein.[8]
Gemäß der DSGVO bestimmt der Administrator die Zwecke und Mittel der Verarbeitung. Muss über einen Rechtstitel gemäß Artikel 6 verfügen, die Grundsätze gemäß Artikel 5 einhalten und gemäß Artikel 13 informieren.[8] Gesetz Nr. 110/2019 Slg. ergänzt den tschechischen Rahmen für die Verarbeitung personenbezogener Daten.[15] Bei tiefergehenden oder systematischen Eingriffen kann auch eine Folgenabschätzung in Betracht gezogen werden, sofern die Voraussetzungen des Art. 35 DSGVO erfüllt sind.[8]
Ein praktischer Fehler ist der Satz: „Es ist unser Computer, also können wir mit den Daten machen, was wir wollen.“ Nein. Es ist unser Computer, damit wir Vermögenswerte schützen und die Arbeit organisieren können. Entstehen dabei personenbezogene Daten über einen Mitarbeiter, kommen Zweck, Minimierung, Transparenz und Zugriffsrechte ins Spiel.
Die EU-Charta der Grundrechte schützt das Privat- und Familienleben sowie den Schutz personenbezogener Daten in den Artikeln 7 und 8.[21] Artikel 13 der tschechischen Charta schützt die Vertraulichkeit von Nachrichten, die per Telefon, Telegraf oder einem anderen ähnlichen Gerät übermittelt werden.[3] Unternehmenseigentum schaltet diese Ebenen nicht aus.
Gleichzeitig zwingt die DSGVO Arbeitgeber dazu, selbst scheinbar technische Details in menschlicher Sprache zu beschreiben. Ein Protokoll ist nicht nur eine Zeile im System. Es handelt sich um Informationen über eine bestimmte Person, ihren Arbeitstag, manchmal auch über ihre Kontakte und Gewohnheiten. Kameraaufnahmen sind nicht nur ein Sicherheitsbild. Es ist eine Aufzeichnung von Bewegung und Verhalten. Ein E-Mail-Header ist nicht nur eine operative Marke. Es kann Beziehung, Zeit und Richtung der Kommunikation anzeigen. Daher reicht es nicht aus, dass die IT-Abteilung die Regel kennt. Es muss für einen Menschen verständlich sein,worauf es sich bezieht.
Dies hat eine betriebliche Konsequenz. Der Arbeitgeber soll nachweisen können, welche Daten automatisch erfasst werden, welche nur im Falle eines Vorfalls und welche nicht ohne besondere Genehmigung geöffnet werden dürfen. Andernfalls wird der Administratorzugriff zu einer informellen Administratorbefugnis. Dabei beurteilt das Gesetz nicht nur die technische Möglichkeit, sondern auch den Zweck und die gesetzten Garantien.
12. NSS entführte drei Tage nach dem Leck. Eine pauschale Lektüre würde es sicher nicht vertragen
Das Urteil NSS 6 Ads 21/2026-27 ist gerade deshalb wichtig, weil es die Einsichtnahme in den Inhalt von Firmenpost in bestimmten Grenzen ermöglichte. Es handelte sich um ein Arbeitsverhältnis, eine konkrete Weitergabe personenbezogener Daten, ein Staatsangestellter der ČÚZK, Zeitfenster 2.–4. 1. 2024 und Benachrichtigung durch interne Regelung und Hinweis beim Einloggen.[7]
Kommentare zu dem Urteil betonen, dass die NSS nach dem Vorfall nur eine begrenzte Intervention erwog und dass Arbeitgeber daraus keine freie Lizenz zum präventiven Lesen von Post ableiten sollten.[19][22] Das ist die richtige Lesart. Das Urteil ist eher eine Zustandskarte als eine Genehmigung.
Das NSS wandte den Bărbulescu-Test an und bewertete unter anderem den Grund, den Umfang, die Berichterstattung und die Verwendung der Ergebnisse.[7] Würde der Arbeitgeber jeden Monat zur Sicherheit alle Postfächer lesen, würde er genau das übersehen, worum es im Urteil geht: einen konkreten Vorfall, eine begrenzte Zeit, einen begrenzten Personenkreis und einen Zusammenhang mit dem Datenschutz.
Daraus folgt nicht, dass der Inhalt von E-Mails immer unverletzlich ist. Daraus folgt, dass das Öffnen von Inhalten ein spätes und engstirniges Werkzeug ist. An erster Stelle stehen Prävention, Berechtigungen, Schulung, technische Einschränkungen, Header, Zugriffsüberwachung und andere mildere Wege.
Auch für Arbeitnehmer ist das Urteil von Nutzen. Sie sagt ihm nicht, dass es sich bei der Arbeitsbox um ein privates Tagebuch handelt. Sie erzählt ihm, dass auch der Bürobriefkasten kein Ort ohne Regeln sei. Wenn der Mitarbeiter vorab informiert ist, in einem Firmenkonto arbeitet und ein konkreter Verdacht auf einen Datenabfluss besteht, können seine Erwartungen an die Privatsphäre geringer sein. Wenn der Arbeitgeber jedoch eine weitreichende Überwachung ohne klaren Grund, ohne Umfang und ohne Kontrolle der Nutzung zulässt, verschwindet die Ähnlichkeit mit NSS.
13. Die Kamera im Büro mit der Küche ist nicht die Kamera an der Kasse
Im Urteil 22 Ad 11/2023-29 hat das Landgericht Ostrava eine Geldstrafe von 28.000 CZK wegen Kameras in einem Büro mit Küche ohne triftigen Grund verhängt.[18] Bei der Zahl handelt es sich um die Geldstrafe in einem Gerichtsverfahren, nicht um die durchschnittlichen Kosten eines schlecht eingerichteten Kamerasystems. Wichtiger als die Menge ist die Auflösung des Raumes.
Eine Supermarktkasse ist ein Ort, an dem ein Mitarbeiter vor den Augen eines Kunden arbeitet und an dem Sachschäden abgewickelt werden. Die Büroküche ist ein Hintergrund. Noch empfindlicher sind die Umkleidekabine und die Toilette. Die Schlussfolgerung ohne diese Ebene von einem Raum auf einen anderen zu übertragen, ist ein methodischer Fehler.
Die ÚOOÚ-Methodik für Kamerasysteme arbeitet mit Informationen und DSGVO-Anforderungen als Leitfaden für Administratoren.[14] Es ist kein Ersatz für das Arbeitsgesetzbuch. Aber es hilft, praktische Fragen zu stellen: Warum gibt es die Kamera, was fängt sie auf, wie lange wird die Aufnahme gespeichert, wer kann sie sehen, ob es ein Piktogramm gibt und wo der Mitarbeiter die zweite Informationsebene findet.
Die Kamera ist also immer auch eine räumliche Frage. Dasselbe Gerät kann je nach Verwendungsort eine unterschiedliche rechtliche Bedeutung haben.
14. Bei der Bußgeldobergrenze handelt es sich nicht um den Durchschnitt der verhängten Bußgelder
Das Gesetz arbeitet mit Decken. Die Medien verhängen ihnen oft die erwartete Geldstrafe. Das ist ein Fehler. § 24a des Arbeitsaufsichtsgesetzes sieht eine Höchststrafe von bis zu 1.000.000 CZK für die Verletzung der Privatsphäre eines Arbeitnehmers aufgrund bestimmter Tatsachen und eine Höchststrafe von bis zu 100.000 CZK für die Nichtinformierung über eine Inspektion gemäß § 316 Abs. 3 vor.[13]
Die DSGVO verfügt über ein eigenes Sanktionsregime. Bei ausgewählten Verstößen nach Artikel 83 Abs. 5 kann die Obergrenze bis zu 20.000.000 EUR oder 4 % des gesamten weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist.[8] Dabei handelt es sich um die Obergrenze der Verwaltungsstrafe im europäischen System, nicht um die automatische Strafe für eine geschäftliche E-Mail.
Diese Zahlen müssen mit Einheit, Periode und Modus gelesen werden. Dabei handelt es sich um die Höchstsätze der aktengemäß im Jahr 2026 geltenden gesetzlichen Regelungen. Sie messen nicht den Durchschnitt der verhängten Strafen. Es misst nicht die Kontrollwahrscheinlichkeit. Reputationsschäden oder Prozesskosten werden nicht gemessen.
Die Bedeutung von Decken ist unterschiedlich. Sie zeigen, dass Überwachung nicht nur eine interne IT-Umgebung ist. Es kann sich zu einem arbeitsrechtlichen und datenschutzrechtlichen Fall entwickeln, der vor zwei Arten von Behörden verantwortet wird: der Arbeitsaufsichtsbehörde und der Arbeitsaufsichtsbehörde.
15. Das Ergebnis darf nur der Kontrolle dienen
Die Rechtmäßigkeit des Erwerbs ist eine Frage. Die Verwendung des Ergebnisses ist die zweite. Ein Arbeitgeber kann nach einem Vorfall Grund haben, den Zugriff auf Daten zu überprüfen. Dies bedeutet nicht, dass der Inhalt der Kommunikation im Unternehmen zirkulieren, in einem unbegrenzten Ordner landen oder für einen Zweck verwendet werden darf, der nichts mit dem ursprünglichen Zweck zu tun hat.
Die DSGVO basiert auf dem Grundsatz der gezielten Einschränkung und Minimierung.[8] Wenn das Protokoll für einen Sicherheitsvorfall erfasst wird, sollte es zur Lösung des Vorfalls verwendet werden. Wenn die Kamera Eigentum schützt, sollte sie nicht zu einem Werkzeug zur permanenten Auswertung jeder Bewegung werden, wenn hierfür kein gesonderter Anlass und keine gesonderte Information vorliegt.
Im Urteil 6 Ads 21/2026-27 stellte die NSS außerdem fest, dass die Ergebnisse der Inspektion nicht für einen anderen Zweck verwendet wurden.[7] Dies ist keine Formalität. Es ist der Zweck, der den Eingriff in Grenzen hält. Sobald das Ergebnis außerhalb des ursprünglichen Rahmens verwendet wird, ändert sich auch die Angemessenheitsbewertung.
Als Faustregel gilt: Vor dem Sammeln muss klar sein, wohin das Ergebnis geht. Wer wird es sehen, wie lange wird es aufbewahrt, ob es in die Disziplinarakte gelangt, ob es einem Anwalt übergeben wird und wann es gelöscht wird. Ohne sie ist die Kontrolle nur eine offene Schublade.
16. Eine Checkliste vor dem Eingriff sagt mehr als der Satz „Es ist unser Computer“.
Eine gute Prüfung beginnt nicht mit der Installation des Tools. Es beginnt mit einer Beschreibung des Eingriffs. Was genau wollen wir herausfinden? Welchen Vorfall oder welches Risiko befassen wir uns? Welche Daten reichen dafür aus? Welches Rechtsregime wird aktiviert? Wer liest das Ergebnis?
Drei Eindringtiefentests
Der erste Test ist das Objekt. Wird die Firmenhardware, ein Firmenkonto, ein auf einem Firmencomputer eröffnetes Privatkonto oder ein Privattelefon überprüft? Jedes Objekt bringt eine andere Erwartung an Privatsphäre mit sich.
Der zweite Test ist der Inhalt. Werden Uhrzeit und URL, E-Mail-Header, E-Mail-Text, Bild, Ton oder GPS-Standort erfasst? Wenn es um den Inhalt der Nachricht, das Abhören oder die verdeckte Überwachung geht, unterliegen wir der strengeren Regelung von § 316 Abs. 2.[1]
Der dritte Test ist die Vernunft. Handelt es sich um ein bestimmtes Leck, einen Sachschaden oder einen Sicherheitsvorfall oder handelt es sich lediglich um Prävention ohne Grenzen? Sowohl Bărbulescu als auch die NSS erfordern mehr als eine allgemeine Möglichkeit, dass etwas passieren könnte.[4][7]
Vor der Einführung der Überwachung
Der Arbeitgeber muss über Umfang und Art der Kontrolle schriftlich und verständlich belehrt werden, wenn er eine Kontrolle nach § 316 Abs. 2 einführt.[1] Darüber hinaus müssen sie nach der DSGVO über die Verarbeitung personenbezogener Daten, den Zweck, den Rechtstitel, die Empfänger und die Rechte der betroffenen Person informieren.[8]
So testen Sie, ob ein milderes Mittel ausreicht
Angeboten werden zunächst die Sperrung von Website-Kategorien, die Einschränkung von Berechtigungen, Log-Header, Schulungen, die Zwei-Personen-Freigabe, die Prüfung von Zugriffen oder die Kontrolle von nur wenigen Tagen. Nur wenn ein milderer Weg nicht ausreicht, um ein bestimmtes Interesse zu schützen, ist es sinnvoll, Inhalte zu berücksichtigen. Und selbst dann nur in einem schmalen Fenster.
Lösen Sie im Zweifelsfall zwei Adressen. Die regionale Arbeitsinspektion beurteilt den arbeitsrechtlichen Aspekt. ÚOOÚ wertet personenbezogene Daten aus. Die Einhaltung einer Ebene entschuldigt nicht automatisch die Verletzung der anderen.[2][8]
Die Checkliste hat noch einen weiteren Vorteil. Zwingt dazu, das Ende der Intervention zu schreiben. Wann endet die Überwachung? Wann wird der Datensatz gelöscht? Wer bestätigt, dass der Zweck erfüllt oder aufgegeben wurde? Ohne Ende wird selbst eine vernünftige Kontrolle leicht zu einer dauerhaften Infrastruktur. Und die dauerhafte Infrastruktur sucht sich dann neue Gründe.
Die Praxis von ÚOOÚ zeigt, dass diese Fragen nicht nur eine Ausbildung für Juristen sind. Die Kontrollmaterialien des Büros arbeiten mit Anwesenheit, GPS, Kameras und Abschnitt 316(2) als gemeinsame Grenze zwischen Arbeitsmanagement und Verletzung der Privatsphäre.[20] Je früher ein Unternehmen diese Grenze zieht, desto weniger muss es später erklären, warum es sie überschritten hat.
17. Die versteckten Kosten sind die Privatsphäre, die in der Richtlinie nur aufgeführt ist
Interne Weisungen erwecken oft das Gefühl, dass alles erledigt ist. Der Mitarbeiter hat bestätigt, dass er überwacht werden kann. Das IT-Tool läuft. Die Personalabteilung weiß, wo die Erklärung zu finden ist. Der Anwalt hat einen Absatz über den Schutz von Vermögenswerten. Der eigentliche Eingriff findet jedoch nicht im Weisungssatz statt. Es findet darin statt, was gesammelt wird, für wie lange, mit wem, in welchem Raum, aus welchem Grund und wer es liest.
Deshalb sollte die Richtlinie eher eine Landkarte als ein Schutzschild sein. Es sollte dem Arbeitnehmer sagen, was ihn erwartet, und den Arbeitgeber bremsen. Wenn es nur alle möglichen Treffer auflistet, aber das normale Betriebsprotokoll nicht vom öffnenden Inhalt trennt, hilft es beiden Seiten nicht. Der Mitarbeiter weiß nicht, welche Privatsphäre tatsächlich verbleibt. Der Arbeitgeber weiß nicht, wann er gegen seine eigene Regel verstößt.
Daher sind die versteckten Kosten nicht nur der Vertrauensverlust. Es ist auch eine Ungenauigkeit. Ein Unternehmen, das Metadaten nicht von Inhalten unterscheidet, wird ein zu starkes Tool für ein schwaches Problem verwenden. Ein Unternehmen, das eine Registrierkasse durch eine Küche ersetzt, überträgt das Urteil eines anderen auf einen anderen Raum. Ein Unternehmen, das in einem Vertrag auf die Zustimmung setzt, übersieht die Ungleichheit der Parteien. Ein Unternehmen, das NSS 2026 zu einer Pauschalregel macht, wird drei Tage, einen Mitarbeiter und ein bestimmtes Leck verpassen.
Dies bedeutet nicht, dass der Arbeitgeber schutzlos ist. Daraus folgt, dass der Schutz von Arbeit, Eigentum und Daten einer präzisen Tiefe bedarf. Manchmal reichen schon ein Verbot der privaten Nutzung und eine begründete Erklärung. Manchmal ist eine Prüfung notwendig. Manchmal kann auch der Inhalt der Arbeitsmail hilfreich sein. Aber wir fragen immer, ob die Intervention Vernunft, Information, Verhältnismäßigkeit und eine sanftere Art und Weise mit sich bringt.
In dem Moment, in dem ein Arbeitgeber einen Laptop kauft, kauft er ein Arbeitsgerät. In dem Moment, in dem es beobachtet, was eine Person damit macht, gibt es Privatsphäre und persönliche Daten ein. Und dann lautet die Frage nicht mehr: „Ist es unser Computer?“
Es geht darum: Wie tief geht der Eingriff – und warum so tief?
Verwandte Texte in dieser Reihe
- Darf die Polizei Ihr Handy durchsuchen? – anderer Titel, anderer Filter. Bei einem betrieblichen IT-Audit handelt es sich nicht um eine strafrechtliche Untersuchung.
- Was weiß Ihr Mobiltelefon über Sie? – Geräteebenen vs. Arbeitskonto.