Eine kurze Nachricht an die Familie, eine private Bestellung oder die Anmeldung bei einem persönlichen Online-Dienst: Für Beschäftigte kann es naheliegend erscheinen, hierfür die dienstliche E-Mail-Adresse zu verwenden. Rechtlich ist das jedoch keineswegs selbstverständlich. Das betriebliche E-Mail-Postfach ist zunächst ein Arbeitsmittel des Arbeitgebers. Ein allgemeines Recht, dieses Arbeitsmittel auch privat zu nutzen, besteht nicht.
Fehlt eine Erlaubnis, ist die dienstliche E-Mail-Adresse grundsätzlich ausschließlich für betriebliche Zwecke vorgesehen. Wer dennoch private Nachrichten über den Job-Account versendet oder empfängt, kann gegen arbeitsvertragliche Pflichten verstoßen. Welche Konsequenzen daraus folgen, hängt allerdings vom Einzelfall ab. Nicht jede private E-Mail rechtfertigt sofort eine Abmahnung oder Kündigung. Umgekehrt schützt eine unklare betriebliche Regelung nicht in jedem Fall vor arbeitsrechtlichen Folgen.
Auch die Kontrollbefugnisse des Arbeitgebers sind begrenzt. Selbst wenn eine private Nutzung verboten ist, darf der Arbeitgeber nicht ohne Weiteres sämtliche Nachrichten lesen oder das Kommunikationsverhalten dauerhaft überwachen. Das allgemeine Persönlichkeitsrecht und der Beschäftigtendatenschutz gelten auch am Arbeitsplatz.
Die Grundregel: Das Firmenpostfach ist ein Arbeitsmittel
Stellt der Arbeitgeber eine E-Mail-Adresse unter seiner Unternehmensdomain zur Verfügung, dient diese im Ausgangspunkt der Erfüllung der arbeitsvertraglichen Aufgaben. Der Arbeitgeber darf aufgrund seines Weisungsrechts Inhalt, Ort und Zeit der Arbeitsleistung sowie das Verhalten im Betrieb näher bestimmen, soweit Arbeitsvertrag, Tarifvertrag, Betriebsvereinbarung oder gesetzliche Vorschriften keine abschließende Regelung enthalten. Dazu gehört grundsätzlich auch die Entscheidung, ob und in welchem Umfang die betriebliche IT privat verwendet werden darf.
Ohne eine ausdrückliche oder zumindest hinreichend erkennbare Erlaubnis dürfen Beschäftigte daher nicht davon ausgehen, dass sie ihre Firmenadresse für private Zwecke einsetzen können. Dass das System technisch auch den Versand privater Nachrichten ermöglicht, stellt noch keine Nutzungserlaubnis dar. Ebenso wenig genügt allein der Umstand, dass der Arbeitgeber bislang keine Kontrollen vorgenommen hat.
Dabei müssen unterschiedliche Nutzungsformen auseinandergehalten werden. Die Erlaubnis, in der Pause über den Dienstrechner eine private Webseite aufzurufen, bedeutet nicht automatisch, dass auch private Nachrichten über die Firmenadresse versendet werden dürfen. Umgekehrt umfasst eine Erlaubnis zur gelegentlichen Verwendung des betrieblichen Postfachs nicht ohne Weiteres die Befugnis, Software herunterzuladen, private Cloud-Dienste einzubinden oder dienstliche Nachrichten an ein privates Postfach weiterzuleiten.
Auch der Zeitpunkt der Nutzung ist nicht allein entscheidend. Wird eine private E-Mail erst nach Feierabend versendet, entfällt zwar regelmäßig der Vorwurf, bezahlte Arbeitszeit für private Angelegenheiten verwendet zu haben. Das Verbot, die betriebliche E-Mail-Adresse privat zu nutzen, kann aber dennoch verletzt sein. Die Regelung betrifft das Arbeitsmittel und die Unternehmensinfrastruktur und nicht nur die Arbeitszeit.
Wann ist die Privatnutzung erlaubt?
Eine private Nutzung kann im Arbeitsvertrag, in einer Betriebsvereinbarung, in einer Dienstvereinbarung, in einer IT-Richtlinie oder durch eine sonstige verbindliche Anweisung des Arbeitgebers gestattet werden. Auch eine konkrete Zustimmung durch eine hierzu befugte Führungskraft kann ausreichen.
In vielen Unternehmen wird die Privatnutzung nur eingeschränkt erlaubt. So kann vorgesehen sein, dass das Postfach lediglich gelegentlich, in geringfügigem Umfang und ohne Beeinträchtigung der Arbeitsabläufe privat genutzt werden darf. Das Bundesarbeitsgericht hatte beispielsweise eine Betriebsvereinbarung zu beurteilen, nach der die private Nutzung von Firmen-PC und E-Mail auf einen gelegentlichen, maßvollen Gebrauch beschränkt war und längere private Nutzungen ausdrücklich untersagt waren. Solche Regelungen zeigen, dass eine Erlaubnis regelmäßig keinen uneingeschränkten Freibrief darstellt.
Unter Umständen kann eine Erlaubnis auch stillschweigend entstanden sein. Das kommt in Betracht, wenn der Arbeitgeber über einen längeren Zeitraum positiv weiß, dass die Beschäftigten die betrieblichen Postfächer privat verwenden, und dieses Verhalten erkennbar hinnimmt. Ob daraus tatsächlich eine sogenannte betriebliche Übung oder eine konkludente Vereinbarung folgt, muss jedoch sorgfältig geprüft werden. Eine vereinzelte private Nachricht, die unentdeckt bleibt, begründet noch keinen Anspruch. Auch die bloße Tatsache, dass andere Beschäftigte gegen die Regeln verstoßen, erlaubt nicht automatisch die eigene Privatnutzung. Die Datenschutzkonferenz hat bereits in ihrer Orientierungshilfe zur E-Mail-Nutzung am Arbeitsplatz zwischen einer ausdrücklichen Gestattung und einer über längere Zeit in Kenntnis des Arbeitgebers geduldeten Nutzung unterschieden.
Ob eine einmal erteilte Erlaubnis später wieder entzogen werden kann, hängt von ihrer rechtlichen Grundlage ab. Beruht sie lediglich auf einer freiwilligen betrieblichen Richtlinie, kann eine Änderung für die Zukunft häufig möglich sein, sofern sie klar bekannt gegeben wird und die Grenzen billigen Ermessens eingehalten werden. Ist die Privatnutzung dagegen arbeitsvertraglich zugesagt oder in einer Betriebsvereinbarung geregelt, kann der Arbeitgeber die entsprechende Rechtsgrundlage nicht einfach durch eine einseitige Rundmail außer Kraft setzen.
Erlaubte Privatnutzung ist kein Freibrief
Selbst eine ausdrücklich gestattete private Nutzung bleibt durch die arbeitsvertraglichen Pflichten begrenzt. Beschäftigte müssen ihre Arbeitsleistung erbringen, Rücksicht auf die Interessen des Arbeitgebers nehmen und betriebliche Sicherheitsvorgaben beachten. Eine Erlaubnis zur gelegentlichen privaten Kommunikation rechtfertigt deshalb keine stundenlange Bearbeitung persönlicher Angelegenheiten während der Arbeitszeit.
Besonders riskant ist es, die dienstliche Adresse dauerhaft für private Vertragsbeziehungen zu verwenden. Wird die Firmenadresse beispielsweise für persönliche Kundenkonten, private Einkäufe oder sonstige langfristige Angelegenheiten hinterlegt, können Nachrichten auch nach dem Ausscheiden aus dem Unternehmen weiter eingehen. Der ehemalige Beschäftigte verliert regelmäßig den Zugriff auf das Postfach, während geschäftliche Vertreter oder die IT-Abteilung unter Umständen weiterhin Zugriff auf dort eingehende Nachrichten benötigen.
Zudem trägt eine Firmenadresse nach außen den Namen oder die Domain des Unternehmens. Private Erklärungen können deshalb von Empfängern irrtümlich dem Arbeitgeber zugerechnet oder zumindest mit dem Unternehmen in Verbindung gebracht werden. Das gilt besonders, wenn automatisch eine dienstliche Signatur, eine Funktionsbezeichnung oder ein Unternehmenslogo angefügt wird. Rechtlich entsteht dadurch zwar nicht automatisch eine Vertretungsmacht. Für den Arbeitgeber können aber erhebliche Reputations-, Compliance- und Haftungsrisiken entstehen.
Selbstverständlich bleibt auch bei erlaubter Privatnutzung die Versendung rechtswidriger, beleidigender oder diskriminierender Inhalte verboten. Gleiches gilt für die Weitergabe von Geschäftsgeheimnissen oder personenbezogenen Daten an private Empfänger. Eine automatische Weiterleitung des betrieblichen Postfachs an eine private Adresse ist ohne ausdrückliche Freigabe regelmäßig besonders problematisch, weil dadurch dienstliche Informationen den kontrollierten IT-Bereich des Arbeitgebers verlassen.
Private E-Mails während der Arbeitszeit
Die Nutzung des betrieblichen Postfachs und die Verwendung der Arbeitszeit sind rechtlich getrennt zu betrachten. Selbst wenn das E-Mail-System grundsätzlich privat genutzt werden darf, muss daraus nicht folgen, dass Beschäftigte während der vergütungspflichtigen Arbeitszeit in beliebigem Umfang persönliche Nachrichten bearbeiten dürfen.
Eine kurze, sozialübliche Unterbrechung wird anders zu bewerten sein als eine intensive private Korrespondenz über einen erheblichen Zeitraum. Entscheidend ist, ob die arbeitsvertraglich geschuldete Leistung beeinträchtigt wird und ob betriebliche Regelungen eine gelegentliche Privatnutzung ausdrücklich einschließen.
Auch das private Smartphone bietet nicht automatisch eine rechtssichere Ausweichmöglichkeit. Das Bundesarbeitsgericht hat entschieden, dass ein Arbeitgeber die private Smartphone-Nutzung während der Arbeitszeit untersagen darf, wenn das Verbot der Sicherstellung einer ordnungsgemäßen Arbeitsleistung dient. Das gilt grundsätzlich auch für Zeiten, in denen Beschäftigte vorübergehend keine Hauptaufgabe ausführen, aber für Nebenarbeiten oder neue Weisungen zur Verfügung stehen müssen.
Während einer echten Arbeitspause besteht häufig mehr Raum für private Kommunikation. Ein uneingeschränktes Recht zur Smartphone-Nutzung folgt daraus jedoch ebenfalls nicht. In Produktionsbereichen, Laboren, Krankenhäusern, Sicherheitszonen oder sonstigen sensiblen Arbeitsumgebungen können betriebliche Sicherheits-, Hygiene- oder Geheimhaltungsinteressen auch während der Pause Einschränkungen rechtfertigen.
Darf der Arbeitgeber das dienstliche Postfach kontrollieren?
Auch am Arbeitsplatz genießen Beschäftigte den Schutz ihres allgemeinen Persönlichkeitsrechts und ihres Rechts auf informationelle Selbstbestimmung. Absender, Empfänger, Zeitpunkte, Betreffzeilen, Anhänge und Inhalte von E-Mails sind regelmäßig personenbezogene Daten. Ihre Erhebung, Speicherung und Auswertung benötigt daher eine datenschutzrechtliche Rechtsgrundlage und muss erforderlich sowie verhältnismäßig sein.
Dem stehen berechtigte Arbeitgeberinteressen gegenüber. Der Arbeitgeber darf seine Systeme vor Schadsoftware und Datenabfluss schützen, die Funktionsfähigkeit des Unternehmens sicherstellen, geschäftliche Vorgänge nachvollziehen und die Einhaltung zulässiger Nutzungsregeln kontrollieren. Das bedeutet aber nicht, dass er vorsorglich jede Tastatureingabe, jeden Webseitenaufruf und jede Nachricht dauerhaft überwachen darf.
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hält eine Totalüberwachung des Surfverhaltens für unverhältnismäßig. Zulässig sein können dagegen eine zeitnahe und zweckgebundene Auswertung von Protokolldaten, offene Stichproben oder weitergehende Prüfungen bei einem konkreten Missbrauchsverdacht. Umfang, Dauer und Intensität der Kontrolle müssen sich am jeweiligen Anlass orientieren.
Eine rechtmäßige Kontrolle sollte deshalb abgestuft erfolgen. Reicht bereits die Prüfung technischer Protokolldaten aus, um festzustellen, dass eine private Nutzung stattgefunden hat, ist das Lesen des Nachrichteninhalts regelmäßig nicht erforderlich. Der Arbeitgeber sollte zunächst mit den am wenigsten eingriffsintensiven Daten arbeiten. Erst wenn diese Daten einen konkreten und hinreichend gewichtigen Verdacht begründen und mildere Aufklärungsmittel nicht ausreichen, kann eine vertiefte Prüfung in Betracht kommen.
Keine anlasslose Rundumüberwachung durch Keylogger
Besonders deutlich hat das Bundesarbeitsgericht die Grenzen heimlicher Überwachungsmaßnahmen in seiner sogenannten Keylogger-Entscheidung aufgezeigt. Ein Arbeitgeber hatte auf dem Dienstrechner eines Beschäftigten eine Software installiert, die sämtliche Tastatureingaben protokollierte und regelmäßig Bildschirmaufnahmen anfertigte. Ein ausreichend konkreter Verdacht gegen den Arbeitnehmer bestand zuvor nicht.
Das Bundesarbeitsgericht bewertete eine derart umfassende und verdeckte Kontrolle als unverhältnismäßig. Besonders eingriffsintensive Überwachungsmaßnahmen dürfen nicht lediglich zur allgemeinen Suche nach möglichen Pflichtverletzungen eingesetzt werden. Erforderlich sind grundsätzlich konkrete, auf Tatsachen beruhende Anhaltspunkte für eine Straftat oder eine andere schwerwiegende Pflichtverletzung.
Das Gericht stellte zugleich klar, dass weniger eingriffsintensive, offen durchgeführte Maßnahmen unter bestimmten Voraussetzungen auch ohne einen konkreten Anfangsverdacht zulässig sein können. Dazu kann die vorübergehende Speicherung und stichprobenartige Kontrolle von Browserverlaufsdaten gehören, wenn damit ein wirksam bekannt gegebenes Verbot oder eine Beschränkung der Privatnutzung kontrolliert werden soll. Erfasst werden dürfen dabei nicht mehr Daten, als für den Kontrollzweck benötigt werden.
Dürfen offensichtlich private Nachrichten gelesen werden?
Ist bereits anhand des Absenders, des Empfängers, der Betreffzeile oder einer Kennzeichnung erkennbar, dass eine Nachricht ausschließlich privat ist, darf der Arbeitgeber deren Inhalt grundsätzlich nicht allein deshalb lesen, weil die Privatnutzung untersagt war. Der bloße Regelverstoß rechtfertigt nicht automatisch die Kenntnisnahme höchstpersönlicher Inhalte.
Für eine arbeitsrechtliche Reaktion kann häufig schon die Feststellung ausreichen, dass eine private Kommunikation stattgefunden hat. Muss der Arbeitgeber nicht wissen, worüber sich der Arbeitnehmer privat ausgetauscht hat, wäre die inhaltliche Lektüre regelmäßig nicht erforderlich und damit unverhältnismäßig.
Besondere Vorsicht ist bei Nachrichten geboten, die eine Kommunikation mit Rechtsanwälten, Ärzten, dem Betriebsrat, dem betrieblichen Datenschutzbeauftragten oder vergleichbaren Vertrauensstellen erkennen lassen. Hier können neben dem allgemeinen Beschäftigtendatenschutz weitere Vertraulichkeitsinteressen und gesetzliche Schutzpflichten betroffen sein. Die Datenschutzkonferenz empfiehlt für besonders vertrauliche betriebliche Funktionen gesonderte Postfächer und Verfahren, die eine inhaltliche Kenntnisnahme durch Unbefugte ausschließen.
Etwas anderes kann gelten, wenn konkrete, dokumentierte Anhaltspunkte für eine Straftat, eine erhebliche Pflichtverletzung oder einen schwerwiegenden Sicherheitsvorfall vorliegen und eine Inhaltsprüfung zur Aufklärung tatsächlich erforderlich ist. Für die Aufdeckung einer im Beschäftigungsverhältnis begangenen Straftat verlangt § 26 BDSG dokumentierte tatsächliche Anhaltspunkte, die Erforderlichkeit der Datenverarbeitung und eine Verhältnismäßigkeitsprüfung. Eine bloße Vermutung oder allgemeine Neugier des Arbeitgebers genügt nicht.
Zugriff bei Krankheit, Urlaub und Ausscheiden
Ein praktisches Problem entsteht, wenn ein Beschäftigter unerwartet ausfällt und wichtige betriebliche Nachrichten ausschließlich in seinem persönlichen Postfach gespeichert sind. Der Arbeitgeber hat grundsätzlich ein berechtigtes Interesse daran, geschäftliche Korrespondenz weiterzubearbeiten. Auch dieser Zugriff muss jedoch so organisiert sein, dass private Inhalte möglichst nicht zur Kenntnis genommen werden.
Bei ausschließlich dienstlicher Nutzung ist ein betriebsnotwendiger Zugriff regelmäßig leichter zu rechtfertigen. Dennoch sollten Vertretungsregelungen, Zugriffsberechtigungen und Abwesenheitsnotizen im Voraus festgelegt werden. Wo eine private Nutzung erlaubt ist, muss der Arbeitgeber zusätzlich berücksichtigen, dass sich im Postfach private Nachrichten befinden können.
Eine sinnvolle betriebliche Regelung kann vorsehen, dass private Nachrichten eindeutig gekennzeichnet oder in einen gesonderten Ordner verschoben werden. Für einen notwendigen Zugriff während einer ungeplanten Abwesenheit kann ein kontrolliertes Verfahren vorgesehen werden, bei dem zunächst nach rein betrieblichen Nachrichten gefiltert wird. Je nach Einzelfall kann die Beteiligung einer Vertretungsperson, des Datenschutzbeauftragten oder eines Betriebsratsmitglieds das Risiko einer unzulässigen Kenntnisnahme reduzieren.
Noch besser ist es, geschäftskritische Kommunikation nicht ausschließlich über personengebundene Postfächer abzuwickeln. Funktionspostfächer und transparente Vertretungsregeln verhindern, dass der Arbeitgeber bei jeder Erkrankung oder Beendigung des Arbeitsverhältnisses in ein gemischt genutztes persönliches Postfach eingreifen muss.
Fernmeldegeheimnis: Die rechtliche Bewertung hat sich verändert
Über viele Jahre wurde häufig vertreten, ein Arbeitgeber werde bereits dadurch zum Telekommunikationsdiensteanbieter, dass er die private Nutzung seiner E-Mail-Systeme erlaube oder dulde. Daraus wurde teilweise gefolgert, der Arbeitgeber unterliege hinsichtlich privater Nachrichten uneingeschränkt dem Fernmeldegeheimnis.
Diese Aussage kann nach der aktuellen aufsichtsbehördlichen Einschätzung nicht mehr pauschal aufrechterhalten werden. Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen führt in ihrem Tätigkeitsbericht 2024 aus, dass Arbeitgeber nach Auffassung mehrerer deutscher Datenschutzaufsichtsbehörden bei erlaubter oder geduldeter Privatnutzung regelmäßig nicht mehr dem Telekommunikationsrecht und dem dortigen Fernmeldegeheimnis unterliegen. Maßgeblich sei, dass Arbeitgeber ihren Beschäftigten das E-Mail-System typischerweise als Arbeitsmittel und nicht als geschäftsmäßigen Telekommunikationsdienst anbieten.
In dieselbe Richtung weist das aktuelle Hinweispapier der Bundesnetzagentur zu nummernunabhängigen interpersonellen Telekommunikationsdiensten. Angebote zwischen Arbeitgebern und Arbeitnehmern seien regelmäßig Arbeitsmittel und keine eigenständige wirtschaftliche Tätigkeit des Arbeitgebers. Auch die Möglichkeit, einen E-Mail-Dienst privat zu nutzen, mache das Angebot nicht automatisch zu einem auf einen geschäftlichen Vorteil oder eine sonstige Gegenleistung gerichteten Telekommunikationsdienst.
Damit ist jedoch keineswegs gesagt, dass der Arbeitgeber private E-Mails frei lesen darf. An die Stelle der früher häufig angenommenen umfassenden telekommunikationsrechtlichen Sperre treten insbesondere die Anforderungen der Datenschutz-Grundverordnung, des Beschäftigtendatenschutzes und des allgemeinen Persönlichkeitsrechts. Auch nach der aktuellen Auffassung der Datenschutzaufsichtsbehörden benötigt jeder Zugriff eine Rechtsgrundlage. Die Beschäftigten müssen über mögliche Kontrollen und deren Rahmenbedingungen informiert werden.
Zudem ist die telekommunikationsrechtliche Beurteilung nicht für jede denkbare Unternehmensstruktur identisch. Stellt etwa eine rechtlich selbstständige Konzerngesellschaft Kommunikationsdienste für andere Konzerngesellschaften bereit oder wird ein Dienst über den eigentlichen Beschäftigtenkreis hinaus angeboten, kann eine gesonderte Prüfung erforderlich sein. Die Aussage, Arbeitgeber unterlägen niemals dem Telekommunikationsrecht, wäre deshalb ebenso zu pauschal wie die frühere Behauptung, jede erlaubte Privatnutzung führe automatisch zur Anwendung des Fernmeldegeheimnisses.
Muss der Arbeitnehmer über Kontrollen informiert werden?
Kontrollmaßnahmen müssen grundsätzlich transparent ausgestaltet sein. Beschäftigte sollten bereits vor Beginn der Datenverarbeitung erfahren, welche Nutzungsdaten protokolliert werden, welchen Zwecken die Protokollierung dient, wer Zugriff erhält, wie lange die Daten gespeichert werden und unter welchen Voraussetzungen eine personenbezogene Auswertung erfolgt.
Daraus folgt jedoch nicht, dass der Arbeitgeber nach jedem einzelnen technisch notwendigen oder regelkonformen Zugriff stets eine gesonderte persönliche Mitteilung versenden muss. Entscheidend ist zunächst die ordnungsgemäße Vorabinformation. Eine transparente IT-Richtlinie oder Betriebsvereinbarung kann die wesentlichen Informationspflichten erfüllen, sofern sie hinreichend konkret und für die Beschäftigten zugänglich ist.
Verdeckte Kontrollen kommen nur in eng begrenzten Ausnahmefällen in Betracht. Würde eine vorherige Information die Aufklärung eines konkret begründeten Verdachts vereiteln, kann eine vorübergehend heimliche Maßnahme unter strengen Voraussetzungen zulässig sein. Sie muss dokumentiert, zeitlich begrenzt und auf das unbedingt erforderliche Maß beschränkt werden. Eine heimliche Kontrolle zur allgemeinen Suche nach Unregelmäßigkeiten bleibt unzulässig.
Private Webmail über den Dienstrechner ist nicht automatisch erlaubt
Einige Beschäftigte gehen davon aus, sie könnten ein Verbot der privaten Nutzung des Firmenpostfachs dadurch umgehen, dass sie über den Dienstrechner ihr privates Gmail-, GMX- oder sonstiges Webmail-Konto öffnen. Das ist nicht zwingend richtig.
Der Arbeitgeber kann die Nutzung seiner IT-Systeme insgesamt auf dienstliche Zwecke beschränken. Ein solches Verbot kann sowohl das betriebliche Postfach als auch den Browser, den Internetzugang und private Webmail-Dienste erfassen. Ob die private Nachricht unter der Firmenadresse oder unter einer persönlichen Adresse versendet wird, ist dann für die Pflichtverletzung nicht entscheidend.
Allerdings darf der Arbeitgeber auch bei einer unzulässigen Webmail-Nutzung nicht ohne Weiteres die Inhalte des privaten Kontos lesen. Für die Feststellung, dass während der Arbeitszeit ein privater Webmail-Dienst aufgerufen wurde, können Browserverlaufs- oder Verbindungsdaten genügen. Ein Zugriff auf das Passwort, das Konto oder den Nachrichteninhalt wäre ein wesentlich intensiverer Eingriff und bedürfte einer besonders gewichtigen Rechtfertigung.
Die Entscheidung des LAG Berlin-Brandenburg zum Browserverlauf
Besondere Aufmerksamkeit hat das Urteil des Landesarbeitsgerichts Berlin-Brandenburg vom 14. Januar 2016 mit dem Aktenzeichen 5 Sa 657/15 erhalten. In dem entschiedenen Fall hatte ein Arbeitnehmer innerhalb von 30 Arbeitstagen den dienstlichen Internetanschluss während der Arbeitszeit im Umfang von nahezu 40 Stunden privat genutzt. Vertraglich war eine private Nutzung nur ausnahmsweise innerhalb der Arbeitspausen gestattet.
Das Landesarbeitsgericht hielt in diesem konkreten Fall eine außerordentliche Kündigung für gerechtfertigt. Es ließ außerdem die Verwertung der vom Arbeitgeber ausgewerteten Browserverlaufsdaten zu. Entscheidend waren der außergewöhnliche zeitliche Umfang, die Nutzung während der Arbeitszeit und die erhebliche Verletzung der Arbeitspflicht.
Aus dem Urteil folgt kein allgemeines Recht des Arbeitgebers, jederzeit und ohne Anlass sämtliche Browserverläufe auszuwerten. Die Zulässigkeit einer Kontrolle bleibt von ihrem Zweck, ihrer Intensität, der betrieblichen Regelung, der Transparenz und der Verhältnismäßigkeit abhängig. Das Bundesarbeitsgericht hat später ausdrücklich zwischen einer unzulässigen umfassenden Keylogger-Überwachung und einer möglicherweise zulässigen vorübergehenden, stichprobenartigen Kontrolle von Browserverlaufsdaten unterschieden.
Welche arbeitsrechtlichen Konsequenzen drohen?
Ein Verstoß gegen ein wirksames Verbot kann zunächst eine Abmahnung rechtfertigen. Mit der Abmahnung beanstandet der Arbeitgeber das konkrete Verhalten, fordert zur künftigen Vertragstreue auf und warnt vor weitergehenden Konsequenzen im Wiederholungsfall. Nutzt der Beschäftigte das Postfach anschließend erneut entgegen dem Verbot privat, kann eine verhaltensbedingte Kündigung erheblich näherliegen.
Eine Kündigung ist dennoch kein Automatismus. Das Bundesarbeitsgericht verlangt stets eine Prüfung des Einzelfalls und des Verhältnismäßigkeitsgrundsatzes. Bei steuerbarem Verhalten ist grundsätzlich zu untersuchen, ob eine Abmahnung ausgereicht hätte, um eine zukünftige Vertragstreue zu bewirken. Nur wenn eine Verhaltensänderung auch nach einer Abmahnung nicht zu erwarten ist oder die Pflichtverletzung so schwer wiegt, dass bereits ihre erstmalige Hinnahme objektiv unzumutbar wäre, kann eine vorherige Abmahnung entbehrlich sein.
In der Entscheidung 2 AZR 186/11 hielt das Bundesarbeitsgericht eine Kündigung trotz eines ausdrücklichen Verbots der privaten Internet- und E-Mail-Nutzung nicht für verhältnismäßig. Für den Beschäftigten sprachen unter anderem die langjährige beanstandungsfreie Tätigkeit, das Fehlen eines konkret festgestellten Schadens und die Möglichkeit, sein Verhalten nach einer Abmahnung zu ändern. Das Gericht betonte, dass auch problematische oder umfangreichere private Internetnutzung keinen absoluten Kündigungsgrund darstellt.
Anders kann es bei einer massiven Nutzung während bezahlter Arbeitszeit, bei bewusster Verschleierung, bei erheblichen Sicherheitsverletzungen oder bei einem wiederholten Verstoß nach einschlägiger Abmahnung aussehen. Der vom LAG Berlin-Brandenburg entschiedene Umfang von annähernd 40 Stunden innerhalb von 30 Arbeitstagen zeigt, dass eine exzessive Privatnutzung sogar eine fristlose Kündigung tragen kann.
Besonders schwer wiegen Fälle, in denen der Arbeitnehmer über das Firmenpostfach strafbare Inhalte verbreitet, Kollegen belästigt, Geschäftsgeheimnisse weitergibt, Schadsoftware einschleust oder sich unter Verwendung der Unternehmensidentität bewusst als vertretungsberechtigt ausgibt. Hier kann bereits ein erstmaliger Verstoß das Vertrauensverhältnis so schwer beschädigen, dass eine vorherige Abmahnung nicht mehr ausreicht.
Eine unklare Weisung bedeutet nicht automatisch Sanktionsfreiheit
Die Aussage, ohne eine hinreichend klare Weisung könne eine private Nutzung niemals sanktioniert werden, ist zu weitgehend. Richtig ist, dass eine unklare oder widersprüchliche Regelung zulasten des Arbeitgebers wirken kann. Soll ein Beschäftigter wegen eines Verstoßes abgemahnt oder gekündigt werden, muss für ihn grundsätzlich erkennbar gewesen sein, welches Verhalten von ihm erwartet wurde.
Fehlt ein ausdrückliches Verbot und wurde eine gelegentliche Nutzung über längere Zeit hingenommen, wird eine Kündigung wegen einer einzelnen privaten E-Mail regelmäßig kaum verhältnismäßig sein. Häufig wird der Arbeitgeber zunächst klare Regeln aufstellen und gegebenenfalls eine Abmahnung aussprechen müssen.
Dennoch bestehen arbeitsvertragliche Grundpflichten auch ohne spezielle E-Mail-Richtlinie. Ein Arbeitnehmer darf nicht über Stunden private Angelegenheiten während der bezahlten Arbeitszeit bearbeiten. Er darf keine betrieblichen Geheimnisse an private Adressen versenden und keine erheblichen IT-Sicherheitsrisiken verursachen. Solche Pflichtverletzungen können auch dann arbeitsrechtlich relevant sein, wenn der Arbeitgeber nicht jede denkbare Form der E-Mail-Nutzung zuvor ausdrücklich beschrieben hat.
Entscheidend ist deshalb das Gesamtbild. Je klarer das Verbot bekannt gegeben wurde, je intensiver die Nutzung während der Arbeitszeit war und je schwerer die betrieblichen Auswirkungen wiegen, desto eher kommen Abmahnung oder Kündigung in Betracht. Eine geringfügige und bislang geduldete Privatnutzung ist anders zu behandeln als ein planmäßiger oder sicherheitsrelevanter Missbrauch.
Mitbestimmung des Betriebsrats
Besteht ein Betriebsrat, muss der Arbeitgeber dessen Beteiligungsrechte beachten. Nach § 87 Absatz 1 Nummer 6 BetrVG hat der Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Das betrifft insbesondere Systeme, die E-Mail-Metadaten, Browserverläufe oder sonstige Nutzungsdaten personenbezogen auswerten können.
Davon zu unterscheiden ist die Frage, ob bereits das zugrunde liegende Nutzungsverbot mitbestimmungspflichtig ist. Das Bundesarbeitsgericht hat für ein Verbot der privaten Smartphone-Nutzung während der Arbeitszeit entschieden, dass kein Mitbestimmungsrecht nach § 87 Absatz 1 Nummer 1 BetrVG bestand, weil die Weisung in erster Linie das Arbeitsverhalten und die ordnungsgemäße Erbringung der Arbeitsleistung betraf. Daraus folgt jedoch nicht, dass auch die technische Kontrolle dieses Verbots mitbestimmungsfrei wäre.
Eine Betriebsvereinbarung kann Nutzungsbedingungen und Kontrollverfahren konkretisieren. Sie darf das Schutzniveau der Datenschutz-Grundverordnung aber nicht unterschreiten. Auch eine mit dem Betriebsrat vereinbarte Kontrolle muss erforderlich, zweckgebunden, transparent und verhältnismäßig bleiben.
Was Arbeitgeber rechtssicher regeln sollten
Arbeitgeber sollten nicht darauf vertrauen, dass sich die zulässige Nutzung aus allgemeinen Hinweisen wie „Internet nur dienstlich“ oder „Privatnutzung in angemessenem Umfang“ zweifelsfrei ergibt. Je konkreter die Regelung, desto geringer ist das spätere Konfliktpotenzial.
Eine tragfähige IT-Richtlinie sollte klar zwischen der Nutzung des dienstlichen E-Mail-Accounts, dem Zugriff auf private Webmail-Dienste, der Verwendung des betrieblichen Internetanschlusses und dem Einsatz privater Smartphones unterscheiden. Sie sollte festlegen, ob eine Privatnutzung vollständig verboten oder in einem bestimmten Umfang erlaubt ist und ob sie nur während der Pausen stattfinden darf.
Ebenso wichtig ist eine Regelung für Krankheit, Urlaub und die Beendigung des Arbeitsverhältnisses. Beschäftigte müssen wissen, wie Vertretungszugriffe erfolgen, wie private Nachrichten gekennzeichnet werden können und was vor dem Ausscheiden mit zulässig gespeicherten privaten E-Mails geschehen soll. Zugleich muss verhindert werden, dass geschäftliche Korrespondenz gelöscht oder dem Zugriff des Unternehmens entzogen wird.
Die Richtlinie sollte darüber informieren, welche Protokolldaten zu welchen Zwecken erhoben werden, wie lange sie gespeichert bleiben und unter welchen Voraussetzungen eine personenbezogene Auswertung erfolgt. Zuständigkeiten und Zugriffsrechte müssen begrenzt werden. Für Verdachtsfälle sollte ein abgestuftes Verfahren vorgesehen sein, das Datenschutz, Mitbestimmung und die Interessen der betroffenen Person berücksichtigt. Die Datenschutzaufsichtsbehörden empfehlen ausdrücklich schriftliche Regelungen zu Zugriff, Protokollierung, Auswertung und Kontrolle sowie eine transparente Information über mögliche Sanktionen.
Bei der Gestaltung sollte der betriebliche Datenschutzbeauftragte frühzeitig eingebunden werden. Besteht ein Betriebsrat, sind dessen Mitbestimmungsrechte vor Einführung der Kontrolltechnik zu beachten. Eine erst nach Feststellung eines Verstoßes verfasste Richtlinie kann das frühere Verhalten nicht rückwirkend verbieten.
Was Arbeitnehmer beachten sollten
Beschäftigte sollten zunächst Arbeitsvertrag, Betriebsvereinbarung und IT-Richtlinie prüfen. Fehlt eine klare Regelung, sollte die Erlaubnis nicht einfach unterstellt werden. Eine schriftliche Nachfrage kann spätere Missverständnisse vermeiden. Die Tatsache, dass Kollegen gelegentlich private Nachrichten versenden, ist keine verlässliche Rechtsgrundlage.
Für dauerhafte persönliche Angelegenheiten sollte keine Firmenadresse verwendet werden. Das gilt besonders für Konten, auf die der Beschäftigte auch nach einem Arbeitsplatzwechsel angewiesen ist. Ebenso sollten arbeitsrechtliche Konflikte, medizinische Angelegenheiten und sonstige hochpersönliche Themen möglichst nicht über das betriebliche Postfach kommuniziert werden.
Dienstliche Nachrichten dürfen nicht ohne Genehmigung an private Adressen weitergeleitet werden. Erhält ein Arbeitnehmer eine Abmahnung oder wird eine Untersuchung eingeleitet, sollte er weder Nachrichten noch Verlaufsdaten manipulieren oder löschen. Stattdessen sollte geprüft werden, welche Regelung tatsächlich galt, ob der behauptete Verstoß nachweisbar ist und ob die Kontrollmaßnahme rechtmäßig sowie verhältnismäßig war.
Wird wegen der privaten E-Mail- oder Internetnutzung eine Kündigung ausgesprochen, ist besondere Eile geboten. Eine Kündigungsschutzklage muss grundsätzlich innerhalb von drei Wochen nach Zugang der schriftlichen Kündigung beim Arbeitsgericht erhoben werden. Wird die Frist versäumt, gilt die Kündigung regelmäßig von Anfang an als wirksam. Das gilt grundsätzlich auch für eine außerordentliche oder fristlose Kündigung.
Arbeitnehmer haben grundsätzlich keinen Anspruch darauf, das dienstliche E-Mail-Postfach privat zu verwenden. Zulässig ist die Privatnutzung, wenn sie ausdrücklich erlaubt wurde oder sich im Einzelfall aus einer nachweisbaren, längerfristigen und bewussten Duldung ergeben kann. Eine Erlaubnis gilt nur innerhalb der festgelegten Grenzen und entbindet nicht von der Pflicht, während der Arbeitszeit die geschuldete Leistung zu erbringen.
Arbeitgeber dürfen die Einhaltung eines Privatnutzungsverbots kontrollieren, aber nicht schrankenlos. Eine Totalüberwachung oder eine anlasslose inhaltliche Durchsicht sämtlicher Nachrichten ist grundsätzlich unverhältnismäßig. Kontrollen müssen auf einer tragfähigen Rechtsgrundlage beruhen, transparent ausgestaltet und auf das erforderliche Maß beschränkt werden. Ist eine Nachricht offensichtlich privat, darf ihr Inhalt regelmäßig nicht gelesen werden, wenn bereits weniger eingriffsintensive Daten zur Aufklärung ausreichen.
Ein Verstoß kann eine Abmahnung und bei Wiederholung oder besonderer Schwere auch eine ordentliche oder außerordentliche Kündigung rechtfertigen. Ob eine Kündigung wirksam ist, entscheidet sich jedoch niemals allein anhand des Satzes „Privatnutzung verboten“. Maßgeblich bleiben die Klarheit der Regelung, der Umfang des Verstoßes, seine Auswirkungen und die Frage, ob eine Abmahnung als milderes Mittel ausgereicht hätte.
Für beide Seiten ist deshalb eine eindeutige, datenschutzkonforme und praktisch umsetzbare betriebliche Regelung der sicherste Weg. Dieser Beitrag vermittelt eine allgemeine rechtliche Orientierung und ersetzt keine Prüfung des konkreten Einzelfalls.