Überwachung im Homeoffice: Was der Arbeitgeber kontrollieren darf

Im April 2015 installierte ein Arbeitgeber auf dem Dienstrechner eines Webentwicklers einen Keylogger. Das Programm speicherte jeden Tastenanschlag und fertigte regelmäßig Bildschirmfotos an. Die Auswertung zeigte private Nutzung während der Arbeitszeit, der Arbeitgeber kündigte fristlos und hilfsweise ordentlich. Das Bundesarbeitsgericht erklärte beide Kündigungen für unwirksam und die Daten für unverwertbar (Urteil vom 27.7.2017, 2 AZR 681/16). Der Fall spielte im Büro, der Maßstab gilt im Homeoffice genauso: Kontrolle ist erlaubt, soweit sie für das Arbeitsverhältnis erforderlich ist. Eine lückenlose Überwachung ohne konkreten Verdacht ist es nicht.

Darf der Arbeitgeber im Homeoffice überhaupt kontrollieren?

Ja. Der Arbeitsort ändert nichts daran, dass der Arbeitgeber prüfen darf, ob und wie gearbeitet wird. Grundlage ist § 26 Abs. 1 Satz 1 BDSG: Personenbezogene Daten von Beschäftigten dürfen verarbeitet werden, wenn das für die Durchführung des Beschäftigungsverhältnisses erforderlich ist.

Erforderlich sind zum Beispiel Beginn und Ende der täglichen Arbeitszeit. Die muss der Arbeitgeber sogar erfassen. Das Bundesarbeitsgericht leitet die Pflicht aus § 3 Abs. 2 Nr. 1 ArbSchG ab (Beschluss vom 13.9.2022, 1 ABR 22/21). Wie das zu Hause praktisch funktioniert, steht im Beitrag zur Arbeitszeit im Homeoffice. Üblich und zulässig sind außerdem Rückfragen zum Arbeitsstand, feste Videobesprechungen und die Prüfung von Arbeitsergebnissen.

Die Grenze liegt dort, wo die Kontrolle mehr erfasst, als der Zweck verlangt. Ein Programm, das jeden Tastendruck speichert, erfasst auch Passwörter und private Nachrichten. Das hat das BAG im Keylogger-Fall beanstandet. Die Aufzeichnung sei ähnlich eingriffsintensiv wie eine verdeckte Videoüberwachung, weil sie nahezu die gesamte Tätigkeit am Rechner abbildet.

Gilt § 26 BDSG nach dem EuGH-Urteil noch?

Die Vorschrift steht weiter im Gesetz. Ihre Generalklausel ist aber angreifbar geworden. Der Europäische Gerichtshof hat am 30.3.2023 entschieden (C-34/21), dass eine nationale Vorschrift nur dann eine „spezifischere Vorschrift“ im Sinne von Art. 88 Abs. 1 DSGVO ist, wenn sie die Vorgaben aus Art. 88 Abs. 2 DSGVO erfüllt.

Art. 88 Abs. 2 DSGVO verlangt geeignete und besondere Maßnahmen zum Schutz der menschlichen Würde, der berechtigten Interessen und der Grundrechte der Beschäftigten. Ausdrücklich genannt sind die Transparenz der Verarbeitung und Überwachungssysteme am Arbeitsplatz. Im Ausgangsfall ging es um hessische Lehrkräfte, deren Unterricht während der Pandemie per Videokonferenz übertragen wurde. Eine Regel, die eine Verarbeitung nur davon abhängig macht, dass sie für das Dienstverhältnis erforderlich ist, scheint nach Einschätzung des Gerichtshofs lediglich eine Bedingung zu wiederholen, die schon in Art. 6 Abs. 1 Unterabs. 1 Buchst. b DSGVO steht. Ob das zutrifft, muss das vorlegende Verwaltungsgericht prüfen.

§ 26 Abs. 1 Satz 1 BDSG ist nach demselben Muster gebaut. Am Maßstab für Beschäftigte ändert das wenig. Fehlt eine wirksame spezifischere Vorschrift, gilt nach dem Urteil unmittelbar die DSGVO, und auch sie knüpft die Verarbeitung an die Erforderlichkeit, etwa für die Erfüllung des Arbeitsvertrags. Strenger formuliert ist § 26 Abs. 1 Satz 2 BDSG für die Aufdeckung von Straftaten: Den Verdacht müssen tatsächliche Anhaltspunkte begründen, die der Arbeitgeber dokumentiert, und die Maßnahme darf im Verhältnis zum Anlass nicht unverhältnismäßig sein.

Sind Keylogger oder eine Dauerkamera erlaubt?

Ohne konkreten Verdacht nicht. Nach dem Urteil 2 AZR 681/16 ist ein Software-Keylogger nur zulässig, wenn gegen die überwachte Person ein auf Tatsachen gestützter Verdacht einer Straftat oder einer anderen schwerwiegenden Pflichtverletzung besteht.

Der Arbeitgeber im Keylogger-Fall hatte die Überwachung per E-Mail angekündigt, der Webentwickler widersprach nicht. Eine Einwilligung lag darin trotzdem nicht, zumal die Mail nur eine Kontrolle des Internetverkehrs nahelegte. Für Einwilligungen gilt heute § 26 Abs. 2 BDSG. Ob sie freiwillig ist, richtet sich insbesondere nach der Abhängigkeit im Arbeitsverhältnis und den Umständen, unter denen sie erteilt wurde. Sie muss schriftlich oder elektronisch erfolgen, und der Arbeitgeber muss in Textform über den Zweck und das Widerrufsrecht aufklären.

Für Programme, die in kurzen Abständen Bildschirmfotos anfertigen, Tastatur- und Mausaktivität messen oder die Kamera dauerhaft einschalten, gilt derselbe Maßstab. Eine durchgehend laufende Webcam reicht in die Wohnung hinein und erfasst auch Mitbewohner und Kinder. Als erforderlich, um die Arbeitsleistung zu prüfen, lässt sich das kaum begründen.

Maßnahme	Ohne besonderen Anlass zulässig?	Grundlage
Beginn und Ende der Arbeitszeit erfassen	Ja, sogar Pflicht	§ 3 Abs. 2 Nr. 1 ArbSchG, BAG 1 ABR 22/21
Rückfragen, Videobesprechungen, Kontrolle der Ergebnisse	Ja	§ 26 Abs. 1 Satz 1 BDSG
Software, die Anmelde- oder Aktivitätsdaten protokolliert	Nur mit Zustimmung des Betriebsrats, sofern es einen gibt	§ 87 Abs. 1 Nr. 6 BetrVG, BAG 1 ABR 7/15
Keylogger mit regelmäßigen Bildschirmfotos	Nein, nur bei konkretem Verdacht	BAG 2 AZR 681/16
Beobachtung durch einen Detektiv	Nein, nur bei konkretem Verdacht einer schweren Pflichtverletzung	BAG 2 AZR 597/16
Besuch in der Wohnung	Nur mit Zustimmung der Bewohner	Art. 13 GG, § 123 StGB

Was darf der Betriebsrat bei Kontrollsoftware mitbestimmen?

Bei jeder technischen Einrichtung, die Verhalten oder Leistung überwachen kann. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat dieses Recht bei Einführung und Anwendung, soweit keine gesetzliche oder tarifliche Regelung besteht.

Auf die Absicht des Arbeitgebers kommt es nicht an. Das BAG lässt genügen, dass eine Einrichtung objektiv geeignet ist, Verhaltens- oder Leistungsdaten zu erheben und aufzuzeichnen (Beschluss vom 13.12.2016, 1 ABR 7/15). Nach diesem Maßstab können auch Videokonferenzprogramme, Chatsysteme mit Statusanzeige und Zugangsprotokolle für das Firmennetz darunter fallen, selbst wenn niemand die Daten auswerten will.

Für das Homeoffice kommt § 87 Abs. 1 Nr. 14 BetrVG hinzu: Der Betriebsrat bestimmt bei der Ausgestaltung mobiler Arbeit mit, die mit Informations- und Kommunikationstechnik erbracht wird. Einigen sich Arbeitgeber und Betriebsrat nicht, entscheidet die Einigungsstelle (§ 87 Abs. 2 BetrVG). Eine Betriebsvereinbarung kann die Datenverarbeitung nach § 26 Abs. 4 BDSG auch selbst erlauben, muss dabei aber Art. 88 Abs. 2 DSGVO beachten. Wie solche Vereinbarungen aussehen, zeigen die Themenseite Betriebsrat und Mitbestimmung und der Beitrag zu Homeoffice-Regeln für Arbeitgeber.

Darf der Arbeitgeber die Wohnung betreten?

Nur mit Ihrer Zustimmung. Art. 13 Abs. 1 GG erklärt die Wohnung für unverletzlich. Wer widerrechtlich in eine fremde Wohnung eindringt oder auf Aufforderung nicht geht, macht sich nach § 123 StGB wegen Hausfriedensbruchs strafbar.

Praktisch wird die Frage bei der Telearbeit, also einem fest eingerichteten Bildschirmarbeitsplatz in der Wohnung nach § 2 Abs. 7 ArbStättV. Ein solcher Platz gilt erst als eingerichtet, wenn der Arbeitgeber oder eine von ihm beauftragte Person Mobiliar und Arbeitsmittel im Privatbereich bereitgestellt und installiert hat. Die Telearbeitsvereinbarung sollte deshalb festlegen, wann und mit welcher Vorankündigung jemand für Aufbau, Wartung oder eine Prüfung des Arbeitsplatzes kommen darf. Was der Arbeitgeber beim Arbeitsschutz schuldet, erklärt der Beitrag zu Arbeitsschutz bei Telearbeit. Beim mobilen Arbeiten ohne fest eingerichteten Platz entfällt dieser Anlass.

Was droht, wenn jemand Arbeit mit einem Mausbeweger vortäuscht?

Je nach Fall eine Abmahnung oder eine Kündigung. Ein Mausbeweger ist ein kleines Gerät oder Programm, das den Mauszeiger in Bewegung hält, damit Rechner und Chatstatus aktiv wirken. Für solche Hilfsmittel gelten die allgemeinen Regeln zum Arbeitszeitbetrug.

Das BAG hat entschieden, dass eine vorsätzlich falsche Dokumentation der Arbeitszeit ein wichtiger Grund für eine fristlose Kündigung nach § 626 Abs. 1 BGB sein kann. Ein wirtschaftlicher Schaden ist dafür nicht nötig, und es kommt nicht darauf an, ob das Verhalten strafrechtlich als Betrug gilt (Urteil vom 26.9.2013, 2 AZR 682/12). Ein Mausbeweger allein dokumentiert noch keine Arbeitszeit. Wird er eingesetzt, um Anwesenheit vorzuspiegeln, während die Stunden als Arbeitszeit erfasst werden, liegt der Vergleich aber nahe.

Beweisen muss den Verstoß der Arbeitgeber. Eine verdeckte Beobachtung, etwa durch einen Detektiv, ist nach dem BAG-Urteil vom 29.6.2017 (2 AZR 597/16) nur bei einem auf konkrete Tatsachen gestützten Verdacht einer schwerwiegenden Pflichtverletzung zulässig, Ermittlungen „ins Blaue hinein“ sind es nicht. Anders liegt es bei offener Überwachung, mit der Beschäftigte rechnen mussten. Aufnahmen einer sichtbaren Kamera am Werkstor durfte der Arbeitgeber im Kündigungsschutzprozess grundsätzlich verwenden, auch wenn die Überwachung nicht vollständig datenschutzkonform war (BAG, Urteil vom 29.6.2023, 2 AZR 296/22). Das Gericht formulierte dazu: „Datenschutz ist kein Tatenschutz.“

Wie finden Sie heraus, welche Daten Ihr Arbeitgeber speichert?

Mit einem Auskunftsantrag nach Art. 15 DSGVO. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit beschreibt das Verfahren so:

1. Stellen Sie den Antrag formlos und ohne Begründung, am besten schriftlich oder über einen sicheren elektronischen Weg. Die erste Kopie ist grundsätzlich kostenlos.
2. Verlangen Sie neben der Bestätigung, welche Daten verarbeitet werden, die Zwecke, die Herkunft und die Empfänger sowie eine Kopie der Daten. Eine bloße Beschreibung nach Kategorien reicht nicht.
3. Fragen Sie den Betriebsrat, ob für die eingesetzte Software eine Betriebsvereinbarung besteht und was sie zur Auswertung regelt.
4. Haben Sie in eine Überwachung eingewilligt, können Sie die Einwilligung nach Art. 7 Abs. 3 DSGVO widerrufen. Auf dieses Recht muss der Arbeitgeber nach § 26 Abs. 2 BDSG in Textform hinweisen.
5. Bleibt die Auskunft aus, wenden Sie sich mit dem Schriftverkehr an die zuständige Datenschutzaufsichtsbehörde.

Auskunftsrechte haben Grenzen, etwa bei Rechten Dritter oder Geschäftsgeheimnissen; Namen von Kolleginnen und Kollegen werden dann meist geschwärzt. Hängt an der Auskunft eine Abmahnung oder Kündigung, lohnt sich eine Beratung durch einen Fachanwalt für Arbeitsrecht. Weitere Beiträge zu Firmengeräten und vertraulichen Daten sammelt die Themenseite Datenschutz und IT-Sicherheit.