Einer der Schlüsselbereiche der rechtlichen DSGVO-Compliance (EU-Datenschutz-Grundverordnung – GDPR) ist die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Arbeitsrechtsverhältnis. Wir haben bereits früher über die zutreffende Verarbeitung personenbezogener Daten vor der Begründung des Arbeitsverhältnisses geschrieben. Um die Vorbereitung auf DSGVO zu unterstützen, fasst dieser Artikel die wichtigsten, auch die Verarbeitung personenbezogener Daten betroffenen Bestimmungen der Kontrolle des betrieblichen E-Mail-Accounts mit Augenmerk auf die Praxis der Nationalen Behörde für Datenschutz und Informationsfreiheit in Ungarn (ungarische Abkürzung: NAIH, im Weiteren: NAIH) zusammen.
Interne Ordnung sollte erstellt werden
Im Zusammenhang mit der Nutzung eines betrieblichen E-Mail-Accounts ist es ein häufiges Problem, dass Arbeitnehmer ihre betrieblichen E-Mail-Accounts ohne Zustimmung auch für private E-Mail-Korrespondenz nutzen. Dies führt dazu, dass der Arbeitgeber in den Besitz von personenbezogenen Daten des Arbeitnehmers/der Arbeitnehmerin oder einer anderen, durch die private E-Mail-Korrespondenz betroffenen Person (Nicht-Arbeitnehmer) kommen kann, wenn er aus berechtigtem Interesse den E-Mail-Account kontrolliert. Ein weiteres Problem ist, dass der durch die private E-Mail-Korrespondenz Betroffene (Nicht-Arbeitnehmer) keine Kenntnis darüber hat, dass ein Dritter (der Arbeitgeber) berechtigt ist, seine E-Mail zu kontrollieren. Zur Lösung dieser Problembereiche ist es laut NAIH für den Arbeitgeber in Ungarn unerlässlich, über eine interne Ordnung zu verfügen, in der mindestens die folgenden Punkte zur Nutzung und Kontrolle des betrieblichen E-Mail-Accounts bestimmt werden:
- Ob der betriebliche E-Mail-Account ausschließlich für Betriebszwecke zur Verfügung gestellt wird oder Arbeitnehmer berechtigt sind, ihn auch für private Zwecke zu nutzen
- Bestimmungen für die Erstellung und Aufbewahrung von Backups
- Wann die E-Mails endgültig gelöscht werden
- Kontrollverfahren
Nach Ansicht der NAIH in Ungarn spielt in der Entwicklung einer guten Datenverwaltungspraxis die aktive Verhaltensweise des Arbeitgebers eine Schlüsselrolle. Eine gute Praxis ist unter anderem, wenn der Arbeitgeberregelmäßig seine Arbeitnehmer auf die Bestimmungen der internen Ordnung – zum Beispiel durch Systemnachrichten – aufmerksam macht.
Die Arbeitnehmer sollten bereits vor der Kontrolle des betrieblichen E-Mail-Accounts informiert werden
Bereits vor der Kontrolle des E-Mail-Accounts hat der Arbeitgeber den/die Arbeitnehmer(in) unter anderem über folgende Punkte zu informieren:
- Zu welchem Zweck erfolgt die Kontrolle und auf welchem Interesse des Arbeitgebers (z. B. bei begründetem Verdacht über Verletzung von Geschäftsgeheimnissen) basiert die Kontrolle,
- In wessen Anwesenheit erfolgt die Kontrolle (z.B. für die IT-Abteilung verantwortlicher Arbeitnehmer, HR-Manager) und wer seitens des Arbeitgebers zu deren Durchführung berechtigt ist,
- Aus welchen Schritten besteht die Kontrolle und eine genaue Beschreibung über ihre Durchführung,
- Über welche Rechte verfügt der/die Arbeitnehmer(in) während der Kontrolle und welche Möglichkeiten des Rechtsbehelfs hat er/sie bezüglich der Datenverarbeitung, die mit der Kontrolle des Email-Accounts verbunden sind.
Wichtigste Bestimmungen bei der Kontrolle des E-Mail-Accounts
Um die personenbezogenen Daten bei der Kontrolle des betrieblichen E-Mail-Accounts zu schützen, muss der Arbeitgeber – unter Berücksichtigung der Anforderung zur persönlichen Anwesenheit des Arbeitnehmers/der Arbeitnehmerin und des Fortschrittlichkeitsprinzips – unter anderem folgende Bestimmungen einhalten:
- Die Kontrolle sollte in Anwesenheit des betroffenen Arbeitnehmers/der betroffenen Arbeitnehmerin und unter Führung eines Protokolls durchgeführt werden.
- Die Person, die die Kontrolle durchführt, sollte anhand der ihr vorliegenden Informationen die Oberfläche des E-Mail-Accounts prüfen und unter Berücksichtigung des Fortschrittlichkeitsprinzips aufgrund der E-Mail-Adresse, des Betreffs, des Übermittlungsdatums und des Maßes des Anhangs den Kreis der E-Mails eingrenzen, in die sie Einsicht nehmen möchte.
- Wenn der Arbeitgeber der privaten Nutzung des E-Mail-Accounts nicht zustimmt, umfasst die Prüfung grundsätzlich die Wahrnehmung oder Feststellung, dass der/die Arbeitnehmer(in) die Anweisungen des Arbeitgebers nicht befolgt hat. Der Arbeitgeber ist jedoch nicht berechtigt, den Inhalt privater E-Mails zu lesen. Die Wahrnehmung selbst genügt, um arbeitsrechtliche Rechtsfolgen nach sich zu ziehen.
Bei der Kontrolle des betrieblichen E-Mail-Accounts ist die Einhaltung der oben aufgeführten Bestimmungen bzw. deren Umsetzung seitens des Arbeitgebers ein wichtiger Bestandteil der rechtlichen DSGVO-Compliance.
Wenn Sie wissen möchten, ob die Datenverarbeitungspraxis Ihres Unternehmens –im Zusammenhang mit der Kontrolle des betrieblichen E-Mail-Accounts oder einer anderen Tätigkeit – den Anforderungen der DSGVO entspricht, kontaktieren Sie uns und wir überprüfen gern mittels Datenschutzaudit Ihre derzeitige Praxis!
