Arbeitsrecht: Dürfen Chefs Mitarbeiter-Handys überwachen

Die kurze Antwort lautet: Nur unter engen gesetzlichen Voraussetzungen. Arbeitgeber dürfen dienstliche Smartphones verwalten und Sicherheitsrisiken kontrollieren, aber eine verdeckte Vollüberwachung von Nachrichten, Telefonaten, Aufenthaltsort oder privaten Inhalten ist in Deutschland meist unzulässig. Entscheidend sind Zweck, Umfang, Transparenz und die Frage, ob ein milderes Mittel ausreicht.

Besonders kompliziert wird die Abgrenzung bei Bring-your-own-Device-Modellen. Wird ein privates Handy auch für berufliche E-Mails, Messenger oder Kundendaten genutzt, treffen betriebliche Interessen und das Recht auf Privatsphäre unmittelbar aufeinander. Eine installierte Überwachungs-App macht aus einer technischen Möglichkeit noch keine erlaubte Maßnahme.

Für Elternkontrollen gedachte Funktionen sind deshalb nicht automatisch für den Arbeitsplatz geeignet. Anbieter wie mSpy, Hoverwatch, Highster Mobile oder FlexiSPY werben zwar mit GPS-Ortung, Nachrichtenüberwachung und Anrufaufzeichnung, doch die arbeitsrechtliche Zulässigkeit richtet sich nicht nach der Funktionsliste eines Anbieters.

Der rechtliche Rahmen im Betrieb

Die Verarbeitung von Beschäftigtendaten richtet sich vor allem nach der Datenschutz-Grundverordnung und § 26 BDSG. Daten dürfen grundsätzlich nur verarbeitet werden, wenn dies für das Beschäftigungsverhältnis erforderlich ist oder eine andere tragfähige Rechtsgrundlage besteht. Ein allgemeines Kontrollinteresse genügt nicht.

Zusätzlich gilt der Grundsatz der Verhältnismäßigkeit. Der Arbeitgeber muss ein legitimes Ziel verfolgen, etwa den Schutz vertraulicher Kundendaten, die Abwehr von Cyberangriffen oder die Abrechnung dienstlicher Fahrten. Danach ist zu prüfen, ob eine weniger eingriffsintensive Kontrolle denselben Zweck erfüllen kann.

Existiert ein Betriebsrat, kann dessen Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG erforderlich sein. Das gilt insbesondere bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können. Eine Software darf daher nicht einfach unter Umgehung des Betriebsrats eingeführt werden.

Was bei Diensthandys zulässig sein kann

Auf einem vollständig vom Unternehmen bereitgestellten Smartphone sind bestimmte Verwaltungsfunktionen regelmäßig vertretbar. Dazu gehören die Durchsetzung von Passwortrichtlinien, die Verschlüsselung, die Sperrung bei Verlust, die Installation von Sicherheitsupdates und die Entfernung geschäftlicher Daten. Solche Mobile-Device-Management-Systeme müssen jedoch auf den notwendigen Zweck beschränkt bleiben.

Auch eine begrenzte Standortabfrage kann erlaubt sein, wenn sie für die konkrete Tätigkeit erforderlich ist. Bei einem Kurierdienst kann beispielsweise die aktuelle Position während eines laufenden Auftrags nachvollziehbar sein. Eine permanente Ortung außerhalb der Arbeitszeit oder während Pausen wäre dagegen kaum zu rechtfertigen.

Die Überwachung sollte zudem zeitlich und organisatorisch begrenzt werden. Protokolle müssen geschützt, Zugriffsrechte beschränkt und Löschfristen festgelegt sein. Eine technische Möglichkeit, den gesamten Geräteinhalt auszulesen, bedeutet nicht, dass der Arbeitgeber diese Funktion tatsächlich verwenden darf.

Private Handys und BYOD-Geräte

Bei einem privaten Mitarbeiter-Handy ist die Grenze deutlich strenger. Der Arbeitgeber hat grundsätzlich keinen freien Zugriff auf private Fotos, persönliche Chats, private Kontakte oder den gesamten Browserverlauf. Auch eine Einwilligung ist problematisch, wenn Beschäftigte faktisch keine echte Wahl haben oder Nachteile bei einer Verweigerung befürchten müssen.

Sinnvoller sind getrennte Arbeitsbereiche, Containerlösungen oder ein ausschließlich geschäftlich genutztes Profil. Damit lassen sich Unternehmensdaten sichern, ohne private Inhalte zu erfassen. Die Trennung sollte technisch überprüfbar sein und in einer verständlichen Richtlinie erklärt werden.

Eine ergänzende Übersicht zu digitalen Lösungen ersetzt dabei keine Datenschutzprüfung. Vor der Auswahl einer Monitoring-Software sollten Unternehmen klären, welche Daten tatsächlich benötigt werden, wer sie sehen darf und ob der Anbieter Daten außerhalb der Europäischen Union verarbeitet.

Verdeckte Kontrollen und Gesprächsaufzeichnungen

Heimliche Überwachung ist besonders riskant. Das gilt für versteckte Apps, Keylogger, das Lesen privater Nachrichten und eine Ortung ohne klare Information. Selbst wenn ein Gerät dem Unternehmen gehört, müssen Beschäftigte über Art, Zweck und Umfang der Kontrolle informiert werden. Eine dauerhafte Totalüberwachung verletzt regelmäßig das Persönlichkeitsrecht.

Das Aufzeichnen von Telefonaten ist ein eigener Problemkreis. Das heimliche Aufnehmen nichtöffentlich gesprochener Worte kann nach § 201 StGB strafbar sein. Für Kunden- oder Supportgespräche braucht es deshalb ein sauberes Verfahren mit transparenter Information und einer zulässigen Rechtsgrundlage. Ein bloßer Hinweis, dass das Diensthandy überwacht werde, reicht nicht automatisch für jede Gesprächsaufzeichnung.

Auch Nachrichtenkontrolle ist nicht pauschal erlaubt. Arbeitgeber dürfen Sicherheitsprotokolle oder geschäftliche E-Mail-Systeme unter klaren Regeln prüfen, sollten aber private Kommunikation ausfiltern. Eine Überwachungslösung ohne Root oder Jailbreak kann technisch leichter einsetzbar sein, wie diese Übersicht zu Überwachungs-Apps zeigt; rechtlich wird der Eingriff dadurch jedoch nicht automatisch zulässig.

Funktionen und rechtliche Risiken im Vergleich

Funktion Möglicher betrieblicher Zweck Typisches Risiko Eher vertretbarer Ansatz
GPS-Ortung Einsatzplanung oder Nachweis einer Dienstfahrt Kontrolle außerhalb der Arbeitszeit Nur während konkreter Aufträge
Nachrichtenprüfung Schutz vor Datenabfluss Einsicht in private Kommunikation Filter für geschäftliche Systeme
Anrufaufzeichnung Qualitätssicherung im Support Strafbarkeit bei heimlicher Aufnahme Transparente Ansage und begrenzte Speicherung
Fernsperrung Schutz bei Verlust oder Diebstahl Verlust privater Daten bei BYOD Geschäftsdaten separat löschen
App- und Geräteprotokolle IT-Sicherheit Leistungs- und Verhaltensprofil Aggregierte, zweckgebundene Auswertung
Kamera- oder Mikrofonzugriff In der Regel kein normaler Zweck Schwerer Eingriff in die Privatsphäre Nicht einsetzen, außer in engsten Sonderfällen

Einwilligung, Richtlinien und Kontrolle

Eine wirksame Regelung sollte vor dem Einsatz schriftlich festlegen, welche Geräte betroffen sind, welche Daten erhoben werden und wann eine Auswertung stattfindet. Ebenso wichtig sind Angaben zu Speicherdauer, Verantwortlichen, Zugriffen, Dienstleistern und den Rechten der Beschäftigten. Unklare Formulierungen wie „angemessene Kontrolle“ schaffen mehr Unsicherheit als Rechtssicherheit.

Arbeitgeber sollten außerdem eine Datenschutz-Folgenabschätzung prüfen, wenn eine umfangreiche oder systematische Überwachung geplant ist. Bei hohem Risiko kann die Datenschutzbeauftragte oder der Datenschutzbeauftragte frühzeitig einbezogen werden. Beschäftigte müssen wissen, an wen sie sich bei Fragen oder Beschwerden wenden können.

Für Unternehmen empfiehlt sich vor der Anschaffung einer App folgende Prüfung:

Werden diese Punkte ignoriert, drohen nicht nur Beschwerden bei der Datenschutzaufsicht, sondern auch arbeitsrechtliche Konflikte, Unterlassungsansprüche und gegebenenfalls Bußgelder. Eine vermeintlich günstige Überwachungs-App kann dadurch erhebliche Folgekosten verursachen.

Vor einer Entscheidung sollten Arbeitgeber daher jede gewünschte Funktion einzeln rechtlich und technisch bewerten. Vergleichen Sie Anbieter nicht nur nach GPS-Tracking, Anrufaufzeichnung oder Nachrichtenmonitoring, sondern vor allem nach Transparenz, Datenminimierung und Kontrollmöglichkeiten. So entsteht eine Lösung, die Sicherheitsinteressen schützt, ohne die Privatsphäre der Beschäftigten unverhältnismäßig zu verletzen.