Mitarbeiterüberwachung rechtssicher mit Apps gestalten

Digitale Monitoring-Lösungen können Unternehmen dabei unterstützen, Arbeitsgeräte zu verwalten, Außendienstteams zu koordinieren oder den Schutz vertraulicher Daten zu verbessern. Funktionen wie GPS-Ortung, Aktivitätsprotokolle und Gerätesicherheit greifen jedoch tief in die Privatsphäre von Beschäftigten ein. Eine Überwachungs-App ist deshalb kein gewöhnliches Verwaltungswerkzeug.

In Deutschland gelten für die Verarbeitung von Beschäftigtendaten vor allem die Datenschutz-Grundverordnung, das Bundesdatenschutzgesetz und – bei vorhandener Arbeitnehmervertretung – die Mitbestimmungsrechte des Betriebsrats. Zusätzlich können strafrechtliche Vorschriften relevant werden, etwa bei heimlicher Tonaufzeichnung oder dem Zugriff auf private Kommunikation.

Entscheidend ist nicht, wie viele Funktionen ein Anbieter verspricht, sondern ob der konkrete Einsatz erforderlich, transparent und verhältnismäßig ist. Unternehmen sollten Monitoring-Software daher vor der Auswahl rechtlich, technisch und organisatorisch prüfen.

Zweck und Grenzen klar festlegen

Am Anfang muss ein konkreter betrieblicher Zweck stehen. Die Verwaltung firmeneigener Smartphones, der Schutz vor Schadsoftware oder die Ortung von Dienstfahrzeugen sind anders zu bewerten als eine permanente Kontrolle von Nachrichten, Tastatureingaben oder privaten Anrufen. Eine pauschale Überwachung „zur Sicherheit“ reicht in der Regel nicht aus.

Für jede Funktion sollte dokumentiert werden, warum sie benötigt wird, welche Daten anfallen und wie lange diese gespeichert werden. Eine GPS-Ortung während der Arbeitszeit kann bei bestimmten Außendiensttätigkeiten vertretbar sein. Eine Ortung außerhalb der Arbeitszeit ist hingegen regelmäßig unverhältnismäßig, sofern keine besondere und klar geregelte Notwendigkeit besteht.

Datenschutzrechtliche Grundlage prüfen

Die Verarbeitung von Mitarbeiterdaten braucht eine belastbare Rechtsgrundlage. Im Beschäftigungskontext kommen insbesondere § 26 BDSG, eine wirksame Betriebsvereinbarung oder in bestimmten Fällen eine Einwilligung infrage. Eine Einwilligung von Beschäftigten ist allerdings nicht automatisch freiwillig, weil zwischen Arbeitgeber und Arbeitnehmer ein Abhängigkeitsverhältnis besteht.

Betroffene müssen verständlich informiert werden. Dazu gehören Zweck, Umfang, Rechtsgrundlage, Empfänger, Speicherdauer und die Rechte der Beschäftigten. Verdeckte Überwachung ist nur in sehr engen Ausnahmefällen denkbar und darf nicht zum normalen Kontrollinstrument werden. Bei sensiblen Daten oder einer systematischen Überwachung kann außerdem eine Datenschutz-Folgenabschätzung erforderlich sein.

Betriebsrat und technische Mitbestimmung

Viele Monitoring-Apps beeinflussen das Verhalten oder die Leistung von Beschäftigten. Werden sie zur Kontrolle eingesetzt oder können sie entsprechende Auswertungen ermöglichen, ist häufig § 87 Absatz 1 Nummer 6 BetrVG relevant. Der Betriebsrat muss dann vor der Einführung und Nutzung einbezogen werden.

Eine Betriebsvereinbarung sollte präzise festlegen, welche Geräte überwacht werden, wann die Erfassung aktiv ist, wer Zugriff erhält und wann Daten gelöscht werden. Ebenso wichtig sind Regeln für private Nutzung, Homeoffice, Krankheit, Urlaub und die Trennung von Arbeits- und Privatprofil. Ohne klare Grenzen kann selbst eine technisch gut abgesicherte Anwendung rechtlich problematisch bleiben.

Bei der Auswahl eines Dienstes sollten Anbieterangaben nicht ungeprüft übernommen werden. Aussagen wie „unsichtbarer Modus“, „vollständige Nachrichtenüberwachung“ oder „unbegrenzte Ortung“ können auf erhebliche Risiken hinweisen. Für einen rechtmäßigen Unternehmenseinsatz sind Transparenz und kontrollierbare Einstellungen wichtiger als maximale Überwachung.

Prüfkriterium Rechtlich sinnvoll Kritisches Signal
Zweckbindung Einzelne, dokumentierte Geschäftsziele Allgemeine Verhaltenskontrolle
GPS-Funktion Aktivierung nur in erforderlichen Zeitfenstern Ortung rund um die Uhr
Nachrichten Schutz dienstlicher Systeme mit klaren Grenzen Auslesen privater Chats
Tonaufzeichnung Nur nach besonderer rechtlicher Prüfung Heimliche Gesprächsaufnahme
Zugriff Rollen, Protokollierung und wenige Berechtigte Gemeinsame Administrator-Passwörter
Speicherung Kurze, begründete Löschfristen Unbegrenzte Historien
Anbieter Auftragsverarbeitung, EU-Konzept und Transparenz Unklare Datenflüsse in Drittstaaten

GPS-Ortung und Kommunikationskontrolle

Standortdaten gehören zu den besonders aussagekräftigen Informationen über eine Person. Sie können Arbeitszeiten, Pausen, Arztbesuche oder private Aufenthaltsorte offenlegen. Deshalb sollte die Ortung möglichst auf Dienstzeiten, definierte Fahrzeuge oder konkrete Einsatzorte beschränkt werden. Eine technische Möglichkeit ist noch kein rechtlicher Freibrief.

Das Mitlesen von SMS, Messenger-Nachrichten oder E-Mails ist besonders heikel. Private Kommunikation darf grundsätzlich nicht heimlich kontrolliert werden. Auch bei dienstlichen Nachrichten muss geprüft werden, ob ein weniger eingreifendes Verfahren genügt, etwa eine zentrale Archivierung geschäftlicher E-Mails oder ein Mobile-Device-Management ohne Inhaltszugriff.

Tonaufnahmen sind zusätzlich problematisch. Das unbefugte Aufnehmen nichtöffentlich gesprochener Worte kann nach § 201 StGB strafbar sein. Funktionen zur Anrufaufzeichnung sollten deshalb nicht einfach aktiviert werden, selbst wenn die App sie technisch anbietet.

Sichere Alternativen zu Spionage-Apps

Für viele betriebliche Ziele existieren Lösungen, die weniger in die Privatsphäre eingreifen. Ein Mobile-Device-Management kann beispielsweise Sicherheitsupdates, Verschlüsselung, App-Freigaben und eine Fernlöschung verwalten, ohne private Nachrichten auszulesen. Container für geschäftliche Daten trennen berufliche und persönliche Inhalte auf demselben Gerät.

Bei Dienstfahrzeugen kann eine klar gekennzeichnete Telematiklösung zweckmäßiger sein als eine verdeckte Mitarbeiter-App. Für Arbeitszeiterfassung eignen sich Systeme, die nur Beginn, Ende und erforderliche Projektdaten speichern. Technische Maßnahmen sollten immer so konfiguriert werden, dass standardmäßig möglichst wenige personenbezogene Daten verarbeitet werden.

Auch BYOD-Szenarien benötigen besondere Vorsicht. Nutzt ein Mitarbeiter sein eigenes Smartphone, sollte der Arbeitgeber möglichst auf ein getrenntes Arbeitsprofil oder eine geschäftliche Anwendung setzen. Vollzugriff auf das private Gerät ist in der Regel weder erforderlich noch angemessen.

Anbieter und Verträge sorgfältig vergleichen

Vor dem Einsatz einer Überwachungs- oder Verwaltungs-App sollten Unternehmen den Anbieter auf Datenschutz und Sicherheit prüfen. Wichtig sind ein Vertrag zur Auftragsverarbeitung, klare Angaben zu Hosting und Unterauftragnehmern, Verschlüsselung, Rollenverwaltung, Protokollierung und regelmäßige Sicherheitsupdates. Unklare Angaben zur Datenübermittlung außerhalb der EU verdienen besondere Aufmerksamkeit.

Diese Punkte helfen bei der praktischen Bewertung:

Eine App mit GPS-Tracking, Anrufprotokollen oder Aktivitätsberichten sollte zunächst in einer begrenzten Testumgebung geprüft werden. Dabei ist zu kontrollieren, welche Daten tatsächlich übertragen werden, ob Deaktivierungen funktionieren und ob Administratoren mehr sehen können als vorgesehen.

Wer Mitarbeiter-Apps vergleicht, sollte deshalb Datenschutzfunktionen genauso gewichten wie technische Leistungsmerkmale. Eine transparente Geräteverwaltung kann für Unternehmen nützlich sein; eine heimliche Spyware-Lösung kann dagegen arbeitsrechtliche, datenschutzrechtliche und strafrechtliche Folgen auslösen.

Prüfen Sie vor der Einführung den konkreten Zweck, dokumentieren Sie die Entscheidung und lassen Sie die Konfiguration rechtlich bewerten. So entsteht ein Kontrollsystem, das betriebliche Sicherheit unterstützt, ohne die Privatsphäre der Beschäftigten unnötig zu verletzen.