Die Inventur weist ein Loch aus, die Spesenabrechnung eines Vertrieblers wirkt zu glatt, und Sie wollen endlich Gewissheit. Der naheliegende Reflex: eine versteckte Kamera, ein Blick ins Dienstpostfach, der Standort des Firmenwagens. Genau hier liegt die teuerste Falle des Beschäftigtendatenschutzes — erst überwachen, dann fragen, ob es erlaubt war. Denn wenn die Kontrolle rechtswidrig war, dürfen Sie das Ergebnis vor dem Arbeitsgericht oft nicht verwerten, und aus dem ertappten Dieb wird ein Mitarbeiter mit Schadenersatzanspruch. Hier lesen Sie, wann Sie kontrollieren dürfen, wo die Grenzen verlaufen und wie Sie einen Verdachtsfall aufklären, ohne sich selbst angreifbar zu machen.
Bestände verschwinden, ein Mitarbeiter steht im Fokus. Der Impuls, eine versteckte Kamera aufzuhängen, ist verständlich — nur entscheidet sich hier alles an der Reihenfolge: Erst muss ein konkreter, dokumentierter Verdacht bestehen und müssen mildere Aufklärungswege ausgeschöpft sein. Wer die Kamera vorher anwirft, riskiert, dass die Aufnahme später niemand sehen darf.
Ein Vertriebsmitarbeiter rechnet Fahrten und Bewirtungen ab, die nicht stattgefunden haben; ein anderer surft stundenlang privat. Der Blick ins Dienstpostfach, in Browserverläufe oder GPS-Daten liegt nahe — ist aber datenschutzrechtlich heikel und hängt entscheidend davon ab, ob private Nutzung erlaubt war und wie transparent die Kontrolle geregelt ist.
Sie führen Zeiterfassung per App ein, Telematik in den Firmenfahrzeugen oder eine Zugangskontrolle mit Auswertung. Solche Systeme sind zur Verhaltens- und Leistungskontrolle geeignet — und deshalb mitbestimmungspflichtig. Ein Rollout ohne Betriebsrat und ohne saubere Datenschutz-Grundlage fliegt Ihnen später um die Ohren.
Der Ausgangspunkt ist schlicht: Personenbezogene Daten Ihrer Beschäftigten dürfen Sie für Zwecke des Beschäftigungsverhältnisses verarbeiten, wenn das für dessen Begründung, Durchführung oder Beendigung erforderlich ist (§ 26 Abs. 1 Satz 1 BDSG). Diese Vorschrift füllt für das Arbeitsverhältnis die europäische Vorgabe aus, dass jede Datenverarbeitung eine Rechtsgrundlage braucht (Art. 6 DSGVO), und stützt sich auf die ausdrückliche Öffnungsklausel für Beschäftigtendaten (Art. 88 DSGVO). „Erforderlich" ist der entscheidende Hebel — und die häufigste Sollbruchstelle. Eine flächendeckende Dauerüberwachung, die jeden Handgriff protokolliert, ist praktisch nie erforderlich; sie erfasst Unbeteiligte, sammelt mehr, als der Zweck verlangt, und ist damit unzulässig.
Auf eine Einwilligung des Mitarbeiters können Sie sich nur eingeschränkt verlassen. Im Arbeitsverhältnis ist die Freiwilligkeit besonders zu prüfen, weil der Beschäftigte von Ihnen abhängig ist (§ 26 Abs. 2 BDSG). Eine im Arbeitsvertrag „mitunterschriebene" Pauschal-Einwilligung in beliebige Kontrollen trägt deshalb regelmäßig nicht. Verlassen Sie sich lieber auf eine tragfähige gesetzliche Grundlage und eine transparente betriebliche Regelung als auf eine Unterschrift, die im Streitfall als unfreiwillig gilt.
Praxis Fragen Sie vor jeder Kontrollmaßnahme in dieser Reihenfolge: Welchen konkreten Zweck verfolge ich? Ist die Maßnahme dafür wirklich erforderlich, oder ginge es auch milder? Wie tief greift sie in die Persönlichkeitsrechte ein, und wen trifft sie mit? Wer diese drei Fragen vorher schriftlich beantwortet, hat im Ernstfall genau die Dokumentation, auf die es später ankommt — und merkt oft selbst, dass die geplante Maßnahme über das Ziel hinausschießt.
Wird es konkret — Diebstahl, Betrug, Unterschlagung —, gilt eine verschärfte Regel. Zur Aufdeckung von Straftaten dürfen Sie Beschäftigtendaten nur dann verarbeiten, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse des Beschäftigten nicht überwiegt — insbesondere Art und Ausmaß der Maßnahme im Verhältnis zum Anlass nicht unverhältnismäßig sind (§ 26 Abs. 1 Satz 2 BDSG). Drei Dinge stehen hier hart im Gesetz: ein konkreter Verdacht, dessen Dokumentation und die Verhältnismäßigkeit. Fehlt eines davon, kippt die Maßnahme.
Für die verdeckte Videoüberwachung hat die Rechtsprechung diese Anforderungen früh und streng ausbuchstabiert. Eine heimliche Kamerabeobachtung von Beschäftigten ist nur zulässig, wenn der konkrete Verdacht einer strafbaren Handlung oder einer anderen schweren Verfehlung zu Lasten des Arbeitgebers besteht, weniger einschneidende Mittel zur Aufklärung ergebnislos ausgeschöpft sind, die verdeckte Überwachung damit praktisch das einzig verbleibende Mittel darstellt und sie insgesamt nicht unverhältnismäßig ist (BAG, Urteil vom 27.03.2003 — 2 AZR 51/02; bestätigt für den Verkaufsraum durch BAG, Urteil vom 21.06.2012 — 2 AZR 153/11, und für die verhaltensbedingte Kündigung durch BAG, Urteil vom 22.09.2016 — 2 AZR 848/15). „Ergebnislos ausgeschöpft" heißt: Inventurkontrollen, Vier-Augen-Prinzip, Warenausgangsprüfung, offene Kameras — was milder ist, muss zuerst versucht sein.
Die offene Videoüberwachung öffentlich zugänglicher Bereiche — Verkaufsraum, Empfang, Parkplatz — hat ihre eigene Grundlage und verlangt vor allem, dass die Beobachtung und der Verantwortliche erkennbar gemacht werden (§ 4 BDSG, insbesondere die Kennzeichnungspflicht in Abs. 2). Verdeckt und offen sind also zwei völlig verschiedene Welten: Die offene Kamera lebt von der Transparenz, die verdeckte von der strengen Ausnahme.
Praxis Die gefährlichste Reihenfolge ist die verbreitetste: erst die Kamera aufhängen, den Täter filmen — und erst danach den Anwalt fragen, ob das durfte. Halten Sie den Verdacht, seine tatsächlichen Anhaltspunkte und die bereits erfolglos versuchten milderen Mittel vor der Maßnahme schriftlich fest. Diese Akte ist nicht Bürokratie, sondern der Unterschied zwischen einer verwertbaren Aufnahme und einem teuren Eigentor.
Jenseits des Verdachtsfalls geht es meist um die laufende Kontrolle. Hier entscheidet oft ein Detail, das man leicht übersieht: Ob Sie das Dienstpostfach und den Internetzugang kontrollieren dürfen, hängt maßgeblich davon ab, ob Sie die private Nutzung erlaubt, geduldet oder untersagt haben. Ist private Nutzung gestattet oder wird sie geduldet, wird die Kontrolle deutlich enger; ist sie klar untersagt und dienstlich beschränkt, haben Sie mehr Spielraum. Eine klare, schriftliche Nutzungsregelung ist deshalb kein Formalismus, sondern die Weichenstellung dafür, was Sie später überhaupt einsehen dürfen — und ob Sie eine Auswertung im Streitfall verwerten können.
Bei GPS und Telematik in Firmenfahrzeugen ist eine Ortung zur Disposition, Logistik oder zum Diebstahlschutz des Fahrzeugs eher zu rechtfertigen als die permanente Bewegungsprofilbildung, die in Wahrheit den Mitarbeiter überwacht. Wie eng die Grenzen sind, zeigt der Strafsenat des Bundesgerichtshofs: Das heimliche Anbringen von GPS-Empfängern zur Erstellung von Bewegungsprofilen — dort durch eine Detektei — erfüllt den Straftatbestand des unbefugten Erhebens von Daten; eine Befugnis dazu besteht nur in engen Ausnahmefällen (BGH, Urteil vom 04.06.2013 — 1 StR 32/13). Was für eine beauftragte Detektei strafbar ist, kann für den Arbeitgeber nicht ohne Weiteres erlaubt sein.
Die Zeiterfassung schließlich ist zwar geboten und im Kern zulässig — Beginn, Ende und Dauer der Arbeitszeit sind legitime Daten. Doch je nach System wird sie zur Verhaltens- und Leistungskontrolle: Wer misst, wann jemand die Maus zuletzt bewegt hat, wie lange die Pausen wirklich dauern oder welche Wege im Betrieb genommen werden, verlässt die reine Zeiterfassung. Genau an dieser Grenze wird aus einem harmlosen Werkzeug eine überwachende Einrichtung — mit allen datenschutz- und mitbestimmungsrechtlichen Folgen.
Wo ein Betriebsrat besteht, ist er bei technischen Kontrollmitteln nicht nur zu informieren, sondern mitzubestimmen. Die Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, unterliegt der erzwingbaren Mitbestimmung (§ 87 Abs. 1 Nr. 6 BetrVG). „Bestimmt" wird dabei weit verstanden: Es genügt, dass die Einrichtung zur Überwachung objektiv geeignet ist — auf Ihre Überwachungsabsicht kommt es nicht an. Kamera, Zeiterfassungs- und Telematik-Software, Zugangs- und Torkontrollen, Auswertungstools im E-Mail- und Netzverkehr: Sie alle fallen typischerweise darunter.
Praktisch heißt das: Ohne Zustimmung des Betriebsrats — oder, wenn Sie sich nicht einigen, ohne Spruch der Einigungsstelle (§ 87 Abs. 2 BetrVG) — dürfen Sie ein solches System nicht einführen. Setzen Sie es dennoch ein, ist die Einführung mitbestimmungswidrig; das kann die Nutzung blockieren und die Verwertung der so gewonnenen Daten zusätzlich belasten. Der Betriebsrat ist damit nicht Ihr Gegner, sondern der Weg zur belastbaren Grundlage: Eine Betriebsvereinbarung, die Zweck, Umfang, Zugriff und Löschung regelt, macht die Kontrolle rechtssicher — und ist zugleich eine taugliche Rechtsgrundlage für die Datenverarbeitung.
Praxis Planen Sie ein neues System, holen Sie den Betriebsrat früh ins Boot — nicht erst nach dem Rollout. Eine saubere Betriebsvereinbarung erspart Ihnen zwei Baustellen auf einmal: den Mitbestimmungskonflikt und die Frage nach der datenschutzrechtlichen Grundlage. Im akuten Verdachtsfall wiederum ist die Beteiligung anders zu handhaben — auch hier gilt: erst die Weichen prüfen, dann handeln.
Eine unzulässige Überwachung ist nicht nur „ärgerlich" — sie schlägt an drei Stellen zugleich zurück, und die erste trifft Sie dort, wo Sie eigentlich gewinnen wollten.
Haben Sie rechtswidrig überwacht, kann das Arbeitsgericht die so gewonnenen Erkenntnisse als Beweis ausschließen. Das Bundesverfassungsgericht hat klargestellt, dass allein das Interesse, sich ein Beweismittel zu sichern, den Eingriff in das Persönlichkeitsrecht nicht rechtfertigt — die Art der Informationsbeschaffung selbst muss gerechtfertigt sein (BVerfG, Beschluss vom 09.10.2002 — 1 BvR 1611/96). Praktische Folge: Der auf der verbotenen Aufnahme ertappte Mitarbeiter behält womöglich seinen Job, weil die Kündigung ohne verwertbaren Beweis fällt.
Ein Verstoß gegen die Verarbeitungsgrundsätze kann von der Datenschutz-Aufsicht mit einem empfindlichen Bußgeld geahndet werden — bei schweren Verstößen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 DSGVO). Für die meisten Unternehmen ist der prozentuale Maßstab der bedrohlichere.
Der überwachte Mitarbeiter kann für den erlittenen materiellen und immateriellen Schaden Ersatz verlangen (Art. 82 DSGVO). Aus dem Verdächtigen wird so ein Anspruchsteller — und Sie zahlen für eine Maßnahme, die den Verdacht nicht einmal verwertbar aufklären konnte.
Diese drei Folgen greifen unabhängig voneinander. Selbst wenn der Mitarbeiter tatsächlich etwas getan hat, kann die rechtswidrige Aufklärung die Kündigung entwerten und Sie zusätzlich in die Haftung bringen. Genau deshalb entscheidet sich der Fall vor der Kamera, nicht danach.
Halten Sie schriftlich fest, welche tatsächlichen Anhaltspunkte den Verdacht begründen, gegen wen er sich richtet und worauf er sich stützt. Diese Dokumentation ist keine Kür, sondern gesetzliche Voraussetzung jeder verdeckten Aufklärung (§ 26 Abs. 1 Satz 2 BDSG) — und im Prozess Ihr wichtigster Beleg dafür, dass die Maßnahme erlaubt war.
Bevor eine verdeckte Kamera oder ein Auslesen von Daten überhaupt in Betracht kommt, müssen offene Kontrollen, organisatorische Maßnahmen und ein eingegrenzter Verdächtigenkreis versucht sein. Notieren Sie, was Sie versucht haben und warum es nicht gereicht hat — das ist der Nachweis der Erforderlichkeit.
Wiegen Sie den Anlass gegen die Eingriffstiefe ab: Dauer, Umfang, betroffener Personenkreis, Sensibilität der Daten. Tabuzonen wie Umkleiden, Sanitärräume oder eine flächendeckende Dauerbeobachtung sind praktisch nie zu rechtfertigen. Was unverhältnismäßig ist, bleibt es auch bei bestem Verdacht.
Bei laufenden technischen Systemen führt kein Weg an der Mitbestimmung vorbei (§ 87 Abs. 1 Nr. 6 BetrVG). Schaffen Sie mit einer Betriebsvereinbarung Zweck, Umfang, Zugriffsrechte und Löschfristen — damit erfüllen Sie Mitbestimmung und Datenschutz-Grundlage in einem Schritt.
Gerade wenn es schnell gehen soll, entscheidet die erste Weichenstellung über Verwertbarkeit und Haftung. Lassen Sie den geplanten Weg prüfen, bevor die Kamera läuft oder Daten ausgelesen werden — die Reihenfolge ist hier alles.
Zwei sehr unterschiedliche Kostenrisiken sind auseinanderzuhalten. Das eine ist das Aufsichtsrisiko: Ein bestätigter Datenschutzverstoß kann ein Bußgeld nach sich ziehen, dessen Rahmen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes reicht (Art. 83 Abs. 5 DSGVO) — die tatsächliche Höhe hängt von Schwere, Vorsatz und Ihrer Mitwirkung ab. Das andere ist der arbeitsrechtliche Streit: Scheitert eine Kündigung an einem Beweisverwertungsverbot oder verlangt der Mitarbeiter Schadenersatz (Art. 82 DSGVO), landet die Sache vor dem Arbeitsgericht, wo in der ersten Instanz jede Seite ihre eigenen Anwaltskosten selbst trägt — auch bei Erfolg.
Feste Paketpreise nennen wir bewusst nicht: Ob es um die rechtssichere Ausgestaltung einer laufenden Kontrolle geht oder um die Aufklärung eines akuten Verdachts, macht für Aufwand und Risiko den ganzen Unterschied. Sie erfahren die Größenordnung, sobald wir wissen, worum es geht — und in aller Regel ist die vorherige Weichenstellung deutlich günstiger als die Reparatur einer Maßnahme, die vor Gericht nicht hält.
Nur unter engen Voraussetzungen. Es muss ein konkreter, mit tatsächlichen Anhaltspunkten dokumentierter Verdacht einer Straftat oder schweren Verfehlung bestehen, mildere Aufklärungsmittel müssen ergebnislos ausgeschöpft sein, und die verdeckte Überwachung darf insgesamt nicht unverhältnismäßig sein (§ 26 Abs. 1 Satz 2 BDSG; BAG, Urteil vom 27.03.2003 — 2 AZR 51/02; BAG, Urteil vom 21.06.2012 — 2 AZR 153/11). Wer die Kamera vor dieser Prüfung anwirft, riskiert ein Beweisverwertungsverbot.
Das hängt maßgeblich davon ab, ob die private Nutzung erlaubt, geduldet oder untersagt ist. Bei erlaubter oder geduldeter Privatnutzung sind die Grenzen deutlich enger; bei klarer Beschränkung auf dienstliche Zwecke haben Sie mehr Spielraum. In jedem Fall muss die Kontrolle für einen konkreten Zweck erforderlich und verhältnismäßig sein (§ 26 Abs. 1 BDSG). Eine schriftliche Nutzungsregelung ist die entscheidende Weichenstellung.
In der Regel ja. Telematik- und Ortungssysteme sind geeignet, Verhalten und Leistung zu überwachen, und unterliegen damit der Mitbestimmung (§ 87 Abs. 1 Nr. 6 BetrVG). Zusätzlich braucht die Verarbeitung eine tragfähige Rechtsgrundlage. Eine heimliche, dauerhafte Bewegungsprofilbildung ist besonders kritisch — der Bundesgerichtshof hat sie in einem Detektei-Fall sogar als strafbares unbefugtes Erheben von Daten eingeordnet (BGH, Urteil vom 04.06.2013 — 1 StR 32/13).
Drei Folgen zugleich: Das Arbeitsgericht kann die Erkenntnisse als Beweis ausschließen (Beweisverwertungsverbot; vgl. BVerfG, Beschluss vom 09.10.2002 — 1 BvR 1611/96), die Aufsichtsbehörde kann ein Bußgeld verhängen (Art. 83 DSGVO), und der betroffene Mitarbeiter kann Schadenersatz verlangen (Art. 82 DSGVO). Selbst ein tatsächlich begangener Diebstahl lässt sich dann oft nicht verwertbar ahnden.
Meist nicht. Im Arbeitsverhältnis ist die Freiwilligkeit der Einwilligung wegen der Abhängigkeit des Beschäftigten besonders zu prüfen (§ 26 Abs. 2 BDSG). Eine pauschale Vertragsklausel, die beliebige Kontrollen abdecken soll, trägt regelmäßig nicht. Belastbarer sind eine gesetzliche Grundlage und eine klare betriebliche Regelung, etwa eine Betriebsvereinbarung.
Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48. Gerade wenn ein Verdacht im Raum steht und Sie überlegen, wie Sie ihn aufklären, zählt die richtige Reihenfolge — schildern Sie den Fall lieber, bevor Sie handeln.
„Die teuerste Kamera ist die, die ohne Verdacht und ohne Dokumentation läuft — am Ende steht nicht der Dieb vor Gericht, sondern der Arbeitgeber", sagt Rechtsanwalt Sebastian Müller.
Schildern Sie kurz, worum es geht — Sie erhalten eine erste Einschätzung. Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48.
Anliegen kurz schildern