Einleitung: acht Stunden täglich in einer vermessenen Umgebung
Sie badgen um 8:47 Uhr. Das Zutrittssystem speichert Uhrzeit, Tür und die Kennung Ihrer Karte. Ihr Dienstrechner verbindet sich mit dem Netzwerk: Der Server behält die IP-Adresse, die Uhrzeit der Anmeldung und den Rechnernamen. Ihr interner Messenger zeigt einen kleinen grünen Punkt, der dem ganzen Unternehmen signalisiert, dass Sie „verfügbar" sind. Mittags belastet die Kantine Ihren Ausweis. Nachmittags öffnen Sie während einer langweiligen Besprechung drei private Tabs – der Proxy notiert sie. Um 18:12 Uhr trennen Sie von Ihrem Zuhause aus die VPN-Verbindung.
Am Ende des Tages halten rund dreißig verschiedene Systeme jeweils ein zeitgestempeltes Fragment Ihrer letzten acht Stunden. Niemand hat Sie „ausspioniert". Jeder Baustein verfolgt einen legitimen Zweck: Gebäudesicherheit, Abrechnung der Kantine, Abwehr von Cyberangriffen, Betriebskontinuität. Zusammengenommen ergeben sie allerdings etwas, das einem Logbuch Ihres Lebens sehr nahekommt.
Das französische Recht schweigt dazu keineswegs – im Gegenteil. Artikel L1121-1 des Arbeitsgesetzbuchs verlangt, dass jede Einschränkung individueller Freiheiten durch die Art der Tätigkeit gerechtfertigt und im Verhältnis zum angestrebten Ziel angemessen ist. Die CNIL hat zahlreiche Empfehlungen zur Cyberüberwachung von Beschäftigten, zur biometrischen Zutrittskontrolle und zur Ortung von Firmenfahrzeugen veröffentlicht. Die Rechtsprechung der Cour de cassation schützt seit dem berühmten Nikon-Urteil von 2001 das Geheimnis privater Korrespondenz der Beschäftigten – selbst auf Firmengeräten.
Dieser Leitfaden will Sie nicht zum Misstrauen gegenüber Ihrem Arbeitgeber anstiften. Er erklärt, was erfasst wird, über welchen Kanal, was das Gesetz erlaubt und was es verbietet – und mit welchen einfachen Handgriffen Sie eine klare Grenze zwischen dem, was dem Unternehmen gehört, und dem, was allein Ihnen gehört, wiederherstellen.
Teil 1 – Die sechs Erfassungskanäle eines Arbeitstags
Kanal 1 – Die physische Zutrittskontrolle
Magnetausweis, kontaktlose Karte, Code, manchmal Fingerabdruck oder Handerkennung. Jeder Durchgang erzeugt einen Datensatz: Kennung, Zeitstempel, Zutrittspunkt. So kann das Unternehmen Ihre Ankunfts- und Abfahrtszeiten, Ihre Pausen und die Etagen, in denen Sie sich bewegen, rekonstruieren.
Die CNIL lässt solche Systeme für die Gebäudesicherheit und – davon getrennt – für die Arbeitszeiterfassung zu, aber nicht für beliebige Zwecke. Zwei Punkte verdienen Aufmerksamkeit:
- Der Zweck muss angekündigt sein. Ein Ausweissystem, das „aus Sicherheitsgründen" eingeführt wurde, darf nicht heimlich dazu dienen, fünf Minuten Verspätung zu sanktionieren. Die CNIL erinnert regelmäßig an den Grundsatz der Zweckbindung (Artikel 5 DSGVO).
- Biometrie ist streng reguliert. Fingerabdruck, Venenmuster oder Handkontur fallen unter Artikel 9 DSGVO. Das Template muss grundsätzlich in der ausschließlichen Kontrolle der Beschäftigten bleiben (etwa auf einer Karte, die sie selbst behalten), und es muss eine Alternative geben.
Kanal 2 – Arbeitsplatzrechner und Netzwerk
Ihr Dienstrechner erzeugt technische Protokolle: Anmeldungen, gestartete Programme, übertragene Datenmengen, angeschlossene USB-Geräte. Firewall und Proxy speichern den Verlauf der aufgerufenen Domains. Antivirus und sogenannte „EDR"-Sicherheitslösungen melden fortlaufend Ereignisse.
Das ist zulässig, sofern es dokumentiert und verhältnismäßig ist. Die CNIL geht davon aus, dass ein Arbeitgeber das Surfverhalten aus Sicherheitsgründen und zur Prüfung auf Missbrauch nachvollziehen darf, aber keine dauerhafte individuelle Überwachung ohne besonderen Anlass einrichten kann.
Kanal 3 – E-Mail und Kollaborationstools
E-Mails, interner Instant Messenger, gemeinsame Kalender, kollaborative Dokumente: Alles liegt auf Unternehmensseite, oft bei einem Cloud-Anbieter. Dazu kommen Metadaten, an die selten jemand denkt:
| Datum | Was es verrät |
|---|---|
| Anwesenheitsstatus (grün/abwesend) | Ihre tatsächlichen Arbeitszeiten, Ihre Pausen |
| Zeitstempel der Nachrichten | Arbeit am Abend, am Wochenende, in der Nacht |
| Versionsverlauf eines Dokuments | Wer was geschrieben hat – und wann |
| Kalender (auch „privat") | Arzttermine, Bewerbungsgespräche |
| Protokolle von Videokonferenzen | Dauer, Teilnehmende, manchmal Aufzeichnung |
Kanal 4 – Homeoffice
Von Zuhause aus ändern sich zwei Dinge. Erstens läuft die Verbindung über ein Unternehmens-VPN: Verbindungs- und Trennungszeiten werden zu einem leicht auswertbaren Aktivitätsindikator. Zweitens verschwindet die räumliche Grenze: Die Kamera Ihres Dienstrechners blickt in Ihr Wohnzimmer, das Mikrofon hört Ihre Familie.
Die CNIL war während der Ausweitung des Homeoffice deutlich: Dauerhafte Überwachungsmaßnahmen (permanent eingeschaltete Webcam, periodische Screenshots, Aufzeichnung der Tastatureingaben) sind unverhältnismäßig – abgesehen von höchst außergewöhnlichen Umständen. Niemand muss jede Minute vor einer Linse rechtfertigen.
Kanal 5 – Fahrzeuge und mobile Endgeräte
Geortetes Dienstfahrzeug, Firmen-Smartphone mit Mobile Device Management (MDM), Zeiterfassungs-App auf dem Handy. Die CNIL regelt die berufliche Ortung streng: Verbot, Beschäftigte außerhalb der Arbeitszeit zu verfolgen, Pflicht, eine Abschaltmöglichkeit für Pausen und erlaubte Privatfahrten vorzusehen.
Kanal 6 – „HR-Analytics"-Tools
Die jüngste und oberste Schicht: Dashboards, die die Indikatoren der vorherigen Werkzeuge zusammenführen, um Scores für „Zusammenarbeit", „Engagement" oder „Produktivität" zu erzeugen. Sobald diese Scores individuell und namentlich werden, verlässt man die kollektive Steuerung und betritt das Feld der automatisierten Bewertung – ein Terrain, auf dem Artikel 22 DSGVO zu automatisierten Einzelfallentscheidungen unmittelbar relevant wird.
Teil 2 – Was Ihr Arbeitgeber darf und was nicht
Drei Bedingungen, die zusammen erfüllt sein müssen
Jede Überwachungsmaßnahme am Arbeitsplatz muss vereinen:
- Einen legitimen und präzisen Zweck. „Die Leistung verbessern" ist kein Zweck, sondern eine Absicht.
- Verhältnismäßigkeit (Artikel L1121-1 des Arbeitsgesetzbuchs). Dem am wenigsten eingreifenden Mittel ist der Vorzug zu geben.
- Transparenz. Individuelle Information der Beschäftigten, Anhörung des Sozial- und Wirtschaftsausschusses (Artikel L2312-38 des Arbeitsgesetzbuchs), Eintragung in das Verarbeitungsverzeichnis und Datenschutz-Folgenabschätzung (DSFA) bei risikoreichen Maßnahmen.
Eine Überwachungsmaßnahme, über die die Beschäftigten nicht informiert wurden, ist grundsätzlich nicht verwertbar: Heimlich erlangte Beweise wurden von den Gerichten lange verworfen und bleiben auch nach der rechtsprechungsmäßigen Lockerung beim unlauter erlangten Beweis sehr angreifbar.
Die Grenze des „Privaten"
Die aus dem Nikon-Urteil hervorgegangene und seither verfeinerte Regel ist im Prinzip einfach:
- Eine Datei oder E-Mail, die als privat gekennzeichnet ist (Ordner „Personnel", eindeutiger Betreff), darf der Arbeitgeber nicht in Ihrer Abwesenheit öffnen – außer bei besonderer Gefahr oder einem besonderen Ereignis.
- Umgekehrt gilt: Alles, was nicht gekennzeichnet ist, wird als beruflich vermutet und darf eingesehen werden. Das ist der häufigste Irrtum: zu glauben, eine private Nachricht bleibe privat, weil sie ihrer Natur nach privat ist. Sie ist es nur, wenn sie als solche gekennzeichnet ist.
- Der Europäische Gerichtshof für Menschenrechte hat in der Sache Bărbulescu gegen Rumänien (2017) zusätzlich eine klare vorherige Information über den Umfang der Kommunikationsüberwachung verlangt.
Was eindeutig unzulässig ist
- Dauerhaftes Abhören oder Aufzeichnen von Gesprächen.
- Eine Kamera, die durchgehend auf einen namentlich zuordenbaren Arbeitsplatz gerichtet ist, oder die in Sozialräumen, Umkleiden oder Sanitäranlagen installiert wird.
- Flächendeckende Keylogger (Tastaturaufzeichner): Die CNIL hat sie als Maßnahmen eingeordnet, die nur in sicherheitsbezogenen Ausnahmefällen zu rechtfertigen sind.
- Das Lesen privater Postfächer der Beschäftigten, auch wenn sie auf dem Dienstrechner geöffnet sind.
- Ortung außerhalb der Arbeitszeit.
Teil 3 – Zehn konkrete Handgriffe zur Trennung
1. Niemals die Behälter vermischen
Das ist die Grundregel. Kein privates Konto auf dem Dienstrechner, kein Firmenordner auf Ihrem privaten Gerät. Wenn Sie viel von Zuhause arbeiten, kostet ein gebrauchtes, rein privat genutztes refurbished Notebook weniger als ein Rechtsstreit und löst 80 % des Problems.
2. Privates ausdrücklich kennzeichnen
Legen Sie in Ihrem Dienstpostfach einen Ordner PERSONNEL an, wenn Sie es ohnehin nutzen müssen, und stellen Sie dem Betreff der seltenen privaten Nachrichten „Personnel" voran. Diese Kennzeichnung hat tatsächlich rechtliche Wirkung.
3. Das Diensttelefon nur beruflich nutzen
Das Firmen-Smartphone steht häufig unter MDM: Die Administration kann Regeln erzwingen, installierte Apps inventarisieren und das Gerät manchmal aus der Ferne löschen. Installieren Sie dort weder Ihr privates Postfach noch Ihre Familienfotos. Wenn Sie keine zwei Geräte tragen wollen, erlaubt ein Dual-SIM-Telefon zumindest die Trennung der Rufnummern, ohne die Konten zu vermischen.
4. Die Kamera abdecken, wenn sie nicht gebraucht wird
Eine selbstklebende Webcam-Abdeckung für wenige Euro beseitigt jeden Zweifel – auch bei fehlerhaft konfigurierter Software. Beim Mikrofon ist ein kabelgebundenes Headset mit mechanischem Schalter besser als ein Software-Button.
5. Das Heim-WLAN als eigenen Bereich behandeln
Im Homeoffice kann das Unternehmens-VPN je nach Konfiguration Ihren gesamten Datenverkehr – auch den privaten – an das Netz des Arbeitgebers weiterleiten. Prüfen Sie, ob „Split Tunneling" aktiviert ist. Andernfalls surfen Sie privat von einem anderen Gerät. Ein WLAN-Router mit Gastnetzwerk erlaubt es, den Dienstrechner vom übrigen Haushalt zu isolieren.
6. Physisch sperren, nicht nur softwareseitig
In einem Gemeinschaftsbüro oder Coworking-Space verhindert eine Blickschutzfolie für den Bildschirm das Mitlesen von der Seite. Einfach – und nicht verhandelbar, wenn Sie sensible Daten bearbeiten oder in der Pause ein privates Dokument ansehen.
7. Ihre IT-Richtlinie lesen – wirklich lesen
Sie existiert fast immer und ist verbindlich. Sie legt die Speicherdauer der Protokolle fest, wer darauf zugreift und was als privater Gebrauch geduldet wird. Das ist Ihre beste Informationsquelle und oft die am leichtesten zugängliche.
8. Ihr Auskunftsrecht ausüben
Die DSGVO gilt im Arbeitsverhältnis uneingeschränkt. Sie können von Ihrem Arbeitgeber eine Kopie der Daten zu Ihrer Person verlangen: Ausweisverläufe, Verbindungsprotokolle, Beurteilungen, Ortungsaufzeichnungen. Richten Sie die Anfrage schriftlich an den Datenschutzbeauftragten (DPO). Die Antwortfrist beträgt einen Monat. Bleibt die Antwort aus, lässt sich die Beschwerde online bei der CNIL einreichen.
9. Den Weg über die Personalvertretung gehen
Eine Maßnahme, die Ihnen unverhältnismäßig erscheint, fällt typischerweise in die Zuständigkeit des Sozial- und Wirtschaftsausschusses, der vor jeder Einführung angehört werden muss. Eine kollektive Meldung hat deutlich mehr Gewicht als ein individueller Widerspruch – und schützt Sie besser.
10. Sensible Vorgänge außerhalb des beruflichen Perimeters halten
Bewerbung bei einem anderen Arbeitgeber, Kontakt zu einer Gewerkschaft, Arzttermin, schwierige familiäre Lage: Nichts davon muss über die Werkzeuge des Unternehmens laufen. Nutzen Sie Ihren privaten Anschluss, Ihre private Adresse, Ihr privates Telefon. Um jemanden zu erreichen, ohne Ihre Nummer offenzulegen – ein Termin, der verschoben werden muss, eine Nachricht, die diskret ankommen soll –, löst der Versand einer anonymen SMS aus dem Browser das Problem, ohne eine Spur in Ihrer dienstlichen Telefonie zu hinterlassen.
Teil 4 – Die drei Situationen, die schiefgehen
Der „zufällig" entdeckte Beweis
Ein Arbeitgeber öffnet einen nicht gekennzeichneten Ordner, findet dort private Inhalte und verwendet sie. Solche Streitigkeiten sind häufig, und ihr Ausgang hängt fast vollständig an einem Detail: War die Datei als privat gekennzeichnet? Daher die Bedeutung der Kennzeichnung – ein Handgriff von zehn Sekunden.
Die Kündigung auf Basis von Verbindungsprotokollen
Browser- oder Ausweisverläufe dienen regelmäßig als Grundlage für Sanktionen. Sie sind verwertbar, wenn sie in einem angemeldeten und verhältnismäßigen Rahmen erhoben wurden. Wurde die Maßnahme den Beschäftigten nicht bekannt gemacht und dem CSE nicht vorgelegt, ist ihr Beweiswert höchst zweifelhaft – ein Punkt, den Sie sofort mit einer Rechtsberatung ansprechen sollten. Ein aktueller praktischer Leitfaden zum Arbeitsrecht erlaubt es, die Grundlagen vor jedem Termin selbst zu prüfen.
Der Austritt aus dem Unternehmen
Mit Vertragsende wird Ihr Konto deaktiviert und Ihre Nachrichten werden archiviert. Wenn Sie private Inhalte im Dienstpostfach, im Kalender oder in der Firmen-Cloud gelassen haben, gehen sie mit. Planen Sie daher einen Monat vor Ihrem Austritt eine systematische Durchsicht ein: Kalender, private Ordner, private Kontakte, geteilte Dokumente, mit Ihrem Dienstkonto verknüpfte Anwendungen.
Fazit: Diskretion ist keine Verschleierung
Es ist nichts Verdächtiges daran, den Namen des eigenen Arztes, eine Bewerbung bei einem anderen Arbeitgeber oder den Inhalt eines Gesprächs mit dem Partner vor dem Arbeitgeber zu bewahren. Das französische Arbeitsrecht und die DSGVO gehen vom gleichen Grundsatz aus: Beschäftigte bleiben Personen, und das Weisungsrecht endet dort, wo ihr Privatleben beginnt.
Was dieser Leitfaden vorschlägt, lässt sich in einem Satz zusammenfassen: die Behälter trennen, Privates kennzeichnen, lesen, was das Unternehmen zu erheben erklärt, und die Rechte ausüben, die die DSGVO Ihnen gibt. Nichts Illegales, nichts Konfliktträchtiges, keine Verschleierung. Nur eine Grenze, bewusst gezogen – dort, wo sie niemand für Sie gezogen hatte.
Zum Weiterlesen: die Informationsblätter der CNIL zu Arbeit und personenbezogenen Daten, der Leitfaden „Télétravail" der ANSSI für die Sicherheitsaspekte und die Seiten des französischen Arbeitsministeriums zur Kontrolle der Tätigkeit von Beschäftigten.
