Küttner Blog
12 Minuten Lesezeit (2372 Worte)

Nur Kontrolle oder schon Überwachung? – Die Einhaltung von Compliance-Vorgaben in Unternehmen

kontrolle
Unternehmen sehen sich mehr denn je in der Pflicht, eine funktionsfähige Compliance-Organisation zu installieren und auf diese Weise die Einhaltung der Gesetze und unternehmensinternen Regelungen sicherzustellen. Die Verantwortung für das gesetzmäßige Handeln eines Unternehmens trägt die Geschäftsleitung. Sie hat bei Rechtsverstößen grundsätzlich die Konsequenzen zu tragen und auch für Vermögensschäden des Unternehmens einzustehen.
Eine interne Delegation von Aufgaben beseitigt diese Verantwortung nicht und erscheint auch deshalb ungeeignet, weil eine Inanspruchnahme rechtswidrig handelnder Arbeitnehmer*innen angesichts der Grundsätze privilegierter Arbeitnehmerhaftung nur sehr eingeschränkt möglich ist. Nichts liegt daher näher, als einzelne Prozesse und Abläufe – und damit auch die Arbeit der Beschäftigten – engmaschig zu kontrollieren bzw. kontrollieren zu lassen. Dabei rücken mit der Digitalisierung der Arbeitswelt technische Überwachungsmöglichkeiten wie GPS-Ortung, Videoüberwachung und ein Einsatz von Spyware in den Fokus. Doch inwieweit ist ihr Einsatz überhaupt zulässig und mündet nicht selbst in Compliance-widrige Überwachung? – Der folgende Beitrag soll hierüber einen groben Überblick geben.

I.

„Überwachung“ ist Bestandteil eines jeden Compliance-Management-Systems (CMS)

Zunächst ist festzuhalten: Eine funktionsfähige Compliance-Organisation beinhaltet auch eine Kontrolle der im Unternehmen eingesetzten Arbeitnehmer*innen.
Nach dem Deutschen Corporate Governance Kodex von 2022 (DCGK) ist für einen verantwortungsvollen Umgang mit den Risiken der Geschäftstätigkeit ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem erforderlich. Weiter heißt es ausdrücklich, dass dies eine „interne Überwachung“ voraussetzt. Die Verantwortung für das Compliance-System liegt bei der Geschäftsleitung: Diese hat für die Einhaltung der gesetzlichen Bestimmungen und internen Richtlinien zu sorgen und auf deren Beachtung im Unternehmen hinzuwirken.
Der DCGK enthält neben wesentlichen gesetzlichen Vorschriften zur Leitung und Überwachung börsennotierter Gesellschaften auch Empfehlungen und Anregungen zur Unternehmensführung, deren Befolgung eine verantwortungsvolle Unternehmensführung nach international und national anerkannten Standards ermöglicht. Auch wenn sich der Kodex primär an Gesellschaften mit Kapitalmarktzugang richtet, soll er nach Vorstellung der Regierungskommission auch allen anderen Unternehmen als Orientierung in Compliance-Fragen dienen. Wird eine Geschäftsleitung diesen Leitlinien nicht gerecht, setzt sie daher das Unternehmen und in der Folge sich selbst einem Haftungsrisiko aus, da sie für pflichtwidrig herbeigeführte Schäden der Gesellschaft einzustehen hat (z.B. nach § 43 Abs. 2 GmbHG oder § 93 Abs. 2 AktG). Hinzu kommt je nach Fallgestaltung eine strafrechtliche Verantwortung als gesetzlicher Vertreter oder beauftragte Person gemäß § 14 Abs. 1 bzw. 2 StGB. Beispielhaft veranschaulichen lässt sich das Risikopotential an der Haftung eines Vorstands im zweistelligen Millionenbereich im Bestechungsskandal der Siemens AG (LG München I, Urteil vom 10. Dezember 2013 – 5 HK O 1387/10) und an der strafrechtlichen Verantwortung von Vorstandsmitgliedern und der Personalleitung im Fall überhöhter Betriebsratsvergütungen (so jüngst BGH, Urteil vom 10. Januar 2023 – 6 StR 133/22 zur Vergütungspraxis im Volkswagen-Konzern).
Ein funktionsfähiges Compliance-Management-System lässt sich nicht losgelöst von den spezifischen Rahmenbedingungen eines Unternehmens (Organisation, Prozessabläufe, Besonderheiten des Geschäftszweigs etc.) – etwa anhand von allgemeingültigen Mustern o.Ä. – entwickeln. Die Compliance-Organisation ist an den Bedürfnissen des betreffenden Unternehmens auszurichten. Ausgangspunkt sind die einschlägigen gesetzlichen Regelungen, die in der Regel durch Spezialvorschriften und branchenspezifische Risiken gekennzeichnet sind (z.B. im Bereich der Energieversorgung durch das Energiewirtschaftsgesetz oder im Finanzsektor mit dem Kreditwesengesetz und der Institutsvergütungsverordnung etc.). Die Einhaltung dieses oft mit der Umsetzung von EU-Recht entstandenen primären Rechts sichern unternehmensinterne Prozesse und Verhaltensregelungen als sog. sekundäres Recht ab (z.B. Code of Conduct, Prozessbeschreibungen, Vertretungsregelungen). Steht dieses Regelwerk, ist für dessen Einhaltung im Unternehmen Sorge zu tragen. Dabei sind im Grundsatz alle Arbeitnehmer*innen nach ihrer arbeitsvertraglichen Rücksichtnahmepflicht (§ 241 Abs. 2 BGB) gehalten, die Regularien einzuhalten und ihnen bekannt werdende Verstöße zu melden. Für eine entsprechende Sensibilität in der Belegschaft haben Informationsmedien (Intranet) und interne Schulungen zu sorgen.
Dies alles verdeutlicht die vorbeugende Zielrichtung eines Compliance-Management-Systems. Rechtsverstöße sollen möglichst von vorneherein vermieden werden. Notwendiger Bestandteil eines funktionierenden Systems ist deshalb auch die Überprüfung der Einhaltung aller Vorschriften und Verhaltensregeln durch das Unternehmen. Soweit sich die Überprüfung nicht auf die Funktionsfähigkeit technischer Einrichtungen beschränkt, geht das immer auch mit einer Überprüfung von Arbeits- und Verhaltensprozessen und damit einer Kontrolle von Arbeitnehmer*innen einher. Dies mag bei der Überprüfung verfahrensbegleitender Regelungen wie der Einhaltung des 4-Augen-Prinzips, der Gesamtvertretung bei Geschäftsabschlüssen und von Genehmigungsprozessen noch vergleichsweise unproblematisch erscheinen. Mit der Entwicklung der Arbeitswelt hin zu einer Arbeitswelt 4.0 mit digitalen Arbeitsweisen, automatisiertem Datenverkehr und vielschichtiger Kommunikationssoftware stellt sich aber die Frage, in welchem Umfang technische Überwachungen zur Sicherstellung von Compliance erlaubt oder gar geboten sein können. Denn mit dem Wandel erweitert sich auch das Risikofeld für Rechtsverletzungen durch Beschäftigte, so etwa im digitalen Datenverkehr, Datenschutz, gewerblichen Rechtsschutz (z.B. durch den Einlass von „Trojanern“) und Vermögensschutz (Straftaten). Die zugleich erweiterten technischen Instrumente (Spyware, GPS-Ortung, Datenauswertung mithilfe von KI, Videoüberwachung etc.) könnten deshalb geradezu als Paradelösung für ein funktionsfähiges Compliance-Management-System angesehen werden.

II.

Überbordende Kontrollen sind Compliance-Verstöße des Unternehmens

Aber auch und gerade in einer Arbeitswelt 4.0 sind dem Einsatz technischer Überwachungseinrichtungen Grenzen gesetzt. Sie mögen zwar zur Sicherstellung eines umfassenden Schutzes des Unternehmens vor Rechtsverletzungen geeignet und häufig noch erforderlich im Rechtssinne sein.
Bei einem unverhältnismäßigen Einsatz technischer Kontrollmittel schlägt das Pendel jedoch zwangsläufig ins Gegenteil um. Eine übermäßige und deshalb rechtswidrige Überwachung von Beschäftigten ist kein adäquates Compliance-Werkzeug, da in diesem Fall das Unternehmen selbst gegen das Gebot rechtskonformen Handelns verstößt. Dies macht die gebotene Gratwanderung deutlich: Bei der Kontrolle von Arbeitnehmer*innen ist bei Nutzung der technischen Möglichkeiten präzise auf die Einhaltung des geltenden Rechts zu achten, um nicht selbst „non-compliant“ zu werden. Dies verlangt einen sorgfältigen Blick auf die Umstände des jeweiligen Einzelfalls, vor allem aber auf die mit der Überwachung verbundene Eingriffsintensität.
Als allgemeiner Prüfungsmaßstab lässt sich die Abwägung zwischen den Persönlichkeitsrechten der Beschäftigten einerseits und den berechtigten Interessen des Unternehmens andererseits anführen. Wesentliche Kriterien dieser Abwägung sind der Anlass der jeweiligen Maßnahme (Verdacht rechtswidriger Handlungen oder anlasslose Kontrollen) und die Intensität des mit der Maßnahme verbundenen Eingriffs für die betroffene Person. Diese fließen in die gebotene Überprüfung der Verhältnismäßigkeit der konkreten Maßnahme maßgeblich ein. Diese muss für das Erreichen der verfolgten Zwecke geeignet und als das mildeste von gleich geeigneten Mitteln erforderlich erscheinen. Anschließend ist die Angemessenheit der Maßnahme mittels Abwägung der wechselseitigen Interessen festzustellen. Regelmäßig bilden Spezialnormen diese Verhältnismäßigkeitsprüfung ab, regeln aber zugleich konkrete formale und/oder materielle Eingriffsvoraussetzungen, die es einzuhalten gilt. So ist Maßstab für die Zulässigkeit einer technischen Kontrolle regelmäßig (ggf. u.a.) die im Beschäftigtendatenschutz wesentliche Regelung in § 26 BDSG, die in erster Linie danach unterscheidet, ob die Datenverarbeitung der Aufdeckung einer Straftat dienen soll oder nicht.
Grundsätzlich weniger problematisch erscheint eine Nutzung traditioneller Kontrollmöglichkeiten mit Bezug auf die ordnungsgemäße Arbeitsleistung, wie die Anweisung gegenüber Arbeitnehmer*innen, Tätigkeitsberichte zu erstellen, die sodann kontrolliert werden. Dies gilt jedenfalls dann, wenn die hierdurch gewonnenen Informationen nicht zweckentfremdet und zur weitergehenden Verarbeitung personenbezogener Daten genutzt werden sollen. Oft diskutiert und mittlerweile mehrfach gerichtlich beurteilt wurden Detektiveinsätze. Die Eingriffsintensität ist wegen des verdeckten Vorgehens als hoch einzustufen, zumal mit der Überwachung ein umfassendes Informationsprofil über die betroffene Person (einschließlich privater Inhalte) gewonnen werden kann. Gleichwohl kann die bloße „Überwachung“ einer beschäftigten Person bei konkreten Anhaltspunkten für eine erhebliche Verletzung arbeitsvertraglicher Pflichten im öffentlich zugänglichen Raum zulässig sein (z.B. Überprüfung wegen des Verdachts einer vorgetäuschten Arbeitsunfähigkeit). Ähnliche Ziele müssen verdeckte Observationen im Betrieb verfolgen, sollen sie als verhältnismäßig eingestuft werden können. Auch diese setzen einen konkreten Überprüfungsanlass voraus, der den Arbeitgeber zu einer verdeckten Ermittlung geradezu zwingt (z.B. Überprüfung von Arbeitnehmer*innen eines Supermarktes durch einen „Scheinkunden“ wegen des Verdachts der Unterschlagung von Pfandbons). Darüber hinaus ist die an einen Detektiveinsatz nachfolgende Datenerhebung und -verarbeitung stets an § 26 BDSG zu messen.

III.

Mit der Arbeitswelt 4.0 nehmen auch die Möglichkeiten digitaler Überwachung zu

Ebenso differenziert ist mit digitalen Überwachungslösungen umzugehen. Als solche kommen u.a. in Betracht:

GPS-Ortung:

Mithilfe der GPS-Ortung kann der Standort von Arbeitnehmer*innen auf etwa 10 Meter genau ermittelt werden. Zudem kann mit der fortlaufenden Ortung die Bewegungsabfolge von Beschäftigten nachgezeichnet, abgespeichert und ausgewertet werden. Die damit einhergehende Verarbeitung personenbezogener Daten ist an den einschlägigen datenschutzrechtlichen Vorschriften (insbesondere § 26 BDSG) zu messen. Eine offene, d.h. den Beschäftigten bekannte Nachverfolgung der Bewegungsabläufe kann nur aus gewichtigen Gründen, die der Durchführung des Arbeitsverhältnisses dienen, zulässig sein (z.B. zur Einsatzplanung, Verfolgung von Wertsendungen etc.). Eine verdeckte Überwachung unterliegt den strengen Legitimationsanforderungen des § 26 BDSG und kann allenfalls bei konkreten Anhaltspunkten für das Vorliegen einer Straftat oder einer erheblichen Verletzung der arbeitsvertraglichen Pflichten zulässig sein. Die heimliche Erstellung von Bewegungsprofilen von Arbeitnehmer*innen mittels GPS-Daten ist grundsätzlich strafbar. Eine Überwachung des privaten Lebensbereichs von Arbeitnehmer*innen ist ausgeschlossen.

Videoüberwachung:

Bei der Videoüberwachung geben die Unterscheidungen zwischen öffentlich zugänglichen und nicht öffentlich zugänglichen Räumen sowie zwischen offener und verdeckter Überwachung Auskunft über die Eingriffsintensität der Überwachungsmaßnahme. Betroffen sind das allgemeine Persönlichkeitsrecht der Arbeitnehmer*innen in Bezug auf das Recht am eigenen Bild und das Recht auf Privatleben (Art. 8 Abs. 1 EMRK). Hinsichtlich der gewonnenen Daten ist auf die allgemeinen Normen und Grundsätze der DS-GVO zurückzugreifen, insbesondere auf Art. 6 Abs. 1 lit. f DS-GVO und § 26 BDSG.

Bei einer (offenen) Videoüberwachung in öffentlich zugänglichen Räumen des Arbeitgebers (z.B. Supermarkt) ist die Datenerhebung zur Vorbeugung und Nachverfolgung von Straftaten und anderen erheblichen Pflichtverletzungen zur Wahrnehmung berechtigter Interessen und des Hausrechts grundsätzlich zulässig, wobei die Speicherdauer durch den Zweck der Überwachung begrenzt sein muss. In der Regel soll eine Speicherdauer von 72 Stunden zulässig sein; bei der Aufdeckung und Verfolgung von Taten entfällt die Verpflichtung zur Löschung.

Bei einem nicht öffentlich zugänglichen Arbeitsplatz ist die Eingriffsintensität wegen der unmittelbaren Betroffenheit der überwachten Person ungleich höher. Gleichwohl kann die (offene) Videoüberwachung zu bestimmten Zwecken zulässig sein, etwa zur allgemeinen Leistungskontrolle (z.B. Verpackung von Waren bei der Abfertigung) oder bloßen Kontrolle technischer Abläufe. Geht es um die Vorbeugung von strafbaren Handlungen, ist der Umfang der Videoüberwachung in räumlicher und zeitlicher Hinsicht auf das erforderliche Maß zu beschränken. Das BAG hat betont, dass sich die Überwachung auf einen überschaubaren Zeitraum zu beschränken hat, damit die Persönlichkeitsrechte der betroffenen Personen nicht durch einen ständigen Überwachungsdruck verletzt werden. Sehr strenge Maßstäbe gelten schließlich bei der heimlichen (verdeckten) Videoüberwachung. Über das schlichte Beweisinteresse müssen im Einzelfall weitere Aspekte hinzutreten, welche die Informationsbeschaffung als gerechtfertigt erscheinen lassen. Nach der bisherigen Rechtsprechung kommt eine Rechtfertigung nur in notwehrähnlichen Situationen des Arbeitgebers in Betracht, in der sich die verdeckte Überwachung als ultima ratio darstellt und zeitlich auf das notwendige Maß beschränkt ist. In Bereichen, in der die Intimsphäre von Arbeitnehmer*innen betroffen ist (Umkleiden, Ruheräume etc.), ist eine Videoüberwachung stets unzulässig.

Spyware (z.B. Keylogger):

Mithilfe einer Software können Daten, die die Beschäftigten im Rahmen ihrer Arbeitsleistungen erstellen und/oder verarbeiten, erfasst und ausgewertet werden. Denkbar ist beispielsweise die Überprüfung, ob die technischen Arbeitsmittel nicht auf rechtswidrige Weise genutzt und ob vorgegebene technische Arbeitsprozesse eingehalten werden. Anonyme und nicht auf einzelne Arbeitnehmer*innen auswertbare Datenerfassungen (etwa zur Erstellung von allgemeinen Umsatz- oder Produktivitätsstatistiken) werden kaum durchgreifenden Bedenken begegnen, während eine technische Verarbeitung konkreter personenbezogener Daten nur unter dem Gesichtspunkt der veranlassten Kontrolle der Arbeitsleistung oder zur Überprüfung von Anhaltspunkten für ein pflichtwidriges Handeln bestimmter Arbeitnehmer*innen zulässig sein dürfte. Beispielsweise hat das BAG eine vorübergehende Speicherung und stichprobenartige Kontrolle der Verlaufsdaten des Internetbrowsers am dienstlichen PC für zulässig erachtet, wenn es dem Arbeitgeber um die Kontrolle der Einhaltung des Verbots oder der Beschränkung der privaten Nutzung der dienstlichen IT-Einrichtungen geht (BAG, Urteil vom 27. Juli 2017 – 2 AZR 681/16).

E-Mail-Screening:

Bei einer visuellen oder technischen Sichtung von E-Mails im E-Mail-Account von Beschäftigten ist besondere Vorsicht geboten. In der Regel werden hier Informationen zu Absendern und Empfängern sowie Inhalten der Kommunikation sichtbar. Bei einer vom Arbeitgeber zumindest stillschweigend gestatteten privaten Nutzung ist (nach wie vor) ungeklärt, ob der Arbeitgeber mit der Gestattung der privaten Nutzung zum Telekommunikationsdienstanbieter wird und deshalb das Fernmeldegeheimnis (§ 88 Abs. 3 TKG) einer Einsichtnahme in E-Mail-Korrespondenzen von Beschäftigten entgegensteht. In neueren gerichtlichen Entscheidungen wird dies jedoch verneint; eine Einsichtnahme ist dann an den allgemeinen datenschutzrechtlichen Grundsätzen (insbes. § 26 Abs. 1 BDSG) zu messen. Bei einer vom Arbeitgeber untersagten privaten Nutzung sind danach zumindest stichprobenartige Kontrollen etwa über die Einhaltung des Nutzungsverbots und die Einhaltung interner Verhaltensregelungen zulässig. Eine anlasslose Dauerüberwachung dürfte hingegen regelmäßig nicht als verhältnismäßig anzusehen sein.

IV.

Folgen zu weitreichender Überwachung

Unzulässige Überwachungsmaßnahmen des Arbeitgebers können weitreichende Nachteile mit sich bringen. Den betroffenen Arbeitnehmer*innen steht wegen der Verletzung ihrer Persönlichkeitsrechte ein durchsetzbarer Unterlassungs- und Beseitigungsanspruch gemäß §§ 611, 1004 BGB zu.
Entsprechendes ergibt sich bezüglich unzulässiger Datenerhebungen und -verarbeitungen aus Art. 17 DS-GVO. Während der Dauer der Beeinträchtigung kommt auch ein Zurückbehaltungsrecht in Bezug auf die Arbeitsleistung (mit der Folge eines Annahmeverzugs des Arbeitgebers) in Betracht. Bei einer schweren Verletzung der Persönlichkeitsrechte drohen zudem Schadensersatz- und Entschädigungsansprüche (Schmerzensgeld) der betroffenen Person (bei Datenschutzverstößen aus Art. 82 DS-GVO). Darüber hinaus können auch Bußgeldverfahren, bei Verstößen gegen Datenschutzrecht nach Art. 83 DS-GVO bis zu einer Größenordnung von 20 Mio. EUR oder 4 % des Jahresumsatzes des Unternehmens im letzten Geschäftsjahr anfallen. Schließlich kommt die Gefahr eines Verbots der Verwertung unzulässig gewonnener Erkenntnisse in einem arbeitsgerichtlichen Verfahren wegen der Verletzung von Persönlichkeits- und/oder Datenschutzrechten der angestellten Person und/oder der Mitbestimmungsrechte des Betriebsrats in Betracht. So hat beispielsweise das LAG Niedersachsen (Urteil vom 6. Juli 2022 – 8 Sa 1151/20, n. rkr.) ein Beweisverwertungsverbot für Aufzeichnungen einer Videoüberwachung angenommen, die nur Zutritt und Verlassen des Werksgeländes dokumentiere und so schon abstrakt nicht geeignet sei, um den Zweck der Überprüfung eines vertragsgemäßen Verhaltens und des Nachweises eines Arbeitszeitbetrugs zu erreichen.

V.

Fazit: Das gesunde Maß finden

Die dargestellten Beispiele einer digitalen Überwachung zeigen, dass Unternehmen mehr denn je die Herausforderung trifft, die Möglichkeiten interner und digitaler Kontrollmittel in ihr Compliance-Management-System aufzunehmen.
Angesichts der vor allem datenschutzrechtlichen Eingriffsbegrenzungen ist jedoch besondere Sorgfalt geboten. Idealerweise werden handhabbare Anforderungen und Abläufe für bestimmte Kontrollmaßnahmen abstrakt vorgezeichnet, um im Fall eines Rechtsverstoßes eine angemessene und wirksame Compliance-Organisation belegen und diese dann rechtskonform durchführen zu können. Zugleich sind bei der Aufstellung und Anwendung allgemeiner Verhaltensgrundsätze und Kontrollmechanismen – neben der Einhaltung der jeweiligen rechtlichen Eingriffsvoraussetzungen – die Mitbestimmungsrechte eines Betriebsrats zu beachten. Konkret kommen Mitbestimmungsrechte bei Aufstellung von Verhaltensregeln im Betrieb (§ 87 Abs. 1 Nr. 1 BetrVG) und der Nutzung einer technischen Einrichtung, die zur Überwachung des Verhaltens oder der Leistung von Arbeitnehmer*innen objektiv geeignet ist, in Betracht (§ 87 Abs. 1 Nr. 6 BetrVG). Ist kein Betriebsrat gewählt, wird die Installation technischer Kontrollmittel selbst noch keinen nennenswerten Schranken unterliegen. Es greift dann jedoch eine umfassende Anwendungskontrolle mit Blick auf die Datenschutz- und Persönlichkeitsrechte der betroffenen Personen, deren Zulässigkeit in jedem Einzelfall zu bestimmen ist.

Ähnliche Beiträge

  • T +49 221 22286 - 0
  • F +49 221 22286 - 400
  • Richmodstraße 8, 50667 Köln
  • Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!

© by Küttner Rechtsanwälte Partnerschaftsgesellschaft mbB