Ist Screenshot-Tracking durch den Arbeitgeber DSGVO-konform?
Antwort
In aller Regel nein. Screenshot- und Keylogger-Tools („Bossware") greifen tief ins Persönlichkeitsrecht ein und lassen sich regelmäßig weder auf § 26 BDSG noch auf Art. 6 DSGVO stützen. Heimliches Keylogging hat das BAG klar untersagt (2 AZR 681/16).
Was Bossware tut
Screenshot-Tracker, Keylogger und ähnliche Überwachungs-Tools zeichnen laufend mit: Bildschirminhalte, Tastaturanschläge, geöffnete Anwendungen, Mausbewegungen. Arbeitsverhalten ist nur ein Teil davon. Private Nachrichten, Passwörter, Gesundheits- und Beziehungsdaten landen genauso im Mitschnitt, und die schützt Art. 9 DSGVO besonders.
Rechtsprechung des BAG
Mit dem Urteil vom 27.07.2017 (2 AZR 681/16) hat das BAG Keylogger zur Verhaltens- und Leistungskontrolle für unzulässig erklärt, solange kein konkreter Verdacht auf eine schwere Pflichtverletzung besteht. Erkenntnisse aus einer solchen Überwachung sind im Prozess regelmäßig nicht verwertbar.
Dauerhaftes Screenshot-Tracking „auf Vorrat" ist damit regelmäßig rechtswidrig.
Warum § 26 BDSG nicht trägt
§ 26 BDSG verlangt Erforderlichkeit und Verhältnismäßigkeit. Screenshot-Tracking ist:
- nicht erforderlich, weil Arbeitszeit und Arbeitsergebnis mit milderen Mitteln (Stundenerfassung, Output-Review) erfasst werden können,
- unverhältnismäßig, weil es sensible Daten zwingend mit erfasst,
- intransparent, wenn es im Hintergrund läuft.
Ausnahmen und ihre Voraussetzungen
In sehr engen Konstellationen (Test-Labor, sicherheitskritisches Umfeld) kann eine selektive, transparent kommunizierte und mitbestimmte Überwachung gerechtfertigt sein. Dann zwingend nötig:
- Betriebsvereinbarung (§ 87 Abs. 1 Nr. 6 BetrVG),
- Datenschutz-Folgenabschätzung (Art. 35 DSGVO),
- klare Information der Beschäftigten,
- dokumentierte Verhältnismäßigkeitsprüfung,
- technische Maßnahmen zur Maskierung privater Inhalte.
Heimliche Aufzeichnung bleibt unzulässig.
Verwandte Fragen
- Was kann ich tun, wenn mein Arbeitgeber Bossware einsetzt?
- Du kannst Auskunft nach Art. 15 DSGVO verlangen und bei der zuständigen Landesdatenschutzbehörde Beschwerde einlegen (Art. 77 DSGVO). Parallel lohnt der Weg über den Betriebsrat, der bei technischen Überwachungseinrichtungen mitbestimmt (§ 87 Abs. 1 Nr. 6 BetrVG). Eine arbeitsrechtliche Beratung ist sinnvoll, weil hier gleichzeitig Persönlichkeitsrechte berührt sind.
- Sind Pausen-Erkennung und automatische Inaktivitäts-Stops erlaubt?
- Wenn lediglich Mausbewegung/Tastatur als Indikator für „aktiv ja/nein" ausgewertet wird, ist das weniger eingriffsintensiv als Screenshot-Tracking, aber immer noch begründungspflichtig. Saubere Lösung: keine Erzwingung, sondern manuelle Pause-Buchung mit Erinnerung.
Quellen
- BAG, Urteil vom 27.07.2017, 2 AZR 681/16 (Überwachung mittels Keylogger)
- BDSG § 26, Beschäftigtendatenschutz
- DSGVO Art. 35, Datenschutz-Folgenabschätzung
- BfDI, Informationen für Bürgerinnen und Bürger
Stand: