Arbeitszeitbetrug? Darf der Arbeitgeber sich in den Arbeits-Account einloggen?

Der Verdacht auf Arbeitszeitbetrug ist für Arbeitgeber wie Arbeitnehmer eine heikle Situation. Viele Arbeitgeber fragen sich, ob sie zur Aufklärung einfach in das dienstliche E-Mail-Postfach oder andere Arbeits-Accounts des Mitarbeiters schauen dürfen. Arbeitnehmer wiederum haben Sorge um ihre Privatsphäre und um heimliche Kontrollen. In diesem Beitrag erkläre ich aus arbeitsrechtlicher und datenschutzrechtlicher Sicht, wann ein Login in den Arbeits-Account zulässig sein kann – und wo die klare Grenze verläuft. Dabei zeige ich auch, welche Rolle die Erlaubnis oder das Verbot privater Nutzung spielt und wie Sie sich als Arbeitnehmer oder Arbeitgeber rechtssicher verhalten.

Das Wichtigste auf einen Blick

• Bei rein dienstlich genutzten Accounts darf der Arbeitgeber bei sachlichem Anlass gezielt und verhältnismäßig Einsicht nehmen; eine anlasslose Dauerüberwachung ist unzulässig.
• Ist private Nutzung erlaubt oder wird sie erkennbar geduldet, gelten deutlich strengere DSGVO-Maßstäbe – ein voller Zugriff ist dann nur in engen Ausnahmefällen zulässig.
• Vor jedem Account-Zugriff müssen mildere Mittel ausgeschöpft werden, etwa Auswertung von Zeiterfassung, Anwesenheitslisten oder Zeugenbefragung.
• Der verdeckte Einsatz eines Keyloggers ist ohne konkreten, tatsachenbasierten Verdacht auf eine Straftat oder schwere Pflichtverletzung unzulässig (BAG, Urteil vom 27.07.2017 – 2 AZR 681/16) und führt zu einem Beweisverwertungsverbot.
• Die bloße Sperrung eines dienstlichen Accounts ist rechtlich unproblematischer als das Auslesen von Inhalten, muss aber ebenfalls verhältnismäßig ausgestaltet sein.

Ausgangslage: Verdacht auf Arbeitszeitbetrug im Betrieb

Von Arbeitszeitbetrug spricht man, wenn ein Arbeitnehmer seine Arbeitszeit falsch dokumentiert oder Arbeitszeit als geleistet abrechnet, obwohl er tatsächlich nicht gearbeitet hat. Typische Beispiele sind das Stempeln für Kollegen, ein sehr spätes Erscheinen bei gleichzeitig korrekter Zeiterfassung oder lange Privataktivitäten während der Arbeitszeit bei laufender Bezahlung. Arbeitgeber haben ein berechtigtes Interesse daran, solche Pflichtverletzungen aufzuklären und künftige Schäden zu verhindern. Gleichzeitig trifft sie aber die Pflicht, die Persönlichkeitsrechte und Datenschutzrechte ihrer Beschäftigten zu achten. Genau an dieser Stelle entsteht der Konflikt: Reicht der bloße Verdacht, um sich ohne Weiteres in E-Mail-Postfach, Chat-Tools oder andere arbeitsbezogene Accounts des Mitarbeiters einzuloggen? Die Antwort ist deutlich differenzierter, als viele annehmen, und hängt von mehreren rechtlichen Voraussetzungen ab.

Reines Firmenkonto oder private Nutzung erlaubt? Der entscheidende Unterschied

Zentral ist zunächst die Frage, ob es sich um ein rein dienstlich genutztes Konto handelt oder ob die private Nutzung erlaubt oder geduldet ist. Ist ein „Arbeits-Account" ausschließlich für berufliche Zwecke vorgesehen und ist die private Nutzung im Arbeitsvertrag, in einer IT-Richtlinie oder im Merkblatt ausdrücklich untersagt, darf der Arbeitgeber deutlich weitergehen. In diesem Fall ähnelt der Account eher einem betrieblichen Arbeitsmittel wie einem Aktenschrank: Der Arbeitgeber darf grundsätzlich kontrollieren, wie dieses Arbeitsmittel genutzt wird. Anders ist die Lage, wenn die private Nutzung des E-Mail-Postfachs oder anderer Accounts ausdrücklich erlaubt wurde oder faktisch über längere Zeit geduldet wird. Dann mischen sich dienstliche und private Inhalte, und es greifen strengere datenschutzrechtliche Maßstäbe, insbesondere aus der DSGVO. Der Arbeitgeber darf dann in der Regel nicht ohne weiteres den gesamten Account auslesen, sondern muss sehr genau prüfen, ob und in welchem Umfang ein Zugriff noch verhältnismäßig ist.

Darf der Arbeitgeber den Arbeits-Account sperren?

Die bloße Sperrung eines dienstlichen Accounts ist rechtlich deutlich weniger problematisch als das Auslesen von Inhalten. Hat der Arbeitnehmer das Unternehmen bereits verlassen oder ist er nach einer Kündigung freigestellt, kann der Arbeitgeber den Account grundsätzlich sperren, weil der Mitarbeiter ihn für seine Arbeit nicht mehr benötigt. Arbeitet der Mitarbeiter noch im Betrieb, kann eine Sperrung zulässig sein, wenn ein sachlicher Grund besteht, etwa bei schweren Störungen des Betriebsfriedens, konkretem Verdacht auf Straftaten oder bei massiven Pflichtverletzungen. In diesen Konstellationen überwiegt häufig das Interesse des Arbeitgebers, weiteren Schaden abzuwenden. Allerdings muss der Arbeitgeber dann sicherstellen, dass der Arbeitnehmer seine arbeitsvertraglich geschuldete Tätigkeit noch erbringen kann, etwa durch alternative Kommunikationswege oder einen neuen Account. Eine „Bestrafsperre" ohne nachvollziehbaren Grund ist rechtlich angreifbar und kann im Einzelfall sogar eine unzulässige Behinderung der Arbeitspflicht darstellen.

Einloggen und Mitlesen: Zulässigkeit bei rein dienstlicher Nutzung

Handelt es sich um ein Konto, das nach den internen Regeln ausschließlich dienstlich genutzt werden darf, ist ein Zugriff des Arbeitgebers grundsätzlich möglich. Hier steht die dienstliche Kommunikation im Vordergrund, etwa mit Kunden, Lieferanten oder Kollegen. Der Arbeitgeber darf dann im Rahmen seines Direktionsrechts kontrollieren, ob der Account ordnungsgemäß genutzt wird und dienstliche Abläufe gesichert sind, zum Beispiel bei längerer Krankheit, plötzlicher Abwesenheit oder Ausscheiden. Bei einem Verdacht auf Arbeitszeitbetrug kann er prüfend in die dienstlichen E-Mails oder sonstigen Arbeits-Tools schauen, wenn die Maßnahme geeignet und erforderlich ist, um den Verdacht zu klären. Entscheidend ist aber, dass der Eingriff verhältnismäßig bleibt: Eine anlasslose, lückenlose Dauerüberwachung wäre unzulässig. Der Arbeitgeber sollte die Zugriffe dokumentieren und möglichst auf das notwendige Maß beschränken, etwa auf bestimmte Zeiträume oder Projekte, um nicht in eine unzulässige Totalüberwachung zu geraten.

Private Nutzung erlaubt: strenge Datenschutzregeln und hohe Hürden

Ist die private Nutzung des dienstlichen E-Mail-Postfachs oder anderer Accounts erlaubt oder wird sie erkennbar geduldet, wird die Rechtslage deutlich strenger. In solchen Fällen sind in dem Account regelmäßig auch höchstpersönliche Inhalte zu finden, etwa private E-Mails an Familienangehörige, Behördenkommunikation oder vertrauliche Korrespondenz. Der Arbeitgeber greift dann mit einem Login nicht nur in dienstliche, sondern auch in die private Sphäre des Arbeitnehmers ein. Nach den Vorgaben der Datenschutz-Grundverordnung und der Rechtsprechung ist ein solcher Eingriff nur unter sehr engen Voraussetzungen zulässig. Selbst ein ernstzunehmender Verdacht auf Arbeitszeitbetrug rechtfertigt noch keine vollständige Einsicht in alle Inhalte. In der Praxis ist dann zu prüfen, ob mildere Mittel zur Aufklärung zur Verfügung stehen, etwa die Auswertung der Zeiterfassung, die Befragung von Zeugen oder die Einsicht in reine Systemprotokolle ohne Inhaltsdaten. Oft wird der Arbeitgeber auf diese Alternativen verwiesen, statt umfassend private Kommunikation mitzulesen.

Technische Überwachung: Keylogger, verdeckte Kontrolle und Rechtsprechung

Besonders heikel sind technische Überwachungsmaßnahmen, die das Verhalten des Mitarbeiters lückenlos erfassen, etwa Keylogger, permanente Screenshots oder umfassende Monitoring-Software. Das Bundesarbeitsgericht hat in seinem Urteil vom 27.07.2017 (2 AZR 681/16) entschieden, dass der verdeckte Einsatz eines Software-Keyloggers zur Verhaltens- und Leistungskontrolle unzulässig ist, wenn kein durch konkrete Tatsachen begründeter Verdacht auf eine Straftat oder eine andere schwerwiegende Pflichtverletzung besteht. Die mit solchen Instrumenten verbundene Datenerhebung greift tief in das Recht auf informationelle Selbstbestimmung ein, weil praktisch jede Tastatureingabe und jeder Bearbeitungsschritt nachvollzogen werden kann. Auch bei einem Verdacht auf Arbeitszeitbetrug sind solche Mittel daher nur in absoluten Ausnahmefällen und unter strengen Voraussetzungen denkbar. Arbeitgeber müssen in der Regel zuerst auf mildere, weniger eingriffsintensive Kontrollmöglichkeiten zurückgreifen. Andernfalls droht ein Beweisverwertungsverbot vor Gericht: Selbst „belastendes" Material aus unzulässiger Überwachung darf dann nicht gegen den Arbeitnehmer verwendet werden.

Arbeitszeitkonto und Zeiterfassung: rechtssicherer Weg statt heimlicher Logins

Zur Aufklärung von Unstimmigkeiten bei der Arbeitszeit ist der rechtssicherste Ansatz meist die Auswertung der Zeiterfassung und des Arbeitszeitkontos. Nach den gesetzlichen Vorgaben ist der Arbeitgeber ohnehin verpflichtet, die Arbeitszeiten seiner Beschäftigten zu dokumentieren und diese Aufzeichnungen aufzubewahren. In vielen Branchen – etwa im Baugewerbe, im Dachdeckerhandwerk oder in der Fleischwirtschaft – gelten zusätzlich spezielle Aufzeichnungspflichten, teilweise mit manipulationssicheren, elektronischen Systemen. Das Bundesarbeitsgericht hat klargestellt, dass Arbeitnehmer einen Anspruch auf korrekte Führung ihres Arbeitszeitkontos haben und sich gegen unberechtigte Streichungen oder Kürzungen mit einer Klage auf Gutschrift wehren können. Umgekehrt darf der Arbeitgeber bei einem ernsthaften Verdacht auf Arbeitszeitbetrug die Arbeitszeitdaten auswerten und mit anderen Informationen abgleichen, etwa mit Projektzuordnungen oder Anwesenheitslisten. Häufig lässt sich so klären, ob tatsächlich ein Missverhältnis zwischen bezahlter und geleisteter Arbeitszeit besteht – ganz ohne heimliches Mitlesen von E-Mails.

Schritt-für-Schritt-Vorgehen für Arbeitgeber und Schutzmöglichkeiten für Arbeitnehmer

Arbeitgeber sollten bei Verdacht auf Arbeitszeitbetrug strukturiert vorgehen: Zunächst sind die vertraglichen Grundlagen, Betriebsvereinbarungen und IT-Richtlinien zu prüfen, insbesondere zur erlaubten oder untersagten Privatnutzung. Danach sollten alle weniger eingriffsintensiven Mittel ausgeschöpft werden, etwa Auswertung von Stempelzeiten, Projektlisten, Zutrittsdaten oder die Befragung von Vorgesetzten. Erst wenn diese Maßnahmen den Verdacht nicht entkräften oder klären und ein ernstzunehmender Verdacht auf eine erhebliche Pflichtverletzung besteht, kann im Einzelfall ein gezielter Zugriff auf dienstliche Accounts in Betracht kommen. Arbeitnehmer wiederum sollten ihre Rechte kennen: Sie können Auskunft darüber verlangen, welche Daten über sie gespeichert sind und wie diese genutzt werden. Wer Unregelmäßigkeiten bei der Zeiterfassung oder unzulässige Kontrollen vermutet, sollte möglichst zeitnah Beweise sichern, etwa durch eigene, zeitnahe Aufzeichnungen, und sich rechtlich beraten lassen. So lassen sich sowohl berechtigte Kontrollinteressen des Arbeitgebers als auch der Schutz der Privatsphäre in ein angemessenes Gleichgewicht bringen.

Fazit: Verdacht auf Arbeitszeitbetrug rechtssicher klären – keine pauschalen Logins

Ein pauschales „Ja" oder „Nein" auf die Frage, ob sich der Arbeitgeber in den Arbeits-Account eines Mitarbeiters einloggen darf, gibt es nicht. Entscheidend sind immer mehrere Faktoren: Ist die private Nutzung erlaubt oder untersagt, wie stark ist der Verdacht begründet, gibt es mildere Aufklärungsmaßnahmen und wie intensiv greift der Zugriff in die Privatsphäre ein? Rein dienstliche Accounts dürfen deutlich eher und gezielter kontrolliert werden als gemischt genutzte Konten, in denen auch private Inhalte liegen. Heimliche Totalüberwachungen mit Keyloggern oder vergleichbaren Werkzeugen sind in aller Regel unzulässig und vor Gericht nicht verwertbar. Wenn Sie als Arbeitnehmer mit einem entsprechenden Vorwurf konfrontiert sind oder als Arbeitgeber einen Verdacht rechtssicher prüfen möchten, empfehle ich eine frühzeitige individuelle Beratung. In einem persönlichen Gespräch kläre ich mit Ihnen, welche Schritte im konkreten Fall zulässig und sinnvoll sind und wie Sie Ihre Rechte effektiv durchsetzen können.

Häufig gestellte Fragen

Darf mein Arbeitgeber ohne Ankündigung meine dienstlichen E-Mails lesen?

Bei einem rein dienstlichen E-Mail-Konto ist ein Zugriff des Arbeitgebers grundsätzlich möglich, wenn ein sachlicher Anlass besteht. Es darf jedoch keine anlasslose Dauerüberwachung stattfinden, sondern nur eine verhältnismäßige, auf das Notwendige beschränkte Kontrolle. Ist die private Nutzung erlaubt oder geduldet, sind die Hürden deutlich höher und der Arbeitgeber muss in der Regel auf mildere Mittel ausweichen.

Was gilt, wenn private Nutzung des Arbeits-Accounts erlaubt ist?

Ist die private Nutzung erlaubt oder wird sie erkennbar geduldet, enthält der Account regelmäßig auch höchstpersönliche Inhalte. Ein umfassender Zugriff des Arbeitgebers auf alle E-Mails oder Nachrichten ist dann datenschutzrechtlich nur in sehr engen Ausnahmen zulässig. In der Praxis muss der Arbeitgeber zuerst andere, weniger eingriffsintensive Mittel zur Aufklärung nutzen, etwa die Auswertung von Zeiterfassungsdaten.

Darf der Arbeitgeber wegen Verdachts einen Keylogger einsetzen?

Ein Keylogger erfasst jede Tastatureingabe und greift damit sehr tief in das Persönlichkeitsrecht des Arbeitnehmers ein. Nach der Rechtsprechung des Bundesarbeitsgerichts ist der verdeckte Einsatz eines Keyloggers nur bei einem durch konkrete Tatsachen belegten Verdacht auf eine Straftat oder eine schwere Pflichtverletzung überhaupt denkbar. Ohne solchen konkreten Verdacht ist der Einsatz unzulässig, und die so gewonnenen Daten dürfen in einem Prozess in der Regel nicht verwertet werden.

Wie kann ich mich gegen unzulässige Kontrolle meines Accounts wehren?

Wenn Sie den Eindruck haben, dass Ihr Arbeitgeber unzulässig in Ihren Arbeits-Account eingreift, sollten Sie zunächst Beweise sichern, etwa Protokolle, E-Mails oder interne Richtlinien. Anschließend bietet sich eine rechtliche Bewertung an, ob der Eingriff datenschutz- oder arbeitsrechtliche Grenzen überschreitet. Gegebenenfalls können Unterlassungsansprüche, Schadensersatz oder die Unverwertbarkeit bestimmter Beweise in einem Kündigungsschutzverfahren geltend gemacht werden.

Was soll ich als Arbeitgeber bei Verdacht auf Arbeitszeitbetrug tun?

Gehen Sie Schritt für Schritt vor und dokumentieren Sie Ihre Maßnahmen sauber. Prüfen Sie zuerst die arbeitsvertraglichen Grundlagen und Betriebsvereinbarungen, werten Sie anschließend Zeiterfassungsdaten, Anwesenheitslisten und Projektunterlagen aus. Erst wenn diese Maßnahmen den Verdacht nicht ausräumen und ein erheblicher Pflichtverstoß im Raum steht, kann eine gezielte Einsicht in rein dienstliche Accounts in Betracht kommen, die aber stets verhältnismäßig ausgestaltet sein muss.

Quellen

• Art. 6 Abs. 1 DSGVO, Datenschutz-Grundverordnung: Regelt die Voraussetzungen, unter denen die Verarbeitung personenbezogener Daten rechtmäßig ist, etwa bei berechtigtem Interesse des Verantwortlichen.
• Art. 88 DSGVO, Datenschutz-Grundverordnung: Ermöglicht spezielle Datenschutzregelungen für Beschäftigtendaten und verweist auf nationale Vorschriften zum Beschäftigtendatenschutz.
• § 6 Abs. 1 GSA Fleisch, Gesetz zur Sicherung von Arbeitnehmerrechten in der Fleischwirtschaft: Schreibt für bestimmte Betriebe eine elektronische, manipulationssichere Arbeitszeiterfassung einschließlich Vor- und Nachbereitungshandlungen vor.
• BAG, Urteil vom 27.07.2017 – 2 AZR 681/16, Bundesarbeitsgericht: Entscheidet, dass der verdeckte Einsatz eines Software-Keyloggers ohne konkreten Verdacht auf eine Straftat oder schwere Pflichtverletzung unzulässig ist und zu einem Beweisverwertungsverbot führt.
• BAG, Urteil vom 21.03.2012 – 5 AZR 670/11, Bundesarbeitsgericht: Stellt klar, dass Arbeitnehmer einen Anspruch auf korrekte Führung des Arbeitszeitkontos und auf Gutschrift zu Unrecht gestrichener Stunden haben.