IT-SOLUTIONS

Mitarbeitender illegale Internetseiten am
Arbeitsplatz besucht. Und kaum eine Organisation
will aufgrund einer Straftat
eines Mitarbeitenden in den Schlagzeilen
erscheinen.
Ungeschriebene Gesetze und
Spionprogramme führen aufs Glatteis
Die Frage, was Mitarbeiter am Bürocomputer
dürfen und was nicht, beschäftigt
beinahe jedes Unternehmen. Wie aber
gehen Arbeitgeber mit diesem heissen
Eisen um? Es gibt zwei Tendenzen: Viele
Arbeitgeber tolerieren stillschweigend die
private Internetnutzung ihrer Mitarbeiter,
solange die Arbeit nicht darunter leidet
und Beschäftigte ihr Sonderrecht nicht zu
strafbaren Zwecken missbrauchen.
Das andere Extrem sind zweifelhafte Kontrollmassnahmen
wie namentliche Auswertungen
von Computerprotokollen oder
das Einsetzen von Spionprogrammen.
Diese werden in der Regel ohne Information
der betroffenen Personen angewandt
und ermöglichen eine permanente
und detaillierte Überwachung aller Aktivitäten
am elektronischen Arbeitsplatz. Damit
verstossen Spionprogramme gegen
das Verhaltensüberwachungsverbot.
Richtig einspuren
– mit technischen Schutzmassnahmen
Doch anstatt die Mitarbeitenden mit
zweifelhaften Programmen zu überwachen
und sich rechtlich auf dünnem Eis zu
bewegen, sollte der Arbeitgeber seine Bemühungen
auf die Prävention richten.
Dies verordnet das Datenschutzgesetz mit
den «technischen und organisatorischen
Schutzmassnahmen» 1 . Die Auslegung dieser
Massnahmen überlässt der Gesetzgeber
dem Arbeitgeber.
Der Einsatz von technischen Massnahmen
warnt den Arbeitgeber frühzeitig
über mögliche Gefahren für die Sicherheit
und Funktionstüchtigkeit des elektronischen
Systems vor. Bei den technischen
Schutzmassnahmen wird unterschieden
zwischen präventiven und repressiven
Massnahmen. Zu den präventiven Massnahmen
zählen der Passwort- und Zugriffsschutz,
die Verschlüsselung besonders
schützenswerter Daten sowie Anti-
1 Verordnung zum Bundesgesetz über den
Datenschutz (VDSG), 4. Abschnitt: Technische und
organisatorische Massnahmen
(Stand am 1. Januar 2008)
Kontrollmassnahmen wie Auswertungen
von Computerprotokollen oder das Einsetzen
von Spionprogrammen ermöglichen
die Überwachung aller Aktivitäten am
elektronischen Arbeitsplatz.
virusprogramme, Backups und Firewalls,
aber auch die Sperrung des Zugangs zu
bestimmten Websites. Diese Schutzmassnahmen
sollten gemäss dem letzten
Stand der Technik aktualisiert sein. Eine
absolute technische Sicherheit ist zwar
noch visionär, doch lassen sich mithilfe
präventiver Schutzmassnahmen unerwünschtes
Surfen und damit Risiken in
Schach halten.
Heikler dagegen sind repressive Massnahmen,
nämlich die verschiedenen Mittel der
Mitarbeiterüberwachung. Der Markt für
visuelle PC-Überwachung für Büro und Zuhause
ist breit. Die Überwachungs systeme
sind heute dahingehend ausgereift, dass
sie eine vollumfängliche visuelle Überwachung
aller PC-Aktivitäten ermöglichen.
Unter der Aufzeichnung «aller PC-Aktivitäten»
ist die Erfassung jeder gestarteten
Anwendung zu verstehen wie die Aufnahme
jeder besuchten Internetseite, jeder
E-Mail, jedes Druckauftrags und sogar
jedes Suchbegriffs. Spätestens da geht die
Alarmglocke des Datenschützers los: Der
Einsatz solcher Überwachungssysteme als
Spionprogramme ist rechtlich verboten
Schon die namentliche Über wachung ist
nur bedingt zulässig und sollte weitgehend
durch präventive Vorkehrungen ersetzt
werden.
Doppelt genäht hält besser:
die Nutzungs- und Überwachungsregelung
Der Gesetzgeber hat bisher keine einheitlichen
Grundsätze aufgestellt, die die
Obergrenze des privaten Aufenthalts am
Arbeitsplatz im Internet bemessen. Auch
schreibt er nicht vor, ob am Arbeitsplatz
privat gesurft werden darf oder nicht.
Deshalb ist es unabdingbar, nach dem
Treffen technischer Vorkehrungen, organisatorische
Massnahmen zu beschliessen,
dies anhand einer Nutzungs- und Überwachungsregelung.
Eine solche Regelung
schafft klare Verhältnisse zwischen Arbeitgeber
und Arbeitnehmer. Ausserdem ist
eine Nutzungs- und Überwachungsregelung
sogar zwingende Voraussetzung, will
IT-Recht IT-SOLUTIONS
der Arbeitgeber sich die Möglichkeit offenhalten,
einen Angestellten bei Verdacht
auf Missbrauch zu überwachen. Bei Missbrauch
der Computerinfrastruktur dient
die Regelung als Beweisgrundlage für die
Kündigung. Genau hier haben Verwaltungen
die Nase vorn: So haben zum Beispiel
die Kantone Glarus, Basel-Landschaft
und Nidwalden genaue Anweisungen für
ihre Mitarbeitenden, wie sie mit Informatikmitteln
umzugehen haben. Mitarbeiter,
die Informatikmittel nutzen und
Zugang zum Intranet, Internet oder E-Mail
haben, unterzeichnen eine Erklärung mit
der sie bestätigen, dass sie die Weisungen
zur Kenntnis genommen haben und sich
über die möglichen straf-, zivil- und personalrechtlichen
Folgen eines Missbrauchs
bewusst sind.
Aus Beweisgründen sollte die Regelung
schriftlich erfolgen. Die Beschäftigten
sollten das Schriftstück datieren und unterzeichnen.
Das ist der Nachweis, dass
die Mitarbeiter ihre Rechte und Pfl ichten
kennen und über die Schutz- und Kontrollmassnahmen
des Betriebs informiert
sind. Am besten sollte der Inhalt der Regelung
in Form einer Mitarbeiterschulung
mündlich erklärt werden.
Eine ausführliche Vorlage einer Nutzungs-
und Überwachungsregelung hat der eidgenössische
Datenschutz- und Öffentlichkeitsbeauftragte
ausgearbeitet 2 . Siehe
dazu «Checkliste Nutzungsregelung» auf
Seite 21.
2 www.edoeb.admin.ch; Website des eidgenössischen
Öffentlichkeits- und Datenschutzbeauftragten;
siehe hierzu den Aufsatz «Leitfaden
über Internet – und E-Mail-Überwachung am
Arbeitsplatz»
SKR 2/10 19