Bereits seit einigen Jahren wird darüber diskutiert, ob Arbeitgeber dem Fernmeldegeheimnis unterliegen, wenn Sie den Beschäftigten die private Nutzung von dienstlichen E-Mail-Postfächern oder dem dienstlichen Internetzugang erlauben. Bislang war nicht auszuschließen, dass in diesem Falle der Arbeitgeber als Anbieter von ganz oder teilweise geschäftsmäßig angebotenen Telekommunikationsdiensten anzusehen ist. Der aktuelle Tätigkeitsbericht der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) verkündet nun: „Für Arbeitgeber*innen gilt nicht mehr das Fernmeldegeheimnis, wenn sie die private Nutzung der betrieblichen E-Mail- oder Internetdienste erlauben oder dulden.“

Bisherige Rechtsauffassungen

Bis zuletzt war die Frage nach der Anwendbarkeit des Fernmeldegeheimnisses für Arbeitgeber im beschriebenen Kontext hoch umstritten. In der Orientierungshilfe der Datenschutzaufsichtsbehörden zur datenschutzgerechten Nutzung von E-Mail und anderen Internetdiensten am Arbeitsplatz aus dem Jahr 2016 vertrat die Datenschutzkonferenz einen eindeutigen Standpunkt: „Ist die private Nutzung des Internets erlaubt […], wird der Arbeitgeber hinsichtlich der privaten Nutzung zum Diensteanbieter im Sinne des TKG und unterliegt den Datenschutzbestimmungen des TMG. Er ist daher grundsätzlich zur Wahrung des Fernmeldegeheimnisses verpflichtet.“ Ein Zugriff auf entsprechende Protokolldaten war demnach ausschließlich nach informierter Einwilligung der betroffenen Personen möglich.

In der Rechtsprechung hingegen wurde die Thematik uneinheitlich beurteilt, ein höchstgerichtliches Urteil blieb bislang aus. Insbesondere in der jüngeren Vergangenheit lehnten die Gerichte jedoch vermehrt eine Anwendbarkeit des Fernmeldegeheimnisses ab, so zum Beispiel das Landesarbeitsgericht Berlin-Brandenburg (Urt. v. 14.1.2016 – 5 SA 657/15), das Landgericht Krefeld (Urt. v. 7.2.2018 – 7 O 198/17) sowie das Landgericht Erfurt (Urt. v. 28.4.2021 – 1 HK O 43/20).

Keine Anwendbarkeit des Fernmeldegeheimnisses

Die LDI NRW begründet die Abkehr von der bisherigen Auffassung damit, dass es Arbeitgebern unter Berücksichtigung der Regelungen des TTDSG (jetzt: TDDDG) an einem erforderlichen Rechtsbindungswillen fehle, damit sie gegenüber ihren Beschäftigten als geschäftsmäßige Telekommunikationsanbieter auftreten können. Eine vergleichbare Auffassung vertrat bereits im Jahr 2022 der Hessische Beauftragte für Datenschutz und Informationsfreiheit in seinem 51. Tätigkeitsbericht (S. 30), dort jedoch im Zusammenhang mit der Bereitstellung von Videokonferenzdiensten.

Unklar bleibt indes, ob sich die neue Rechtsauffassung bei den weiteren Aufsichtsbehörden in Deutschland bereits mehrheitlich durchgesetzt hat. Im Tätigkeitsbericht der LDI NRW heißt es lediglich: „Nach Inkrafttreten des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG) gehen deutsche Aufsichtsbehörden (Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, LDI NRW sowie weitere Landesdatenschutzbehörden) davon aus, dass sich eine rechtliche Bewertung geändert hat […].“ Die betreffenden Landesdatenschutzbehörden werden nicht konkret benannt. Es bleibt also abzuwarten, ob sich in den kommenden Wochen und Monaten weitere Aufsichtsbehörden hierzu positionieren werden.

Zur Wahrheit gehört jedoch auch, dass Gerichte nicht an Stellungnahmen und Beschlüsse der Aufsichtsbehörden gebunden sind. Insofern sind auch etwaige Urteile in diesem Themenfeld mit Spannung zu erwarten, wobei die zuvor dargestellte jüngere Rechtsprechung bereits eine gewisse Tendenz vermuten lässt. Ein Ausschluss der Anwendbarkeit des Fernmeldegeheimnisses bei erlaubter oder geduldeter Privatnutzung scheint damit in jedem Fall vertretbar.

Private Nutzung sollte weiterhin geregelt werden

Aus dem Tätigkeitsbericht der LDI NRW geht jedoch auch hervor, dass weiterhin eine schriftliche Regelung der privaten Nutzung von E-Mail- oder Internetdiensten zu empfehlen ist. Schließlich gelten neben den Normen des TDDDG weiterhin die datenschutzrechtlichen Grundsätze der DS-GVO. Somit bedarf es beispielsweise für den Zugriff des Arbeitgebers auf das E-Mail-Postfach eines Beschäftigten weiterhin einer einschlägigen Rechtsgrundlage. Schwierigkeiten im Zugriff könnten sich so bei erlaubter oder geduldeter Privatnutzung weiterhin im Falle der Abwesenheit des jeweiligen Beschäftigten ergeben. Abhilfe könnten hierbei verbindlich definierte Schutzmaßnahmen schaffen. Denkbar wäre beispielsweise, dass private E-Mails gesondert gekennzeichnet werden müssen oder in einem separaten Ordner aufzubewahren sind.

Die LDI NRW empfiehlt im Rahmen einer betrieblichen Regelung eindeutig „die Fragen des Zugriffs, der Protokollierung, der Auswertung und der Durchführung von Kontrollen“ zu klären. „Zudem sind die Beschäftigten auch künftig über mögliche Überwachungsmaßnahmen und Sanktionen zu informieren.“

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

WORUM GEHT ES EIGENTLICH?

Im Mittelpunkt der Diskussion steht die Frage, ob und inwiefern der Arbeitgeber seinen Beschäftigten die Privatnutzung betrieblicher IuK gestattet hat und ob er in diesen Fällen das Fernmeldegeheimnis zu wahren hat. Zunächst lohnt hierzu der Blick auf § 3 Abs. 1 TTDSG, welcher das vormals in § 88 TKG a.F. anzutreffende Fernmeldegeheimnis regelt:

„Dem Fernmeldegeheimnis unterliegen der Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere die Tatsache, ob jemand an einem Telekommunikationsvorgang beteiligt ist oder war. Das Fernmeldegeheimnis erstreckt sich auch auf die näheren Umstände erfolgloser Verbindungsversuche.“

Wer zur Wahrung des Fernmeldegeheimnis nach Abs. 1 verpflichtet ist, regelt § 3 Abs. 2 TTDSG:

„Zur Wahrung des Fernmeldegeheimnisses sind verpflichtet

1. Anbieter von öffentlich zugänglichen Telekommunikationsdiensten sowie natürliche und juristische Personen, die an der Erbringung solcher Dienste mitwirken,

2. Anbieter von ganz oder teilweise geschäftsmäßig angebotenen Telekommunikationsdiensten sowie natürliche und juristische Personen, die an der Erbringung solcher Dienste mitwirken,

3. Betreiber öffentlicher Telekommunikationsnetze und

4. Betreiber von Telekommunikationsanlagen, mit denen geschäftsmäßig Telekommunikationsdienste erbracht werden.

Die Pflicht zur Geheimhaltung besteht auch nach dem Ende der Tätigkeit fort, durch die sie begründet worden ist.“

Wesentlich für die Betrachtung der Privatnutzungsproblematik sind die Anbieter von ganz oder teilweise geschäftsmäßig angebotenen Telekommunikationsdiensten nach § 3 Abs. 2 Satz 1 Nr. 2 TTDSG. Nach § 88 Abs. 2 Satz 1 TKG a.F. waren bisher zu Wahrung des Fernmeldegeheimnisses Diensteanbieter verpflichtet. Diensteanbieter war nach der Legaldefinition des § 3 Nr. 6 TKG a.F. jeder, der ganz oder teilweise geschäftsmäßig Telekommunikationsdienste erbringt (lit. a)) oder an der Erbringung solcher Dienste mitwirkt (lit. b)). Unter Geschäftsmäßigkeit verstand man mit § 3 Nr. 10 TKG a.F. das nachhaltige Angebot von Telekommunikation für Dritte mit oder ohne Gewinnerzielungsabsicht. Nach der herrschenden Meinung zur bisher geltenden Rechtslage wurde ein Arbeitgeber, der den Beschäftigten seines Betriebes die Privatnutzung der betrieblichen IuK gestattet hatte, als ein solcher geschäftsmäßiger Diensteanbieter qualifiziert, da die Nutzung nachhaltig für private Zwecke erlaubt wurde. Dieser Ansicht folgten insoweit ebenfalls die Datenschutz-Aufsichtsbehörden.

Wie der Kollege Hansen-Oest in seinem Beitrag bereits treffend dargestellt hat, wäre die gesamte Situation vermeidbar gewesen, hätte denn der Gesetzgeber entsprechend den kritischen Stimmen aus der Fachwelt gelauscht, die bereits frühzeitig auf die Problematik hingewiesen haben.

WIESO IST DAS PROBLEMATISCH?

Die Entwurfsbegründung zum TTDSG ist zu § 3 zu entnehmen: „§ 3 enthält die derzeit in § 88 TKG enthaltene Regelung zum Fernmeldegeheimnis, die bis auf redaktionelle Anpassungen unverändert übernommen wird. Die Regelung setzt Artikel 5 Absatz 1 der E-Privacy-Richtlinie um.“ Und hier offenbart sich die tatsächliche Problemstellung: Art. 95 DS-GVO eröffnet das Verhältnis zwischen Datenschutz-Grundverordnung und ePrivacy-Richtlinie „nur“ für öffentlich zugängliche Kommunikationsdienste. Darüber hinaus bezieht sich Art. 3 Abs. 1 ePrivacy-RL auf die „Verarbeitung personenbezogener Daten in Verbindung mit der Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste in öffentlichen Kommunikationsnetzen“. Der in der Entwurfsbegründung in Bezug genommene Art. 5 Abs. 1 ePrivacy-RL verpflichtet seinerseits die Mitgliedstaaten zur Sicherstellung der Vertraulichkeit der mit öffentlichen Kommunikationsnetzen und öffentlich zugänglichen Kommunikationsdiensten übertragenen Nachrichten und der damit verbundenen Verkehrsdaten. Für die in Rede stehenden geschäftsmäßigen angebotenen Telekommunikationsdienste findet sich insoweit kein Regelungsspielraum. Dies tritt noch deutlicher hervor, da in der vorbezeichneten Entwurfsbegründung offenkundig zwischen öffentlich zugänglichen und geschäftsmäßig angebotene Kommunikationsdiensten differenziert wird. Erschwerend tritt hinzu, dass mit Wirkung zum 1. Dezember 2021 die Regelungen des § 3 Nr. 6 und Nr. 10 TKG a.F., welche wie dargestellt Definitionen zu Diensteanbietern und Geschäftsmäßigkeit enthielten, entfallen. Das TTDSG definiert die Begrifflichkeiten nicht.

Es darf mithin bezweifelt werden, dass zur Regelung des Adressatenkreises unter Einbeziehung der Anbieter von geschäftsmäßig angebotenen Telekommunikationsdiensten und zur Anwendung des Telekommunikationsdatenschutzes auf diese Art von Anbieter seitens des deutschen Gesetzgebers ein entsprechender Regelungsspielraum bestand. Dogmatisches Ergebnis wäre eine Verdrängung der Regelungen durch die Datenschutz-Grundverordnung und eine Anwendung selbiger, insbesondere bei Datenverarbeitung im Rahmen von Kontrollrechten seitens des Arbeitgebers bei Fragen der Privatnutzung betrieblicher IuK.

WELCHE AUSWIRKUNGEN HÄTTE EINE ANWENDUNG DER DS-GVO AUF DIE PRIVATNUTZUNGSFÄLLE?

Argumentiert wird diesbezüglich, dass die betroffenen Beschäftigten bei einer Nichtanwendung des Fernmeldegeheimnisses keines Weges schutzlos gestellt würden. Unter anderem käme zum Tragen, dass bei den entsprechenden Datenverarbeitungen die Vorgaben der Datenschutz-Grundverordnung (und des Bundesdatenschutzgesetzes), insbesondere der Art. 5 und Art. 32 DS-GVO zu wahren wären. Bei einer Nichtbeachtung drohen gleichfalls empfindliche Strafen im Rahmen des Art. 83 DS-GVO.

FAZIT

Für die Praxis dürfte der dogmatische Streit vorerst weniger Auswirkungen haben, da die Regelungen des TTDSG und mithin auch § 3 zunächst einmal in Kraft sind und ihre Wirkung entfalten. Mit Blick auf die Brisanz der Thematik der Privatnutzung betrieblicher IuK erscheint es ratsam eine ausdrückliche Regelung zu treffen, um die Privatnutzung nicht zu dulden und mithin zu gestatten. Insofern die unternehmerische Entscheidung pro erlaubte Privatnutzung ausfällt sind gleichfalls Erlaubnisrahmen und Kontrollmöglichkeiten entsprechend zu regeln. Unter Beachtung datenschutzrechtlicher Gesichtspunkte erscheint es ferner ratsam die Privatnutzung (zumindest des betrieblichen E-Mail-Accounts) zu untersagen.

Über den Autor: Alexander Weidenhammer ist Rechtsanwalt und als externer Datenschutz- und Informationssicherheitsbeauftragter beim Dresdner Institut für Datenschutz tätig. Im Fokus seiner Beratungstätigkeiten liegen insbesondere Rechtsanwalts- und Steuerberatungskanzleien, mittelständische Unternehmen sowie Vereine. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.