Protokolldaten am Arbeitsplatz: Was Unternehmen auswerten dürfen

Digitale Systeme hinterlassen im Arbeitsalltag zahlreiche Datenspuren. Anmeldezeiten, Dateiabrufe, E-Mails, Tickets oder Aktivitäten in Unternehmenssoftware lassen sich häufig einzelnen Beschäftigten zuordnen. Dass solche Daten technisch vorhanden sind, bedeutet aber nicht, dass Unternehmen sie beliebig auswerten dürfen. Entscheidend sind vor allem der ursprüngliche Zweck der Datenerhebung, die Verhältnismäßigkeit der Auswertung und mögliche Mitbestimmungsrechte.

Worum geht es rechtlich?

Protokolldaten entstehen heute in nahezu jedem Unternehmen. Microsoft 365, Zeiterfassungssysteme, Personalsoftware, CRM-Systeme, Tickettools, VPN-Verbindungen oder elektronische Zutrittssysteme erfassen automatisch Informationen über ihre Nutzung. Dazu gehören beispielsweise Login- und Logout-Zeiten, Datei- und Ordnerzugriffe, Änderungen an Datensätzen, Bearbeitungszeiten oder die Nutzung bestimmter Anwendungen.

Wenn sich solche Informationen einem bestimmten Beschäftigten zuordnen lassen, handelt es sich um personenbezogene Daten. Das Speichern, Auslesen, Zusammenführen oder Auswerten dieser Informationen ist eine Verarbeitung personenbezogener Daten. Damit gelten die Anforderungen der Datenschutz-Grundverordnung (DSGVO). Danach muss eine Auswertung dieser Daten im Unternehmen den sich aus der DSGVO ergebenden Grundsätzen entsprechen.

Was gilt aktuell und warum?

Der ursprüngliche Zweck ist entscheidend

Protokolldaten können aus guten Gründen entstehen. Ein Unternehmen darf beispielsweise Daten erheben und verarbeiten, um Cyberangriffe zu erkennen, technische Fehler aufzuklären oder unberechtigte Zugriffe auf Unternehmenssysteme festzustellen.

Etwas anderes kann aber gelten, wenn diese Daten später für einen anderen Zweck verwendet werden sollen. Werden Login-Daten aus Gründen der IT-Sicherheit gespeichert, folgt daraus nicht etwa automatisch die Berechtigung, später zu untersuchen, welche Beschäftigten morgens zuerst angemeldet waren, besonders lange online waren oder außerhalb der üblichen Arbeitszeiten gearbeitet haben. Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Eine spätere Verwendung für einen anderen Zweck bedarf deshalb einer erneuten rechtlichen Prüfung – und Rechtfertigung.

Wenn aus Protokolldaten Leistungsdaten werden

Ein Ticketsystem kann dokumentieren, wer einen Vorgang bearbeitet hat und wann dieser abgeschlossen wurde. Die Verarbeitung solcher Informationen kann für die Organisation oder Qualitätssicherung erforderlich und damit rechtmäßig sein. Eine andere Qualität erhält die Datenverarbeitung, wenn daraus personenbezogene Ranglisten entstehen. Das gilt etwa dann, wenn verglichen wird, wer die meisten Vorgänge bearbeitet, am schnellsten reagiert oder die geringsten Bearbeitungszeiten aufweist.

Dass eine Software dafür fertige Dashboards oder Analysefunktionen anbietet, schafft noch keine rechtliche Befugnis zur Nutzung dieser Funktionen. Auch eine technisch mögliche Auswertung muss erforderlich und verhältnismäßig sein. Das ist nach Auffassung des Bundesarbeitsgerichts (BAG) nicht der Fall, wenn einzelne Arbeitsschritte von Beschäftigten während ihrer gesamten Arbeitszeit technisch erfasst, gespeichert und nach quantitativen Kriterien ausgewertet werden (BAG vom 25.04.2017 – 1 ABR 46/15).

Automatisierte Bewertungen können zusätzlich problematisch sein

Werden Daten automatisiert ausgewertet, kann auch ein sogenanntes Profiling vorliegen. Darunter versteht die DSGVO die automatisierte Verarbeitung personenbezogener Daten, um persönliche Aspekte einer Person zu bewerten. Ausdrücklich genannt wird insoweit auch die Arbeitsleistung.

Nicht jede automatisierte Auswertung ist nach Art. 22 DSGVO bereits unzulässig. Zusätzliche Anforderungen gelten aber insbesondere dann, wenn auf dieser Grundlage Personalentscheidungen getroffen werden. Das kann z.B. bei Entscheidungen über Bonuszahlungen, Beförderungen oder andere wesentliche Arbeitsbedingungen der Fall sein.

Auch der Betriebsrat kann zu beteiligen sein

Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat mitzubestimmen, wenn technische Einrichtungen eingeführt oder angewendet werden, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Nach ständiger Rechtsprechung genügt dabei die objektive Eignung zur Überwachung. Der Arbeitgeber muss die Software nicht mit dem ausdrücklichen Ziel einer Leistungskontrolle eingeführt haben. Liegen diese Voraussetzung vor, müssen die Betriebsparteien vor der Einführung eine Betriebsvereinbarung abschließen. Diese kann und sollte u.a. auch den Bereich zulässigen Auswertungen regeln. Dabei muss die Betriebsvereinbarung die Anforderungen der DSGVO einhalten; Insbesondere die Grundsätze der Rechtmäßigkeit und Erforderlichkeit: Eine Betriebsvereinbarung kann das Schutzniveau der DSGVO nicht absenken. EuGH vom 19.12.2024 – C-65/23).

Typische Fehler in der Praxis

Die Zulässigkeit der ursprünglichen Speicherung erlaubt nicht gleichzeitig spätere Auswertungen zu anderen Zwecken. Bei IT-Systemen werden personenbezogene Daten häufig zunächst aus Sicherheits- oder Dokumentationsgründen gespeichert. Eine spätere Nutzung für Mitarbeitervergleiche oder Leistungsbewertungen muss gesondert geprüft werden. Das gilt auch, wenn eine pauschal weite Zweckbestimmung festgelegt wird, wie etwa, dass die Protokolldaten für „Unternehmenszwecke“ ausgewertet werden dürfen. Der konkrete – und eingegrenzte - Zweck muss vielmehr von Anfang an festgelegt sein.

Auch die technische Ausstattung einer Software darf nicht mit der rechtlichen Zulässigkeit verwechselt werden. Hersteller bieten zunehmend Analysefunktionen, Dashboards und automatisierte Auswertungen an. Unternehmen müssen trotzdem selbst prüfen, ob und unter welchen Voraussetzungen sie diese Funktionen nutzen dürfen.

Ein Risiko besteht schließlich in zu langen Speicherfristen und zu weit gefassten Zugriffsrechten. Nicht jeder Administrator und nicht jede Führungskraft muss sämtliche Protokolldaten einsehen können.

Was heißt das für die Praxis

Unternehmen sollten bereits bei der Einführung eines digitalen Systems klären, welche Protokolldaten entstehen und für welche Zwecke sie benötigt werden. Dazu gehört eine Bestandsaufnahme unter folgenden Fragestellungen:

• Welche Daten werden gespeichert?
• Wie lange bleiben sie erhalten?
• Wer kann darauf zugreifen?
• Welche Auswertungsfunktionen stellt das System zur Verfügung?
• Können verschiedene Daten miteinander verknüpft werden?
• Lassen sich personenbezogene Rankings erstellen?

Besondere Vorsicht ist geboten, sobald aus technischen Nutzungsdaten Aussagen über Arbeitsleistung oder Verhalten abgeleitet werden sollen. Eine personenbezogene Auswertung sollte nur erfolgen, wenn sie für einen konkreten und rechtlich zulässigen Zweck erforderlich ist. Oft genügen anonymisierte oder aggregierte Daten, um den vorgesehenen Zweck erreichen.

Die Beschäftigten müssen über die Datenverarbeitung informiert werden. Das Unternehmen muss darüber unterrichten, welche Daten über sie erhoben und zu welchen Zwecken diese verarbeitet werden.

Besteht ein Betriebsrat, muss außerdem frühzeitig geprüft werden, ob § 87 Abs. 1 Nr. 6 BetrVG eingreift. Gerade bei modernen Cloud- und Softwarelösungen können umfangreiche Protokoll- und Analysefunktionen im Hintergrund bestehen, obwohl sie für die Beschäftigten auf den ersten Blick nicht sichtbar sind.

Wichtigste Erkenntnisse und konkrete Tipps

Protokolldaten gehören heute zum normalen digitalen Arbeitsalltag. Ihre bloße Existenz berechtigt jedoch nicht zu jeder denkbaren Auswertung. Unternehmen sollten bereits vor Einführung eines Systems festlegen, welche Daten für welche Zwecke benötigt werden, wie lange sie gespeichert bleiben und wer auf sie zugreifen darf – und dies dokumentieren.

Besondere Zurückhaltung ist bei Mitarbeitervergleichen, Rankings und dauerhaften personenbezogenen Leistungsanalysen erforderlich. Unternehmen sollten zunächst prüfen, ob anonymisierte oder zusammengefasste Daten ausreichen. Gleichzeitig sollten vorhandene Betriebsvereinbarungen regelmäßig daraufhin überprüft werden, ob neue Softwarefunktionen oder zusätzliche Auswertungen noch von den vereinbarten Zwecken erfasst sind.

Unternehmen sollten in der Einführungsphase die Abteilungen Datenschutz, IT-Sicherheit, Personal und gegebenenfalls den Betriebsrat frühzeitig einzubeziehen. Je klarer Zwecke und Grenzen der Datennutzung bereits bei Einführung eines Systems festgelegt werden, desto geringer ist das Risiko späterer Konflikte.