Überwachung am Arbeitsplatz

Die Nutzung von Informations- und Kommunikationstechnologien (Information and Communication Technology; ICT) durch das Personal eines Unternehmens kann für dieses mit Risiken verbunden sein, rechtliche und finanzielle Folgen haben und allenfalls das Image des Unternehmens schädigen. Zu denken ist beispielsweise an übermässigen Internetkonsum durch das Personal während der Arbeitszeit oder an die Installation und Nutzung von privaten Applikationen auf der IT-Infrastruktur des Unternehmens. Denkbar ist aber auch die Bekanntgabe von geheim zu haltenden Informationen oder reputationsschädigendes Verhalten bei der Nutzung von Social-Media-Plattformen. Ferner ist an die Einhaltung von Arbeits- und Ruhezeitvorschriften und die damit verbundene Dokumentationspflicht zu denken, was insbesondere bei Homeoffice-Arbeit relevant sein kann.

Nach Schweizer Recht ist es Sache des Unternehmens, über die Nutzung seiner betrieblichen Ressourcen zu verfügen und dem Personal diesbezüglich entsprechende Weisungen zu erteilen (Art. 321d Abs. 1 OR). In gewissen Grenzen und unter Berücksichtigung der Verhältnismässigkeit kann (oder muss) das Unternehmen die Nutzung auch kontrollieren. Dies insbesondere dann, wenn das Unternehmen eine bestimmte Nutzung verboten oder beschränkt hat oder wo aus regulatorischen Gründen Überwachungspflichten bestehen, wie dies etwa im Finanzsektor zur Bekämpfung von Korruption, Insiderhandel und Geldwäscherei der Fall ist. Das Unternehmen muss dabei aber berücksichtigen, dass eine solche Kontrolle eine persönlichkeitsverletzende und mithin gesundheitsschädliche Überwachung am Arbeitsplatz darstellen und auch in den Anwendungsbereich von Art. 8 der Europäischen Menschenrechtskonvention (EMRK) fallen kann. Dies dann, wenn Überwachungs- und Kontrollsysteme, wie etwa Key-Logger, Content Scanner oder Spyware, eingesetzt werden, die eine detaillierte Kontrolle des Personals ermöglichen und damit eine unzulässige Verhaltensüberwachung darstellen (Art. 26 Abs. 1 ArGV 3). Die Zulässigkeit und Umsetzung von Überwachungs- und Kontrollsystemen muss daher jeweils im Einzelfall geprüft werden. Es ist zu empfehlen, diesbezüglich eine Risikobeurteilung, Interessenabwägung und Verhältnismässigkeitsprüfung vorzunehmen.

Aus Transparenzgründen sollten sowohl die Nutzung der Informations- und Kommunikationstechnologien als auch eine allfällig mögliche Kontrolle dieser Nutzung und die Voraussetzungen hierfür in Reglementen festgeschrieben werden. Ferner sollte das Personal im richtigen Umgang mit den betrieblichen Ressourcen geschult werden. Flankierend hierzu sind, technische Schutzmassnahmen zu ergreifen, welche die Risiken einer Nutzung der betrieblichen Ressourcen durch das Personal minimieren sollen. Zu denken ist hier etwa an Passwortschutz, Zugriffskontrolle, Virenschutz, regelmässige Aktualisierungen, Backups, Recovery-Massnahmen, Limitierung der Schnittstellen und Sperrung von Angeboten. Solche Massnahmen sind entsprechend auch als Teil der technischen und organisatorischen Massnahmen (TOMs) zu verstehen, welche ein Unternehmen gestützt auf Art. 8 des Bundesgesetzes über den Datenschutz (Datenschutzgesetz, DSG) bzw. Art. 3 der Verordnung über den Datenschutz (Datenschutzverordnung, DSV) treffen muss (vgl. auch Art. 32 der Datenschutz-Grundverordnung (DSGVO; Verordnung (EU) 2016/679)). TOMs sind auf die Umstände des Einzelfalls und insbesondere auf die bei der Nutzung bestimmter Geräte, Applikationen und Technologien zu erwartenden Risiken anzupassen.