Erhalten Beschäftigte von ihrem Arbeitgeber betriebliche Kommunikationsmittel (zum Beispiel Telefon, PC, Internet, E-Mail oder Mobiltelefon) zur Nutzung überlassen, stellt sich die Frage, auf welcher gesetzlichen Grundlage die dabei entstehenden Daten vom Arbeitgeber überwacht werden können. Im Grundsatz ist hier zwischen privater und dienstlicher Nutzung zu unterscheiden. Konsequenz einer vom Arbeitgeber (stillschweigend) gestatteten Privatnutzung ist ein weitgehender Verlust von Kontrollmöglichkeiten über den Datenverkehr der betrieblichen Telekommunikation.
Dienstliche Nutzung
Soweit beim Einsatz betrieblicher Kommunikationsmittel Bezug zu den dienstlichen Aufgaben des Arbeitnehmers (das heißt zu seinen Dienstpflichten) besteht, ist von einer dienstlichen Nutzung auszugehen. Darauf, ob die konkrete Nutzungshandlung zweckmäßig ist, kommt es nicht an. Entscheidend ist aber, dass die jeweilige Nutzung unter abstrakt-objektiven Gesichtspunkten dazu geeignet ist, dienstliche Aufgaben zu fördern.
Darunter fällt auch der Austausch von Daten innerhalb des Unternehmens. Was von den Arbeitsvertragsparteien jeweils als Dienstpflicht angesehen wird, ist im Idealfall im Arbeitsvertrag beschrieben oder ergibt sich zum Beispiel aus der Stellenausschreibung. Als dienstliche Nutzung ist ebenfalls die sogenannte betrieblich veranlasste Privatnutzung (zum Beispiel Mitteilung an den Ehepartner, dass sich die Heimkehr verzögert) oder die Förderung des Privatkontaktes zu Kunden anzusehen.
Private Nutzung
Private Nutzung ist in Abgrenzung zur oben vorgenommenen Definition alles, was nicht den dienstlichen Aufgaben des Arbeitnehmers zuzurechnen ist. Die Abgrenzung zwischen dienstlicher und privater Nutzung kann im Einzelfall schwierig sein und gerade in IT-"affinen" Unternehmen zu Problemen führen. Um Überschneidungen zu vermeiden, sind in der Praxis klare Absprachen zwischen Unternehmensleitung und Belegschaft empfehlenswert.
Kontrollmöglichkeiten
Der Arbeitgeber wird regelmäßig ein Interesse daran haben, zu erfahren, ob seine Angestellten die betrieblichen Kommunikationsmittel dienstlich oder privat nutzen. Im Hinblick auf die Zulässigkeit hierfür erforderlicher Kontrollen ist zwischen äußeren Verbindungsdaten und sogenannten Inhaltsdaten zu unterscheiden. Unter äußeren Verbindungsdaten sind all jene Daten zu fassen, die Art und Umfang des genutzten Dienstes umschreiben (bei der E-Mail zum Beispiel Absender, Empfänger, Datum und Größe der E-Mail; bei der Internetnutzung beispielsweise Verbindungszeit, Datenmenge oder URL).
Ein Beispiel: Hinsichtlich der Kontrolle von Inhaltsdaten stehen dem Arbeitgeber bei dienstlich veranlasster Internetnutzung und dem Verbot privater Internetnutzung weitreichende Kontrollbefugnisse zu. Als Gläubiger der vom Arbeitnehmer geschuldeten Arbeitsleistung ist er befugt, sich über eben diese Arbeitsleistung Kenntnis zu verschaffen. Er kann dazu auch Einsicht in den Datenverkehr nehmen. Die gesetzlichen Vorgaben finden sich insofern in den §§ 32, 28 Bundesdatenschutzgesetz (BDSG). Der Arbeitgeber sollte seine Mitarbeiter allerdings über seine Kontrollrechte und Rechte zur Einsichtnahme informieren und ihnen so die Chance geben, sich darauf einzustellen.
- Ein Schutzwall direkt beim Anwender
Viele Webmail-Anbieter (in diesem Beispiele Google Mail) bieten bereits standardmäßig einen guten Schutz vor Spam, wenn die Anwender sich etwas mit den Filtereinstellungen befassen. - die Server bieten standardmäßigen Anti-Spam-Schutz
Hier sind die entsprechenden Meldungen der Ereignisprotolle für die „Inhalts-Identifizierung“ und die „Standardfilterebene“ eines Exchange-Servers zu sehen. - Millionen von Spam-Nachrichten
Wenn Anwender richtig darauf reagieren und diese Art von Mail nicht durch einen Klick auf „Keine Junk-E-Mail“ freigeben, werden viele davon auch von Client-Programmen abgefangen - Die äußere Verteidigungslinie
Eine Appliance, die einen sogenannten „Reputations-Filter“ verwendet, lässt solche Nachrichten erst gar nicht in das Firmennetzwerk gelangen. - Der Antivirus-Schutz kann ebenfalls in der vordersten Linie zum Einsatz kommen
Die meisten Appliances sind dazu in der Lage, die eingehenden Nachrichten vor dem Wechsel in das Firmennetzwerk auf Viren zu untersuchen. - Der Transfer vom E-Mail-Server zum Client
Bei Verwendung von POP3 ist er gänzlich unverschlüsselt und kann mit etwas Knowhow mittels Port-Sniffing und Port-Mirroring protokolliert werden - Ein einfaches Zertifikat für den Einsatz mit S/Mime
: Anbieter wie StartSSL bieten kostenlose Class1-Zertifikate an, die für Privatanwender und kleinen Firmen ausreichen können. - Schneller Einsatz bei einer aktuellen Version von Microsoft Outlook (hier Outlook 2007)
Das Zertifikat wird im Vertrauensstellungscenter importiert. Das funktioniert auch dann tadellos, wenn das Zertifikat zuvor mit dem Firefox angefordert wurde. - Alle gängigen E-Mail-Client-Programme unterstützten S/MIME, wie hier am Beispiel Thunderbird gezeigt wird
Auf Smartphones und Handheld-PCs ist die Unterstützung im Moment noch nicht selbstverständlich. - Nicht zu übersehen
Mit diesem Zertifikat es etwas nicht in Ordnung, was für den Benutzer in aller Deutlichkeit angezeigt wird. - Es ist wichtig, dass ist ein gültiges Zertifikat vorhanden ist
Wer diesen Teil nicht besitzt, kann einem anderem Empfänger zwar eine verschlüsselte Nachricht schicken, muss aber damit rechnen, dass dieser sie nicht lesen kann. - Elegant und übersichtlich gelöst
Die Schlüsselbundverwaltung auf den Apple-Rechnern und OS X. Auch hier fügt sich das freie Class1-Zertifikat problemlos ein. - Eine Archivierung der E-Mail findet häufig sowohl auf dem Client-Computer, als auch auf der Seite des Servers statt
Während es auf dem Client die eigenen Nachrichten sind, die gesichert werden, speichert der Server in der Regel alle ein- und ausgegangenen Nachrichten.