KVKK-Entscheidung zu dienstlichen E-Mails: Was tun?

Nach der Mitteilung der Behörde zeigten Beschwerden und Hinweise, dass die Kontrolle dienstlicher E-Mails und Kommunikationskanäle durch Arbeitgeber auf Vorwürfe der Rechtswidrigkeit stieß. Die Prüfung des Gremiums ergab, dass Konten beobachtet, Nachrichteninhalte eingesehen, Verkehrs- und Protokolldaten ausgewertet sowie Filter und Routinekontrollen eingesetzt wurden und dass die Daten in Disziplinarverfahren und bei der Beendigung von Arbeitsverträgen verwendet wurden.

Dieselbe Feststellung fügt hinzu, dass die Beschäftigten nicht ausreichend, klar und konkret informiert wurden. Unsere Lesart: Die Entscheidung betrachtet eine verbreitete Gewohnheit und nicht einen Einzelfall. Das Problem ist weniger die Kontrolle selbst als die Tatsache, dass die Beschäftigten nicht wissen, was geschieht.

Die Entscheidung sieht ein dienstliches E-Mail-Konto nicht nur als Kommunikationsmittel. Sie behandelt es als Datenquelle, die das Kontaktnetz, das Arbeitsmuster und die Nachrichteninhalte der Beschäftigten enthält. Die Kontrolle beschreibt sie als Verarbeitung personenbezogener Daten, die einen fairen Ausgleich zwischen dem Direktionsrecht des Arbeitgebers und dem Schutz der Privatsphäre, dem Datenschutz und der Kommunikationsfreiheit der Beschäftigten verlangt.

Hinzu kommt der Unterschied zwischen technischem und rechtlichem Zugriff. Technischer Zugriff auf ein Gerät oder Netzwerk gibt nicht das Recht, frei in die privaten E-Mails, Messenger- und Social-Media-Konten der Beschäftigten hineinzugreifen. Unsere Lesart: Was die Administrationsoberfläche Ihnen erlaubt, ist nicht dasselbe wie das, was das Recht Ihnen erlaubt.

Das Gremium macht die vorherige Information zur Pflicht und erinnert daran, dass der Begriff der Information in der Rechtsprechung des Verfassungsgerichts nicht dasselbe ist wie die Aufklärung (aydınlatma) nach dem KVKK. Eine ordnungsgemäße Aufklärung, die Zweck, Umfang und Methode klar und konkret nennt, kann diese Anforderung erfüllen. Eine allgemeine Aussage wie „dienstliche E-Mails können kontrolliert werden“ gilt nicht als ausreichend.

Nach der Mitteilung sollte die Aufklärung die folgenden Punkte klar und konkret nennen. Außerdem wird festgehalten, dass wegen der Abhängigkeit im Arbeitsverhältnis die ausdrückliche Einwilligung nicht in jedem Fall als vorrangige Grundlage gelten kann; selbst wenn eine Einwilligung oder eine andere Verarbeitungsvoraussetzung vorliegt, gibt es keine unbegrenzte Kontrolle.

• Die Rechtsgrundlage
• Zweck und Umfang der Kontrolle
• Die Methode der Kontrolle
• In welchen Fällen auf Inhalte zugegriffen werden darf
• Aufbewahrungsdauer und Rechte der betroffenen Person

Nach der Entscheidung muss zwischen dienstlicher und privater Nutzung unterschieden werden, und die Regeln für die private Nutzung müssen klar, verständlich und bekannt sein. Auch wo die private Nutzung verboten ist, bleibt die Kontrolle durch die Verhältnismäßigkeit begrenzt; wo sich beides nicht trennen lässt, ist die Kontrollbefugnis enger. Das Lesen von Inhalten sollte grundsätzlich an einen konkreten Verdacht oder einen bestimmten Vorfall geknüpft sein, einem legitimen Zweck dienen und darauf beschränkt bleiben; eine allgemeine, ständige und zeitlich unbegrenzte Inhaltsprüfung ist zu vermeiden.

Erwartet wird außerdem ein abgestuftes Vorgehen: Ist eine weniger eingreifende Methode möglich, darf nicht die schwerere gewählt werden. Zu beachten ist, dass Nachrichten besondere Kategorien von Daten und Daten Dritter auf der Gegenseite des Schriftverkehrs enthalten können. Unsere Lesart: Wenn eine Reihenfolge wie erst die Protokolle, bei Bedarf dann der Inhalt schriftlich festgelegt ist, wissen Beschäftigte und Führungskräfte, was sie erwarten können.

• Knüpfen Sie die Kontrolle an einen Vorfall oder einen konkreten Verdacht
• Versuchen Sie zuerst die weniger eingreifende Methode
• Bewahren Sie Daten nicht länger auf als nötig
• Beschränken Sie den Zugriff auf wenige Personen mit zugewiesenen Aufgaben und führen Sie Zugriffsprotokolle

Das Gremium verlangt, dass die Rechtsgrundlage für die Verarbeitung des Kontos und seiner Daten nach dem Ende des Arbeitsverhältnisses neu beurteilt wird, und sagt, dass das Ende des Verhältnisses nicht bedeutet, dass die Daten unbegrenzt zugänglich bleiben. Unsere Lesart: Die Haltung „die Person ist weg, also bleibt das Postfach bei uns“ ist nun eine Annahme, die sich nur schwer verteidigen lässt.

In der Praxis bedeutet das für ein kleines Unternehmen mit Google Workspace, Microsoft 365 oder cPanel-Mail einen schriftlichen Austrittsablauf. Verknüpfen Sie die Audit-Protokolle der Administrationsoberfläche, die rollenbasierte Zugriffssteuerung und die Aufbewahrungsregeln mit diesem Ablauf. Wenn Sie Ihre E-Mail-Infrastruktur prüfen, kann Ihnen unser E-Mail-DNS-Prüfwerkzeug auch die Mail-Einträge Ihrer Domain zeigen, und unser Blogbeitrag zur Wahl eines Dienstes für Geschäfts-E-Mail hilft bei der Auswahl des Anbieters.

• Legen Sie per Regel schriftlich fest, was mit dem Konto eines Ausgeschiedenen geschieht
• Halten Sie Abwesenheitsnotiz und Weiterleitung auf ihren Zweck beschränkt
• Bestimmen Sie die Aufbewahrungsdauer im Voraus und löschen Sie nach Ablauf
• Verfolgen Sie Administratoraktionen im Audit-Protokoll

Der häufigste Fehler ist, eine einzeilige Klausel „E-Mails können kontrolliert werden“ in den Vertrag zu schreiben und die Sache für erledigt zu halten; die Entscheidung erkennt eine solche allgemeine Mitteilung nicht an. Der zweite ist, eine unterschriebene Einwilligung für eine Grundlage zu halten, die alles abdeckt. Der dritte ist, eine breite, dauerhafte Protokollierung einzuschalten und nie hineinzusehen; gespeicherte Daten können selbst zur Last werden.

In einem Betrieb, den nur der Inhaber führt und der keine Beschäftigten hat, ändert diese Entscheidung nichts an Ihrer täglichen Arbeit. Beschäftigen Sie aber auch nur eine Person, kann der Rahmen für Sie gelten; seinen Umfang bestimmt Ihr Anwalt.

• Sich mit einer einzeiligen allgemeinen Kontrollklausel zu begnügen
• Die Einwilligung als Grundlage für unbegrenzte Kontrolle zu betrachten
• Eine allgemeine, ständige Inhaltsprüfung einzurichten
• Das Postfach eines Ausgeschiedenen unbegrenzt offen zu halten