Wenn es Verdachtsmomente arbeitsvertragswidrigen oder sogar strafbaren Handelns von Arbeitnehmern im Unternehmen gibt, möchten Arbeitgeber gerne mittels interner Ermittlungen Klarheit erlangen: Hat ein Mitarbeiter Geschäftsgeheimnisse an einen Konkurrenten „durchgestochen“? Lässt sich ein Mitarbeiter im Vertrieb für eine Auftragsvergabe „schmieren“? Im Rahmen interner Ermittlungs- und Aufklärungsmaßnahmen müssen regelmäßig Mitarbeiter befragt werden, Unterlagen ausgewertet oder auch eine verdeckte Videoüberwachung im Betrieb eingeführt bzw. in E-Mail-Postfächer oder Dateien der Beschäftigten Einsicht genommen werden.
Ermittlungen nur bei Verdacht
Das Arbeitsrecht lässt dies gem. Art. 88 Datenschutzgrundverordnung (DS-GVO) i.V.m. § 26 Abs. 1 S. 2 Bundesdatenschutzgesetz (BDSG) auch ohne Einwilligung des Mitarbeiters zu, „wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind.“
Inhalt und Vorgaben des datenschutzrechtlichen Einleitungsvermerks
Neben einer entsprechenden Interessenabwägung und Verhältnismäßigkeitsprüfung müssen damit konkrete Anhaltspunkte vorliegen, die einen derartigen Verdacht begründen. Diese Verdachtsmomente müssen aber nicht nur objektiv vorliegen, sondern ist der Ermittelnde zudem verpflichtet, diese vor Beginn der Untersuchung „zu dokumentieren“. Eine solche Dokumentation erfolgt mittels eines sog. datenschutzrechtlichen Einleitungsvermerks, der vor Beginn der internen Ermittlungen die Verdachtsmomente und die diesen zugrunde liegenden Tatsachen benennt, die Person bzw. Personengruppe, die Ermittlungen unterworfen werden soll, aufführt. Insbesondere sind damit im Einleitungsvermerk die Indizien anzugeben, aus denen sich der Verdacht der dolosen Handlung ergeben hat. Insoweit bedarf es einer kurzen bzw. jedenfalls schlagwortartigen Darstellung, warum hieraus nach „kriminalistischer Erfahrung“ ein entsprechender Verdacht abgeleitet werden kann.
Schließlich empfiehlt es sich, die beabsichtigten Ermittlungsmaßnahmen (z. B. Einsichtnahme in E-Mail-Konten, Auswertung von Browserverläufen) darzustellen und jeweils mittels einer jedenfalls skizzierten Verhältnismäßigkeitsprüfung zu diskutieren, warum sich diese Maßnahmen als erforderlich erweisen. Auch abgestufte Ermittlungskonzepte, die weitere Ermittlungen erst nach „positiven Befunden“ in den ersten Ermittlungsschritten auslösen, können bereits entsprechend dargestellt werden, um eine spätere Anpassung oder ein Fortschreiben des Vermerks entbehrlich zu machen.
Folgen fehlender Einleitungsvermerke
Zwar nimmt die derzeitige Rechtsprechung bei Fehlen eines Einleitungsvermerks noch keine spätere Unverwertbarkeit der im Rahmen der Ermittlungen gewonnenen Erkenntnisse an – ob dies aus unionsrechtlichen Gründen aber womöglich anders zu sehen ist, hat das Bundesarbeitsgericht ausdrücklich offen gelassen. Zudem drohen bei fehlenden datenschutzrechtlichen Einleitungsvermerken empfindliche behördliche Bußgelder. Damit ist dessen Erstellung nicht nur datenschutzrechtlich geboten, sondern kann mit einer entsprechenden sorgfältigen Dokumentation der internen Ermittlungsmaßnahme bereits von Beginn an späteren Diskussionen über Verwertungsverbote der Boden entzogen werden. Schlussendlich dient der Vermerk auch dazu, sich bei der Ermittlungsmaßnahme an den abgesteckten Rahmen zu halten. Er hat daher auch insoweit eine interne „Disziplinierungsfunktion“.
Vertiefungshinweise:
Fuhlrott: Der datenschutzrechtliche Einleitungsvermerk bei internen Ermittlungen im Arbeitsverhältnis, Gesellschafts- und Wirtschaftsrecht (GWR) 2020, S. 23 ff.