Teil IV: Instrumente für interne Untersuchungen – Datenscreening und Durchsuchungen

Dieser Teil IV unserer Briefing-Reihe erläutert, wie Unternehmen rechtmäßig und effektiv Mitarbeiterdaten, Dokumente und E-Mails screenen können und wie verhältnismäßige körperliche Durchsuchungen auf eine Weise durchgeführt werden können, die rechtlich vertretbar und operativ praktikabel ist.

Die Kernaussage ist eindeutig: Screening-Maßnahmen und Durchsuchungen müssen zweckgerichtet und verhältnismäßig sein, auf einer gültigen Rechtsgrundlage nach dem Datenschutzrecht beruhen und zusätzliche Einschränkungen beachten, die sich ergeben können, wenn die private Nutzung von Unternehmenssystemen erlaubt ist oder wenn das Fernmeldegeheimnis oder Vorschriften zum Gerätezugriff gelten.

Der relevante Rechtsrahmen ist in der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG), dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und in bestimmten Szenarien dem Telekommunikationsgesetz (TKG) verankert.

Soweit möglich sollten Unternehmen transparente und offene Ermittlungsmaßnahmen bevorzugen und von verdeckten Maßnahmen absehen, es sei denn, es liegt ein dokumentierter Verdacht einer Straftat vor und mildere Mittel sind nicht verfügbar.

Zur interviewbasierten Sachverhaltsermittlung siehe Teil III unserer Briefing-Reihe. Hinweise zu Governance-Strukturen, Berichtslinien und Entscheidungsbefugnissen finden sich in Teil II. Eine ausführliche Erörterung von Rechtsgrundlagen, Betroffenenrechten und der Beweisverwertungsverbotslehre folgt in Teil V.

1. Anwendungsbereich und Leitprinzipien für Screening und Durchsuchungen

Das Screening von Mitarbeiterdaten und Durchsuchungen am Arbeitsplatz sollten eng gefasst sein, um klar definierte Ermittlungsfragen zu beantworten, und müssen den Grundsätzen der Erforderlichkeit, Datenminimierung und Zweckbindung entsprechen. Standardmäßig sollten Unternehmen offen und transparent vorgehen, mit klarer Benachrichtigung der betroffenen Mitarbeiter und einem dokumentierten Plan, der festlegt, was durchsucht wird, warum die Maßnahme erforderlich ist und wie die Vertraulichkeit gewahrt und die Nutzung personenbezogener Daten begrenzt wird.

Die Kerngrundsätze der DSGVO für die Verarbeitung gelten uneingeschränkt, einschließlich Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; Integrität und Vertraulichkeit; sowie Rechenschaftspflicht. Der Grundsatz der Rechenschaftspflicht verlangt insbesondere von den Verantwortlichen, diese Standards nicht nur einzuhalten, sondern die Einhaltung auch durch angemessene Dokumentation, Entscheidungsunterlagen sowie technische und organisatorische Maßnahmen nachweisen zu können.

Eine breite, fortlaufende oder verdeckte Überwachung ohne konkreten Ermittlungszweck oder konkrete tatsächliche Anhaltspunkte ist unzulässig und birgt ein erhebliches Risiko einer rechtswidrigen Verarbeitung und eines Beweisverwertungsverbots. Nach gefestigter Praxis müssen Überwachungsmaßnahmen im Umfang begrenzt, auf den konkreten Verdacht ausgerichtet und zeitlich befristet sein. Im regulären Betrieb müssen die Mitarbeiter über Art, Umfang und Zweck jeder Überwachung informiert werden. Verdeckte Maßnahmen sind Ausnahmefällen vorbehalten, typischerweise bei Verdacht auf strafbares Verhalten, und nur dann, wenn mildere Alternativen sich als unzureichend erwiesen haben. Diese Anforderungen spiegeln das Grundrecht auf informationelle Selbstbestimmung und den in der DSGVO- und BDSG-Praxis verankerten Verhältnismäßigkeitstest wider.

Unternehmen sollten auch die Transparenzpflichten und deren eng begrenzte Ausnahmen sorgfältig planen. Während Art. 13 und 14 DSGVO grundsätzlich verlangen, dass betroffene Personen informiert werden, erlaubt § 33 BDSG unter außergewöhnlichen Umständen begrenzte Abweichungen, unter anderem wenn die Informationserteilung die Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche gefährden oder den Zweck der Verarbeitung zur Verhütung oder Aufdeckung von Straftaten untergraben würde. Jede Berufung auf diese Ausnahmen muss einzelfallbezogen geprüft, gegen die Interessen der betroffenen Person abgewogen und gründlich dokumentiert werden.

Schließlich ist eine Datenschutz-Folgenabschätzung (DSFA) erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Mitarbeiter zur Folge hat. Dies wird typischerweise bei systematischer Überwachung, umfangreicher Verarbeitung, Data-Loss-Prevention-Tools mit Profiling-Funktionalität, Geolokalisierung von Mitarbeitern oder dem Einsatz neuartiger oder eingriffsintensiver Technologien der Fall sein. In der Praxis werden Hinweisgebersysteme und viele technische Überwachungsmaßnahmen regelmäßig DSFA-Pflichten auslösen.

Kernaussagen

• Zweck zuerst: Screening und Durchsuchungen müssen eng definiert, erforderlich und verhältnismäßig sein.
• Transparenz als Standard: Offene Maßnahmen mit klarer Benachrichtigung und Dokumentation sind die Regel.
• Keine Ausforschungsbeweise: Breite, fortlaufende oder ungezielte Überwachung ist grundsätzlich unzulässig.
• Verdeckte Maßnahmen sind Ausnahmen: Nur zulässig bei dokumentiertem Verdacht auf strafbares Verhalten und wenn keine milderen Mittel verfügbar sind.
• Informationspflichten beachten: Art. 13/14 DSGVO gelten; Ausnahmen nach § 33 BDSG sind eng und müssen sorgfältig dokumentiert werden.
• DSFA frühzeitig prüfen: Systematische Überwachung, Hinweisgebersysteme oder eingriffsintensive Technologien lösen häufig DSFA-Pflichten aus.

2. Rechtsgrundlagen und beweisrechtliche Konsequenzen

Das Screening von Mitarbeiterdaten und Durchsuchungen am Arbeitsplatz müssen auf einer gültigen Rechtsgrundlage beruhen. Im Arbeitsrechtskontext stützt sich die Verarbeitung typischerweise auf Art. 6 DSGVO in Verbindung mit Art. 88 DSGVO und den anwendbaren nationalen Umsetzungsvorschriften.

Historisch hat § 26 BDSG eine spezifische arbeitsrechtliche Rechtsgrundlage bereitgestellt, die im Konzept der Erforderlichkeit für Zwecke im Zusammenhang mit der Einstellung, der Durchführung des Beschäftigungsverhältnisses und der Beendigung verankert ist, ergänzt durch eine eigenständige Vorschrift zur Aufdeckung von Straftaten. Nach dem EuGH-Urteil vom 30. März 2023, das die Voraussetzungen klarstellte, unter denen nationale Beschäftigtendatenvorschriften gemäß Art. 88 Abs. 2 DSGVO zulässig bleiben, betonen Gerichte und Kommentatoren zunehmend, dass die DSGVO Vorrang hat, wo nationale Vorschriften die Anforderungen des Art. 88 nicht erfüllen. Vor diesem Hintergrund ist es ein umsichtiger Ansatz, die Verarbeitung primär auf Art. 6 DSGVO zu stützen, dabei § 26 BDSG zu beachten, wo er anwendbar ist, und Erforderlichkeit und Verhältnismäßigkeit besonders sorgfältig zu dokumentieren.

Der Weg über die Straftataufdeckung bleibt eine eng begrenzte Ausnahme unter strengen Voraussetzungen. Nach § 26 Abs. 1 Satz 2 BDSG müssen Arbeitgeber nachweisen können, (i) dass dokumentierte und tatsächliche Anhaltspunkte für eine im Beschäftigungsverhältnis begangene Straftat vorliegen, (ii) dass die gewählte Maßnahme zur Aufdeckung der Straftat erforderlich und verhältnismäßig ist, und (iii) dass die berechtigten Interessen des Beschäftigten nicht überwiegen, wobei Art und Umfang der Maßnahme zu berücksichtigen sind. Mildere Alternativen müssen zunächst erwogen und ausgeschöpft werden.

Darüber hinaus müssen Arbeitgeber die Zweckbindung und die Regeln zur Zweckänderung beachten. Die Weiterverwendung rechtmäßig erhobener Mitarbeiterdaten für Ermittlungszwecke kann eine separate Rechtsgrundlage und eine dokumentierte Zweckänderungsprüfung erfordern. Dies kann die Berufung auf § 24 BDSG für die Verarbeitung umfassen, die zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist, in Verbindung mit angemessenen Garantien wie Pseudonymisierung oder Verschlüsselung.

Schließlich sollten Unternehmen Beweisverwertungsrisiken antizipieren. Die Arbeitsgerichte erkennen an, dass schwerwiegende Datenschutz- oder Persönlichkeitsrechtsverletzungen zu einem Beweisverwertungsverbot führen können, insbesondere wenn Grundrechte betroffen sind. Selbst rechtmäßig erhobene Daten müssen in einer Weise verwendet werden, die mit dem ursprünglichen Verarbeitungszweck übereinstimmt. Obwohl Verstöße gegen Mitbestimmungspflichten oder interne Richtlinien allein nicht automatisch zur Unverwertbarkeit von Beweisen führen, kann eine rechtswidrige Datenerhebung dies nach einer einzelfallbezogenen verfassungsrechtlichen Abwägung bewirken.

Rechtsgrundlage & Beweis – Kernpunkte

• Art. 6 DSGVO als Anker: Screening und Durchsuchungen primär auf die DSGVO stützen; § 26 BDSG nach dem EuGH-Urteil (30. März 2023) mit Vorsicht anwenden.
• Die Straftatausnahme des § 26 BDSG ist eng: Erfordert dokumentierten Verdacht, Erforderlichkeit, Verhältnismäßigkeit und Ausschöpfung milderer Mittel.
• Zweckbindung beachten: Die Weiterverwendung vorhandener Daten kann eine Zweckänderungsprüfung und eine neue Rechtsgrundlage auslösen (z. B. § 24 BDSG).
• Verhältnismäßigkeit sorgfältig dokumentieren: Rechtsgrundlage, Abwägung und Garantien sollten detailliert festgehalten werden.
• Beweise in Gefahr: Schwerwiegende Datenschutzverletzungen können zu einem Beweisverwertungsverbot in arbeitsgerichtlichen Verfahren führen.

3. Digitale Quellen und Ermittlungspfad

Die meisten Untersuchungen beginnen mit Unternehmensdaten. Der Ermittlungspfad sollte einem Business-first- und minimal-invasiven Ansatz folgen. Arbeitgeber sollten sich zunächst auf klar geschäftsbezogene Speicherorte konzentrieren, wie gemeinsame Laufwerke, Dokumentenmanagementsysteme, Kollaborationsplattformen, Ticketing- oder CRM-Systeme sowie Audit- oder Zugriffsprotokolle. Nur wenn diese Quellen die Ermittlungsfragen nicht ausreichend beantworten und dies durch Erforderlichkeit und Verhältnismäßigkeit gerechtfertigt ist, sollten Unternehmen zu individuellen Postfächern, Endpoint-Imaging oder Mobilgerätedaten übergehen.

E-Mail und Messaging

Wenn die private Nutzung von Unternehmenssystemen ausdrücklich untersagt und wirksam durchgesetzt wird, können Arbeitgeber geschäftliche Kommunikation im Einklang mit Erforderlichkeit und Verhältnismäßigkeit überprüfen, sofern eine pauschale oder dauerhafte Überwachung vermieden wird. Wenn die private Nutzung erlaubt oder geduldet wird, muss der Zugriff mit besonderer Vorsicht erfolgen.

Ob die Erlaubnis der privaten Nutzung Fernmeldegeheimnisverpflichtungen nach TDDDG/TKG auslöst, ist nach wie vor umstritten. Es gibt jedoch eine erhebliche Anzahl von Stimmen – einschließlich mehrerer Datenschutzaufsichtsbehörden – die die restriktive Ansicht vertreten, dass die private Nutzung Arbeitgeber dem Fernmeldegeheimnis unterwirft, was den Zugang zu Kommunikationsinhalten außer unter engen gesetzlichen Ausnahmen verbieten würde. Obwohl einige Kommentatoren argumentieren, dass § 3 TDDDG auch bei privater Nutzung nicht auf Arbeitgeber anwendbar ist, sollten sich Unternehmen nicht ohne sorgfältige rechtliche Prüfung auf die großzügigere Auslegung verlassen. Angesichts der Schwere der möglichen Konsequenzen – einschließlich strafrechtlicher Haftung nach § 206 des Strafgesetzbuches (StGB) und dem Risiko eines Beweisverwertungsverbots – sollten Arbeitgeber, die private Nutzung erlauben, aus Gründen der Vorsicht davon absehen, E-Mail-Inhalte zu screenen, es sei denn, sie können die Einhaltung der Fernmeldegeheimnisanforderungen nachweisen oder haben robuste Maßnahmen zur Trennung privater und geschäftlicher Kommunikation implementiert.

In der Praxis sind risikomindernde Maßnahmen unerlässlich: Arbeitgeber sollten Verkehrsdaten und Protokolle der Inhaltsprüfung vorziehen, enge zeitliche Rahmen, Absender-/Empfängerfilter und Schlüsselwortbeschränkungen anwenden und sicherstellen, dass eindeutig private Kommunikation ausgeschlossen wird. Eine fallspezifische Interessenabwägung sollte dokumentiert werden.

Dokumente und Kollaborationstools

Moderne Kollaborationssuiten können Analysen generieren, die indirekt das Verhalten oder die Leistung von Mitarbeitern überwachen. Arbeitgeber sollten sich auf aggregierte oder rollenbasierte Erkenntnisse verlassen, den Zugang auf das strikte Need-to-know-Prinzip beschränken und Profiling-Funktionen deaktivieren oder begrenzen, es sei denn, eine gültige Rechtsgrundlage liegt vor. Wenn Tools in der Lage sind, Leistung oder Verhalten zu überwachen, ist typischerweise eine Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG) erforderlich, mit Leitplanken, die in einer Betriebsvereinbarung dokumentiert werden.

Endgeräte und Keylogger

Eine gezielte Durchsuchung von Laptops oder die Beschlagnahme bestimmter Ordner kann zulässig sein, sofern dies erforderlich und verhältnismäßig ist. Im Gegensatz dazu sind Keylogger, kontinuierliche Bildschirmaufnahmen oder ähnliche Totalüberwachungs-Tools grundsätzlich rechtswidrig, sofern kein konkreter Verdacht einer Straftat oder eines schwerwiegenden Verstoßes vorliegt – und selbst dann nur bei enger Eingrenzung. Gerichte haben wiederholt Beweise abgelehnt, die durch Keylogging ohne konkreten Verdacht gewonnen wurden.

Mobilität und GPS

Die Ortung von Firmenfahrzeugen oder -geräten kann während der Arbeitszeit für definierte betriebliche oder Sicherheitszwecke zulässig sein, jedoch nicht während Pausen oder außerhalb der Dienstzeit. Bei sicherheitskritischen Funktionen oder zum Schutz von Vermögenswerten kann eine begrenzte GPS-Ortung nach Art. 6 Abs. 1 lit. f DSGVO oder in engen Fällen § 26 BDSG gerechtfertigt sein, sofern die Ortung strikt auf die Arbeitszeit beschränkt ist.

Bring-Your-Own-Device (BYOD)-Szenarien erfordern besondere Sorgfalt. Ein robustes Setup sollte persönliche und geschäftliche Daten durch Mobile-Device-Management-Lösungen trennen, die Erhebung auf geschäftliche Daten beschränken und sich nur dann auf eine Einwilligung stützen, wenn diese wirklich freiwillig, informiert, widerrufbar und für den Mitarbeiter vorteilhaft ist.

Prozesshygiene

Eine solide Prozessgestaltung ist von entscheidender Bedeutung. Arbeitgeber sollten in Richtlinien oder Betriebsvereinbarungen klare Hinweise bereitstellen, den Zugriff auf Untersuchungsdaten auf den Kreis der Personen beschränken, die diese Informationen benötigen, und alle Suchvorgänge, Abfragen und Exporte protokollieren. Wenn Untersuchungen eine systematische Überwachung, Tools zur Verhinderung von Datenverlusten oder Geolokalisierung beinhalten, ist gemäß Art. 35 DSGVO häufig eine Datenschutz-Folgenabschätzung (DSFA) erforderlich. Für Auftragsverarbeiter und grenzüberschreitende Übermittlungen sind Vereinbarungen nach Art. 28 DSGVO, geeignete Übermittlungsmechanismen und die Überprüfung der Garantien für Empfänger außerhalb des EWR unerlässlich.

4. Körperliche Durchsuchungen, Videoüberwachung und sensible Bereiche

Körperliche Durchsuchungen sollten selten, risikobasiert und durch Richtlinien oder Betriebsvereinbarungen gerahmt sein. Stichprobenartige, angekündigte Taschenkontrollen an Ladenausgängen oder kontrollierter Zugang zu Sperrbereichen können zulässig sein, wenn sie verhältnismäßig, nicht diskriminierend und transparent kommuniziert sind. Schließfächer, Schreibtische und anderes Firmeneigentum können inspiziert werden, wenn dies für definierte Zwecke erforderlich ist und auf eine Weise erfolgt, die den Eingriff minimiert, beispielsweise in Anwesenheit eines Zeugen und mit Einladung an den Mitarbeiter, nach Möglichkeit anwesend zu sein. Private Gegenstände erfordern eine Einwilligung oder starke, dokumentierte Gründe in Ausnahmefällen.

Videoüberwachung muss zweckgebunden und auf gerechtfertigte Bereiche wie Eingänge, Hochrisikozonen oder Kassenbereiche beschränkt sein. Kameras sind an Orten mit hoher Privatsphäre verboten, wie Umkleidekabinen und Sanitäranlagen, und verdeckte Videoüberwachung ist auf Ausnahmefälle zur Straftataufdeckung beschränkt, die durch konkreten Verdacht gestützt sind und als letztes Mittel dienen. Arbeitgeber sollten klare Beschilderung anbringen, wo Kameras in Betrieb sind, Aufbewahrungsfristen so kurz wie möglich definieren und Aufnahmen nur auswerten, wenn ein berechtigter Anlass besteht. Die Rechtsgrundlagen sind kumulativ für alle betroffenen Personen zu prüfen. Für Mitarbeiter können sowohl § 26 BDSG als auch Art. 6 DSGVO zu prüfen sein; für Nicht-Mitarbeiter ist Art. 6 DSGVO maßgeblich.

Bei Durchsuchungen, die sich mit Interviews oder Disziplinarmaßnahmen überschneiden, ist die in Teil II beschriebene Trennung zwischen Sachverhaltsermittlung und Entscheidungsfindung einzuhalten und die fairen Interviewpraktiken aus Teil III zu berücksichtigen. Die Beweiskette ist zu wahren und die Erforderlichkeit bei jedem Schritt zu dokumentieren, um Beweisverwertungsrisiken zu minimieren.

5. Mitbestimmung des Betriebsrats und Grenzen der Datenweitergabe

Die meisten Systeme, die Verhalten oder Leistung überwachen können, lösen ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG aus. Arbeitsgerichte legen dies weit aus. Erhebung, Nutzung und Auswertung können jeweils Überwachung darstellen, und selbst allgemeine Tools können erfasst sein. Daher unterliegen viele IT- und Kollaborationsplattformen der Mitbestimmung und erfordern maßgeschneiderte Betriebsvereinbarungen. Eine Betriebsvereinbarung kann auch als spezifische Rechtsgrundlage für die Verarbeitung nach § 26 Abs. 4 BDSG in Verbindung mit Art. 88 DSGVO dienen, aber sie kann nicht den grundlegenden Schutz der DSGVO absenken.

Das Informationsrecht des Betriebsrats ist weitreichend, aber nicht grenzenlos. Jede Übermittlung personenbezogener Daten an den Betriebsrat stellt eine Verarbeitung dar und erfordert eine Rechtsgrundlage sowie die Erforderlichkeit für die gesetzlichen Aufgaben des Betriebsrats. Der Betriebsrat ist zur Vertraulichkeit verpflichtet, aber Übermittlungen müssen dennoch die Persönlichkeitsrechte der Mitarbeiter und die Datenminimierung beachten.

6. Prozess, Dokumentation und internationale Abstimmung

Die Ermittlungsprüfung sollte auf einem schriftlichen Plan basieren, der Zweck, Umfang, Rechtsgrundlage, Rollen und Zeitrahmen festlegt und wesentliche Erforderlichkeits- und Verhältnismäßigkeitsentscheidungen dokumentiert. Wenn die Straftataufdeckung geltend gemacht wird, sind die konkreten Anhaltspunkte, die geprüften und verworfenen milderen Alternativen sowie die Begründung, warum die gewählte Maßnahme das letzte Mittel ist, zu dokumentieren. Eine Beweiskette für erhobene Daten ist aufrechtzuerhalten, der Zugang streng zu kontrollieren und rechtlich vertretbare Löschfristen einzuhalten. Beweisverwertungsrisiken sind zu antizipieren. Schwerwiegende Verstöße können zur Unverwertbarkeit von Beweisen führen, und Gerichte werden eine verfassungsrechtliche Abwägung zur Bestimmung der Nutzbarkeit vornehmen; Verstöße gegen die Mitbestimmung allein führen nicht zwingend zur Unverwertbarkeit, aber eine rechtswidrige Erhebung kann dies bewirken.

Für multinationale Konzerne sind globale Protokolle mit deutschen Besonderheiten abzustimmen. Über alle Rechtsordnungen hinweg ist es die tragfähigste Verteidigung, Überwachung gezielt, transparent und zeitlich begrenzt zu halten.

7. Dos and Don’ts für Screening und Durchsuchungen 

8. Praktische Empfehlungen für die Rechtsabteilung, HR und Compliance

Ein strukturiertes Überwachungs- und Durchsuchungs-Playbook erstellen. Klare Ermittlungspfade definieren, die mit Geschäftsrepositorien beginnen und nur bei Bedarf eskalieren. Die Grundsätze der Erforderlichkeit und Verhältnismäßigkeit in jeder Phase verankern und praktische Vorlagen für Zweckerklärungen, Rechtsgrundlagen-Memoranden, Abwägungstests und (wo anwendbar) Straftataufdeckungsdokumentation einbeziehen.

Privatnutzungsrichtlinien klären und Leitplanken kodifizieren. Entscheiden, ob die private Nutzung von Unternehmenskommunikationssystemen verboten oder erlaubt ist. Wo private Nutzung erlaubt ist, Grenzen und Überwachungsparameter in IT-Richtlinien und Betriebsvereinbarungen klar definieren, unter Berücksichtigung sowohl der verschärften Beschränkungen beim Zugriff auf private Inhalte als auch des ungeklärten Zusammenspiels zwischen DSGVO/BDSG und TDDDG/TKG.

Betriebsratszustimmungen frühzeitig sichern. Die meisten Systeme, die das Verhalten oder die Leistung von Mitarbeitern überwachen können, lösen Mitbestimmungsrechte aus. Betriebsvereinbarungen nutzen, um Zwecke, Datenkategorien, Zugriffsrollen, Aufbewahrungsfristen und Berichtspflichten zu definieren und so betriebliche Reibung und rechtliche Risiken zu reduzieren. Siehe Teil VI für eine ausführliche Erörterung der Beteiligungsrechte.

Verdeckte oder kontinuierliche Überwachungstools vermeiden. Keylogger, kontinuierliche Bildschirmaufnahmen und pauschale Inhaltsprüfungen sind grundsätzlich unzulässig und dürfen nur als letztes Mittel in Betracht gezogen werden, wenn ein dokumentierter, konkreter Verdacht auf strafbares Verhalten vorliegt. Wo immer möglich, auf offene, gezielte und zeitlich begrenzte Maßnahmen setzen.

Videoüberwachung selektiv und rechtmäßig planen. Kameras auf klar gerechtfertigte Bereiche beschränken, sichtbare Beschilderung, kurze und definierte Aufbewahrungsfristen sowie dokumentierte Zwecke sicherstellen und alle sensiblen Orte ausschließen. Aufnahmen sollten nur ausgewertet werden, wenn ein berechtigter Anlass vorliegt, wobei zu bedenken ist, dass auch rechtmäßig erfasste Daten vor der Nutzung eine erneute Verhältnismäßigkeits- und Zweckprüfung erfordern.

Beweisintegrität und Verwertbarkeit schützen. Eine klare Beweiskette aufrechterhalten, den Zugang auf Need-to-know beschränken und die Aufbewahrung strikt am Ermittlungszweck ausrichten. Arbeitgeber sollten antizipieren, dass rechtswidrig erlangte Daten von Arbeitsgerichten ausgeschlossen werden können, was Disziplinar- oder Kündigungsmaßnahmen untergraben kann. Siehe Teil V unserer Briefing-Reihe für Datenverarbeitungsanforderungen und Beweisverwertungsrisiken.