420 Screenshots: Arbeitgeber überwacht Betriebsratsvorsitzenden

Auf dem PC des Betriebsratsvorsitzenden der Großbäckerei Ihle war ein Überwachungsprogramm aktiv. Er steht in Verdacht, sein Arbeitszeitkonto manipuliert zu haben.

Datenschutz und Persönlichkeitsrechte kollidieren in Unternehmen oft mit dem betrieblichen Interesse des Arbeitgebers. Das zeigt die aktuelle Auseinandersetzung bei der Landbäckerei Ihle.

Erst überwacht, dann gefeuert

Die Geschäftsführung der Friedberger Großbäckerei hat auf dem Computer ihres Betriebsratsvorsitzenden ein Screenshot-Tool installiert, das im Sekundentakt Fotos von seinem Desktop machte. - Und den Mann kurz darauf entlassen. Sein Name ist R.. Arbeitgeber Ihle hält ihm vor, sein Arbeitszeitkonto manipuliert zu haben. Mehrfach. Zu seinen Gunsten. Der Schaden, der dem Unternehmen dadurch entstanden sei: Arbeitszeit im Wert eines Monatsgehalts.

Der Rechtsanwalt des Betriebsratsvorsitzenden, Rüdiger Helm, weist den Vorwurf zurück: "Mein Mandant hat nicht manipuliert". Ein Schaden könne zudem gar nicht entstanden sein, da der Betriebsratsvorsitzende ein Fixgehalt beziehe.

Ihle hat eine fristlose Verdachtskündigung gegen den Betriebsratsvorsitzenden ausgesprochen und ihm eine Abfindung angeboten. Die hat R. abgelehnt. Für ihn steht viel auf dem Spiel. Er ist Betriebsratschef. Und Wirtschaftsmediator. Dozent an der Uni. Außerdem arbeitet er ehrenamtlich als Richter am Arbeitsgericht Augsburg.

Der Betriebsrat von Ihle hat seine Zustimmung zu der außerordentlichen Kündigung verweigert. Das Gericht muss jetzt entscheiden, ob diese ersetzt wird, und somit der Weg für den Arbeitgeber frei ist, eine Kündigung zu erklären.

Das Gericht hat nun die Aufgabe zu klären, ob Ihle berechtigt war, die Software zu installieren und inwieweit die Screenshots als Beweismittel gegen den Arbeitnehmer verwendet werden dürfen. Verhandelt wird seit Juni diesen Jahres im Arbeitsgericht Augsburg. Telepolis ist vor Ort.

Kein Sonderrecht für Betriebsräte, Straftaten zu begehen

Für den beschuldigten Arbeitnehmer wirft sich die Gewerkschaft Nahrung-Genuss-Gaststätten (NGG) ins Zeug. Mitglieder demonstrieren vor dem Gerichtsgebäude. "Lothar, wir stehen hinter Dir!" steht auf ihren Plakaten. "Wir sind Ihle" ist auf den Schildern der Ihle-Angestellten zu lesen, die sich ebenfalls vor dem Gerichtsgebäude versammelt haben.

Tim Lubecki, NGG-Geschäftsführer der Region Schwaben wählt große Worte. Er spricht von "Datenschutzskandal", "illegaler Bespitzelung" und "Wildwest-Methoden". Betriebsratsbüro und Computer des Betriebsrats seien "tabu" für den Arbeitgeber. Der "unglaubliche Vorgang" werfe eine Reihe von Fragen auf: "Wer wird sonst noch ausspioniert? Seit wann wird bei Ihle so etwas gemacht? Handelt es sich hier nur die Spitze eines Eisberges?"

Der Rechtsanwalt des Betriebsratsvorsitzenden - er heißt Rüdiger Helm - formuliert: "Es handelt sich hier um einen strafrechtlich relevanten Eingriff in den geschützten Bereich des Betriebsrats".

Anders sieht das der Anwalt des Arbeitgebers, Gerhard Rieger. Um eine großangelegte Überwachungsaktion, so der Münchener Fachanwalt für Arbeitsrecht, habe es sich nicht gehandelt. "Es wurde nicht das Betriebsratsbüro überwacht. Wir haben einen Arbeitnehmer überwacht." Und es sei auch kein Computer durchleuchtet worden, sondern ein Vorgang beobachtet, der eine Straftat beinhalte. "Denn der Arbeitnehmer hat betrogen. Und es gibt kein Sonderrecht für Betriebsräte, in ihrem Büro Straftaten zu begehen", sagt Rieger.

Notwehr

Der Arbeitgeber macht keinen Hehl daraus, dass ein "Überwachungsprogramm" - so bezeichnet er die Software - auf dem Rechner des Betriebsratschefs aktiv war. Eine andere Möglichkeit hätte es nicht gegeben. Ihle habe aus "Notwehr" gehandelt, sagt Rechtsanwalt Rieger. Dabei sei klar, dass eine solche Aktion "heimlich" stattfinden müsse. In diesem Fall auch ohne Wissen des Betriebsrats, denn unter Verdacht stehe ja sein Vorsitzender.

Ihle begründet seine Überwachungsaktivitäten mit "Auffälligkeiten", denen das Unternehmen nachgegangen sei. Im Januar 2012 sei in der Personalabteilung bemerkt worden, dass in den zurückliegenden anderthalb Jahren rückwirkend Änderungen am Arbeitszeitkonto des Betriebsratsvorsitzenden durchgeführt worden wären. Die kündigungsauslösende Manipulation wurde am 4. Mai 2012 festgestellt. "Bei einer Routinekontrolle", so Ihle-Personalleiterin Jacqueline Dziurla, sei aufgefallen, dass am Vortag, dem 3. Mai, nachträglich ein Arbeitszeiteintrag für den 24. April gemacht wurde.

Das Überwachungsprogramm

Um die Überwachung zu realisieren, hat Ihle einen externen Dienstleister angeheuert: ein Augsburger IT-Systemhaus. Dessen Mitarbeiter W. hat das Überwachungsprogramm nach den Vorgaben von Ihle programmiert und am 16. April 2012 auf dem PC des Betriebsratsvorsitzenden installiert.

"Das Programm habe ich mit Autohotkey erstellt. Das ist genaugenommen nur eine Scriptsprache mit Compiler", sagt der Fachinformatiker gegenüber Telepolis. "Aufgrund der Einfachheit des Programm konnte ich es innerhalb von zwei Stunden umsetzen und auf dem Zielrechner installieren."

In das Zimmer des Betriebsrats gehen musste W. dazu nicht: "Admins haben bei Ihle Vollzugriff und können alle Tätigkeiten über das Netzwerk durchführen." Das Programm habe er von seinem Bürorechner aus über das Internet auf dem PC des Betriebsrats installiert.

"Die compilierte EXE ruft das Zeiterfassungsprogramm auf", erklärt W. "Daher musste ich nur über SMB die EXE auf den Zielrechner kopieren und die Verknüpfungen auf dem Desktop, im Startmenü und im Schnellstart auf die neue Datei anpassen."

"Ich und der Trojaner"

Das Überwachungsprogramm startet automatisch, sobald auf dem PC des Betriebsratsvorsitzenden das Arbeitszeiterfassungssystem von Ihle - es heißt Interflex - geöffnet wird. Das Überwachungsprogramm erzeugt dann fünf Minuten lang sekündlich Abbilder von der gerade aktiven Anwendung.

Die Screenshots legte das Programm auf einem Server ab. Der stand in der Firma Ihle. "Der Bereich auf dem Filer war jedoch nur mir und dem Trojaner zugänglich", sagt W. gegenüber Telepolis.

Die Dateinamen der Screenshots enthalten drei Informationen: Zeitstempel, Computernamen und den Benutzernamen, unter dem gerade jemand am Rechner des Betriebsrats eingeloggt war. Beispiel: "2012-04-16-15-16-41-R-PC-193-001.jpg". Zusätzlich legt das Programm eine Textdatei an. Sie dokumentiert die Startzeitpunkte des Programms. "Hierdurch konnte ich eine Aussage über die Zeitpunkte der Screenshoots machen ohne sie einzusehen", erläutert der Fachinformatiker.

Damit erschöpfe sich der Funktionsumfang des Überwachungs-Tools auch bereits: "Sonst kann das Programm nichts. Es greift nicht auf Dateien des Rechners zu", sagt W. Das Kontrollprogramm sei nur auf dem PC des Betriebsrats installiert worden. "Auf keinem anderen Rechner im Unternehmen", betont Arbeitgeber-Anwalt Gerhard Rieger.

Das "Super-Passwort"

Im Hause Ihle werden unautorisiert Passwörter weitergegeben. Die Benutzerdaten, etwa, mit denen sich der Betriebsratschef gewöhnlich in das Arbeitszeitprogramm einwählt, hat er an andere Mitglieder des Betriebsrats weitergegeben. User-Name: "R.". Dieser Nutzer-Account erlaubt allerdings nur Lesezugriffe auf das Stundenkonto.

Die Änderungen am Arbeitszeiterfassungssystem von Ihle wurden mit einem Adminstrator-Zugang vorgenommen. User-Name: "EDV". Diese Login-Daten waren ausschließlich für Wartungsarbeiten am Arbeitszeiterfassungsprogramm durch die EDV-Abteilung vorgesehen. Sie wurde nicht offiziell an die Mitarbeiter von Ihle ausgegeben.

Wie dieses "Super-Passwort" - so wird es vor Gericht genannt - aus der EDV-Abteilung ausbüxen und in den Besitz eines Täters gelangten konnte, bleibt offen.

Sieben Minuten

Die Geschäftsführung der Bäckerei habe nur von einem kleinen Teil der mitgeschnittenen Daten Kenntnis erlangt, sagt Ihle-Anwalt Gerhard Rieger. Der externe Dienstleister bestätigt das: "Die Screenshots wurden zugriffsgeschützt abgelegt. Der Arbeitgeber konnte auf diese Daten nicht zugreifen. Wir haben Ihle ausschließlich das Datenmaterial zur Verfügung gestellt, das im Zeitraum von sieben Minuten am Morgen des 3. Mai 2012 erhoben wurde". Alle Daten, die danach erfasst worden sind, seien gelöscht worden. Alle Daten, die davor aufgezeichnet wurden, hat der externe Dienstleister an den Stellvertretenden Betriebsratsvorsitzenden von Ihle übergeben.

Die Bilderserie, die das Überwachungsprogramm während der sieben Minuten angefertigt hat, dokumentiert, wie mit dem Admin-Login "EDV" das Zeiterfassungsprogramm aufgerufen wurde. Dann wurde das Arbeitszeitkonto des Betriebsratsvorsitzenden manipuliert. Zwischendurch wurde auf den Hotmail-Account des Betriebsratsvorsitzenden zugegriffen: Es wurden E-Mails aufgerufen und beantwortet.

Die Gleichzeitigkeit der Ereignisse

Eben diese Koinzidenz, das zeitliche Zusammentreffen der Ereignisse, sei es, das "zur Identifikation von R. als Täter" führe. Da ist sich Gerhard Rieger sicher: "Das Arbeitszeitprogramm wurde gestartet, die Manipulation wurde durchgeführt und im selben Moment wurden private E-Mails bearbeitet", erklärt der Ihle-Anwalt. Und er ergänzt: "In Antwort-Mails wurde Persönliches mitgeteilt, das nur R. wusste." "Ich habe diese Mails nicht geschrieben", sagt R.. "Mein Hotmail-Zugang ist den ganzen Tag geöffnet. Jeder, der an meinen Rechner geht, kann ihn nutzen."

Für die Arbeitnehmerseite ist die Argumentation von Rieger nicht nachvollziehbar. Auf den Screenshots, die die Beantwortung von Mails zeigen, sei "die Uhrzeit nicht zu sehen". Bei den mitgeteilten Inhalten würde es sich um "Floskeln" handeln. Überhaupt seien die E-Mails völlig irrelevant. Bereits die Annahme einer Manipulationen durch R. sei absurd, da der Betriebsratsvorsitzende - er beziehe ein Festgehalt - ja gar keinen finanziellen Vorteil davon gehabt hätte.

"Hat er doch", hält Rieger dagegen, "er muss nämlich dokumentieren, dass er eine bestimmte Anzahl an Stunden ableistet."

Die Mails hätten "erkennbar persönliche Inhalte" gehabt. Rieger gibt den Tenor einer Mail wieder: "…Es tut mir leid, dass dies und jenes nicht geht. …. Vielleicht sehen wir uns später mal wieder…". Und Rieger fragt: "Wer außer R. sollte in der Lage sein, dessen geschäftliche Themen über Schulungen zu beantworten?"

Auf die Frage des Ihle-Anwalts, ob er denn glaube, dass Mitglieder seines Gremiums seine E-Mails bearbeiten, und ob er damit einverstanden sei, antwortet R.: "Ich glaube nicht, dass Betriebsratsmitglieder das machen. Es haben ja noch viele andere Menschen auf meinen Rechner Zugriff."

Der Arbeitgeber bleibt dabei: Der Betriebsratsvorsitzende sei es gewesen. Und droht mit der Staatsanwaltschaft: "Unter Umständen ist das hier unter dem Thema Prozessbetrug zu beleuchten".

Es sei gewarnt worden

Es hat einen Grund, warum R. für seine berufliche und private Korrespondenz im Büro einen webbasierten E-Mail-Client nutzt und nicht Outlook wie viele seiner Kollegen: "Ein ehemaliger externer EDV-Dienstleister", so R., "hat uns Betriebsräte darüber aufgeklärt, dass Zugriffe auf unsere Rechner stattfinden. Er hat uns eindringlichst gewarnt, wir sollten uns abschirmen. Daraufhin hat man die Betriebsratsordner auf externe Server gelegt, so dass hier keiner mehr Zugriff hat, auch nicht die EDV. Mir wurde nahegelegt, ein E-Mail-Konto einzurichten, bei dem - anders als bei Outlook - nicht alles mitgelesen werden kann."

Das schonendste Mittel

Ein von einer Entlassung mit Überwachungshintergrund betroffener Arbeitnehmer kann sich möglicherweise durch die datenschutzrechtliche Sorglosigkeit retten, mit der viele Betriebe elektronische Kontrollen einsetzen. Durch rechtswidrige Überwachung gesammelte Beweise unterliegen nämlich einem gerichtlichen Verwertungsverbot.

Der Arbeitgeber darf nur solche personenbezogenen Informationen sammeln, die ihm als Ergebnis einer Rechtsgüterabwägung zustehen und an denen er ein berechtigtes Interesse hat. Dabei muss der Arbeitgeber das für den Arbeitnehmer schonendste Mittel wählen.

Bei der Überwachungsaktion von Ihle sei das nicht der Fall gewesen, moniert der Anwalt des Betriebsratsvorsitzenden. Die Überwachung durch den Arbeitgeber sei "viel zu weitreichend" gewesen. Keineswegs sei hier das für den Arbeitnehmer "mildeste Mittel" zum Einsatz gekommen. "Man hätte reden können", so Helm: "Der Arbeitgeber hat sehr wohl die Möglichkeit, zu sagen: Arbeitnehmer, ich glaube Deinen Zeiten nicht mehr. Die zahle ich nicht. Beweis doch mal. Er kann ihn anschreiben. Ihn ansprechen."

"Es hätte Alternativen gegeben"

Ebenso wäre es laut Rüdiger Helm möglich gewesen, weniger Daten aufzuzeichnen. Es hätte eine "abgemilderte Form der Filterung" stattfinden können. Ein Vorschlag des Anwalts: Man hätte ein Kontrollprogramm verwenden können, das nur dann aktiv geworden wäre, wenn jemand mit dem Usernamen "EDV" - also dem unautorisierten Login mit Schreibrecht - auf das Zeiterfassungsprogramm zugegriffen hätte. Auf diese Weise wären sämtliche Zugriffe mit anderen Benutzerkonten vom Kontrollprogramm nicht erfasst worden.

Möglich gewesen wäre das. "Aber nur mit einem Keylogger", sagt Zeuge W. "Die Übertragung der Login-Vorgänge am Arbeitszeitsystem erfolgt verschlüsselt. Hätte man also ausschließlich die Anmeldungen mit dem Usernamen "EDV" abfangen wollen, dann hätte man kontinuierlich sämtliche Tastatureingaben mitschneiden müssen. Das Kontrollprogramm hätte dauerhaft im Hintergrund mitlaufen müssen." Das war der Grund, warum Ihle die Methode nicht gewählt hat. "Das wäre eine viel weitgehendere Überwachung gewesen", sagt der Ihle-Anwalt. Weiter Vorschläge von Helm, auf welche Weise weniger Daten hätten aufgenommen werden können: kürzere Überwachungszyklen oder ein automatisches Abschalten des Kontrollprogramms, wenn der Nutzer das Arbeitszeiterfassungsprogramm vor Ablauf des fünfminütigen Überwachungszeitraums verlässt.

Das "Datenleck"

Arbeitnehmervertreter Rüdiger Helm kritisiert, dass sich der Verdacht - und damit sämtliche Überwachungsmaßnahmen - auf die Person des Betriebsratsvorsitzenden beschränkt hätte. "Warum schießt man sich nur auf Herrn R. ein? Warum wurde nur sein Rechner überwacht?".

Weshalb es ausgerechnet der Betriebsratsvorsitzende gewesen sein sollte, der sich widerrechtlich in den Besitz des Admin-Logins gebracht und dieses am Betriebsratsrechner verwendet haben soll, ist für Helm nicht nachvollziehbar. Es hätten doch mehrere Menschen auf diesen PC Zugriff gehabt. Das Administrator-Login, das der Täter verwendet habe, sei mehreren Personen bekannt gewesen, "zum Beispiel der EDV-Abteilung von Ihle und dem von Ihle beauftragen Dienstleister".

Außerdem, so Helm, pflege das Unternehmen einen laxen Umgang mit Passworten: "Bei Ihle ist es doch gängige Praxis, dass Login-Daten unautorisiert weitergegeben werden. Und die EDV-Abteilung hält sich nicht an ihre eigene Vorgabe, Passworte regelmäßig zu ändern. Das Passwort für den streitgegenständlichen Administrator-Zugang wurde jahrelang nicht geändert. - Und da wundert der Arbeitgeber sich?" Der Ihle-Anwalt sieht das anders. Es sei überhaupt nicht relevant, wie einfach es dem Arbeitnehmer gemacht werde, unautorisiert an Passwörter zu gelangen. "Das Thema Sicherheit kann da keine Rolle spielen, wo der Täter sich heimlich etwas auf unerlaubte Weise verschafft."

Wo der geschützte Bereich endet

Die zwei Hauptargumente, auf die sich die Arbeitnehmerseite in diesem Verfahren stützt: der besonders geschützte Raum des Betriebsrats und der Datenschutz. "Ihle hat massiv gegen das Recht der Betriebsräte auf vertrauliche und geschützte Arbeit verstoßen", sagt Helm.

Dass der Betriebsratsraum ein besonders geschützter Bereich ist, stellt Arbeitsrechtler Rieger nicht in Zweifel. "Tabu ist das Büro des Betriebsrats aber nicht. Wo eine Straftat stattfindet, da endet jeder Schutz."

Für den Arbeitgeber habe eine "notwehrähnliche Situation" bestanden. "Ihle hatte keine andere Möglichkeit, als die Software zu installieren", sagt Rieger. Das Persönlichkeitsrecht müsse in solchen Fällen hintenan gestellt werden. Wenn dem Unternehmen "kein anderes Mittel" zur Verfügung stehe, könne es durchaus in grundrechtsgeschützte Bereiche eingreifen.

Was die vom Arbeitnehmer angeführten "groben Verstöße gegen das Bundesdatenschutzgesetz" angeht, beruft sich Rieger auf § 242 BGB "Leistung nach Treu und Glauben". Er wendet den Paragraphen auf die aktuelle Auseinandersetzung so an: "Wer sich auf eine Schutzvorschrift beruft, der muss sich selber korrespondierend verhalten." Das sei hier nicht der Fall gewesen: Es habe sich jemand mit Hilfe eines unrechtmäßig erworbenen Admin-Passworts mehrfach unautorisiert Zugang zur Lohnbuchhaltung verschafft und dort Änderungen vorgenommen. "Ein Täter, der solchermaßen wiederholt gegen Datenschutz verstößt, kann sich nicht selbst auf den Datenschutz berufen, um in diesem Schutze unerkannt zu bleiben."

Der nächste Verhandlungstermin ist für den 4. Oktober angesetzt. Ob dann bereits entschieden wird, ob die 420 Screenshots prozessual verwertet werden dürfen, bleibt abzuwarten.