Ist es rechtlich und aus Datenschutzgründen zulässig, Spam-Mails in einem Unternehmen zunächst in einen zentralen Ordner zu leiten und diese anschließend durch eine Mitarbeiterin des Unternehmens an die entsprechenden Personen verteilen zu lassen?
Wenn wir das Vorhaben des Gesetzgebers richtig verstanden haben, sollen sämtliche E-Mails, die als Spam klassifiziert werden, zunächst in einen Sammelordner geleitet und dann von einer Mitarbeiterin an den jeweiligen Empfänger weitergeleitet werden. Diese Mitarbeiterin würde die E-Mails dann vorab sichten.
Aus verschiedenen rechtlichen Gesichtspunkten ist ein solches Vorgehen problematisch.
a) Bundesdatenschutzgesetz
Grundsätzlich muss bei der Verarbeitung personenbezogener Daten, durch den Betroffenen in die Datenverarbeitung eingewilligt werden, sofern diese nicht aufgrund Gesetzes oder Rechtsvorschrift erlaubt ist. Personenbezogene Daten sind gemäß § 3 Abs. 1 BDSG Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Hierunter fallen also alle Daten, die in nicht anonymisierter Form erhoben und verarbeitet werden und deshalb einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können. Die an einen Mitarbeiter gesendeten E-Mails sind somit derartige personenbezogene Daten. Ein Gesetz oder eine Rechtsvorschrift, welche die Verarbeitung erlauben würde, ist nicht erkennbar.
Diesen Beschränkungen kann man nur durch eine Einwilligung des/der betreffenden Mitarbeiter/s in die Datenverarbeitung entgehen. An diese Einwilligung stellt § 4a BDSG strenge Anforderungen. So muss die Einwilligung freiwillig erfolgen und nicht etwa auf Druck des Arbeitgebers. Der Einwilligende muss über den Zweck der Datenverarbeitung aufgeklärt werden. Zudem muss die Einwilligung in der Regel schriftlich erfolgen, das heißt durch eigenhändige Unterschrift unter der Erklärung. Eine generelle Einwilligung "versteckt" im Arbeitsvertrag genügt nicht.
b) Grundrechte
Eine weitere rechtliche Hürde liegt darin, dass der E-Mail-Verkehr dem Post- und Fernmeldegeheimnis aus Art. 10 GG unterliegt. Zwar sollen Grundrechte zunächst primär an das Verhältnis Bürger-Staat regeln. Jedoch ist auch das Bundesarbeitsgericht der Auffassung, das Art. 10 GG auch im Verhältnis zwischen Arbeitgeber und Arbeitnehmer bei der Nutzung dienstlich zur Verfügung gestellter Kommunikationsmittel zu berücksichtigen ist (BAG NJW 1998, 1331). Alle im betrieblichen Netzwerk elektronisch übermittelten E-Mails unterfallen somit dem Schutzbereich des Fernmeldegeheimnisses.
Geschützt sind dabei durch Art. 10 GG der Arbeitnehmer als Absender oder dessen Kommunikationspartner, somit der Absender der Spam-Mail, vor der unberechtigten Kenntnisnahme durch Dritte.
Eine Berechtigung des Arbeitgebers kann sich nur daraus ergeben, dass der Absender der Nachricht in deren Kenntnisnahme durch den Arbeitgeber (bzw. die Person, die mit der Sichtung der E-Mails betraut ist) einwilligt. Bei eingehenden geschäftlichen E-Mails wird in der Regel angenommen, dass keine Beschränkung des Empfängerkreises innerhalb des Betriebs gewollt ist. Spam-E-Mails haben aber zumeist keinen Bezug zum Geschäftsbetrieb des Unternehmens und sind daher keine geschäftlichen E-Mails.
Einzige Möglichkeit für den Arbeitgeber wäre wiederum, eine Einwilligung der/des betroffenen Mitarbeiter/s einzuholen. Liegt diese Einwilligung vor, wäre auch eine automatisierte Weiterleitung an eine zentrale, vom Arbeitgeber eingerichtete, Mailbox kein Verstoß mehr gegen Art. 10 GG.
c) Telekommunikationsgesetz
Letztlich schützt auch § 85 Abs. 1 TKG die Übermittlung und den Inhalt von nicht öffentlichen (also nicht an die Allgemeinheit gerichteten) emails. Der Schutz deckt sich dabei mit den vorstehend erläuterten Schützen. Das Telekommunikationsgesetz genießt als speziellere Norm aber zunächst Anwendungsvorrang.
d) Strafrechtliche Aspekte
Die vorstehenden Anforderungen sollten unbedingt beachtet werden, da ansonsten auch strafrechtliche Konsequenzen drohen könnten. Die unbefugte Sammlung und Sichtung von emails kann nämlich den Straftatbestand des Ausspähens von Daten gemäß § 202a StGB, sowie des Abfangens von Daten gemäß § 202b StGB erfüllen.
Der Autor Thomas Feil ist Rechtsanwalt, Fachanwalt für IT-Recht und Lehrbeauftragter an der Fachhochschule Hannover.
Kontakt: Tel.: 0511 473906-01, E-Mail: feil@recht-freundlich.de, Internet: www.recht-freundlich.de