DSGVO-Anforderungen für die Mitarbeiterüberwachung

Obligatorische Mitarbeiterbenachrichtigung

Frankreich setzt strenge Transparenzstandards durch. Arbeitgeber müssen ihre Arbeitnehmer informieren, bevor mit der Überwachung begonnen wird, und dabei Folgendes angeben:

• Zweck der Überwachung
• Kategorien der gesammelten Daten
• Rechtsgrundlage
• Dauer der Datenspeicherung
• Rechte der Arbeitnehmer
• Zugriff und Empfänger der Daten

Eine stille oder stille Überwachung ist außer in seltenen, rechtlich begründeten Fällen schwerwiegenden Fehlverhaltens nicht gestattet.

Rücksprache mit dem Betriebsrat (CSE)

Vor dem Einsatz einer Überwachungslösung, einschließlich Diensten wie CleverControl, müssen Arbeitgeber den Sozial- und Wirtschaftsausschuss (CSE) konsultieren, wie im französischen Arbeitsgesetzbuch (Art. L2312-38) vorgeschrieben. Diese Beratung ist verpflichtend und muss vor der Umsetzung erfolgen.

Verhältnismäßigkeits- und Notwendigkeitsanforderungen

Nach französischem Recht muss die Überwachung Folgendes umfassen:

• für einen definierten Zweck notwendig
• in einem angemessenen Verhältnis zu diesem Zweck stehen
• ausschließlich auf den professionellen Gebrauch beschränkt
• auf die Arbeitszeit beschränkt
• nicht aufdringlich und nicht kontinuierlich, es sei denn, dies ist unbedingt erforderlich

Zu invasive Überwachungsmethoden (z. B. Überwachung rund um die Uhr, wahllose Bildschirmaufnahme oder Audioaufzeichnung) werden von der CNIL in der Regel als übertrieben angesehen.

DPIA-Anforderung

Gemäß DSGVO Art. Gemäß den Richtlinien 35 und CNIL erfordert die Mitarbeiterüberwachung vor dem Einsatz immer eine Datenschutz-Folgenabschätzung (DPIA). Die DPIA muss Folgendes bewerten:

• potenzielle Risiken für Mitarbeiter
• Verhältnismäßigkeit der Überwachung
• Abhilfemaßnahmen
• Aufbewahrungsregeln
• Alternativlösungen

Spezifische Überwachungsbeschränkungen nach französischem Recht

Bestimmte Überwachungsaktivitäten sind stark eingeschränkt:

• Tonaufzeichnungen sind bis auf eng definierte Ausnahmen grundsätzlich verboten
• In privaten Räumen (Pausenräume, Toiletten, persönliche Bereiche) ist die Überwachung verboten.
• Die Überwachung darf nicht über die Arbeitszeit hinausgehen
• Arbeitgeber dürfen weder persönliche Passwörter noch private Mitteilungen sammeln
• Die Nutzung biometrischer Daten ist stark reguliert und nur unter strengen Auflagen gestattet

Beschränkungen der Datenaufbewahrung

Die CNIL verlangt folgende Aufbewahrungsfristen:

• minimal
• verhältnismäßig
• explizit definiert
• auf den genannten Überwachungszweck ausgerichtet sind

Eine langfristige oder unbefristete Aufbewahrung ist nicht zulässig.

Grenzüberschreitende Datenübertragungen

Wenn überwachte Daten die EU verlassen, müssen Arbeitgeber Folgendes verwenden:

• eine Angemessenheitsentscheidung, oder
• Standardvertragsklauseln (SCCs), plus
• zusätzliche Schutzmaßnahmen gemäß Schrems II

Beim Export von Daten außerhalb des EWR werden Verschlüsselung und Zugriffsbeschränkungen empfohlen.

Arbeitnehmerrechte gemäß DSGVO

Mit rechtmäßigen Mitteln überwachte Mitarbeiter haben das Recht:

• auf ihre Daten zugreifen
• Korrektur oder Löschung beantragen (falls zutreffend)
• die Verarbeitung einschränken oder ihr widersprechen
• Informationen über die automatisierte Verarbeitung erhalten
• eine Beschwerde bei der CNIL einreichen

Arbeitgeber müssen auf Anfragen innerhalb eines Monats antworten.

Zusätzliche Transparenz- und Informationspflichten für Mitarbeiter

Spanien verlangt eine besonders ausführliche und explizite Benachrichtigung der Mitarbeiter beim Einsatz von Überwachungsinstrumenten. Gemäß dem spanischen Arbeitnehmerstatut (Estatuto de los Trabajadores, Art. 20.3) und Ley Orgánica 3/2018 (LOPDGDD):

• Der Arbeitgeber muss den Umfang, die Methoden und die Intensität der Überwachung klar erläutern.
• Die Mitarbeiter müssen nicht nur über die Überwachung informiert werden, sondern auch über die Funktionsweise des Überwachungssystems (z. B. Protokolltypen, Häufigkeit, automatisierte Entscheidungen).

Spanien legt im Vergleich zur standardmäßigen DSGVO-Transparenz größeren Wert auf die Spezifität und Granularität der Benachrichtigung.

Einschränkungen für CCTV und Videoüberwachung

Spaniens LOPDGDD Art. 89 fügt strenge Regeln für jedes System hinzu, das Bilder oder Videos aufnehmen kann:

• Die Videoüberwachung muss verhältnismäßig sein und sich strikt auf Arbeitsbereiche beschränken.
• In Ruhebereichen, Pausenräumen, Kantinen und Umkleideräumen dürfen keine Kameras installiert werden.
• Wenn Audio aufgezeichnet wird, gilt die Überwachung als noch aufdringlicher und ist generell verboten, es sei denn, dies ist durch schwerwiegende Sicherheitsrisiken gerechtfertigt.

Obwohl sich dies in erster Linie auf CCTV bezieht, gelten die Grundsätze auch für alle Tools zur Mitarbeiterüberwachung, die Bilder oder Audio aufnehmen können.

Anforderungen an die Transparenz automatisierter Entscheidungsfindung

LOPDGDD stärkt DSGVO Art. 22 indem Arbeitgeber verpflichtet werden:

• Informieren Sie Mitarbeiter über den Einsatz automatisierter Auswertungen, Algorithmen oder Scoring.
• Erklären Sie, wie sich automatisierte Entscheidungslogik auf die Leistungsbeurteilung oder den Disziplinarprozess der Mitarbeiter auswirkt.

Wenn Überwachungssoftware zur Leistungsbewertung beiträgt, verlangt Spanien eine zusätzliche Offenlegung, die über die Standard-DSGVO hinausgeht.

Betriebsratsberatung

In Betrieben mit einem Betriebsrat („representación legal de los trabajadores“) müssen Arbeitgeber:

• Informieren und konsultieren Sie den Rat, bevor Sie Überwachungssysteme implementieren.
• Stellen Sie dem Rat Einzelheiten zu Technologie, Überwachungsumfang und Aufbewahrung zur Verfügung.

Diese Verpflichtung spiegelt das französische System wider, ist jedoch etwas weniger präskriptiv.

Besondere Schutzmaßnahmen für Audioaufnahmen

Spanien betrachtet Audioaufnahmen als besonders aufdringlich:

• Audioüberwachung ist in fast allen Fällen verboten.
• Nur bei außergewöhnlichen Sicherheitsanforderungen oder strafrechtlichen Ermittlungen zulässig.

Wenn Software über optionale Audiofunktionen verfügt, müssen Arbeitgeber in Spanien sicherstellen, dass diese deaktiviert sind, sofern keine gesetzliche Ausnahme vorliegt.

Vorherige Genehmigung oder Zustimmung erforderlich (wichtigste italienische Regel)

Italien verfügt über einen der strengsten Rahmenbedingungen in Europa für die Mitarbeiterüberwachung.

Gemäß Statuto dei Lavoratori, Artikel 4:

Überwachungstools dürfen nur installiert werden, wenn eine der folgenden Bedingungen erfüllt ist:

a) Eine formelle Vereinbarung mit dem Betriebsrat (RSU/RSA)

ODER

b) Genehmigung der Arbeitsinspektion (Ispettorato Nazionale del Lavoro), wenn kein Betriebsrat besteht.

Dies gilt für jedes Überwachungssystem, das zur indirekten oder direkten Überwachung von Arbeitnehmern geeignet ist, einschließlich Software wie CleverControl.

Striktes Verbot unbefugter Überwachung

Italien verbietet unerlaubte Überwachung vollständig gemäß Art. 4.

Auch eine vorübergehende oder investigative Überwachung erfordert:

• vorherige Genehmigung, oder
• gerichtliche Beteiligung (bei strafrechtlichen Ermittlungen).

Italien ist in diesem Punkt strenger als die meisten EU-Länder.

Die Datenerfassung muss indirekt erfolgen (wenn möglich)

Die Garante Privacy fordert Arbeitgeber dazu auf, die Identifizierung einzelner Arbeitnehmer zu vermeiden, es sei denn, dies ist erforderlich.

Die Überwachung sollte idealerweise Folgendes erfassen:

• aggregierte Daten oder
• anonymisierte/pseudonymisierte Informationen

wenn eine individuelle Identifizierung nicht unbedingt erforderlich ist.

Zusätzliche Hinweispflichten

Über die Transparenzanforderungen der DSGVO hinaus verlangt Italien:

• eine spezifische schriftliche Mitteilung an die Mitarbeiter
• am Arbeitsplatz ausgehängt oder digital zugänglich gemacht werden
• Beschreibung des Überwachungstools, seines Umfangs, seiner Aufbewahrung und seines Zwecks
• klar und präzise geschrieben (allgemeine Aussagen reichen nicht aus)

Dieser Hinweis ist auch nach Zustimmung des Betriebsrats oder einer Genehmigung des Prüfers verpflichtend.

Zweckbeschränkung: Die Überwachung kann nicht für bestimmte Disziplinarmaßnahmen verwendet werden

Die italienische Rechtsprechung verbietet es Arbeitgebern, die für einen Zweck (z. B. Sicherheit) gesammelten Daten für einen anderen (z. B. Disziplinarzweck) zu verwenden, es sei denn, dies ist ausdrücklich in Folgendem festgelegt:

• die Vereinbarung/Ermächtigung,
• die Mitteilung des Arbeitnehmers.

Ein Zweckwechsel ist nicht zulässig.

Audio- und Videoaufzeichnungen sind stark eingeschränkt

Unter Artikel 4:

• Audioaufnahmen am Arbeitsplatz sind fast vollständig verboten.
• Die Videoüberwachung muss ausdrücklich in der Betriebsvereinbarung oder der Prüferermächtigung geregelt sein.
• Kameras können Arbeitnehmer nicht einzeln angreifen, es sei denn, dies ist gerechtfertigt und genehmigt.

Jedes Tool mit audiovisuellen Funktionen unterliegt einer verstärkten Prüfung.

Die Datenaufbewahrung muss explizit und minimal sein

Die Genehmigung der Arbeitsaufsichtsbehörde umfasst in der Regel:

• maximale Aufbewahrungsfristen
• verbindliche Löschpläne
• Einschränkungen bei der Aufbewahrung von Protokollen oder Screenshots

Die Durchsetzung der Arbeitnehmerrechte ist sehr streng

Die italienische Garante setzt aggressiv Folgendes durch:

• Zugriff auf Überwachungsdaten
• Löschungs- und Berichtigungsrechte
• strikte Trennung zwischen privaten und beruflichen Daten
• Verbote von übermäßigem oder aufdringlichem Tracking (z. B. fortlaufende Screenshots)

Die Mitbestimmung des Betriebsrats ist Pflicht

Deutschland verfügt über eines der strengsten Mitbestimmungssysteme Europas.

Gemäß BetrVG §87(1) erfordert die Implementierung eines Mitarbeiterüberwachungstools (einschließlich CleverControl):

• Mitbestimmung und Zustimmung des Betriebsrats
• Der Betriebsrat hat ein Vetorecht
• Die Überwachung kann erst rechtmäßig beginnen, wenn eine Einigung („Betriebsvereinbarung“) erzielt wurde

Hohe Schwelle für „Verhältnismäßigkeit“ und „Notwendigkeit“

Deutsche Gerichte und Datenschutzbehörden wenden strengere Verhältnismäßigkeitsprüfungen an als die DSGVO-Grundlinie.

Wichtige Interpretationen:

• Eine kontinuierliche Überwachung wird in der Regel als übertrieben angesehen
• Eine Überwachung außerhalb der Arbeitszeit ist strengstens untersagt

In Deutschland ist die Privatsphäre am Arbeitsplatz ein verfassungsmäßiges Recht (Art. 2 und 10), die Messlatte liegt also hoch.

Extrem strenge Überwachungsregeln

Nach deutscher Rechtsprechung und BDSG:

• Eine Überwachung ohne entsprechende Rechtsgrundlage ist fast immer rechtswidrig
• Nur in sehr engen Fällen eines dringenden Verdachts auf eine kriminelle Tätigkeit zulässig
• Nur wenn es keine milderen Mittel gibt
• Auch dann müssen die Maßnahmen unverzüglich eingestellt werden, sobald der Verdacht geklärt ist

Spezifische BDSG-Bestimmungen für Mitarbeiterdaten

BDSG §26 fügt zusätzlich zur DSGVO Anforderungen hinzu, darunter:

• Eine Überwachung darf nur dann erfolgen, wenn sie „für die Durchführung des Beschäftigungsverhältnisses erforderlich“ ist.
• Die Interessen des Arbeitgebers müssen mit den Rechten der Arbeitnehmer in Einklang gebracht werden
• Arbeitgeber müssen vor der Überwachung Alternativen in Betracht ziehen
• Sensible Daten erfordern explizit erhöhte Schutzmaßnahmen

Diese Bestimmung schränkt die gesetzlichen Möglichkeiten des Arbeitgebers erheblich ein.

Die Anforderungen an die Dokumentation sind höher

Deutschland erwartet eine detaillierte interne Dokumentation, darunter:

• eine spezielle Folgenabschätzung für die Überwachung (über DPIA hinaus)
• detaillierte Betriebsvereinbarungen
• technische Dokumentation der Funktionsweise der Überwachung
• klare rollenbasierte Zugriffsregeln
• strenge Datenminimierungspraktiken

Deutsche Datenschutzbehörden fordern diese Dokumente häufig bei Audits an.

Regionale Datenschutzbehörden können strengere Auslegungen vorschreiben

In Deutschland gibt es 16 Landesdatenschutzbehörden. Jeder kann die Überwachung am Arbeitsplatz anders interpretieren.

Viele Datenschutzbehörden verlangen:

• stärkere Rechtfertigung für Telemetrie
• kurze Aufbewahrungsfristen
• zusätzliche Risikobewertungen
• Vorababsprache bei Hochrisikosystemen

Explizite Regelung der Überwachung im Arbeitsgesetzbuch

In Polen gibt es im Arbeitsgesetzbuch direkte, explizite Bestimmungen zur Überwachung, die über die allgemeine DSGVO hinausgehen.

Das Arbeitsgesetzbuch regelt im Einzelnen:

• Videoüberwachung (CCTV)
• E-Mail-/IT-Überwachung
• Andere Formen der Überwachung, die sich auf die Privatsphäre der Mitarbeiter auswirken (z. B. Zugangskontrolle, in einigen Fällen GPS)

Arbeitgeber, die Tools verwenden, müssen sicherstellen, dass ihre Einrichtung mit diesen spezifischen Bestimmungen des Arbeitsgesetzbuchs und nicht nur mit der DSGVO kompatibel ist.

Legitime Zwecke streng definiert

Damit die Überwachung rechtmäßig ist, bindet das polnische Recht sie ausdrücklich an bestimmte Zwecke, wie zum Beispiel:

• Gewährleistung der Arbeitsorganisation und -sicherheit
• Schutz des Eigentums
• Kontrolle der Produktion
• Schutz vertraulicher Informationen

Die Überwachung darf nicht zur uneingeschränkten, allgemeinen Überwachung oder zu Zwecken eingesetzt werden, die mit diesen legitimen Zielen nicht im Zusammenhang stehen.

Starke Informationspflichten für Mitarbeiter in internen Regeln

Über die allgemeine Transparenz der DSGVO hinaus verlangt das polnische Recht Folgendes:

• Die Überwachung muss in internen Vorschriften (z. B. Arbeitsordnung / Arbeitsplatzrichtlinien) beschrieben sein und
• Die Mitarbeiter müssen vor Beginn der Überwachung schriftlich informiert werden.

Die Informationen müssen mindestens Folgendes umfassen:

• Art der Überwachung (z. B. CCTV, E-Mail/Protokolle)
• abgedeckte Bereiche/Geräte
• Zweck der Überwachung
• Umfang und Methoden
• Aufbewahrungszeit

Einschränkungen der Bereiche, die überwacht werden können

Das Arbeitsgesetzbuch gewährt bestimmten Bereichen besonderen Schutz, ähnlich wie in anderen strengen EU-Ländern:

• In Bereichen wie Umkleideräumen, Sanitärbereichen, Kantinen oder Raucherräumen ist eine Überwachung nicht gestattet
• Ausnahmen sind nur unter sehr strengen Voraussetzungen und mit zusätzlichen Schutzmaßnahmen (wie Maskierung, Unschärfe, technische Grenzen) möglich.

Jede Funktion in der Mitarbeiterüberwachungssoftware, die zur visuellen Überwachung verwendet werden könnte, muss diese bereichsbezogenen Verbote respektieren.

E-Mail- und IT-Überwachung – zusätzliche Schutzmaßnahmen

Polen regelt ausdrücklich die Überwachung der E-Mails und der elektronischen Kommunikation von Mitarbeitern:

• Es muss notwendig sein, die Arbeitsorganisation, den ordnungsgemäßen Einsatz von Arbeitsgeräten oder den Schutz von Informationen sicherzustellen
• Das Briefgeheimnis darf nicht über das für den genannten Zweck erforderliche Maß hinaus verletzt werden
• Private Korrespondenz sollte nicht systematisch abgerufen oder verarbeitet werden

Beratung/Information der Arbeitnehmervertreter

Wenn es Arbeitnehmervertreter oder Gewerkschaften gibt, wird von Arbeitgebern im Allgemeinen erwartet, dass sie:

• informieren und konsultieren sie über die Einführung von Überwachungssystemen
• Präsentieren Sie die internen Regeln und Begründungen

Dies ist weniger starr als die Mitbestimmung nach deutschem Vorbild, aber dennoch eine wichtige praktische Anforderung in Polen.

Starker Fokus auf Verhältnismäßigkeit und Notwendigkeit am Arbeitsplatz

ÚOOÚ betont, dass die Überwachung eine Ausnahme und keine Routine sein darf. Arbeitgeber müssen begründen, warum Überwachungsinstrumente erforderlich sind und warum weniger invasive Alternativen nicht denselben Zweck erreichen können.

Eine Überwachung ist nur aus schwerwiegenden und gerechtfertigten Gründen zulässig

Zu den akzeptablen Gründen gemäß dem tschechischen Arbeitsgesetzbuch und den Richtlinien der ÚOOÚ gehören:

• Eigentum schützen
• Verhinderung von Sicherheitsvorfällen
• Gewährleistung der Sicherheit der Mitarbeiter
• Schutz sensibler oder vertraulicher Informationen

Wenn es weniger aufdringliche Methoden gibt, kann die Überwachung nicht zur systematischen Leistungsverfolgung eingesetzt werden.

Zusätzliche Transparenzanforderungen

Über die DSGVO hinaus verlangt das tschechische Recht:

• eindeutige, klare und verständliche Informationen für die Mitarbeiter
• Angabe, welche Tools verwendet werden, welche Daten erfasst werden und wie lange sie gespeichert werden
• Veröffentlichung oder Bereitstellung schriftlicher Überwachungsregeln

Arbeitgeber müssen auch angeben, welche Verhaltensweisen oder Aktivitäten überwacht werden.

Pauschale oder vage Überwachungsaussagen sind nicht akzeptabel.

Überwachung privater Kommunikation verboten

ÚOOÚ verbietet Arbeitgebern ausdrücklich Folgendes:

• Zugriff auf private E-Mails
• Überwachung persönlicher Nachrichten
• Erhebung von Daten, die eindeutig zur privaten Nutzung gehören (auch auf Firmengeräten)

Wenn Tools wie CleverControl Kommunikationskanäle protokollieren, müssen Arbeitgeber in Tschechien sicherstellen, dass die Überwachung streng arbeitsbezogen bleibt.

Einschränkung der Audio- und Videoüberwachung

Das tschechische Arbeitsgesetz sieht strenge Beschränkungen vor:

• Audioaufnahmen sind am Arbeitsplatz fast immer illegal
• Videoüberwachung muss notwendig und verhältnismäßig sein
• Kameras sind in Bereichen wie Umkleideräumen, Ruhebereichen, sozialen Einrichtungen (Toiletten, Duschen) und Pausenräumen verboten

Die Überwachung muss die Erfassung privater Verhaltensweisen vermeiden.

Strenge Überwachungsregeln für strafrechtliche Ermittlungen

Wie in vielen EU-Staaten ist auch in Tschechien unerlaubte Überwachung verboten.

Es ist nur zulässig, wenn:

• Es besteht ein begründeter Verdacht einer Straftat
• Die Überwachung ist vorübergehend
• Es gibt keine weniger invasive Methode
• es entspricht den Strafprozessgesetzen

Beratung mit Arbeitnehmervertretern

Wenn ein Unternehmen über Arbeitnehmervertreter oder eine Gewerkschaft verfügt, verlangt das tschechische Recht Folgendes:

• Information
• Diskussion
• Beratung

vor der Einführung von Arbeitsplatzüberwachungssystemen.

Starker Schwerpunkt auf „Fairness“ unter ICO-Anleitung

Das Information Commissioner's Office (ICO) des Vereinigten Königreichs fügt eine zusätzliche Auslegungsebene hinzu, die in der EU-DSGVO nicht vorhanden ist:

Die Überwachung muss fair sein, was bewertet wird durch:

• Interessenausgleich
• Angemessenheit
• Transparenz
• Vermeidung ungerechtfertigter Eingriffe in das Privatleben

Der „Fairness-Test“ hat im Vereinigten Königreich einen besonderen Stellenwert.

Voraussetzung für eine dokumentierte „Legitimate Interests Assessment“ (LIA)

Während die DSGVO LIAs fördert, werden sie im Vereinigten Königreich faktisch als obligatorisch für die Mitarbeiterüberwachung angesehen.

Arbeitgeber, die Tools implementieren, sollten über Folgendes verfügen:

• eine schriftliche LIA
• einschließlich Zweck, Notwendigkeit, Alternativen, Verhältnismäßigkeit
• und Schadensbegrenzungsmaßnahmen

ICO fragt bei Audits routinemäßig nach LIAs.

Erhöhte Erwartungen an die Beratung der Mitarbeiter

Im Gegensatz zu Deutschland oder Spanien ist im Vereinigten Königreich gesetzlich keine Zustimmung des Betriebsrats erforderlich, die ICO-Richtlinien erwarten jedoch Folgendes:

• offene Beratung mit Mitarbeitern oder deren Vertretern
• Diskussion darüber, warum eine Überwachung erforderlich ist
• Erläuterung der Risiken und Schutzmaßnahmen

Starke Einschränkungen bei der Überwachung der „privaten Nutzung“.

Das Vereinigte Königreich sieht besondere Schutzmaßnahmen für die private Kommunikation oder die Nutzung persönlicher Geräte durch Mitarbeiter vor.

Arbeitgeber müssen Folgendes sicherstellen:

• Auf private E-Mails oder Nachrichten wird nicht zugegriffen oder sie werden nicht gelesen
• Eine Überwachung der Internetnutzung schließt eindeutig private Inhalte aus
• Die Überwachung von BYOD (persönlichen Geräten) ist äußerst begrenzt

ICO legt großen Wert darauf, die berechtigten Erwartungen der Mitarbeiter an die Privatsphäre zu respektieren.

Besondere Überwachungsanforderungen

Bestimmte Hochrisikoüberwachungen sind im Vereinigten Königreich nur in Ausnahmefällen und unter Einhaltung strenger ICO-Regeln zulässig:

• wenn der begründete Verdacht einer Straftat besteht
• Die Überwachung muss zielgerichtet und zeitlich begrenzt sein
• kann nicht zur allgemeinen Leistungsbeurteilung verwendet werden
• müssen von der obersten Führungsebene genehmigt werden
• muss aufhören, sobald die Ermittlungen abgeschlossen sind

Zusätzliche Anforderungen für die Audio- und Videoüberwachung

Audioaufnahmen am Arbeitsplatz werden nach britischem Recht als äußerst aufdringlich eingestuft:

• allgemein davon abgeraten
• nur mit sehr starker Begründung zulässig
• Audioaufnahmen ohne entsprechende Zustimmung sind fast immer rechtswidrig

Für die Videoüberwachung ist Folgendes erforderlich:

• sichtbare Hinweise
• definierte Aufbewahrungsfristen
• Begründung für die Erfassung identifizierbarer Mitarbeiter

Datenschutz-Folgenabschätzung (DPIA) wird dringend erwartet

Obwohl die britische DSGVO die EU-DSGVO widerspiegelt, ist das ICO besonders streng in Bezug auf DPIAs für:

• Bildschirmüberwachung
• Standortverfolgung

Das Vereinigte Königreich behandelt diese standardmäßig als hochriskant, und DPIAs werden erwartet, auch wenn sie nicht ausdrücklich gesetzlich vorgeschrieben sind.

Zusätzliche Aufmerksamkeit für automatisierte/algorithmische Überwachung

Das ICO verlangt besondere Transparenz beim Einfluss von Überwachungsinstrumenten auf:

• Leistungsbewertung
• Verhaltensbewertung
• automatisierte Managemententscheidungen

Explizite Anforderungen gemäß Gesetz 190/2018 für die Mitarbeiterüberwachung

Rumänien ist eines der wenigen EU-Länder mit einem speziellen Gesetz, das die Mitarbeiterüberwachung direkt regelt.

Artikel 5 des Gesetzes 190/2018 fügt strengere Bedingungen als die DSGVO hinzu, darunter:

• Die Überwachung muss für das berechtigte Interesse des Arbeitgebers unbedingt erforderlich sein
• Es gibt keine andere, weniger aufdringliche Methode
• Die Überwachung muss in Dauer, Umfang und Zugriff begrenzt sein
• Die Überwachung darf nicht „über das für den genannten Zweck Notwendige hinausgehen“.

Obligatorische DSFA zur Mitarbeiterüberwachung

Gemäß Gesetz 190/2018 verlangt Rumänien ausdrücklich eine Datenschutz-Folgenabschätzung (DPIA), bevor ein Mitarbeiterüberwachungssystem eingeführt wird.

Die DSFA muss Folgendes enthalten:

• Begründung der Notwendigkeit
• Beurteilung der Verhältnismäßigkeit
• Risiken für Arbeitnehmerrechte
• Sicherheitsmaßnahmen zur Reduzierung dieser Risiken
• Alternativen in Betracht gezogen

Diese Anforderung ist direkt im rumänischen Recht verankert.

Strenge Transparenz- und Vorabinformationspflichten

Das rumänische Recht verlangt, dass Mitarbeiter informiert werden:

• im Voraus
• klar und deutlich
• über Art, Zweck, Dauer, Methoden und Umfang der Überwachung

Der Arbeitgeber muss Folgendes begründen:

• warum eine Überwachung notwendig ist
• wie lange die Überwachung dauern wird
• wie die erhobenen Daten verwendet werden
• wer darauf zugreifen wird

Die Überwachung ist auf die maximal erforderliche Dauer zu beschränken

Das Gesetz 190/2018 schreibt vor, dass die Überwachung:

• zeitlich begrenzt sein
• nicht konstant oder unbestimmt sein
• stoppen, sobald der Überwachungszweck erreicht ist

Einschränkungen bei der Überwachung privater Räume und privater Kommunikation

Ähnlich wie in anderen EU-Staaten, jedoch mit strengeren Interpretationen unter ANSPDCP-Anleitung:

• Keine Überwachung in privaten Bereichen (Pausenräume, Toiletten, Sozialbereiche)
• Bei der Überwachung muss das Sammeln privater Kommunikation vermieden werden
• Arbeitgeber müssen technische Kontrollen implementieren, um eine versehentliche Erfassung persönlicher Inhalte zu verhindern

Starker Schwerpunkt auf Alternativen

Nach rumänischem Recht muss der Arbeitgeber eindeutig nachweisen, dass „keine anderen, weniger einschneidenden Mittel zur Verfügung stehen“, um denselben Zweck zu erreichen.

Viele EU-Länder schreiben dies vor, Rumänien fordert es ausdrücklich. Dies ist eine hohe Schwelle.

Überlegungen zu kollektiven Arbeitsrechten

Wenn es Gewerkschaften oder Arbeitnehmervertreter gibt, sollten Arbeitgeber:

• Informieren Sie sie
• Besprechen Sie Überwachungspläne
• sorgen für die Einhaltung von Tarifverträgen

„Verhaltensüberwachung“ nur mit stichhaltiger Begründung zulässig

In Ungarn ist die Überwachung des Verhaltens und der Leistung der Mitarbeiter recht streng.

• Überwachungstools (einschließlich Software wie CleverControl) dürfen nur dann eingesetzt werden, wenn dies zum Schutz eines berechtigten Interesses (Eigentum, Sicherheit, Geschäftsgeheimnisse usw.) unbedingt erforderlich ist.
• Reine Produktivität oder „allgemeine Kontrolle“ ohne konkretes Risiko wird oft als unverhältnismäßig angesehen.
• Arbeitgeber müssen nachweisen können, warum jede spezifische Art der Überwachung (z. B. Website-Nutzung, Screenshots, App-Tracking) erforderlich ist.

Die Notwendigkeits-/Verhältnismäßigkeitsprüfung wird von der NAIH sehr streng angewandt.

Schriftliche interne Richtlinie + individuelle Informationspflichten

Über die standardmäßige DSGVO-Transparenz hinaus erwartet die ungarische Praxis Folgendes:

eine schriftliche interne Richtlinie (z. B. IT-/Überwachungsrichtlinie), die Folgendes klar regelt:

• was überwacht wird
• auf welchen Geräten
• in welchem Zeitraum
• mit welchen technischen Mitteln
• für welche genauen Zwecke

individuelle Informationen für jeden Mitarbeiter, nicht nur eine allgemeine Vertragsklausel.

Die Überwachung der privaten Nutzung ist stark eingeschränkt

Ungarische Behörden vertreten eine strikte Haltung gegenüber der privaten Nutzung von Unternehmenstools:

• Arbeitgeber können die private Nutzung von Firmengeräten einschränken oder verbieten, aber
• Sofern eine private Nutzung überhaupt erlaubt ist, ist ein systematischer Zugriff auf private Inhalte (E-Mails, Nachrichten, eindeutig als privat gekennzeichnete Websites) nicht gestattet.
• Auch wenn die private Nutzung verboten ist, bleibt bei den Mitarbeitern ein Restanspruch auf Privatsphäre bestehen, sodass eine eingehende Inhaltsprüfung riskant ist.

Strenge Anforderungen an Überwachungshinweise

Obwohl die DSGVO der außergewöhnlichen Überwachung im Allgemeinen strenge Grenzen setzt, ist die ungarische Auslegung äußerst eng:

• Eine Mitarbeiterüberwachung ohne entsprechende Rechtsgrundlage gilt fast immer als rechtswidrig.
• Dies ist möglicherweise nur in sehr seltenen Fällen zulässig, in denen es um Straftaten geht, und selbst dann wird sie in der Regel von Strafverfolgungsbehörden und nicht von Arbeitgebern durchgeführt.

Standort und GPS-Tracking werden als äußerst aufdringlich angesehen

NAIH hält die Standortüberwachung (GPS) für besonders sensibel:

• Die ständige Live-Überwachung der Mitarbeiter wird als übertrieben angesehen, außer bei ganz bestimmten Aufgaben (z. B. bestimmte Transport-, Sicherheits-, Außendienstdienste).
• Auch dann muss die Nachverfolgung auf die Arbeitszeit beschränkt und minimiert werden.

Sehr strenger Verhältnismäßigkeitsstandard (APD/GBA-Praxis)

Belgien wendet eine überdurchschnittlich strenge Verhältnismäßigkeitsprüfung an:

• Die Überwachung muss nachweislich die am wenigsten eingreifende verfügbare Methode sein.
• Arbeitgeber müssen einen spezifischen, konkreten Bedarf darlegen, keine allgemeine Produktivitätsbegründung.
• Eine pauschale oder kontinuierliche Überwachung (z. B. ständige Bildschirmaufnahme) wird oft als übertrieben angesehen.

APD/GBA stellt die Würde und Autonomie der Arbeitnehmer als zentrale Werte dar und macht Belgien strenger als die meisten EU-Staaten.

Strenge Grenzwerte für die Mitarbeiterüberwachung

• Eine Überwachung ohne entsprechende Rechtsgrundlage ist praktisch nie rechtmäßig, auch nicht bei Fehlverhalten.
• APD/GBA-Entscheidungen lehnen aufdringliche Tools konsequent ab, es sei denn, es handelt sich um unmittelbare, sehr schwerwiegende kriminelle Aktivitäten und selbst dann nur vorübergehend.

Bei Anwesenheit ist eine Konsultation des Betriebsrats/der Gewerkschaft erforderlich

Das belgische Arbeitsrecht verlangt Folgendes:

Wenn ein Betriebsrat, eine Gewerkschaftsdelegation oder ein Ausschuss für Prävention und Schutz am Arbeitsplatz vorhanden ist, müssen Arbeitgeber diese konsultieren, bevor sie Überwachungssysteme implementieren.

Dies umfasst:

• Überwachungsregeln
• technische Mittel
• Zwecke
• Aufbewahrungsfristen
• Nutzungsrichtlinien

Belgien ist nicht so starr wie Deutschland, aber in Organisationen mit Vertretungsorganen ist die Konsultation gesetzlich vorgeschrieben.

Einschränkungen bei der E-Mail- und Internetüberwachung

Belgien wendet detaillierte Regeln an, die denen der strengsten EU-Länder ähneln:

• Arbeitgeber müssen es vermeiden, Inhalte persönlicher Kommunikation zu lesen.
• Auch geschäftliche Kommunikation darf nur aus legitimen, notwendigen Gründen abgerufen werden.
• Wenn die private Nutzung überhaupt erlaubt ist, müssen Überwachungstools so konfiguriert werden, dass das Sammeln privater Inhalte vermieden wird.

Audio- und Videoüberwachung stark eingeschränkt

Nach belgischem Recht ist Folgendes erforderlich:

• Ein sehr hohes Maß an Begründung für die Audio- oder Videoaufnahme
• Keine Überwachung in privaten oder halbprivaten Räumen (Pausenräume, Toiletten usw.)
• Klare, sichtbare Beschilderung für Kameras
• Ein strenger Aufbewahrungsplan (oft nur Tage oder Wochen)

Insbesondere die Audioüberwachung wird in Büroumgebungen stark abgelehnt und ist fast immer illegal.

Erhöhte DPIA-Erwartungen

Belgien betrachtet viele Mitarbeiterüberwachungsszenarien als vermutlich hochriskant und erfordert Folgendes:

• eine vollständige DSFA
• Detaillierte Dokumentation des Überwachungsumfangs
• genaue Identifizierung von Alternativen
• starke Abhilfemaßnahmen

Die belgische Datenschutzbehörde fordert bei Audits häufig eine DPIA-Dokumentation an.

Obligatorische Betriebsratserlaubnis zur Überwachung (WOR)

In den Niederlanden ist vor der Einführung eines Mitarbeiterüberwachungssystems unbedingt die Zustimmung des Betriebsrats erforderlich.

Gemäß WOR Artikel 27:

• Überwachungssysteme, die die Privatsphäre der Arbeitnehmer beeinträchtigen, dürfen nicht ohne Zustimmung des Betriebsrats eingeführt werden
• Dabei handelt es sich nicht nur um eine bloße Anhörung – der Betriebsrat verfügt über echte Mitentscheidungsrechte
• Ohne Genehmigung ist eine Überwachung rechtswidrig

Die niederländische Datenschutzbehörde (AP) wendet eine sehr strenge Verhältnismäßigkeitsprüfung an

Die AP ist eine der strengsten Datenschutzbehörden in Europa.

Sein Standard erfordert:

• Nach der Evaluierung aller weniger einschneidenden Alternativen muss die Überwachung das letzte Mittel sein.
• Auch eine begründete Überwachung muss so minimal wie möglich gestaltet werden.

Arbeitgeber müssen detailliert dokumentieren, warum eine Überwachung erforderlich ist und wie Alternativen in Betracht gezogen wurden.

Strenge Grenzen bei sehr seltenen Straftaten

Die niederländischen Regeln sind äußerst streng:

Eine Überwachung ohne entsprechende Rechtsgrundlage ist in fast allen Situationen verboten.

Es ist nur erlaubt, wenn:

• Es besteht ein schwerwiegender Verdacht einer Straftat
• Die Überwachung ist vorübergehend
• Der Arbeitgeber kann das gleiche Ergebnis nicht auf andere Weise erreichen
• und nur nach Benachrichtigung des AP, wenn ein hohes Risiko besteht.

Starker Schutz der privaten Kommunikation und des persönlichen Gebrauchs

Die Niederlande schützen die Privatsphäre der Mitarbeiter auch in Bezug auf Arbeitsvermögen stark:

• Wenn die private Nutzung von Arbeitsgeräten erlaubt ist (formell oder informell), müssen Überwachungstools so konfiguriert werden, dass private Inhalte ausgeschlossen werden.
• Das Lesen persönlicher E-Mails, Chats oder privater Nachrichten ist fast immer rechtswidrig.
• Die Überwachung der Internetnutzung muss sich auf Kategorien und Muster konzentrieren, nicht auf private Inhalte.

Eine strikte Trennung von Privat- und Arbeitsdaten wird erwartet.

Audio- und Videoüberwachung stark eingeschränkt

Der AP betrachtet Audio- und Videoüberwachung als sehr aufdringlich:

• Audioaufnahmen sind fast immer unzulässig.
• Die Videoüberwachung muss streng begründet sein und darf niemals kontinuierlich erfolgen.
• Kameras können Mitarbeiter an ihrem Arbeitsplatz nicht filmen, es sei denn, dies ist aus schwerwiegenden Sicherheitsgründen erforderlich.
• Die Überwachung darf niemals Pausenbereiche, Toiletten oder persönliche Räume erfassen.

Hohe Erwartungen an die DPIA-Dokumentation

Der AP erwartet eine vollständige DPIA für:

• Bildschirmüberwachung
• Standortverfolgung
• jegliche kontinuierliche oder verhaltensbasierte Überwachung

Die DSFA muss detailliert sein, einschließlich in Betracht gezogener Alternativen und Abhilfemaßnahmen.

Mitbestimmung des Betriebsrats bei Überwachungssystemen

In Unternehmen mit einem Betriebsrat verlangt Österreich für jedes System zur Überwachung des Verhaltens oder der Leistung der Mitarbeiter eine Betriebsvereinbarung.

• Der Betriebsrat hat Mitbestimmungsrechte, nicht nur Mitspracherechte.
• Ohne eine gültige Betriebsvereinbarung kann die Einführung eines Überwachungssystems rechtswidrig und auch ein Verstoß gegen das Arbeitsrecht sein.

Eine „permanente Kontrolle“ des Verhaltens wird strikt abgelehnt

Die österreichische Praxis hält eine permanente und detaillierte Leistungs-/Verhaltensüberwachung für höchst problematisch:

• Kontinuierliches Tracking (z. B. detaillierte Aktivitätsprotokolle, ständige Bildschirmaufzeichnung) wird normalerweise als unverhältnismäßig angesehen.
• Die Überwachung muss zielgerichtet, in Umfang und Zeit begrenzt und klar begründet sein.

Das DSB tendiert dazu, bei Arbeitsplatzwerkzeugen eine strikte Proportionalitätsperspektive anzuwenden.

Hohe Empfindlichkeit bei Audio- und Bildaufzeichnung

Österreich behandelt Audio- und Bild-/Videoaufzeichnungen am Arbeitsplatz als besonders aufdringlich:

• Audioaufnahmen sind in normalen Büroumgebungen fast nie akzeptabel.
• Video-/Bildschirmaufnahmen müssen stark begründet (z. B. sicherheitskritische Umgebungen) und auf den minimal notwendigen Umfang konfiguriert sein.
• Einer besonders strengen Prüfung unterliegt jede Überwachung, die es ermöglicht, Mitarbeiter über einen längeren Zeitraum an ihrem Arbeitsplatz zu beobachten.

Schutz der Privatsphäre auch auf Arbeitsgeräten

Auch wenn es sich um firmeneigene Geräte handelt, wird in der österreichischen Gesetzgebung und DSB-Praxis Folgendes betont:

• Respekt vor der Privatsphäre des Mitarbeiters, insbesondere dort, wo die private Nutzung toleriert wird.
• Überwachungstools müssen so konfiguriert sein, dass das Lesen eindeutig privater Inhalte (persönliche E-Mails, private Chats usw.) vermieden wird.

Eine gründliche Inhaltsprüfung der Kommunikation ist riskant und in der Regel übertrieben, wenn weniger aufdringliche Optionen (Metadaten, Kategorien) vorhanden sind.

Notwendigkeit klarer interner Richtlinien und Transparenz

Über die allgemeine DSGVO-Transparenz hinaus erwartet die österreichische Praxis:

klare interne Richtlinien / Betriebsvereinbarungen, die Folgendes genau beschreiben:

• was überwacht wird
• welche Werkzeuge verwendet werden
• Zwecke und Rechtsgrundlage
• Aufbewahrungsfristen
• wer Zugriff hat

schriftliche Informationen an Mitarbeiter, nicht nur eine allgemeine Bezugnahme in einem Vertrag.

Dieser schriftliche Rahmen ist für die Bereitstellung von Überwachungstools unerlässlich.

Die Überwachung darf die Mitarbeiter nicht „überfordern“ oder „systematisch beobachten“.

Das Schweizer Arbeitsrecht verbietet die Überwachung von:

• Mitarbeiterverhalten
• Bewegung/Aktivität
• kontinuierliche Beobachtung
• detaillierte Leistungsverfolgung

wenn es zu gesundheitlichen Risiken, Stress, Druck führt oder die Würde der Mitarbeiter verletzt.

Ausdrückliche Pflicht, die Überwachung des Privatlebens zu vermeiden

Gemäss DSG und Schweizer Arbeitsgrundsätzen:

• Auch auf Firmengeräten dürfen Tools nicht in die Privatsphäre eindringen.
• Wenn die private Nutzung erlaubt ist (auch nur gelegentlich), müssen Arbeitgeber Überwachungstools konfigurieren, um die Erfassung privater Inhalte zu vermeiden.

Diese Erwartung ist im Vergleich zu vielen EU-Staaten expliziter und schützender.

Starke Transparenzanforderung (klar, Vorankündigung)

Nach schweizerischem Recht müssen Arbeitnehmer vorab klare Informationen erhalten über:

• was überwacht wird
• wie es überwacht wird
• der Zweck
• die Art der erhobenen Daten
• Aufbewahrungsdauer
• Zugriffsregeln

Allgemeine oder vage Hinweise reichen nicht aus.

Die Überwachung zur Leistungskontrolle erfordert eine zusätzliche Begründung

Laut EDÖB:

• Eine Überwachung zur Bewertung der Produktivität oder des Verhaltens ist nur zulässig, wenn dies unbedingt erforderlich ist.
• Auch dann müssen die Daten nach Möglichkeit aggregiert oder anonymisiert werden.
• Eine direkte Mitarbeiteridentifizierung sollte vermieden werden, es sei denn, es gibt keine Alternative.

Dies geht über die DSGVO hinaus, indem es der Leistungsbewertung weitere Einschränkungen auferlegt.

Strenges Überwachungsverbot

• Es besteht ein dringender Verdacht auf eine kriminelle Tätigkeit
• temporäre, gezielte Maßnahmen
• Verhältnismäßigkeitsprüfung
• in der Regel unter strafrechtlicher Aufsicht

Grenzüberschreitende Datenübermittlungen werden anders als in der DSGVO geregelt

Die Schweiz verfügt über eine eigene Liste „adäquater Länder“.

Für Überweisungen ausserhalb der Schweiz ist Folgendes erforderlich:

• Angemessenheitsentscheidung ODER
• Schweizer Standardvertragsklauseln (nicht die EU-Versionen), ODER
• gleichwertige Schutzmaßnahmen

Die Schweizer SCCs unterscheiden sich geringfügig von den EU-SCCs, daher müssen Arbeitgeber die korrekte Version verwenden.

Die Anwesenheit des Betriebsrats ist selten, aber wo vorhanden, wird eine Anhörung erwartet

Die Schweiz verlangt grundsätzlich keine Betriebsräte, aber:

• wo es Arbeitnehmervertretungen gibt
• Vor der Einführung einer Überwachung wird eine Konsultation erwartet.

Strikte Verhältnismäßigkeit und „Last Resort“-Ansatz

Die griechische Datenschutzbehörde legt die Verhältnismäßigkeit sehr streng aus:

• Tools zur Mitarbeiterüberwachung dürfen nur dann eingesetzt werden, wenn keine weniger einschneidende Alternative besteht.
• Arbeitgeber müssen begründen, warum eine Überwachung notwendig ist und warum sanftere Lösungen nicht ausreichen.
• Die allgemeine Produktivität oder routinemäßige Leistungsverfolgung wird oft als unverhältnismäßig angesehen.

Eine schriftliche interne Richtlinie ist obligatorisch

Das griechische Recht erwartet:

• eine schriftliche interne Unternehmensrichtlinie, die die Überwachung beschreibt
• Einzelheiten zu Zweck, Umfang, Methode und Zugang
• Klare Unterscheidung zwischen erlaubten und verbotenen Nutzungen
• Direkte Kommunikation mit den Mitarbeitern vor Beginn der Überwachung

Eine allgemeine DSGVO-Datenschutzerklärung reicht nicht aus.

Ausdrückliches Verbot der Überwachung privater Kommunikation

Griechenland schützt das Privatleben der Arbeitnehmer nachdrücklich:

• Auf private E-Mails, Chats und persönliche Kommunikation kann nicht zugegriffen, diese überwacht oder überprüft werden.
• Selbst auf Unternehmensgeräten müssen Arbeitgeber sicherstellen, dass Überwachungstools keine privaten Inhalte erfassen.
• Sofern eine persönliche Nutzung überhaupt erlaubt ist, ist eine weitergehende Überwachung faktisch untersagt.

Die Überwachung muss den rechtlichen Hinweisanforderungen entsprechen

Die griechische Datenschutzbehörde vertritt eine äußerst strenge Ansicht:

Eine Überwachung ohne entsprechende Rechtsgrundlage ist fast immer rechtswidrig.

Nur in seltenen Fällen eines schwerwiegenden Strafverdachts zulässig, bei:

• absolute Notwendigkeit
• kurze Dauer
• starke Dokumentation
• begrenzter Umfang

CCTV-Regeln sind sehr streng (auch für die digitale Überwachung)

Obwohl für CCTV konzipiert, wendet die griechische Datenschutzbehörde ähnliche Standards auf jedes System an, das Mitarbeiter beobachten oder aufzeichnen kann:

• Darf Arbeitsplätze nicht ständig überwachen.
• Darf nicht auf einzelne Mitarbeiter abzielen, es sei denn, dies ist unbedingt erforderlich.
• Darf keine Pausenräume, Cafeterien, Ruhebereiche oder privaten Zonen abdecken.
• Aufzeichnungen müssen kurze Aufbewahrungsfristen haben.

DPIA wird für die meisten Mitarbeiterüberwachungen erwartet

Das Gesetz 4624/2019 und die HDPA-Leitlinien behandeln die Mitarbeiterüberwachung als risikoreich:

• Für die meisten Implementierungen ist DPIA erforderlich
• Alternativen, Risiken und Abhilfemaßnahmen müssen dokumentiert werden
• HDPA kann bei Kontrollen Nachweise verlangen

Beratung mit Arbeitnehmervertretern

Wo es Gewerkschaften, Betriebsräte oder Personalvertretungen gibt:

• Arbeitgeber müssen diese konsultieren, bevor sie eine Überwachung einführen
• und besprechen Sie die schriftliche interne Richtlinie

Strikte Auslegung der Verhältnismäßigkeit und Notwendigkeit

Die zyprische Datenschutzbehörde wendet eine strenge Verhältnismäßigkeitsprüfung an, ähnlich wie in Griechenland:

• Die Überwachung muss eindeutig für einen bestimmten, legitimen Zweck erforderlich sein.
• Zunächst müssen weniger aufdringliche Alternativen in Betracht gezogen werden.
• Kontinuierliche oder sehr aufdringliche Überwachung (ständige Nachverfolgung, Screenshots) wird in der Regel abgelehnt.

Arbeitgeber müssen begründen können, warum die verwendete Überwachungsmethode erforderlich ist.

Obligatorische, detaillierte Mitarbeiterinformationen

Zypern verlangt einen expliziteren und detaillierteren Hinweis als die Standard-DSGVO-Transparenz:

Mitarbeiter müssen informiert werden über:

• Zweck und Notwendigkeit der Überwachung
• spezifische Werkzeuge verwendet
• Methoden und Häufigkeit der Datenerhebung
• wer Zugriff hat
• Aufbewahrungsfristen
• Rechte und Beschwerdemechanismen

Eine allgemeine Datenschutzerklärung wird nicht als ausreichend angesehen.

Verbot der Überwachung privater Bereiche und personenbezogener Daten

Die zyprische Datenschutzbehörde verbietet ausdrücklich die Überwachung von:

• Pausenräume
• Toiletten
• Essbereiche
• jeder „private“ oder halbprivate Raum
• private Chats, persönliche Nachrichten oder persönliche E-Mail-Konten
• eindeutig private Browsing-Inhalte

Wenn Arbeitgeber eine eingeschränkte private Nutzung von Geräten zulassen, muss die Überwachung jede private Inhaltserfassung ausschließen.

Die Überwachung muss den rechtlichen Hinweispflichten entsprechen, außer bei strafrechtlichem Verdacht

• Ausnahmeüberwachungen sind, außer bei schwerwiegenden Strafverdachtsfällen, rechtswidrig.
• Auch dann muss es zielgerichtet, zeitlich begrenzt und verhältnismäßig sein.
• Die Überwachung der Produktivität, Leistung oder Routineüberwachung ist völlig verboten, wenn hierfür die erforderliche Rechtsgrundlage und die erforderliche Benachrichtigung fehlen.

DPIA wird für die meisten Mitarbeiterüberwachungssysteme erwartet

Während die DSGVO eine DPIA für risikoreiche Tools vorschreibt, behandelt die zypriotische Datenschutzbehörde die Mitarbeiterüberwachung im Allgemeinen als eine Hochrisikokategorie, was bedeutet, dass Arbeitgeber:

• Führen Sie vor dem Einsatz eine DSFA durch
• Dokumentieren Sie Risiken und Risikominderungsmaßnahmen
• Notwendigkeit rechtfertigen
• alternative Lösungen bewerten
• auf Anfrage der Datenschutzbehörde Beweise vorlegen

Beratung mit Arbeitnehmervertretern

Wenn Arbeitnehmervertretungen oder Gewerkschaften bestehen:

• Arbeitgeber müssen sich mit ihnen beraten, bevor sie Überwachungssysteme einsetzen
• muss die Überwachungspolitik und deren Begründung vorlegen

Dies ist eine gesetzliche Erwartung im Rahmen der zyprischen Arbeitspraktiken.

Sehr strenge Transparenzanforderung (über die DSGVO hinaus)

Dänemark ist eines der strengsten EU-Länder in Bezug auf Transparenz:

Über etwaige Überwachungen sind die Mitarbeiter klar, konkret und individuell zu informieren.

Der Arbeitgeber muss Folgendes ausdrücklich beschreiben:

• welche Überwachungstools zum Einsatz kommen
• welche Daten erhoben werden
• wie oft Daten erfasst werden
• wer Zugriff hat
• Aufbewahrungsfristen

Die dänische Datenschutzbehörde hat Unternehmen wegen unzureichender Einzelheiten in den Hinweisen zur Mitarbeiterüberwachung mit Sanktionen belegt.

Eine Überwachung muss unbedingt erforderlich sein (erweiterte Verhältnismäßigkeitsprüfung)

Nach dänischem Recht und den Leitlinien von Datatilsynet ist Folgendes für die Überwachung erforderlich:

• notwendig
• verhältnismäßig
• relevant für die Arbeitsaufgabe

Die Datenschutzbehörde stellt regelmäßig Verstöße fest, wenn Arbeitgeber Folgendes verwenden:

• kontinuierliche Bildschirmüberwachung
• übermäßiges Internet-Tracking

Ausdrückliches Verbot unbefugter Überwachung

Dänemark verbietet unbefugte Überwachung, außer in ganz bestimmten strafrechtlichen Ermittlungskontexten, und selbst dann:

• Der Arbeitgeber muss sehr triftige Gründe haben
• Die Überwachung muss vorübergehend sein
• nur bei klar definiertem Verdacht

Arbeitnehmervertreter müssen informiert werden

Wenn es an einem Betrieb Arbeitnehmervertreter oder einen Kooperationsausschuss gibt:

• Sie müssen informiert und in Diskussionen über die Überwachung einbezogen werden
• Obwohl Dänemark nicht so streng ist wie Deutschland oder die Niederlande, erwartet es einen dokumentierten internen Dialog
• Die Arbeitnehmervertretung muss vor dem Einsatz alle relevanten Informationen erhalten

Datatilsynet empfiehlt dringend eine solche Konsultation.

Strenge Regeln zur E-Mail- und Internetüberwachung

Die dänische Praxis schreibt höhere Standards für die Überwachung digitaler Kommunikation vor:

• Das Mitlesen des Inhalts von Mitarbeiter-E-Mails ist nur in Ausnahmefällen gestattet.
• Arbeitgeber müssen es vermeiden, persönliche Kommunikation zu erfassen oder zu lesen, selbst wenn sie von Arbeitsgeräten gesendet wird.
• Internet-Tracking muss sich auf Kategorien oder Muster konzentrieren, nicht auf bestimmte Seiteninhalte.

Bildschirmaufzeichnung

Datatilsynet behandelt:

• Kontinuierliche Bildschirmaufnahme

als äußerst aufdringlich und selten rechtmäßig, es sei denn, dies ist aus Sicherheits- oder Compliance-Gründen unbedingt erforderlich.

Für solche Funktionen wird eine DPIA dringend empfohlen (und tatsächlich erwartet).

Kurze und klare Aufbewahrungsfristen

Die dänische Datenschutzbehörde verlangt:

• kurze, klar definierte Aufbewahrungsfristen für Überwachungsdaten
• regelmäßige Löschung
• Aufbewahrungsrichtlinien für Mitarbeiter leicht zugänglich

Extrem hoher Standard für Transparenz und Vorhersehbarkeit

Schweden hat eine der strengsten Transparenzerwartungen in der EU.

IMY verlangt von Arbeitgebern, ihre Arbeitnehmer klar zu informieren über:

• Gründe für die Überwachung
• genaue verwendete Werkzeuge
• erhobene Daten und „wie oft“
• Aufbewahrungsfristen
• wer auf die Informationen zugreift
• ob die Überwachung die Arbeitsbewertung beeinflusst

Allgemeine Informationen reichen nicht aus, die Mitteilung muss konkret, spezifisch und vorhersehbar sein.

Überwachung darf die „Würde der Arbeitnehmer“ nicht beeinträchtigen

Gemäß den schwedischen Arbeitsgrundsätzen und der IMY-Praxis:

• Die Überwachung darf die Würde, Autonomie oder das Vertrauen der Mitarbeiter nicht untergraben.
• Systeme, die Druck, Stress oder das Gefühl ständiger Kontrolle erzeugen, können als rechtswidrig angesehen werden.

Starke Einschränkungen bei der E-Mail-, Internet- und Kommunikationsüberwachung

Die schwedischen Leitlinien betrachten die Überwachung digitaler Kommunikation als äußerst aufdringlich:

• Der Zugriff auf E-Mail-Inhalte ist nur in bestimmten Ausnahmefällen gestattet (z. B. Abwesenheitsabwicklung, Sicherheitsvorfälle).
• Die Überwachung privater Kommunikation ist strengstens untersagt.
• Auch die Metadatenerfassung muss auf das Notwendige beschränkt werden.

Überwachungstools müssen so konfiguriert sein, dass die Erfassung persönlicher Nachrichten oder eindeutig privater Materialien vermieden wird.

Bildschirmüberwachung

IMY berücksichtigt:

• häufige Screenshots
• Live-Bildschirmüberwachung

Es handelt sich um sehr aufdringliche Formen der Überwachung.

Kurze Aufbewahrungsfristen und strikte Datenminimierung

Schweden verlangt von Arbeitgebern Folgendes:

• Definieren Sie kurze Aufbewahrungsfristen
• Überwachungsdaten regelmäßig löschen
• Wenden Sie eine strenge Zugangskontrolle an
• Speichern Sie nur die minimal notwendigen Informationen.

Anhörungspflichten der Arbeitnehmervertretung

Wenn es an einem Arbeitsplatz eine Gewerkschaftsvertretung oder einen örtlichen Arbeitnehmerausschuss gibt:

• Arbeitgeber müssen sie vor der Einführung von Überwachungssystemen informieren oder konsultieren
• Bereitstellung einer Dokumentation und Begründung
• Ermöglichen Sie den Dialog über Verhältnismäßigkeit und Notwendigkeit.

Starker Schwerpunkt auf „Fairness“ und den Erwartungen der Mitarbeiter an Privatsphäre

Irland hält sich an die DSGVO, legt aber besonderen Wert auf Fairness:

• Die Überwachung muss für die Mitarbeiter klar vorhersehbar sein.
• Arbeitgeber müssen die angemessene Erwartung der Arbeitnehmer an die Privatsphäre in jeder Situation beurteilen.
• Überraschende Überwachungen oder Überwachungen, die über das hinausgehen, was Mitarbeiter vernünftigerweise vorhersehen können, können rechtswidrig sein, selbst wenn sie auf dem Papier transparent sind.

Detaillierte und spezifische Transparenzanforderungen

Das DPC erwartet sehr explizite und detaillierte Mitarbeitermitteilungen, darunter:

• technische Beschreibung dessen, was das Monitoring-Tool tatsächlich aufzeichnet
• Häufigkeit der Überwachung
• ob automatisierte Analysen eingesetzt werden
• Wer in der Organisation überprüft die Daten?
• ob die Überwachung Disziplinar- oder Leistungsentscheidungen beeinflussen kann

Verbot unverhältnismäßiger oder kontinuierlicher Überwachung

Die DPC-Richtlinien sind hinsichtlich übermäßiger Überwachung streng:

• Eine kontinuierliche oder Echtzeitverfolgung (Bildschirme, Überwachungsmethoden) ist normalerweise übertrieben
• Die Überwachung muss minimal, notwendig und gerechtfertigt sein
• Eine Aktivität, die den Anschein erweckt, „alles zu beobachten, was ein Mitarbeiter tut“, gilt als Verletzung der irischen Arbeitsrechte

Strenge Regeln bei Strafverdacht

• Es besteht ein schwerwiegender Verdacht einer kriminellen Tätigkeit
• Die Überwachung erfolgt zielgerichtet und kurzfristig
• es gibt keine vernünftige Alternative
• Die Geschäftsleitung genehmigt dies
• Der Zweck ist rein investigativ

Die Überwachung privater Kommunikation ist strengstens verboten

Selbst auf Firmengeräten dürfen Arbeitgeber nicht:

• auf private E-Mails zugreifen
• Persönliche Nachrichten lesen
• Sammeln Sie eindeutig private Browsing-Inhalte

DPIA ist für die meisten Mitarbeiterüberwachungen erforderlich

Das DPC betrachtet die Mitarbeiterüberwachung standardmäßig als hochriskant, was bedeutet:

• DSFAs müssen vor der Umsetzung abgeschlossen sein
• Risiken und Alternativen müssen umfassend bewertet werden
• Bei Inspektionen kann eine DPIA-Dokumentation angefordert werden

Konsultation mit Arbeitnehmervertretern, sofern vorhanden

Obwohl es nicht so streng ist wie das deutsche Mitbestimmungssystem, erwartet die irische Praxis am Arbeitsplatz Folgendes:

• Rücksprache mit Gewerkschaften oder Arbeitnehmervertretungen
• Offenlegung von Überwachungsplänen und DPIA-Ergebnissen
• interner Dialog über Notwendigkeit, Verhältnismäßigkeit und Schutzmaßnahmen

Diese Erwartung ergibt sich aus den Grundsätzen der Arbeitsbeziehungen und nicht aus einem strengen gesetzlichen Auftrag.

Absolutes Verbot unerlaubter Videoüberwachung

Portugal verbietet strikt:

• nicht autorisierte Kameras
• unerlaubte Videoüberwachung
• unerlaubte Beobachtung von Mitarbeitern

Jede visuelle Überwachung muss sichtbar, deklariert und begründet sein. Eine unbefugte visuelle Überwachung ist niemals gestattet.

Starke Einschränkungen bei der E-Mail- und IT-Überwachung

Portugal wendet strengere Standards als die DSGVO für die Überwachung der digitalen Kommunikation an:

• Eine dauerhafte oder systematische Überwachung der E-Mails der Mitarbeiter ist nicht gestattet.
• Die Überwachung muss punktuell, zielgerichtet und an legitime, spezifische Risiken gebunden sein.
• Arbeitgeber müssen über klare interne Regeln verfügen, die die private Nutzung, Grenzen und Überwachungspraktiken beschreiben.
• Bei der Überwachung muss stets ein möglichst wenig eingreifender Ansatz verfolgt werden.

Obligatorische Überwachungs- und Nutzungsrichtlinie

Die portugiesische Praxis erfordert eine detaillierte interne Richtlinie, in der Folgendes erläutert wird:

• welche Überwachung stattfindet
• welche Werkzeuge verwendet werden
• Umfang und Zweck
• wie Daten erhoben und gespeichert werden
• ob die private Nutzung von Geräten erlaubt ist
• Sicherheitsvorkehrungen zum Schutz der Privatsphäre der Mitarbeiter

Einschränkungen bei der Fernarbeit (sehr wichtig in Portugal)

Portugal hat einige der strengsten Vorschriften zur Fernarbeitsüberwachung in der EU eingeführt:

• Arbeitgeber können Mitarbeiter, die von zu Hause aus arbeiten, nicht durch Überwachung, Verhaltensverfolgung oder aufdringliche Überwachungstools überwachen.
• Arbeitgeber dürfen Arbeitnehmer außerhalb der Arbeitszeit nicht kontaktieren („Recht auf Nichterreichbarkeit“).
• Die Überwachung der Fernarbeit muss minimal und gerechtfertigt sein und darf nicht in die private häusliche Umgebung eindringen.

Strenge Auslegung von Notwendigkeit und Verhältnismäßigkeit

Die portugiesischen Behörden wenden Folgendes an:

• strikte Notwendigkeit (Überwachung nur, wenn unbedingt erforderlich)
• strikte Verhältnismäßigkeit (minimale Daten, minimale Dauer)
• strenge Relevanz (keine allgemeine Überwachung).

Die Überwachung muss eindeutig mit Sicherheit, Compliance oder Asset-Schutz verknüpft sein – nicht mit allgemeiner Produktivitätskontrolle.

Sehr strenge Transparenzanforderungen

Die Slowakei geht über die DSGVO hinaus und fordert:

klare, schriftliche und detaillierte Informationen, bevor mit der Überwachung begonnen wird

In den Informationen muss ausdrücklich angegeben werden:

• das verwendete Werkzeug
• der genaue Zweck
• Daten gesammelt
• Aufbewahrungsdauer
• Häufigkeit der Überwachung
• verwendete Methoden und Technologien

Die slowakische Datenschutzbehörde bestraft Arbeitgeber häufig für vage oder unvollständige Überwachungsmitteilungen.

Die Überwachung muss unbedingt erforderlich und verhältnismäßig sein

Die Slowakei legt Notwendigkeit und Verhältnismäßigkeit streng aus:

• Die Überwachung muss an einen bestimmten, berechtigten Zweck gebunden sein (z. B. Sicherheit, Schutz von Vermögenswerten).
• Eine allgemeine Produktivitätsüberwachung wird als übertrieben angesehen
• Eine kontinuierliche oder umfassende Überwachung (Screenshots, ständige Aufzeichnung) ist wahrscheinlich unverhältnismäßig

Die slowakische Regulierungspraxis begünstigt in Grenzfällen grundsätzlich das Datenschutzinteresse des Arbeitnehmers.

Strenge Überwachungsgrenzen in Strafsachen

Das slowakische Recht erlaubt eine außergewöhnliche Arbeitsplatzüberwachung nur, wenn:

• Es besteht ein schwerwiegender Verdacht einer Straftat
• Die Überwachung erfolgt zeitlich begrenzt und zielgerichtet
• es gibt keine Alternative
• und es entspricht den strafrechtlichen Verfahren.

Strenge Einschränkungen bei der visuellen und akustischen Überwachung

Die Slowakei führt strenge Kontrollen für jede Form der visuellen oder akustischen Überwachung durch:

• Keine Überwachung in privaten oder halbprivaten Räumen
• Audioaufnahmen sind fast immer rechtswidrig
• Bildschirm- oder Videoaufnahmen müssen in Umfang und Dauer äußerst begrenzt sein
• Das Aufzeichnen von Arbeitsabläufen oder Desktops zur kontinuierlichen Überwachung wird normalerweise als übertrieben angesehen

Überwachung der Kommunikation stark eingeschränkt

Nach slowakischer Praxis:

• Arbeitgeber dürfen nicht auf private E-Mails oder persönliche Nachrichten zugreifen
• Selbst die Überwachung geschäftlicher E-Mail-Inhalte muss strengen Anforderungen genügen
• Wenn die private Nutzung auf Firmengeräten erlaubt ist, können aufdringlichere Formen der Überwachung nicht eingesetzt werden

Die Überwachung muss sich auf Metadaten und Muster konzentrieren, nicht auf den Inhalt privater Kommunikation.

Beratung mit Arbeitnehmervertretern

Wenn es Gewerkschaftsgremien oder Betriebsräte gibt:

• Arbeitgeber müssen diese vor der Einführung einer Überwachung konsultieren
• muss Notwendigkeit, Umfang und Prozesse erläutern
• muss Dokumentation und interne Regeln bereitstellen

DPIA zur Mitarbeiterüberwachung erwartet

Obwohl dies nicht immer ausdrücklich vorgeschrieben ist, erwartet die slowakische Datenschutzbehörde eine Datenschutz-Folgenabschätzung (DPIA) für:

• Bildschirmüberwachung
• Verhaltensverfolgung
• Kamera- oder Audioüberwachung
• jede kontinuierliche oder automatisierte Überwachung

Großer Wert auf Transparenz und schriftliche Benachrichtigung

Malta hält sich an die DSGVO, legt jedoch großen Wert auf schriftliche, explizite Kommunikation mit den Mitarbeitern.

Vor jeder Überwachung müssen Arbeitgeber Folgendes bereitstellen:

• eine klare schriftliche Erläuterung dessen, was überwacht wird
• warum eine Überwachung notwendig ist
• welche Werkzeuge verwendet werden
• wie Daten erhoben und gespeichert werden
• wer darauf zugreifen wird
• definierte Aufbewahrungsfristen

Notwendigkeit und Verhältnismäßigkeit werden strikt durchgesetzt

Gemäß der IDPC-Praxis:

• Die Überwachung muss für einen legitimen, spezifischen Zweck unbedingt erforderlich sein
• Arbeitgeber müssen begründen, warum weniger einschneidende Alternativen nicht das gleiche Ziel erreichen können
• Eine kontinuierliche oder zu umfassende Überwachung (Bildschirme, Kamera, Mikrofon) wird oft als übertrieben angesehen

Überwachung privater Kommunikation verboten

Malta schützt die Privatsphäre der Mitarbeiter auch auf unternehmenseigenen Geräten streng:

• Der Zugriff auf private E-Mails oder Nachrichten ist rechtswidrig
• Die Überwachung muss so konfiguriert sein, dass eindeutig private Inhalte nicht erfasst werden
• Arbeitgeber müssen die Trennung zwischen beruflichen und persönlichen Daten auf Geräten sicherstellen, deren private Nutzung zulässig ist

Strenge Überwachungsgrenzen in schweren Strafsachen

Außergewöhnliche Überwachungen sind verboten, es sei denn:

• Es besteht der dringende Verdacht einer kriminellen Tätigkeit
• Die Überwachung ist temporär und zielgerichtet
• es gibt keine Alternative
• Rechtsberatung oder Einschaltung der Strafverfolgungsbehörden unterstützen die Maßnahme

Einschränkungen bei der Video-, Bildschirm- und Audioüberwachung

Malta wendet verstärkten Schutz für die Überwachung an, die das Verhalten von Mitarbeitern visuell oder akustisch erfassen kann:

• Audioaufnahmen sind fast immer rechtswidrig
• Video- oder Bildschirmaufnahmen müssen sehr begrenzt, notwendig und gerechtfertigt sein
• Eine Überwachung kann nicht erfolgen in: Ruhebereichen, Essbereichen, Badezimmern und allen Räumen, die als privat gelten

DPIA wird für die meisten Mitarbeiterüberwachungen erwartet

Auch wenn dies nach der DSGVO nicht immer verpflichtend ist, erwartet das IDPC in Malta dringend DPIAs für:

• Bildschirmüberwachung
• Protokollierung von Mitarbeiteraktionen
• Standortverfolgung
• systematische oder automatisierte Überwachung

Eine DSFA hilft beim Nachweis der Einhaltung und wird von IDPC häufig bei Audits oder Beschwerdefällen angefordert.

Beratung mit Arbeitnehmervertretern

Wo Arbeitnehmervertretungen oder Gewerkschaften bestehen:

• Arbeitgeber müssen sie informieren und konsultieren
• Erläutern Sie den Zweck, die Notwendigkeit und die Sicherheitsmaßnahmen
• Besprechen Sie interne Überwachungsrichtlinien

Verfassungsrechtlicher Schutz von Bild, Ton und Video

Gemäß der bulgarischen Verfassung darf niemand ohne sein Wissen oder gegen seinen ausdrücklichen Einspruch gefilmt, aufgezeichnet oder ähnlichen Handlungen ausgesetzt werden, außer in den gesetzlich vorgesehenen Fällen.

Das bedeutet:

• Jegliche visuelle oder akustische Überwachung von Mitarbeitern (CCTV, Bildschirmaufzeichnung, Audio) wird als äußerst aufdringlich angesehen
• Die Überwachung muss klar kommuniziert und begründet werden
• Besonders problematisch ist die erzwungene oder „stille“ Bild-/Audioaufnahme.

Die Videoüberwachung kann nicht zur Leistungs- oder Prämienbeurteilung weiterverwendet werden

Die bulgarische CPDP hat ausdrücklich festgestellt, dass:

• Eine Weiterverarbeitung von CCTV- oder Videoaufzeichnungen (mit oder ohne Ton) zur Beurteilung individueller Leistungen oder zur Festsetzung von Prämien ist unzulässig
• Eine solche Verwendung gilt als unvereinbar mit dem ursprünglichen Zweck der Sicherheit und verstößt gegen die Zweckbindung der DSGVO.

Starker Schutz der Würde der Arbeitnehmer durch das Arbeitsgesetzbuch

Das Arbeitsgesetz verpflichtet Arbeitgeber, die Würde und Grundrechte der Arbeitnehmer während des gesamten Arbeitsverhältnisses zu schützen.

In der Praxis bedeutet das:

• Die Überwachung darf nicht bedrückend, konstant oder demütigend sein
• „Überüberwachung“, die psychologischen Druck erzeugt, ist wahrscheinlich rechtswidrig

Hohe Messlatte für Verhältnismäßigkeit und Notwendigkeit

CPDP und die bulgarische Praxis erfordern Folgendes:

• Die Überwachung ist für einen konkreten, legitimen Zweck erforderlich (Sicherheit, Eigentumsschutz, Compliance)
• Zunächst müssen weniger aufdringliche Alternativen in Betracht gezogen werden
• Eine kontinuierliche oder weitreichende Verhaltensüberwachung wird grundsätzlich abgelehnt.

Besonders riskant ist die Audio- und Videoüberwachung mit Ton

Die Behörde hat insbesondere den Einsatz von Video mit Audio zur Beurteilung der Mitarbeiterleistung kritisiert und festgestellt, dass dieser mit der DSGVO nicht vereinbar ist.

Bei jedem Einsatz von Software zur Mitarbeiterüberwachung in Bulgarien sollte daher Folgendes vermieden werden:

• Audioaufnahme insgesamt
• Bildschirm- oder Videoaufzeichnung als kontinuierliches Auswertungstool.

Mitarbeiterinformationen und interne Dokumentation

Über die allgemeine DSGVO-Transparenz hinaus erwartet die bulgarische Praxis Folgendes:

• klare interne Richtlinien zur Beschreibung der Überwachung
• Spezifische Mitteilung an Mitarbeiter (Tools, Zwecke, Umfang, Aufbewahrung)
• dokumentierte Aufbewahrungsfristen und Löschregeln für Überwachungsdaten.

Extrem strenge Datenschutzbestimmungen am Arbeitsplatz

Norwegen verfügt über einige der strengsten Datenschutzbestimmungen für Arbeitnehmer in Europa.

Das Arbeitsumweltgesetz verlangt, dass alle Formen der Überwachung:

• muss einen klaren, notwendigen Zweck haben
• muss verhältnismäßig sein
• muss im Umfang begrenzt werden
• Es darf kein übermäßiger Druck oder Stress auf den Mitarbeiter ausgeübt werden
• muss die Würde und Autonomie des Arbeitnehmers berücksichtigen

Obligatorische Konsultation mit Arbeitnehmervertretern

Wenn der Arbeitsplatz über eine Gewerkschaftsvertretung oder einen Arbeitsumfeldausschuss verfügt, muss der Arbeitgeber:

• Konsultieren Sie sie, bevor Sie eine Überwachung einführen
• Bereitstellung einer Dokumentation zu Zweck, Umfang, Tools und Aufbewahrung
• Diskutieren Sie alternative Lösungen und Verhältnismäßigkeit

Strenges Überwachungsverbot

Das norwegische Recht erlaubt eine außergewöhnliche Mitarbeiterüberwachung nur in sehr seltenen, schwerwiegenden Strafsituationen.

Eine außergewöhnliche Überwachung kann nur erfolgen, wenn:

• Es besteht ein klarer Verdacht auf eine Straftat
• es ist eng zielgerichtet und zeitlich begrenzt
• alle weniger aufdringlichen Möglichkeiten sind ausgeschöpft

Besondere Regeln für E-Mail-, Internet- und IT-Überwachung

Norwegen hat detaillierte Anforderungen an die Überwachung elektronischer Kommunikation:

• Arbeitgeber dürfen nur unter bestimmten, dokumentierten Bedingungen auf geschäftliche E-Mail-Konten zugreifen
• Auf private Kommunikation darf niemals zugegriffen werden
• Selbst geschäftliche E-Mails können nur aus begrenzten, notwendigen Gründen geöffnet werden
• Die Überwachung muss die Erfassung privater Inhalte vermeiden
• Die Internetüberwachung muss sich auf Kategorien konzentrieren, nicht auf Inhalte oder persönliche Daten

Audio- und Videoüberwachung stark eingeschränkt

Datatilsynet betrachtet die audiovisuelle Überwachung als äußerst aufdringlich:

• Audioaufnahmen am Arbeitsplatz sind fast nie erlaubt
• Kameras können nicht zur kontinuierlichen Beobachtung von Mitarbeitern eingesetzt werden
• Die Videoüberwachung muss begrenzt, zielgerichtet und vollständig transparent sein

DPIA ist für die meisten Mitarbeiterüberwachungssysteme erforderlich

Norwegen betrachtet die Mitarbeiterüberwachung als eine hochriskante Tätigkeit.

Eine Datenschutz-Folgenabschätzung muss durchgeführt werden, wenn die Überwachung Folgendes umfasst:

• Bildschirme
• Verhaltensprotokollierung
• Audio/Video
• Standortverfolgung
• automatisierte Auswertung

Sehr strenge Regeln für die Datenaufbewahrung und den Datenzugriff

Die norwegischen Aufsichtsbehörden verlangen:

• minimale Aufbewahrungsfristen
• dokumentierte Löschroutinen
• strenge Zugriffskontrolle (nur sehr wenige Personen dürfen Daten einsehen)
• klare Begründung für jede Kategorie der gespeicherten Daten

Mitbestimmung und Arbeitnehmerberatung

In Serbien müssen Arbeitgeber Rücksprache halten mit:

• Arbeitnehmervertreter oder Gewerkschaften, sofern vorhanden, vor der Einführung eines Überwachungssystems, einschließlich Systemen wie CleverControl.
• Der Konsultationsprozess muss die Bereitstellung detaillierter Informationen über Zweck, Umfang und Methoden der Überwachung umfassen.
• Die Überwachung darf nicht einseitig ohne vorherigen Dialog verordnet werden.

Stärkere Einschränkungen bei der Audio- und Videoüberwachung

Serbien behandelt Audio- und Videoüberwachung als äußerst sensibel:

• Audioüberwachung ist fast immer verboten, es sei denn, sie ist für einen ganz bestimmten, legitimen Zweck erforderlich (z. B. strafrechtliche Ermittlungen).
• Videoüberwachung ist zulässig, muss jedoch verhältnismäßig sein und darf nicht zur Leistungsbewertung eingesetzt werden.

Die Überwachung muss durch einen bestimmten, legitimen Zweck gerechtfertigt sein

Serbiens PDP legt großen Wert auf Notwendigkeit und Verhältnismäßigkeit:

• Eine Überwachung ist nur zulässig, wenn sie für einen legitimen Zweck erforderlich ist (z. B. Schutz von Eigentum, Gewährleistung der Sicherheit).
• Die Überwachung muss im Verhältnis zum legitimen Ziel stehen.
• Arbeitgeber müssen nachweisen, dass es keine weniger einschneidenden Mittel gibt, um denselben Zweck zu erreichen.

Dies bedeutet, dass eine allgemeine Überwachung (z. B. die Verfolgung der Mitarbeiterproduktivität) ohne einen klaren und zwingenden Zweck in Serbien als rechtswidrig angesehen würde.

Einschränkungen bei der Datenaufbewahrung

Das serbische Recht orientiert sich eng am Aufbewahrungsprinzip der DSGVO, allerdings mit expliziteren Einschränkungen der Aufbewahrungsfristen:

• Durch die Überwachung erhobene Daten dürfen nicht länger aufbewahrt werden, als es für den Zweck, für den sie erhoben wurden, erforderlich ist.
• Arbeitgeber müssen klare Richtlinien zur Datenaufbewahrung festlegen und eine automatische Löschung oder Anonymisierung nach einem bestimmten Zeitraum implementieren.

DPIA (Data Protection Impact Assessment) ist für die meisten Überwachungen erforderlich

In Serbien gilt die Mitarbeiterüberwachung als Hochrisikoverarbeitung:

• Eine DSFA ist für Tools obligatorisch, die die Überwachung des Verhaltens, der Leistung, des Standorts oder der Kommunikation von Mitarbeitern umfassen.
• Arbeitgeber müssen die Auswirkungen der Überwachung bewerten, potenzielle Risiken für die Privatsphäre der Mitarbeiter identifizieren und diese Risiken mindern.

Stärkere Betonung der Privatsphäre der Mitarbeiter am Arbeitsplatz

Das serbische Arbeitsrecht legt großen Wert auf die Privatsphäre und Würde der Mitarbeiter und verlangt:

• Überwachungssysteme müssen so eingesetzt werden, dass die Würde des Arbeitnehmers nicht beeinträchtigt wird und seine Privatsphäre nicht beeinträchtigt wird.
• Arbeitgeber müssen sicherstellen, dass die angemessenen Erwartungen der Arbeitnehmer an die Privatsphäre respektiert werden, insbesondere in nicht arbeitsbezogenen Bereichen.

Starke Betonung der Zustimmung der Mitarbeiter zur Überwachung

Lettland legt die Einwilligungsbestimmungen der DSGVO strenger aus als andere EU-Länder:

• Die Einwilligung muss ausdrücklich und freiwillig erteilt werden, wenn sie Grundlage für die Überwachung von Mitarbeitern ist (z. B. für den Zugriff auf private Daten oder Leistungsverfolgung).
• Aufgrund des Machtungleichgewichts können sich Arbeitgeber in Arbeitsverhältnissen nicht allein auf die Einwilligung verlassen. In Lettland wird die ausdrückliche Einwilligung in der Regel nicht als gültige Rechtsgrundlage für routinemäßige Überwachungen angesehen, es sei denn, es handelt sich um persönliche Entscheidungen, wie die Überwachung von Unternehmensvermögenswerten (z. B. Fahrzeugen, Ausrüstung).

Überwachungsverbot

Lettland befolgt strenge DSGVO-Grenzwerte für die Mitarbeiterüberwachung:

• Die Überwachung sollte offen und transparent sein und die Mitarbeiter vor Beginn umfassend informiert werden.
• Eine außergewöhnliche Überwachung ist außer in sehr engen Fällen, bei denen es um strafrechtliche Ermittlungen oder schwere Verstöße geht, verboten und bedarf selbst dann einer ordnungsgemäßen rechtlichen Begründung.

Strenge Notwendigkeits- und Verhältnismäßigkeitsprüfung

Lettland wendet bei der Überwachung eine strenge Notwendigkeits- und Verhältnismäßigkeitsprüfung an:

• Arbeitgeber müssen begründen, warum die Überwachung für einen bestimmten, legitimen Geschäftszweck (z. B. Sicherheit, Betrugsprävention) erforderlich ist.
• Die Überwachung muss in einem angemessenen Verhältnis zum Zweck stehen und darf nicht über das unbedingt erforderliche Maß hinausgehen.
• Kontinuierliche Überwachung oder übermäßige Überwachung von Mitarbeitern (z. B. Verfolgung der Produktivität oder des individuellen Verhaltens) können als unverhältnismäßig angesehen werden.

Einschränkungen bei der Überwachung privater Kommunikation

In Lettland gelten strenge Beschränkungen für die Überwachung privater Kommunikation:

• Arbeitgebern ist es nicht gestattet, private E-Mails oder persönliche Kommunikation zu überwachen, es sei denn, es besteht ein klarer und gerechtfertigter geschäftlicher Bedarf (z. B. Betrugsprävention oder Gewährleistung arbeitsbezogener Sicherheit).
• Die Überwachung persönlicher Geräte ist streng geregelt und Arbeitgeber müssen sicherstellen, dass private Kommunikation nicht erfasst wird.

Starker Schutz der Arbeitnehmerrechte

Das lettische Arbeitsgesetz enthält spezifische Bestimmungen zum Schutz der Arbeitnehmerrechte im Zusammenhang mit der Überwachung, darunter:

• Das Recht der Mitarbeiter, auf die durch Überwachung über sie gesammelten Daten zuzugreifen.
• Mitarbeiter können die Berichtigung oder Löschung personenbezogener Daten verlangen, die falsch oder irrelevant sind.
• Die Mitarbeiter müssen darüber informiert werden, wie lange ihre Daten aufbewahrt werden und wer Zugriff darauf hat.