Auch Mobiltelefone sind betroffen

Die neue Ausprägung des allgemeinen Persönlichkeitsrechts soll vor Eingriffen in informationstechnische Systeme schützen und Lücken schließen, die im bisherigen Grundrechtsschutz durch das Fernmeldegeheimnis, den Schutz der Wohnung et cetera bestehen. Das Gericht war der Auffassung, dass die Persönlichkeitsentfaltung heutzutage zwingend auch die Nutzung informationstechnischer Systeme bedingt. Das allgemeine Persönlichkeitsrecht soll diesem Schutzbedarf dadurch Rechnung tragen, dass es auch die Integrität und Vertraulichkeit informationstechnischer Systeme gewährleistet. Das Grundrecht auf Gewährleistung der Integrität und Vertraulichkeit von IT-Systemen ist dabei anzuwenden auf Systeme, die personenbezogene Daten der Betroffenen in einem Umfang und in einer Vielfalt enthalten, dass ein Einblick in wesentliche Teile der Lebensgestaltung einer Person gewonnen oder gar ein aussagekräftiges Bild der Persönlichkeit vermittelt werden kann. Eine solche Möglichkeit besteht etwa beim Zugriff auf PCs und Notebooks, wobei das nicht nur bei einer Nutzung für private Zwecke, sondern auch bei einer geschäftlichen Nutzung gelten soll. Der spezifische Grundrechtsschutz erstreckt sich nach dem Urteil zum Beispiel auch auf Mobiltelefone und elektronische Terminkalender, die über einen großen Funktionsumfang verfügen und personenbezogene Daten vielfältiger Art erfassen und speichern können. Auch externe Speichermedien (wie etwa USB-Sticks, externe Festplatten, DVDs et cetera) können erfasst sein. Das »neue Grundrecht« schützt insbesondere vor einem heimlichen Zugriff, durch den die auf dem System vorhandenen Daten ganz oder zu wesentlichen Teilen ausgespäht werden können. Es wird also das Interesse des Nutzers geschützt, dass die erzeugten, gespeicherten und verarbeiteten Daten vertraulich bleiben (Vertraulichkeitsschutz). Der Integritätsschutz zielt darauf ab, dass die Leistungen, Funktionen und Speicherinhalte nicht durch unbefugte Dritte genutzt werden können. Der Grundrechtsschutz umfasst dabei sämtliche auf dem System abgelegten Daten. Der Grundrechtsschutz besteht ferner unabhängig davon, ob der Zugriff leicht oder nur mit erheblichem Aufwand möglich ist. Eine grundrechtlich anzuerkennende Vertraulichkeits- und Integritätserwartung besteht nach der Entscheidung des BVerfG allerdings nur, soweit der Betroffene das informationstechnische System »als eigenes nutzt«. Das ist der Fall, wenn er davon ausgehen darf, dass er allein oder zusammen mit anderen zur Nutzung berechtigten Personen über das informationstechnische System selbstbestimmt verfügt. Auf die eigentumsrechtliche Zuordnung des Systems kommt es dabei nicht an. Eine Nutzung »als Eigenes« kann deshalb auch bei einer Computernutzung durch Mitarbeiter in Unternehmen gegeben sein, insbesondere wenn auch eine Privatnutzung der Unternehmens-IT zugelassen ist. Dies ist nicht selten der Fall bei E-Mail-Anwendungen: Viele Unternehmen gestatten ihren Mitarbeitern ausdrücklich eine private Nutzung ihres E-Mail-Accounts oder dulden eine solche jedenfalls in der Praxis. Teilweise ist Mitarbeitern auch eine Abspeicherung privater Dateien auf dem ihnen zur Nutzung überlassenen Firmen-Notebook gestattet. Die Verfassungsgerichtsentscheidung ist als Leitentscheidung für künftige gesetzgeberische Aktivitäten und auch die Verwaltungspraxis von Bedeutung. Insbesondere der Gesetzgeber könnte gehalten sein, neue Gesetze zum Schutz der Grundrechtsträger vor entsprechenden Übergriffen anderer zu erlassen. Interessant ist darüber hinaus, ob und welche Auswirkungen das Grundrecht auf den privatrechtlichen Bereich haben wird. Wie alle Grundrechte entfaltet es grundsätzlich eine sogenannte mittelbare Drittwirkung, wonach bestehende Rechtsvorschriften künftig gegebenenfalls so auszulegen sind, dass aus ihnen auch Schutzpflichten in Bezug auf Online-Ausforschungen durch Private erwachsen. Dies gilt vor allem auch im Rahmen von Arbeitsverhältnissen. Entsprechende Zugriffe auf Datenbestände, die einem konkreten Mitarbeiter zugeordnet sind, erfolgen hier regelmäßig in verschiedenen Zusammenhängen; zum Beispiel im Rahmen der regelmäßigen Überwachung und Kontrolle der E-Mail-Nutzung; aus Anlass einer »Internal Investigation« wegen des Verdachts auf strafbare Handlungen oder Verstoßes gegen Unternehmensrichtlinien. Im Falle der Online-Durchsuchung hat das BVerfG einen heimlichen Datenzugriff nur unter sehr engen Voraussetzungen zugelassen, nämlich bei tatsächlichen Anhaltspunkten einer konkreten Gefahr für ein überragend wichtiges Rechtsgut. Derzeit ist nicht klar, ob diese Anforderungen auch für eine Kontrolle und Auswertung entsprechender Mitarbeiter-Datenbestände gelten. Bei strenger Lesart kann durchaus gefolgert werden, dass eine Kenntnisnahme und Auswertung von Mitarbeiterdaten auch bei vorheriger Information nicht mehr ohne weiteres zulässig ist, insbesondere wenn hiervon auch private Daten der Mitarbeiter betroffen sind. Es empfiehlt sich deshalb mehr denn je, im Unternehmen klare Regelungen zur Privatnutzung der IT-Systeme aufzustellen, den Zugriff auf solche Informationen explizit zu regeln und gegebenenfalls organisatorisch eine ausreichende Trennung betrieblicher und privater Daten umzusetzen. Im Übrigen ist mit Spannung zu erwarten, wie die Instanzgerichte das neue Grundrecht adaptieren und mit welchen konkreten Folgen sie es im Zusammenhang mit der Bereitstellung, Überwachung und Kontrolle von IT-Systemen, die Unternehmen ihren Mitarbeitern zur Verfügung stellen, anwenden.

Dr. Flemming Moos ist Rechtsanwalt und Fachanwalt für IT-Recht bei DLA Piper UK LLP in Hamburg