Frage, PC Arbeitsplatz nach Kündigung von Mitarbeiter durchsucht

[Domi83]

Moin Leute... Ich habe da mal wieder eine rechtliche Frage an Euch.
Ich als Admin bei uns im Haus bin immer der Erste der an die Decke springt, wenn einer etwas macht was ich für nicht richtig erachte. Auch wenn die Chefs da immer sagen das ich übertreibe.

Dazu gehört, dass Chef Nr. 1 seinen PC frei lässt, wenn er in den Urlaub fährt. Falls doch mal eine wichtige Email auf seinem System aufschlägt. Obwohl eine Abwesenheitsnotiz eingetragen ist, die besagt das man sich sonst an die Service Adresse wenden soll etc.

Nun gut, weiter in der Thematik. Wir hatten ein paar Monaten einen Praktikanten im Haus. Das Ziel sollte eine Ausbildung sein, aber es gab diverse Probleme und somit ist dieser fristlos gekündigt worden. Gestern als ich dann ins Büro kam, meinen Rechner anschaltete, habe ich von der Email Adresse des Praktikanten eine Mail erhalten. Ich wunderte mich und ging zu dem Arbeitsplatz und sah das einer der Kollegen dort dran gegangen ist.

Fand ich in erster Linie nicht witzig und habe erst einmal nichts gesagt, bevor ich wieder überflüssigerweise explodiere wegen so etwas. Aber wie ist denn bitte die Sachlage in solchen Fällen, darf nach einer Kündigung eines Mitarbeiters, Praktikanten, Azubis etc. das System einfach durchsucht werden?

Ich hatte vom Praktikanten noch den Hinweis bekommen das in den eigenen Dateien eine Excel Liste mit den Kennwörter ist und ich mir diese dann rüber ziehen solle. Aber das war es auch schon.

Was ich mich in dieser Situation Frage ist folgendes, Chefs haben mir völlige Freiheit bei meinem Arbeitsplatz gegeben etc., aber niemand kann einen Kollegen daran hindern später mal meinen PC zu durchsuchen. Einer der anderen Kollegen hat auch Admin Rechte im Netz, für den Fall das mir mal etwas passiert, aber es hindert ihn ja nicht daran an meinen PC zu gehen.

Gruß, Domi

 

[Benzer]

Aber wie ist denn bitte die Sachlage in solchen Fällen, darf nach einer Kündigung eines Mitarbeiters, Praktikanten, Azubis etc. das System einfach durchsucht werden?

Ja... der PC und die Daten / Emails sind Firmeneigentum.
Um Normalfall wird der MA beim Eintritt in das Unternehmen darüber informiert und unterschreibt das, sowie eine Verschwiegenheits- / Datenschutzerklärung.

 

[Phear]

Interessant finde ich die Situation gerade nur, weil ich mich frage ob es keinen Passwortschutz an den Arbeitsplätzen gibt? Kann jeder Mitarbeiter einfach an ein Rechner gehen und mit dem Account von jemand anderem agieren? Und wenn es einen gibt sollte ja nicht jeder das Passwort wissen.

Grundsätzlich behaupte ich aber einfach mal, dass nur die Leute die Daten auf dem Rechner anschauen dürfen, die dazu berechtigt werden (sollten ja nur Firmendaten drauf liegen). Was Privates sollte dort sowieso nicht liegen. Bei mir in der Firma sage ich das als Admin auch oft genug.

 

[deathscythemk2]

Offensichtlich gibt es einen eklatanten Mangel an Richlinien bei euch
Du bist der Hauptadmin wenn ich das richtig verstanden habe? Wieviele Menschen arbeiten denn bei euch und haben die lokale Adminrechte?

Und um auf deine Frage zurück zu kommen: Es gibt sowas wie Datenschutz und Persönlichkeitsrechte, der Betrieb darf nicht einfach so den Computer oder die Mails eines Mitarbeiter durchsuchen. Außerdem muss es soweit ich weiß auch Zeugen dafür geben und bei größeren Betrieben muss imho auch der PR beteiligt werden.

€dit
Und einen Passwortschutz muss es eigentlich geben, wenn du das als Admin weißt, dass es den nicht gibt, könntest du imho auch Teilschuld bei möglichem Missbrauchen haben, weil du nichts getan hast. Am besten den Chef darauf per Mail hinweisen und das Dingen ausdrucken und zuhause in einen Ordner packen..

 

[Benzer]

Es gibt sowas wie Datenschutz und Persönlichkeitsrechte, der Betrieb darf nicht einfach so den Computer oder die Mails eines Mitarbeiter durchsuchen. Außerdem muss es soweit ich weiß auch Zeugen dafür geben und bei größeren Betrieben muss imho auch der PR beteiligt werden.

Es geht hier um ausgeschiedene Mitarbeiter... bei aktiven muss die MAV / BR mit einbezogen werden und sollten anwesend sein. Zusätzlich sollte man sich dabei die schriftliche Genehmigung durch die GF geben lassen.

 

[Zensai]

@Benzer:
Das gilt aber auch nur dann, wenn der Betrieb die Private Nutzung nicht auch explizit ERLAUBT. In dem Fall musst du das dann aber auch Unterschrieben und kannst dann idR eine Perosn angeben (aus der Firma) die dann (z.B. nach deinem Ausscheiden) an den Rechner darf. Gibst du keine an, ist das automatisch der Datenschutzbeauftragte.

Das muss dann halt aber auch so kommuniziert und schriftlich dokumentiert werden.

 

[Benzer]

Ja natürlich - davon bin ich jetzt einfach mal ausgegangen... weil man das idR macht um Probleme dieser Art nicht zu haben.

 

[Domi83]

Hallöchen... Schon mal danke für die Anteilnahme an dem Thema.
Zu unserem Unternehmen... wir haben drei Teilzeit Mitarbeiter, zwei Chefs, vier Vollzeit Mitarbeiter und einen Azubi bei uns in der Firma. Was die Kennwörter angeht, ich vergebe in erster Linie ein Kennwort und habe aktiviert, dass das Kennwort bei erst Anmeldung geändert werden muss, mehr nicht. Und was die Regelung von Privaten Daten etc. angeht, gibt es bei uns auch keine.

Was die Zugriffsrechte angeht, bin ich Netzwerk-Admin und komme mit meinem Account an alle Systeme dran. Die Teilzeit Mitarbeiter sind normale Benutzer, der Azubi ebenso, die Chefs sind lokale Admins (was ich bei einem der Chefs auch für kontraproduktiv halte, da er gerne mal etwas installiert, dann geht nichts und mir dann sagt das er es nicht war!) und die anderen Vollzeit Mitarbeiter sind auch lokale Admins weil die Chefs das so gewollt hatten. Einer der Vollzeit Mitarbeiter ist auch Chef sein Sohn, der sollte auch volle Zugriffsrechte haben und ist somit Netzwerk-Admin wie ich.

Ich vermute aber mal, dass der Kollege von mir das Kennwort kannte, sonst käme er nicht an den PC (den Account) dran. Aber folgendes ist schon mal gut zu wissen...

Ja... der PC und die Daten / Emails sind Firmeneigentum.
Um Normalfall wird der MA beim Eintritt in das Unternehmen darüber informiert und unterschreibt das, sowie eine Verschwiegenheits- / Datenschutzerklärung.

Ich kann dazu sagen, dass das alles nicht existiert. Habe es schon 100 mal angesprochen, den Chefs gegenüber das wir mal einen Vertrag zwecks Verschwiegenheit und Datenschutz machen sollten, kam aber bis heute nicht zustande.

 

[deathscythemk2]

@Domi83
Wie ich bereits sagte, hast du als richtiger Admin eine gewissen Verantwortung was die Systeme angeht und gewisse Pflichten bzw. Haftung. Ich würde mit dem Chef sprechen und ihm erklären, dass du diese Haftung hast und du somit gerne diese Vereinbarungen einführen würdest. Wenn er dagegen ist, dann soll er dir das schriftlich geben und das Dingen bewahrst du zuhause auf, bis irgendwann die Systeme nicht mehr laufen und wenn er fragt, warum du nichts dagegen getan hast, zeigst ihm das Dingen wo steht, dass es nicht gewünscht sei.

 

[Domi83]

Jetzt muss ich einmal kurz nach harken... Das Schreiben, was ich mir unterschreiben lassen sollte von den Chefs bezieht sich darauf das die User und auch die Chefs auf den eigenen Systemen (Lokal) Admin sind, richtig?

Also eine Absicherung mit der ich am Ende sagen kann "wenn Dein System nicht funktioniert, bin ich nicht schuld, weil Du da der Admin bist!", korrekt?

Gruß, Domi

 

[deathscythemk2]

Wie genau das Schreiben auszusehen hat, kann ich dir leider nicht sagen, da ich leider kein Anwalt bin und es bei uns anders ist, liegt aber daran, dass wir ein großer „Laden“ sind, da muss sowas geregelt sein.

Ich denke wenn ich in deiner Position wäre, würde ich erst mal recherchieren und würde mich dann evtl. mit einem Anwalt beraten wie so ein Schreiben auszusehen hat. Was auf jeden Fall darein gehört ist imho, dass die aktuelle Berechtigungsstruktur eine Gefahr für die Datensicherheit und Systeme ist (fachfremde User haben lokale Admin rechte und einer sogar Sys-Admin Rechte) und dass das auf Wunsch des Geschäftsführers so beibehalten werden soll und du als Administrator bei dieser Struktur keine Garantie dafür übernehmen kannst, dass nicht irgendwelche Schäden entstehen.

Vorher würde ich auf jeden Fall das Gespräch mit dem Chef suchen, also nicht nur zwischen Tür und Angel, sondern richtig. Und ihm die Situation erläutern und die Probleme die daraus resultieren (könnten). Erst wenn er ganz blockiert würde ich das obere Schreiben erstellen. Wenn er weigern würde es zu unterschreiben, würde ich es per Einschreiben an ihn schicken und fertig.

 

[Domi83]

Klingt Logisch / Verständlich. Ich werde das mal ansprechen

Wie sagt man doch so schön, "ich erkenne meine Schweinchen am Gang" und vermutlich wird er mir dann erzählen oder damit argumentieren dass der eine Kollege ja IT Erfahrung hat, als Rechtfertigung und der nächste Step ist der das er mir sagen wird "ich Chef, mein PC, ich muss Adminrechte haben" und da kann ich jetzt schlecht sagen "in Firma XY ist das auch so" obwohl ich es gar nicht so genau weiß

 

[deathscythemk2]

Ja das ist halt das Problem von den Administratoren, gerade in kleinen Betrieben. Da ist der Admin und die Technik nur ein Übel und eigentlich eh immer viel zu teuer. Und das was der Admin macht, kann auch jeder zuhause auch machen!
Bei Unternehmern zieht eigentlich nur das Geld-Argument. Wenn sich einer der Kollegen (vllt. sogar der Sohnemann mit den Adminrechten) irgendein Trojaner o.ä. reinholt und das System mal ne Woche liegen muss, dann wird auch sicher diese Firma merken, wie sehr sie von diesen Dingern (Computer) abhängig ist.. Oder viel schlimmer, es kommen Kunden und Geschäftsdaten weg oder es wird sonst irgendein Murks über eure Systeme gemacht , z.B. irgendwer meint illegale Dateien (KiPo, oder ähnliches) bei euch lagern zu müssen und dann kommt die Polizei zu euch... und wie gesagt, du bist offensichtlich der einzige mit einer Fachausbildung (davon gehe ich jetzt einfach mal aus) und entsprechender Erfahrung und in größeren Betrieben ist es normal, dass nur der Admin alle Rechte hat und die User „nur“ Benutzerrechte und beschränkte Möglichkeiten, ja selbst die Chefs.

 

[Twostone]

Wie genau das Schreiben auszusehen hat, kann ich dir leider nicht sagen, da ich leider kein Anwalt bin und es bei uns anders ist, liegt aber daran, dass wir ein großer „Laden“ sind, da muss sowas geregelt sein.

Auch in kleinen "Läden" muß so etwas geregelt sein, sobald persönliche bzw. personenbezogene Daten erfasst werden. Größere Unternehmen haben lediglich meist eine dedizierte Abteilung, die sich mit den Anforderungen des BDSG auseinandersetzt, bei kleinen Unternehmen wird sowas entweder mangels Kenntnis vernachlässigt oder aber in der Person des Geschäftsführers (der in jedem Falle für etwaige Verstöße gegen das BetrVerfG sowie das BDSG haftbar ist) vereinigt.
Solange die private Nutzung der Rechner nicht ausdrücklich (schriftlich, mit Kenntnisnahme) untersagt wird, darf ein einem Mitarbeiter fest zugeteilter Rechner nicht von jedem (und vor allem nie im Alleingang) durchsucht werden. Selbst wenn dieser Mitarbeiter nicht mehr dem Unternehmen zugehörig ist, ist das Unternehmen immer noch dem BDSG verpflichtet, und das bedeutet, daß auch persönliche oder personenbezogene Daten ausgeschiedener Mitarbeiter zu schützen sind.

Ein Gespräch mit dem Datenschutzbeauftragten könnte da alleine schon Klärung bringen. Wenn es den bei euch nicht gibt, habt ihr ein größeres Problem als Fehltritte des Praktikanten.

Selbst (oder gerade dann), wenn eine Straftat vermutet wird, ist es äußerst bedenklich, daß jemand im Alleingang einen Rechner durchwühlt. Wenn vorhanden, muß dazu der Betriebsrat gehört werden, im mindesten aber muß der Datenschutzbeauftragte den Vorgang prüfen und sein Einverständnis geben. Denn dieser hat, genau wie der Betriebsrat, die Aufgabe, sicherzustellen, daß das Unternehmen im rechtlichen Rahmen handelt.

Insbesondere dann, wenn es sich um email-accounts handelt, die eindeutig mit Namenskennung (also etwa John.Doe@meinefirma.de) versehen sind, sollte man das nicht anfassen. Der Account muß gesperrt werden, Zugriffe darauf sind im allgemeinen nur mit richterlichem Beschluß und durch Strafverfolgungsbehörden zulässig. Das Versenden von emails unter falschem Namen kann vielfältig ausgelegt werden, wenn es sich um geschäftliche Tätigkeiten handelt. Aber auch Rufschädigung als Straftatbestand kann verfolgt werden. In der Regel sollten Mail-Postfächer sowie Zugangsdaten des ausgeschiedenen Mitarbeiters deaktiviert werden, wenn nicht gar seine Daten unwiederbringlich gelöscht werden. Sollten Verdachtsmomente bestehen, so können die Daten archiviert werden, dürfen aber nicht zugänglich sein. Auch dürfen sie nicht bis in alle Ewigkeit aufbewahrt werden, sondern nur für die Zeit des Strafverfahrens oder der anhänglichen Gerichtsverfahren, bzw. bis der angenommene Straftatbestand verjährt.

Als Admin solltest Du Dir über die Implementierung der Anforderungen des BDSG machen, die Richtlinien dazu wird Dein Datenschutzbeauftragter für Dich ausarbeiten, oder gemeinsam mit Dir. Du selbst wirst nicht dafür ausgebildet sein. Wenn Du allerdings Disziplinarverantwortung übernommen hast, solltest Du Dich eingehender auch damit beschäftigen, denn dann zählt Unkenntnis als Pflichtverfehlung.
Wichtig ist noch, daß das Schreiben auch dem vorhandenen Betriebsrat zur Zustimmung vorgelegt werden muß. Erst dann erhält es vorerst Gültigkeit.


Ein kompliziertes und heikles Thema, zu dem man mehrere Seiten füllen könnte. Ich hoffe, ich konnte es einigermaßen verständlich umreißen, auch wenn ich vieles weggelassen oder stark vereinfacht habe, auch aus Gründen der Verständlichkeit, denn Gesetze sind weder eindeutig, noch explizit, Grauzonen und Schlupflöcher können sich stets dem kundigen Auge unerwartet erschließen. Nähere Informationen können auch von der IHK, dem Gewerbeaufsichtsamt, dem BSI und evtl. auch von den Berufsgenossenschaften eingeholt werden, wenn ihr keinen fähigen Datenschutzbeauftragten habt.

In keinem Falle sollte der Admin selber die Daten/Mailordner eines (ehemaligen) Mitarbeiters durchsuchen, egal, wie sehr der Chef darauf beharrt. Das ist in fast allen Fällen strafbar.