E-Mail-Account: Zugriff durch Arbeitgeber rechtssicher regeln

Rechtsgrundlagen und Grundprinzipien 

Im Zentrum stehen zwei Normenkomplexe: 

• Arbeitsrecht (insbesondere Art. 328 OR: Schutz der Persönlichkeit des Arbeitnehmers): Der Arbeitgeber ist verpflichtet, die Persönlichkeit seiner Mitarbeitenden zu achten und zu schützen. Dazu gehören insbesondere der respektvolle Umgang mit ihrer Privatsphäre sowie der Schutz vor unangemessenen Überwachungs- oder Kontrollmassnahmen.
• Datenschutzrecht: E-Mails, die an eine persönliche geschäftliche Adresse des Arbeitnehmers gesendet werden, lassen sich eindeutig einer bestimmten Person zuordnen und gelten daher als Personendaten im Sinne von Art. 5 lit. a DSG. Es können aber auch personenbezogene Daten an anonyme Geschäftsadressen geschickt werden. Damit ist jeder Zugriff des Arbeitgebers eine Datenbearbeitung, die einer klar bestimmten Zweckbindung und einer Rechtsgrundlage bedarf. 

Beide Normbereiche verfolgen denselben Grundsatz: Der Arbeitgeber darf – etwa durch den Zugriff auf ein dienstliches E-Mail-Konto – nur insoweit in die Persönlichkeitssphäre der Mitarbeitenden eingreifen, wie dies durch überwiegende betriebliche Interessen gerechtfertigt, verhältnismässig und für die Sicherstellung des Betriebsablaufs notwendig ist. Die Verhältnismässigkeit ist gewahrt, wenn der Eingriff zur Erreichung des verfolgten Ziels geeignet, erforderlich und zumutbar ist. Ein überwiegendes betriebliches Interesse kann insbesondere bei längeren Abwesenheiten ohne wirksame Stellvertretung, bei sicherheitsrelevanten Vorfällen (z.B. Verdacht auf kompromittierte Accounts) oder im Rahmen arbeitsrechtlicher Abklärungen aufgrund konkreter Hinweise auf Pflichtverletzungen bestehen. 

Der Arbeitgeber muss zudem transparent über Zweck, Umfang und Modalitäten allfälliger Kontrollen informieren. 

Zulässigkeit des Zugriffs auf den E-Mail-Account 

Bei der Prüfung, wie weit ein Zugriff auf den E-Mail-Account erlaubt ist, muss unterschieden werden, ob die private Nutzung verboten oder erlaubt ist. 

a. Private Nutzung verboten 

Ein Verbot privater Nutzung ist nur wirksam, wenn es klar und nachweisbar kommuniziert wurde (z.B. durch IT-/E-Mail-Reglement, Personalhandbuch, Schulungen). Die Information hat neben dem Verbot selbst auch dessen Zweck, die zulässigen Kontrollen sowie das Vorgehen bei Abwesenheiten zu erläutern. Weiter sind auch die Konsequenzen bei Verstössen festzulegen. 

Trotz Nutzungsverbots bleibt der Persönlichkeitsschutz von Mitarbeitern gemäss Art. 328 OR anwendbar. Eine dauerhafte oder verdachtslose Überwachung ist klar unzulässig. Auch bei ausschliesslich geschäftlicher Nutzung ist der Zugriff auf E-Mail-Inhalte ein schwerer Eingriff und nur bei legitimen Gründen, fehlenden milderen Mitteln wie Team-Mailbox oder automatischer Abwesenheitsnotiz und unter Wahrung der Verhältnismässigkeit erlaubt.