Jede dritte deutsche Firma nutzt Social Media für Unternehmenszwecke, hat IDC kürzlich festgestellt. Für die IT-Verantwortlichen wirft das eine Reihe von Fragen auf - und viele davon sind juristischer Natur. Die computerwoche hat die wichtigsten zusammengetragen - und sie von einem auf das Thema spezialisierten Anwalt beantworten lassen.
Eine Frage von Bernd Hilgenberg, Vorstand Technik und Entwicklung bei der SHD AG, Andernach: "In sozialen Netzwerken gibt es sogenannte Mixed Accounts, die sowohl der Firma als auch einem oder mehreren Mitarbeitern zugeordnet sind. Wem gehören die sozialen Kontakte, die auf diesem Weg hergestellt werden?"
Die Antwort von Carsten Ulbricht (Diem & Partner, Stuttgart): In den meisten Unternehmen werden die Accounts von den Mitarbeitern gepflegt, weil diese "eigene" Accounts angemeldet oder sie im Auftrag des Unternehmens eröffnet haben, ohne dass es eine klare Absprache gibt. Solange alles reibungslos läuft und der Mitarbeiter dem Unternehmen und der Position erhalten bleibt, stellt sich die Frage nach dem "Eigentum" an dem Account beziehungsweise den enthaltenen Kontakten und Informationen nicht. Erst wenn der Mitarbeiter das Unternehmen verlässt, können einige relevante Fragen auftreten.
Foto: Diem & Partner
In den USA und England haben solche Fragen bereits zu Auseinandersetzungen vor Gericht geführt. Hier tritt ein Problem zutage, für das eine spezifische Rechtsprechung in Deutschland bisher fehlt:
-
Wem "gehören" eigentlich die jeweiligen Social-Media-Kontakte?
-
Was passiert mit den Social-Media-Accounts, wenn Mitarbeiter das Unternehmen - vielleicht sogar zum unmittelbaren Wettbewerber - verlassen?
-
Wie sollen geschäftlich genutzte Accounts übergeben werde?
Das Eigentum an Social-Media-Konten hängt von den Umständen des Einzelfalls ab. Wichtige Fragen sind dabei:
-
Wer hat den Account angemeldet ?
-
Wie ist die Ausgestaltung (auch Nutzungsbedingungen) des Sozialen Netzwerks?
-
Wer zahlt etwaige Kosten des Accounts?
-
Wie lautet der Account-Name (ist zum Beispiel der Firmenname enthalten)?
-
Auf welche E-Mail-Anschrift wurde der Account angemeldet?
-
Wird der Account schwerpunktmäßig privat oder geschäftlich genutzt?
-
Welche Zweckbestimmung wurde diesem Account zugeordnet?
Betrachtet und bewertet man Gestaltung und Historie eines bestimmten Accounts, so wird man in vielen Fällen zu dem Schluss kommen, dass das Benutzerkonto der jeweils angemeldeten Privatperson "gehört" und der Arbeitgeber keinerlei Ansprüche auf Herausgabe des Accounts geltend machen kann. Damit scheidet auch ein etwaiger Schadensersatz von vornherein aus.
Stellt sich das Benutzerkonto auf Grundlage der oben genannten Indizien als geschäftlicher Account dar, so ist die Rechtslage allerdings eine andere. Ein typisches Beispiel ist das Konto bei Facebook, Twitter, Xing & Co., das als offizieller Unternehmenskanal im Auftrag des Arbeitgebers bedient werden soll - meist von einem der zahlreichen Social-Media-Manager.
In nicht ganz klaren Fällen sollte im Interesse des Unternehmens, aber auch zur Absicherung des jeweiligen Social-Media-Managers klar geregelt werden, ob und wie im Falle eines Ausscheidens der Account herausgegeben werden soll und ab wann eine (auch rechtliche) Verantwortlichkeit für die Kommunikation auf dem Kanal endet. Zu empfehlen sind in diesen Fällen Zusatzvereinbarungen zum Arbeitsvertrag.
Im "worst case" müssen die Unternehmen sonst auf Herausgabe "ihrer" Accounts beziehungsweise der Zugangsdaten klagen. Bis zu einer gerichtlichen Durchsetzung, die im Hinblick auf die fehlende Rechtsprechung lange dauern kann, liegt der Unternehmens-Account dann möglicherweise brach, was zum Verlust mühsam aufgebauter Follower oder Fans führen kann.
Wem die Xing-Kontakte gehören
Eng damit verbunden ist die Frage, wem eigentlich die Kontakte "gehören", die ein Mitarbeiter (beispielsweise ein Vertriebsleiter) über einen geschäftlich genutzten Xing-Account aufgebaut hat. Nach höchstrichterlicher Rechtsprechung ist der Arbeitnehmer als Beauftragter nach Paragraf 667 Alt. 2 BGB grundsätzlich verpflichtet, dem Arbeitgeber alles, was er aus der Geschäftsbesorgung erlangt hat, herauszugeben, so etwa das Bundesarbeitsgerichts-Urteil vom 11. April 2006 - 9 AZR 500/05 (LAG Hamm).
Ob dies auch bei einem Xing-Account angenommen werden kann, wird anhand der früher genannten Indizien bewertet werden müssen.Etwas komplexer könnte die Beurteilung werden, wenn es zusätzlich etwa Vereinbarungen zwischen Arbeitgeber und Arbeitnehmer über eine besondere Vertraulichkeit exisitieren oder es gar eine Wettbewerbsklausel gibt.
Es ist unbedingt zu empfehlen, klare Vereinbarungen über diese Punkte und über eine etwaige "Rückabwicklung" zu treffen, bevor beispielsweise im Rahmen einer Kündigung das Tischtuch zwischen den Parteien zerschnitten ist. Gerade im arbeitsrechtlichen Bereich gibt es einige offene Flanken, wie die weithin fehlenden oder unzureichenden Leitplanken zur Social-Media-Nutzung durch die Mitarbeiter zeigen.
Relevant wird dann auch die Frage, ob und wann der Arbeitgeber vom ausscheidenden Mitarbeiter die Herausgabe der kundenbezogenen Kommunikations- oder Kontaktdaten verlangen kann, die sich vielleicht in dessen Xing-Account befinden.
Unternehmenswerte sichern
Unternehmen sollten sich Gedanken darüber machen, welche Arten von Accounts bei ihnen auftreten und für welche eine Regelung förderlich ist beziehungsweise wo sie sich lohnt, um Unternehmenswerte zu sichern. Dabei sollten sie aber Zurückhaltung üben, um nicht zu weit in private Interessen einzugreifen.
-
Im Hinblick auf rein private Accounts sind nur Social-Media-Guidelines in Form von (kommunikativen) Handlungsempfehlungen sinnvoll.
-
Bei gemischten und Firmen-Accounts sollte abgewogen werden, welche Unternehmenswerte wie am besten gesichert werden können. Denkbar wäre es etwa, berufliche Xing-Kontakte und -Informationen ins Unternehmen zu "spiegeln".
-
Für reine Firmen-Accounts haben sich klare Regelung als essenziell erwiesen. Es muss festgeschrieben sein, wann der Mitarbeiter (zum Beispiel beim Verlassen des Unternehmens) was (etwa die Zugangsdaten) wie herauszugeben hat - und auch, was auf welche Weise kommuniziert werden darf und soll.
Wem gehören die Daten?
Frage von Bernhard Thomas (ehemaliger CTO der Continental AG, heute als selbständiger IT-Management-Berater tätig): Wem gehören die Daten, wenn die soziale Plattform von einem Dienstleister bezogen wird? Welche Rechte sollte sich das Kundenunternehmen sichern? Inwieweit darf es extrahieren, kopieren, löschen, weitergeben etc.? Und was darf der Dienstleister - andersherum - nicht mit den Daten tun (zum Beispiel weiterverkaufen)? Gibt es hierfür spezielle Datenschutzbestimmungen?
Ulbricht: Die Antwort auf diese Fragen hängt von der Art der Daten ab. Geht es um Texte, Bilder, Audio- oder Videoinhalte, greift in vielen Fällen das Urheberrecht. Soweit keine ausdrückliche Regelung zwischen Unternehmen und Dienstleister besteht, was am transparentesten und sichersten wäre, greift die "Zweckübertragungsregel". Sie besagt, dass Nutzungsrechte insoweit eingeräumt werden, wie der Zweck des jeweiligen Vertrags (sprich: der Zurverfügungstellung) reicht. Das allein verlangt aber schon nach einer Klärung anhand von Ansprachen, E-Mails etc. Und damit zeigt die Zweckübertragungsregel ihre Unwägbarkeiten.
Bei Unsicherheiten ist das Kundenunternehmen im Vorteil. Der Dienstleister müsste im Streitfall beweisen, dass er das, was er mit den Inhalten getan hat, zum Beispiel eine Weitergabe, auch wirklich tun durfte.
Alternativ (oder zusätzlich) greift bei personenbezogenen Daten auch das Datenschutzrecht. Personenbezogene Daten sind sämtliche Informationen, die einer natürlichen Person zugeordnet werden können. Nach dem Bundesdatenschutzgesetz (BDSG) dürfen sie nur gespeichert, genutzt oder weitergegeben werden, wenn das Gesetz es ausdrücklich erlaubt oder der Betroffene zugestimmt hat. Das Unternehmen hat sicherzustellen, dass die Weitergabe rechtlich zulässig ist beziehungsweise der Dienstleister ordnungsgemäß mit den Daten umgeht. Hier empfiehlt sich oft ein Vertrag über eine Auftragsdatenverarbeitung.
Juristische Mittel gegen einen Shitstorm
Frage von Bernhard Thomas: Wie kann sich ein Unternehmen mit juristischen Mitteln gegen Verunglimpfung auf sozialen Plattformen zur Wehr setzen?
Ulbricht: Viele Unternehmen fürchten Reputationsrisiken, wenn sie sich in den sozialen Medien engagieren. Aber Kunden und Mitarbeiter können sich jederzeit über das Unternehmen oder die Produkte im Internet austauschen - unabhängig davon, ob das Unternehmen selbst in Sozialen Medien aktiv ist oder nicht. Deshalb erscheint es für die Unternehmen deutlich sinnvoller, eine eigene Präsenz zu eröffnen. So haben sie im Fall einer Krise eine "Stimme" in diesen Medien und können rufschädigenden Äußerungen etwas entgegensetzen. Zudem gibt es einige Maßnahmen, die aus rechtlicher Sicht sinnvoll erscheinen.
1. Prävention
Erfahrungsgemäß ist es wichtig, spezifische "Spielregeln" für die eigene Präsenz einzuführen. Darin wird dargestellt, welche Inhalte beziehungsweise Themen erwünscht sind und welche nicht. Die Community-Manager, die die Präsenz betreuen, müssen geschult werden, Äußerungen im Social Web richtig zu bewerten: hinsichtlich der kommunikativen und rechtlichen Folgen.
Ein zentraler Baustein der Prävention ist auch die Einführung von Social-Media-Guidelines für die Mitarbeiter. Immer wieder führt die mangelnde Medienkompetenz der Mitarbeiter zu kommunikativen und rechtlichen Risiken.
2. Reaktion
Im Falle eines Shitstorms (oder einer "kommunikativen Krise") sind die rechtlich möglichen Maßnahmen stets gegen deren kommunikative Folgen abzuwägen. Falls die Äußerungen im Internet Rechtsverletzungen aufweisen, ist zu entscheiden, ob dagegen "mit Augenmaß" vorgegangen werden soll. Die geeigneten Maßnahmen hängen auch davon ab, ob die Verunglimpfungen auf eigenen oder fremden Plattformen stattfinden. Die kommunikative Begleitung und Erklärung der eigenen Maßnahmen entscheidet oft darüber, ob sich die Krise weiter ausbreitet oder sich eindämmen lässt.
3. Nachsorge
Oft verbleiben nach einer Krise negative Beiträge im Netz. Im Rahmen der Nachsorge können Unternehmen unter Umständen auch Ansprüche gegenüber Suchmaschinen wie Google geltend machen, um solche Einträge aus den Rankings zu entfernen oder zu verdrängen. Zunächst einmal haften die Betreiber von Social-Media-Präsenzen oder Suchmaschinen nicht für fremde Rechtsverletzungen. Anders sieht es aus, wenn sie von einem Rechtsverstoß Kenntnis genommen haben und nicht aktiv werden, zum Beispiel durch eine Löschung. Hier haften die Plattformbetreiber selbst. Dank dieser rechtlichen Konstruktion konnten schon häufig reputationsschädigende Einträge oder Bewertungen ohne weitere öffentliche Aufmerksamkeit entfernt werden.
Monitoring der Mitarbeiter
Frage von Bernhard Thomas: Inwiefern darf ein Unternehmen seine Mitarbeiter (Dialoge und Content) auf einer internen sozialen Plattform "monitoren"?
Ulbricht: Datenschutzrechtlich ist die Zulässigkeit von Internet-Recherchen nach Personen umstritten. Die daraus resultierenden Unsicherheiten für Arbeitgeber hat auch der Gesetzgeber erkannt und wollte mit der Neuregelung zum Beschäftigten-Datenschutz Klärung schaffen. Doch das Vorhaben wurde wieder von der Tagesordnung genommen und liegt vorerst auf Eis.
Nichtsdestoweniger ist zu fragen, was in datenschutzrechtlicher Hinsicht bei der Recherche über Bewerber und Beschäftigte im Internet zulässig ist. Denn bei einem Verstoß drohen neben aufsichtsrechtlichen Sanktionen auch Schadensersatzansprüche der Betroffenen und Schaden für die Unternehmensreputation. Im Hinblick auf die Compliance des Unternehemens empfiehlt unsere Kanzlei mittleren und größeren Betrieben, die Personalabteilung zu sensibilisieren und ihnen verständliche Richtlinien an die Hand zu geben, um rechtskonform nach Bewerbern und Mitarbeitern zu "suchen".
Informieren und sensibilisieren
Dass eine Internet-Recherche über Bewerber und Mitarbeiter nur eingeschränkt zulässig ist, ist vielen Mitarbeitern der Personalabteilungen überhaupt noch nicht bekannt. Paragraf 32 Absatz 1 BDSG erlaubt eine Datenverarbeitung, wenn sie für die Entscheidung über Begründung, Durchführung oder Beendigung eines Beschäftigungsverhältnisses erforderlich und insgesamt verhältnismäßig ist. Paragraf 28 Absatz 1 Nr. 3 BDSG hingegen ermächtigt die Unternehmen (unabhängig vom Bestehen eines Arbeitsverhältnisses) ausdrücklich dazu, "allgemein zugängliche" Daten zu erheben, falls nicht die "überwiegenden Interessen" des Betroffenen gegen diese Maßnahme sprechen.
Nur zulässige Medien nutzen
Wo im Internet recherchiert werden darf, richtet sich danach, was unter dem Begriff "allgemein zugängliche Daten" zu verstehen ist. Anerkanntermaßen sind hiervon auf jeden Fall solche Informationen erfasst, die über Suchmaschinen zugänglich sind.
Schwieriger gestaltet sich hingegen die Frage, ob eigentlich alle Daten in sozialen Netzwerken "allgemein zugänglich" sind. Wahr ist das sicher für Informationen, die auch ohne Anmeldung abrufbar sind.
Umstritten ist hingegen, ob darunter auch solche Daten fallen, die erst nach Anmeldung verfügbar sind. In dieser Frage wird zum Teil zwischen berufs- und freizeitorientierten Netzwerken unterschieden. Dass die Recherche in berufsorientierten Netzwerken wie Linkedin und Xing zulässig sein soll, leuchtet ein, hat hier der Arbeitnehmer die Informationen doch gerade für mögliche künftige Arbeitgeber bereitgestellt.
Was die Recherche in freizeitorientierten sozialen Netzwerken betrifft, besteht Einigkeit nur insoweit, als Daten, die gezielt für einen eingeschränkten Kreis von "Freunden" bereitgestellt wurden, nicht allgemein zugänglich sind. Sind sie aber innerhalb eines Netzwerks ohne Weiteres einsehbar, wird es sich kaum um einen geschützten Bereich handeln. Die Anmeldung ist ja problemlos für jeden möglich. Einige bestreiten das allerdings und betonen, dass sämtliche Daten in einem freizeitorientierten sozialen Netzwerk nur für private Zwecke zur Verfügung stünden. Da eine klarstellende Regelung durch den Gesetzgeber nicht absehbar ist, empfiehlt es sich, die Recherche über Bewerber und Beschäftigte auf das unproblematisch Zulässige zu beschränken.
Nutzungsbedingungen beachten
In den Allgemeinen Geschäftsbedingungen mancher sozialer Netzwerke findet sich ein Verbot, die gespeicherten Informationen für die Personaldatenerhebung durch Arbeitgeber zu verwerten (zum Beispiel in den AGB von StudiVZ). In diesem Fall ist auch eine gezielte Recherche über Bewerber und Mitarbeiter unzulässig.
Transparenz schaffen
Es empfiehlt sich, auf geplante Recherchen und die diesbezügliche Praxis im Unternehmen hinzuweisen (zum Beispiel in der Stellenausschreibung, der Eingangsbestätigung oder dem Bewerbungsgespräch). Über entsprechende Abläufe an geeigneter Stelle kann auch eine Einwilligung zur Recherche bei Xing, Facebook & Co. eingeholt werden. Diese Vorgehensweise erzeugt Transparenz und ermöglicht es, Missverständnisse und Fehlurteile zu verhindern.
Das Privatleben außen vor lassen
Der Arbeitgeber ist grundsätzlich nicht berechtigt, die privaten Aktivitäten seiner Arbeitnehmer im Internet zu überwachen. Er hat jedoch ein berechtigtes Interesse daran, sicherzustellen, dass weder unsachgemäße Kritik über den Arbeitgeber noch Firmengeheimnisse verbreitet werden.
Als zulässig wird deshalb die Suche nach Informationen über das eigene Unternehmen erachtet. Stößt der Arbeitgeber dabei auf Schmähkritik, Whistleblowing oder den Verrat von Geschäftsgeheimnissen durch einen Arbeitnehmer, darf er diese Informationen auch speichern und weiterverarbeiten. Denn sie sind für das Arbeitsverhältnis von Belang. Aber bei einer umfassenden und gezielten Recherche über das Privatleben eines Arbeitnehmers werden vielfach dessen private Interessen im Vordergrund stehen. Deshalb ist ein solches Vorgehen im Allgemeinen datenschutzwidrig.
Notwendige Rücksichten nehmen
Persönliche Daten, beispielsweise solche über das Intimleben, die finanzielle Situation, Religion oder Rasse dürfen grundsätzlich nicht erhoben werden. Schon gar nicht dürfen solche Informationen in die Entscheidung über die Begründung eines Arbeitsverhältnisses einfließen. Gerade was Äußerungen in sozialen Netzwerken betrifft, gilt es, Privatsphäre und Meinungsfreiheit zu berücksichtigen. Eine Erhebung ist hier wegen überwiegender Interessen der Arbeitnehmer unzulässig.
Keine unlauteren Abwerbungen
Neben dem Datenschutz- ist auch das Wettbewerbsrecht zu beachten. Das Abwerben fremder Mitarbeiter ist grundsätzlich auch im Internet zulässig. Allerdings kann der Versuch, einen Mitarbeiter abzuwerben, wettbewerbswidrig sein, wenn damit ein verwerflicher Zweck verfolgt beziehungsweise verwerfliche Mittel oder Methoden eingesetzt werden.
Frage von Bernhard Thomas: Welchen Anspruch hat ein Mitarbeiter eigentlich auf Anonymisierung seiner - internen - Social-Media-Beiträge?
Ulbricht: Jede Erhebung, Speicherung oder Verarbeitung von personenbezogenen Daten muss rechtskonform sein. Entweder der Mitarbeiter hat zugestimmt, oder die Datenverarbeitung kann über Paragraf 32 BDSG legitimiert werden. Erscheint tatsächlich eine anonymisierte Verarbeitung als ausreichend, wird der Mitarbeiter auch eine Anonymisierung verlangen können. In anderen Fällen hat er jedoch keinen Anspruch auf Anonymisierung.