Kurzantwort. Eine IT-Nutzungsrichtlinie erklärt Beschäftigten, welche betrieblichen Systeme sie wie nutzen dürfen, ob Privatnutzung gestattet ist und wie Sicherheitsvorfälle gemeldet werden. Für Protokollierung und Zugriff braucht der Arbeitgeber zusätzlich eine konkrete Rechtsgrundlage, einen erforderlichen Zweck, Transparenz, technische Grenzen und gegebenenfalls die Mitbestimmung des Betriebsrats. Eine Richtlinie allein schafft keine allgemeine Erlaubnis zur Kontrolle von E-Mails oder Surfverhalten.
Die folgende Vorlage ist ein Ausgangspunkt für deutsche Betriebe. Vor ihrer Einführung müssen tatsächliche Systeme, Tarif- und Betriebsvereinbarungen, Arbeitsabläufe sowie die Informationen nach Art. 13 DSGVO ergänzt werden. Der allgemeine Leitfaden zu Beschäftigtendaten behandelt darüber hinaus Bewerbungen, Personalakten und andere HR-Vorgänge.
Vor der Vorlage: vier Entscheidungen treffen
Erstens: Welche Kommunikationskanäle gibt es? Eine Regel für Firmen-E-Mail hilft wenig, wenn Beschäftigte ebenso Messenger, Videokonferenzen, private Smartphones und Cloud-Speicher verwenden. Zweitens: Ist private Nutzung verboten, in engen Grenzen erlaubt oder in der Praxis geduldet? Beschreiben Sie die tatsächliche Handhabung, nicht bloß eine formale Verbotsklausel. Drittens: Welche Daten fallen technisch an, wer sieht sie, und wann werden sie gelöscht? Viertens: Besteht ein Betriebsrat und welche technischen Einrichtungen sind zur Verhaltens- oder Leistungskontrolle geeignet? Nach § 87 Abs. 1 Nr. 6 BetrVG ist die Einführung und Anwendung solcher Einrichtungen mitbestimmungspflichtig, soweit keine gesetzliche oder tarifliche Regelung besteht.
Diese Entscheidungen gehören in eine abgestimmte Dokumentation: Nutzungsrichtlinie für Verhalten, Datenschutzinformation für Verarbeitung, Sicherheitskonzept für technische Maßnahmen und gegebenenfalls Betriebsvereinbarung für mitbestimmte Kontrollen. Die Passwortrichtlinie kann konkrete Vorgaben zu Authentisierung und Wiederherstellung ergänzen. Wenn die Dokumente widersprüchliche Zwecke oder Löschzeiten nennen, entsteht im Vorfall gerade dort Unsicherheit, wo schnelle Entscheidungen nötig sind.
Muster: IT-Nutzungsrichtlinie für Beschäftigte
Der folgende Text ist bewusst als anpassbare Vorlage formuliert. Die eckigen Klammern müssen vor der Freigabe ausgefüllt oder gestrichen werden; die Varianten zur Privatnutzung dürfen nicht nebeneinander stehen bleiben.
IT-NUTZUNGSRICHTLINIE – [Unternehmen], Stand [Datum]
1. Geltungsbereich
Diese Richtlinie gilt für Beschäftigte und weitere berechtigte Personen
bei Nutzung von [E-Mail, Internetzugang, Endgeräten, Cloud, Messenger].
Sie ergänzt [Betriebsvereinbarung/Datenschutzinformation/Sicherheitsregel].
2. Dienstliche Nutzung und Freigaben
Für dienstliche Daten werden nur freigegebene Anwendungen und Speicherorte
verwendet. Neue Dienste, Erweiterungen und private Geräte bedürfen der
Freigabe durch [Rolle/Verfahren]. Zugangsdaten werden nicht geteilt.
3. Privatnutzung – genau eine Variante wählen
A: Private Nutzung von [konkrete Systeme] ist untersagt.
B: Private Nutzung von [konkrete Systeme] ist in [Grenzen] zulässig.
Private Nachrichten sind nach [vereinbartem Verfahren] zu kennzeichnen.
[Regel für private Webmail, Messenger und Gerätespeicher ergänzen.]
4. Schutz und Meldung
Geräte sind zu sperren; vorgegebene Mehrfaktor-Authentisierung und
Verschlüsselung sind zu verwenden. Verlust, Fehlversand oder verdächtige
Anmeldung ist unverzüglich an [Kontakt/Kanal] zu melden. Beschäftigte
löschen keine Beweise eines möglichen Vorfalls eigenmächtig.
5. Protokolle und Einsicht
[Systeme/Ereignisse] werden zu [konkreter Zweck] für [Zeitraum] erfasst.
Zugriff erhalten [Rollen] nach [Freigabeverfahren]. Eine personenbezogene
Auswertung erfolgt nur bei [dokumentierter Anlass und Rechtsprüfung].
Inhalte privater Kommunikation werden nicht routinemäßig gelesen.
6. Abwesenheit und Ausscheiden
Dienstliche Vorgänge werden über [Funktionspostfach/Vertretungsregel]
übergeben. Zugriff auf persönliche Postfächer erfolgt nur nach dem
separat geregelten, dokumentierten Ausnahmeverfahren.
7. Geltung und Ansprechpartner
Fragen beantwortet [Kontakt]. Verstöße werden nach den geltenden
arbeitsrechtlichen Regeln behandelt. Inkrafttreten: [Datum].
[Mitbestimmte Fassung/Betriebsvereinbarung: Kennzeichnung ergänzen.]
Der Musterblock beschreibt bewusst keine pauschale Erlaubnis für Postfachzugriffe. Auch „auf eigenes Risiko“ bei erlaubter Privatnutzung wäre kein Ersatz für gesetzliche Arbeitgeberpflichten. Die betroffene Person muss wissen, welche Systemereignisse für welche Zwecke verarbeitet werden; der Arbeitgeber muss die tatsächliche Praxis entsprechend konfigurieren.
Privatnutzung sauber abgrenzen
Ein Verbot privater Nutzung vereinfacht die Trennung der Inhalte, macht das dienstliche Postfach aber nicht zu einem frei durchsuchbaren Archiv. Beschäftigte können auch dort besonders persönliche Nachrichten erhalten, etwa von einer Ärztin oder Gewerkschaft. Jeder Zugriff braucht weiterhin einen legitimen Zweck, Erforderlichkeit und eine abgestufte Vorgehensweise. Ein erlaubter oder geduldeter Privatgebrauch macht die Trennung noch dringlicher. Die rechtliche Einordnung als Telekommunikationsdienst und die Reichweite des Telekommunikationsgeheimnisses sind seit den Gesetzesänderungen nicht mit einer einzigen Formel für jeden Betrieb zu beantworten. Arbeiten Sie deshalb mit begrenzten technischen Zugängen und prüfen Sie die konkrete Konstellation, statt aus „erlaubt“ oder „verboten“ eine umfassende Kontrollbefugnis abzuleiten.
Praktisch hilft ein Funktionspostfach für Kundenaufträge, ein Vertretungsprozess für laufende Fälle und die klare Anweisung, private Kommunikation nur in dafür geeigneten Kanälen zu führen. Wenn private Nutzung gestattet ist, legen Sie Grenzen zu Speichervolumen, verbotenen Inhalten, Support und Trennung bei Ausscheiden fest. Eine langjährige Duldung lässt sich nicht dadurch aufheben, dass eine neue Richtlinie ohne Kommunikation ins Intranet gestellt wird. Informieren Sie Beschäftigte, ändern Sie Einstellungen und beachten Sie arbeitsrechtliche Beteiligungsrechte.
Protokollierung: vom Sicherheitszweck zur Löschregel
Sicherheitsprotokolle können nötig sein, um unbefugte Zugriffe, Schadsoftware oder technische Fehler zu erkennen. Legen Sie vor der Aktivierung fest, welche Ereignisse erforderlich sind: etwa erfolgreiche und fehlgeschlagene Anmeldungen, Administratoraktionen und sicherheitsrelevante Änderungen. Vollständige Surfverläufe oder dauerhafte Auswertungen einzelner Personen sind deutlich eingriffsintensiver. Prüfen Sie Rechtsgrundlage, Interessenabwägung und mildere Mittel für jeden Zweck; § 26 BDSG und Art. 6 DSGVO sind im konkreten Beschäftigungskontext auszulegen. Die deutsche Norm zu Beschäftigtendaten ersetzt die Erforderlichkeitsprüfung nicht.
Beispiel: Nach mehreren fehlgeschlagenen Anmeldungen auf einem Administratorkonto kann IT-Sicherheit zunächst technische Daten und Kontostatus prüfen. Erst wenn der Vorfall es erfordert, wird eine personenbezogene Zuordnung nach dokumentierter Freigabe vorgenommen. Die Richtlinie sollte festlegen, wer diese Freigabe erteilt, wer die Auswertung durchführt und wie Ergebnis und Zugriff dokumentiert werden. Eine tägliche Liste aller Beschäftigten nach Internetnutzungszeit wäre ein anderer Zweck und braucht eine eigene rechtliche Prüfung; sie ergibt sich nicht aus dem Sicherheitszweck.
Speicherfristen dürfen nicht als pauschale Zahl in eine Vorlage kopiert werden. Bestimmen Sie je Protokollart, wie lange Sicherheitsanalyse und Nachweis konkret erforderlich sind. Stellen Sie automatische Löschung oder Aggregation ein, beschränken Sie Administratorrechte und kontrollieren Sie, ob Backups die Löschung faktisch verzögern. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen; der TOM-Leitfaden liefert dafür einen eigenen Prüfrahmen.
Betriebsrat und Datenschutzinformation
Besteht ein Betriebsrat, prüfen Sie frühzeitig die Mitbestimmung für Systeme, die objektiv zur Kontrolle von Verhalten oder Leistung geeignet sind. Dazu können E-Mail-Logs, Endpoint-Werkzeuge, Kollaborationsplattformen und Zeiterfassung gehören. Die Frage richtet sich nicht nur nach einer erklärten Überwachungsabsicht. Eine Betriebsvereinbarung zur Überwachungssoftware kann Zwecke, Zugriff, Auswertungsanlässe, Aufbewahrung und Kontrollverfahren präzisieren. Sie ist aber kein Freibrief für unverhältnismäßige Verarbeitung.
Die Information nach Art. 13 sollte den Beschäftigten Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer oder Kriterien, Rechte und gegebenenfalls Übermittlungen erklären. Verweisen Sie in der Richtlinie auf die aktuellen Datenschutzhinweise, aber schreiben Sie die wesentlichen Nutzungsregeln auch verständlich in die Richtlinie selbst. Prüfen Sie bei eingeführter Software, ob Dienstleister als Auftragsverarbeiter tätig sind und ob der Vertrag die konkreten Log- und Inhaltsdaten abdeckt. Wenn ein System Daten außerhalb des EWR zugänglich macht, ist zusätzlich das Übermittlungsregime zu prüfen; ein Serverstandort allein beantwortet die Frage nicht.
Zugriffe bei Abwesenheit und Ausscheiden
Planen Sie Urlaub und Krankheit ohne spontane Postfachöffnung: Kundenvorgänge sollten über Funktionsadressen, CRM und klare Vertretung laufen. Wenn eine konkrete wichtige Nachricht trotzdem nur im persönlichen Postfach liegt, dokumentieren Sie Anlass und mildere Alternativen. Beschränken Sie den Zugriff auf die voraussichtlich dienstlich relevanten Inhalte, nutzen Sie gegebenenfalls ein Vier-Augen-Verfahren und protokollieren Sie Suchbegriffe, Zeitpunkt und Ergebnis. Erkennbar private Nachrichten bleiben ausgenommen. Für ausgeschiedene Personen sind Zugangssperre, Abwesenheitshinweis, Übergabe dienstlicher Vorgänge und Löschung nach einem begründeten Zeitraum getrennte Schritte. Der Spezialbeitrag zum Mitarbeiterpostfach vertieft diese Entscheidung.
Ein Beispiel zeigt den Unterschied: Für eine laufende Ausschreibung muss ein Angebot am selben Tag beantwortet werden. Zuerst prüfen Sie die gemeinsame Ablage und fragen die Vertretung. Reicht das nicht, kann ein begrenzter Zugriff auf einschlägige dienstliche Korrespondenz in Betracht kommen. Das Durchsuchen aller Nachrichten des vergangenen Jahres „zur Sicherheit“ würde den Anlass überschreiten. Besteht ein Betriebsrat, beachten Sie die vereinbarte Prozedur. Halten Sie die Entscheidung so fest, dass sie später ohne Rekonstruktion aus Erinnerungen erklärbar ist.
Mobile Geräte, Cloud und Homeoffice
Eine Richtlinie sollte den tatsächlichen Gerätepark erfassen. Bei Firmengeräten legen Sie fest, wer Updates installiert, wie Sperre und Verschlüsselung geprüft werden und was bei Verlust passiert. Private Geräte sind nur dann geeignet, wenn Freigabe, getrennte Arbeitsumgebung, Support, Löschung dienstlicher Daten und Grenzen des Arbeitgeberzugriffs geregelt sind. Ein pauschales Recht, das gesamte private Smartphone zu löschen oder auszulesen, wäre besonders problematisch. Für Messenger und Cloud gilt: Freigaben sollten konkrete Datenarten und Empfänger betreffen; Mitarbeitende brauchen eine einfache Alternative, damit Schatten-IT nicht zur bequemen Lösung wird. Die Beispiele zu Slack und Notion zeigen, warum allgemeine Nutzungsregeln durch Einstellungen des tatsächlich verwendeten Dienstes ergänzt werden müssen.
Im Homeoffice kommen Bildschirmblick, Ausdrucke, gemeinsam genutzte Geräte und unsichere Netze hinzu. Formulieren Sie umsetzbare Vorgaben statt abstrakter „höchster Sicherheit“. Das kann bedeuten: automatische Gerätesperre, keine Papierakten ohne Bedarf, sichere Rückgabe oder Vernichtung und Meldung bei Verlust. Der Homeoffice-Datenschutzleitfaden behandelt die räumlichen und organisatorischen Besonderheiten ausführlicher. Die IT-Richtlinie sollte nur die Regeln wiederholen, die Beschäftigte im täglichen Umgang tatsächlich benötigen.
Sicherheitsvorfall: Meldung ohne Schuldzuweisung
Beschäftigte sollen einen Fehlversand, Phishing-Klick oder Geräteverlust sofort über einen bekannten Kanal melden können. Die Erstmeldung braucht kein fertiges juristisches Gutachten: betroffener Dienst, Zeitpunkt, mögliche Daten, bereits getroffene Sicherung und erreichbare Kontaktperson reichen zunächst. Die interne Stelle bewertet dann, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt. Jede solche Verletzung ist nach Art. 33 Abs. 5 zu dokumentieren. An die Aufsicht muss der Verantwortliche melden, wenn ein Risiko für Rechte und Freiheiten nicht unwahrscheinlich ist, grundsätzlich ohne unangemessene Verzögerung und möglichst binnen 72 Stunden nach Bekanntwerden. Die Benachrichtigung betroffener Personen nach Art. 34 setzt dagegen voraussichtlich hohes Risiko voraus und kennt Ausnahmen. Näheres bieten die Meldeschwellen des Art. 33 und die Anleitung zur Datenpannenmeldung.
Ein Vorfall kann auch mehrere Betriebe oder externe Dienste betreffen. Für die spätere Dokumentation kann das Muster zur Datenpannenmeldung verwendet und auf den konkreten Fall angepasst werden. Hinterlegen Sie daher neben dem IT-Kontakt die Ansprechpartner für Datenschutz, Personal, Geschäftsführung und Dienstleister. Üben Sie einen Fehlversand mit Testdaten durch: Erreicht eine Nachricht den Bereitschaftskanal? Wer schätzt das Risiko ein? Kann das System betroffene Dateien identifizieren? Die Richtlinie ist erst praktisch, wenn der Meldeweg unter Zeitdruck funktioniert.
Einführung und Überprüfung
Lassen Sie IT, Datenschutz, Personalbereich und gegebenenfalls Betriebsrat dieselbe Fassung prüfen. Stimmen Sie Begriffe mit bestehenden Sicherheits- und Personalregeln ab. Veröffentlichen Sie die Richtlinie an einem auffindbaren Ort und erklären Sie neuen Mitarbeitenden die zwei oder drei wichtigsten Entscheidungen anhand echter Situationen. Ein einmaliger Klick auf „gelesen“ beweist noch keine gelebte Regel. Prüfen Sie bei neuen Cloud-Diensten, geänderten Log-Einstellungen oder neuer Privatnutzung, ob Text, Information und technische Konfiguration noch zusammenpassen.
Die Vorlage ist ein Hilfsmittel für die betriebliche Entscheidung, keine allgemeingültige Rechtsgrundlage. Ihr Nutzen liegt gerade darin, Verantwortliche zu konkreten Festlegungen zu zwingen: erlaubte Nutzung, erfasste Daten, Zugriffsschwelle, Mitbestimmung, Meldung und Löschung. Diese Punkte lassen sich später anhand der Konfiguration und einzelner dokumentierter Fälle kontrollieren.
Zwei Situationen vor der Freigabe durchspielen
Der Anhang im falschen Chat. Eine Mitarbeiterin lädt eine Kundendatei in einen nicht freigegebenen Messenger. Die Richtlinie sollte ihr sagen, wo sie den Vorgang sofort meldet und welche Angaben hilfreich sind. Sie sollte nicht verlangen, dass sie den Fall selbst als „meldepflichtig“ qualifiziert. Die zuständige Stelle prüft zunächst, ob personenbezogene Daten betroffen sind, wer Zugriff hatte, ob die Nachricht zurückgeholt wurde und welche Risiken entstehen. Danach werden die getrennten Entscheidungen zu Aufsicht und betroffenen Personen dokumentiert. Ist der Messenger privat, braucht der Arbeitgeber einen Weg, die dienstliche Datei zu sichern, ohne pauschal Zugriff auf das ganze private Konto zu beanspruchen. Ein einseitiger Fernlöschbefehl wäre hier keine gute Standardregel.
Das ausgefallene Postfach. Ein Vertriebsmitarbeiter ist unerwartet länger abwesend; ein Kunde wartet auf eine Antwort. Die erste Maßnahme sollte die Prüfung von CRM, Funktionsadresse und vereinbarter Vertretung sein. Ist nur die persönliche Mailbox betroffen, definiert ein Ausnahmeprozess den konkreten Geschäftsvorgang, die Freigabe, die suchende Person und die Dokumentation. Erkennbar private Nachrichten werden nicht geöffnet oder weitergeleitet. Das Verfahren muss vorab mit der technischen Berechtigung zusammenpassen: Ein Administrator, der jederzeit das gesamte Postfach exportieren kann, erfüllt die Richtlinie nicht schon deshalb, weil er verspricht, es selten zu tun. Der Leitfaden zum Zugriff nach Ausscheiden zeigt die Folgefragen für längere Abwesenheit und Austritt.
Beide Übungen prüfen mehr als den Text. Können Beschäftigte die richtige Meldestelle finden? Gibt es eine Vertretung außerhalb der Bürozeiten? Wer darf nach einer Freigabe handeln? Welche Logdaten belegen den Ablauf, und wann werden sie gelöscht? Halten Sie offene Punkte als Arbeitsauftrag fest und veröffentlichen Sie die Richtlinie erst, wenn die wichtigsten technischen Widersprüche gelöst sind.
Was in eine ergänzende Betriebsvereinbarung gehört
Eine Betriebsvereinbarung kann bei mitbestimmten technischen Einrichtungen die Zweckbindung praktisch machen. Benennen Sie die konkreten Systeme und Datenarten, die zulässigen Auswertungsanlässe, den Kreis der Berechtigten und den Ablauf der Freigabe. Regeln Sie, ob Auswertungen zunächst aggregiert erfolgen, wann eine Person zugeordnet werden darf und wie die betroffene Person informiert wird. Beschreiben Sie Löschzeiten, Zugriff auf Sicherungskopien, Kontrollen der Administratoren und das Vorgehen bei Systemänderungen. Die Vereinbarung sollte Beschäftigten verständlich zugänglich sein und sich nicht nur auf einen unbestimmten „Sicherheitsbedarf“ berufen.
Eine solche Vereinbarung kann nach Art. 88 DSGVO und § 26 Abs. 4 BDSG eine Grundlage für Beschäftigtendatenverarbeitung bilden, wenn die jeweiligen Anforderungen erfüllt sind. Sie hebt die Grundsätze der DSGVO nicht auf. Prüfen Sie deshalb bei einer neuen Protokollfunktion, ob sie noch innerhalb des vereinbarten Zwecks liegt. Ein Sicherheitslog, das nachträglich für Leistungsranglisten verwendet werden soll, ist eine Zweckänderung und kein bloßer technischer Parameter. Für den Betriebsrat ist gerade diese spätere Nutzung oft entscheidend.
Pflege der Richtlinie im Alltag
Geben Sie dem Dokument eine verantwortliche Person, eine Version und einen konkreten Überprüfungsauslöser. Neue Kollaborationssoftware, geänderte Privatnutzung, ein Vorfall oder eine neue Betriebsvereinbarung können eine Aktualisierung nötig machen. Vergleichen Sie bei jeder Änderung drei Dinge: Was behauptet die Richtlinie? Welche Daten verarbeitet das System tatsächlich? Was steht in Datenschutzinformation und Verzeichnis? Wenn etwa die Richtlinie 30 Tage Log-Aufbewahrung nennt, das System aber 180 Tage speichert, müssen Konfiguration oder Text korrigiert werden. Ein stilles „wird schon passen“ ist keine wirksame Regel.
Eine Datenschutzschulung für Mitarbeitende kann Meldewege und Beispiele einüben. Fragen aus Schulungen sind ein weiterer Qualitätstest. Wenn Beschäftigte nicht wissen, ob sie einen privaten Cloud-Link für einen großen Anhang nutzen dürfen, braucht die Richtlinie eine klarere Alternative. Wenn die IT nicht weiß, ob ein gemeldeter Fehlversand den DSB erreichen muss, fehlt ein Eskalationsweg. Sammeln Sie solche Rückmeldungen ohne individuelle Nutzungsprofile anzulegen. Die beste Vorlage ist diejenige, die Menschen unter normalen Arbeitsbedingungen anwenden können und die das Unternehmen technisch und rechtlich tatsächlich umsetzt.
Häufige Fragen
Darf der Arbeitgeber bei untersagter Privatnutzung jede E-Mail lesen?
Nein. Auch im rein dienstlich vorgesehenen Postfach sind Zweck, Erforderlichkeit, Transparenz und gegebenenfalls Mitbestimmung zu beachten. Wählen Sie zuerst Funktionspostfach und Vertretung; für eine Ausnahme dokumentieren Sie Anlass und begrenzen den Inhaltzugriff.
Ist eine Einwilligung der Beschäftigten für alle Kontrollen nötig?
Nein. Eine Einwilligung ist im Abhängigkeitsverhältnis oft besonders sorgfältig auf Freiwilligkeit zu prüfen. Maßgeblich sind der konkrete Zweck und eine tragfähige Rechtsgrundlage, gegebenenfalls ergänzt durch eine Betriebsvereinbarung. Eine unterschriebene Nutzungsrichtlinie ersetzt diese Prüfung nicht.
Muss die Richtlinie eine feste Log-Frist nennen?
Sie sollte für jede tatsächliche Protokollart eine begründete Dauer oder ein klares Kriterium nennen. Ein einheitlicher Wert für Sicherheitslogs, Postfächer und Backups ist selten sachgerecht. Technische Löschung und Ausnahmen bei konkreten Vorfällen müssen dazu passen.