Was Arbeitgeber bei der Firmenhandy-Überwachung dürfen

Arbeitgeber dürfen Firmenhandys verwalten und absichern, aber nicht die Menschen dahinter dauerhaft beobachten. Erlaubt sind Geräteinventar, Sicherheitsrichtlinien, Updates sowie Ortung und Fernlöschung bei Verlust. Dauerortung, Mitlesen privater Nachrichten und heimliche Spionage-Apps sind tabu. Am einfachsten hältst du die Grenze mit einem sauber eingerichteten MDM, etwa über einen Device-as-a-Service-Anbieter wie Everphone.

Die Frage taucht meist an zwei Stellen auf: wenn erstens die IT eine neue Mobile-Device-Management-Software einführt und der Betriebsrat nachfragt. Oder wenn zweitens ein Handy verschwindet und jemand wissen will, „wo es gerade ist“.

In beiden Fällen hilft dieselbe Unterscheidung: Kontrollierst du das Gerät oder die Person?

Unsere Haltung dazu ist klar. Firmenhandy-Setups müssen rechtlich sicher sein. Die dauernde Überwachung der Nutzer*innen ist dabei in keiner Weise empfehlenswert. Sie würde auch von den Angestellten keinesfalls akzeptiert. Dieser Artikel ist keine Rechtsberatung, zeigt dir aber, wo die Grenzen heute verlaufen.

Device-as-a-Service ist darauf ausgelegt, dass Firmengeräte tatsächlich auch genutzt werden – sonst könnte man sich die ganze Übung ja sparen. Und nicht nur das, Firmenhandys von Everphone sollen standardmäßig auch privat genutzt werden können. Das ist nachhaltiger und ein guter Benefit für das ausgebende Unternehmen. Beides funktioniert allerdings nur, wenn die Angestellten die Geräte auch akzeptieren und nicht in einer Schublade verstauben lassen.

Welche Rechtsgrundlage gilt für Firmenhandy-Überwachung?

Jede Kontrolle eines Firmenhandys verarbeitet personenbezogene Daten. Sie braucht deshalb eine Rechtsgrundlage nach der DSGVO, einen klaren Zweck und muss verhältnismäßig sein. Mehr Infos dazu findest du in unserem MDM-Whitepaper.

Bundesdatenschutzgesetz

Lange galt § 26 BDSG als zentrale Vorschrift. Seit dem Urteil des EuGH vom 30. März 2023 (C-34/21) ist das anders. Der EuGH hat entschieden, dass nationale Regeln zum Beschäftigtendatenschutz unangewendet bleiben, wenn sie nur die DSGVO wiederholen. Die hessische Datenschutzaufsicht bezieht das ausdrücklich auf die gleich gebaute Regel in § 26 Abs. 1 BDSG.

Erfüllung des Arbeitsvertrags und berechtigtes Interesse

In der Praxis stützen Arbeitgeber die Verarbeitung deshalb direkt auf Art. 6 DSGVO, vor allem auf die Erfüllung des Arbeitsvertrags oder ein berechtigtes Interesse.

Betriebsvereinbarungen

Die zweite tragfähige Grundlage ist eine Betriebsvereinbarung. Für dich heißt das: Jede Maßnahme muss für sich begründet sein. „Wir dürfen das, weil es unser Gerät ist“ reicht nicht.

Der Betriebsrat entscheidet mit, sobald Technik überwachen kann

Gibt es einen Betriebsrat, hat er bei der Einführung von MDM, Ortungs- oder Monitoring-Software ein Mitbestimmungsrecht. Grundlage ist § 87 Abs. 1 Nr. 6 BetrVG: technische Einrichtungen, die Verhalten oder Leistung überwachen können.

Das Bundesarbeitsgericht legt das weit aus. Es genügt, dass die Software objektiv zur Überwachung geeignet ist. Ob du sie dafür nutzen willst, spielt keine Rolle. Ein MDM mit Ortungsfunktion fällt also darunter, auch wenn die Funktion abgeschaltet bleibt.

Ein Beispiel: Ein Unternehmen mit 300 Angestellten rollt 250 iPhones mit neuem MDM aus. Der Betriebsrat erfährt davon über die Rundmail. Er kann verlangen, die Einführung zu stoppen, bis eine Vereinbarung steht. Plane die Betriebsvereinbarung deshalb vor dem Rollout ein, nicht danach.

Falls du dabei Hilfe benötigst: Everphone bietet Managed Services für MDM an, die bei Auswahl und Implementierung deiner MDM-Lösung helfen.

https://youtu.be/yWr9f7O2d8s?si=lGidj_dPhQJhZZOj

Was Arbeitgeber auf dem Firmenhandy kontrollieren dürfen – und was nicht

Die Grenze verläuft zwischen Geräteverwaltung und Verhaltenskontrolle. Die folgende Übersicht fasst den Stand zusammen, den Datenschutzbehörden und Gerichte vorgeben.

Zwei Punkte aus der Tabelle verdienen eine Erklärung, weil sie am häufigsten schiefgehen.

Ortung: im Verlustfall ja, als Dauerzustand nein

Die rheinland-pfälzische Datenschutzaufsicht formuliert es unmissverständlich: Ortungssysteme, mit denen Beschäftigte dauerhaft kontrolliert werden können, sind grundsätzlich unzulässig.

Eine Einwilligung rettet das nicht, weil sie im Arbeitsverhältnis bei flächendeckender Überwachung nicht freiwillig ist. Ortung während erlaubter Privatnutzung ist ebenfalls unzulässig.

Die Technik unterstützt diese Grenze. Ein betreutes iPhone lässt sich per MDM nur orten, wenn die IT es in den verwalteten Modus „Verloren“ versetzt. Das Gerät ist dann gesperrt. Beendet die IT den Modus, erfährt die Person, dass ihr Standort abgefragt wurde. Heimlich geht das nicht.

Mitlesen: Was privat ist, bleibt privat

Private Chats, Fotos und den Browserverlauf darf der Arbeitgeber nicht einsehen. Das gilt auch, wenn das Gerät dem Unternehmen gehört.

Wie streng die Gerichte das nehmen, zeigt das Keylogger-Urteil des Bundesarbeitsgerichts vom 27. Juli 2017 (2 AZR 681/16). Ein Arbeitgeber hatte ohne konkreten Verdacht alle Tastatureingaben mitgeschnitten. Die so gewonnenen Erkenntnisse durfte er im Kündigungsschutzprozess nicht verwenden.

Private Nutzung erlaubt? Dann wird es bei E-Mails knifflig

Erlaubst du die private Nutzung, stellt sich eine alte Streitfrage: Gilt für dich dann das Fernmeldegeheimnis wie für einen Telekommunikationsanbieter? Wenn ja, dürftest du auf private Kommunikation über Firmendienste praktisch gar nicht zugreifen.

Die Antwort ist umstritten. Die Datenschutzkonferenz hat 2016 noch angenommen, dass das Fernmeldegeheimnis gilt. Die Aufsicht in NRW sieht das seit ihrem Bericht 2024 anders. Auch dann brauchst du für jeden Zugriff aber eine Rechtsgrundlage nach der DSGVO.

Die pragmatische Lösung trennt technisch statt juristisch. Ein Android-Arbeitsprofil teilt das Gerät in zwei Bereiche. Die IT verwaltet den dienstlichen Bereich, private Apps, Daten und Nutzung sieht sie nicht.

Bei iPhones begrenzt Apple die MDM-Schnittstelle selbst: Nachrichten, E-Mails und Browserverlauf kann die IT darüber nicht einsehen. Regle die Privatnutzung zusätzlich schriftlich, zum Beispiel mit einer Nutzungsvereinbarung für Diensthandys.

Was bei heimlicher oder zu weitgehender Überwachung droht

Wer Firmenhandys heimlich oder ohne Rechtsgrundlage überwacht, riskiert mehr als schlechte Stimmung. Die Folgen treffen das Unternehmen auf drei Ebenen.

Erstens arbeitsrechtlich: Erkenntnisse aus unzulässiger Überwachung können im Prozess unverwertbar sein, wie im Keylogger-Fall. Die Kündigung, die darauf aufbauen sollte, scheitert dann.

Zweitens datenschutzrechtlich: Aufsichtsbehörden können Bußgelder nach Art. 83 DSGVO verhängen, Betroffene Schadensersatz nach Art. 82 DSGVO fordern.

Drittens betrieblich: Ohne Betriebsvereinbarung kann der Betriebsrat die Nutzung der Software untersagen lassen. Das trifft dann alle Geräte, nicht nur das eine, um das es eigentlich ging.

So setzt du Firmenhandy-Kontrolle rechtssicher auf

Die meisten Konflikte entstehen, weil Technik zuerst und Regeln danach kommen. Dreh die Reihenfolge um.

1. Zweck festlegen. Schreib auf, wofür du welche Daten brauchst, etwa Asset-Management, Sicherheit und Verlustfall. Alles, was zu keinem Zweck passt, schaltest du im MDM ab.
2. Privatnutzung entscheiden. Erlaubt oder verboten, aber nicht „geduldet“. Duldung erzeugt die unklarste Rechtslage.
3. Betriebsrat früh einbinden. Die Betriebsvereinbarung regelt Zweck, Datenumfang, Zugriffsrechte und Löschfristen.
4. Geräte technisch trennen. Bei Android mit Arbeitsprofil, bei iPhones mit klaren MDM-Richtlinien, damit der private Bereich gar nicht erst sichtbar wird.
5. Transparent informieren. Angestellte erfahren nach Art. 13 DSGVO, welche Daten das MDM erhebt und wer sie sieht.
6. Ortung und Fernlöschung als Prozess regeln. Wer darf sie auslösen, in welchem Fall, und wie wird das dokumentiert?

Bei Everphone gehört das MDM zur Miete dazu. Wir richten es so ein, dass Sicherheitsrichtlinien greifen und der private Bereich getrennt bleibt.

Wie du MDM und DSGVO darüber hinaus zusammenbringst, steht in unserem Beitrag zu MDM und DSGVO.

Für wen sich eine strenge Kontrolle lohnt – und für wen nicht

Die meisten Unternehmen brauchen keine Überwachung, sondern Geräteverwaltung. Inventar, Updates, Verschlüsselung und Fernlöschung decken fast jedes Sicherheitsbedürfnis ab. Keine dieser Maßnahmen beobachtet, was Angestellte tun.

Mehr ist nur in engen Fällen sinnvoll. Ein Beispiel ist ein Logistikbetrieb, der Fahrer*innen per Handy disponiert und dafür während der Schicht Standorte braucht. Auch dann gilt: nur in der Arbeitszeit, nur für die Disposition, mit Betriebsvereinbarung.

Wenn du dagegen Dauerortung oder App-Monitoring erwägst, weil du Leistung kontrollieren willst: Lass es. Das rechtliche Risiko ist hoch, der Nutzen gering. Und das Vertrauen der Angestellten verlierst du dabei gleich mit.

Häufige Fragen

Darf der Arbeitgeber ein Diensthandy orten?

Ja, aber nur anlassbezogen, etwa wenn das Gerät verloren oder gestohlen ist. Eine dauerhafte Ortung oder Bewegungsprofile sind grundsätzlich unzulässig, Ortung in der Freizeit ebenso. Die Angestellten müssen vorher informiert sein. Gibt es einen Betriebsrat, braucht es seine Zustimmung.

Darf der Arbeitgeber WhatsApp-Nachrichten auf dem Firmenhandy lesen?

Private Nachrichten nicht. Das gilt unabhängig davon, wem das Gerät gehört. Dienstliche Kommunikation darf der Arbeitgeber in engen Grenzen einsehen, etwa zur Vertretung oder Archivierung, wenn das vorher geregelt ist. Technisch hilft ein getrennter Arbeitsbereich, damit private Chats gar nicht erst im Zugriff liegen.

Reicht eine Einwilligung der Angestellten für die Überwachung?

Meist nicht. Im Arbeitsverhältnis ist eine Einwilligung nur wirksam, wenn sie freiwillig ist. Bei Überwachung, ohne die man den Job nicht machen kann, nehmen Datenschutzbehörden das in der Regel nicht an. Tragfähiger sind eine Betriebsvereinbarung oder eine Rechtsgrundlage aus Art. 6 DSGVO.

Muss der Betriebsrat einem MDM auf Firmenhandys zustimmen?

Ja. Ein MDM kann technisch Daten über Nutzung und Standort erheben und fällt damit unter § 87 Abs. 1 Nr. 6 BetrVG. Ob du diese Funktionen nutzen willst, ist dafür egal. Ohne Betriebsvereinbarung kann der Betriebsrat die Einführung stoppen lassen.

Was passiert, wenn ein Arbeitgeber heimlich überwacht?

Heimliche Überwachung ist fast immer unzulässig. Erkenntnisse daraus sind vor Gericht oft nicht verwertbar. Zusätzlich drohen Bußgelder der Datenschutzaufsicht und Schadensersatzforderungen der Betroffenen nach der DSGVO.