Zugriffsprotokolle in der internen Untersuchung: Zweckwechsel, Beschäftigtendaten und Beweisgrenzen

Zugriffsprotokolle können in einer internen Untersuchung klären, wann ein Konto auf ein System oder einen Datensatz zugegriffen hat. Die Auswertung erhält dadurch aber keine pauschale Erlaubnis zur Kontrolle von Beschäftigten. Sobald ein bisher für Sicherheit oder Betrieb erhobenes Log für einen neuen Untersuchungszweck verwendet wird, müssen Zweck, Rechtsgrundlage, Zugriffskreis und Beweisumfang erneut geprüft werden.

Dieser Beitrag zeigt, wie Unternehmen eine konkrete Auswertung vorbereiten, privilegierte Zugriffe begrenzen und die Grenzen technischer Protokolle einhalten. Im Mittelpunkt stehen Art. 5, Art. 6, Art. 12 bis 15, Art. 24, Art. 25 und Art. 32 DSGVO sowie § 1 DSG. Allgemeine Leistungsüberwachung, Videoüberwachung und Daten aus einem Hinweisgeberkanal sind eigenständige Themen.

Art. 5 Abs. 1 lit. b DSGVO verlangt festgelegte, eindeutige und legitime Zwecke. Ein Log, das zur Systemsicherheit, Fehleranalyse oder Abrechnung entsteht, darf daher nicht ohne Prüfung für jede spätere Personaluntersuchung verwendet werden. Die geplante Auswertung braucht einen konkreten Anlass, ein sachliches Zeitfenster und eine nachvollziehbare Beschreibung der Frage.

Der ursprüngliche Zweck und der Untersuchungszweck sind getrennt zu dokumentieren. Prüfen Sie, ob die weitere Verwendung mit dem ursprünglichen Zweck vereinbar ist oder ob eine eigenständige Rechtsgrundlage nach Art. 6 DSGVO erforderlich ist. Die technische Verfügbarkeit des Logs beantwortet diese Rechtsfrage nicht.

Eine allgemeine Suche nach „auffälligen“ Beschäftigten ist fachlich und datenschutzrechtlich etwas anderes als die Prüfung eines bestimmten Sicherheitsereignisses. Der bestehende Beitrag zu Rollen und Zugriffskontrollen bei Beschäftigtendaten behandelt die laufende Berechtigungsordnung. Hier geht es um die nachgelagerte Auswertung eines konkreten Protokolls.

Zugriffslogs können Angaben zu Benutzerkonto, Arbeitsplatz, Zeitpunkt, Zielsystem, Datensatz und Handlung enthalten. In der Verbindung mit einer Zuordnung zum Beschäftigten sind sie personenbezogene Daten. § 1 DSG schützt das Recht auf Geheimhaltung personenbezogener Daten, soweit ein schutzwürdiges Interesse besteht. Eine betriebliche Logdatei verliert diese Schutzdimension nicht durch ihre technische Entstehung.

Art. 88 DSGVO erlaubt spezifischere Vorschriften für Datenverarbeitung im Beschäftigungskontext. Daraus folgt keine pauschale Freistellung jeder Kontrolle. Zusätzlich zu DSGVO und DSG sind der konkrete Arbeitsablauf, interne Regelungen, allfällige Mitwirkungsrechte und die Stellung der betroffenen Person zu prüfen.

Ordnen Sie deshalb nicht vorschnell eine arbeitsrechtliche Pflichtverletzung zu. Die datenschutzrechtliche Zulässigkeit der Auswertung und die arbeitsrechtliche Bewertung des Verhaltens sind miteinander verbunden, aber unterschiedliche Prüfschritte. Die Schwerpunktseite zum Beschäftigtendatenschutz gibt den Rahmen für diese Einordnung.

Art. 5 Abs. 1 lit. f DSGVO verlangt eine angemessene Sicherheit einschließlich Schutz vor unbefugter Verarbeitung. Art. 25 und Art. 32 DSGVO konkretisieren die Anforderungen an Gestaltung und Sicherheitsniveau. Für eine Untersuchung genügt daher kein gemeinsamer Ordner, auf den sämtliche Führungskräfte oder Administratoren zugreifen können.

Bestimmen Sie das Untersuchungsteam, die fachlich erforderliche Rolle der Personalstelle, die technische Unterstützung und allfällige externe Sachverständige. Legen Sie fest, welche Logfelder jede Rolle sehen darf. Ein Systemadministrator kann die technische Sicherung übernehmen, ohne automatisch den vollständigen Inhalt der Untersuchung zu benötigen.

Privilegierte Zugriffe müssen selbst kontrolliert werden. Protokollieren Sie Abrufe, Exporte, Änderungen und Weitergaben der Untersuchungsakte. Die Dokumentation technischer und organisatorischer Maßnahmen hilft beim Nachweis, ersetzt aber keine konkrete Rollen- und Zugriffsmatrix für den Einzelfall.

Ein Zugriffsprotokoll kann technische Ereignisse wie Konto, Zeitpunkt, Anwendung und Zielobjekt ausweisen. Es zeigt damit zunächst, dass ein Vorgang unter einem bestimmten Konto registriert wurde. Ob die betroffene Person selbst gehandelt hat, welchen Zweck sie verfolgte und ob eine Pflicht verletzt wurde, ergibt sich daraus nicht automatisch.

Sichern Sie die Quelle, den Exportweg, den Zeitraum und die verwendete Zeitzone. Halten Sie fest, ob Einträge fehlen können, ob technische Konten verwendet werden und welche Änderungen an der Logquelle möglich sind. Eine Untersuchung wird belastbarer, wenn Logdaten mit Berechtigungen, Dienstplänen, Ticketverläufen oder anderen zulässigen Belegen abgeglichen werden.

Datenminimierung begrenzt auch die Beweissicherung. Exportieren Sie nur die Felder und Zeiträume, die für die konkrete Frage gebraucht werden. Ein größerer Datenbestand schafft zusätzliche Risiken und macht die spätere Erklärung des Untersuchungszwecks schwieriger.

Art. 12 bis 15 DSGVO regeln verständliche Information und das Auskunftsrecht. Unternehmen sollten daher vorab klären, welche Informationen Beschäftigte über die Logverarbeitung erhalten haben und wie eine konkrete Auswertung in den bestehenden Datenschutzhinweisen abgebildet ist. Eine fehlende oder zu allgemeine Information kann die rechtliche Bewertung der späteren Untersuchung beeinflussen.

Bei einer laufenden Untersuchung können Fragen zur zeitlichen Reihenfolge von Information, Auskunft und Beweissicherung entstehen. Ob und in welchem Umfang eine Einschränkung zulässig ist, hängt von der konkreten gesetzlichen Grundlage und den Umständen ab. Eine pauschale Zusage völliger Geheimhaltung ist ebenso wenig belastbar wie die pauschale Verweigerung jeder Auskunft.

Dokumentieren Sie die Entscheidung: Welche Information wurde erteilt, welche Anfrage liegt vor, welche Daten sind betroffen und wer prüft die Antwort? Der Beitrag zum Auskunftsbegehren nach Art. 15 DSGVO erläutert den allgemeinen Auskunftsprozess. Die Untersuchungsakte braucht zusätzlich eine konkrete Interessen- und Datenabgrenzung.

Art. 5 Abs. 1 lit. e DSGVO verlangt eine Begrenzung der Speicherung. Für Rohlogs, einen Untersuchungsbericht, Beilagen und eine allfällige arbeitsrechtliche Dokumentation können unterschiedliche Zwecke und Aufbewahrungsfragen bestehen. Eine fixe Frist für alle Untersuchungen lässt sich daraus nicht ableiten.

Legen Sie vor der Auswertung fest, wann die Untersuchung endet, welche Ergebnisse benötigt werden und welche Unterlagen danach noch erforderlich sind. Prüfen Sie auch temporäre Exporte, lokale Dateien, E-Mails, Tickets, Sicherungskopien und Kopien bei Dienstleistern. Art. 17 DSGVO ist zu berücksichtigen, wenn der Zweck entfällt oder ein Löschbegehren die weitere Speicherung betrifft.

Der Abschlussvermerk soll Anlass, geprüfte Quelle, Umfang, Ergebnis, offene Fragen, Löschentscheidung und verantwortliche Person nennen. Bewahren Sie nur den Nachweis auf, der für Rechenschaft, Rechtsverteidigung oder eine andere tragfähige Pflicht erforderlich ist. Die Seite zu Datenschutz-Governance und Compliance unterstützt die laufende Verantwortlichkeitsordnung.

Der Zweck wird nachträglich ausgetauscht: Ein für Sicherheit gespeichertes Log wird ohne neue Prüfung zur allgemeinen Kontrolle von Beschäftigten verwendet.

Die Suche bleibt grenzenlos: Statt eines konkreten Ereignisses werden sämtliche Konten, Zeiträume und Datenfelder ausgewertet.

Das Konto wird mit der Person gleichgesetzt: Technische Konten, geteilte Zugänge, Stellvertretungen und Administrationsrechte bleiben ungeprüft.

Die Untersuchung erhält einen zu großen Zugriffskreis: Führungskräfte, IT und Personal sehen mehr Rohdaten, als ihre Aufgabe erfordert.

Technische Einträge werden als vollständiger Beweis behandelt: Motiv, Identität und Pflichtverletzung werden ohne weitere Belege behauptet.

Der Abschluss wird vergessen: Exporte und Kopien bleiben nach dem Ende der Untersuchung in Ordnern, Postfächern oder Tickets liegen.

Beginnen Sie mit dem Untersuchungsauftrag. Beschreiben Sie Ereignis, Systeme, Zeitraum, betroffene Daten und die konkrete Frage. Halten Sie daneben den ursprünglichen Zweck der Logerhebung fest. Erst dann lässt sich beurteilen, ob eine weitere Verwendung tragfähig ist.

Erstellen Sie eine Rollenmatrix für Untersuchung, Personalstelle, IT-Administration und externe Unterstützung. Begrenzen Sie Logfelder und Exporte. Sichern Sie die Quelle nachvollziehbar und notieren Sie technische Besonderheiten wie gemeinsame Konten, Zeitzonen, fehlende Einträge oder nachträgliche Änderungen.

Vor dem Abschluss klären Sie Information, Auskunft, Speichergrund und Löschung. Trennen Sie Rohdaten, Auswertung und Ergebnisbericht. So bleibt sichtbar, welche Tatsache das Log belegt, welche Schlussfolgerung daraus gezogen wird und an welcher Stelle eine zusätzliche rechtliche oder arbeitsrechtliche Prüfung erforderlich ist.

Wir prüfen Anlass, ursprünglichen und neuen Zweck, Rechtsgrundlage, Logumfang, Rollen, Beweissicherung, Information, Aufbewahrung und Löschung. Für die erste Einschätzung helfen der Untersuchungsauftrag, die Logbeschreibung, Berechtigungsmatrix, geplante Auswertung, vorhandene Datenschutzinformation und der Abschlussplan. So lässt sich die technische Spur auswerten, ohne aus einem einzelnen Logeintrag eine unbelegte Gesamtbewertung abzuleiten.