Inhalt dieses Beitrags
Die entscheidende Weiche stellt nicht der Schaden, sondern die Nutzungsregel. Ob ein Beschäftigter für Malware im Firmennetz, gelöschte Daten oder ein zerstörtes System haftet, hängt vor allem davon ab, ob er das Gerät erlaubt oder verboten privat genutzt hat. Das führt zu einem Ergebnis, das viele Arbeitgeber überrascht. Der Beitrag ersetzt keine Prüfung des Einzelfalls.
Was gilt bei dienstlicher und bei erlaubter privater Nutzung?
In beiden Fällen greift die eingeschränkte Arbeitnehmerhaftung. Verursacht jemand im Rahmen seiner dienstlichen Tätigkeit einen Schaden an der betrieblichen IT, ist die Haftung je nach Verschuldensgrad mehr oder weniger stark begrenzt. Für die erlaubte Privatnutzung gilt nichts anderes, denn durch die Erlaubnis wird auch die eigenwirtschaftliche Tätigkeit betrieblich zugerechnet. Wer die private Nutzung in Kenntnis der Umstände gestattet, kann die Haftung anschließend nicht mit dem Argument ausweiten, es habe sich um eine private Handlung gehandelt.
Die Privilegierung hat allerdings Grenzen. Wer im Rahmen einer grundsätzlich gestatteten Privatnutzung unkalkulierbare Risiken eingeht, verlässt den geschützten Bereich.
Was ändert ein Verbot?
Bei verbotener Privatnutzung entfällt die Privilegierung vollständig. Der Schaden gehört dann nicht mehr zum Betriebsrisiko des Arbeitgebers, und der Beschäftigte haftet nach den allgemeinen Regeln in vollem Umfang. Typische Fälle aus der Praxis:
- Einsatz privater, virenverseuchter Datenträger entgegen den betrieblichen Sicherheitsvorschriften
- Öffnen infizierter Anhänge privater E-Mails
- Einschleppen von Schadsoftware über den Besuch von Spieleportalen, auch wenn das ungewollt geschieht
Warum eine großzügige Erlaubnis teuer werden kann
Hier liegt der Punkt, den Arbeitgeber selten auf dem Schirm haben. Wer die private Nutzung betrieblicher Kommunikationsmittel weit gestattet, beschränkt damit erheblich seine eigenen Möglichkeiten, Beschäftigte später auf Schadensersatz in Anspruch zu nehmen. Die Erlaubnis kauft Zufriedenheit im Betrieb und kostet Haftungsmasse im Schadensfall. Umso wichtiger ist es, die Beschäftigten in ein betriebliches Sicherheitskonzept einzubeziehen und dieses sorgfältig zu dokumentieren, damit im Ernstfall überhaupt etwas nachweisbar ist. Wie sich eine solche Regelung aufsetzen lässt, behandeln wir unter digitale Arbeitswelt.
Wann trifft den Arbeitgeber ein Mitverschulden?
Häufiger, als ihm lieb ist. Wer trotz allgemein bekannter Gefahren durch Schadsoftware und Angriffe auf gängige Sicherheitssoftware wie Virenschutz, Firewall und Mailfilter verzichtet, muss sich ein Mitverschulden nach § 254 BGB entgegenhalten lassen. Besonders hoch fällt der Anteil aus, wenn zentrale Organisationsobliegenheiten versäumt wurden, etwa wenn im Betrieb überhaupt keine konkreten Weisungen zum sachgemäßen Umgang mit den IT-Systemen existieren. Solche Versäumnisse können sich zudem auf die Wirksamkeit arbeitsrechtlicher Maßnahmen gegen die betroffenen Beschäftigten auswirken.
Ein zweites praktisches Problem ist der Nachweis. Wird ein Rechner von mehreren Personen genutzt oder sind Zugangskennungen im Betrieb bekannt, lässt sich das Verschulden einer bestimmten Person oft nicht führen. Dieselbe Schwierigkeit stellt sich bei der Verdachtskündigung in IT-Sachverhalten.
Ist verschwendete Arbeitszeit ein ersatzfähiger Schaden?
Denkbar, aber praktisch kaum durchsetzbar. Ein Landesarbeitsgericht hatte über die Aufrechnung eines Arbeitgebers mit Schadensersatz für Arbeitszeit zu entscheiden, die auf unerlaubte Privattelefonate und private Internetnutzung entfiel, im entschiedenen Fall etwa zehn Minuten täglich über eineinhalb Jahre. Das Gericht hielt einen solchen Anspruch grundsätzlich für möglich, verneinte ihn aber, weil weder die Pflichtverletzung durch Nichterbringung der Arbeitsleistung noch ein Schaden nachgewiesen war. Wer diesen Weg gehen will, muss darlegen, welche Arbeit zu welchem Zeitpunkt konkret liegen geblieben ist. Das gelingt selten.
Häufige Fragen zur Haftung bei IT-Schäden
Haftet ein Arbeitnehmer für einen Virus im Firmennetz?
Es kommt darauf an, ob die Nutzung erlaubt war. Bei dienstlicher und bei gestatteter privater Nutzung greift die eingeschränkte Arbeitnehmerhaftung, die Haftung ist je nach Verschuldensgrad begrenzt. Bei verbotener Privatnutzung entfällt die Privilegierung, dann haftet der Beschäftigte nach den allgemeinen Regeln in vollem Umfang.
Kann der Arbeitgeber ein Mitverschulden treffen?
Ja. Wer auf gängige Sicherheitssoftware verzichtet oder keine konkreten Weisungen zum Umgang mit den IT-Systemen erlassen hat, muss sich ein Mitverschulden nach § 254 BGB entgegenhalten lassen. Bei Organisationsversäumnissen kann der Anteil hoch ausfallen.
Lässt sich verschwendete Arbeitszeit als Schaden ersetzen?
Grundsätzlich denkbar, praktisch schwer. Ein Landesarbeitsgericht hielt einen solchen Anspruch für möglich, verneinte ihn im konkreten Fall aber, weil der Arbeitgeber weder die Pflichtverletzung noch den Schaden nachweisen konnte. Darzulegen wäre, welche Arbeit wann konkret nicht erledigt wurde.
Als Anwalt für Arbeitsrecht in Köln und Anwalt für Arbeitgeber prüfen wir Haftungsfragen nach IT-Schäden und gestalten die Nutzungs- und Sicherheitsregeln, die im Ernstfall den Unterschied machen. Mehr im Bereich IT-Arbeitsrecht. Sprechen Sie uns an.
